Si­cher­heits­kultur in Unternehmen: Akzeptanz durch Dialog So macht man IT-Richt­li­nien im Arbeitsalltag wirksam

Anbieter zum Thema

Fraunhofer-Institut für Arbeits- wirtschaft + Organisation IAO

Fsas Technologies GmbH

FTAPI Software GmbH

IT-Si­cher­heits­vorgaben kollidieren häufig mit Zeitdruck und Effizienzzielen. Akzeptanz entsteht dort, wo Richt­li­nien Arbeitsrealitäten berücksichtigen, Anwender einbinden und Si­cher­heit als gemeinsamen Handlungsrahmen etablieren.

Viele IT-Teams sehen ein Motivationsproblem: Si­cher­heits­vorgaben werden von Anwendern häufig als lästige Pflicht empfunden. Mögliche Lösungen sind mehr Schulungen – oder Sanktionen. Ein Experiment*, das untersuchte, wie sich Si­cher­heits­designs auf richt­li­nien­kon­form­es Nutzerverhalten auswirken, zeigte jedoch: Selbst Teilnehmer, die zu Beginn Si­cher­heits­richt­li­nien als positiv einschätzten, empfanden diese unter steigendem Arbeitsdruck zunehmend als Hindernis.

So kam es vermehrt zu Regelverstößen. Es zeigte sich: Entscheidend für sicheres Verhalten sind nicht nur Wissen und Wollen, sondern auch Kontext, Risikowahrnehmung und Alltagsdynamik. Nutzer brechen Regeln oft nicht aus Unwillen, sondern weil andere Prioritäten – wie Effizienz oder Teamziele – überwiegen. Solche Zielkonflikte belasten das Verhältnis zwischen IT und Fachbereichen und schwächen die Si­cher­heits­kultur. Um gegenzusteuern, braucht es neue Ansätze auf folgenden Ebenen:

Dialog mit den Beteiligten

Bevor Si­cher­heits­maß­nah­men eingeführt werden, sollten Verantwortliche verstehen, warum Mitarbeiter Regeln nicht einhalten – oft fehlt das Be­dro­hungs­be­wusst­sein, der Nutzen der Maßnahmen ist unklar oder sie stören im Arbeitsalltag. Statt Sanktionen braucht es daher Verständnis für reale Arbeitsbedingungen.

Hier kann eine abteilungsübergreifende Be­stands­auf­nah­me helfen. Sie macht die un­ter­schied­lichen An­for­der­ungen und Prioritäten aller Beteiligten wie IT, Fachabteilungen, Management, Verwaltung, Produktion transparent. Maßnahmen, die auf diese Realitäten abgestimmt sind, stoßen auf mehr Akzeptanz und entfalten ihre Wirkung deutlich besser.

Anwenderzentrierte Si­cher­heits­vorgaben

Unsicheres Verhalten wird oft den Nutzern zu­geschrieben, obwohl die Ursache häufig in den Maßnahmen selbst liegt. So konzentriert sich die IT-Si­cher­heits­forschung stark auf individuelles Verhalten – etwa darauf, ob und wie Persönlichkeitsmerkmale sicheres Handeln beeinflussen. Dabei bleibt oft unbeachtet, wie gut Si­cher­heits­vorgaben zur tatsächlichen Arbeitsrealität passen und ob sie im Alltag überhaupt praktikabel und akzeptiert sind.

Security-Leitfaden von Opswat

Unverzichtbare Maßnahmen zur BYOD-Sicherheit

Endpoints sind ein beliebtes Ziel für Cyberattacken

Schutz von Endgeräten in Zeiten von hybriden Arbeitsmodellen

Für jede Be­dro­hung existieren in der Regel mehrere geeignete Si­cher­heits­maß­nah­men. Diese unterscheiden sich in Aufwand, Akzeptanz, Kompatibilität oder Komplexität – Aspekte, die in der Praxis jedoch häufig unberücksichtigt bleiben. Entscheidungen in Si­cher­heits­- und IT-Abteilungen werden zudem meist vorrangig aus technischer Sicht getroffen.

Dabei ist neben der fachlichen Korrektheit ebenso wichtig, dass IT-Si­cher­heits­richt­li­nien für Mitarbeiter nachvollziehbar und im Arbeitsalltag umsetzbar sind. Der Schlüssel liegt im empathischen Policy Engineering: Das gestaltet Vorgaben so, dass sie verständlich, akzeptiert und mit den Arbeitszielen vereinbar sind. Am besten gelingt das, wenn Beschäftigte frühzeitig eingebunden werden – inklusive ihrer Zielkonflikte und Alltagshürden.

Ein Pilotprojekt mit aufgeschlossenen „Early Adopters" hilft, Hindernisse frühzeitig zu erkennen und gezielt nachzubessern. So entsteht eine Si­cher­heits­kultur, die nicht nur auf dem Papier existiert, sondern im täglichen Arbeitsprozess verankert ist.

Kom­mu­ni­ka­ti­on, die ankommt: Der RESPECT-Ansatz

Ob Anweisungen, Standard-Online-Trainings oder zu verspielte Formate wie Comics – Si­cher­heits­maß­nah­men werden oft auf eine Weise kommuniziert, die Mitarbeiter nicht erreicht, die Mitarbeiter nicht ernst nehmen. Der RESPECT-Ansatz verfolgt einen anderen Weg: Er setzt auf Kom­mu­ni­ka­ti­on auf Augenhöhe, die Mitarbeiter als kompetente, verantwortungsvolle Erwachsene an­spricht. Im Mittelpunkt steht ein empathischer Blick auf deren Bedürfnisse und Arbeitsrealität, ohne die Si­cher­heits­ziele aus dem Blick zu verlieren.

Dabei helfen diese drei Techniken:

• 1. Taktische Empathie: Wer zuhört und anerkennt, gewinnt Vertrauen und erhöht die Bereitschaft der Mitarbeiter, Si­cher­heits­informationen zu beachten.

• 2. Dialog statt Verbote: Statt Änderungswünsche abzutun oder zu ignorieren, sollten Si­cher­heits­verantwortliche mit „Wie“-Fragen Anwender dazu anregen, über die vor­geschlagenen Lösungen nachzudenken sowie eigene Ideen einzubringen, wie sie Si­cher­heits­vorgaben einhalten und gleichzeitig effizient arbeiten können. So lassen sich gemeinsam Lösungen finden, die Si­cher­heit und Produktivität verbinden.

• 3. Lernen durch Erfahrung: Trainings mit realistischen Szenarien – zum Beispiel Phishing oder Ransomware – fördern nachhaltiges Verständnis. Die Teilnehmer erleben hautnah in einer realitätsnahen Umgebung, die typische Arbeitsplätze in kleinen und mittleren Unternehmen abbildet, wie Cyberangriffe ablaufen. So entsteht ein tiefes, nachhaltiges Verständnis für IT-Si­cher­heit. Statt Belehrungen stehen der Mensch und das Erleben im Mittelpunkt.

Insider-Risiken nehmen zu

Mitarbeiter sind das größte Cybersicherheitsrisiko

„Global Threat Intelligence Report 2025“ von Mimecast

Von Phishing bis ClickFix – Cyber­angriffe zielen auf Mitarbeiter

Si­cher­heits­kultur braucht Führung und Gestaltung

Viele Si­cher­heits­maß­nah­men scheitern nicht wegen der Nutzer, sondern weil Vorgaben unrealistisch sind, die Einbindung fehlt und die Kom­mu­ni­ka­ti­on nicht zielgerichtet gestaltet wird. Si­cher­heits­verantwortliche müssen umdenken: Statt auf Erziehung oder Sanktionen zu setzen, ist ein strategischer Perspektivwechsel nötig.

Gefragt ist die Rolle eines empathischen Policy-Architekten, der Si­cher­heits­strategien entwickelt, die nicht nur technisch funktionieren, sondern auch alltagstauglich und überzeugend sind. Ziel ist es, Rahmenbedingungen zu schaffen, in denen sich sicheres Verhalten nahtlos in den Arbeitsalltag integriert. Dafür braucht es Fingerspitzengefühl für Zielkonflikte, Kom­mu­ni­ka­ti­on auf Augenhöhe – und die Fähigkeit, Si­cher­heit als gemeinsamen Unternehmenswert zu verankern.

Über den Autor: Dr. Heiko Roßnagel ist Leiter des Teams Identitätsmanagement am Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO. Seine aktuelle Forschung liegt im Bereich IT-Si­cher­heit und Identitätsmanagement mit einem Fokus auf menschliche Faktoren, Wirtschaftlichkeit und Marktakzeptanz. Dr. Roßnagel hat gemeinsam mit seinem Team das Seminar „IT-Si­cher­heits­richt­li­nien nutzergerecht gestalten und erfolgreich etablieren“ des Fraunhofer IAO entwickelt.

*Quellenangabe zum Experiment: S. Kurowski, N. Fähnrich, H. Roßnagel: On the possible impact of security technology design on policy adherent user behavior. Results from a controlled empirical experiment. In: Si­cher­heit 2018, Lecture Notes in Informatics (LNI), Gesellschaft für Informatik, Bonn, pp. 145-155, 2018

BSI appelliert an Chefetage

In 8 Schritten zum Security-Awareness-Programm

Warum Schatten-KI zu einem wachsenden Sicherheitsrisiko wird

Schatten-KI als Risiko für Sicherheit und Compliance in Unternehmen

(ID:50677833)