Cybersecurity im Unterricht: Phishing, Social Engineering & sichere Passwörter

Warum IT-Sicherheit in die Sek I gehört

Jugendliche verwalten ab Klasse 7 in der Regel mehrere Accounts: Schulplattform, Messenger, Spieleplattformen, Streamingdienste. Angriffe zielen selten auf technische Lücken, sondern auf die Person davor. Wer eine gefälschte Nachricht nicht als solche erkennt, gibt Zugangsdaten freiwillig heraus – kein Virenschutz der Welt verhindert das. Genau deshalb gehört IT-Sicherheit nicht erst in die Oberstufe, sondern in die Sekundarstufe I, und zwar als Kompetenz, nicht als Warnvortrag.

Material zu diesem Artikel

Die im Text erwähnten Unterrichtsmaterialien auf einen Blick. Digitaler Download, sofort einsetzbar.

Cybersecurity: Phishing und Social Engineering – Informatik Unter... €24,99Ansehen Datenschutz und Datensicherheit – Informatik Unterrichtsmaterial ... €24,99Ansehen Kryptografie: Verschlüsselung verstehen – Informatik Unterrichtsm... €24,99Ansehen

Didaktisch bedeutet das einen Perspektivwechsel: Statt Verbote zu formulieren, analysieren die Lernenden Angriffsmuster. Wer versteht, mit welchen Mitteln eine Nachricht Druck aufbaut, erkennt das Muster auch in einer Variante, die im Unterricht nie besprochen wurde. Dieses Übertragen ist das eigentliche Lernziel.

Die Bausteine: Phishing, Social Engineering, Passwörter

Ein tragfähiger Aufbau beginnt mit dem konkretesten Fall. Das Material zu Phishing und Social Engineering für die Sek I stellt typische Angriffsformen nebeneinander und liefert Beispieltexte, an denen die Klasse Merkmale herausarbeiten kann: unpersönliche Anrede, künstliche Dringlichkeit, abweichende Absenderadresse, Aufforderung zur Eingabe von Zugangsdaten, Links, deren angezeigter Text nicht zum Ziel passt.

Social Engineering geht darüber hinaus, weil es psychologische Hebel nutzt: Autorität, Hilfsbereitschaft, Neugier, Angst vor Nachteilen. Ein kurzes Rollenspiel macht das greifbar – eine Gruppe formuliert eine überzeugende Bitte um eine Information, die andere prüft, an welcher Stelle sie hätte misstrauisch werden müssen. Der dritte Baustein ist die Passwortpraxis: Länge schlägt Komplexität, jeder Dienst bekommt ein eigenes Passwort, und die Zwei-Faktor-Authentifizierung schützt selbst dann, wenn ein Passwort abhandenkommt. Ein Passwortmanager ist dabei kein Nischenwerkzeug, sondern die realistische Lösung für ein Mengenproblem.

Echte Beispiele analysieren lassen

Die stärkste Aufgabe der Reihe ist eine Analyse mit einem festen Prüfraster. Die Lernenden erhalten mehrere Nachrichten – echte, entschärfte und harmlose – und entscheiden begründet, welche verdächtig sind. Wichtig ist die Regel, dass jede Einschätzung mit mindestens zwei Merkmalen belegt wird; das verhindert Bauchentscheidungen und macht die Bewertung nachvollziehbar. Anschließend formuliert die Klasse eine eigene Checkliste in fünf Punkten, die im Klassenraum sichtbar bleibt.

Bewährt hat sich außerdem, den Blick auf die Handlungsebene zu lenken: Was tue ich, wenn ich doch geklickt habe? Passwort ändern, Gerät prüfen, betroffene Stelle informieren, Vorfall dokumentieren. Diese Reihenfolge nimmt Scham aus der Situation und macht deutlich, dass ein Fehler beherrschbar ist.

Für die Differenzierung eignet sich das Material gut: Eine Gruppe arbeitet mit klar erkennbaren Fälschungen und übt das Raster ein, eine andere erhält Nachrichten, die sprachlich sauber und optisch überzeugend gestaltet sind. Gerade der zweite Fall ist lehrreich, weil er zeigt, dass Rechtschreibfehler längst kein verlässliches Erkennungsmerkmal mehr sind. Als Zusatzaufgabe für schnelle Gruppen bietet sich an, eine eigene Beispielnachricht zu schreiben und der Nachbargruppe zur Prüfung zu geben – mit der klaren Absprache, dass diese Texte den Klassenraum nicht verlassen. Wie der Unterricht den Umgang mit KI-Werkzeugen selbst zum Gegenstand macht, behandelt der Beitrag zu KI-Tools im Unterricht mit Prompt-Kompetenz, Regeln und kritischer Bewertung.

Verbindung zu Datenschutz und Verschlüsselung

IT-Sicherheit steht nicht allein. Das Material zu Datenschutz und Datensicherheit ordnet die Frage rechtlich ein und klärt den Unterschied zwischen dem Schutz personenbezogener Daten und dem technischen Schutz von Systemen. Wer verstehen will, warum eine verschlüsselte Verbindung überhaupt hilft, findet in der Reihe zur Kryptografie und Verschlüsselung altersgerechte Zugänge von der Cäsar-Verschiebung bis zum Grundgedanken asymmetrischer Verfahren.

Wo Angriffe in Beleidigung und Bloßstellung übergehen, ist die fachliche Grenze zur Ethik erreicht. Das Material zu Cybermobbing und Hate Speech eignet sich für eine fächerverbindende Doppelstunde mit dem Fach Ethik oder Praktische Philosophie. Wie Sie den Datenschutzteil eigenständig aufbauen, zeigt der Beitrag zu Datenspuren und DSGVO in der Schule; einen Überblick über den Schutz jugendlicher Nutzerinnen und Nutzer gibt der Artikel zu Cybersecurity für Jugendliche. Weitere Reihen sind auf der Seite Datenschutz und Cybersecurity gebündelt.

Fazit

Cybersecurity gelingt in der Sek I, wenn die Klasse Muster analysiert statt Regeln auswendig zu lernen. Merkmale erkennen, Hebel benennen, Passwortpraxis ändern und wissen, was im Ernstfall zu tun ist – diese vier Schritte lassen sich in wenigen Stunden anlegen und wirken über den Informatikunterricht hinaus.