Sicherheitskultur aufbauen: Mehr als nur Schulungen

Warum Schulungen allein nicht reichen

Viele Unternehmen setzen auf jährliche Pflichtschulungen und haken das Thema Cybersicherheit damit ab. Die Schulung wird durchgeführt, der Nachweis archiviert, der nächste Termin steht in zwölf Monaten. Formal ist alles korrekt. Praktisch ändert sich wenig.

Das Problem liegt nicht an den Schulungen selbst. Es liegt daran, dass Schulungen nur ein Baustein sind. Wer Sicherheitsvorfälle nachhaltig reduzieren will, braucht eine Sicherheitskultur. Damit ist gemeint: Sicherheitsbewusstes Verhalten wird zur Gewohnheit statt zur Pflichtübung.

Studien des BSI und der ENISA zeigen seit Jahren dasselbe Bild: Über 80 Prozent aller erfolgreichen Cyberangriffe beginnen mit menschlichem Fehlverhalten. Phishing-Mails werden geöffnet, Passwörter wiederverwendet, USB-Sticks eingesteckt. Schulungen vermitteln das Wissen, diese Fehler zu vermeiden. Ob das Wissen im Alltag angewendet wird, entscheidet die Kultur.

Was eine Sicherheitskultur ausmacht

Eine Sicherheitskultur zeigt sich nicht in Dokumenten. Sie zeigt sich im Verhalten. Konkret bedeutet das:

• Mitarbeitende melden verdächtige E-Mails ohne Angst vor Konsequenzen oder Spott.
• Führungskräfte leben Sicherheit vor und umgehen keine Richtlinien.
• Sicherheit wird als gemeinsame Aufgabe verstanden statt als Zuständigkeit der IT-Abteilung.
• Fehler werden offen besprochen statt vertuscht.
• Neue Risiken werden aktiv kommuniziert statt in internen Rundschreiben begraben.

Diese Verhaltensweisen lassen sich nicht per Dienstanweisung erzwingen. Sie entstehen durch kontinuierliche Impulse, Vorbilder und die richtige Infrastruktur.

Die Rolle der Geschäftsführung

Sicherheitskultur beginnt oben. Wenn die Geschäftsführung Passwörter auf Post-its schreibt oder Sicherheitsrichtlinien als Hindernis behandelt, wird kein Mitarbeitender sich anders verhalten. NIS2 macht das explizit: Artikel 20 verpflichtet die Leitungsorgane, Schulungen zu absolvieren und die Umsetzung von Sicherheitsmaßnahmen zu überwachen.

Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen an Schulungen teilnehmen und sollen entsprechende Schulungen für ihre Mitarbeitenden regelmäßig anbieten. — NIS2-Richtlinie, Artikel 20 Abs. 2

Das ist mehr als ein formaler Akt. Geschäftsführer, die selbst an Phishing-Simulationen teilnehmen und Sicherheitsvorfälle in Management-Meetings besprechen, senden ein klares Signal: Dieses Thema hat Priorität.

Drei konkrete Maßnahmen für die Geschäftsführung:

1. Regelmäßig an Schulungen teilnehmen und das sichtbar kommunizieren.
2. Sicherheitskennzahlen in die Regelberichterstattung aufnehmen (z. B. Phishing-Klickraten, offene Schwachstellen, Schulungsquoten).
3. Budget für Sicherheitsmaßnahmen bereitstellen, das über die Minimalanforderungen hinausgeht.

Praktische Bausteine einer Sicherheitskultur

Neben Schulungen gibt es eine Reihe von Maßnahmen, die Sicherheitsverhalten im Alltag verankern. Keine davon ist aufwendig. Entscheidend ist die Regelmäßigkeit.

Phishing-Simulationen

Regelmäßige Phishing-Tests zeigen, wie Mitarbeitende unter realistischen Bedingungen reagieren. Wichtig: Das Ziel ist nicht, Einzelne bloßzustellen. Es geht darum, Schwachstellen zu erkennen und gezielt nachzuschulen. Unternehmen, die monatlich simulieren, senken ihre Klickraten nachweislich um 60 bis 80 Prozent innerhalb eines Jahres.

Kurze Sicherheitshinweise statt langer E-Mails

Einmal pro Woche ein konkreter Tipp im Intranet oder per Chat. Kein Roman. Ein Satz, ein Beispiel, eine Handlungsempfehlung. Zum Beispiel: „Prüfen Sie vor dem Klick, ob der Absender zur angezeigten Domain passt." Solche Micro-Learnings halten das Thema präsent, ohne zu überfordern.

Meldewege vereinfachen

Wenn Mitarbeitende fünf Minuten suchen müssen, um eine verdächtige E-Mail zu melden, tun sie es nicht. Ein Button im E-Mail-Client oder eine einfache Weiterleitung an eine zentrale Adresse senkt die Hemmschwelle erheblich. Jede Meldung sollte eine kurze Rückmeldung erhalten: „Danke, wir prüfen das."

Sicherheitschampions in Abteilungen

Benennen Sie in jeder Abteilung eine Ansprechperson für Sicherheitsfragen. Diese Person muss kein IT-Experte sein. Sie ist Bindeglied zwischen IT-Sicherheit und Fachabteilung, gibt Impulse weiter und sammelt Fragen. Das verteilt die Verantwortung und bringt Sicherheit näher an den Arbeitsalltag.

Vorfälle transparent aufarbeiten

Wenn ein Sicherheitsvorfall eintritt, kommunizieren Sie intern offen. Was ist passiert? Wie wurde reagiert? Was wird geändert? Diese Transparenz zeigt, dass Fehler zum Lernen genutzt werden statt zur Bestrafung. Das BSI empfiehlt in seinen Lageberichten ausdrücklich eine offene Fehlerkultur als Schutzfaktor.

Sicherheitskultur messen

Was sich nicht messen lässt, lässt sich nicht steuern. Für Sicherheitskultur gibt es pragmatische Kennzahlen:

• Phishing-Klickrate: Anteil der Mitarbeitenden, die auf simulierte Phishing-Mails klicken. Zielwert unter 5 Prozent.
• Meldequote: Wie viele verdächtige E-Mails werden pro Monat gemeldet? Steigende Zahlen sind ein gutes Zeichen.
• Schulungsabschlussrate: Anteil der Mitarbeitenden, die Pflichtschulungen fristgerecht absolvieren.
• Time-to-Report: Wie schnell melden Mitarbeitende einen erkannten Vorfall?
• Wiederholungstäter: Wie viele Mitarbeitende fallen wiederholt auf Phishing-Simulationen herein?

Diese Kennzahlen gehören in regelmäßige Berichte an die Geschäftsführung. Sie machen sichtbar, ob Maßnahmen wirken oder angepasst werden müssen.

NIS2 und DSGVO als Treiber

Sowohl NIS2 als auch die DSGVO fordern organisatorische Maßnahmen, die über technische Lösungen hinausgehen. NIS2 verlangt in Artikel 21 explizit „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit". Die DSGVO fordert in Artikel 39 die Sensibilisierung der Mitarbeitenden.

Auditoren prüfen nicht nur, ob Schulungen stattgefunden haben. Sie prüfen auch, ob das Unternehmen nachweisbar an der Wirksamkeit arbeitet. Eine dokumentierte Sicherheitskultur-Strategie mit messbaren Zielen zeigt Auditoren, dass Sie über das Minimum hinausgehen.

Das bedeutet konkret: Dokumentieren Sie nicht nur Schulungsteilnahmen. Dokumentieren Sie auch Phishing-Simulationsergebnisse, Meldequoten und die Maßnahmen, die Sie daraus ableiten. Plattformen wie Titan ermöglichen es, diese Nachweise zentral zu erfassen und für Audits bereitzuhalten.

Häufige Fehler beim Aufbau einer Sicherheitskultur

Einige Ansätze klingen gut, wirken aber kontraproduktiv:

• Angstbasierte Kommunikation: Wer Mitarbeitende mit Horrorszenarien überflutet, erzeugt Abstumpfung statt Aufmerksamkeit.
• Schulungen als Strafe: Wenn Nachschulungen als Bestrafung für Fehler wahrgenommen werden, sinkt die Meldebereitschaft.
• Einmalige Kampagnen: Ein Security-Awareness-Monat pro Jahr verpufft. Sicherheitskultur braucht kontinuierliche Arbeit.
• Zu viele Regeln auf einmal: Wer 50 neue Richtlinien gleichzeitig einführt, überfordert die Organisation. Besser: schrittweise einführen und verankern.
• IT-Abteilung allein verantwortlich machen: Sicherheit ist eine Querschnittsaufgabe. Wenn nur die IT zuständig ist, fühlt sich niemand sonst angesprochen.

So starten Sie

Sie müssen nicht alles gleichzeitig umsetzen. Ein pragmatischer Einstieg in drei Schritten:

1. Ist-Zustand erheben: Führen Sie eine Phishing-Simulation durch und messen Sie die aktuelle Klickrate. Prüfen Sie, ob ein einfacher Meldeweg existiert.
2. Zwei bis drei Maßnahmen starten: Regelmäßige Phishing-Simulationen, wöchentliche Sicherheitstipps und ein Meldebutton im E-Mail-Client decken die wichtigsten Bereiche ab.
3. Ergebnisse messen und berichten: Nach drei Monaten die Kennzahlen auswerten und an die Geschäftsführung berichten.

Plattformen wie Titan bündeln Schulungsverwaltung, Phishing-Simulationen und Nachweisdokumentation an einem Ort. Das erleichtert den Einstieg und schafft die Datenbasis für eine nachhaltige Sicherheitskultur.