Aufbau einer starken Sicherheitskultur: das Behavioral-Security-Modell

In unserer digitalisierten Welt lauern Cyberbedrohungen überall und verändern sich ständig. Das stellt Unternehmen vor enorme Herausforderungen. Neben der rasanten Entwicklung von künstlicher Intelligenz (KI) führen auch Social Engineering, die zunehmende Professionalisierung von Cyberkriminalität und geopolitische Krisen zu einer Verschärfung der Lage. Die vielfältigen Bedrohungen erhöhen das Risiko von Sicherheitsverletzungen in einem solchen Maße, dass Unternehmen ihre Abwehrstrategien dynamisch und zielgerichtet anpassen müssen.

Um Cyberbedrohungen wirksam zu bekämpfen, setzen Unternehmen auf modernste Technologien wie Multi-Faktor-Authentifizierung, Ende-zu-Ende-Verschlüsselung, erweiterten Endpointschutz und Strategien zur Zugangskontrolle. Selbst wenn zahlreiche technische Sicherheitsvorkehrungen getroffen werden, bildet Social Engineering nach wie vor den Kern vieler Cyber-Angriffe. Die Tatsache, dass sich 74 Prozent sämtlicher Sicherheitsverletzungen auf menschliches Fehlverhalten zurückführen lassen, bewegt immer mehr Unternehmen dazu, bei ihrer Sicherheitsstrategie die Mitarbeitenden in den Mittelpunkt zu stellen. Vor diesem Hintergrund werden in diesem Artikel die verschiedenen zentralen Dimensionen erläutert, die für den Aufbau einer starken Sicherheitskultur unerlässlich sind.

Das Behavioral-Security-Modell: ein proaktiver Ansatz für die menschliche Komponente der Cybersicherheit

Das Behavioral-Security-Modell von SoSafe geht über klassische Sicherheitsansätze hinaus und stellt die Belegschaft in den Mittelpunkt der Cybersicherheitsstrategie. Statt Mitarbeiter lediglich als potenzielle Risiken oder Schwachstellen zu sehen, spielen sie eine entscheidende Rolle bei den Sicherheitsmaßnahmen ihres Unternehmens – ein Schlüsselfaktor für langfristige Sicherheit.

Das Behavioral-Security-Modell basiert auf vier Dimensionen: Wissen, Kontext, Motivation und Verhalten. Diese stellen jedoch keine getrennten Einheiten dar, sondern bilden ein verwobenes System, das die Mitarbeitenden zu proaktivem Handeln ermutigt. Der ganzheitliche Ansatz des Modells zielt darauf ab, jeden Aspekt von sicherem Verhalten zu stärken, und das Zusammenspiel der vier Dimensionen schafft eine starke Schutzbarriere, die sowohl individuelle als auch kollektive Sicherheitsbemühungen fördert. Was sich genau hinter den einzelnen Dimensionen verbirgt, erfahren Sie im Folgenden.

Wissen: engagiertere Mitarbeitende, höhere Cybersicherheit

Für eine starke Verteidigungslinie müssen alle Mitarbeitenden eines Unternehmens über das erforderliche Wissen verfügen. Klassische Cyber-Security-Trainings mit standardisiertem Schulungsprogramm oder festem Lehrplan reichen mittlerweile nicht mehr aus, da sie sich oft kontraproduktiv auf das Engagement und die Merkfähigkeit auswirken – ein Phänomen, das der deutsche Psychologe Prof. Dr. Hermann Ebbinghaus in seiner Vergessenskurve festgehalten hat. Seine Grafik zeigt, dass 90 Prozent der erlernten Inhalte nach nur sieben Tagen bereits wieder aus dem Gedächtnis verschwunden sind. Eine unterbrochene oder unregelmäßige Lernroutine verstärkt diesen Effekt zusätzlich.

Es gibt aber auch gute Nachrichten: Mittlerweile kommen bei Cyber-Security-Trainings auch Lernmethoden zum Einsatz, die sich auf Erkenntnisse aus der Verhaltenspsychologie stützen. So bleiben die Mitarbeitenden motiviert, lernen jederzeit gerne dazu und speichern das neue Wissen langfristig ab:

• Zeitlich gestaffelte Schulungen: Kürzere und regelmäßigere Trainingsmodule nutzen die psychologischen Prinzipien der Wiederholung und des Engagements.
• Interaktive Elemente: Quizfragen und andere interaktive Elemente schaffen eine aktive Lernerfahrung und verbessern neben der Merkfähigkeit auch das Engagement der Mitarbeitenden.
• Nudging: Regelmäßige Aufforderungen und Updates fördern einen kontinuierlichen Lernprozess und erhöhen die digitale Wachsamkeit. Unser Human Risk Review 2022 bestätigt dies: „Durch Nudging wird die Engagement-Rate kontinuierlich um 30 Prozent, in der Einführungsphase sogar um bis zu 90 Prozent, erhöht.“

In einer Welt, in der für viele Informationen oft nur wenig Zeit bleibt, kommt es vor allem in kritischen Situationen darauf an, die Lernerfahrung mit kompakten Modulen zu vereinfachen. Denn nur mit einem umfassenden Verständnis und dem erforderlichen Wissen über digitale Selbstverteidigung können die Mitarbeitenden dazu beitragen, das Risiko von Vorfällen in ihrem Unternehmen zu verringern. Ein fundiertes Trainingsprogramm mit kontinuierlicher, kontextbezogener Wissensvermittlung stellt dafür die richtigen Weichen.

Kontext: personalisiertes Training für erstklassige Cybersicherheit

Für den Aufbau einer starken Sicherheitskultur müssen Unternehmen personalisierte Trainingsprogramme einrichten, die ihre spezifischen Risiken und Rollen berücksichtigen. Cyberbedrohungen sind mit individuellen Herausforderungen verbunden – Führungskräfte und Mitarbeitende mit Firmenhandys sind beispielsweise größeren Gefahren ausgesetzt als Praktikantinnen oder Praktikanten. Welche Risiken entstehen können, hängt in erheblichem Maße auch von der jeweiligen Branche ab. Das Gesundheitswesen, der Bankensektor und die öffentliche Hand sind besonders anfällig.

Für eine größtmögliche Effizienz gehen personalisierte Schulungsprogramme auf die spezifischen Rollen der einzelnen Mitarbeitenden ein. Wer als Führungskraft beispielsweise häufig das Diensthandy benutzt, braucht eine umfassende Aufklärung über die damit verbundenen Risiken und den richtigen Umgang mit mobilen Bedrohungen. Im Gegensatz dazu müssen Praktikantinnen und Praktikanten meistens nur die grundlegenden Prinzipien der Cybersicherheit erlernen. Wenn die Trainingssessions auf individuelle Herausforderungen zugeschnitten sind und auf der jeweiligen Security Awareness aufbauen, bleibt das Wissen nachhaltiger im Gedächtnis, und auch der Lernprozess gestaltet sich interessanter. Laut einer Studie des Marktforschungsunternehmens Towards Maturity bevorzugen 77 Prozent der Befragten ein Lernangebot, das für ihre Arbeit relevant ist. Daher konzentriert sich dieser verhaltensbasierte Ansatz auf die Mitarbeitenden, berücksichtigt ihre individuellen Herausforderungen und stimmt die Lerninhalte auf ihre Rollen, ihre Profile und ihren Kenntnisstand ab.

Doch personalisiertes Lernen ist nur ein Teil der Gleichung. Um das Engagement und die Motivation für ein effektiveres Sicherheitsverhalten zu erhöhen, müssen spezielle, auf diesen Zweck zugeschnittene Tools bereitgestellt werden. Praktische Hilfsmittel wie Reporting-Tools haben sich in diesem Zusammenhang als besonders wertvoll erwiesen, da sie die Interaktion mit bösartigen Angriffen minimieren und damit die Sicherheitspraktiken im Unternehmen nachhaltig verbessern. So zeigen beispielsweise Mitarbeitende mit Zugang zum SoSafe Phishing Report Button eine um 30 % niedrigere Interaktionsrate mit Phishing-E-Mails als Mitarbeitende ohne diese Funktion, sodass derartige Angriffe in diesen Fällen weniger Erfolgsaussichten haben. Ein Meldebutton hat aber auch noch weitere Vorteile:

Motivation: engagiertere Mitarbeitende, höhere Cyber Security Awareness

Bei einer starken Cybersicherheitskultur geht es nicht nur um den Einsatz der richtigen Tools und Technologien. Es geht auch darum, eine Atmosphäre zu schaffen, in der sich alle Mitarbeitenden tatkräftig einbringen, gerne ihren Beitrag leisten und das Unternehmen weiterentwickeln und aktiv vor Bedrohungen schützen. Motivation spielt beim Aufbau einer solchen Sicherheitskultur eine entscheidende Rolle, lässt sich allerdings nicht einfach bemessen, da sich das vielschichtige Konzept auf unterschiedliche Weise manifestiert – in den Fortschritten, Bemühungen und Leistungen der Mitarbeitenden.

Die Motivation für die Teilnahme an Cyber-Security-Trainings seitens der Mitarbeitenden erhöht sich deutlich, wenn ihre Führungskräfte die Initiative ergreifen und Sicherheit als grundlegenden Wert vorleben. Diese vorbildliche Führung schafft eine stabile Grundlage für eine übergreifende Sicherheitskultur, motiviert sämtliche Mitarbeitenden, zum Schutz des Unternehmens beizutragen, und sendet die klare Botschaft, dass Sicherheit oberste Priorität hat und von allen ernst genommen werden muss.

Darüber hinaus hat sich Gamification als ein weiteres effektives Instrument erwiesen, um die klassische Lernerfahrung zu transformieren. Die positiven Auswirkungen von Gamification im E-Learning lassen sich an mehreren zentralen Aspekten festmachen:

• Interesse und Teilnahme: Interaktive E-Learning-Module mit Gamification-Elementen gestalten den Lernprozess ansprechender und interessanter als klassische Präsentationsformen. Mithilfe von integrierten Punktesystemen, Abzeichen oder auch Bestenlisten werden die Lernenden zur aktiven Teilnahme animiert. Der Ansatz macht sich den natürlichen Spieltrieb inklusive Belohnungssystem zunutze, um das Interesse an den Inhalten zu steigern und ein kontinuierliches Engagement zu fördern.
• Zielstrebigkeit: Gamification stärkt ein entschlossenes Vorgehen, indem die Lernenden klare Ziele und Meilensteine erreichen müssen. In vielen Fällen lassen sich die Fortschritte nachverfolgen, was die Motivation, auf ein bestimmtes Ziel hinzuarbeiten und die nächste Stufe oder Herausforderung im Trainingsprogramm zu meistern, zusätzlich steigert. Jedes Erfolgserlebnis bestätigt die Lernenden darin, dass sich ein pragmatisches und zweckgerichtetes Verhalten auszahlt.
• Mehr Bezug zum Lernmaterial: Mithilfe von Gamification tauchen die Mitarbeitenden tiefer in die Lerninhalte ein. Interaktive Szenarien ermöglichen ihnen, sich in simulierten, spielähnlichen Umgebungen mit verschiedenen Konzepten auseinanderzusetzen. Indem sie sich auf spielerische Weise mit realitätsnahen Problemen und Entscheidungen befassen, entwickeln sie einen stärkeren Bezug zum Lernmaterial und können das neue Wissen so besser verinnerlichen und anwenden.

Eine um Computerspiel-Elemente bereicherte Lernerfahrung macht Cyber-Sicherheitsthemen nicht nur zugänglicher und ansprechender, sondern bietet auch mehr Anreize zum Weiterlernen. Darüber hinaus ermöglicht unmittelbares Feedback einen schnellen Erkenntnisgewinn, während Belohnungen bei erreichten Zwischenzielen für einen Motivationsschub sorgen. Für den Aufbau einer starken Cybersicherheitskultur kommt es also auf eine Lernerfahrung an, die sowohl informativ als auch unterhaltsam ist, damit die Motivation in gleichem Maße steigt wie die Security Awareness. Unsere eigenen Produktdaten bestätigen dies: Immersives Storytelling und die Einbindung von Gamification-Elementen erhöhen das Engagement der Nutzenden um 54 Prozent.

Verhalten: digitale Wachsamkeit als Reflex

Alle Fäden laufen im wichtigsten Teil einer starken Sicherheitskultur zusammen: dem sicheren Verhalten. Mit festen Gewohnheiten tragen Mitarbeitende wesentlich zum Schutz ihres Unternehmens bei. Dazu zählt beispielsweise, dass sie beim Verlassen ihres Arbeitsplatzes den Bildschirm sperren, der IT-Abteilung jeden Sicherheitsvorfall melden und E-Mails auf verdächtige Inhalte prüfen. Wie ausgeprägt diese digitalen Alltagsreflexe sind, hängt jedoch stark von den anderen drei Dimensionen ab.

Nur wenn die Mitarbeitenden sich mit Informationssicherheit auskennen, im richtigen Kontext lernen und intrinsisch motiviert sind, werden sie zuverlässig ein sicheres Verhalten praktizieren. In einem dynamischen Cyber-Bedrohungsumfeld ist ein ganzheitlicher Ansatz unerlässlich, selektive Maßnahmen allein reichen nicht aus. Da heutzutage hinter jeder Ecke das nächste Risiko lauert, ist für effektive Sicherheit mehr erforderlich, als sich ausschließlich auf eine der Dimensionen zu konzentrieren oder bei einer einzigen Vor-Ort-Präsentation nur auf die Compliance-Anforderungen einzugehen.

Stattdessen sollten Entscheidungsverantwortliche die Erkenntnisse aus allen Dimensionen des Behavioral-Security-Modells nutzen, um ihr Awareness-Programm so anzupassen, dass sichere Gewohnheiten für alle Mitarbeitenden zur Selbstverständlichkeit werden. In unserem Whitepaper „Behavioral Security: Mit verhaltensbasierten Daten die Security Awareness steigern“ erfahren Sie mehr darüber, was es mit den einzelnen Dimensionen auf sich hat und warum die Erhebung von verhaltensbasierten Daten so wertvoll ist.

Behavioral Security

Report lesen

Entdecken Sie, welche Rolle Verhaltenspsychologie für die Informationssicherheit spielt und welche Vorteile es hat, die Änderung von Verhalten zu messen.

Engagierte Führungskräfte als Vorbilder für Cyberresilienz

Ohne ein starkes Management, das den Wandel vorantreibt, verlieren die oben genannten Maßnahmen und Dimensionen schnell an Schwungkraft. Aus Umfragedaten geht hervor, dass die Security Awareness im Unternehmensvergleich sehr unterschiedlich ausfällt und sich jeweils danach richtet, welche Bedeutung die Geschäftsleitung Cyberrisiken beimisst: 71 Prozent der Security-Verantwortlichen, die ihr Top-Management für äußerst risikobewusst halten, stufen die Security Awareness in ihrem Unternehmen als wesentlich höher ein als diejenigen, denen zufolge es ihrer obersten Führungsebene an einem entsprechenden Bewusstsein mangelt (48 Prozent). Diese Diskrepanz unterstreicht die Notwendigkeit, Führungskräfte effektiv über Sicherheitsrisiken aufzuklären und ihnen auch die Verantwortung für die Sicherheitskultur in ihren Unternehmen zu übertragen.

Aus diesem Grund ist es wichtig, sowohl für die Aus- und Weiterbildung von Führungskräften als auch für Änderungen in den Vorstandsstrukturen offen zu sein, um beispielsweise spezialisiertere Rollen im Bereich Cybersicherheit einzurichten.

Die Risiken zu verstehen, markiert dabei allerdings erst den Anfang. Wer es mit der Cybersicherheit wirklich ernst meint, verankert sie als zentrales Element in der Unternehmensstrategie. Damit das Thema Einzug in die Vorstandsetagen hält, ist die Zusammenarbeit mit versierten Expertinnen und Experten erforderlich, um digitale Verteidigungsmechanismen auf übergeordnete Geschäftsziele abzustimmen, die notwendigen Ressourcen zuzuweisen, Veränderungen zu erleichtern und klare Verantwortlichkeiten festzulegen.

Mit dem verhaltensorientierten Sicherheitsansatz von SoSafe zu mehr Cyberresilienz

Angesichts der zunehmenden digitalen Bedrohungslage liegt klar auf der Hand, wie wichtig es für Unternehmen ist, eine starke Sicherheitskultur aufzubauen. Um dies zu erreichen, müssen die Mitarbeitenden über das erforderliche Wissen verfügen, im richtigen Kontext geschult werden, ein hohes Maß an Motivation aufweisen und sicheres Verhalten zur Routine machen. Diese Elemente sind für die Entwicklung einer nachhaltigen Sicherheitskultur unerlässlich. Zudem stärken engagierte Führungskräfte die Cyberresilienz in einem Unternehmen und übernehmen eine wichtige Vorbildfunktion für die gesamte Belegschaft.

SoSafe unterstützt Unternehmen bei der praktischen Umsetzung der vier zentralen Dimensionen des Behavioral-Security-Modells. Mithilfe von personalisierten, gamifizierten E-Learning-Modulen bauen die Mitarbeitenden ihre Cyber-Sicherheitskompetenzen immer weiter aus.  Für einen noch wirksameren Lerneffekt umfassen unsere realitätsnahen Phishing-Simulationen auch detaillierte Schritt-für-Schritt-Anleitungen, die von Lernspezialistinnen und -spezialisten erstellt wurden. In Rahmen eines kontinuierlichen Lernangebots entwickeln die Mitarbeitenden so sichere Gewohnheiten für ihren Arbeitsalltag, wodurch sie nicht nur die Cyberrisiken für ihr Unternehmen verringern, sondern auch schneller auf Vorfälle reagieren können.

Mit Tools wie dem Phishing-Meldebutton ermöglicht SoSafe den Mitarbeitenden, ihr Wissen effektiv in die Praxis umzusetzen und aktiv zum Schutz des gesamten Unternehmens beizutragen. Darüber hinaus vereinfacht unser Risk & Reporting Cockpit die Kommunikation mit einem interaktiven Dashboard, das komplexe Daten in Handelsempfehlungen umwandelt.

Die Plattform von SoSafe ist mehr als nur ein Tool zur Stärkung der Awareness. Als umfassende Lösung für die Verwaltung einer Sicherheitskultur zielt sie darauf ab, menschliche Risiken zu verringern und einen starken, proaktiven Sicherheitsansatz zu etablieren.