CyberPlay-Redaktion · Veröffentlicht am · Aktualisiert am · 7 Min. Lesezeit
Leitfaden und Übungen auf Deutsch
Spielbasiertes Lernen nutzt das eigentliche Spielen eines Games, damit Personen eine Fähigkeit oder Entscheidung einüben können. Gamification ergänzt eine bestehende Aktivität um spieltypische Elemente wie Punkte, Abzeichen oder Fortschrittsanzeigen. Diese Unterscheidung ist hilfreich, doch ein bloßer Begriff verrät noch wenig darüber, was Mitarbeitende tatsächlich lernen.
In der Security Awareness lautet die entscheidende Frage vielmehr: Was tun die Lernenden konkret? Sammeln sie lediglich Punkte für das Durchklicken von Inhalten oder müssen sie Anhaltspunkte prüfen, eine Handlung auswählen und die Konsequenzen tragen? Dieser Leitfaden vergleicht Formate anhand eines konkreten Ziels aus dem Arbeitsalltag und bietet ein Arbeitsblatt zur Analyse der Lerninteraktion.
Das Wichtigste zum Mitnehmen
- Entscheidung, Konsequenz und Feedback zählen mehr als die Formatbezeichnung.
- Punkte fördern oft die Teilnahme, belegen aber keine Sicherheitskompetenz.
- Ein gutes Verzweigungsszenario ist oft passender als ein komplexes Spiel.
- Formate sinnvoll kombinieren und Transfer erst an neuen Szenarien messen.
Klare Arbeitsdefinitionen nutzen
In diesem Leitfaden meint Gamification das Anreichern einer bestehenden Lern- oder Arbeitsaufgabe mit Spielelementen. Beispiele hierfür sind Fortschrittsbalken, Abzeichen für abgeschlossene Lektionen oder Punktewettbewerbe im Team. Spielbasiertes Lernen hingegen nutzt die Regeln und Aktionen eines Spiels als direkte Übungsumgebung. Ein Verzweigungsszenario (Branching Scenario) stellt Entscheidungen mit unterschiedlichen Folgepfaden dar und liegt oft zwischen diesen Ansätzen.
Die Übergänge sind fließend. Ein Spiel kann Abzeichen vergeben; eine kurze Lerneinheit kann eine echte Entscheidung fordern; eine Verzweigungsgeschichte kann eine vollwertige Spielmechanik besitzen. Vermeiden Sie es, die Begriffe hierarchisch zu bewerten. Klären Sie das Lernziel und analysieren Sie das Lernerlebnis, bevor Sie entscheiden, welcher Ansatz zur Zielgruppe passt.
Drei Ansätze für dasselbe Lernziel im Vergleich
Betrachten wir ein konkretes Lernziel: „Eine geänderte Zahlungsanweisung eines Lieferanten über einen etablierten Meldeweg verifizieren.“ In einer gamifizierten Lektion lesen Mitarbeitende die Regel und sammeln Punkte für die richtige Antwort. In einem Verzweigungsszenario wählen sie den Kontaktweg und erleben, wie das Gespräch verläuft. In einem Spiel müssen sie mehrere Lieferantenanfragen gleichzeitig bearbeiten, ohne dabei Verifizierungsschritte und Lieferfristen zu vernachlässigen.
Jedes dieser Formate kann gelungen oder fehlerhaft umgesetzt sein. Der folgende Vergleich beschreibt hypothetische Formate und keine Eigenschaften bestimmter Produkte. Er hilft Ihnen zu erkennen, welcher Teil des Lernziels geübt wird und welcher Aspekt eine separate Nachbesprechung oder Übung erfordert.
| Format | Aktivität der Lernenden | Prüfpunkte bei der Analyse |
|---|---|---|
| Lektion mit Punkten | Liest Richtlinie und beantwortet Frage | Erklärt das Feedback den Verifizierungsschritt? |
| Verzweigungsszenario | Wählt Kontaktweg und Vorgehen | Zeigen die Pfade plausible Konsequenzen? |
| Entscheidungsbasiertes Spiel | Balanciert Aufgaben und befolgt Regeln | Gelingt sicheres Arbeiten ohne Reaktionsdruck? |
Bild vergrößern · Screenshot aus dem Spiel · Englische Oberfläche
- Geänderte Angaben vergleichen
Prüfen Sie, welche Zahlungsdaten sich geändert haben und ob die Anfrage zur erwarteten Rechnung und Leistung passt.
- Mit vertrauter Rechnung abgleichen
Vergleichen Sie mit einer vertrauenswürdigen Rechnung und verifizieren Sie geänderte Bankdaten über den bereits hinterlegten Lieferantenkontakt.
Verstehen, was Punkte aussagen – und was nicht
Punkte können Lernfortschritte sichtbar machen und motivieren, zurückzukehren. Sie können jedoch auch falsches Verhalten belohnen, wenn bloße Schnelligkeit, wiederholtes Raten oder sachfremde Aktionen das Gesamtergebnis bestimmen. Fragen Sie genau, wofür Punkte vergeben werden und ob diese Aktion dem Sicherheitsziel entspricht. Ein Punktestand lässt sich erst beurteilen, wenn die zugrunde liegenden Regeln verstanden sind.
Werden Punkte für das bloße Abschließen vergeben, dokumentiert dies die Teilnahme. Verbindet die Punktzahl Genauigkeit mit Bearbeitungszeit, sollten diese Faktoren bei der Auswertung getrennt betrachtet werden. Ein Ranglistenplatz eignet sich nicht als Maßstab für Vertrauenswürdigkeit am Arbeitsplatz. Technische Ausstattung, Sprachkenntnisse, Motorik oder Spielerfahrung variieren – und dürfen nicht mit der Bereitschaft zu sicherem Verhalten verwechselt werden.
Sicherheitsregeln müssen den Spielverlauf beeinflussen
Eine sinnvolle Spielmechanik bindet die Sicherheitsrichtlinie direkt in die Entscheidungen ein. Geht es um Zugangsrechte, muss eine ungeprüfte Freigabe den weiteren Verlauf spürbar verändern. Geht es um Verifikation, sollte eine unabhängige Rückfrage neue Informationen liefern oder sicherere Schritte ermöglichen. Dieser Zusammenhang muss für die Lernenden transparent sein.
Eine bewährte Analysemethode besteht darin, die Aktivität ohne Grafiken und visuelle Effekte zu beschreiben: Welche Entscheidungen bleiben übrig? Was lernen die Spielenden aus den Folgen? Lautet die Zusammenfassung „beliebiges Rätsel lösen, danach Sicherheitstipp lesen“, muss der Bezug zur Informationssicherheit verstärkt werden. Das macht das Rätsel nicht nutzlos, schränkt aber den belegbaren Lerneffekt ein.
Bild vergrößern · Screenshot aus dem Spiel · Englische Oberfläche
- Herausgeber der Anwendung prüfen
Prüfen Sie Herausgeber und Einsatzzweck, bevor Sie eine vertraut wirkende Anwendung als vertrauenswürdig einstufen.
- Angeforderte Zugriffsrechte beschränken
Gewähren Sie nur durch Aufgabe und Prozess gerechtfertigte Berechtigungen; halten Sie inne, wenn weitergehender Zugriff unbegründet ist.
Konsequenzen lehrreich und korrigierbar gestalten
Eine Konsequenz sollte die Entscheidung verständlich machen und Lernende nicht bloß bestrafen. Verdeutlichen Sie, welche Anhaltspunkte übersehen wurden, warum der gewählte Weg unsicher war und was ein alternatives Vorgehen bewirkt hätte. Ermöglichen Sie einen erneuten Versuch mit leicht veränderten Parametern, um die Rückmeldung direkt anzuwenden. Eine dramatische Misserfolgsanzeige ohne verständliche Begründung bietet kaum Lerneffekt.
Sichere Entscheidungen erfordern dieselbe Sorgfalt. Erklären Sie, warum eine Verifikation auch dann sinnvoll war, wenn sich eine Anfrage als legitim herausstellt. Es darf nicht jedes Szenario darauf hinauslaufen, dass Ablehnung stets der beste Schritt ist. Mitarbeitende müssen reguläre Arbeitsabläufe bewältigen, die richtigen Fragen stellen und mit Unsicherheiten umgehen können. Das sind anspruchsvollere Lernziele als das bloße Erkennen schädlicher Nachrichten.
Studien zu Spielen unter Berücksichtigung ihrer Grenzen lesen
Die What.Hack-Studie berichtete von einer unmittelbar verbesserten Erkennung von Phishing in einem kleinen studentischen Experiment. Der Einsatz wiederholter Testnachrichten und der kurze Untersuchungszeitraum schränken Aussagen über langfristige Behaltensleistung und den Transfer in den Arbeitsalltag ein. Die Studie liefert ein interessantes Designbeispiel, ist jedoch kein Beleg für die Wirksamkeit jedes beliebigen Spiels.
Verantwortliche sollten hinterfragen, was eine Evaluation tatsächlich misst: Spielspaß, theoretisches Wissen, Fertigkeiten innerhalb des Spiels, spätere Erinnerung oder das tatsächliche Verhalten im regulären Berufsalltag. Diese Ergebnisse hängen zusammen, sind aber nicht identisch. Erhält die Kontrollgruppe andere Inhalte oder Übungszeiten, beeinflusst dies das Resultat. Verknüpfen Sie Kernaussagen stets mit der konkreten Fragestellung der jeweiligen Untersuchung.
Quellen dieses Abschnitts: What.Hack: motivierendes Anti-Phishing-Training durch ein Rollenspiel mit Phishing-Simulation
Aktuelle Anbieterangebote differenziert vergleichen
SoSafe beschreibt öffentlich gamifizierte, storybasierte und rollenbasierte Formate für Sensibilisierung und Schulung. Dies verdeutlicht, dass sich Anbieter selten auf eine einzelne Formatbezeichnung reduzieren lassen. Analysieren Sie die konkrete Lernaktivität, anstatt voreilig davon auszugehen, dass ein Produkt ausschließlich passive Lektionen umfasst.
Der Katalog von CyberPlay konzentriert sich auf Spiele für das Einüben von Sicherheitsverhalten. Der didaktische Nutzen sollte nach denselben Kriterien bewertet werden: Welche Entscheidung wird geübt, welches Feedback erfolgt und passt das Lernerlebnis zur Zielgruppe? Demos und Pilotprojekte schaffen hier Klarheit. Die allgemeine Positionierung einer Plattform ist lediglich ein Ausgangspunkt, kein Nachweis für eine gleichbleibend hohe Eignung für jedes Lernziel.
Quellen dieses Abschnitts: Security-Awareness-Schulung
Arbeitsblatt zur Analyse der Lerninteraktion
Wählen Sie eine Lernaktivität aus und bearbeiten Sie die folgenden Zeilen gemeinsam mit einer Moderationsperson und Lernenden aus der Zielgruppe. Notieren Sie konkrete Beobachtungen. „Motivierend“ ist zu vage; „die lernende Person prüfte das vollständige Linkziel vor der Auswahl“ ist eine verwertbare Feststellung. Halten Sie Barrieren bei der Barrierefreiheit als Anforderung fest, auch wenn andere Teilnehmende gut zurechtkamen.
| Leitfrage | Zu erfassende Beobachtungen |
|---|---|
| Welche Entscheidung hat Folgen? | Genaue Handlung, die gewählt wird |
| Welche Infos sind prüfbar? | Anhaltspunkte vor der Entscheidung |
| Was vermittelt die Konsequenz? | Im Spiel erklärte Ursachenkette |
| Gelingt legitime Arbeit sicher? | Sicherer Weg zur Aufgabenerfüllung |
| Hilft Feedback beim Neustart? | Auf neuen Fall anwendbare Regel |
| Ist die Teilnahme barrierearm? | Sprache, Gerät, Steuerung, Alternativen |
| Wie gelingt der Praxisbezug? | Meldeweg und Ansprechperson im Debriefing |
Formate in einer schlüssigen Lernsequenz verbinden
Eine kurze Erklärung führt in die Regel ein, ein Szenario veranschaulicht sie, ein Spiel dient der praktischen Übung und eine moderierte Nachbesprechung stellt den Bezug zu internen Meldewegen her. Wählen Sie gezielt die Bausteine aus, die das jeweilige Ziel unterstützen. Ein Mehr an Formaten verbessert ein Programm nicht automatisch – vor allem dann nicht, wenn Inhalte ohne neue Aufgabenstellung wiederholt werden.
NIST SP 800-50r1 verankert kontinuierliche Evaluation und Verbesserung fest im Konzept von Lernprogrammen. Nutzen Sie Fragen von Mitarbeitenden und beobachtete Fehlerquellen für die weiteren Schritte. Verstehen Mitarbeitende die Richtlinie, wissen aber nicht, wie sie die zuständige Ansprechperson erreichen, ist ein transparenter Arbeitsablauf oft wirksamer als eine weitere Schulungseinheit.
Quellen dieses Abschnitts: Ein Lernprogramm für Cybersicherheit und Datenschutz aufbauen, NIST SP 800-50r1
Entscheidungskompetenz nach dem Spiel überprüfen
Präsentieren Sie zu einem späteren Zeitpunkt ein neues Beispiel mit identischem Sicherheitsziel: Ändern Sie den Namen des Lieferanten, den Kommunikationskanal oder den Vorwand für die Eile. Bitten Sie die Lernenden, die nächste Aktion zu wählen und ihre Entscheidung zu begründen. Dies liefert aussagekräftigere Nachweise als das wiederholte Durchspielen desselben Levels bis zum reinen Auswendiglernen.
Interpretieren Sie Ergebnisse präzise: Ein Erfolg in der neuen Übung belegt die Kompetenz bei dieser konkreten Aufgabe, garantiert jedoch noch keinen Rückgang realer Vorfälle. Prüfen Sie passende CyberPlay-Themenspiele, wählen Sie eine geeignete Herausforderung und nutzen Sie das Arbeitsblatt für die didaktische Begleitung. Eine Lernmethode bewährt sich dann, wenn das Entscheidungsprinzip auch abseits des Bildschirms sicher angewendet wird.
Bild vergrößern · Screenshot aus dem Spiel · Englische Oberfläche
- Bestehendes Verzeichnis nutzen
Nutzen Sie das offizielle Helpdesk-Verzeichnis der Organisation für einen vertrauenswürdigen Kontakt, bevor Sie heikle Anfragen fortführen.
- Übermittelte Nummern nicht nutzen
Eine vom Anrufer genannte Nummer ist Teil der Anfrage und eignet sich nicht zur unabhängigen Überprüfung.
Entscheidungen in der Praxis einüben
Entdecken Sie passende CyberPlay-Spiele, wählen Sie eine geeignete Herausforderung und verknüpfen Sie die Entscheidungen direkt mit den Prozessen an Ihrem Arbeitsplatz. Wählen Sie im Katalog ein Spiel mit Deutsch als unterstützter Sprache, damit sprachliche Hürden nicht mit Schwierigkeiten bei der Sicherheitsentscheidung verwechselt werden.
Praxisnahe Spiele entdeckenQuellen und weiterführende Informationen
- What.Hack: motivierendes Anti-Phishing-Training durch ein Rollenspiel mit Phishing-Simulation — Cornell University / CHI 2019. Abgerufen am 2026-09-13
- Security-Awareness-Schulung — SoSafe. Abgerufen am 2026-09-13
- Ein Lernprogramm für Cybersicherheit und Datenschutz aufbauen, NIST SP 800-50r1 — NIST. Abgerufen am 2026-09-13
Weitere Artikel entdecken
- Security-Awareness-Spiele für Mitarbeitende: Lernen auf Deutsch
Security-Awareness-Spiele auf Deutsch auswählen: Lernziele, Feedback und Barrierefreiheit prüfen, eine kurze Einheit testen und Entscheidungen im Team besprechen.
DE · 8 Min. Lesezeit - Microlearning für Security Awareness: kurze Lerneinheiten sinnvoll gestalten
Microlearning für Security Awareness gestalten: eine Entscheidung üben, klares Feedback geben und das Gelernte später in einem veränderten Szenario anwenden.
DE · 9 Min. Lesezeit - Security-Awareness-Kennzahlen: mehr messen als Teilnahme
Security-Awareness-Kennzahlen sinnvoll nutzen: Teilnahme, Wissen, Behalten und Verhalten getrennt messen und Ergebnisse ohne überzogene Erfolgsversprechen bewerten.
DE · 9 Min. Lesezeit - Phishing-Training mit Spielen: verdächtige Nachrichten richtig prüfen
Phishing-Training mit Spielen: verdächtige Nachrichten prüfen, sichere Rückfragen und Meldungen üben und Entscheidungen mit konkreten Beispielen nachbesprechen.
DE · 8 Min. Lesezeit - Human Risk Management: Mit CyberSense passende Lernmaßnahmen auswählen
Kennzahlen zu Abdeckung, CyberSense und Lernprioritäten richtig lesen. Ein Rechenbeispiel zeigt, wie Unternehmen gezielte Übungen auswählen und Ergebnisse prüfen.
DE · 7 Min. Lesezeit - NIS2-Schulung für Mitarbeitende: Programm und Nachweise planen
Planen Sie NIS2-Schulungen nach Rollen, verknüpfen Sie Aktivitäten mit Risiken und sichern Sie Nachweise. Mit Trennung von Management- und Mitarbeiter-Training.
DE · 8 Min. Lesezeit