Sicherheitskultur im Unternehmen: Warum Awareness-Schulungen scheitern

Viele Unternehmen investieren in Schulungen zur Informationssicherheit – und stellen fest, dass sich trotzdem nichts verändert. Der Grund liegt selten am fehlenden Budget, sondern daran, dass Wissen allein kein Verhalten verändert. Eine nachhaltige Sicherheitskultur entsteht nicht durch abgeschlossene E-Learning-Module, sondern durch Verständnis, Vorbildwirkung und echten Alltagsbezug. Für Geschäftsführer, IT-Leiter und Verwaltungsräte ist das eine direkte Führungsaufgabe – keine Frage der IT-Abteilung.

Warum Awareness-Schulungen ihr Ziel verfehlen

In meiner Arbeit als CISO und Berater habe ich viele Awareness-Programme begleitet. PowerPoint-Trainings, E-Learning-Module, E-Mail-Kampagnen – professionell gemacht, gut gemeint und trotzdem wirkungslos. Wenn ich mit Mitarbeitenden spreche, höre ich immer wieder denselben Satz:

«Ich weiss gar nicht, warum wir das machen müssen, das ist doch Sache der IT.»

Genau hier liegt das Problem. Es gibt drei wiederkehrende Gründe, warum Awareness-Massnahmen scheitern:

• Zu technisch, zu abstrakt, zu wenig Kontext: Mitarbeitende sollen Passwörter ändern oder Phishing-E-Mails erkennen – verstehen aber nicht, warum. Wer den Sinn nicht sieht, macht nur das Nötigste.

• Fehlender Bezug zum Alltag: Viele Schulungen sprechen über Angriffsarten, die im Arbeitsalltag kaum vorkommen. Der stärkste Hebel ist immer der persönliche Bezug. Wer versteht, dass ein ungeschützter Firmen-Account dieselben Risiken birgt wie sein privates E-Banking ohne Zwei-Faktor-Authentisierung, ändert sein Verhalten nachhaltig.

• Monolog statt Dialog: Klassische Trainings sind Frontalunterricht. Menschen lernen durch Austausch, nicht durch Folien. Wenn Diskussionen entstehen – über reale Erfahrungen oder persönliche Sicherheitsfragen – wird aus Schulung echtes Bewusstsein.

Was ist der Unterschied zwischen Wissen und Sicherheitsbewusstsein?

Wissen kann man prüfen. Bewusstsein muss man leben. Viele Unternehmen verwechseln Awareness mit reiner Wissensvermittlung:

«Hauptsache, jeder hat das E-Learning abgeschlossen.»
«Wir haben 95 % Teilnahmequote, also passt es.»

Das sind Kennzahlen, keine Ergebnisse. Ich frage in solchen Situationen gern: «Wie oft sprechen Ihre Führungskräfte im Alltag über Informationssicherheit?» Wenn die Antwort «nie» lautet, ist das Programm gescheitert – egal wie viele Zertifikate ausgedruckt wurden.

Wie Sicherheitskultur wirklich entsteht

Nach vielen Gesprächen mit Fachleuten aus dem Awareness-Bereich habe ich folgende Erfolgsprinzipien identifiziert:

1. Von oben vorleben
Sicherheitskultur beginnt nicht im Intranet, sondern in der Geschäftsleitung. Wenn die Führung das Thema ernst nimmt, folgen die Mitarbeitenden. Ich habe Unternehmen erlebt, wo der CEO selbst an Phishing-Schulungen teilgenommen hat. Das verändert die Kultur spürbar.

2. Vom Privaten ins Berufliche denken
Menschen verstehen Sicherheit, wenn sie persönlich betroffen sind. Das Beispiel mit dem E-Banking wirkt Wunder: «Wenn Sie privat die Zwei-Faktor-Authentisierung nicht weglassen würden – warum dann im Unternehmen?»

3. Interaktion statt Belehrung
Workshops, Gruppenübungen, realistische Phishing-Simulationen. Awareness muss zum Gespräch werden. Wenn Mitarbeitende diskutieren, wie sie privat mit Passwörtern, Backups oder Cloud-Diensten umgehen, entsteht Reflexion – und Verhaltensänderung.

4. Weniger Fachjargon, mehr Alltag
Begriffe wie «Zero Trust» oder «Intrusion Detection» schrecken ab. Stattdessen: konkrete Szenarien, verständliche Sprache, Beispiele aus dem Arbeitsalltag.

5. Langfristige Begleitung statt Einmalevent
Awareness ist kein Projekt, sondern eine Reise. Einmal jährlich ein Training reicht nicht. Erfolgreiche Unternehmen schaffen kleine, wiederkehrende Impulse: kurze Videos, monatliche Tipps, interaktive Challenges.

Praxisbeispiel: Ein KMU aus der Industrie

Ein produzierendes Unternehmen mit rund 80 Mitarbeitenden hatte jährlich ein Pflicht-E-Learning zur Informationssicherheit. Die Teilnahmequote lag bei 90 %. Trotzdem klickten Mitarbeitende regelmässig auf Phishing-Links in simulierten Tests.

Der Wandel kam nicht durch ein neues Tool, sondern durch einen anderen Ansatz: Der Geschäftsführer sprach das Thema erstmals im Teammeeting an – persönlich, ohne Folien. Danach folgten kurze Workshops, in denen Mitarbeitende eigene Erfahrungen einbrachten. Innerhalb von drei Monaten sank die Klickrate bei Phishing-Simulationen deutlich. Nicht weil mehr Wissen vermittelt wurde, sondern weil das Thema plötzlich relevant war.

Schaffen Sie Bewusstsein, nicht nur Schulungen

Der erste Schritt ist einfach: Sprechen Sie das Thema Informationssicherheit beim nächsten Führungstreffen an – nicht als IT-Thema, sondern als Unternehmensthema. Fragen Sie, wie oft Ihre Führungskräfte darüber sprechen. Die Antwort zeigt Ihnen, wo Sie stehen.

Bereit, eine echte Sicherheitskultur aufzubauen?

Ich begleite KMU in der Deutschschweiz dabei, Awareness-Programme zu entwickeln, die wirklich wirken – verhaltensorientiert, praxisnah und auf Ihre Organisation zugeschnitten. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo bei Ihnen der grösste Hebel liegt.

Häufig gestellte Fragen

Warum scheitern so viele Awareness-Schulungen?
Weil sie Wissen vermitteln, aber kein Verständnis schaffen. Mitarbeitende sehen keinen persönlichen Bezug und verstehen nicht, warum das Thema sie betrifft. Ohne diesen Bezug ändert sich kein Verhalten.

Was ist der Unterschied zwischen Wissen und Sicherheitsbewusstsein?
Wissen bedeutet, dass jemand eine Schulung abgeschlossen hat. Sicherheitsbewusstsein bedeutet, dass jemand im Alltag sicherheitsbewusst handelt – weil er oder sie verstanden hat, warum es wichtig ist.

Wie oft sollten Awareness-Massnahmen stattfinden?
Einmal jährlich reicht nicht. Wirksame Programme setzen auf regelmässige, kleine Impulse: monatliche Tipps, kurze Videos, Phishing-Simulationen oder kurze Diskussionen im Team.

Welche Rolle spielt die Führung bei der Sicherheitskultur?
Eine entscheidende. Wenn Führungskräfte das Thema vorleben und aktiv ansprechen, nehmen Mitarbeitende es ernst. Sicherheitskultur beginnt immer oben – nicht in der IT-Abteilung.