Vom Training zur Sicherheitskultur Cybersicherheitskultur statt Pflichttraining

Anbieter zum Thema

SoSafe GmbH

Deloitte Consulting GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Awareness allein reicht nicht mehr: Unternehmen müssen Cybersicherheit zur gelebten Kultur machen. Statt punktueller Trainings braucht es Strategien, die Verhalten, Motivation und Führung verknüpfen. CISOs und Management sollten Sicherheit als Teil der Unternehmens-DNA etablieren und damit die Resilienz nachhaltig stärken.

Wir kennen es alle: Eine wichtige Deadline steht an, die Zeit rennt – und jetzt kommt auch noch ein Training zur Cybersicherheit dazu. Was passiert? Mitarbeitende verschieben das Training so lange, bis alle anderen To-Dos erledigt sind. Im Arbeitsalltag werden Aufgaben wie Cyber­sicher­heits­trainings gegenüber für den Einzelnen beruflich relevanteren Aufgaben de-priorisiert.

Dazu kommt, dass traditionelle Sicherheits-Trainings oft rein auf das Teilen von Informationen ausgelegt sind und wenig tatsächlichen Einfluss auf das Verhalten von Mitarbeitenden haben. Doch das reine Fachwissen genügt nicht mehr, um Mensch und Organisation zu schützen – denn Cyberkriminelle perfektionieren ihre Taktiken zunehmend und nutzen psychologische Trigger wie Vertrauen, Neugier, Habgier oder sozialen Druck. Apropos Druck: Dabei machen sie sich den angesprochenen Zeitdruck und die damit einhergehende geringere Aufmerksamkeit (Nachlässigkeit) zu Nutze.

Security Awareness Month 2025

Wie setzen Tech-Unternehmen Security Awareness in der Praxis um?

Angreifer bedienen sich neuester Technologien wie Deepfake-Videos für täuschend echte Inhalte sowie mehrerer Kommunikationskanäle, um ihre Glaubwürdigkeit zu erhöhen. Eine besondere Gefahr liegt auch in der Rückverlagerung der Angriffe in die analoge Welt: QR-Code-Phishing, oder Quishing, umgeht beispielsweise gezielt digitale Sicherheitsmaßnahmen wie Firewalls, Virenscanner oder Filter für verdächtige Links. Analoge Medien wie Briefe, Plakate oder Aushänge wirken oft vertrauenswürdig und Schutzmechanismen greifen dort seltener.

Moderne Sicherheitsstrategien müssen all diese neuen Bedrohungen antizipieren und Mitarbeitende befähigen, auch unter Unsicherheit und Zeitdruck handlungsfähig zu bleiben. Ihr Sicherheitsbewusstsein muss kanalübergreifend geschärft werden – sowohl digital als auch analog.

Ziel muss also sein, ebenso auf Seiten der Mitarbeitenden einen holistischen Ansatz der Entwicklung zu wählen, der über die reine Wissensvermittlung hinausgeht. Es müssen auch hier zugrundeliegende psychologische Faktoren wie Überzeugungen, Einstellungen und Wahrnehmungen zu Cybersicherheit adressiert werden. Cybersicherheit muss als Mehrwert, nicht als Hindernis angesehen werden.

Awareness und Sicherheitskultur im Fokus

Der Mensch als größte Sicherheitslücke und stärkste Verteidigung

Cybersicherheit: Von Compliance zur Kultur

Genau das passiert bei der Entwicklung einer Cybersicherheits-Kultur. Diese strebt eine Integration von Cybersicherheit in die DNA einer Organisation an, statt sie nur als notwendiges Übel zur Compliance zu betrachten. Denn: Wenn die Richtlinien verinnerlicht sind, haben sie einen größeren Einfluss auf das Verhalten der Mitarbeitenden und damit auf die Verbesserung der Cybersicherheit von Organisationen.

In den einzelnen Phasen dieser Kulturbildung – Compliance, Identifikation, Internalisation – sollen sich also die Einstellungen der Mitarbeitenden zur Cybersicherheit verändern, eine positive Kultur mit sicheren Praktiken soll zur täglichen Routine werden. Beschäftigte sollen durch Motivatoren wie Eigenverantwortung und Stolz intrinsisch motiviert werden, sich und ihre Organisation zu schützen.

Organisatorisch betrachtet steht am Ende des Prozesses ein integriertes Framework, das auf die Ziele und Kultur der Organisation abgestimmt ist, Cybersicherheit in den Wertekatalog integriert und sie somit zur Verantwortung jedes Einzelnen macht. Die Leitungsebene tritt hierbei in einer Vorbildfunktion auf, indem sie Sicherheit als strategisches Risiko versteht und kommuniziert sowie Maßnahmen selbst implementiert.

Behavior First: Motivieren, Trainieren, Integrieren

Der Prozess fußt auf drei Säulen: Motivieren, Trainieren, Integrieren.

1. Motivieren: Alle in dasselbe Boot holen

Zur Säule „Motivieren“ gehört, das Interesse der Mitarbeitenden am Thema Cyber­sicherheit zu wecken und sie durch zugeschnittene Kom­mu­ni­ka­ti­onsmaß­nah­men und Storytelling-Initiativen abzuholen. Verschiedene Narrative und Erzählformen wiederholen Botschaften hierbei so regelmäßig, dass sie sich langfristig einprägen. Der Leitungsebene kommt hier eine besondere Bedeutung als „Zugpferd“ zu. Zu den Formaten können schriftliche Artikel zu spezifischen Sicherheitsbedrohungen, Events wie eine Security Awareness Week, ein zentralisiertes Wiki, ein spezifisches Branding für Security-Themen oder Games zählen.

2. Trainieren: Gesunde Skepsis und individuelles Sicherheitsbewusstsein

Bei dieser Säule geht es darum, moderne Trainings und Tools zur Verfügung zu stellen, die psychologische Lernmechanismen nutzen und menschliches Verhalten gezielt adressieren. Sie dürfen dabei keine punktuellen Maßnahmen bleiben, sondern müssen regelmäßig, praxisnah und unterhaltsam gestaltet sein. Die Formate sollten variieren und ihre Inhalte unterschiedlichste Lerntypen ansprechen, auf verschiedene Rollen in der Organisation zugeschnitten sein sowie über längere Zeiträume hinweg motivierend bleiben.

BSI appelliert an Chefetage

In 8 Schritten zum Security-Awareness-Programm

Ziel ist, dass Mitarbeitende ein feines Gespür für Unregelmäßigkeiten entwickeln: eine „digitale Intuition“ und ein geschärftes Sicherheitsbewusstsein. Dieses individuell entwickelte Gefühl für potenziell gefährliche Situationen ist ein wichtiger Baustein in der Erkennung aktueller Bedrohungen.

Verschiedenste Formate – analog wie digital – können zur Zielerreichung beitragen. So fördern beispielsweise Micro-Learnings oder Web-based Trainings auf Basis moderner Verhaltens­psychologie und mit Gamification-Ansätzen wie interaktiven Modulen oder Videos langfristiges Lernen sowie individuelles Engagement. Besonders einprägsam werden solche Trainings, wenn sie mit realistischen sowie praxisnahen und auf die einzelne Organisation zugeschnittenen Geschichten und Charakteren verknüpft werden. Social Learnings in Gruppen stärken besonders das Verantwortungsbewusstsein, individuell wie kollektiv. Mit realitätsnahen Angriffssimulationen können in einzigartigen Lernerlebnissen verschiedenste Szenarien erprobt werden. Auch über VR- und AR-Lernformate können Organisationen nachdenken, um die Einprägsamkeit der Inhalte zu fördern.

Sorge vor Konsequenzen

Mitarbeitende haben Angst, Vorfälle zu melden

3. Integrieren: Cyber-bewusstes Verhalten prägen, jeden Tag

Schließlich soll bewusstes Cyber-Verhalten im Alltag eingebettet werden. Dafür hilft insbesondere, auch kleinstmögliche Schlüsselmomente im täglichen Arbeiten zu identifizieren und diese an bestimmte, gewünschte Verhaltensweisen zu knüpfen. Dabei werden sich Gefühle und Gedanken ergeben, die dieses Verhalten erleichtern oder erschweren können – sogenannte Enabler oder Challenger. Diese Aspekte in einer offenen (Fehler-)Kultur zu thematisieren, ist der nächste Schritt. So sollen mittelfristig im ganzen Unternehmen Enabler verstärkt und Challenger möglichst eliminiert werden.

Zur Unterstützung des Prozesses können sogenannte Cyber Culture Champions aus den jeweiligen Fachabteilungen des Unternehmens ernannt werden. Als informelle Erweiterung der Leitungsebene, insbesondere des CISO, haben sie in dieser Vermittler-Rolle strategischen Einfluss, eine Vorbild-Funktion und können ihr Standing in den Abteilungen zur effektiven Kommunikation der Kultur nutzen. Sie sind das vertraute Gesicht im Kollegenkreis und für alle niedrigschwellig ansprechbar. So tragen sie nicht nur die Cybersicherheits-Kultur in ihre Abteilungen, sondern geben der Leitungsebene Feedback und unterstützen an einer wichtigen Schnittstelle jeden Tag bei der Integration von Cybersicherheitsmaßnahmen in den Arbeitsalltag.

Der aktuelle Stand der Sicherheitskultur, Fortschritte im Prozess und unsicheres Verhalten lassen sich sogar messen: mithilfe eines Risk Cockpits und eines Human Risk Dashboards. Ein zusätzliches auditierbares Compliance Dashboard mit Reporting-Möglichkeit fördert die Transparenz weiter und stellt die Einhaltung von Richtlinien wie der ISO/IEC 27001 sicher.

Fortinet 2024 Security Awareness and Training Global Research Report

Mitarbeiter sind für 70 Prozent der Unternehmen ein Sicherheitsrisiko

Fazit: Selbstwirksamkeit und Verantwortungsgefühl für eine resiliente Organisation

Wenn Angreifer kontinuierlich neue und bessere Methoden nutzen, müssen auch Organisationen ihre Sicherheitsmaßnahmen dynamisch weiterentwickeln. Cybersicherheit ist längst kein reines Compliance-Thema mehr – es muss ein Paradigmenwechsel stattfinden, hin zu einer Cybersicherheitskultur, die den Menschen in den Mittelpunkt stellt. Denn: Wird Cybersicherheit als gemeinsame Verantwortung verstanden, entsteht langfristig eine resiliente Organisation. Davon profitieren alle Beteiligten!

Über die Autoren

• Mathias Krämer ist Manager Cyber Strategy and Transformation bei Deloitte. Er ist Experte für Governance, Risk & Compliance sowie Strategieentwicklung im Bereich Informationssicherheit mit Fokus auf den Faktor Mensch.

• Cornelis Räber ist Senior Manager Cyber Strategy and Transformation bei Deloitte. Er ist Experte für Governance, Risk & Compliance sowie Strategieentwicklung im Bereich Informationssicherheit mit Fokus auf den Public Sector.

• Dr. Christian Reinhardt ist Director Human Risk Management bei SoSafe. Er ist Sportpsychologe und Experte für psychologische Mechanismen von Cyberkriminellen sowie menschliches Verhalten im Bereich der Cybersicherheit.

Security Awareness Trainings

KI soll das Lernen personalisieren

(ID:50601372)