Human Risk Management

Human Risk Management identifiziert menschliche Cyberrisiken messbar, steuert gezielte Trainings und verankert Sicherheitskultur – datenbasiert und wirksam.

Inhalt

1. Was ist Human Risk Management?
2. Risiken identifizieren
3. Maßnahmen steuern
4. Sicherheitskultur stärken

Überblick: Human Risk Management

• Human Risk Management identifiziert menschliche Schwachstellen datenbasiert und priorisiert die größten Hebel systematisch
• Risikometriken messen die tatsächliche Wirkung von Maßnahmen – nicht nur Abschlussquoten oder Klickraten
• Trainings und Interventionen berücksichtigen Rollen, Kontext und individuelle Verhaltensmuster der Mitarbeitenden
• Sichere Routinen verankern sich im Arbeitsalltag und entwickeln sich zu stabilen Sicherheitsgewohnheiten
• Die Human-Risk-Management-Platform von SoSafe bewertet Risiken mit dem Human Security Index und steuert Maßnahmen automatisiert

Warum Human Risk Management jetzt relevant ist

Human Risk Management ist in einer Zeit in unsere Leben getreten, in der sich Organisationen weltweit mit einem alarmierend rasanten Wachstum von Cybercrime konfrontiert sehen. Und das ist kein Zufall.

Cyberangriffe werden nicht nur häufiger, sondern auch immer ausgeklügelter. Das liegt zum einen an dem Vormarsch KI-getriebener Tools und zum anderen an den immer kreativeren Social-Engineering-Methoden. Mit diesen zielen Cyberkriminelle auf den Faktor Mensch ab und umgehen so moderne technologische Schutzmaßnahmen. Laut dem Data Breach Investigations Report von Verizon spielte bei bis zu 74 Prozent aller Datenschutzverletzungen das menschliche Element eine Rolle; und das ist erst der Anfang von dem, was uns in Zukunft noch erwartet. Forrester prognostiziert, dass dieser Prozentsatz 2024 sogar auf 90 Prozent ansteigen wird.

Diese Zahlen zeigen eine entscheidende Lücke auf. In der Vergangenheit fokussierten sich Unternehmen darauf, ihre technischen Schutzmaßnahmen zu verbessern, vernachlässigten dabei jedoch oft die wichtige Rolle ihrer Mitarbeitenden. Starke technische Sicherheitsmaßnahmen sind zwar unerlässlich, heute jedoch nicht mehr ausreichend zum Schutz vor den ausgeklügelten Angriffsmethoden. Cyberkriminelle umgehen technische Abwehrmechanismen effektiv, indem sie auf den Faktor Mensch abzielen. Für CISOs im Risk Management bedeutet das: Neben Firewalls und Endpoints rückt die messbare Steuerung menschlicher Risiken in den Fokus – als strategische Säule der Gesamtsicherheit.

In einem Versuch, diese Problematik zu lösen, entstanden Security Awareness and Training Solutions (SA&Ts), die auch von Compliance-Frameworks aufgegriffen wurden. Ihr Fokus lag jedoch auf der schnellen Wissensvermittlung; nicht auf der nachhaltigen Anpassung von Verhalten. Doch die aktuelle Cyber-Bedrohungslage macht deutlich, dass das Erfüllen von Compliance-Anforderungen allein nicht genug ist.

Deshalb forderten Analysten und Security-Verantwortliche verstärkt einen ganzheitlichen Ansatz, mit dem sie menschlichen Sicherheitsrisiken bestimmen, bewerten, managen und letztlich minimieren können. Sie brauchen eine Lösung, die ergebnisfokussiert ist und das menschliche Verhalten als Ganzes versteht. Nur so kann eine Sicherheitskultur geschaffen werden, in der sicheres Verhalten zur Selbstverständlichkeit wird. Dieser Ansatz heißt Human Risk Management.

Bevor wir genauer darauf eingehen, was Human Risk Management im Detail umfasst, beginnen wir bei den Grundlagen – und zwar mit der Frage, warum SA&T heute nicht mehr funktioniert.

Zuerst die Basics: Was ist Security Awareness und Training und warum ist es heute nicht mehr effektiv?

Security Awareness and Training (SA&T) ist die branchenweit geläufige Bezeichnung für interne Programme und Initiativen, mit denen Unternehmen ihre Mitarbeitenden zu den verschiedenen Aspekten der IT-Sicherheit schulen.

Es lässt sich nicht genau feststellen, wann diese Bezeichnung zum ersten Mal verwendet oder etabliert wurde. Doch Anfang der 2000er-Jahre breitete sich das Konzept verstärkt aus – in einer Zeit, in der das Internet immer mehr zu einem Bestandteil unseres Alltags wurde und damit auch die Cyberangriffe zunahmen. Eine der offiziellen Quellen, die von „Security Awareness and Training“ sprach, war die Special Publication 800-50 mit dem Titel „Building an Information Technology Security Awareness and Training Program“, die 2003 vom National Institute of Standards and Technology (NIST) veröffentlicht wurde. Dieses Dokument lieferte einen Leitfaden, wie sich wirksame SA&T-Programme aufbauen lassen – und machte damit offiziell deutlich, welchen Stellenwert solche Initiativen für die Cybersicherheit haben.

In der Praxis blieb der Nutzen der ersten Trainingsprogramme allerdings oft überschaubar. Es fehlten Formate, die Menschen wirklich abholen: interaktive Elemente, die neugierig machen, die Aufmerksamkeit halten und Lernen in Verhalten übersetzen.
Und selbst als später modernere Bausteine wie Phishing-Simulationen oder Nudging hinzukamen, sah der Alltag in vielen Organisationen noch 2020 ziemlich ernüchternd aus: große, aber austauschbare Videobibliotheken, Inhalte für „alle“ – und ein starker Fokus auf Compliance statt auf konkrete Risikoreduktion. Jinan Budge, VP, Principal Analyst bei Forrester, veröffentlichte im November 2021 einen Artikel genau zu dieser Thematik:

2022 herrschte scheinbar bereits größeres Bewusstsein für die Tatsache, dass Organisation nicht nur Compliance-Anforderungen erfüllen, sondern sich zudem darauf fokussieren müssen, sicheres Verhalten bei ihren Mitarbeitenden zu fördern, eine Sicherheitskultur aufzubauen und menschliche Risiken zu überwachen. Auch Gartner verdeutlichte als Branchenexperte, dass Sicherheitsverantwortliche ihre Awareness-Programme auf die Ziele im Bereich Human Risk Management ausrichten sollten, anstatt allein auf regulatorische und Audit-fähige Compliance zu zählen. Doch ist die Ära, in der wir stumpf Checklisten mit veralteten und unklaren Compliance-Anforderungen abhaken, wirklich vorbei?

Die Antwort lautet: noch nicht ganz. Eine aktuelle NIST-Studie zeigte, dass 56 Prozent der Sicherheitsverantwortlichen Compliance immer noch als wichtigsten Erfolgsindikator für ihre SA&T-Programme betrachten. Gleichzeitig erkannten sie jedoch auch an, dass die Compliance keine Rückschlüsse auf den Erfolg im Hinblick auf die Anpassung von Verhalten und der persönlichen Einstellung zulasse. Bei der Frage, wie Organisationen die Effektivität ihrer Security-Awareness-Programme messen, stellte sich heraus, dass dazu vor allem die Abschlussquoten (84 %) und die Klickraten der Phishing-Simulationen (72 %) herangezogen wurden.

Das verdeutlicht, dass noch jede Menge Arbeit vor uns liegt, um Unternehmen weltweit wachzurütteln und dazu zu bringen, Cybersecurity über Compliance hinaus aus einer ganzheitlichen Perspektive zu betrachten.

Compliance ist nicht das Problem – im Gegenteil, sie bleibt wichtig. Aber sie taugt nicht als alleiniger Antrieb. SA&T ist ein Werkzeug, kein Selbstzweck. Human Risk Management braucht einen ganzheitlichen Blick: individuelle Strategien, die Menschen wirklich motivieren – und klare Metriken, die zeigen, ob sich Verhalten ändert und Risiken sinken. Erst dann lässt sich SA&T Schritt für Schritt weiterentwickeln und Organisationen werden insgesamt widerstandsfähiger und anpassungsfähiger.

Genau darum geht es beim Human Risk Management. Und während wir bisher noch nicht ganz dort angekommen sind, zieht dennoch die gesamte Branche am selben Strang, damit sich dieser Ansatz branchenweit festigt.

Was versteht man genau unter menschlichen Risiken?

Wir haben in diesem Guide bereits einige Male „menschliche Risiken“ erwähnt, da sie ein entscheidendes Element des Human Risk Managements sind. Doch was versteht man eigentlich genau unter menschlichen Sicherheitsrisiken?

Um Human Risk als Konzept zu verstehen, helfen zwei Begriffe: Schwachstelle und Bedrohung. Schwachstellen beschreiben, wie anfällig eine Person für Handlungen ist, die zu einem Sicherheitsvorfall führen können – durch mangelnde Awareness, technische Lücken, ungünstige Entscheidungen oder schlicht menschliches Versagen. Beispiel: Jemand erkennt Phishing nicht, weil ihm die typischen Muster nicht bekannt sind.
Bedrohung meint dagegen die Quelle eines Angriffs – etwa Social-Engineering-Taktiken wie Phishing, Spear-Phishing oder Pretexting, die gezielt auf Menschen abzielen. Ein weiteres Szenario zur Veranschaulichung:

Das menschliche Risiko sitzt genau dazwischen: Es misst, wie verwundbar eine Organisation gegenüber Verlusten oder Schäden ist, wenn eine Bedrohung auf eine Schwachstelle trifft. Anders ausgedrückt:

Ein neues Marktsegment: Was ist Human Risk Management?

Nachdem wir die Begriffe SA&T, Schwachstelle, Bedrohung und menschliche Risiken definiert haben, lässt sich einfacher aufzeigen, was Human Risk Management ausmacht. Möglicherweise sind Ihnen auch Begriffe wie „Security Behavior and Culture Programs“ (SBCPs) oder „Human Detection and Response“ untergekommen – sie beschreiben dasselbe Konzept. Geprägt hat den Begriff „Human Risk Management“ vor allem Forrester im Artikel „The Future Is Now: Introducing Human Risk Management“, wo er wie folgt definiert ist:

Die Kernaussage deckt sich mit dem, was wir bereits skizziert haben: Einfache Awareness-Maßnahmen reichen nicht aus, um Risiken spürbar zu senken. Traditionelle Awareness-Programme, die auf Sensibilisierung und Wissensübermittlung ausgelegt sind, klären die Lernenden über potenzielle Bedrohungen und mögliche Response-Strategien auf. Ein solcher Ansatz funktioniert in unserer dynamischen Welt jedoch meist nicht mehr. Die schnelllebige Cyber-Bedrohungslage von heute erfordert ganzheitliches Human Risk Management, das ergebnisfokussiert ist und auf verhaltenspsychologischen Prinzipien aufbaut. Es geht nicht nur darum, Wissen zu vermitteln, sondern menschliches Verhalten als Ganzes zu verstehen – dazu gehören auch die zugrunde liegenden Hintergründe und Treiber und wie diese zum Ausdruck kommen. Ziel ist es, eine Sicherheitskultur zu schaffen, in der jeder Einzelne – mit Hilfe verhaltenspsychologischer Methoden und neuester Technologie – sicheres Verhalten verinnerlicht.

Human Risk Management (HRM) ist eine evidenzbasierte Trainingsmethode, die gezielte Maßnahmen basierend auf dem individuellen Risikoprofil einer Person ermöglicht. Basierend auf empirischen Daten und einem wissenschaftlichen Fundament lässt diese Methode eine präzise Bestimmung der menschlichen Schwachstellen zu. Dabei werden vergangene Sicherheitsvorfälle analysiert, User-Aktivität im Netzwerk überwacht und wiederkehrende Verhaltensmuster identifiziert, die zur Erhöhung des Risikos beitragen.

Um dieses neue Konzept aus allen Winkeln zu beleuchten, sehen wir uns im Folgenden jedes der vier Elemente aus der Definition von Forrester im Einzelnen an.

Der erste Schritt: Identifizieren und Messen von Verhalten und Bewerten des menschlichen Risikos

Traditionelle Security-Awareness-Lösungen zogen zur Messung des Risikos lange Zeit eingeschränkte Aktivitätsmetriken heran. Dabei wurde oft ein essentieller Aspekt vernachlässigt: Wie effektiv reduziert die Trainingslösung tatsächlich die Angreifbarkeit gegenüber Cyberbedrohungen? Das Verfolgen von Abschlussquoten und Prüfungsergebnissen bietet zwar Rückschlüsse auf das Engagement und den Wissenserwerb – jedoch nicht automatisch auf die erzielte Verhaltensänderung oder Risikominderung. Deshalb geht HRM über grundlegende Aktivitätsmetriken hinaus und berücksichtigt detailliertere, aussagekräftige Risikometriken, die den Wirkungsgrad der Trainingsmaßnahmen im Hinblick auf die Reduzierung realer Cyber-Sicherheitsrisiken messen.

SoSafe entwickelte den Human Security Index (HSI) gezielt, um menschliche Sicherheitsrisiken innerhalb einer Organisation präzise bewerten zu können, indem potenziell gefährliches Verhalten erkannt und damit verbundene Risiken bestimmt werden. Wer genau weiß, wo die Risiken am größten sind und welche Teams besonders betroffen sind, kann gezielt gegensteuern – ein entscheidender Hebel für CISOs im Risk Management. Fällt beispielsweise in bestimmten Abteilungen riskantes Verhalten auf, etwa wenn personenbezogene Daten in KI-Tools landen, sensible Infos über offene Netzwerke geteilt werden oder schwache Passwörter im Einsatz sind, dann lässt sich genau dort mit passenden Maßnahmen ansetzen. So gelingt Verhaltensänderung schnell und effektiv.

Die oben erwähnten Maßnahmen bringen uns zum zweiten Teil der Definition, in dem es genau darum geht.

Einführen von Richtlinien und auf menschliche Risiken ausgerichteten Trainingsmaßnahmen

Das Bewerten des Sicherheitsrisikos ist nur ein Teil der Gleichung; um proaktiv Sicherheitsmaßnahmen zu ergreifen, müssen wir durch Interventionen zielgerichtet auf die erkannten Schwachstellen und Bedrohungen eingehen. Wenn das Dashboard beispielsweise eine bestimmte Wissenslücke aufzeigt und erkenntlich wird, dass eine bestimmte Personengruppe durch ihr Verhalten das Risiko der Organisation erhöht, dann können CISOs die Lernerfahrung durch Trainingsmaßnahmen auf diese Erkenntnisse abstimmen – zum Beispiel durch Nudging dieser Mitarbeitenden über unseren AI-basierten Chatbot. Auch der Schwierigkeitsgrad und die verhaltenspsychologischen Vektoren der Phishing-Simulationen sind an das individuelle Risiko und Verhalten anpassbar. SoSafe bietet beispielsweise die Möglichkeit, Nutzergruppen mit hohem Risiko – wie Finanzabteilung, HR, Sicherheitsteams, Führungsebene und Engineering – personalisierte Phishing-Simulationen bereitzustellen. Doch das ist erst der Anfang, denn mögliche Schulungsmaßnahmen gibt es so viele wie potenzielle Risiken. Die effektivste Herangehensweise besteht darin, die Maßnahmen nach dem jeweiligen Risiko zu priorisieren. Im folgenden Screenshot sehen Sie beispielhaft vier verschiedene Interventionen, die Sie über die SoSafe-Plattform registrieren und auslösen können.

Tiefere Einblicke in Nutzerverhalten dank Integrationen

Es hat eine geradezu transformierende Wirkung, eine ganzheitliche Sicht auf Sicherheit einzunehmen und detaillierte Einblicke in das Verhalten unserer Teams zu gewinnen. Dazu gehört auch, Daten aus dritten Quellen heranzuziehen und sicherzustellen, dass wir alle uns zur Verfügung stehenden Technologien ausschöpfen, um die Risiken verschiedenster Organisationen zu bestimmen und zu bewerten. Aus dieser Bemühung, verschiedene Security Tools zu verbinden und zu nutzen, entstand ein Konzept, das Gartner als „Cybersecurity Mesh“ bzw. „Cybersecurity-Mesh-Architektur“ (CSMA) bezeichnete.

Dieser Ansatz verändert, wie CISOs im Risk Management Sicherheit denken: Statt isolierter Lösungen entsteht ein vernetztes System, in dem verschiedene Security-Tools wirklich zusammenspielen.

Werden Daten und Steuerungen zentral gebündelt, greifen die Räder ineinander. So wächst eine Sicherheitsarchitektur, die Angriffe präziser erkennt und schneller darauf reagiert. Richtlinien lassen sich einfacher durchsetzen, Zugriffe genauer steuern – und Sicherheit wird zu einem durchgängigen Prozess statt Stückwerk.

Diese Philosophie ist Teil des Human Risk Managements: Idealerweise sollte jede HRM-Plattform die Integration mit dem restlichen Tech-Stack ermöglichen. Nur so ist ein ganzheitlicher Blick auf die Sicherheitskultur und die Entwicklung der nötigen Schulungsmaßnahmen möglich. Nach diesem Prinzip bietet die SoSafe-Plattform unter anderem folgende Integrationen: 

• Microsoft 365 als Kollabourationstool und zur Data Loss Prevention (z. B. Teilen persönlicher Daten) sowie für die Response auf reale Phishing-Simulationen;  
• Microsoft Entra als Lösung für Identitätsereignisse (z. B. Geschäftsreisen, Identitätsdiebstahl) und zur Authentifizierung (z. B. MFA, Password Spraying etc.);  
• und Microsoft Defender unter anderem zur Endpoint Protection (z. B. Antivirus).

Mitarbeitende befähigen, sich und die Organisation zu schützen

Im Kern von Human Risk Management geht es darum, Teams stark zu machen. Ziel ist es, sie so zu schulen, dass sie sich selbst und das Unternehmen nicht nur effektiv, sondern auch selbstbewusst schützen können. Ohne das geht es nicht und darauf machen wir bei SoSafe schon seit Langem aufmerksam. Einer der effektivsten Hebel, um einen hohen Wirkungsgrad des Trainings sicherzustellen und kontinuierliches Security Management zu ermöglichen, ist die Anwendung verhaltenspsychologischer Prinzipien in jeder einzelnen Lernerfahrung. Dieser Ansatz birgt massive Vorteile – und ihn zu vernachlässigen immense Risiken.

Einer der Hauptgründe, die für diesen Ansatz sprechen: Traditionelle Cyber Security Trainingsmethoden mit standardisierten Checklisten und Lerninhalten funktionieren heute nicht mehr. Sie führen oft zu einem rapiden Rückgang beim User-Engagement und Wissenserhalt, wie die Vergessenskurve nach Dr. Ebbinghaus veranschaulicht. Dieser Theorie zufolge vergessen Lernende schon innerhalb der ersten sieben Tage 90 Prozent des Erlernten. Das gilt insbesondere dann, wenn User ihre Lernroutine und -häufigkeit unterbrechen.

Es gibt jedoch Möglichkeiten, die Mitarbeitenden dazu zu motivieren, beim Lernen am Ball zu bleiben und sich Wissen so nachhaltiger einzuprägen. Beim Spaced Learning wird Wissen kontinuierlich in kleinen Portionen über verschiedene Kanäle, wie E-Mail und Kommunikationstools, vermittelt und so immer wieder aktiv wiederholt. Das setzen wir beispielsweise über unseren AI-basierten Chatbot um, der Nudging über mehrere Kanäle ermöglicht und die Sicherheitskultur durch stetige Kommunikation stärkt. Für CISOs im Risk Management liefert dieser verhaltensbasierte Ansatz den Nachweis, dass Trainings nicht nur absolviert, sondern nachhaltig wirksam werden, weil Risiko-Scores fallen und sich das Sicherheitsverhalten im Alltag stabilisiert.

Das „beiläufige“ Lernen (auch Incidental Learning) ist ein weiteres Element verhaltensbasierter Security-Trainings, das – ähnlich wie das Nudging – das Lernen in alltäglichen Situationen fördert. In einer Zeit, in der wir von Informationen überflutet werden und Zeit Mangelware ist, macht das Bereitstellen von Inhalten in kleinen Einheiten und genau im richtigen Moment den entscheidenden Unterschied. Das perfekte Beispiel ist eine Lernseite, die direkt nach dem Klick auf eine Phishing-Simulationsmail angezeigt wird. Security ​Awareness Training, das in leicht verdaulichen 5-Minuten-Einheiten vermittelt wird, lässt sich problemlos in den Arbeitsalltag integrieren und gewährleistet einen stetigen Lernfortschritt, ohne die Lernenden zu überfordern. Doch Incidental Learning umfasst noch mehr. Studien zeigen, dass Menschen schneller aus Fehlern lernen als aus der Theorie; Phishing-Simulationen bieten einen sicheren Raum, in dem man sich einen Fehler erlauben darf – und dann daraus lernen kann.

Gamification: Ein verhaltenspsychologisches Tool mit starker Wirkung

Der Wechsel von traditionellen Modellen hin zu einer interaktiven Lernerfahrung steigert nicht nur den Lernerfolg, sondern auch die Motivation und den Spaßfaktor. Die von Csikszentmihalyi entwickelte Flow-Theorie bestätigt diese Behauptung: Sie spricht von einem Zustand von erhöhtem Fokus und vollständigem Eintauchen in Aktivitäten, die als positiv und gleichzeitig herausfordernd empfunden werden. Gamification-Elemente, die an das Wissenslevel des Lernenden angepasst sind, können zu diesem Flow-Zustand führen und das Lernen angenehmer und effektiver machen. Außerdem gaben bei einer Umfrage der Trainingsplattform Talent LMS mehr als 80 Prozent der Teilnehmenden an, dass Gamification-Elemente das Lernen erleichterten und eine stärkere Verbindung zu den Inhalten herstellten.

Kurz gesagt: Um eine starke Cyber-Sicherheitskultur zu erzielen, müssen wir eintönige Inhalte in eine unterhaltsame Lernerfahrung verwandeln, sodass Motivation und Security Awareness im Gleichschritt wachsen können. Aus unseren eigenen Produkten gezogene Daten bestätigen: Immersive Storytelling-Elemente und Deep-Gamification erhöhen die Aktivierungsrate um 54 Prozent.

Personalisiertes Lernen verbessert die Time-to-Awareness genauso wie die Nutzererfahrung

Um eine starke Sicherheitskultur aufzubauen, ist ein personalisierbares Trainingsprogrammem erforderlich, das die individuellen Risiken und Aufgaben einzelner Personen innerhalb einer Organisation berücksichtigt. Führungskräfte, die stark auf ihr Firmenhandy angewiesen sind, brauchen Trainingseinheiten, die über die Risiken für mobile Geräte aufklären und wie sie richtig darauf reagieren. Genauso ist für die IT-Abteilung spezifisches Cybersicherheits-Wissen entscheidend, das für andere Abteilungen nicht relevant ist.

Indem wir Lerninhalte auf die einzigartigen Herausforderungen einzelner Personen und ihre Security Awareness abstimmen, schaffen wir eine effektivere und gleichzeitig unterhaltsamere Lernerfahrung. Laut einer Studie von Towards Maturity wünschen sich 77 Prozent der Lernenden Inhalte, die für ihre Position relevant sind. Aus diesem Grund legt dieser verhaltensbasierte Ansatz den Fokus auf die Mitarbeitenden, spricht ihre einzigartigen Herausforderungen an und stellt Informationen bereit, die auf ihre Positionen, Profile und Awareness-Ebenen abgestimmt sind.

Positive Bestärkung als effektivstes Mittel zur Befähigung von Mitarbeitenden

Traditionelle Security-Awareness-Programme betrachten den Menschen in erster Linie als schwächstes Glied in der Cyberverteidigung von Unternehmen. Daraus entstand eine durch Schuldzuweisungen und Ängste geprägte Lernkultur. Die Psychologie lehrt uns jedoch, dass solches Verhalten zu erlernter Hilflosigkeit führen kann – ein von Seligman entwickeltes Konzept. Dieser Theorie zufolge entsteht ein Zustand, in dem eine Person der Auffassung ist, keine Kontrolle über ihre Situation zu haben, was zu Passivität und Depressionen führen kann. Anstatt selbstbestimmt zu handeln und Teil der Lösung zu werden, glauben die Betroffenen nicht an eine mögliche Lösung und führen ein durch Ängste geprägtes Leben. Wir bei SoSafe glauben an die Kraft der positiven Bestärkung zur Befähigung der Mitarbeitenden – sei es durch personalisierte, relevante und interaktive Lerninhalte, kontinuierliche Feedbackschleifen oder Anerkennung.

Durch konstruktives, unterhaltsames und auf reale Situationen abgestimmtes Training kultivieren Unternehmen eine Sicherheitskultur, die sich durch proaktives Handeln auszeichnet und den Mitarbeitenden ermöglicht, Bedrohungen verantwortungs- und selbstbewusst abzuwehren. Der Gedanke dahinter ist simpel: Wer sich kompetent und wertgeschätzt fühlt, handelt auch verantwortungsvoller.

Spielerische Elemente und realistische Simulationen vermitteln dabei nicht nur Fachwissen. Sie geben Mitarbeitenden vor allem das Selbstvertrauen, dass ihr Verhalten die Sicherheit des Unternehmens wirklich stärkt. Ergänzt durch regelmäßiges Feedback entsteht so ein Dialog, in dem Erfolge anerkannt und Lücken konstruktiv geschlossen werden – das schafft Motivation und echten Zusammenhalt.

Hinzu kommt, dass ein offenes, durch gegenseitigen Support geprägtes Umfeld Mitarbeitende motiviert, ihre Erfahrungen miteinander auszutauschen und so voneinander zu lernen. Wir sind überzeugt: Indem wir von Beschuldigung zu Befähigung umdenken, können wir den Faktor Mensch von einer Schwachstelle in einen starken Verbündeten im Kampf gegen Cyberbedrohungen verwandeln.

Mehr Security Champions für mehr Kompetenz in digitaler Sicherheit

In seiner sozialkognitiven Lerntheorie verdeutlichte Bandura, dass Menschen lernen, indem sie andere Menschen beobachten, imitieren und nachahmen. Im Bereich der Cybersecurity können positive Vorbilder, wie Kollegen, die konsistent sicheres Verhalten zeigen, den Lernprozess fördern und sichere Gewohnheiten festigen. Wir bei SoSafe sind von der starken Wirkung dieser Theorie überzeugt. Deshalb werden auf unserem Analytics-Dashboard Mitarbeitende mit besonders guter Leistung hervorgehoben, damit Sie sie zu Security Champions ernennen können. So schaffen Sie eine starke Verteidigungslinie und machen Cybersicherheit zu einer gemeinsamen Verantwortung.

Sicherheitskultur als Schlüsselfaktor zur Minimierung menschlicher Risiken

Das alles läuft auf eines hinaus: Das Endziel ist der Aufbau einer starken Sicherheitskultur, denn nur mit ihr können wir menschliche Risiken effektiv minimieren. Das sichere Verhalten der Mitarbeitenden – wie dass sie den Bildschirm sperren, wenn sie ihren Schreibtisch verlassen, die IT-Abteilung zeitnah über Zwischenfälle informieren oder ihre E-Mails auf verdächtige Aktivitäten scannen – trägt zum Schutz der Organisation bei. Ob solche sicheren Gewohnheiten tagtäglich zuverlässig ausgeführt werden, hängt von der Sicherheitskultur in Ihrer Organisation ab. Doch was bedeutet „Sicherheitskultur“ eigentlich genau?

Bei SoSafe haben wir das Behavioral-Security-Modell entwickelt, das über traditionelle Sicherheitsansätze hinaus geht, indem die Sicherheitsstrategie um den Faktor Mensch herum aufgebaut wird. Diesem Modell zufolge können wir nur dann eine nachhaltige Sicherheitskultur erreichen, wenn wir Mitarbeitende nicht als potenziellen Risikofaktor oder größte Schwachstelle betrachten – sondern als stärksten Glied unserer Verteidigungskette.

Vier Dinge machen das Behavioral-Security-Modell aus: Wissen, Kontext, Motivation und das Verhalten selbst. Nichts davon funktioniert isoliert. Es ist das Zusammenspiel, das Menschen dazu bringt, im richtigen Moment sicher zu handeln.

Die Idee dahinter? Cybersecurity soll kein abstraktes Regelwerk bleiben, sondern Teil des Alltags werden. Wenn diese vier Punkte ineinandergreifen, entsteht echter Schutz – für die Mitarbeitenden persönlich und damit automatisch auch für die Firma.

Im Folgenden finden Sie eine Zusammenfassung der vier Dimensionen und wie sie mit den zuvor beschriebenen psychologischen Theorien und Konzepten in Verbindung stehen. Diese vier Komponenten ebnen gemeinsam den Weg hin zu einer starken, auf Human Risk Management fokussierten Sicherheitskultur. Wenn Sie mehr über das Modell erfahren möchten, lesen Sie unseren Blogpost „Aufbau einer starken Sicherheitskultur: das Behavioral-Security-Modell“:

• Wissen umfasst die Kenntnis der aktuellen Angriffstrends und Bedrohungen sowie der sicheren Verhaltensweisen, die durch ein solides Lernprogrammem bzw. kontinuierliches Awareness-Training mittels kontextbezogener Inhalte vermittelt werden.
• Kontext macht sicheres Verhalten im Zusammenhang mit den individuellen Aufgaben des Mitarbeitenden greifbar und hebt die Wichtigkeit einer personalisierten Lernerfahrung und relevanter Inhalte hervor.
• Motivation bringt Mitarbeitende durch positive Bestärkung (wie Belohnungen oder Anerkennung) dazu, sicheres Verhalten zu übernehmen.
• Verhalten umfasst die Integration sicherer Verhaltensweisen in den Arbeitsalltag und das Etablieren sicherer Gewohnheiten bei den Mitarbeitenden.

Kultur verankern

Demo vereinbaren

Bauen Sie nachhaltige Sicherheitskultur auf – wir zeigen Ihnen, wie es geht.

Wie hilft Ihnen SoSafe, menschliche Risiken zu minimieren?

SoSafe ist die führende Human-Risk-Management-Platform. Mit ihrem verhaltenspsychologischen Fundament und dem Menschen im Fokus stellt sie sicher, dass die Lernenden sicheres Verhalten verinnerlichen. Wir sind überzeugt, dass Menschen von Natur aus das Richtige tun wollen, dabei manchmal jedoch Unterstützung benötigen. In der heutigen eskalierenden Cyber-Bedrohungslage und im Angesicht KI-getriebener Professionalisierung der Cyberkriminalität ist das wichtiger denn je. Wir wollen die weltweite digitale Selbstverteidigung stärken, indem wir Sicherheitskulturen aufbauen und menschliche Sicherheitsrisiken reduzieren – immer mit den Mitarbeitenden im Mittelpunkt.

Mitarbeitende müssen über das nötige Wissen im Bereich Cybersicherheit verfügen, im richtigen Kontext lernen, motiviert sein, ihren Teil beizutragen, und sicheres Verhalten verinnerlichen – nur so kann eine starke Sicherheitskultur entstehen. SoSafe unterstützt Organisationen bei der praktischen Umsetzung der vier Dimensionen des Behavioral-Security-Modells. Dabei sorgen die personalisierten und gamifizierten Lernmodule unserer E-Learning-Plattform dafür, dass das Cybersicherheits-Wissen der Teams geschärft wird. Unsere auf reale Situationen abgestimmten personalisierten Phishing-Simulationen umfassen von E-Learning-Experten erstellte Lernseiten, die das Phishing-Awareness-Training noch effektiver machen. Das Zusammenspiel aus kontinuierlichem Lernen und Phishing-Simulationen hilft Mitarbeitenden, sicheres Verhalten im Arbeitsalltag umzusetzen. Während sich dieses Verhalten zu sicheren Gewohnheiten festigt, sinkt das Sicherheitsrisiko der Organisation und die Fähigkeit, schnell auf Sicherheitsvorfälle zu reagieren, wird optimiert.

Praktische Tools wie der Phishing-Report-Button ermöglichen Mitarbeitenden, Erlerntes in der Praxis anzuwenden und aktiv zum Schutz des gesamten Unternehmens beizutragen. Doch es geht noch weiter: Dank unseres Cyber-Security-AI-Tool Sofie können Sie Ihre Mitarbeitenden schnell und einfach in Ihren Kollabourationstools erreichen. Aktivieren Sie Rapid-Micro-Learning und halten Sie mit Cyberbedrohungen Schritt, schicken Sie Ihren Teams Alerts zu den neuesten Angriffsmaschen und machen Sie sie so zu Ihrer stärksten Verteidigungslinie.

Darüber hinaus ermöglicht Ihnen unser Risk Scoring und Cyber-Security-Dashboard, eigene sowie Drittdaten einzuspeisen, Aktivitäts- und Risikometriken zu verfolgen, menschliche Sicherheitsrisiken zu bewerten, Schwachstellen zu identifizieren und datenbasierte Entscheidungen zu treffen – alles an einem zentralen Ort.