Illustration Absmeier foto ki designer

Zwei Jahrzehnte Security-Awareness-Daten zeigen: Viele Unternehmen haben Grundlagen der Informationssicherheit etabliert, doch echte Sicherheitskultur entsteht erst, wenn Führung, Kommunikation, Lernformate und Arbeitsprozesse konsequent zusammenspielen. Der aktuelle TreeSolution-Report macht deutlich, warum Wissen allein nicht reicht – und weshalb Cyberresilienz vor allem eine Managementaufgabe ist.

Management Summary

Security Awareness ist erwachsen geworden: Der Anteil von Organisationen mit ungenügender Sicherheitskultur ist langfristig deutlich gesunken – Exzellenz bleibt aber die Ausnahme.
Wissen ist nicht der Engpass: Mitarbeitende kennen zentrale Regeln wie Passwortschutz oder Vorsicht bei verdächtigen E-Mails; die Schwäche liegt in der Umsetzung im Alltag.
Führung entscheidet über Reife: Sicherheitskultur wächst dort, wo Management und Vorgesetzte Cybersecurity sichtbar priorisieren, erklären und vorleben.
Kommunikation und Schulung müssen verzahnt werden: Erst regelmäßige, verständliche und rollennahe Lernimpulse machen Sicherheit handhabbar.
Cyberresilienz ist Systemarbeit: Nachhaltige Verbesserungen entstehen durch Governance, einfache Prozesse, psychologische Sicherheit und kontinuierliches Reporting.

Unternehmen haben ihre Sicherheitskultur in den vergangenen zwei Jahrzehnten deutlich professionalisiert. Der Schritt von einer soliden zu einer hervorragenden Sicherheitskultur gelingt jedoch weiterhin nur wenigen Organisationen. Das zeigt der neue Report »Security Culture Code – 20 Jahre Security Awareness Radar« der TreeSolution Security Awareness AG [1].

Die Langzeitauswertung basiert auf 88 organisationsweiten Erhebungen aus den Jahren 2004 bis 2025, mehr als 100.000 Teilnehmenden und rund 4,5 Millionen Einzelantworten. Der Report untersucht, wie sich Informationssicherheitskultur über zwei Jahrzehnte entwickelt hat und welche Faktoren Organisationen auf dem Weg zu höherer Cyberresilienz besonders beeinflussen.

Wissen allein führt nicht zu hoher Sicherheitsreife

Ein zentrales Ergebnis der Analyse: Mehr Wissen allein führt nicht automatisch zu einer höheren Sicherheitskultur.

Grundlegende Sicherheitskenntnisse und sicherheitsbezogene Einstellungen befinden sich in vielen Organisationen bereits auf einem vergleichsweise hohen Niveau. Die größten Unterschiede zwischen niedriger und hoher Reife entstehen vielmehr dort, wo Informationssicherheit in den Arbeitsalltag übersetzt werden muss.

Besonders deutlich zeigen sich die Unterschiede bei den Themen Kommunikation, Vorbildfunktion der Führung, Schulung sowie Arbeits- und Technologiegestaltung.

Die Analyse kommt damit zu einem klaren Ergebnis: Entscheidend ist nicht nur, ob Mitarbeitende Sicherheitsregeln kennen. Entscheidend ist, ob Informationssicherheit verständlich kommuniziert, durch Führungskräfte sichtbar vorgelebt und in Prozesse, Werkzeuge und tägliche Routinen integriert wird.

Der nächste Reifeschritt scheitert nicht an fehlendem Wissen, sondern an der Sichtbarkeit und Handhabbarkeit von Sicherheit im Alltag.

Deutliche Verbesserung – aber eine »gläserne Decke« bleibt

Über die vergangenen 20 Jahre zeigt sich zunächst eine klare Professionalisierung.

In der frühen Phase von 2004 bis 2012 wiesen rund 40 Prozent der untersuchten Organisationen eine ungenügende Sicherheitskultur auf. Im Zeitraum 2019 bis 2025 sank dieser Anteil auf 13 Prozent.

Für die Jahre 2019 bis 2025 ergibt sich folgende Verteilung:

13 Prozent der Organisationen: ungenügende Sicherheitskultur
40 Prozent: ausbaufähige Sicherheitskultur
33 Prozent: gute Sicherheitskultur
13 Prozent: sehr gute Sicherheitskultur

Bemerkenswert ist insbesondere der geringe Anteil der Organisationen mit sehr hoher Reife. Über den gesamten Beobachtungszeitraum bewegt sich dieser Anteil lediglich in einem Bereich von etwa 10 bis 13 Prozent.

TreeSolution bezeichnet dieses Phänomen als »gläserne Decke zur Exzellenz«. Grundlegende Verbesserungen der Sicherheitskultur sind für viele Organisationen erreichbar. Deutlich schwieriger ist jedoch der Schritt zu einer tief verankerten, bereichsübergreifend gelebten Sicherheitskultur.

Auch der durchschnittliche Security Awareness Indicator, kurz SAI, zeigt die langfristige Entwicklung. Er steigt in der Auswertung von 43,8 Punkten im Jahr 2005 auf 65,2 Punkte im Jahr 2025.

Mitarbeitende kennen zentrale Sicherheitsregeln bereits

Besonders aufschlussreich ist der Blick auf einzelne Aussagen aus den Erhebungen.

Bei grundlegenden Verhaltensregeln werden sehr hohe Zustimmungswerte erreicht:

94 Prozent: Passwörter sollen nicht weitergegeben werden.
93 Prozent: Vorsicht bei verdächtigen E-Mails.
89 Prozent: Informationssicherheit ist die Verantwortung aller.

Deutlich niedrigere Werte zeigen sich dagegen bei Themen, die stärker von Organisation und Führung abhängen.

Nur 39 Prozent stimmen der Aussage zu, dass Sicherheitsmaßnahmen durch Vorgesetzte erläutert werden. Bei verständlichen Sicherheitsinformationen liegt der Zustimmungswert bei 51 Prozent, bei Schulungen für bestehende Mitarbeitende bei 53 Prozent.

Das Muster ist deutlich: Viele Mitarbeitende wissen grundsätzlich, welches Verhalten im Bereich Cybersecurity von ihnen erwartet wird. Die größere Herausforderung liegt darin, Sicherheit organisatorisch zu vermitteln und dauerhaft im Arbeitsalltag zu verankern.

Führung und Kommunikation werden zum entscheidenden Faktor

Die Langzeitauswertung identifiziert vier zentrale Entwicklungsfelder für eine reife Sicherheitskultur:

Führung und Wahrnehmung
Kommunikation und Befähigung
Werte und kulturelle Verankerung
Handhabbarkeit und psychologische Sicherheit

Wo Führungskräfte Informationssicherheit sichtbar unterstützen, vorleben und priorisieren, ist auch die Wahrnehmung von Informationssicherheit stärker ausgeprägt.

Gleichzeitig zeigt die Analyse einen engen Zusammenhang zwischen Kommunikation und Schulung. Kommunikation ohne konkrete Lernangebote bleibt häufig abstrakt. Schulungen ohne kommunikative Einbettung wirken dagegen oftmals nur punktuell.

Eine nachhaltige Security-Awareness-Strategie verbindet deshalb Wissensvermittlung, Kommunikation, Führung und kontinuierliche Lernimpulse.

Fachwissen schützt nicht automatisch vor kulturellen Schwächen

Ein weiteres Ergebnis stellt eine verbreitete Annahme infrage: Techniknahe oder wissensintensive Organisationen verfügen nicht automatisch über eine höhere Sicherheitskultur.

Im untersuchten wissensintensiven Sektor wurden 50 Prozent der Organisationen als »ungenügend« eingestuft.

Dabei liegt die Herausforderung nicht zwangsläufig in fehlendem Fachwissen. Gerade in Expertenorganisationen können hohe individuelle Autonomie und ausgeprägter Expertenstatus dazu führen, dass gemeinsame Orientierung, Führungssignale und verbindliche Sicherheitsnormen schwächer ausgeprägt sind.

Fachliche Expertise ersetzt damit keine kulturelle Steuerung.

Multinationale Unternehmen profitieren von ihren Strukturen

Auch die internationale Aufstellung einer Organisation liefert interessante Hinweise.

Multinationale Organisationen erreichen in der Untersuchung häufiger hohe beziehungsweise sehr hohe Reifegrade als rein national agierende Organisationen.

Der Vorteil entsteht nach Analyse von TreeSolution jedoch nicht primär durch die geografische Aufstellung. Entscheidend sind vielmehr die Strukturen, die in multinationalen Unternehmen häufig stärker ausgeprägt sind: gemeinsame Frameworks, verbindliche Prozesse, standardisierte Roll-outs, Governance und konsistentes Reporting.

TreeSolution fasst diesen Zusammenhang unter dem Prinzip »Systemlogik vor Geografie« zusammen.

Vom Awareness-Training zur Sicherheitskultur

Aus den Ergebnissen leitet TreeSolution eine Roadmap für die Jahre 2026 bis 2030 ab.

Welche Maßnahmen sinnvoll sind, hängt dabei vom jeweiligen Reifegrad einer Organisation ab.

Bei Organisationen mit niedriger Reife steht zunächst die Vereinfachung des sicheren Verhaltens im Vordergrund. Dazu gehören beispielsweise klare Standardprozesse, Passwortmanager, Single Sign-on und einfache Meldewege für Phishing.

Ist bereits eine grundlegende Sicherheitskultur vorhanden, werden Führung und Kommunikation zunehmend entscheidend. Security-Themen sollten dann stärker in bestehende Management- und Führungsroutinen integriert werden.

Bei Organisationen mit höherem Reifegrad gewinnen eine positive Fehler- und Reporting-Kultur, Security-Champions, teamnahe Lernformate und die sichtbare Anerkennung sicheren Verhaltens an Bedeutung.

Die zentrale Erkenntnis aus zwei Jahrzehnten Security Awareness Radar lautet damit: Kulturelle Exzellenz entsteht nicht durch immer mehr Sicherheitsinformationen. Sie entsteht dort, wo Wissen, Führung, Kommunikation und organisationale Strukturen ineinandergreifen und Informationssicherheit zu einem selbstverständlichen Bestandteil des Arbeitsalltags wird.

FAQ

Was ist die wichtigste Erkenntnis des Reports?
Eine starke Sicherheitskultur entsteht nicht allein durch Wissen, sondern durch das Zusammenspiel von Führung, Kommunikation, Schulung und alltagstauglichen Prozessen.
Warum erreichen nur wenige Organisationen eine sehr gute Sicherheitskultur?
Der Schritt von soliden Grundlagen zu echter Exzellenz erfordert dauerhaft sichtbare Managementunterstützung, klare Routinen und kulturelle Verankerung über Abteilungen hinweg.
Welche Rolle spielt Führung?
Führungskräfte prägen, ob Informationssicherheit als Priorität wahrgenommen wird. Sie müssen Sicherheitsmaßnahmen erklären, vorleben und in Managementprozesse integrieren.
Reichen klassische Awareness-Schulungen aus?
Schulungen wirken erst nachhaltig, wenn sie regelmäßig stattfinden, zielgruppengerecht sind und durch verständliche Kommunikation sowie praktische Arbeitsmittel ergänzt werden.
Wo liegen die größten Schwachstellen?
Nicht bei Basiswissen, sondern bei der organisatorischen Übersetzung: verständliche Informationen, aktive Führungskommunikation, einfache Prozesse und passende Technologien fehlen häufig.
Was bedeutet die »gläserne Decke zur Exzellenz«?
Viele Organisationen verbessern sich bis zu einem guten Niveau, schaffen aber den Sprung zu einer tief verankerten, gelebten Sicherheitskultur nur selten.
Warum schneiden multinationale Unternehmen häufiger besser ab?
Der Vorteil liegt weniger in der Internationalität selbst, sondern in stärker standardisierten Strukturen, Governance-Modellen, Roll-outs und Reporting-Prozessen.
Sind wissensintensive Organisationen automatisch sicherer?
Fachwissen ersetzt keine gemeinsame Sicherheitsorientierung. Gerade Expertenorganisationen benötigen klare Leitplanken, Führungssignale und verbindliche Normen.
Welche Maßnahmen helfen bei niedriger Sicherheitsreife?
Priorität haben einfache, sichere Standardprozesse, Passwortmanager, Single Sign-on, klare Meldewege und verständliche Grundkommunikation.
Was sollten reifere Organisationen als Nächstes tun?
Sie sollten Security-Champions, positive Fehlerkultur, teamnahe Lernformate, kontinuierliches Reporting und sichtbare Anerkennung sicheren Verhaltens stärken.

cover (c) treesolution

[1] Report »Security Culture Code« kostenlos herunterladen

Der vollständige Report »Security Culture Code – 20 Jahre Security Awareness Radar – Strategische Leitlinien für eine wirksame Sicherheitskultur« steht bei TreeSolution kostenlos zum Download zur Verfügung: https://www.treesolution.com/security-culture-code

237 Artikel zu „Sicherheitskultur“

IT-Security | News | Strategien

Cybersicherheit: In 3 Schritten zu einer positiven Sicherheitskultur

22. Februar 2023

Die Debatte über die menschliche Rolle im Rahmen der Cybersicherheit von Unternehmen bewegt sich zunehmend weg von der Betrachtung der Mitarbeitenden als schwächstes Glied und hin zur Maximierung ihres Potenzials als wertvolle erste Verteidigungslinie. Eva Pleger, Regional Director DACH bei Immersive Labs, erklärt, wie Unternehmen diesen Perspektivwechsel in der Praxis vollziehen können. Cybersicherheitsverantwortliche. Bürokaufleute.…