Blog

Best Practices: Menschliches Versagen als größtes Risiko der Cybersicherheit minimieren

Erfahrungen aus der Praxis

Menschliches Versagen ist für 95 % der Verstöße gegen die Cybersicherheit verantwortlich – eine alarmierende Zahl, die zeigt, wie wichtig die Sensibilisierung und Schulung von Mitarbeitenden ist. In unserem neuesten Blogbeitrag erfahren Sie, warum Prävention kostengünstiger ist als Reaktion, wie Unternehmen eine echte Sicherheitskultur schaffen können und welche Best Practices sich in der Praxis bewährt haben. Von interaktiven Schulungen bis hin zu klaren Kommunikationswegen: Lesen Sie, wie Sie Ihr Unternehmen effektiv schützen und gleichzeitig einen entscheidenden Wettbewerbsvorteil sichern können!

Als Berater für Datenschutz und Cybersicherheit habe ich zahlreiche Vorträge gehalten und Workshops bei Unternehmen und Organisationen durchgeführt. Dabei ist mir immer wieder aufgefallen, wie wichtig es ist, die Mitarbeitenden für diese Themen zu sensibilisieren und ihnen die Bedeutung von Datenschutz und Datensicherheit nahezubringen. 

Die Zahlen sprechen eine deutliche Sprache: Laut einer Bitkom-Studie waren Jahr 2024 81% der deutschen Unternehmen von Datendiebstahl, Industriespionage oder Sabotage betroffen. Der dadurch entstandene Schaden belief sich auf 266,6 Milliarden Euro. Besonders alarmierend ist, dass laut Studien 95% der Verstöße gegen die Cybersicherheit auf menschliches Versagen zurückzuführen sind. Diese Zahlen unterstreichen die dringende Notwendigkeit, Mitarbeitenden in Unternehmen besser zu schulen und für die Gefahren zu sensibilisieren. 
Denn Prävention ist grundsätzlich kostengünstiger als Reaktion im Problemfall.

Die Bedeutung von Datenschutz-Awareness

In meiner Beratungspraxis habe ich die Erfahrung gemacht, dass viele Unternehmen den Fehler begehen, Datenschutz und IT-Sicherheit als rein technische Angelegenheiten zu betrachten. Dabei wird oft übersehen, dass der Mensch der entscheidende Faktor ist. Ein Unternehmen kann die modernsten Sicherheitssysteme installieren, doch wenn die Mitarbeitenden nicht verstehen, warum diese wichtig sind und wie sie damit umgehen sollen, bleiben sie wirkungslos. Ein zentraler Aspekt meiner Arbeit ist es daher, den Mitarbeitenden zu vermitteln, wie wertvoll und schützenswert die Daten von Kunden und Geschäftspartnern sind. Erst wenn sie diese Sensibilität entwickelt haben, sind sie offen für konkrete Handlungsanweisungen und dankbar für Hinweise zur Compliance. 

Best Practices für effektive Awareness-Schulungen

1. Schulungen auf Augenhöhe durchführen
Eine der wichtigsten Erkenntnisse aus meiner Beratungstätigkeit ist, dass Top-Down-Ansätze bei der Vermittlung von Datenschutz und IT-Sicherheit oft scheitern. Wenn die Geschäftsführung einfach Richtlinien vorgibt und erwartet, dass diese befolgt werden, führt das häufig zu Widerstand oder Gleichgültigkeit bei den Mitarbeitenden. Stattdessen empfehle ich, Schulungen auf Augenhöhe durchzuführen. Die Mitarbeitenden müssen sich ernst genommen und wertgeschätzt fühlen. Nur so kann eine Kultur der Sicherheit entstehen, in der alle an einem Strang ziehen. Eine weitere, indirekte Form der Wertschätzung ist, die große Verantwortung aufzuzeigen, die mit der Verarbeitung von Daten von Partnerunternehmen oder der Kundschaft einhergeht. Im Zweifelsfall haben die Mitarbeitenden es mit Informationen zu tun, hinter denen individuelle Schicksale stehen. Das bedeutet, dass die Aufgabe eine hohe Verantwortung mit sich bringt. Und eine solche Aufgabe kann nur von Menschen ausgeführt werden, die der Herausforderung gewachsen sind. Und dieser Zusammenhang ist ebenfalls eine Form der Wertschätzung.

2. Praxisnahe und relevante Beispiele verwenden
In meinen Workshops verwende ich stets praxisnahe Beispiele, die direkt aus dem Arbeitsalltag der Teilnehmenden stammen. Wenn Mitarbeitende verstehen, wie Datenschutzverletzungen oder Cyberangriffe konkret ihr tägliches Arbeitsleben beeinflussen können, sind sie viel eher bereit, Sicherheitsmaßnahmen ernst zu nehmen und umzusetzen. Dafür lohnt es sich bspw. eine solche Veranstaltung mit der Sammlung eigener Erfahrungen zu beginnen. Auch wenn es nicht unbedingt eigene Erlebnisse sein müssen - es kann ja auch peinlich sein, dies offen zuzugeben - so kennt doch fast jeder ein unangenehmes Ereignis, das jemandem im Freundes- oder Bekanntenkreis widerfahren ist. Identitätsdiebstahl, gehackte Konten oder das Ausspionieren von Firmeninformationen durch Social Engineering gehören heute leider zum Alltag. 

3. Regelmäßige Schulungen und Updates anbieten
Die Bedrohungslandschaft im Cyberspace ändert sich ständig. Daher ist es wichtig, Datenschutz- und Sicherheitsschulungen nicht als einmalige Angelegenheit zu betrachten, sondern als kontinuierlichen Prozess. Ich empfehle Unternehmen, mindestens einmal jährlich Auffrischungsschulungen durchzuführen und zusätzlich kurzfristig auf aktuelle Bedrohungen zu reagieren. Denn was zum Beispiel früher noch mehr oder weniger einfach erkennbares Phishing war, ist inzwischen durch KI in Kombination mit offen zugänglichen Informationen aus den sozialen Medien immer individueller erstellt und dadurch sehr viel gefährlicher. 

4. Interaktive Elemente einbauen
Reine Frontalvorträge sind oft wenig effektiv. Stattdessen setze ich in meinen Workshops auf interaktive Elemente wie Rollenspiele, Quizze und praktische Übungen. Dies erhöht nicht nur die Aufmerksamkeit der Teilnehmenden, sondern hilft auch dabei, das Gelernte besser zu verinnerlichen. Eine bewährte Methode ist zum Beispiel, kurze Falldarstellungen von Datenschutzverletzungen zu verteilen und in Kleingruppen diskutieren zu lassen. Diese werden dann in der Gesamtgruppe vorgestellt und gemeinsam kann dann über optimale Verhaltensweisen in solchen Fällen diskutiert werden.

5. Positive Verstärkung nutzen
Statt Mitarbeitende für Fehler zu bestrafen, rate ich Unternehmen dazu, positives Verhalten zu belohnen. Dies kann durch Anerkennung, kleine Preise oder andere Anreize geschehen. So wird eine positive Einstellung zum Thema Datenschutz und IT-Sicherheit gefördert. Und auch Angst, Vorfälle zu melden wird dadurch reduziert. Es ist zwar immer einfach zu sagen, dass lieber einmal zu oft ein möglicher Vorfall gemeldet werden sollte, statt einmal zu wenig – aber die Belohnung „richtigen“ Verhaltens vermittelt dies noch effektiver.

6. Klare Kommunikationswege etablieren
Ein wichtiger Aspekt, den ich in meinen Beratungen immer wieder betone, ist die Etablierung klarer Kommunikationswege. Mitarbeitende müssen wissen, an wen sie sich im Verdachtsfall wenden können, ohne Angst vor negativen Konsequenzen haben zu müssen. Hier helfen zum Beispiel Checklisten oder Ablaufpläne, die an viele Orten offen sichtbar in den Unternehmensräumen aufgehängt werden. 

Die Rolle der Führungsebene

Ein entscheidender Faktor für den Erfolg von Datenschutz- und IT-Sicherheitsmaßnahmen ist die Unterstützung durch die Führungsebene. In meinen Gesprächen mit Geschäftsführenden und Vorständen betone ich stets, dass Cybersicherheit eine Sache der Leitungsebene ist. Die Führungskräfte müssen mit gutem Beispiel vorangehen und die Wichtigkeit des Themas vorleben. Nur so kann eine unternehmensweite Kultur der Sicherheit entstehen. 

Der menschliche Faktor: Mehr als nur Technologie

Es ist wichtig zu verstehen, dass menschliche Fehler nicht allein durch technologische Lösungen behoben werden können. Der Mensch muss als ganzheitliches Wesen betrachtet werden, mit all seinen Stärken und Schwächen. Datenschutz und IT-Sicherheit müssen daher auf der menschlichen Ebene adressiert werden. Dies bedeutet, dass Unternehmen eine Kultur des Vertrauens und der offenen Kommunikation schaffen müssen, in der Mitarbeitende sich trauen, Fehler zuzugeben und Fragen zu stellen. Nur so können potenzielle Sicherheitsrisiken frühzeitig erkannt und behoben werden. 

Prävention: Der kostengünstigere Weg

Ein weiterer Aspekt, den ich in meinen Beratungen immer wieder hervorhebe, ist die Tatsache, dass Prävention deutlich kostengünstiger ist als die Reaktion auf bereits eingetretene Probleme. Die Gesamtsumme der verhängten Bußgelder für Datenschutzverletzungen in Deutschland belief sich 2023 auf knapp 5 Millionen Euro. Im Vergleich dazu sind die Investitionen in Schulungen, Sicherheitssysteme und präventive Maßnahmen oft nur ein Bruchteil dieser Summe. Unternehmen, die proaktiv in ihre Cybersicherheit investieren, können nicht nur finanzielle Verluste vermeiden, sondern auch ihre Reputation schützen und das Vertrauen ihrer Kundschaft stärken. Unternehmen sollten ihre Bemühungen auf dieser Ebene auch offen nach außen kommunizieren. Solche Maßnahmen sind keineswegs ein Stigma, sondern ein Qualitätsmerkmal eines Unternehmens.

Fazit und Ausblick

Meine Erfahrungen als Berater haben mir gezeigt, dass Unternehmen, die Datenschutz und IT-Sicherheit ernst nehmen und ihre Mitarbeitenden entsprechend schulen, deutlich besser gegen Cyberangriffe und Datenschutzverletzungen gewappnet sind. Angesichts der steigenden Bedrohungen – laut Bitkom erwarten 90% der Unternehmen für 2025 eine Zunahme von Cyberangriffen – wird die Bedeutung von effektiven Awareness-Maßnahmen weiter zunehmen. 

Die Investition in die Schulung und Sensibilisierung der Mitarbeitenden ist nicht nur eine Frage der Compliance, sondern ein entscheidender Wettbewerbsvorteil. Unternehmen, die hier vorausschauend handeln, werden in Zukunft besser aufgestellt sein, um den Herausforderungen der digitalen Welt zu begegnen. Als Berater sehe ich es als meine Aufgabe, Unternehmen auf diesem Weg zu begleiten und sie dabei zu unterstützen, eine resiliente und sichere Unternehmenskultur aufzubauen.