Was ist die Cyber-Sicherheitskultur?

Wir befinden uns in einem sich ständig verändernden Umfeld von Cyberbedrohungen. Unternehmen investieren kontinuierlich in neue Technologien – Firewalls, Intrusion-Detection-Systeme, Verschlüsselung. Trotz dieser zunehmend ausgeklügelten technischen Schutzmaßnahmen treten Datenlecks jedoch immer noch mit beunruhigender Häufigkeit auf. Warum? Weil Cybersicherheit im Kern nicht nur eine Frage der Technologie ist – sondern vor allem eine Frage der Menschen.

Zahlreiche Quellen zeigen übereinstimmend, dass die Hauptursache für die meisten Datenpannen und Sicherheitsvorfälle der menschliche Faktor¹ ist – etwa durch Fehler oder durch erfolgreiche Social-Engineering-Angriffe. Den menschlichen Aspekt zu ignorieren oder Mitarbeitende lediglich als das „schwächste Glied“ zu betrachten, ist einer der größten Fehler in der Cybersecurity.

Wenn der Großteil der Sicherheitsprobleme auf menschliches Fehlverhalten zurückzuführen ist, muss der Fokus auf den Menschen liegen, um digitale Resilienz aufzubauen. Ein Schlüssel dazu ist das Verständnis der Cyber-Sicherheitskultur innerhalb einer Organisation.

Was versteht man unter Cyber-Sicherheitskultur?

Die Cyber-Sicherheitskultur beschreibt die etablierten Verhaltensweisen und Einstellungen im Umgang mit Sicherheit innerhalb eines Unternehmens. Es geht dabei nicht um Technologie wie Firewalls oder Antivirensoftware, sondern in erster Linie um die Menschen. Sie umfasst gemeinsame Überzeugungen, Werte, Einstellungen und Verhaltensweisen, die unter den Mitarbeitenden verbreitet sind und sich auf den Schutz von Informationen und Systemen beziehen.

Laut der Definition von Cybersecurity at MIT Sloan (CAMS) ist die Cyber-Sicherheitskultur „ein Set aus Überzeugungen, Werten und Einstellungen der Mitarbeitenden, die ihr Verhalten in einer Weise beeinflussen, dass sie die Organisation vor Cyberangriffen schützen und verteidigen“. ²

Eine starke Sicherheitskultur bedeutet, ein Umfeld zu schaffen, in dem Menschen zu sicherem Verhalten neigen. Sicherheit sollte Teil der DNA des Unternehmens sein – nicht bloß ein nachgelagerter Aspekt oder eine Angelegenheit der IT-Abteilung oder Führungsetage. Der Aufbau einer solchen Kultur ist ein langfristiger Prozess, der auf Verhaltensänderung abzielt und die Menschen zur stärksten Verteidigungslinie gegen Bedrohungen macht.

Wie unterscheidet sich die Kultur vom Bewusstsein für Cybersicherheit?

Bewusstsein ist ein zentraler Bestandteil der Cyber-Sicherheitskultur – aber nur einer von mehreren. Während sich das Bewusstsein darauf bezieht, was Mitarbeitende wissen und verstehen, umfasst die Kultur darüber hinaus Verhalten, Werte und Wahrnehmungen.

Bewusstsein bedeutet, Risiken zu erkennen und zu verstehen, wie man sich davor schützt. Es bildet die Basis jeder Sicherheitskultur und ist unverzichtbar. Doch allein reicht es nicht aus, um Verhalten zu ändern oder eine nachhaltige Cyber-Sicherheitskultur aufzubauen. Wissen über Risiken führt nicht automatisch zu sicherem Handeln.

Eine starke Sicherheitskultur umfasst zusätzlich:

• Bewusstsein – Was wissen Menschen über Bedrohungen und Schutzmaßnahmen?
• Verhalten – Wie handeln sie tatsächlich, wenn sie mit Risiken konfrontiert werden?
• Werte – Was gilt innerhalb der Organisation als normal und akzeptabel?
• Wahrnehmung – Wie empfinden Mitarbeitende Sicherheit, das Sicherheitsteam und ihre eigene Fähigkeit, sicher zu handeln?

Gerade Selbstwirksamkeit und das Vertrauen in die eigene Kompetenz, sicher zu agieren, haben oft größeren Einfluss auf das Verhalten als das reine Wissen um Gefahren. Klassische Awareness-Programme konzentrieren sich häufig auf Trainings und Informationsweitergabe – der Aufbau einer Kultur hingegen bedeutet eine ganzheitliche Verhaltensinitiative, die über bloßes Wissen hinausgeht.

Kurz gesagt: Bewusstsein ist das Fundament des Wissens – die Kultur ist das, was bestimmt, wie Menschen dieses Wissen empfinden, wertschätzen und schließlich in Verhalten umsetzen. Bewusstsein lässt sich messen – Kultur zu bewerten erfordert das Verständnis von Werten und Wahrnehmungen.

Wie ausgeprägt ist die Cyber-Sicherheitskultur in Unternehmen?

Jede Organisation besitzt eine Cyber-Sicherheitskultur – bewusst gestaltet oder nicht – und jede sieht anders aus. Unsere Erfahrung zeigt: In Unternehmen, die bisher keine gezielten Maßnahmen zur Förderung einer Sicherheitskultur ergriffen haben, gibt es meist großen Handlungsbedarf.

Laut einer Studie von Mission: Cybersecurity im Jahr 2024 ergaben sich folgende Erkenntnisse:

• 45 % der befragten Mitarbeitenden finden, dass Sicherheitsrichtlinien in ihrer Organisation nicht klar und verständlich formuliert sind.
• 42 % fühlen sich nicht ausreichend im Bereich Cybersicherheit geschult.
• 37 % berichten, dass Sicherheit im Arbeitsalltag nicht thematisiert wird und nicht als integraler Bestandteil der Geschäftsprozesse wahrgenommen wird.

Unternehmen müssen verstärkt in den Aufbau einer Cyber-Sicherheitskultur investieren, um diese als tragfähiges Fundament für digitale Resilienz zu etablieren.

Praktische Beispiele für Cyber-Sicherheitskultur im Unternehmen

Um die Kultur greifbar zu machen, lohnt sich ein Blick auf verschiedene Fragen und Verhaltensmuster:

Wie verhalten sich Mitarbeitende? Zum Beispiel:

• Klicken sie bei simulierten Phishing-E-Mails nicht auf Links oder öffnen keine Anhänge?
• Melden sie verdächtige Nachrichten oder Aktivitäten aktiv, anstatt sie zu ignorieren oder stillschweigend zu löschen?
• Verwenden sie starke, einzigartige Passwörter oder Passwortmanager?
• Halten sie ihre Software regelmäßig auf dem neuesten Stand und installieren Sicherheitsupdates?
• Hinterfragen sie ungewöhnliche Anfragen – wie etwa Zahlungsanweisungen – auch wenn sie von Vorgesetzten stammen?
• Integrieren Entwicklerteams Sicherheitsaspekte bereits in frühen Projektphasen?

Was gilt als normal oder akzeptiert? Zum Beispiel:

• Ist es üblich, Türen aufzuhalten, ohne Ausweise zu prüfen (aus Höflichkeit)? Oder ist es normal, dass jeder seinen Ausweis zeigt?
• Wird bei Vorfällen nach einem Schuldigen gesucht – oder geht es darum, Ursachen zu verstehen und daraus zu lernen?
• Werden positive Sicherheitsaktionen (z. B. das Melden von Phishing-Versuchen) wertgeschätzt oder belohnt?
• Arbeiten Fachabteilungen eng mit dem Security-Team zusammen – oder werden Sicherheitsanforderungen eher als lästig oder hinderlich empfunden?

Was denken und fühlen die Mitarbeitenden? Zum Beispiel:

• Sehen sie Cybersicherheit als Teil ihrer Verantwortung – oder als Aufgabe der IT-Abteilung?
• Wie wird das Sicherheitsteam wahrgenommen – als unterstützender Partner oder als „Regelpolizei“?
• Wenden sich Mitarbeitende aktiv mit Fragen an das Sicherheitsteam?
• Fühlen sie sich sicher im Umgang mit sicherheitsrelevantem Verhalten?
• Verstehen sie, warum Sicherheit für sie persönlich – beruflich und privat – relevant ist?
• Haben sie den Eindruck, dass das Management Sicherheit ernst nimmt und aktiv fördert?

Diese Beispiele zeigen: Eine Sicherheitskultur ist tief in den täglichen Abläufen, Überzeugungen und Interaktionen einer Organisation verankert. Sie wird durch Führung, Kommunikation, Schulungen und das allgemeine Arbeitsumfeld geprägt. Es handelt sich um eine kontinuierliche Verhaltensinitiative – ein Weg, kein Ziel.