Cybersicherheit beginnt mit einem Gespräch – nicht mit einer Firewall

Cybersicherheit ist kein rein technisches Thema. Sie ist ein Menschenthema. Das klingt einfach, hat aber weitreichende Konsequenzen für jedes Unternehmen, das sich wirklich schützen will. Denn die beste Firewall nützt wenig, wenn Mitarbeitende auf eine Phishing-Mail hereinfallen oder Sicherheitsvorgaben ignorieren, weil sie deren Sinn nicht verstehen. Als CISO eines Energieversorgungsunternehmens habe ich das immer wieder erlebt – und gelernt, dass Kommunikation und Sicherheitskultur mindestens so wichtig sind wie jede technische Massnahme.

Warum Cybersicherheit im KMU oft an der Kommunikation scheitert

Neue Sicherheitsvorgaben stossen im Arbeitsalltag häufig auf Widerstand. Nicht weil Mitarbeitende böswillig handeln, sondern weil sie den Grund dahinter nicht kennen. Eine technische Richtlinie, die ohne Erklärung eingeführt wird, wirkt wie eine Bürde – nicht wie ein Schutz.

Ich erinnere mich an viele Situationen, in denen ausführliche Anleitungen nichts bewirkt haben. Was half, war ein einfaches Gespräch. Manchmal bei einem Kaffee in der Pause. In solchen Momenten konnte ich erklären, warum eine Massnahme nicht nur das Unternehmen schützt, sondern auch die persönliche Sicherheit der Mitarbeitenden betrifft.

Das ist kein Zufall. Menschen folgen Regeln, wenn sie deren Zweck verstehen. Und sie tun es noch lieber, wenn sie sich dabei ernst genommen fühlen.

Komplexe Inhalte greifbar machen – so funktioniert es

Abstrakte Risiken lassen sich schwer vermitteln. Was hingegen funktioniert: Sicherheitskonzepte in den Alltag der Mitarbeitenden übersetzen.

Statt über technische Details zu sprechen, habe ich Beispiele aus dem täglichen Leben genutzt – etwa den sicheren Umgang mit Online-Banking oder Social-Media-Accounts. Diese Verbindung zur Lebensrealität hat viel bewirkt. Die Akzeptanz für neue Prozesse stieg spürbar, und das Sicherheitsbewusstsein entwickelte sich langsam, aber nachhaltig.

Konkret bedeutet das: Wer Sicherheitsthemen in der Sprache der Mitarbeitenden erklärt, erreicht mehr als jede noch so detaillierte Dokumentation.

Awareness ist mehr als eine Pflichtschulung

Viele Unternehmen setzen auf einmalige E-Learning-Module und haken das Thema Awareness damit ab. Das reicht nicht. Menschen vergessen schnell – besonders dann, wenn Inhalte keinen direkten Bezug zu ihrem Arbeitsalltag haben.

Mitarbeitende nutzen täglich digitale Tools, ohne sich der potenziellen Gefahren bewusst zu sein:

• Phishing-Mails, die täuschend echt wirken

• Unsichere Passwörter oder die Wiederverwendung derselben Zugangsdaten

• Der unbedachte Umgang mit vertraulichen Informationen

Daher gehören regelmässige, zielgruppengerechte Trainings zur Grundausstattung jeder Sicherheitsstrategie. Nicht als starre Schulung, sondern als interaktiver, dialogorientierter Prozess. Wer versteht, wovor er sich schützt, handelt sicherer – ganz automatisch.

Technik schützt nicht, wenn Menschen nicht mitziehen

Auch die beste Sicherheitsarchitektur scheitert, wenn die Menschen sie nicht verstehen oder nicht mittragen. Technische Massnahmen und menschliches Verhalten sind zwei Seiten derselben Medaille.

Das bedeutet für Geschäftsführerinnen und Geschäftsführer, IT-Leitende und Verwaltungsräte: Kommunikation muss ein fester Bestandteil der Sicherheitsstrategie sein – nicht ein Anhang, der am Ende noch schnell erledigt wird.

Cybersicherheit beginnt nicht mit Firewalls oder Tools. Sie beginnt mit einem Gespräch.

Praxisbeispiel: Wie ein KMU seine Sicherheitskultur verändert hat

Ein Industrieunternehmen mit rund 80 Mitarbeitenden hatte technisch solide Schutzmassnahmen im Einsatz. Trotzdem kam es immer wieder zu Sicherheitsvorfällen – ausgelöst durch menschliche Fehler. Phishing-Mails wurden geöffnet, Passwörter weitergegeben, Vorgaben umgangen.

Das Problem war nicht die Technik. Es war das fehlende Verständnis.

Im Rahmen eines Awareness-Programms wurden keine neuen Regeln eingeführt, sondern bestehende Massnahmen erklärt – mit konkreten Beispielen aus dem Arbeitsalltag. Zusätzlich fanden kurze, regelmässige Austausche statt, in denen Mitarbeitende Fragen stellen konnten.

Das Ergebnis: weniger Vorfälle, höhere Akzeptanz und ein spürbar gestärktes Sicherheitsbewusstsein im gesamten Team.

Ein Gespräch ist der erste Schritt

Überprüfen Sie, wie Sicherheitsthemen in Ihrem Unternehmen kommuniziert werden. Werden Vorgaben erklärt oder nur verteilt? Gibt es Raum für Fragen? Wenn nicht, ist genau das der erste Schritt: das Gespräch suchen – mit den Mitarbeitenden, mit der IT, mit der Geschäftsleitung.

Sicherheitskultur entsteht nicht durch Technik allein. Sie entsteht durch Vertrauen, Verständnis und kontinuierlichen Dialog.

Bereit, Ihre Sicherheitskultur zu stärken?

Ich begleite KMU in der Deutschschweiz dabei, Cybersicherheit verständlich zu machen und nachhaltig zu verankern – von der Awareness-Kampagne bis zur strategischen Sicherheitsberatung. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo der grösste Hebel für Ihr Unternehmen liegt.

Häufige Fragen zur Sicherheitskultur im KMU

Was ist der Unterschied zwischen einer Schulung und einer Sicherheitskultur?
Eine Schulung vermittelt Wissen – einmalig und oft ohne direkten Alltagsbezug. Eine Sicherheitskultur verändert Verhalten dauerhaft. Sie entsteht durch regelmässigen Dialog, praxisnahe Beispiele und ein gemeinsames Verständnis dafür, warum Sicherheit wichtig ist.

Warum reichen technische Massnahmen allein nicht aus?
Technische Systeme schützen nur so gut, wie die Menschen, die sie nutzen. Phishing, unsichere Passwörter oder der unbedachte Umgang mit Daten entstehen nicht durch fehlende Technik, sondern durch fehlendes Bewusstsein. Beides muss zusammenspielen.

Wie oft sollten Awareness-Trainings stattfinden?
Einmalige Schulungen reichen nicht. Empfehlenswert sind regelmässige, kurze Trainings – idealerweise mehrmals pro Jahr – ergänzt durch aktuelle Beispiele aus dem Alltag und offene Gesprächsformate.

Wie erkläre ich Sicherheitsthemen verständlich, ohne Fachbegriffe zu verwenden?
Der einfachste Weg: Alltagsbeispiele nutzen. Online-Banking, Social-Media-Accounts oder der Umgang mit dem eigenen Smartphone sind Situationen, die jede und jeder kennt. Wer Sicherheitsrisiken daran erklärt, macht abstrakte Gefahren greifbar.