Awareness ist tot - warum Cyber-Trainings nicht wirken und Spielen besser schützt

„Awareness ist tot.“ Eine provokante Aussage aber dahinter steckt eine Erfahrung, die viele Unternehmen kennen: Mitarbeitende klicken sich durch verpflichtende Web-Based-Trainings, beantworten die Fragen und erhalten ein Zertifikat. Ob sich ihr Verhalten im entscheidenden Moment tatsächlich verändert, bleibt oft offen.

In dieser Folge von „Cybersecurity ist Chefsache“ sprechen Nico Freitag und Ann-Katrin Lange mit Florian Haacke und Marcus Schaper über die Grenzen klassischer Security-Awareness-Programme und die Frage, wie aus vermitteltem Wissen echtes, souveränes Handeln werden kann.

Florian bringt mehr als 20 Jahre Erfahrung als Sicherheitsverantwortlicher in DAX-Konzernen und unterschiedlichen Branchen mit. Seine zentrale These: Die Human Firewall beginnt nicht beim einzelnen Mitarbeitenden, sondern an der Spitze des Unternehmens. Wenn Geschäftsführung und Führungskräfte Cybersicherheit nicht sichtbar vorleben, wird das Thema auch in der Belegschaft nicht nachhaltig verankert.

Marcus und Florian erzählen, wie aus ihren Erfahrungen im Energieumfeld die Idee zu „What the Hack!“ entstand. Statt Menschen allein vor ein weiteres Pflichttraining zu setzen, bringt das Serious Business Game Teams miteinander ins Gespräch. Die Teilnehmenden bewerten reale Situationen, diskutieren unterschiedliche Antworten, sammeln Spielvorteile und versuchen gemeinsam, einen Hacker zu stoppen.

In der Folge bleibt es nicht bei der Theorie: Die Runde startet eine Live-Demo. Dabei wird sichtbar, warum der eigentliche Lerneffekt nicht allein in „richtig“ oder „falsch“ liegt. Er entsteht im Austausch, wenn Menschen ihre Entscheidungen begründen, andere Perspektiven kennenlernen und unter Zeitdruck zu einer gemeinsamen Lösung kommen.

Im Gespräch geht es unter anderem um:

Warum klassische Pflichttrainings häufig keine nachhaltige Verhaltensänderung auslösenWeshalb „Awareness ist tot“ nicht das Ende von Awareness, sondern das Ende überholter Methoden meintWarum angstgetriebene Schulungen Mitarbeitende eher zum Problem erklären, als sie zu stärkenWeshalb absolvierte Trainings und Phishing-Klickraten nur begrenzt etwas über Sicherheitskultur aussagenWarum die Human Firewall bei Vorstand und Geschäftsführung beginntWie „Tone from the Top“ die Haltung der gesamten Organisation beeinflusstWeshalb Security Ownership nicht einfach an einzelne Mitarbeitende delegiert werden kannWie haptische Erlebnisse und gemeinsame Übungen abstrakte Konzepte wie Security by Design verständlich machenWarum s