Security Awareness beschränkt sich in vielen Unternehmen noch immer auf zweimal jährliche Pflichtveranstaltungen mit einem simplen Quiz. Die Folge: Mitarbeitende empfinden die Trainings als lästig, spulen sie ab und entwickeln eine gleichgültige Haltung gegenüber Sicherheitshinweisen. Dabei ist die Bedrohungslage komplexer denn je – Angreifer nutzen nicht nur Phishing-Mails, sondern auch Deepfake-Telefonate, WhatsApp-Nachrichten und Social Engineering. Wer seine Belegschaft wirklich sensibilisieren will, muss über standardisierte Tests hinausdenken.
Warum klassische Security-Awareness-Trainings oft scheitern
Ein typisches Beispiel aus der Praxis: Ein Quiz fragt: „Welches der folgenden Passwörter ist unsicher: 0000, 1234, meinpasswort, Stuhl&4/ oder name01?“ Solche Fragen sind nicht nur banal, sie verfehlen jegliches Lernziel. Statt Kompetenz zu fördern, erzeugen sie Frustration und Langeweile. Die Mitarbeitenden merken, dass die Trainings lieblos zusammengestellt sind, und schalten innerlich ab. Die Folge ist eine „Ist-mir-egal“-Haltung, die Sicherheitsrisiken sogar noch vergrößert, weil die Sensibilisierung nicht im Alltag ankommt.
Hinzu kommt, dass die meisten Programme keine Differenzierung nach Zielgruppen vornehmen. Die Geschäftsführung wird häufig mit CEO-Fraud angegriffen, während Marketingteams über soziale Netzwerke ins Visier genommen werden. Die IT-Abteilung selbst ist durch ihre erhöhten Berechtigungen ein besonders lohnendes Ziel. Ein Einheitskurs kann diese spezifischen Gefahren nicht abdecken. Florian Straßer, Prokurist und Incident Manager bei @-yet, weist darauf hin, dass auch die Sensibilisierung der Geschäftsführung und der IT-Abteilung oft vernachlässigt wird – ein kritischer Fehler.
Die menschliche Firewall – mehr als nur ein Schlagwort
Der Begriff „Human Firewall“ beschreibt die Mitarbeitenden als letzte Verteidigungslinie. Doch diese Firewall ist nur dann wirksam, wenn sie kontinuierlich trainiert und mit den richtigen Werkzeugen ausgestattet wird. Die Angreifer entwickeln ständig neue Methoden: Deepfake-Anrufe imitieren die Stimme von Vorgesetzten, WhatsApp-Nachrichten täuschen dringende Anfragen vor. Dagegen helfen keine einmaligen Tests, sondern ein ständiges Bewusstsein für die aktuellen Tricks. Michael Hasselbusch, Geschäftsführer der Agentur Jaeger und Hackerhase, setzt deshalb auf kreative Kommunikationsformate, die Cybersicherheit erlebbar machen und positive Anreize schaffen.
Was eine effektive Security-Awareness-Strategie ausmacht
Eine wirksame Strategie zeichnet sich durch drei Merkmale aus: Kontinuität, Rollenspezifität und Kreativität. Statt jährlicher Großveranstaltungen sind regelmäßige, kurze Lerneinheiten gefragt, die in den Arbeitsalltag integriert werden können. Die Inhalte müssen auf die spezifischen Aufgaben und Kommunikationswege der Mitarbeitenden zugeschnitten sein. Zudem sollten die Trainings nicht nur warnen, sondern auch positive Verstärkung bieten – etwa durch Gamification, Anerkennung oder humorvolle Elemente. Nur so bleibt die Aufmerksamkeit langfristig erhalten.
Was also ist das Ziel? Eine Security-Awareness-Strategie soll die Mitarbeitenden befähigen, verdächtige Aktivitäten zu erkennen und richtig zu handeln. Dabei geht es nicht darum, jeden zum Sicherheitsexperten zu machen, sondern eine Kultur der Wachsamkeit zu etablieren. Die Investition in solche Programme zahlt sich aus: Studien zeigen, dass Unternehmen mit hoher Awareness-Bereitschaft die Kosten von Cybervorfällen deutlich senken können.
Security Awareness als Geschäftsfeld für Systemhäuser
Für IT-Dienstleister und Systemhäuser eröffnet sich hier ein lukrativer Markt. Immer mehr Unternehmen suchen nicht nur einmalige Schulungen, sondern langfristige Partnerschaften, die regelmäßig aktualisiert werden. Auch Cyberversicherungen verlangen zunehmend den Nachweis effektiver Sicherheitsmaßnahmen. Wer Awareness als kontinuierlichen Service anbietet, kann wiederkehrende Umsätze generieren und sich als vertrauenswürdiger Berater positionieren. Die Agentur Jaeger und Hackerhase hat mit ihrer eigenen Security-Awareness-Unit gezeigt, wie kreative Formate Begeisterung für Sicherheitsthemen wecken können – ein Ansatz, der sich auch auf Systemhäuser übertragen lässt.
Die digitale Transformation schreitet voran, und mit ihr die Methoden der Angreifer. Security Awareness ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Unternehmen, die jetzt in umfassende, flexible und zielgruppengerechte Programme investieren, schaffen eine nachhaltige Sicherheitskultur. Die Devise lautet: Human Firewall statt Human Error – und das braucht mehr als nur Phishing-Tests.
