Sicherheitskultur braucht mehr als Einzelkennzahlen

Informationssicherheit entscheidet sich nicht nur an Richtlinien, Schulungen oder technischen Kontrollen. Ob Sicherheitsanforderungen im Alltag tatsächlich wirksam werden, hängt auch davon ab, wie sie von Mitarbeitenden verstanden, von Führungskräften priorisiert und in Prozesse, Kommunikation und Routinen eingebettet werden. Genau hier beginnt Sicherheitskultur. Für die Praxis stellt sich deshalb nicht nur die Frage, ob Sicherheit vorhanden ist, sondern ob sie im Unternehmen sichtbar, anschlussfähig und handlungsrelevant wird.

Einzelkennzahlen reichen dafür nicht aus. Wissenstests, Phishing-Simulationen oder Schulungsquoten liefern wichtige Hinweise, erfassen aber nur Teilaspekte. Wer Regeln kennt, handelt nicht automatisch sicher. Wer eine Schulung absolviert, meldet Vorfälle nicht zwingend. Eine brauchbare Messung muss deshalb mehrdimensional sein und neben Wissen auch Einstellungen, Werte, Wahrnehmung, Kommunikation, Führungsverhalten und organisationale Rahmenbedingungen erfassen.

Was der Security Awareness Radar sichtbar macht

Der Security Awareness Radar (SAR) folgt genau diesem Ansatz. Er betrachtet Sicherheitskultur als Zusammenspiel mehrerer psychologischer, sozialer und organisationaler Domänen. Dazu gehören unter anderem:

• Individuelle Ebene: Wissen, Werte, Wahrnehmung, Motivation, Einstellung

• Soziale Ebene: Problemmanagement, Vorbildfunktion, Kommunikation

• Organisatorische Ebene: Arbeits- und Technologiegestaltung, Schulung, Organisationskultur sowie Organisationsstruktur

Aus den Antworten wird ein Gesamtwert der Zustimmung auf einer Skala von 0 bis 100 berechnet, der Security Awareness Indicator (SAI). Ergänzt wird dieser durch Domänenprofile, die zeigen, wo eine Organisation stark ist und wo Entwicklungsbedarf besteht.

Für die Praxis ist gerade diese Verbindung entscheidend: Der Gesamtwert liefert Orientierung, die Domänen zeigen, an welchen Stellen konkrete Entwicklung ansetzen sollte. Zur Einordnung arbeitet der SAR zudem mit vier Maturitätsstufen: ungenügend, ausbaufähig, gut und sehr gut. Diese Stufen sind kein starres Urteil, sondern ein Orientierungsrahmen für Entwicklung über die Zeit.

Wo viele Organisationen stecken bleiben

Die Auswertungen über mehr als zwei Jahrzehnte, rund 90 Erhebungen und über 100.000 Teilnehmende zeigen ein klares Muster: Die Sicherheitskultur hat sich in der Breite professionalisiert, doch der Sprung zu sehr hoher Reife gelingt nur wenigen Organisationen. Die meisten bewegen sich zwischen ausbaufähig und gut. Viele erreichen also eine belastbare Basis, stoßen dann aber an eine Art gläserne Decke zur Exzellenz.

Auffällig ist: Der Engpass liegt oft nicht zuerst beim Wissen. Die Unterschiede zwischen mittlerer und hoher Reife zeigen sich stärker bei Kommunikation, Vorbildfunktion, Problemmanagement und der Verankerung von Sicherheit im Arbeitsalltag. Genau dort entscheidet sich, ob Sicherheitskultur auf dem Papier gut aussieht oder im Betrieb tatsächlich trägt.

Welche Hebel in der Praxis wirklich zählen

Besonders deutlich ist die Schlüsselrolle der Kommunikation. In den Vertiefungsanalysen erscheint sie immer wieder als Multiplikator: Dort, wo Kommunikation an Qualität gewinnt, verbessern sich häufig auch Schulung, Wahrnehmung, Führungswirkung und die praktische Anschlussfähigkeit von Sicherheit im Alltag. Kommunikation ist damit nicht bloß Begleitmaßnahme eines Awareness-Programms, sondern eines der zentralen Medien, in denen Sicherheit verständlich, relevant und handlungsnah wird.

Ähnlich wichtig ist die Rolle der Führung. Verbesserungen in Leadership hängen nicht nur mit formaler Verantwortung zusammen, sondern besonders mit Training, Werten, Wahrnehmung und Organisationskultur. Führung entsteht in der Sicherheitskultur deshalb nicht primär durch Appelle, sondern durch Befähigung, glaubwürdiges Vorleben und konsistente Priorisierung im Alltag.

Auch Problemmanagement ist mehr als ein operatives Thema. Wo Vorfälle klar verortet, Zuständigkeiten geregelt und Rückmeldeschleifen etabliert sind, zeigen sich häufig auch Bezüge zu Motivation, Wahrnehmung und Organisationsstruktur. Für die Praxis bedeutet das: Der Umgang mit Vorfällen ist nicht nur Reaktion, sondern auch ein kultureller Lernmechanismus.

Was das für die Praxis bedeutet

Eine der wichtigsten Erkenntnisse lautet: Wissen bleibt unverzichtbar, ist aber oft nicht der entscheidende Hebel für den nächsten Reifeschritt. Mehr Wissen allein reicht meist nicht aus, um von gut zu sehr gut zu gelangen. Sicherheitskultur wird dann robuster, wenn Wissen mit Orientierung, Kommunikation, Führung und organisationaler Einbettung zusammenkommt.

Ebenso wichtig ist, dass nicht alle Reifeschritte dieselben Hebel brauchen:

• In frühen Entwicklungsphasen sind Wissen, Schulung, Regelklarheit und grundlegende Orientierung zentral.

• In höheren Maturitätsstufen gewinnen Kommunikation, Leadership, Lernen von Problemen, Organisationsstruktur und kulturelle Verankerung an Gewicht.

Wer in jeder Phase dieselben Standardmaßnahmen wiederholt, wird deshalb oft nur begrenzte Fortschritte erzielen. Die Auswertungen sprechen zudem weniger für singuläre Hebel als für Entwicklungsbündel: Wirkung entsteht vor allem dort, wo Maßnahmen fachlich, kommunikativ und organisatorisch zusammenspielen:

• Schulung ohne Kommunikation bleibt punktuell.

• Kommunikation ohne Führung bleibt folgenarm.

• Prozesse ohne Lernschleifen bleiben formal.

Für Führungskräfte und Sicherheitsverantwortliche folgt daraus ein klarer Schluss: Wer Sicherheitskultur weiterentwickeln will, sollte nicht nur Inhalte vermitteln, sondern an den Bedingungen arbeiten, unter denen sich sicheres Verhalten verstetigt. Reife sollte regelmäßig gemessen, Führung sichtbar eingebunden, Kommunikation mit Befähigung verzahnt und Vorfälle als Lernanlass genutzt werden. Sicherheitskultur ist kein Nebenprodukt von Awareness-Maßnahmen, sondern Teil des organisationalen Betriebssystems.

Durch die Nutzung des Security Awareness Radar wird die tatsächliche Sicherheitskultur sicht- und messbar. Mit zwölf Domänen verteilt über drei Ebenen kann das Verbesserungspotenzial detailliert identifiziert und Maßnahmen abgeleitet werden.