In fast allen Unternehmen, die einen schweren Vorfall erlitten haben, hatte zuvor jemand etwas bemerkt. Eine seltsame Nachricht, ein ungewöhnliches Fenster, eine Datei, die sich nicht richtig öffnet. Die Person hat nichts gesagt oder gewartet.
Sie hat nicht aus Nachlässigkeit gewartet. Sie hat gewartet, weil sie sich nicht sicher war, niemanden grundlos stören wollte und die Reaktion fürchtete. In dieser Zeit hatte ein Angriff, der binnen zwanzig Minuten hätte gestoppt werden können, zwei Tage Zeit, sich auszubreiten.
Genau darum geht es bei einer Sicherheitskultur. Es geht nicht darum, Menschen zu Fachleuten zu machen. Es geht darum, dass sie schnell sprechen.
Die Meldezeit entscheidet über alles
Ein IT-Vorfall ist kein Ereignis, sondern eine Zeitspanne.
Wird ein Zugang gestohlen, leert der Angreifer die Konten nicht sofort. Er beobachtet, liest die Nachrichten mit, lernt, wie das Unternehmen funktioniert, wer Zahlungen freigibt und in welchem Ton die Leute miteinander schreiben. Diese unauffällige Phase dauert manchmal Wochen. Genau das beschreiben wir in unserem Artikel zur Kompromittierung des E-Mail-Kontos.
Jede gewonnene Stunde in dieser Zeitspanne verringert das Ausmass des Schadens. Eine Meldung innerhalb der Stunde ermöglicht es oft, den Zugang zu sperren, bevor Geld bewegt wird. Eine Meldung am nächsten Morgen kommt manchmal schon zu spät.
Diese Zeitspanne hängt jedoch von keinem Werkzeug ab. Sie hängt davon ab, welche Reaktion die Person erwartet. Ein Unternehmen kann die besten Filter auf dem Markt installieren: Wenn sich sein Team davor fürchtet, eine schlechte Nachricht zu überbringen, verliert es jedes Mal die entscheidenden Stunden.
Was zerstört eine Sicherheitskultur?
Drei Praktiken reichen aus, und keine davon ist böswillig gemeint.
Einen Schuldigen suchen. Nach einem Vorfall taucht die Frage «wer hat geklickt» ganz natürlich auf. Sie wirkt legitim, sogar methodisch. Dabei ist sie operativ nutzlos: Zu wissen, wer geklickt hat, ändert nichts daran, was innerhalb der Stunde zu tun ist. Das ganze Team merkt sich hingegen die Frage und zieht daraus die naheliegende Schlussfolgerung für das nächste Mal.
Namentliche Ergebnisse einer Simulation veröffentlichen. Eine Phishing-Simulation ist eine absichtlich an Mitarbeitende versendete gefälschte Nachricht, mit der die Reflexe gemessen werden. Das Instrument kann nützlich sein, und unser Artikel zu Phishing-Simulationen beschreibt die Bedingungen, die dafür erfüllt sein müssen. Die Liste derjenigen, die geklickt haben, zu veröffentlichen, macht daraus eine öffentliche Demütigung. Die betroffenen Personen werden dadurch nicht wachsamer, sondern misstrauisch gegenüber ihrem Arbeitgeber, und sie hören auf, echte verdächtige Nachrichten zu melden, aus Angst, es könnte sich erneut um einen Test handeln.
Eine naive Frage lächerlich machen. «Wie erkennt man, ob eine Website sicher ist?» Ein Seufzer, ein wissender Blick, und die Person wird nie wieder eine Frage stellen. Sie wird das Werkzeug trotzdem weiter nutzen, einfach ohne zu fragen. Jede nicht gestellte Frage ist ein Risiko, das im Unternehmen bleibt.
Viele Geschäftsleitungen finden es beruhigend, nie etwas bearbeiten zu müssen. Das ist in Wirklichkeit das beunruhigendste Zeichen überhaupt. Betrügerische Nachrichten landen ausnahmslos in jedem Postfach. Meldet niemand jemals etwas, bedeutet das nicht, dass nichts passiert: Es bedeutet, dass nichts gemeldet wird. Am Tag, an dem ein schwerer Vorfall eintritt, wird er spät entdeckt, anhand seiner Folgen.
Was baut sie auf?
Die wirksamen Massnahmen sind wenige und kosten wenig.
Sich öffentlich bei der meldenden Person bedanken, auch bei einem Fehlalarm. Das ist die lohnendste Massnahme des ganzen Vorgehens. Meldet eine Person eine verdächtige Nachricht, die sich als völlig harmlos herausstellt, liegt die Versuchung nahe, zu antworten, das sei doch nichts gewesen. Tun Sie das Gegenteil: Sagen Sie in einer Besprechung, das sei ein guter Reflex gewesen und genau das Richtige. Damit setzen Sie das akzeptierte Wachsamkeitsniveau für alle, ohne dass es dafür einer Schulung bedurft hätte.
Die Gründe für die Regeln erklären. Eine Vorgabe ohne Begründung wird als willkürlicher Zwang erlebt, und ein willkürlicher Zwang wird umgangen, sobald er stört. «Ändern Sie Ihr Passwort» bewirkt nichts. «Wenn dieses Passwort auch das Ihres bevorzugten Online-Shops ist und dieser Shop gehackt wird, kann jemand Ihre geschäftliche E-Mail lesen» bewirkt eine Verhaltensänderung. Unser Artikel zum Phishing liefert diese Art von konkreten Erklärungen, die intern unverändert wiederverwendet werden können.
Akzeptieren, dass eine unpraktikable Regel umgangen wird, und sie entsprechend korrigieren. Das ist für eine Geschäftsleitung der schwierigste Punkt, weil er voraussetzt, einen Irrtum einzugestehen.
Sicherheit, die die Arbeit behindert, wird umgangen
Das ist keine Vermutung, das ist eine Konstante.
Erfordert der Versand eines Dokuments an einen Kunden drei Freigaben, nutzen die Leute ihre private E-Mail. Ist die offizielle Dateiablage langsam, greifen sie zum USB-Stick. Muss das Passwort alle dreissig Tage geändert werden und acht Anforderungen erfüllen, landet es auf einem Zettel unter der Tastatur, mit einer bei jedem Mal erhöhten Ziffer.
Bringen Sie das Team zusammen und fragen Sie: «Was erschwert Ihnen bei unseren IT-Regeln das Leben?» Hören Sie zu, ohne zu korrigieren oder zu rechtfertigen, und notieren Sie sich alles. Jede Antwort weist auf eine Umgehung hin, die bereits existiert, oder es bald wird. Eine unpraktikable Regel zu korrigieren, schützt mehr, als sie zu wiederholen.
Eine realistische Regel ist mehr wert als eine ideale Regel, die umgangen wird. Eine etwas weniger abgesicherte Dateiablage, die alle tatsächlich nutzen, ist besser als ein perfektes System, das niemand öffnet. Die im Themenbereich Bewährte Praktiken beschriebenen Massnahmen sind nur dann etwas wert, wenn sie im Alltag angewendet werden.
Welche Vorbildrolle spielt die Geschäftsleitung?
Eine Sicherheitskultur wird an dem beurteilt, was die Geschäftsleitung tut, nicht an dem, was sie sagt.
Eine Geschäftsleitung, die für sich selbst eine Ausnahme verlangt, die Zwei-Faktor-Authentifizierung ablehnt, weil sie lästig ist, oder einen dauerhaften Zugang zu allem fordert, macht damit unmissverständlich klar, dass diese Regeln für die anderen gelten. Keine Sensibilisierungssitzung kann diese Botschaft wieder wettmachen.
Der Punkt ist zudem sehr konkret. Geschäftsleitungen und Finanzverantwortliche sind die begehrtesten Ziele, weil sie über die Befugnis verfügen, eine Zahlung freizugeben. Das ist genau der Mechanismus hinter dem CEO-Betrug, der im ersten Halbjahr 2025 Gegenstand von 605 Meldungen Schweizer Unternehmen war und im zweiten Halbjahr von 366.
Es gibt eine letzte, kostenlose und äusserst wirksame Massnahme: von der eigenen Verunsicherung zu erzählen. Eine Geschäftsleitung, die zugibt, fast auf eine falsche Lieferantennachricht geantwortet zu haben, erlaubt dem ganzen Team, dasselbe einzugestehen.
Diese Vorbildfunktion setzt voraus, dass sich die Geschäftsleitung zuerst geschult hat, vor ihren Teams, und aus echten Gründen statt aus Prinzip. Wir erläutern dies in die Geschäftsleitung zuerst schulen.
Der erste Satz zählt mehr als alles Übrige
Jemand kommt zu Ihnen. Er hat geklickt, sein Passwort auf einer gefälschten Seite eingegeben, eine Datei an die falsche Person geschickt. Er ist unsicher und zögert seit zwanzig Minuten vor Ihrer Tür.
Was Sie in den folgenden fünf Sekunden sagen, wird mehr Wirkung zeigen als alle Ihre Sensibilisierungsmassnahmen des ganzen Jahres. Das ganze Team wird es noch am selben Abend wissen.
| Situation | Was die Tür schliesst | Was sie öffnet |
|---|---|---|
| Ein Mitarbeitender meldet einen Klick | «Wie konnten Sie darauf hereinfallen?» | «Danke, dass Sie es mir sofort sagen, wir kümmern uns darum.» |
| Ein Fehlalarm | «Das war doch nichts, stören Sie mich nicht damit.» | «Guter Reflex, genau das sollte man tun.» |
| Eine einfache Frage | «Das sollten Sie inzwischen wissen.» | «Gute Frage, das hat noch niemand gefragt.» |
| Eine umgangene Regel | «Die Vorgabe ist doch klar.» | «Warum funktioniert sie nicht? Wir überarbeiten sie.» |
Erst danach folgen die technischen Schritte: Gerät isolieren, betroffene Passwörter ändern, prüfen, was erreicht worden sein könnte. Unser Artikel zu den ersten Stunden nach einem Angriff beschreibt dieses Vorgehen im Detail.
Was bringt ein Blick von aussen hier?
Die Kultur eines Unternehmens lässt sich nicht auslagern. Niemand kann an Ihrer Stelle das Vertrauen aufbauen, das einen Mitarbeitenden dazu bringt, an einem Freitagabend mit Ihnen zu sprechen. Das entsteht über Jahre in Dutzenden kleiner Interaktionen und gehört ganz allein Ihnen.
Ein Blick von aussen dient einem anderen Zweck: zu sehen, was die Gewohnheit unsichtbar gemacht hat. Ein Unternehmen nimmt seine eigenen Selbstverständlichkeiten nicht mehr wahr. Der gemeinsame Zugang, den alle seit sechs Jahren nutzen, das allgemeine Postfach, dessen Passwort niemand mehr kennt, der Zahlungsprozess, bei dem jeder glaubt, ein anderer prüfe ihn. Diese blinden Flecken sind keine Nachlässigkeiten, sondern zur Norm gewordene Gewohnheiten.
Diese Grundsätze bilden eine echte Grundlage, ersetzen aber keine Prüfung Ihrer Organisation, so wie sie tatsächlich funktioniert. Um Ihren Ausgangspunkt zu bestimmen, enthält der Cyber-Check-up mehrere Fragen zu Meldungen und internen Gewohnheiten. Die weiteren Sensibilisierungsartikel, darunter die Einführung neuer Mitarbeitender, sind im Themenbereich Schulung zusammengefasst, und unsere Online-Schulungen für Westschweizer KMU werden diese Grundsätze in einer direkt anwendbaren Form aufgreifen.