Rückfrageweg im Betrieb: Was sagt die Schulungsnote?

Ein Satz, wie ich ihn in Gesprächen höre: „Unsere Mitarbeitenden wissen schon, was sie tun dürfen und was nicht.“

Er schützt etwas Wichtiges: Ruhe im Haus. Für einen Rückfrageweg im Betrieb braucht es trotzdem mehr als das Vertrauen, dass alle im passenden Moment schon richtig handeln werden. Wer Firewall, Sicherungskopien und einen externen IT-Dienstleister hat, will nicht aus jeder ungewohnten Mail oder Anweisung ein neues Projekt machen. Die Arbeit soll weitergehen, und die Beschäftigten sollen sich nicht bei jedem Klick rechtfertigen müssen.

Doch bei einer unerwarteten Aufforderung bleibt eine Betriebsfrage offen: Weiß die Person dann auch, woran sie anhält, wen sie ohne Umweg erreicht und wer die Entscheidung trägt?

Was das Lagebild wirklich zeigt

Die Transferstelle Cybersicherheit im Mittelstand hat am 5. Oktober 2026 ihr CYBERsicher Lagebild veröffentlicht. Für die Selbstbewertung im CYBERsicher Check weist es 1.190 Unternehmen aus. 81 Prozent der Befragten gaben dem Management ihrer Sicherheitskopien die Note 3 oder besser. Bei den Schulungsmaßnahmen des eigenen Unternehmens waren es 55 Prozent.

Das sind keine Werte über alle kleinen und mittleren Unternehmen. Der CYBERsicher Check dient laut seiner Beschreibung dazu, das Cybersicherheitsniveau eines Unternehmens schnell zu ermitteln. Das Lagebild zeigt daher, wie die Nutzenden dieses Instruments ihren Stand einschätzen. Es sagt nicht, wie jemand nach einer Schulung in einer konkreten Lage handelt.

Gerade deshalb wäre es falsch, aus dem Abstand der beiden Noten ein Urteil über die Beschäftigten oder über Schulungen abzuleiten. Der Bericht beantwortet eine andere Frage: Wie bewerten die Teilnehmenden ihre eigenen Maßnahmen? Für die Leitung beginnt die nützlichere Frage erst danach.

Wie der Rückfrageweg im Betrieb entsteht

Wie ich das sehe: Firewall, Sicherungskopien und Schulungen sind notwendige Arbeit. Sie können einen sicheren Betriebsweg aber nicht allein erzeugen. Bei einer ungewöhnlichen Aufforderung muss im Alltag erkennbar sein, wer sie einordnet und wer entscheidet, ob sie ausgeführt wird. Diese Entscheidung bleibt bei der Leitung, auch wenn der Dienstleister die technische Seite erreichbar macht.

Das ist kein Misstrauen gegenüber den Menschen, die täglich arbeiten. Eine Kollegin oder ein Kollege muss eine unerwartete Aufforderung zunächst erkennen können. Der Admin oder Dienstleister braucht einen benannten Weg, damit aus der Nachfrage kein Rätselraten wird. Die Geschäftsführung wiederum entscheidet, dass Nachfragen erlaubt sind und nicht als Verzögerung gelten. Fehlt diese Verbindung, kann jeder seinen Teil ordentlich machen, während die Rückfrage nirgends zuverlässig ankommt.

Der kleine Aufwand ist eine Abstimmung, die Zeit kostet und möglicherweise zeigt, dass eine Zuständigkeit bislang nicht ausgesprochen war. Offen bleibt danach auch, wie alle anderen ungewöhnlichen Situationen behandelt werden. Geklärt wird zunächst nur ein Ablauf.

Eine Schulung kann diesen Ablauf aufgreifen. Eine Note über Schulungsmaßnahmen belegt jedoch noch nicht, ob die Person vor einer konkreten Aufforderung die Regel wiederfindet oder ob der benannte Kontakt gerade erreichbar ist. Das ist keine Schwäche der Menschen im Betrieb. Es ist eine Frage danach, ob aus einer allgemeinen Maßnahme ein benutzbarer Weg für den Alltag geworden ist.

Auch der Dienstleister muss dafür keine Führungsentscheidung erraten. Er kann sagen, welche technische Ansprechbarkeit sich herstellen lässt. Die Leitung legt fest, dass dieser Weg gilt. Erst dann ist für den Fachbereich klar, wann aus einer Aufforderung eine Rückfrage wird und wann die Arbeit weitergehen darf.

Einen Alltagsmoment gemeinsam klären

Nehmen Sie diese Woche einen Fachbereich mit einem häufigen digitalen Ablauf. Wählen Sie mit der Fachbereichsleitung einen Moment aus, in dem dort eine unerwartete Aufforderung auftauchen könnte. Die Geschäftsführung setzt die Regel für diesen Moment. Admin oder IT-Dienstleister klären mit dem Fachbereich, wie der Weg erreichbar bleibt.

Für das Gespräch genügen drei Fragen:

• Woran erkennt die Person, dass diese Aufforderung ungewöhnlich ist?
• Wen kann sie ohne Umweg erreichen?
• Wer entscheidet, ob die Aufforderung ausgeführt wird?

Diese Fragen sind eine Arbeitsgrundlage, keine vollständige Sicherheitsmethode. Halten Sie die Antworten so fest, dass die Person im Fachbereich sie wiederfindet, und prüfen Sie, ob der benannte Kontakt tatsächlich erreichbar ist.

Dann haben Sie für diesen einen Moment mehr als eine gute Annahme über die Schulung: einen sichtbaren Rückfrageweg. Das hilft auch dann weiter, wenn die nächste Aufforderung anders aussieht, denn die Beteiligten kennen ihre Rolle im ersten Schritt.

Wenn Leitung und Dienstleister ihre Zuständigkeiten bei solchen Fragen noch nicht gemeinsam auf einem Stand haben, kann eine gemeinsame Bestandsaufnahme helfen: Danach kennen beide Geräte, Zugänge und Zuständigkeiten auf demselben Stand. In einer Sitzung bringe ich Leitung, Admin oder Dienstleister an diesen Ablauf. Mehr dazu steht bei meiner IT-Sicherheitsarbeit für den Mittelstand.

Wer eine Rückfrage bei digitalen Anweisungen konkretisieren will, findet im Beitrag Sicher handeln bei Anweisungen am Bildschirm einen verwandten, engeren Moment. Wenn es nach einem Ausfall um die Reihenfolge der Wiederaufnahme geht, führt der Beitrag Wiederanlaufreihenfolge nach IT-Ausfall klären weiter.

Quellen

• CSL-F01, CSL-F02, CSL-F03: Transferstelle Cybersicherheit im Mittelstand, „CYBERsicher Lagebild 2026“, veröffentlicht 05.10.2026, S. 11 und S. 15, abgerufen 27.10.2026. https://transferstelle-cybersicherheit.de/wp-content/uploads/2026/10/cybersicher-lagebild-2026-final.pdf
• Transferstelle Cybersicherheit im Mittelstand, „CYBERsicher Check“, aktualisiert 29.10.2025, abgerufen 27.10.2026. https://transferstelle-cybersicherheit.de/cybersicher-check/
• transferstelle-cybersicherheit.de
• transferstelle-cybersicherheit.de

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.

Beitragsbild: KI-generiertes Bild.