Wie gestalte ich Security Awareness, ohne dass es langweilig wird?

Wie gestalte ich Security Awareness, ohne dass es langweilig wird?

Security Awareness wird dann nicht langweilig, wenn sie drei psychologische Grundbedürfnisse anspricht: Kompetenz (das Gefühl, besser zu werden), soziale Eingebundenheit (gemeinsam etwas erreichen) und Autonomie (selbst entscheiden dürfen). Spielerische Formate wie Kampagnen mit einer Geschichte, Quiz-Quests oder Planspiele sind keine Dekoration, sondern der Weg, diese drei Hebel zu aktivieren. Wer dagegen jedes Jahr dasselbe Pflicht-E-Learning ausrollt, trainiert vor allem eines: das schnelle Durchklicken.

Warum klassische Schulungen als langweilig empfunden werden

Die meisten Awareness-Programme scheitern nicht am Inhalt, sondern an der Form. Sie behandeln Mitarbeitende als Risiko, das belehrt werden muss, statt als Verbündete, die man gewinnen kann. Ein E-Learning mit Abschlusstest prüft Wissen, verändert aber selten Verhalten. Und es ignoriert, was die Motivationsforschung seit Jahren zeigt: Menschen engagieren sich, wenn sie Fortschritt erleben, dazugehören und Wahlmöglichkeiten haben.

Die Forschung zu Gamification bestätigt das: Über 60 Prozent der Menschen nehmen spielerische Elemente als motivierend wahr (Caserman et al., 2024). Aber Vorsicht, Gamification ist keine Belohnungsmaschine. Punkte und Abzeichen wirken nur, wenn sie auf ein echtes Lernziel einzahlen und intrinsische Motivation ansprechen (Sailer et al., 2017; Hung, 2017). Ein Badge für das Absitzen eines Videos ändert nichts.

Was Gamification in der Security Awareness wirklich heisst

Gamification bringt spielerische Elemente dorthin, wo sonst nicht gespielt wird: Punkte, Level, Fortschritt, Geschichte (Deterding et al., 2011). Im Zentrum steht immer das Lernziel, die Spielmechanik trägt nur dorthin. Duolingo macht es vor: Lernpfade, Strähnen, Punkte, aber im Zentrum steht die Sprache.

Übertragen auf Security Awareness heisst das: Die Spielmechanik muss auf sicheres Verhalten einzahlen, etwa auf das Erkennen von Social Engineering oder das Melden von Verdachtsfällen, nicht auf das blosse Absolvieren von Modulen.

Ein Praxisbeispiel: Die Kampagne "Phantom Buster"

Wie das konkret aussieht, zeigt die Kampagne "Phantom Buster" der Viseca SA, die seit 2017 läuft und zweimal jährlich für rund 1.300 Mitarbeitende durchgeführt wird, mit einer Beteiligung von 60 bis 70 Prozent. Zur Einordnung: Das ist für ein freiwilliges internes Format ein aussergewöhnlich hoher Wert.

Das Rezept dahinter:

Eine Geschichte mit Figuren. Das "Phantom" ist ein hinterlistiger Angreifer mit Wiedererkennungswert, ihm stellen sich die "Phantom Busters" entgegen. Zum Start fand die Belegschaft das rote Notizbuch des Phantoms: Nur gemeinsam lässt sich der Angriff stoppen.

Kurze Quests statt langer Module. Eine Quest dauert fünf Minuten: Landingpage im Intranet, ein Video von maximal drei Minuten, ein Quiz mit drei Fragen, danach Level und Punktestand.

Mitarbeitende spielen mit. Freiwillige aus der Belegschaft treten in den Videos auf. Kolleginnen und Kollegen erkennen sie und sprechen sie darauf an, das Thema wandert in die Kaffeepause.

Ein gemeinsamer Gegner statt interner Konkurrenz. Alle ziehen mit, um das Phantom zu schlagen. Wichtig: Das Leaderboard ist abwählbar, denn Ranglisten erzeugen bei einem Teil der Belegschaft Druck und senken die Teilnahme.

Welche Formate gegen Langeweile wirken, nach Aufwand sortiert

Nicht jedes Unternehmen braucht eine Kampagne mit eigener Spielwelt. Das Spektrum reicht von schnellen Einstiegen bis zu immersiven Formaten:

Geringer Aufwand: Quizzes übers Intranet, interaktive Vorträge mit Live-Abstimmung (Mentimeter, Kahoot), bekannte Spielmechaniken auf Security übertragen, etwa Memory mit Passwortregeln. Ehrliche Einschränkung: Diese Formate können oberflächlich bleiben, sie eignen sich als Türöffner, nicht als ganzes Programm.

Mittlerer bis hoher Aufwand: Wettbewerbe zwischen Abteilungen, Security-Score-Programme, die sicheres Verhalten regelmässig auszeichnen, Awareness-Events, Workshops mit praktischen Übungen, Live-Demos und Social-Engineering-Simulationen (realitätsnah, aber sensibel kommuniziert).

Speziell und technisch: Serious Games, immersive Labs, physische Escape Rooms und Hackathons. Ein Beispiel aus der Schweiz ist der Escape Room "Hack the Hacker" von Switch, seit 2018 im Einsatz: zwei Stunden, maximal sechs Teilnehmende. Das Format skaliert nicht, verändert Einstellungen aber nachhaltig, und Begeisterte werden zu internen Security-Botschaftern.

Der rote Faden: Storytelling

Was alle wirksamen Formate verbindet, ist eine Geschichte. Ein Rahmennarrativ begleitet alle Aktivitäten, sympathische Figuren führen durch die Inhalte, und die Geschichte bleibt kurz und klar (Silic & Lowry, 2020). Als Prüfraster eignet sich die Heldenreise (Schell, 2008): gewöhnliche Welt, Ruf zum Abenteuer, Prüfung, Belohnung, Rückkehr. Erst die Geschichte frei entwickeln, dann mit dem Raster verfeinern.

So wählst du das richtige Format: drei Fragen

1. Wer ist die Zielgruppe? Technische Mitarbeitende lernen am liebsten selbst, praxisnahe Labs passen besser als Durchklick-E-Learnings. Für die breite Belegschaft funktionieren kurze, geschichtengetriebene Formate.

2. Welche Ressourcen habe ich? Lieber ein kleines Format konsequent durchziehen als eine grosse Kampagne, die nach zwei Monaten einschläft.

3. Was ist das Lernziel? Das Format folgt dem Ziel, nie umgekehrt. Klein anfangen, testen, anpassen.

Häufige Fragen

Braucht es für spielerische Security Awareness ein grosses Budget?

Nein. Quizzes, interaktive Vorträge und abgewandelte Spiele lassen sich mit Bordmitteln umsetzen. Teuer wird es erst bei Serious Games oder eigenen Kampagnenwelten, und selbst dort gilt: Der erste Aufwand ist hoch, er lohnt sich, weil die Kampagne danach wiederverwendbar ist.

Funktionieren Ranglisten und Wettbewerbe immer?

Nein. Ranglisten motivieren einen Teil der Belegschaft und setzen einen anderen Teil unter Druck. Bewährt hat sich, Leaderboards abwählbar zu machen und den Wettbewerb gegen einen gemeinsamen fiktiven Gegner zu richten statt gegeneinander.

Was ist der häufigste Fehler bei spielerischen Formaten?

Spielmechanik ohne Lernziel. Punkte, Badges und Level wirken nur, wenn sie sicheres Verhalten sichtbar machen. Sonst entsteht Beschäftigung statt Wirkung.

Über die Autorin

Jill Wick ist Wirtschaftspsychologin und Security-Awareness-Spezialistin. Sie unterstützt Schweizer Unternehmen mit Keynotes, Workshops und spielerischen Formaten dabei, Sicherheitsverhalten messbar zu verändern.