13. Oktober 2023 • Cyber security
Die meisten Sicherheitsprogramme konzentrieren sich auf Technologie und Prozesse. Für die meisten CISOs ist das der einfache Teil. Dafür wurden sie ausgebildet.
Der schwierige Teil, der selbst die besten Sicherheitsstrategien scheitern lässt, sind die Menschen.
Menschen ignorieren Passwort-Manager. Menschen klicken auf Phishing-Links. Menschen lassen Laptops in Taxis liegen. Und wenn Sie ein CISO sind, wissen Sie bereits: Keine noch so gute Tool-Ausstattung kann eine Kultur reparieren, die Sicherheit nicht ernst nimmt.
Dieser Leitfaden behandelt den schwierigeren Teil. Es geht darum, eine echte Security Awareness Kultur aufzubauen. Keine, die nur ein Kästchen abhakt, sondern eine, die tatsächlich Verhaltensweisen ändert.
Was ist eine Security Awareness Kultur?
Kultur ist kein Leitbild, kein Richtliniendokument und kein jährliches Training. Sie ist die Summe dessen, was Menschen glauben und wie sie sich verhalten, besonders wenn niemand zuschaut.
In einem Unternehmen mit einer starken Security Awareness Kultur:
- Mitarbeiter wissen, welche Bedrohungen relevant sind.
- Sie verstehen, was erwartet wird.
- Sie setzen dieses Wissen um, ohne dass es ihnen gesagt werden muss.
Warum ist das wichtig? Weil fast jeder Sicherheitsvorfall – tatsächlich 95 % – auf menschliches Versagen zurückzuführen ist. Den falschen Link anklicken. Das falsche Passwort wiederverwenden. Die falsche Datei über das falsche WLAN herunterladen.
Und je verteilter Ihre Belegschaft ist, desto höher sind die Risiken. Man kann nicht alles erzwingen. Es ist wichtig, dass die Mitarbeiter Verantwortung übernehmen.
Eine Security Awareness Kultur verwandelt passive Risiken in proaktive Verteidigung. Aber das geschieht nicht zufällig. Es erfordert ein Konzept.
So bauen Sie es auf.
1. Beginnen Sie an der Spitze (oder hören Sie auf, bevor Sie anfangen)
Sicherheitskultur beginnt dort, wo die Unternehmenskultur beginnt: bei der Führung.
Wenn Ihr CEO nicht über Sicherheit spricht, wird es niemand anderes tun. Wenn Führungskräfte das Training auslassen, wird es jeder andere auch tun. Und wenn Ihr Vorstand Sicherheit als Kostenfaktor sieht, raten Sie, wie sie Ihre Initiativen sehen werden?
Deshalb ist Ihre erste Aufgabe nicht Security Awareness Training. Es ist die interne Akzeptanz.
Nutzen Sie ein einfaches Dashboard, das zeigt, wie sich das Bewusstsein verbessert – oder wo es mangelt. Berichten Sie regelmäßig über die Anzahl der gemeldeten Cyber-Risiken, die Teilnahme am Training und welche Themen die größte Aufmerksamkeit erfordern. Ziel ist es, die Sicherheitskultur zu einer unternehmensweiten Priorität zu machen, nicht zu einem Nebenprojekt.
Sobald die Führungsebene abgestimmt ist, gehen Sie eine Ebene tiefer. Abteilungsleiter und Teamleiter sind Ihre Multiplikatoren. Geben Sie ihnen Einblick in die Leistung ihres Teams. Bitten Sie um Feedback und machen Sie sie zu Mitverantwortlichen für die Ergebnisse.
Tipp: Wenn Sie Dutzende von Stakeholdern managen, nutzen Sie einen einfachen Tracker oder eine Stakeholder-Map. Verlieren Sie nicht den Überblick.
2. Definieren Sie Ihre Marke, bevor es andere tun
Jedes Sicherheitsprogramm hat einen Ruf – ob Sie ihn aktiv gestaltet haben oder nicht.
Manche werden als Blocker wahrgenommen. Andere als Verbündete. Wenn Sie möchten, dass Ihre Organisation sich engagiert, definieren Sie, wie Sie auftreten.
Erstellen Sie ein Security Brand Statement. Dies ist kein Slogan – es ist ein interner Leitfaden, der echte Fragen beantwortet:
- Wen rufen wir an, wenn sich etwas komisch anfühlt?
- Wie wird die Security reagieren?
- Welche Verhaltensweisen belohnen wir?
Dann, anstatt es nur zu verbreiten, leben Sie es. Wie CISO Jadee Hanson es ausdrückt: „Kommunizieren Sie es nicht – feiern Sie es.“ Wenn jemand einen Phishing-Versuch meldet, nennen Sie seinen Namen in Slack. Wenn ein Team hervorragende Trainingsergebnisse erzielt, erwähnen Sie es im All-Hands-Meeting. Social Proof > Richtliniendokument.
Kultur ist ansteckend, wenn sie sichtbar ist.
3. Wöchentlich trainieren (oder gar nicht)
Die meisten Unternehmen führen Sicherheitsschulungen ein- bis zweimal jährlich durch. Meistens, um eine Compliance-Anforderung zu erfüllen, nicht weil sie wirklich eine spürbare Verhaltensänderung bei ihren Mitarbeitern erwarten.
Echte Verhaltensänderung erfordert Wiederholung. Forschungsergebnisse zeigen, dass 90 % dessen, was Menschen in einer einmaligen Sitzung lernen, innerhalb von 24 Stunden vergessen wird, geschweige denn in 4 Wochen. Sie müssen Awareness wie einen Muskel behandeln – etwas, das über die Zeit aufgebaut wird.
Die besten Programme sind kurz, häufig und auf reale Szenarien ausgerichtet:
- Phishing & Smishing
- Sicheres Remote-Arbeiten
- CEO Fraud
- Software-Updates
- Ransomware-Hygiene
Verlassen Sie sich nicht darauf, dass interne Experten dies manuell vermitteln. Lehren ist eine eigene Fähigkeit – und die meisten Security-Teams haben weder die Zeit noch die Erfahrung, ansprechende Lehrpläne zu erstellen.
Nutzen Sie eine Lösung, die auf Verhaltensänderung ausgelegt ist. Guardey bietet beispielsweise wöchentliche 3-minütige gamifizierte Challenges, die von Security-Experten und Bildungsspezialisten entwickelt wurden. Sie ist leicht, konsistent und messbar.
4. Überkommunizieren (und dann erneut kommunizieren)
Sicherheit bleibt nur dann im Bewusstsein, wenn man sie aktiv dort hält.
So wie eine starke Unternehmenskultur erfordert, dieselben Werte immer wieder zu wiederholen, benötigt eine starke Security Culture eine fortlaufende, sichtbare Kommunikation.
Das bedeutet:
- Teilen von Updates und Erfolgen in öffentlichen Kanälen
- Hervorhebung der Teamleistung in Trainings-Dashboards.
- Würdigung schneller Vorfallmeldungen
- Fragen öffentlich beantworten, nicht nur in DMs
Beispiel: „Peter hat diese Woche eine verdächtige E-Mail entdeckt und gemeldet, bevor jemand darauf geklickt hat. Solche Wachsamkeit schützt uns alle. 🙌“
Bei Royal Koopmans wurde sogar ein Pokal an die Abteilung verliehen, die an der Spitze der Bestenliste ihrer Security Awareness Plattform landete.
Wenn Menschen sehen, dass Verhalten anerkannt wird, ahmen sie es nach.
Wichtig ist auch: Machen Sie Ihr Sicherheitsteam leicht erreichbar. Wenn jemand unsicher ist, ob er etwas melden soll, könnte dieses Zögern Sie teuer zu stehen kommen.
5. Messen, was wichtig ist (und was nicht in Berichten erscheint)
Die meisten CISOs verfolgen Teilnahmequoten, Quiz-Ergebnisse oder Phishing-Simulations-Klickraten.
Diese sind nützlich – aber es sind nachlaufende Indikatoren.
Die aussagekräftigeren Signale sind oft schwerer zu verfolgen:
- Melden Mitarbeiter im Laufe der Zeit mehr Vorfälle?
- Erkennen Teams potenzielle Risiken, bevor diese eskalieren?
- Sehen Sie organische Gespräche über Sicherheit außerhalb Ihrer Abteilung?
Das ist der Unterschied zwischen Compliance und Kultur. Wenn Ihre Mitarbeiter anfangen, sich gegenseitig zur Rechenschaft zu ziehen – wenn sie anfangen, Fragen zu stellen, bevor neue Tools eingeführt werden – dann haben Sie die Fluchtgeschwindigkeit erreicht.
Möchten Sie diese Erkenntnisse beschleunigen? Führen Sie regelmäßige Pulsbefragungen durch. Stellen Sie offene Fragen. Nutzen Sie das Gelernte, um Ihre Schulungen und Kommunikationsmaßnahmen zu verfeinern.
Schließen Sie dann den Kreis. Zeigen Sie, wie Mitarbeiterfeedback Ihre Strategie geprägt hat.
Kultur ist die wahre Firewall
Die meisten Unternehmen behandeln Sicherheitskultur immer noch wie ein Nebenprojekt. Doch die Wahrheit ist: Sie ist Ihre einzige nachhaltige Verteidigung.
Software entwickelt sich weiter. Bedrohungen entwickeln sich weiter. Doch wenn Sie eine Kultur etablieren, in der jeder Mitarbeiter Verantwortung übernimmt, sind Ihre Chancen, Risiken zu mindern, überdurchschnittlich hoch.
Einmal jährliche Schulungen reichen dafür nicht aus. Sie erreichen es durch Konsistenz, Klarheit und eine Führung, die mit gutem Beispiel vorangeht.
