Die Intentions-Verhaltens-Lücke: Warum besseres Wissen in der IT-Sicherheit nicht ausreicht

Die meisten von uns kennen dieses Gefühl auch ohne verhaltenswissenschaftliche Theorien, die es erklären: Man nimmt sich vor, früher ins Bett zu gehen, sich gesünder zu ernähren oder endlich den Stapel an Verwaltungsaufgaben abzuarbeiten, der seit zwei Wochen auf dem Schreibtisch liegt. In dem Moment, in dem man die Entscheidung trifft, meint man es auch wirklich ernst. Doch dann wird der Tag lang, die Energie lässt nach und die Option, die den geringsten Aufwand erfordert, gewinnt.

In meiner Arbeit mit Security-Verantwortlichen bei SoSafe sehe ich jeden Tag, wie sich genau diese Dynamik in Unternehmen abspielt. Mitarbeitende müssen ständig konkurrierende Prioritäten und knappe Fristen unter einen Hut bringen. Wenn eine Aufgabe schnell erledigt werden muss, bevorzugt der Mensch ganz natürlich den Weg des geringsten Widerstands.

Warum unter Druck meist die Bequemlichkeit siegt

Wenn Zeitdruck mit einem umständlichen Prozess zusammenfällt, entscheiden sich Menschen standardmäßig für die bequemste Variante. Verhaltenswissenschaftler bezeichnen diese Diskrepanz zwischen dem, was Menschen planen zu tun, und dem, was sie tatsächlich tun, als die Intentions-Verhalten-Lücke. Forschung zum Thema Zielerreichung zeigt, dass selbst eine deutliche Absichtsänderung nur eine geringfügige Veränderung des tatsächlichen Verhaltens bewirkt.

Ein Mechanismus, der hier eine Rolle spielt, ist das sogenannte Delay Discounting, auch als Verzögerungsabwertung bezeichnet: Menschen messen Ergebnissen, die weiter in der Zukunft liegen, von Natur aus weniger Wert bei. Im Bereich der IT-Sicherheit sorgt beispielsweise eine Übergangslösung im Arbeitsalltag für sofortige Erleichterung. Die Belohnung dafür, den sicheren Weg zu wählen, ist unsichtbar und zeitlich verzögert. Es ist also nachvollziehbar, warum der Workaround gewinnt.

Den Weg anpassen, statt die Richtlinie zu wiederholen

Sobald man das menschliche Risiko aus dieser Perspektive betrachtet, verschiebt sich die Herausforderung für die Führungsebene. Die Aufgabe besteht dann weniger darin, die Mitarbeitenden an die Richtlinien zu erinnern, sondern vielmehr darin, herauszufinden, welchen Weg sie an einem geschäftigen Nachmittag einschlagen.

Die Passwortverwaltung ist ein anschauliches Beispiel. Zu erwarten, dass Mitarbeitende Dutzende einzigartige, komplexe Zugangsdaten erstellen und sich diese merken, war nie realistisch. Die Einführung von Passwortmanagern verändert die Systemmechanik selbst und reduziert den kognitiven Aufwand, sodass sicheres Verhalten zum Weg des geringsten Widerstands wird.

Um zu beurteilen, ob die täglichen Prozesse sichere Gewohnheiten unterstützen, sollten Sie die folgenden Bedingungen rund um den Entscheidungspunkt genau betrachten:

• Zugänglichkeit: Können Mitarbeitende eine verdächtige Nachricht mit einem einzigen Klick melden, ohne ihren normalen Arbeitsablauf zu verlassen?
• Kultur: Ist es in der Unternehmenskultur normal, sich eine zusätzliche Minute Zeit zu nehmen, um eine ungewöhnliche Anfrage gegenzuprüfen?
• Anreize: Belohnen operative Ziele unbeabsichtigt eher schnelles Handeln als eine gründliche Überprüfung?

Prozesse für den realen Arbeitskontext gestalten

Allgemeine Awareness-Trainings sind oft unzureichend, weil sie von den Mitarbeitenden verlangen, abstrakte Regeln spontan in ihre tägliche Arbeitsrealität zu übertragen. Ein Finanzspezialist, eine Softwareentwicklerin und ein Operations Manager stehen vor völlig unterschiedlichen Entscheidungspunkten, selbst wenn für sie alle genau dieselbe Sicherheitsrichtlinie gilt.

Bei SoSafe entwickeln wir personalisierte Awareness-Trainings, die genau auf diese Realität eingehen. Indem wir die Inhalte an die spezifische Rolle, die Sprache und den operativen Kontext der Mitarbeitenden anpassen, spiegeln unsere Sicherheitsempfehlungen die tatsächlichen Entscheidungen wider, vor denen die Menschen während ihres Arbeitstages stehen.

About the author

Dr. Christian Reinhardt
Director of Human Risk Management, SoSafe

Dr. Christian Reinhardt is a sports psychologist, author, speaker, and former Managing Director of the Saxony-Anhalt Football Association. As an expert in human behavior and adult education, he brings deep psychological insight to his role as Director of Human Risk Management at SoSafe. There, he focuses on how cybercriminals exploit psychological mechanisms to manipulate individuals—and how organizations can harness the same behavioral science to foster secure habits. Previously, he lectured at Martin Luther University Halle-Wittenberg and worked as a learning consultant with international companies, always with a passion for turning complex psychological concepts into practical, people-centered strategies for awareness and behavior change.

Mehr erfahren