Anhoren
Teilen
Der Faktor Mensch ist das größte Cybersicherheitsrisiko, heißt es oft. Doch unser Kolumnist Thomas Bail weiß: Echte Sicherheit braucht mehr als Schulungen. Für ihn ist IT-Sicherheit auch eine Frage von Gewohnheit, Haltung und Organisationskultur.
„Warum hast du auf den Link geklickt?“ – „Weil ich’s eilig hatte.“ So beginnt mehr als nur ein Sicherheitsvorfall. Es beginnt mit einem Klick im Stress, einem Reflex zwischen zwei Meetings. Und manchmal endet es in einem Datenchaos aus verschlüsselten Dateien, einem Datenabfluss oder einem digitalen Stillstand.
Awareness-Programme setzen genau hier an – sie warnen, erklären, schulen. Doch im entscheidenden Moment reicht Wissen oft nicht. Man klickt nicht, weil man naiv ist – sondern weil man überlastet, abgelenkt oder im Autopilot ist. Und genau deshalb ist Sicherheit keine Frage der Information, sondern des Verhaltens – vor allem dann, wenn Risiken nicht unmittelbar spürbar sind.
Cybersicherheit bleibt oft abstrakt. Kein Rauch, kein Alarm, kein sichtbares Problem. Das macht Lernen schwierig – ohne Feedback bleibt das Risikogefühl diffus. Deshalb ist IT-Sicherheit nicht nur eine technische Disziplin – sie ist vor allem eine Frage von Gewohnheit, Haltung und Organisationskultur.
Warum viele Awareness-Programme im Alltag scheitern
Viele Unternehmen und Organisationen haben das Thema Awareness inzwischen verinnerlicht. Man kennt die Risiken, zeigt eine PowerPoint, macht einen kurzen Test – und hakt es ab wie die Feuerlöscherkontrolle im Flur. Tatsächlich haben Awareness und Feuerlöscher dieser Tage viel gemein: In der Regel weiß man, wo er hängt – aber nicht, wie man ihn benutzt.
Awareness funktioniert nicht als Einmalmaßnahme. Sie muss im Alltag ankommen – im Verhalten, in der Sprache, im Umgang mit Stress. Dort, wo Entscheidungen tatsächlich getroffen werden. Phishing-Schulungen zeigen meist Beispiele, erklären Emotionen wie Neugier oder Zeitdruck – und bleiben doch theoretisch. Geklickt wird trotzdem. Nicht aus Unwissen, sondern aus Überlastung. Entscheidend ist die Aufmerksamkeit im Moment, nicht das Wissen von gestern.
Genau deshalb reicht es nicht, nur zu erklären, was ein Phishing-Angriff ist. Es muss auch geübt werden, wie man mit E-Mails insgesamt umgeht. Ein möglicher Weg: feste Zeiten für die E-Mail-Bearbeitung. Wer nicht im Autopilot reagiert, sondern bewusst entscheidet, reduziert das Risiko.
Hinzu kommt ein weiterer Faktor, der oft übersehen wird: Stress. Der entsteht nicht durch Sicherheitslücken, sondern durch die Art, wie wir über sie sprechen. Begriffe wie Vishing, Quishing oder MFA-Fatigue klingen für viele wie Fremdwörter – abstrakt, wechselhaft, ohne Bezug zum eigentlichen Job. Wenn sich die Bedrohungslage alle drei Wochen ändert und jedes Update neue Begriffe bringt, die niemand richtig einordnen kann, erzeugt das Unsicherheit. Und genau daraus entsteht Stress: nicht aus der Technik, sondern aus der fehlenden Greifbarkeit.
Sicherheitsbewusstsein entsteht nicht durch PowerPoint-Folien – sondern durch Wiederholung, Relevanz und persönliche Betroffenheit. Und es setzt voraus, dass Awareness in den Arbeitsalltag integriert wird – nicht obendrauf kommt.
Sicherheit hört nicht an der Bürotür auf
Ein oft übersehener Hebel ist zudem das private Umfeld. Die meisten Sicherheitskampagnen enden am Arbeitsplatz. Dabei beginnt nachhaltiges Lernen genau dort, wo die Menschen nicht gerade im Sicherheitsmodus sind. Wer privat Phishing erkennt, erkennt es auch in Dienstmails. Wer mit den eigenen Kindern über Datenschutz spricht, begreift digitale Risiken besser. Und wer merkt, dass Awareness auch im Alltag nützt, entwickelt eine neue Haltung. Awareness, die über den Arbeitsplatz hinauswirkt, verändert nicht nur Verhalten, sondern schafft Verständnis – und genau das ist der Nährboden für echte Sicherheitskultur. Denn klar ist: Die Trennung zwischen „beruflich“ und „privat“ ist eine Illusion. Angreifer unterscheiden nicht – warum sollten wir es tun?
Nur der Anfang – nicht das Ziel
Awareness ist wichtig. Aber sie ist nur der Anfang. Wer Cybersicherheit dauerhaft verankern will, braucht mehr als Informationen – er braucht Veränderung. Nicht punktuell, sondern im Denken, im Handeln und in der Kultur der Organisation.
Damit diese Veränderung gelingt, braucht es mehr als Schulungen und Kampagnen. Es braucht einen strukturierten Wandel – einen echten Veränderungsprozess. Dafür gibt es verschiedene Modelle:
- Das ADKAR-Modell beschreibt fünf Schritte: Awareness, Desire, Knowledge, Ability, Reinforcement. Es eignet sich besonders für sicherheitsrelevante Themen, weil es direkt am individuellen Verhalten ansetzt – dort, wo Phishing, Passwortwahl oder der Umgang mit IT-Systemen tatsächlich entschieden wird.
- Kotters 8-Stufen-Modell betont die Rolle von Führung, Dringlichkeit und sichtbaren Erfolgen. Es passt gut zu größeren Transformationen, etwa beim Aufbau einer Sicherheitskultur.
- Das Lewin-Modell unterteilt Veränderung in drei Phasen: Auftauen, Verändern, Verfestigen – ein einfaches, klares Modell, das besonders für einzelne Awareness-Maßnahmen geeignet ist.
Veränderung gelingt nur, wenn neue Routinen gelebt werden – nicht einmal, sondern regelmäßig. Relevanz im Alltag, Wiederholung, Orientierung durch Vorbilder – das sind die Bausteine nachhaltiger Veränderung.
Denn nur wenn Organisationen Sicherheit nicht als IT-Checkliste behandeln, sondern als etwas, das sich über Zeit im Verhalten manifestiert, entsteht echte Veränderung. Und nur dann entsteht, was viele fordern, aber nur wenige wirklich umsetzen: eine belastbare Sicherheitskultur.
Von der Schulung zur Sicherheitskultur
Awareness ist also eindeutig nicht genug. Wer nur informiert, wird ignoriert. Wer verändern will, muss Verhalten gestalten – und zwar konsequent und dauerhaft. Wir müssen aufhören, IT-Sicherheit wie ein Pflichtprogramm zu behandeln, das man einmal im Jahr abhakt. Sicherheitskultur entsteht nicht aus Excel-Listen und Zertifikaten, sondern im Verhalten unter Zeitdruck, bei der E-Mail kurz vor Feierabend oder in der Entscheidung, einen Link eben nicht zu öffnen.
Es reicht nicht, Appelle zu senden – es braucht Vorbilder, Routinen und Organisationen, die Sicherheit wirklich leben wollen. Nicht nur, weil sie müssen. Sondern weil sie verstanden haben, dass es anders nicht funktioniert. Sicherheitskultur beginnt nicht mit dem nächsten Awareness-Modul. Sie beginnt da, wo Verhalten sich ändert – und zwar jeden Tag.
Thomas Bail ist Geschäftsführer der Wolkenwerft GmbH. Mit 30 Jahren IT-Erfahrung legt er seinen Schwerpunkt auf Cybersecurity, insbesondere auf autonome Penetrationstests. Seine Leidenschaft liegt in der Reduzierung der Komplexität im Bereich Security, um Unternehmen einfacher und effizienter vor Bedrohungen zu schützen.
