foto magnific

Management Summary

Die letzte Meile entscheidet: DSGVO und NIS2 scheitern selten an fehlenden Regeln oder Technologien, sondern an alltäglichen Routinen, Fehlanreizen und mangelndem Risikobewusstsein.
Compliance muss Verhalten verändern: Abgehakte Schulungen und Checklisten schaffen noch keine Sicherheit. Entscheidend ist, ob Beschäftigte Risiken erkennen, Vorfälle melden und auch unter Zeitdruck verantwortungsvoll handeln.
Führung setzt den Maßstab: Anerkennung statt Sanktionen, nachvollziehbare Entscheidungen und offen angesprochenes Risikoverhalten stärken die Bereitschaft, Datenschutz und IT-Sicherheit aktiv mitzutragen.
Praxis schlägt Paragrafen: Rollenspezifische Trainings, realistische Szenarien und spielerische Simulationen verankern sichere Reaktionen nachhaltiger als jährliche Pflichtunterweisungen.
Sicherheitskultur wird sichtbar: Viele kleine Verhaltenssignale – von verspäteten Schulungen bis zu gemeldeten Vorfällen – ergeben über Zeit ein belastbares Bild der gelebten Compliance und zeigen konkreten Handlungsbedarf.

Die Regulierungen DSGVO und NIS2 zum Schutz der Privatsphäre, des geistigen Eigentums und kritischer Infrastrukturen sind den Unternehmen seit vielen Jahren bekannt. Dennoch verlieren Unternehmen weiterhin Daten, werden Opfer von Ransomware-Angriffen und kämpfen sich nach Reputations- und Umsatzverlusten mühsam zurück in den Normalbetrieb. Schuld daran ist oft das menschliche Verhalten.

Warum fällt es so schwer, die letzte Meile zu gehen und die Bedrohungen wirksam einzudämmen? Die Antwort liegt nicht allein in der Technik, im Gegenteil: Die letzte Verteidigungslinie ist immer der Mensch und genau dort liegt zugleich das größte Risiko. Mitarbeiter können Daten verlieren, absichtlich wie unabsichtlich preisgeben, Systeme kompromittieren oder Cyberangriffe zum Beispiel durch schwache Passwörter erst ermöglichen.

Die Ursache für diese Situation findet sich selten im fehlenden Regelwerk. DSGVO, NIS2 und interne Richtlinien sind meist längst formuliert und implementiert, das Personal hat entsprechende Schulungen erfolgreich absolviert. Das eigentliche Problem besteht darin, dass die Anreize für die Belegschaft selten auf das Ziel abgestimmt sind, Daten und Systeme dauerhaft zu schützen. Wer im Vertrieb arbeitet, wird für Geschäftsabschlüsse belohnt. Wer in der Betriebsorganisation tätig ist, wird im Idealfall gar nicht bemerkt. Unsichtbarkeit gilt hier sogar als Beleg dafür, dass alles funktioniert. Umso heftiger aber wird gemaßregelt, wenn Fehler passieren oder Abläufe ins Stocken geraten.

Unpassende oder negative Anreize sind das falsche Mittel, um den letzten Meter in Richtung Datenschutz und IT-Sicherheit zu gehen. Wer übersehen oder mit Sanktionen bedroht wird, hört automatisch weg. So verlieren die Menschen das Ziel der Regulierungen aus den Augen und damit das Verständnis für ihren Sinn.

Was fehlt, ist das Bewusstsein für den fundamentalen Grund, warum es diese und andere Regulierungen überhaupt gibt: unangebrachte Geschäftspraktiken, die dem gesunden Menschenverstand zuwiderlaufen.

Der Laptop im Zug. Viele Berufstätige öffnen auf dem Weg zur Arbeit ihren Laptop, beantworten E-Mails oder führen vertrauliche Telefonate, mitten im Großraumwagen, in Hör- und Sehweite der Mitreisenden. Wer einmal bewusst in einem Zugabteil mitgehört und mitgelesen hat, weiß, wie viel sensible Information dort preisgegeben werden: Namen, Vertragsdetails, interne Zahlen. Den Betroffenen ist das in aller Regel gar nicht bewusst. Sie handeln nicht aus Nachlässigkeit, sondern aus reiner Gewohnheit. Schließlich hatte dieses Verhalten ja noch keine negativen Konsequenzen, jedenfalls glauben sie das. Doch wie sollten sie jemals davon erfahren?
Das kalkulierte Risiko. Selbst in hochregulierten Branchen fehlt oft das Risikobewusstsein. Dies ist oftmals gerade dort der Fall, wo das größte Fachwissen vorhanden ist. Manchmal reißen ausgerechnet IT-Abteilungen oder für die Sicherheit verantwortliche Fachanwender die größte Sicherheitslücke: Passwörter werden geteilt oder folgen simplen, vorhersehbaren Mustern. Die Begründung dahinter lautet meist, man kenne sich schließlich aus und wisse, was man tue. Außerdem würden regelkonforme Passwörter und Abläufe die tägliche Arbeit unnötig erschweren.

Ähnlich verhält es sich mit dem sogenannten Tailgating, wenn Unbefugte physische Sicherheitsmechanismen umgehen, indem sie zum Beispiel autorisierten Mitarbeitern folgen, bevor die von ihnen ordnungsgemäß geöffneten Türen wieder ins Schloss fallen. Nach einer Schulung schauen sich alle für zwei, drei Tage aufmerksam über die Schulter, wenn sie einen gesicherten Bereich betreten. Doch viel zu schnell kehrt der alte Trott zurück, zumindest so lange, bis der Ernstfall eintritt und die Aufsichtsbehörde eine vollständige Neubewertung des Risikomanagements erzwingt.

Mentale Ermüdung: Engagiertes Personal verliert mit der Zeit die Lust, an der Umsetzung von Regularien wie DSGVO oder NIS2 aktiv mitzuwirken. Gemeldete Verdachtsfälle oder Verbesserungsvorschläge werden von höheren Stellen in der Firmenhierarchie zwar zur Kenntnis genommen. Sie münden sogar in Entscheidungen, die Konsequenzen für die tägliche Arbeit haben. Doch das bedeutet nicht, dass die Entscheidungen nachvollziehbar sind oder dass die eingeleiteten Maßnahmen als angemessen und zielführend empfunden werden. Schließlich sind die engagierten Mitarbeiterinnen und Mitarbeiter am besten mit dem jeweiligen Fall vertraut und nur sie kennen alle Details, Wissen, das den Entscheidern fehlt. Jedenfalls scheint es so. Als Folge davon ebbt das Engagement ab, um die erwartete Frustration von vorneherein zu vermeiden.
Die Datenschutz-Ausrede: Kaum eine Regulierung wird häufiger falsch verwendet als die EU-DSGVO. Und als Begründung vorgeschoben, um sinnvolle Geschäftspraktiken zu verhindern, was am Ende zu mehr Datenschutzverstößen und Sicherheitsvorfällen führen kann. Wird etwa die Einführung eines Geschenke- und Bewirtungsregisters mit dem Argument blockiert, man dürfe aus Datenschutzgründen keine Namen, weder zu den bewirteten noch den bewirtenden Personen und Organisationen erfassen, wird ein berechtigtes Compliance-Anliegen als Datenschutzproblem missverstanden. Im schlimmsten Fall werden dadurch Bestechungsversuche und der Diebstahl von schützenswerten Daten zu spät erkannt.
Fragen Mitarbeiter einen ihnen unbekannten Kunden oder Lieferanten am Telefon nicht nach Namen oder Geburtsdatum, um ihre Identität zu klären, geben sie unter Umständen sensible Informationen an Betrüger preis. Nur weil sie dachten, sie dürften diese Fragen aus Datenschutzgründen nicht stellen. Wer in Ruhe darüber nachdenkt, kommt schnell zu dem Schluss, dass es in dieser Situation weniger um eine Datenschutz- als um eine Sicherheitsfrage geht. NIS2 schlägt hier EU-DSGVO. Eine Unternehmenskultur des gesunden Menschenverstands schützt vor unsinnigen Geschäftspraktiken.
Unternehmen, die solche Praktiken zulassen oder gar fördern, machen damit deutlich, dass sie das Prinzip hinter dem Datenschutz gar nicht verstanden haben. Sie verstecken sich hinter einem Begriff, anstatt ihn als das zu behandeln, was er ist: gesunder Menschenverstand in geschriebener Form.

Eine Frage der Kultur

In all diesen Fällen liegt die Ursache nicht in böser Absicht oder Inkompetenz, sondern in eingeschliffenen, unreflektierten Gewohnheiten. Besonders anfällig sind Firmen, die Regulierung als einmaliges Projekt behandeln: Kontrollen einführen, Schulungsunterlagen erstellen, Häkchen setzen, fertig. Sie können im Zweifel eine Vorlage für eine Datenschutz-Folgenabschätzung vorweisen, einen Notfallplan oder eine Präsentation aus der Einführungsphase der EU-DSGVO oder von NIS2.

Was jedoch fehlt, ist die Fähigkeit, die eigenen Mitarbeiter erfolgreich und dauerhaft zu motivieren, die Lücke zwischen den Buchstaben und dem Geist der Vorschriften zu schließen: An einem Freitagnachmittag unmittelbar vor dem wohlverdienten Wochenende einen liegengebliebenen USB-Stick an sich zu nehmen und sicher zu verwahren. Oder eine als Phishing-Versuch erkannte E-Mail zu melden und beim Datenaustausch mit einem neuen Partner größere Vorsicht als üblich walten zu lassen, weil man sich noch nicht gut genug kennt. Solch vorbildliches Verhalten bedeutet natürlich, nicht ganz pünktlich nach Hause gehen zu können, doch man macht es trotzdem. Weil es sinnvoll ist und dem gesunden Menschenverstand entspricht.

In solchen Situationen zeigt sich, ob Datenschutz und Sicherheit Teil der Unternehmenskultur sind oder nur auf dem Papier stehen. Wer nur einmal im Jahr schult, anstatt das vorhandene Wissen seiner Mitarbeiter durch regelmäßige praxisnahe Szenarien lebendig zu halten und die angemessenen Reaktionen darauf als selbstverständlichen Teil des Unternehmensalltags zu verankern, verliert genau in den Momenten die Kontrolle, in denen es auf das richtige eingeübte Verhalten ankommt.

Auf die richtige Führung kommt es an

Ob und wie der Geist von Regularien gelebt wird, hängt zuallererst vom Management ab. Dies gilt auch dann, wenn Unternehmen genügend Zeit hatten, sich damit zu beschäftigen und Vorgaben etwa der EU-DSGVO oder von NIS2 umzusetzen. Es geht weniger um Vorschriften als das Verhalten, das eigene genauso wie das der Belegschaft:

Anreize neu denken: Anerkennung statt Sanktionen
Um zu Verhaltensänderungen zu ermutigen, sollten Führungskräfte die bestehende Anreizstruktur überdenken. Ein Bonus ist nur eine von vielen Formen der Anerkennung. Öffentliches Lob in einer Teamrunde, gezielte Erwähnung guter Praxis oder die Einbindung in Entscheidungen wirken oft stärker als finanzielle Belohnungen. Auf jeden Fall aber gilt der Grundsatz »loben statt tadeln«. Wer die dunkle Seite der Macht wählt und Strafen androht, verliert die Menschen und fördert ungewollt vermeidendes oder gar subversives Verhalten.
Compliance-Kultur anhand von Verhaltenssignalen messen
Verhalten ist aus Performance-Sicht eine qualitative Größe, die sich mit ein oder zwei Kennzahlen nicht messen lässt. Die Bewertung von Verhalten hat stets mehrere Dimensionen. Nur in ihrer Zusammenschau über längere Zeiträume ergibt sich ein aussagekräftiges Bild. Deshalb nützt auch eine vollständig abgehakte Checkliste nichts, um die Frage nach der Angemessenheit von Verhalten zu beantworten. Es kommt vielmehr darauf an, viele kleine Verhaltenssignale zu registrieren und ihre Entwicklung zu beobachten: Wer meldet Vorfälle? Wer absolviert Schulungen in der Regel verspätet? Wer hinterfragt Lieferantenbeziehungen? Wessen Spesenrechnungen führen regelmäßig zu Ausreißern nach oben? Werden diese Signale über Teams hinweg zu Mustern hinsichtlich Zugriffen und Zutritten, Abwesenheiten oder Bewirtungen zusammengeführt, entsteht ein belastbares Bild zur tatsächlich gelebten Compliance-Kultur.
Transparenz als Führungsprinzip
Transparenz muss einem Top-Down-Ansatz folgend in der Führungsetage vorgelebt und auf allen Hierarchiestufen weitergetragen werden. Führungskräfte aller Ebene sollten aktiv und offen kommunizieren, insbesondere über die Gründe ihrer Entscheidungen, damit sie nachvollziehbar sind und keine mentale Ermüdung hervorrufen. Eine Führungsriege, die sich der Relevanz von Transparenz nur unzureichend bewusst ist, wirkt allzu oft abgeschottet und abgehoben von den Menschen, die ihre Beschlüsse und Anordnungen verstehen und umsetzen sollen.
Transparenz braucht klare Grenzen
Transparente Kommunikation ist im Übrigen nicht mit grenzenloser Offenheit zu verwechseln. Jede Hierarchieebene muss wissen, was sie nach unten weitergeben darf und was nicht, auch wenn die nicht vertraulichen Informationen in der Regel den Löwenanteil ausmachen. Dementsprechend ist Transparenz auch nicht gleichbedeutend damit, die Zahl der Mitglieder von Entscheidungsgremien zu erweitern. Die Gefahr, dass dadurch ungewollt vertrauenswürdige Informationen preisgegeben werden, ist größer als der vermeintliche Zugewinn an Reputation für die neuen Gremienmitglieder.
Rollenspezifische Trainings mit Praxisbezug
Schulungen und betriebliche Weiterbildungsmaßnahmen sollten rollenspezifisch sein und sich an echten Szenarien aus dem betrieblichen Alltag ausrichten statt an Paragrafen. Trainings, die eine konkrete Person in einer konkreten Situation vor eine Entscheidung stellen und Feedback zu ihrem Verhalten geben, bleiben deutlich länger im Gedächtnis als das Zitieren einzelner Vorschriften.
Risikoreiches Verhalten offen ansprechen
Genau wie Sanktionen verhindert eine zu große Zurückhaltung die gewünschten Verhaltensänderungen. Entscheider scheuen sich in der Regel, ihre größten Leistungsträger darauf aufmerksam zu machen, wenn deren Routine Risiken für das Unternehmen erzeugt. Oft liegt dieser falschen Zurückhaltung die Annahme zugrunde, dass eine Verhaltungsänderung zu Lasten des Umsatzes gehen würde. Diese Sorge erweist sich in der Praxis jedoch meist als unbegründet. In der Mehrzahl der Fälle zeigt ein offenes Gespräch, dass die Betreffenden sich der potenziell schädlichen Auswirkungen ihres Verhaltens gar nicht bewusst waren und gerne zu Änderungen bereit sind.
Spielerisch lernen in einer positiven Fehlerkultur
Ist Spaß dabei, lernt es sich leichter. Unternehmen, die in Rollenspielen Einbruchsversuche und Datenabflüsse simulieren, testen und verankern die richtigen Verhaltensweisen spielerisch. Entscheidend ist dabei jedoch eine Atmosphäre, in der Fehler passieren dürfen und nicht in Bloßstellungen enden. Vielmehr sollten die »Spielleiter« nicht nur richtiges Verhalten belohnen, sondern alle loben, die in weiteren Spielrunden aus Fehlern lernen.

Das richtige Verhalten ist der Schlüssel

Im Prinzip haben die Unternehmen längst verstanden, dass sie davon ausgehen müssen, kompromittiert zu werden. Konkret jedoch investieren Führungskräfte, die diese Haltung wirklich verinnerlicht haben, konsequent in wiederkehrende, praxisnahe Verhaltensschulungen, transparente Kommunikation und Anreize, die tatsächlich bei den Menschen ankommen. Genau darin liegt der Unterschied zwischen einer Organisation, die Compliance-Regeln befolgt, und einer, die tatsächlich sicher ist.

Katharine Leaman, Advisory Board Member bei Skillcast

Katharine Leaman ist eine der erfahrensten Compliance-Expertinnen im britischen Finanzsektor und wirkt als Advisory Board Member bei Skillcast, einem Schulungsanbieter und Compliance-Spezialisten aus Großbritannien. Sie ist auf Beratung für Governance, SMCR, CASS, Marktmissbrauch und regulatorische Transformation spezialisiert. Mit nahezu 40 Jahren Erfahrung in Aufsicht, Bankwesen und Compliance berät sie Vorstände, Senior Management und internationale Finanzinstitute bei der Stärkung regulatorischer Rahmenwerke und der Umsetzung komplexer Anforderungen.

Ihre Karriere umfasst prägende Stationen bei der Financial Services Authority (FSA), wo sie elf Jahre lang Aufsicht, thematische Prüfungen und Policy‑Entwicklung verantwortete, sowie leitende Compliance‑Rollen bei Standard Chartered und der Royal Bank of Scotland. Sie gilt als Brückenbauerin zwischen Regulatoren und Unternehmen – mit tiefem Verständnis dafür, wie Aufsichtsbehörden denken und wie Organisationen darauf reagieren müssen.

Als Board‑Adviser, Branchenstimme und Vice President der ACI UK prägt sie Diskussionen zu Marktintegrität, digitaler Transformation und moderner Compliance‑Kultur. Sie ist regelmäßige Sprecherin auf Fachkonferenzen, Autorin von Branchenbeiträgen und Mentorin für Nachwuchskräfte im Finanzsektor.

Häufig gestellte Fragen (FAQ)

Warum reichen Schulungen allein nicht aus, um GDPR- und NIS2-Vorgaben wirksam umzusetzen? Weil Regelwerke und Trainings zwar Wissen vermitteln, aber nicht automatisch das Verhalten im Alltag verändern. Entscheidend ist nicht, ob Mitarbeiter eine Schulung absolviert haben, sondern ob sie die Vorgaben verinnerlichen und aus eigenem Antrieb richtig handeln.
Welche Rolle spielen Anreizsysteme bei Datenschutz- und IT-Sicherheitsverstößen? Fehlausgerichtete Anreize – etwa wenn Vertriebsmitarbeiter nur für Abschlüsse belohnt werden, während umsichtiges Verhalten unsichtbar bleibt – untergraben die Bereitschaft, Vorschriften ernst zu nehmen. Sanktionsdrohungen verstärken diesen Effekt zusätzlich, da sie Vermeidungsverhalten fördern.
Was bedeutet die »letzte Meile« im Kontext von GDPR und NIS2? Damit ist die Lücke zwischen formaler Regelkonformität und tatsächlich gelebtem, sicherheitsbewusstem Verhalten gemeint – etwa das Melden einer Phishing-Mail kurz vor dem Wochenende oder das bewusste Vermeiden vertraulicher Gespräche in Hörweite Dritter.
Wie wird die EU-DSGVO manchmal missbräuchlich als Vorwand genutzt? Häufig wird der Datenschutz vorgeschoben, um sinnvolle Compliance-Maßnahmen zu blockieren, etwa die Einführung eines Geschenke- und Bewirtungsregisters oder Identitätsprüfungen am Telefon. Das kann dazu führen, dass Betrug oder Datenmissbrauch erst zu spät erkannt werden.
Wie können Führungskräfte eine nachhaltige Sicherheitskultur fördern? Durch transparente Kommunikation, rollenspezifische und praxisnahe Trainings, Anerkennung statt Sanktionierung sowie kontinuierliche Beobachtung kleiner Verhaltenssignale über Teams hinweg bleibt Compliance kein Einmalprojekt, sondern wird Teil der Unternehmenskultur.

2662 Artikel zu „Sicherheit Kultur“

News | Business | Favoriten der Redaktion | IT-Security | New Work | Strategien | Tipps

Wirkliche Cyberresilienz: Cybersicherheit ist eine Angelegenheit der Unternehmenskultur

7. Dezember 2025

Im Falle eines erfolgreichen Angriffs sind die Schuldigen mitunter schnell gefunden: Eine Lücke in der Firewall, eine geöffnete Phishing-Mail oder eine übersehene Warnmeldung. Doch ein Blick in die Praxis zeigt: IT-Sicherheit scheitert nicht an Technologien oder Fehlverhalten, sondern bereits grundsätzlich an einem Mangel an Unternehmenskultur. Wenn Cybersicherheit in einer Organisation nur als eine schlecht durchgesetzte…