Wie baue ich eine Sicherheitskultur auf und setze nicht nur Sicherheitstechnik ein?

Technik bildet das Fundament der Cybersicherheit, doch die Kultur entscheidet über die Wirksamkeit der Kontrollen. Organisationen mit starker Sicherheitskultur sehen Mitarbeitende als erste Verteidigungslinie, jene mit schwacher Kultur als grösste Schwachstelle. Kultur aufzubauen erfordert bewusste Anstrengung, die über das Ausrollen von Werkzeugen hinausgeht.

Vorbildwirkung der Führung gibt den Ton an. Wenn Führungskräfte Sicherheitsrichtlinien befolgen, an Schulungen teilnehmen und Sicherheit in Geschäftsentscheidungen thematisieren, nehmen Mitarbeitende Sicherheit als wichtig wahr. Umgehen Führungskräfte Kontrollen oder behandeln Sicherheit als IT-Problem, tun es die Mitarbeitenden ebenso. Sicherheitskultur beginnt an der Spitze.

Kommunikation muss einbeziehend sein, nicht angstbasiert. Sicherheitsteams kommunizieren oft über Warnungen, Vorfälle und Konsequenzen und erzeugen damit Angst und Widerstand. Wirksame Kommunikation erklärt, warum Sicherheit zählt, wie sie alle schützt und wie der Einzelne beiträgt. Erzählungen, reale Beispiele und positive Rahmung fördern Engagement statt blosser Alibi-Compliance.

Positive Verstärkung wirkt besser als Bestrafung. Erkennen Sie Mitarbeitende an, die Phishing melden, Schwachstellen erkennen oder Verbesserungen vorschlagen. Feiern Sie Sicherheitserfolge. Konzentrieren Sie sich bei Vorfällen auf Lernen und Verbesserung statt auf Schuld. Eine Kultur der Angst treibt Vorfälle in den Untergrund, wo sie sich unbemerkt verschärfen.

Integrieren Sie Sicherheit in Arbeitsabläufe, statt separate Prozesse aufzuzwingen. Sicherheit, die zusätzliche Schritte, komplizierte Werkzeuge oder Produktivitätseinbussen bedeutet, wird umgangen. Gestalten Sie gemeinsam mit den Teams sichere Prozesse, die sich natürlich in bestehende Abläufe einfügen. Machen Sie die sichere Wahl zur einfachen Wahl.

Schulung muss relevant, praxisnah und fortlaufend sein. Generische jährliche Pflichtschulungen sind wirkungslos. Richten Sie Schulungen auf Rollen aus, nutzen Sie realistische Szenarien, verstärken Sie durch Simulationen und Tests und geben Sie Orientierung genau dann, wenn Nutzende Sicherheitsentscheidungen treffen. Sensibilisierung ist kein Häkchen, sondern kontinuierliches Lernen.