3 Wege psychologisch kluge Security Awareness zu entwerfen

Warum Mitarbeitende das Security-Training ignorieren und was die Psychologie dagegen tun kann

Die meisten von uns haben schon ein Pflichttraining durchgeklickt, ohne einen einzigen Satz wirklich gelesen zu haben. Weiter, weiter, weiter, Quiz, bestanden, fertig. Häkchen gesetzt, Verhalten unverändert.

Die meisten Awareness-Programme setzen auf Information. Dabei zeigt die Verhaltenspsychologie seit Jahrzehnten: Menschen ändern ihr Verhalten nicht, weil sie etwas wissen sondern weil sie sich mit etwas identifizieren. In diesem Artikel nennen wir drei Prinzipien, die einen wirklichen Unterschied machen.

Wir gehen bei Awareness oft so vor, dass wir uns sagen: „Wenn die Leute nur wüssten, wie gefährlich Phishing ist, würden sie aufpassen.“ Wir erklären es ihnen und prüfen ihr Wissen, am besten ohne ihre Arbeitszeit zu belasten.

Die unbequeme Wahrheit ist, dass die meisten Mitarbeitenden längst wissen, dass Phishing gefährlich ist und sich trotzdem unsicher verhalten.

Wieso hören Raucher nicht auf zu rauchen, obwohl sie die Risiken kennen?

Die Verhaltenspsychologie unterscheidet seit Langem zwischen Wissen und Verhalten. Jeder Raucher weiss, dass Rauchen schädlich ist. Jeder, der sich zu wenig bewegt, weiss, dass Bewegung gesund wäre. Wissen allein verändert kein Verhalten.

Was Verhalten verändert, ist die Identität. Der Moment, in dem jemand aufhört zu sagen: „Ich sollte eigentlich nicht rauchen.”, und anfängt zu denken: „Ich bin jemand, der auf seine Gesundheit achtet. Ich bin Nichtraucher.”, ist der Kipppunkt.

Kürzlich wurde in einem Podcast ein gutes Beispiel genannt. Man nehme einen Spitzensportler. Er ist durchtrainiert, führt eine gesunde Lebensweise und identifiziert sich selbst als Sportler. Er wacht eines Tages 150 kg schwerer auf. Diese Person würde in Windeseile abnehmen und wieder ihren alten Körper erreichen! Denn seine Identität wäre: „Ich bin fit und ernähre mich gesund.“

Genau das ist das Ziel eines wirksamen Awareness-Programms: Mitarbeitende sollen sich als sicherheitsbewusste Menschen wahrnehmen.

Wie kommt man dahin?

Die Antwort liegt in Prinzipien, die in der Verhaltenspsychologie seit Jahrzehnten erforscht sind. Drei davon möchte ich vorstellen.

Prinzip 1: Commitment und Konsistenz

1966 führten die Psychologen Freedman und Fraser ein Experiment durch. Sie gingen von Tür zu Tür und baten die Hausbewohner, ein grosses, hässliches Schild mit der Aufschrift „Fahren Sie vorsichtig“ in ihren Vorgarten zu stellen. Die meisten lehnten verständlicherweise ab.

Aber bei einer Gruppe war die Zustimmungsrate viermal so hoch. Der Unterschied? Diese Personen hatten zwei Wochen zuvor einem winzigen Gefallen zugestimmt: einen winzigen Sticker ins Fenster zu kleben.

Dieses Prinzip heisst „Foot-in-the-Door“ und basiert auf einem tief verankerten psychologischen Mechanismus: Menschen wollen konsistent handeln. Wer einmal Ja gesagt hat, sagt beim nächsten Mal mit deutlich höherer Wahrscheinlichkeit wieder Ja, da das Gehirn ein einheitliches Selbstbild aufrechterhalten möchte.

Für Security Awareness bedeutet das, absurd klein anzufangen

In der Phase des Mikrocommitments beginnen wir anstelle eines 45-minütigen E-Learnings mit einer einzigen Frage. „Sperrst du deinen Bildschirm, wenn du deinen Platz verlässt? Ja/Nein.“ Wer auf „Ja“ klickt, vollzieht eine aktive Handlung. Eine Mikro-Entscheidung.

In der nächsten Phase mit etwas mehr Commitment kann der nächste Schritt dann etwas grösser sein: ein dreiminütiges Phishing-Quiz. Danach folgt ein persönlicher Pledge, usw.

Dieses Prinzip wird auch „Mikro-Compliance“ genannt. Durch das Befolgen vieler kleiner Schritte und Sicherheitshandlungen wird die Bereitschaft für grössere Schritte erzeugt.

Prinzip 2: Social Proof, Herden- / Tribal-Denken

In welches Restaurant gehen wir? In Restaurant A sitzt niemand, in Restaurant B ist es proppevoll. Die meisten Menschen gehen ins volle Restaurant, selbst wenn sie nichts über die Qualität wissen. Das ist Social Proof: In Situationen der Unsicherheit orientieren wir uns am Verhalten anderer. Wenn viele es tun, wird es schon richtig sein.

Negative Kommunikation in Awareness-Inhalten setzt eine falsche Norm

In der Security Awareness wird oft mit Aussagen wie „Viele haben ein schlechtes Passwort“ oder „60 % haben die Phishing-Mail angeklickt“ gearbeitet. Das ist kontraproduktiv. Denn dadurch wird unsicheres Verhalten zur Norm und wir erliegen einem starken Herdentrieb. Das bedeutet, dass wir uns so verhalten wollen, wie es die anderen tun.

Die Kommunikation muss umgedreht werden.

Anstatt „34 % haben auf die Phishing-Mail geklickt” = „66 % haben die Phishing-Mail korrekt erkannt! Gehörst du auch dazu?”

Anstatt „Viele Mitarbeitende sperren ihren Bildschirm nicht” = „87 % eurer Kolleginnen und Kollegen sperren ihren Bildschirm.”

Die Kommunikation kann mit zusätzlichen Massnahmen wie Leaderboards und Dashboards, mit Gewinner:innen von Challenges und positiven Beispielen von Personen, die es richtig gemacht haben, gekoppelt werden. Das weckt den Gedanken: „Echte Menschen wie ich tun das.“

Prinzip 3: Autorität

Wir folgen Menschen, die wir als kompetent und legitimiert wahrnehmen. Das ist das Autoritätsprinzip.

Die meisten Awareness-Programme werden vom Security-Team oder der IT-Abteilung initiiert. Das ist zwar logisch, aber auch problematisch: Für die Mehrheit der Belegschaft ist die IT-Abteilung die Stelle, die ihnen Dinge verbietet. Die USB-Ports sperrt. Die Passwort-Regeln verkompliziert. Wenn ausgerechnet diese Abteilung ein „Awareness-Programm” lanciert, wird das von vielen als weitere Einschränkung wahrgenommen, nicht als Unterstützung.

Die Lösung liegt darin, die richtige Autorität sichtbar einzusetzen.

Wenn der CEO in einem kurzen Video sagt: „Cybersicherheit ist für unser Unternehmen geschäftskritisch, und ich persönlich nehme das sehr ernst. Deshalb habe ich als Erster unseren Security Pledge unterschrieben“, dann verändert das die Wahrnehmung des gesamten Programms. Plötzlich ist es nicht mehr „etwas von der IT”, sondern eine strategische Priorität des gesamten Unternehmens.

Der Effekt verstärkt sich, wenn die Autorität nicht nur kommuniziert, sondern selbst handelt. Eine Geschäftsleitung, die an der Phishing-Simulation teilnimmt und die Ergebnisse einschliesslich eigener Fehler transparent teilt, zerstört die Illusion, dass IT-Sicherheit „nur etwas für die Basis” sei. Sie signalisiert: „Das betrifft uns alle, auch mich.”

Für die Geschäftsleitung gibt es auch Vorbilder, nach welchen sie sich richten, wie etwa Erfahrungsberichte anderer Unternehmen und Branchenstandards.

Was das für die Awareness heisst

Wenn man diese drei Prinzipien betrachtet Commitment, Social Proof, Autorität, fällt auf, dass keines davon mit einem obligatorischen E-Learning beginnt.

Stattdessen setzen alle drei an einem anderen Hebel an: an der Art, wie Menschen über sich selbst und ihr Umfeld denken. Bin ich jemand, der auf Sicherheit achtet? Tun die anderen das auch? Nimmt die Führung das ernst?

Wer diese Frage ernst nimmt, wird feststellen, dass sich die gesamte Herangehensweise an Security Awareness verändert. Weg von der jährlichen Pflichtübung, hin zu einem durchdachten Programm, das psychologische Erkenntnisse gezielt einsetzt.

Autorin

Jill Wick ist Wirtschaftspsychologin und berät Organisationen bei der Entwicklung verhaltenspsychologisch fundierter Security-Awareness-Programme.