So gestalten Sie den Cybersecurity Awareness Month relevant für die gesamte Belegschaft

Jedes Jahr im Oktober bietet der Cybersecurity Awareness Month Organisationen eine wertvolle Gelegenheit, Menschen für das Thema Sicherheit zu sensibilisieren und in den Austausch zu bringen. Kampagnen werden gestartet, Poster aufgehängt und Teams investieren viel Mühe, um die Mitarbeitenden einzubinden. Doch die viel interessantere Frage ist meiner Meinung nach, was danach passiert – wenn alle in ihre gewohnte Routine zurückkehren und Entscheidungen treffen müssen, ohne dass sie direkt an die Thematik erinnert werden.

Als Senior Customer Success Manager bei SoSafe sehe ich, wie herausfordernd es für unsere Kunden sein kann, Awareness in einer gesamten Belegschaft greifbar zu machen. Organisationen wollen alle erreichen, aber haben dabei oft nur eine knappe Vorbereitungszeit und ihre Mitarbeitenden haben sehr unterschiedliche Arbeitsalltage. Wenn man diese Unterschiede im Arbeitsalltag versteht, eröffnen sich gleichzeitig Möglichkeiten, die bei einer zentral geplanten Kampagne sonst vielleicht übersehen werden.

Eine gemeinsame Botschaft braucht Raum für unterschiedliche Realitäten

Denken Sie an ein Mitglied der Finanzabteilung, eine Kollegin in der Produktion oder einen Mitarbeiter, der zwischen Kundenstandorten hin- und herreist. Sie alle können von Social Engineering betroffen sein, doch die Situationen, in denen sie sich befinden, und die Art und Weise, wie sie auf Informationen zugreifen, sind vermutlich sehr unterschiedlich.

Ich glaube, ein guter Startpunkt ist es, die richtige Balance zwischen einheitlicher zentraler Organisation, lokaler Relevanz und aktiver Beteiligung zu finden.

Ein zentraler Rahmen hilft dabei, unzusammenhängende Kommunikation zu vermeiden, und vermittelt allen die gleichen Sicherheitserwartungen. Lokale Teams können die Inhalte dann an ihr jeweiliges Arbeitsumfeld anpassen. Eine Diskussion über Phishing passt oft gut in ein Meeting im Büro, während andernorts eine kurze visuelle Übung während der Schichtübergabe zugänglicher sein könnte.

Dass es einen gemeinsamen Sicherheitsstandard gibt, heißt nicht, dass alle ihn auf die gleiche Weise erlernen müssen. Manchmal besteht der nützlichste Beitrag eines lokalen Teams darin, zu erklären, in welchen Situationen den Mitarbeitenden am ehesten ein Risiko begegnet und was sie daran hindern könnte, wie erwartet zu reagieren.

Diese Details helfen uns dabei, Awareness so zu gestalten, dass sie zum tatsächlichen Arbeitsalltag passt.

Einen anderen Ansatz haben wir in der ECSM-Kampagne 2026 von SoSafe verfolgt, die kurze Podcast-Episoden auf Deutsch und Englisch umfasste. Die Episoden kamen sehr gut an und boten den Leuten eine weitere Möglichkeit, sich mit den Themen der Kampagne in der Sprache zu befassen, in der sie sich am wohlsten fühlten.

Knüpfen Sie an bekannte Situationen an

Einige der besten Gelegenheiten, über Cybersicherheit zu sprechen, ergeben sich aus alltäglichen Erlebnissen. Die meisten von uns scannen QR-Codes ohne großes Zögern, ob wir nun ein Parkticket bezahlen oder die Speisekarte in einem Restaurant öffnen. Mit diesem Thema lässt sich überraschend unkompliziert ein Gespräch über Vertrauen beginnen, da sich alle mit dieser Situation identifizieren können.

Mir gefallen Beispiele, die dazu anregen, das eigene Verhalten zu reflektieren, besonders gut. Würden die Mitarbeitenden eine fragwürdige Anfrage erkennen? Was würde sie dazu bringen, innezuhalten und diese zu überprüfen? Und hätten sie keine Hemmungen, jemanden um Rat zu fragen?

Diese letzte Frage verdient besondere Aufmerksamkeit. Wir wissen, dass Social Engineering normales menschliches Verhalten ausnutzen kann. Oft werden Menschen unvorbereitet erwischt, wenn sie gerade beschäftigt sind oder versuchen, hilfsbereit zu sein. Dennoch ist es Betroffenen verständlicherweise unangenehm, zuzugeben, dass sie auf einen irreführenden Link geklickt oder Informationen preisgegeben haben.

Das Zögern, einen Fehler zu melden, kann zu einem größeren Problem werden als der anfängliche Fehler selbst. Wie mit Teammitgliedern umgegangen wird, wenn sie Bedenken äußern, beeinflusst, ob sie sich auch beim nächsten Mal trauen, etwas anzusprechen. Schon eine kurze Rückmeldung, dass ihre Meldung hilfreich war, kann einen großen Unterschied machen.

Lassen Sie die Mitarbeitenden zu Wort kommen

Eine wertvolle Erkenntnis aus der direkten Arbeit mit Kunden ist, dass Menschen einem oft Dinge erzählen, bei denen man gar nicht daran gedacht hätte, nach ihnen zu fragen. Awareness-Programme können von genau dieser Offenheit profitieren.

Die Mitarbeitenden könnten plausible Szenarien für Phishing-Simulationen vorschlagen oder anonymisierte Geschichten über Betrugsversuche teilen, die sie selbst erlebt haben. Ihre Beobachtungen können zeigen, wo bestehende Richtlinien unklar sind und wo Leute Möglichkeiten entwickelt haben, Richtlinien zu umgehen, einfach, um ihren Arbeitsalltag zu bewältigen.

Hier gibt es auch Raum für Kreativität. Ein Escape-Room oder eine kurze Challenge, die die Perspektive von Angreifenden einnimmt, kann das Team zusammenschweißen. Eine kleine Aktion in der Kantine oder ein saisonaler visueller Impuls kann auch jene erreichen, die nur selten mit E-Mails oder E-Learning zu tun haben.

Natürlich ist eine ambitioniertere Kampagne nicht immer praktisch durchführbar. Ein 5-minütiges Gespräch über ein relevantes Erlebnis bietet einem Team manchmal mehr Gesprächsstoff als eine aufwendige Aktion.

Wenn von Mitarbeitenden eigene Erfahrungen in den Austausch eingebracht werden, entdecken wir oft Dinge, die durch eine geplante Awareness-Kampagne allein nie ans Licht gekommen wären.

Das Gespräch zu Hause fortsetzen

Ich glaube, dass wir manchmal unterschätzen, wie persönlich relevant Cybersicherheit sein kann.

So kann es etwa vorkommen, dass jemand eine verdächtige Nachricht erkennt, weil er seinen Eltern schon einmal in einer ähnlichen Situation geholfen hat. Andere nehmen umgekehrt wiederum Erkenntnisse aus der Arbeit mit nach Hause und nutzen sie, um mit ihren Kindern über Online-Betrug zu sprechen. Diese Gespräche können Menschen dabei helfen, zu souveräneren digitalen Vorbildern in ihren Familien und in ihrem Umfeld zu werden.

Wenn sie auch Elemente lernen, die für Familie und Freundeskreis relevant sind, haben Mitarbeitende einen Anlass, das Thema mit Menschen in Verbindung zu bringen, die ihnen wichtig sind. Dies kann auch Gespräche am Arbeitsplatz erleichtern. Jemand, dem es unangenehm ist, über die eigenen Erfahrungen zu sprechen, erzählt vielleicht ganz unbefangen, was im Freundeskreis passiert ist.

Das kann den Weg für eine offene Diskussion über Situationen ebnen, die andere vielleicht ebenfalls schon erlebt haben.

Beobachten Sie, was nach der Teilnahme passiert

Die Abschlussrate ist hilfreich, um die Reichweite eines Trainings nachzuvollziehen. Aber sie lässt viele wichtige Fragen offen.

Fühlen sich die Mitarbeitenden beispielsweise sicherer dabei, verdächtige Aktivitäten zu melden? Wie schnell äußern sie Bedenken? Was verraten uns die eingesendeten Beispiele über die Risiken, denen sie ausgesetzt sind?

Ein Anstieg der Meldezahlen deutet manchmal stärker auf wachsendes Vertrauen hin als auf ein schlechteres Sicherheitsverhalten. Diese Muster zusammen mit dem Feedback der Mitarbeitenden zu betrachten hilft uns, ein Gesamtbild von der Situation zu bekommen.

Und Feedback verdient eine Antwort. Wenn eine Person auf einen verwirrenden Prozess hinweist oder ein besseres Beispiel vorschlägt, sollte sie die Rückmeldung bekommen, dass dieser Beitrag gehört wurde. Außerdem ermöglicht uns das Feedback, die nächste Aktivität gemeinsam zu verbessern.

Sie haben wenig Zeit? Beginnen Sie mit 4 Entscheidungen

Ich weiß, wie schnell ein Awareness-Programm unübersichtlich werden kann, wenn Teams versuchen, mit begrenzten Ressourcen allen Bedürfnissen gerecht zu werden. Einige wenige gezielte Entscheidungen können die Planung viel übersichtlicher machen. Wählen Sie die folgenden vier Elemente:

• Ein relevantes Risiko: Wählen Sie eine Situation, der die Mitarbeitenden bei ihrer Arbeit auch wirklich begegnen können.
• Eine nachvollziehbare Geschichte: Finden Sie ein Beispiel, das verdeutlicht, warum jemand darauf hereinfallen könnte.
• Eine Möglichkeit zur Beteiligung: Schaffen Sie eine Gelegenheit für Mitarbeitende, eigene Erfahrungen einzubringen oder gemeinsam ein Szenario zu erkunden.
• Ein Follow-up-Signal: Vereinbaren Sie etwas, worauf Sie später zurückkommen werden, um nachzuvollziehen, ob die Aktivität geholfen hat.

Das gibt Ihnen einen praktischen Ausgangspunkt – mit Spielraum, um die nächste Aktivität auf Basis des Feedbacks weiterzuentwickeln.

Der Cybersecurity Awareness Month kann die Aufmerksamkeit auf ein Thema lenken, das mit vielen anderen Prioritäten konkurriert. Am meisten schätze ich daran, dass sich die Gelegenheit für bessere Gespräche zwischen Security-Teams und den Menschen ergibt, denen sie Support bieten.

Einige dieser Gespräche werden Probleme aufdecken. Andere werden Ideen hervorbringen, an die noch niemand gedacht hatte. Beides ist nützlich und beides liefert uns Ansatzpunkte, an denen wir noch lange nach Ende des Monats Oktober gemeinsam arbeiten können.