Der Ausgangspunkt: ein Ritter, der die Schlacht nicht gewinnen würde
Als Elske van der Horst die Position der CISO bei der Gemeinde Nunspeet übernahm, fand sie ein Programm zur Sensibilisierung für Sicherheitsfragen vor, das bereits seit Jahren lief: jede Woche eine Frage, gestellt von einer animierten Figur namens „der Ritter“, ergänzt durch mehrere E-Learning-Module.
Auf dem Papier sah das Programm gut aus. In der Praxis war die Teilnahmequote jedoch auf etwa 50 % gesunken und wollte sich nicht weiter erhöhen, egal was Elske auch versuchte. Gespräche mit den Mitarbeitern machten schnell deutlich, dass der Ansatz nicht mehr zur Organisation passte – und das zu einer Zeit, in der neue Anforderungen eigentlich ein stärkeres Engagement für Informationssicherheit und Datenschutz erforderten.
„Mir war sofort klar: Diesen Kampf gegen den Ritter werde ich nicht gewinnen.“
Also machte sich Elske gemeinsam mit dem damaligen Datenschutzbeauftragten auf die Suche nach einer Alternative. Mit klaren Anforderungen erkundeten sie den Markt. Keine Schulungen, die stark auf Videos setzten, da Mitarbeiter in Großraumbüros den Ton wahrscheinlich nicht einschalten würden. Und sie wollten umfassende Inhalte, die nicht nur Informationssicherheit und Datenschutz abdeckten, sondern auch Themen wie das KI-Gesetz und das Gesetz zur Transparenz der Verwaltung.
Wichtiger als jede einzelne Anforderung war jedoch vor allem eines: Es musste zur Organisation selbst passen.
Als Elske auf Guardey stieß und hörte, dass eine andere Gemeinde das System bereits erfolgreich einsetzte, beschloss Nunspeet, ein Pilotprojekt mit Botschaftern aus verschiedenen Bereichen der Organisation durchzuführen. Alle Teilnehmer waren sofort begeistert. Für Elske war das der Moment, in dem sie wusste, dass sie die richtige Lösung gefunden hatten.
Warum dieser Ansatz so gut ankam
Eines der ersten Dinge, die auffielen, war, wie vertraut sich alles anfühlte. Anstelle von distanzierten Stockfotos zeigen die Illustrationen Menschen in Situationen, die Mitarbeiter aus ihrem eigenen Arbeitsalltag wiedererkennen: beim Checken des Handys, beim Sitzen vor einem Bildschirm oder beim Umgang mit einer vertrauten Situation am Arbeitsplatz. Elske schätzte auch die Vielfalt der Figuren, bei denen verschiedene Geschlechter und Hautfarben dargestellt sind, wodurch es den Menschen leichter fällt, sich in dem Gesehenen wiederzuerkennen.
Was diesem Ansatz jedoch erst richtig zum Durchbruch verhalf, war der Spielcharakter.
Die Gemeinde Nunspeet ist von Natur aus eine wettbewerbsorientierte Organisation, und es dauerte nicht lange, bis sich dies zeigte. Team gegen Team, jüngere Kollegen gegen ältere, Mitarbeiter, die ihre Ergebnisse verglichen und sich gegenseitig herausforderten, um mithalten zu können. Elske musste die Leute nicht mehr selbst antreiben, da die Kollegen dies bereits untereinander taten.
Und die Mitarbeiter haben die Fragen nicht einfach nur beantwortet und dann weitergemacht. Sie haben angefangen, darüber zu sprechen.
Manche kamen zu Elske, weil sie nicht verstanden, warum sie eine Frage falsch beantwortet hatten. Andere gaben offen zu, dass sie eine Antwort nachgeschlagen oder einen Kollegen um Hilfe gebeten hatten. Für Elske war genau das der springende Punkt. Die Teilnehmer setzten sich aktiv mit den Inhalten auseinander, anstatt einfach nur eine weitere Fortbildungsanforderung abzuhaken.
„Wir sind eine wettbewerbsorientierte Organisation, und das hat sich sofort gezeigt. Team gegen Team, Jung gegen Alt – alle vergleichen ihre Ergebnisse miteinander. Ich muss niemanden mehr antreiben, das übernehmen die Kollegen gegenseitig. Und sie beantworten nicht einfach nur die Frage und machen dann weiter, sondern sie diskutieren tatsächlich darüber.“
Eine Adoption geschieht nicht von selbst
Die Gemeinde Nunspeet nahm Guardey im März 2026 in Betrieb, doch Elske wusste, dass die bloße Einführung einer neuen Plattform nicht automatisch zu einer höheren Beteiligung führen würde.
Gemeinsam mit dem CISO, dem Datenschutzbeauftragten, dem Datenschutzbeauftragten für den Datenschutz, dem Systemadministrator und sogar dem Koordinator der Gemeinde für das Gesetz über offene Verwaltung plante sie die Einführung sorgfältig. Die Kommunikationsvorlagen von Guardey dienten als Ausgangspunkt, doch das Team formulierte alles im eigenen Stil der Gemeinde um und legte im Vorfeld der Einführung mindestens zwei Kommunikationstermine pro Woche fest.
Auch die Führungskräfte waren von Anfang an eingebunden. Jeder Teamleiter erhielt eine kurze Präsentation und wurde ausdrücklich darauf hingewiesen, dass er eine wichtige Rolle dabei spiele, seine Teams für das Projekt zu gewinnen. Das Führungsteam wurde gebeten, die Einführung durch interne Kommunikation zu unterstützen und – was ebenso wichtig war – selbst aktiv mitzuwirken.
Und dann war da noch der Preis.
Die Gemeinde Nunspeet stellte für das Team mit den meisten Punkten ein Team-Grillfest als Preis aus. Kein Symbolpreis, sondern etwas, das sich die Leute wirklich wünschten. Essen ist in Nunspeet eine ernste Angelegenheit, und so wollten plötzlich alle dieses Grillfest gewinnen. Die Kollegen ermahnten sich gegenseitig, ihre Aufgaben zu erledigen, weil sie wollten, dass ihr Team als Sieger hervorgeht.
Der Ansatz hat sich seitdem weiterentwickelt. Anstatt jedes Mal das Team mit der besten Leistung zu belohnen, kann nun die Person mit der höchsten Punktzahl innerhalb jedes Teams einen Preis gewinnen, was auch innerhalb der Teams für einen gesunden Wettbewerb sorgt.
Zur Halbzeit der ersten Saison sorgte Nunspeet für einen zusätzlichen Ansporn: einen „Zwischenpreis“ in Form von „Tony’s Chocolonely“-Tafeln mit der Aufschrift „Winnaar Aanmoedigingsprijs Guardey“. Laut Elske sorgt ein solcher kleiner Preis zur Saisonhalbzeit dafür, dass alle weiter trainieren.
Der große Preis brachte die Sache zwar ins Rollen, doch nach der ersten Saison fiel Elske etwas noch Wichtigeres auf: Die Mitarbeiter brauchten immer weniger Ansporn. Es wurde zur Gewohnheit. „Dienstag“ bedeutete einfach nur noch:„Es ist Dienstag, Zeit für Guardey.“
Das Ergebnis: Anstieg der Beteiligung von 50 % auf 86 %
Vor Guardey lag die Beteiligungsquote in der Gemeinde Nunspeet bei etwa 50 %. Heute liegt sie bei 86 %.
Elske ist mit dieser Zahl sehr zufrieden, vor allem wenn man bedenkt, dass es immer Mitarbeiter geben wird, die für längere Zeit abwesend sind, oder externe Mitarbeiter, die nur wenige Stunden pro Woche für die Gemeinde arbeiten.
Auch die Phishing-Simulationen zeigen eine deutliche Veränderung. Bei der ersten Simulation klickten noch 40 % der Mitarbeiter auf die Links. Nach einer Saison mit Guardey war dieser Anteil auf 20 % gesunken – eine deutliche Verbesserung in nur drei Monaten.
Die größte Veränderung lässt sich jedoch nicht unbedingt anhand der Zahlen erkennen.
Früher wandten sich Mitarbeiter nur selten mit Fragen zu verdächtigen E-Mails oder Sicherheitsvorfällen an Elske. Es herrschte Unklarheit über den Unterschied zwischen Spam, Phishing, Sicherheitsvorfällen und Datenschutzverletzungen, und die Mitarbeiter meldeten solche Vorfälle nicht aktiv.
Mittlerweile rufen Kollegen sie an oder kommen an ihrem Schreibtisch vorbei, um zu fragen, ob eine E-Mail echt ist. Sie wissen, dass sie verdächtige Nachrichten in Outlook melden können, und tauschen sich untereinander darüber aus, was sie durch Guardey gelernt haben. Manchmal sprechen sie sogar darüber, wie sie dieses Wissen zu Hause anwenden.
Dieser zusätzliche Moment der Achtsamkeit macht für Elske den entscheidenden Unterschied aus. Die Mitarbeiter überlegen erst, bevor sie handeln, und sie freut sich aufrichtig darüber. Die Informationssicherheit hat sich von einer Aufgabe, deren Erfüllung von den Mitarbeitern erwartet wurde, zu einem Bestandteil des Arbeitsalltags gewandelt.
Sicherheitsbewusstsein von oben nach unten
Dieser Wandel beschränkt sich nicht nur auf die Mitarbeiter.
Der Betriebsleiter nimmt jede Woche teil, und nun hat sich auch der neue Vorstand der Gemeinde Guardey angeschlossen. Wie wichtig dies ist, wurde besonders während einer Phishing-Kampagne deutlich, als die Gemeinde Nunspeet feststellte, dass Mitarbeiter ohne Guardey-Konto deutlich schlechter abschnitten als Kollegen, die bereits an Schulungen teilgenommen hatten.
Elske nutzte diese Erkenntnis intern, um eine einfache Botschaft zu bekräftigen: Jeder muss mitmachen, auch der Vorstand und die Geschäftsführung. Jeder von uns kann das schwache Glied sein, und je mehr man übt, desto unwahrscheinlicher ist es, dass man auf einen Angriff hereinfällt.
Dieses Engagement der Unternehmensleitung hat dazu beigetragen, dass das Sicherheitsbewusstsein zu einer gemeinsamen Verantwortung des gesamten Unternehmens geworden ist und nicht mehr ausschließlich in den Zuständigkeitsbereich des CISO fällt.
„Bevor wir mit Guardey angefangen haben, haben wir einen Phishing-Test durchgeführt, und vierzig Prozent unserer Mitarbeiter haben auf den Link geklickt. Nach einer Saison mit wöchentlichen Guardey-Herausforderungen haben wir denselben Test erneut durchgeführt, und diesmal haben nur noch zwanzig Prozent darauf geklickt. Das ist ein Rückgang um die Hälfte innerhalb von drei Monaten. Da wurde mir klar, dass dieser Ansatz tatsächlich funktioniert – und nicht nur auf dem Papier.“
Auf Bewährtem aufbauen
Die Gemeinde Nunspeet nutzt nun Erkenntnisse von Guardey, um ihren umfassenden Ansatz zur Sensibilisierung für Sicherheitsfragen noch gezielter zu gestalten.
Bei Phishing-Simulationen kann das Sicherheitsteam beispielsweise spezifische Vorlagen für verschiedene Gruppen verwenden und die Ergebnisse analysieren, um festzustellen, wo zusätzlicher Handlungsbedarf besteht. Teams, die mit einem bestimmten Thema Schwierigkeiten haben, können dann gezieltere Schulungen erhalten.
Elske kombiniert auch weiterhin die wöchentlichen Herausforderungen von Guardey mit Team-Sitzungen und gezielten Schulungen für bestimmte Aufgabenbereiche. Das Ziel besteht nicht einfach darin, die Schulungen zu absolvieren, sondern das Wissen auf dem neuesten Stand zu halten und Situationen weiter zu üben, denen die Mitarbeiter bei ihrer Arbeit tatsächlich begegnen könnten.
Ihr Rat an andere Organisationen, die ein Programm zur Sensibilisierung für Sicherheitsfragen auf den Weg bringen, basiert direkt auf den Erfahrungen der Gemeinde Nunspeet: Die Umsetzung sollte nicht als Nebensache betrachtet werden. Wählen Sie einen Anreiz, um den die Mitarbeiter wirklich wetteifern wollen, und beziehen Sie die Führungskräfte von Anfang an mit ein, damit die Sensibilisierung nicht zu „dem Projekt des CISO“ wird.
Und setzen Sie Botschafter aus dem gesamten Unternehmen ein. Diese können ihre eigenen Erfahrungen mit den Kollegen teilen, was laut Elske oft besser funktioniert, als wenn die Botschaft allein vom CISO vermittelt wird.
Wenn Sicherheit zum Gesprächsthema an der Kaffeemaschine wird
Das vielleicht deutlichste Zeichen für Fortschritt findet man gar nicht in einem Dashboard. Es ist an der Kaffeemaschine.
Die Mitarbeiter vergleichen ihre Punktzahlen, sprechen über Fragen, die sie falsch beantwortet haben, und erinnern sich gegenseitig daran, ihre wöchentliche Herausforderung zu absolvieren. Das Thema Sicherheitsbewusstsein ist mittlerweile zu einem Thema geworden, über das die Kollegen untereinander sprechen, anstatt dass Elske ständig darauf drängen muss.
Heutzutage dreht sich das Gespräch an der Kaffeemaschine eher darum, ob man seine „Guardey“-Herausforderung schon gemeistert hat oder was man von dieser einen kniffligen Frage gehalten hat.
Und genau das ist es, was Elske sich für das Sicherheitsbewusstsein wünscht: dass es Teil der Gespräche und des Arbeitsalltags ist und dass die gesamte Organisation gemeinsam Verantwortung dafür übernimmt.
„Die größte Veränderung findet nicht im Dashboard statt, sondern an meinem Schreibtisch. Vor Guardey hat mich noch nie jemand gefragt, ob eine E-Mail echt aussieht. Die Leute kannten nicht einmal den Unterschied zwischen Spam und einem echten Sicherheitsvorfall. Jetzt kommen Kollegen vorbei oder rufen an, um sich zu vergewissern, bevor sie auf etwas klicken, und sie tauschen sich untereinander darüber aus, was sie gelernt haben – manchmal sogar darüber, wie ihnen das auch zu Hause hilft.“
Sind Sie neugierig, wie eine Beteiligung von 86 % in Ihrem Unternehmen aussehen könnte? Vereinbaren Sie eine Demo, und wir zeigen es Ihnen gerne, oder starten Sie eine kostenlose Testversion und überzeugen Sie sich selbst.
