---
title: "Hören Sie auf, Menschen zu schulen. Beginnen Sie, die Technologie zu reparieren. | Guardian360"
description: "Warum Security-Awareness-Trainings das Verhalten kaum verändern und warum die Technologie, nicht das Training, die Hauptlast tragen sollte."
url: https://guardian360.net/de/blog/stop-training-people-start-fixing-technology/
locale: de
source: guardian360.net
---
[← Alle Beiträge](https://guardian360.net/de/blog)

Cybersecurity

# Hören Sie auf, Menschen zu schulen. Beginnen Sie, die Technologie zu reparieren.

Von Jan Martijn Broekhof · 15. April 2026

Warum Security-Awareness-Training eine tröstliche Lüge ist, und was wir stattdessen tun sollten

Letzte Woche sagte Prof. Bibi van den Berg beim ESET Cyber Defence Summit, Professorin für Cybersecurity Governance an der Universität Leiden und Mitglied des niederländischen Cyber Security Council, etwas, das die meisten im Publikum bereits vermuteten, aber kaum jemand laut auszusprechen wagte: Die Forschung zeigt durchgängig, dass Security-Awareness-Training kaum etwas am tatsächlichen sicheren Verhalten ändert. Im Saal wurde es für einen Moment still. Dann begannen, langsam, die Köpfe zu nicken.

Ich war einer dieser nickenden Köpfe. Nicht weil ich es genieße, Widerspruch zu leisten, sondern weil dies genau dem entspricht, was ich in über einem Jahrzehnt Informationssicherheit erlebt habe. Wir haben Milliarden für Awareness-Programme, Phishing-Simulationen und E-Learning-Module ausgegeben. Und doch passieren weiterhin Sicherheitsvorfälle. Die Klickraten bewegen sich kaum. Die Menschen bleiben Menschen.

## Die Forschung liegt vor, und sie ist vernichtend

Van den Berg präsentiert nicht einfach nur Meinungen von der Bühne aus. Sie und ihre Kolleginnen und Kollegen an der Universität Leiden haben die Forschung geliefert, die dies untermauert. Im Jahr 2024 veröffentlichten Prümmer, Van Steen und Van den Berg eine Metaanalyse, die 69 Studien zur Wirksamkeit von Cybersecurity-Training untersuchte. Ihr Fazit ist bemerkenswert: Training verbessert zwar Wissen und Bewusstsein, Menschen lernen theoretisch, Bedrohungen zu erkennen, aber der Effekt auf das tatsächliche Verhalten ist eine ganz andere Geschichte. Wenn Studien unabhängige Gruppen verwendeten, um echte Verhaltensänderung zu messen, fanden sie nur einen kleinen, statistisch nicht signifikanten Effekt. Einfach ausgedrückt: “Menschen wissen, was sie tun sollten, aber sie tun es nicht zuverlässig.”

Diese Erkenntnis kam nicht aus dem Nichts. Ein Jahr zuvor veröffentlichte dasselbe Forschungsteam in derselben Fachzeitschrift eine systematische Übersichtsarbeit zu aktuellen Methoden des Cybersecurity-Trainings. Diese Übersicht zeigte, dass die bloße Bereitstellung von Informationen nur begrenzte Wirkung auf Verhaltensänderung hat, dass Trainingsprogramme oft zu eng gefasst sind, und dass Mitarbeiter häufig wenig Begeisterung für das Material aufbringen. Die Übertragung von Training in Verhalten am Arbeitsplatz ist, in den eigenen Worten der Autoren, ein schwieriges Unterfangen. Wenn Methoden mit begrenzter Wirksamkeit eingesetzt werden, werden Aufwand und Ressourcen verschwendet.

Was diese Ergebnisse besonders verheerend macht, ist die Moderatoranalyse: Die Metaanalyse untersuchte, ob die Art der Trainingsmethode, die Plattform, das soziale Umfeld oder der Einsatz mehrerer Methoden einen signifikanten Unterschied machte. Keiner dieser Faktoren tat dies. Es liegt nicht daran, dass wir die richtige Trainingsmethode noch nicht gefunden haben. Das gesamte Paradigma von Training als Risikoreduktion ist grundlegend begrenzt.

## Die mathematische Gewissheit des Scheiterns

Hier ist die unbequeme Wahrheit, die unsere Branche sich weigert zu akzeptieren: Selbst wenn Sie jeden Mitarbeiter auf eine Genauigkeit von 99 Prozent trainieren würden (was eine außergewöhnliche Leistung wäre, weit über das hinaus, was die Forschung als möglich zeigt), arbeitet die Mathematik immer noch gegen Sie. In einer Organisation mit 1.000 Mitarbeitern, von denen jeder täglich Dutzende sicherheitsrelevante Entscheidungen trifft, stehen Sie vor Zehntausenden von Gelegenheiten für einen Fehler. Jeden einzelnen Tag. Die Wahrscheinlichkeit, dass mindestens eine Person zur falschen Zeit die falsche Entscheidung trifft, liegt in der Praxis bei hundert Prozent.

Das ist kein Trainingsproblem. Das ist ein Problem des Systemdesigns. Und Probleme des Systemdesigns löst man nicht, indem man den Menschen, die in einem schlecht gestalteten System gefangen sind, Vorträge hält.

## Die Phishing-Simulationsbranche verkauft Placebos

Bei Guardian360 haben wir vor einigen Jahren aufgehört, Phishing-Tests anzubieten. Das war keine populäre unternehmerische Entscheidung, denn Phishing-Simulationen sind ein lukrativer Markt. Aber wir haben damit aufgehört, weil wir nicht mit gutem Gewissen weiterhin einen Dienst verkaufen konnten, von dem wir wussten, dass er das Risiko nicht wesentlich verringert.

Phishing-Simulationen messen einen einzigen Moment. Sie sagen Ihnen, dass Janet aus der Buchhaltung an einem Dienstagnachmittag auf einen gefälschten Link geklickt hat. Sie sagen Ihnen nicht, warum. War sie in Eile? War die E-Mail nicht von einer echten zu unterscheiden? Saß sie auf ihrem Telefon, während sie zu einem Meeting unterwegs war? Der Test liefert Daten, aber keine Erkenntnis. Und die typische organisatorische Reaktion in diesem Fall, mehr Training für Janet, behandelt das Symptom, während die eigentliche Ursache ignoriert wird.

Schlimmer noch, Phishing-Tests erzeugen ein falsches Gefühl von Sicherheit. “Unsere Klickrate ist von 25 Prozent auf 12 Prozent gesunken”, sagt der CISO dem Vorstand, und alle applaudieren. Aber 12 Prozent von tausend Mitarbeitern sind immer noch 120 offene Türen. Und der Angreifer braucht nur eine einzige. Die Leidener Metaanalyse bestätigt diese Intuition: Selbst in den günstigsten Studien ist der Verhaltenseffekt bestenfalls bescheiden und schlimmstenfalls nicht signifikant.

## Die Technologie muss die Hauptlast tragen

Meine Überzeugung, gehärtet durch jahrelange Erfahrung und nun untermauert durch die Arbeit von Van den Berg und ihren Kollegen, ist einfach: Die Technologie muss dieses Problem lösen. Nicht als Ergänzung zum Training. Sondern als primäre Verteidigungslinie.

Was bedeutet das in der Praxis? Es bedeutet, dass wir aufhören, von Menschen zu verlangen, die letzte Verteidigungslinie zu sein, und stattdessen Systeme bauen, in denen Menschen nicht leicht katastrophale Fehler machen können. Denken Sie darüber nach: Wir schulen Flugpassagiere nicht darin, vor dem Start die Nieten der Tragflächen zu überprüfen. Wir bauen Flugzeuge, die von Grund auf sicher konstruiert sind, von zertifizierten Ingenieuren gewartet und von automatisierten Systemen überwacht werden. Wir sollten dieselbe Philosophie von unserer digitalen Infrastruktur verlangen.

Konkret bedeutet das, in Technologien zu investieren, die Sicherheit unsichtbar und unausweichlich machen. Passwordless Authentication beseitigt die gesamte Kategorie des Diebstahls von Zugangsdaten. Hardware-Sicherheitsschlüssel machen Phishing technisch unmöglich, nicht nur unwahrscheinlich. Endpoint Detection and Response fängt die Malware ab, die jemand unweigerlich herunterlädt. E-Mail-Filterung stoppt die schädliche Nachricht, bevor sie den Posteingang erreicht. Zero-Trust-Architekturen begrenzen den Schaden, wenn, nicht falls, jemand einen Fehler macht.

## Sicherheit zum Weg des geringsten Widerstands machen

Der grundlegende Fehler des Awareness-Trainingsparadigmas besteht darin, dass es Sicherheit als etwas darstellt, das Menschen aktiv wählen müssen, immer wieder, tausende Male am Tag, gegen den Sog von Bequemlichkeit, Dringlichkeit und Gewohnheit. Das ist keine realistische Erwartung an Menschen. Das war es nie.

Das Paradigma, das wir brauchen, ist ein anderes. Sicherheit sollte der Standard sein. Der einfache Weg und der sichere Weg sollten derselbe Weg sein. Wenn sie auseinanderlaufen, wenn die sichere Option mehr Schritte, mehr Reibung, mehr kognitive Belastung erfordert, dann ist das System kaputt, nicht der Nutzer.

Das ist keine radikale Idee. So denken wir in praktisch jedem anderen Bereich über Sicherheit. Straßenplaner verlassen sich nicht allein auf Fahrtraining, um Unfälle zu verhindern, sie installieren Leitplanken, konstruieren Knautschzonen und schreiben Airbags vor. Krankenhausarchitekten verlassen sich nicht auf Poster zum Händewaschen, sie installieren automatische Spender an jeder Tür. Und dennoch hängen wir in der Cybersicherheit weiterhin Poster auf und fragen uns, warum Menschen daran vorbeigehen.

## Der Mut, das Gespräch zu ändern

Ich weiß, dass diese Position manche Menschen unbequem finden. Die Security-Awareness-Branche ist Milliarden wert. Karrieren wurden darauf aufgebaut. Compliance-Rahmenwerke schreiben sie vor. Und ja, ich sage nicht, dass wir Mitarbeitern überhaupt nichts über Sicherheit erzählen sollten. Grundlegende Hygiene, wie zu verstehen, warum man sein Passwort nicht teilen sollte, und zu erkennen, dass Bedrohungen existieren, ist eine Mindestanforderung. Die Leidener Forschung bestätigt, dass Wissen und Bewusstsein durch Training tatsächlich zunehmen. Aber Wissen ohne Verhaltensänderung ist eine teure Illusion von Sicherheit.

Es ist Zeit für den Mut, diese Budgets, diese Energie und diese Aufmerksamkeit der Geschäftsleitung von Trainingsprogrammen auf Technologieinvestitionen umzulenken, die tatsächlich etwas bewirken. Nicht weil Technologie perfekt ist (das ist sie nicht), sondern weil sie skalierbar und konsistent ist und keinen schlechten Tag an einem Dienstagnachmittag hat.

Hören Sie auf, Menschen zu schulen. Beginnen Sie, die Technologie zu reparieren. Ihre Nutzer sind nicht das schwächste Glied, Ihre Systeme sind es.

## Referenzen

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). Assessing the effect of cybersecurity training on end-users: A meta-analysis. *Computers & Security*, 150, 104206.

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). A systematic review of current cybersecurity training methods. *Computers & Security*, 136, 103585.

Van den Berg, B. (2026). Round table discussion at the ESET Cyber Defence Summit.