Community Digest: So gelingt mit Ihrer ECSM-Kampagne im Oktober eine dauerhafte Verhaltensänderung

Der Oktober ist eine der Zeiten, in denen Security-Teams zusätzliche Unterstützung durch die Führungsebene, mehr Budget und die Aufmerksamkeit des gesamten Unternehmens erhalten. Doch einen Monat lang gute Kampagnen durchzuführen ist nur der erste Schritt: Die wahre Herausforderung besteht darin, dafür zu sorgen, dass diese Gewohnheiten auch für den Rest des Jahres beibehalten werden.

Mit diesem Thema hat sich Andrew Rose in letzter Zeit ausführlich in der SoSafe-Community beschäftigt. Rose ist unser ehemaliger CSO und erster Community Ambassador. In der exklusiven Community für unsere Kunden spricht er darüber, wie Strategie in der Praxis funktioniert, beantwortet Fragen der Mitglieder und teilt, was anderen Teams aktuell zum Erfolg verhilft.

In drei aktuellen Beiträgen hat er aufgeschlüsselt, wie Planung, Zuhören und Messen darüber entscheiden, ob Awareness-Initiativen einen dauerhaften Unterschied machen oder einfach ignoriert werden. Hier finden Sie eine kurze Zusammenfassung seiner wichtigsten Erkenntnisse und einen Ausblick darauf, wie das Gespräch rund um dieses Thema weitergehen wird.

1. Planung: Warum großartige Inhalte allein nicht ausreichen

Bevor Sie E-Mails versenden oder neue Trainings starten, empfiehlt Andrew, einen Schritt zurückzutreten und herauszufinden, wo Ihre Sicherheitskultur eigentlich steht und welche Gewohnheiten wirklich korrigiert werden müssen.

Auch wenn sofort einsetzbare Kampagnenmaterialien wertvolle Zeit sparen, sind Inhalte allein nur die halbe Miete. Um mit diesen Materialien echte Verhaltensänderungen zu erreichen, hat Andrew eine Vorlage für einen Kommunikationsplan geteilt. Dieser orientiert sich am Fogg Behaviour Model zur Verhaltensänderung und konzentriert sich auf 3 praktische Bereiche:

• Überlegen, wer die Botschaft überbringt: Nicht jede Information muss immer vom CISO kommen. Je nach Nachricht wird oft eine viel bessere Wirkung erzielt, wenn Abteilungsleiter, direkte Führungskräfte oder vertraute Kolleginnen und Kollegen diese weitergeben.
• In Richtlinien verankern: Verknüpfen Sie Kampagnenthemen immer mit Ihren eigenen Unternehmensrichtlinien, damit die Belegschaft versteht, was in ihrer täglichen Arbeit erwartet wird, und weiß, wo Details nachgelesen werden können.
• Verhaltenshebel: Nutzen Sie Motivation, Fähigkeiten und Auslöser. Anstatt sich darauf zu verlassen, dass Warnhinweise in Richtlinien ernst genommen werden, sollten Sie sich darauf konzentrieren, sicheres Entscheiden einfach zu machen und die Menschen genau dann durch Nudging zu lenken, wenn sie handeln müssen.

Vollständige Kommunikationsplanvorlage herunterladen

2. Zuhören: Von einseitigen Botschaften zu zweiseitigem Feedback

Wie Andrew beschreibt, lässt sich kein echtes Engagement messen, indem man Klicks und den Abschluss von Trainings verfolgt. Wenn Sie wissen möchten, was wirklich passiert, stellen Sie den Mitarbeitenden zunächst eine einfache Frage: „Was hält Sie davon ab, ein Sicherheitsproblem zu melden?“

Die gesamte Belegschaft als eine einzige Zielgruppe zu behandeln, ist ein weiterer häufiger Fehler. Verschiedene Teams geben Ihnen auf völlig unterschiedliche Weise Feedback. Passen Sie daher Ihre Methoden zur Datenerfassung an:

• Führungskräfte: Verzichten Sie auf allgemeine Umfragen und planen Sie stattdessen ein direktes, persönliches Gespräch.
• Mitarbeitende im operativen Bereich: Beobachten Sie direkt vor Ort, wie gearbeitet wird, um zu sehen, wo Sicherheitsregeln mit der täglichen betrieblichen Realität kollidieren.
• Büropersonal: Sehen Sie sich Supporttickets und Beschwerden über umständliche Software und Prozesse an – hier zeigen sich oft die Schwierigkeiten, die Menschen dazu verleiten, riskante Abkürzungen zu nehmen.

Wenn Mitarbeitende sich die Zeit nehmen, eine verdächtige E-Mail zu melden oder auf einen fehlerhaften Prozess hinzuweisen, sollten Sie eine kurze persönliche Antwort senden. Wenn Meldungen von Mitarbeitenden im Nichts verschwinden, hören diese schnell auf, es überhaupt zu versuchen.

Entdecken Sie die ECSM-Kampagnenmaterialien von SoSafe

3. Messen: Nachweisen, dass sich Gewohnheiten tatsächlich geändert haben

Wenn der Oktober vorbei ist, feiern viele Teams hohe Teilnahmequoten, können aber die Kernfrage oft nicht beantworten: Hat tatsächlich jemand seine Arbeitsweise geändert?

Seitenaufrufe, Besuche am Messestand und abgeschlossene Quizze zeigen nur, dass die Belegschaft mit Inhalten in Berührung kam, nicht aber, dass sie danach etwas anders gemacht hat. Um echte Auswirkungen nachzuweisen, sollten Sie sich auf Kennzahlen konzentrieren, die an konkrete Handlungen gebunden sind:

• Legen Sie zuerst eine Baseline fest: Ziehen Sie vor dem Start historische Daten von 3 Monaten heran – wie DLP-Überschreibungen oder Raten bei der Dokumentenklassifizierung –, damit Sie einen realistischen Maßstab für Vergleiche haben.
• Prüfen Sie nach 30 und 90 Tagen erneut: Höhere Meldezahlen im Oktober sind ein gutes Zeichen, aber ein kurzfristiger Anstieg ist nicht dasselbe wie eine langfristige Änderung der Gewohnheiten. Überprüfen Sie dieselben Kennzahlen nach einem und nach drei Monaten erneut, um zu sehen, was tatsächlich beibehalten wurde.
• Muster im Feedback erkennen: Verfolgen Sie jeden Kommentar, jede Beschwerde und jede Frage, die im Laufe des Monats aufkam. Trends in diesem Feedback zeigen auf, wo noch operative Risiken bestehen.

Nehmen Sie an der Diskussion in der Community teil

In allen drei Beiträgen geht es Andrew nicht darum, fertige Lehrbuchantworten zu liefern. Er formuliert diese Herausforderungen als offene Fragen und betrachtet, was passiert, wenn Kampagnenstrategien auf den Druck des realen Alltags treffen:

• Wie strukturiert Ihr Team jedes Jahr seinen Kommunikationsplan für den ECSM?
• Was hat am besten funktioniert, um ehrliches Feedback von Ihren Mitarbeitenden zu erhalten?
• Wie prüfen Sie, ob Kampagnenbotschaften nach Abschluss der Kampagne tatsächlich im Gedächtnis bleiben?

Wenn Sie Kunde von SoSafe sind, besuchen Sie den Bereich Community Best Practices, um Ihre Erfahrungen zu teilen und zu sehen, wie andere Teams mit diesen Kompromissen umgehen.

Werden Sie Teil der SoSafe-Community

Anmelden