Informationssicherheit beginnt mit Haltung – und gelebter Verantwortung

Informationssicherheit ist weit mehr als eine technische Disziplin. Firewalls, Zugriffskontrollen, Verschlüsselung und Sicherheitsrichtlinien sind wichtige Voraussetzungen. Sie entfalten ihre Wirkung jedoch nur dann vollständig, wenn die Menschen im Unternehmen verstehen, warum sie notwendig sind, und entsprechend handeln. Informationssicherheit ist eine gemeinsame Aufgabe. Sie beginnt bei jedem Einzelnen – und muss von der Unternehmensführung vorgelebt werden.

Ownership: Verantwortung übernehmen, statt Zuständigkeit weiterzureichen

Eine wirksame Sicherheitskultur setzt voraus, dass Mitarbeiterinnen und Mitarbeiter Ownership übernehmen. Das bedeutet, nicht nur für die eigenen Aufgaben, sondern auch für deren Auswirkungen auf die Informationssicherheit Verantwortung zu übernehmen.

Was heißt das konkret?

Wer eine verdächtige E-Mail erkennt, sollte sie melden. Wer feststellt, dass vertrauliche Informationen ungeschützt abgelegt sind, sollte aktiv werden. Wer einen Sicherheitsvorfall verursacht oder einen Fehler entdeckt, sollte diesen offen ansprechen können.

Ownership bedeutet dabei insbesondere:

• Aufmerksamkeit: Risiken und ungewöhnliche Situationen erkennen, bevor daraus Schäden entstehen.

• Eigenverantwortung: Sicherheitsregeln verstehen und im eigenen Arbeitsbereich konsequent umsetzen.

• Mitdenken: Nicht nur fragen, was erlaubt ist, sondern auch, welche Auswirkungen das eigene Handeln haben kann.

• Handeln: Auffälligkeiten ansprechen, Vorfälle melden und Verbesserungen anstoßen.

• Verantwortung teilen: Informationssicherheit nicht als Problem einer anderen Abteilung betrachten.

Es geht also um einen Perspektivwechsel und frei nach John F. Kennedy sollte man weg von der Frage „Wer ist dafür zuständig?“ hin zu der Haltung „Was kann und muss ich selbst dazu beitragen?“

Die unbequeme Wahrheit: Sicherheitskultur lässt sich nicht verordnen

Viele Unternehmen verfügen über umfangreiche Richtlinien, Schulungskonzepte und technische Sicherheitsmaßnahmen. Trotzdem entstehen Sicherheitsvorfälle häufig durch alltägliche Verhaltensweisen: Zeitdruck, Bequemlichkeit, unklare Zuständigkeiten, fehlendes Wissen oder schlicht die Annahme, dass schon nichts passieren wird.

Hier zeigt sich eine zentrale Herausforderung: Ein Unternehmen kann Informationssicherheit formal organisiert haben, ohne tatsächlich eine Sicherheitskultur zu besitzen.

Eine unterschriebene Richtlinie ist noch kein Beleg für verantwortungsvolles Handeln. Eine absolvierte Schulung bedeutet nicht automatisch, dass Risiken im Arbeitsalltag erkannt werden. Und eine klare Zuständigkeit auf dem Organigramm garantiert nicht, dass sich jemand tatsächlich verantwortlich fühlt.

Sicherheitskultur zeigt sich nicht in Dokumenten, sondern im Verhalten – insbesondere dann, wenn es unbequem wird.

Die kontroversen Aspekte: Wo Sicherheitskultur an ihre Grenzen stößt

Eine ernsthafte Auseinandersetzung mit Informationssicherheit muss auch Widersprüche und Zielkonflikte zulassen:

1. Eigenverantwortung oder Abschieben der Verantwortung?

Mitarbeiter sollen Verantwortung übernehmen. Das darf aber nicht dazu führen, dass die Unternehmensleitung ihre Verantwortung auf die Belegschaft verlagert. Die Organisation muss sichere Rahmenbedingungen schaffen, geeignete Ressourcen bereitstellen und klare Verantwortlichkeiten definieren. Ownership ergänzt die organisatorische Verantwortung – es ersetzt sie nicht.

2. Sicherheit oder Produktivität?

Sicherheitsmaßnahmen kosten Zeit und können Arbeitsabläufe erschweren. Wenn Prozesse unnötig kompliziert sind, entstehen Umgehungslösungen: Passwörter werden weitergegeben, Dateien über private Dienste versendet oder Sicherheitsvorgaben ignoriert. Eine gute Sicherheitskultur bedeutet deshalb auch, Sicherheitsmaßnahmen praxistauglich zu gestalten.

3. Fehlerkultur oder Sanktionen?

Wer Fehler offen ansprechen soll, darf nicht automatisch mit Schuldzuweisungen rechnen. Unternehmen benötigen eine Kultur, in der Beinahe-Vorfälle und Fehlverhalten gemeldet werden können, ohne dass sofort nach Schuldigen gesucht wird. Vorsätzliches oder grob fahrlässiges Handeln muss dennoch Konsequenzen haben können. Entscheidend ist die Unterscheidung zwischen einem menschlichen Fehler, einem organisatorischen Versagen und bewusstem Regelbruch.

4. Kontrolle oder Vertrauen?

Technische Überwachung und Kontrollmechanismen können Risiken reduzieren. Zu viel Kontrolle kann jedoch Misstrauen erzeugen und die Bereitschaft zur Eigenverantwortung schwächen. Informationssicherheit braucht deshalb ein ausgewogenes Verhältnis zwischen verbindlichen Kontrollen, Transparenz und Vertrauen.

5. Sicherheitsbewusstsein oder Sicherheitsmüdigkeit?

Regelmäßige Schulungen sind notwendig. Werden Mitarbeiter aber ständig mit Warnungen, Verboten und theoretischen Bedrohungsszenarien konfrontiert, kann eine sogenannte Security Fatigue entstehen. Entscheidend ist nicht die Menge der Informationen, sondern deren Relevanz für die jeweilige Tätigkeit.

Führungskräfte müssen Sicherheitskultur vorleben

Eine Sicherheitskultur entsteht nicht allein durch die Informationssicherheitsorganisation. Sie wird wesentlich durch das Verhalten der Führungskräfte geprägt.

Wenn die Geschäftsleitung Sicherheitsregeln selbst umgeht, wenn wirtschaftliche Ziele grundsätzlich Vorrang vor Sicherheitsanforderungen haben oder wenn das Melden von Problemen als Störung empfunden wird, bleiben alle Appelle an die Eigenverantwortung unglaubwürdig.

Führung bedeutet deshalb, Informationssicherheit in Entscheidungen, Zielsetzungen und Arbeitsabläufe zu integrieren. Sie muss sichtbar unterstützt, angemessen finanziert und regelmäßig überprüft werden.

Unser Ansatz: Informationssicherheit als gemeinsame Verantwortung

Wir unterstützen Unternehmen dabei, Informationssicherheit nicht nur durch Richtlinien und technische Maßnahmen zu organisieren, sondern als gelebten Bestandteil der Unternehmenskultur zu etablieren.

Dazu gehören klare Verantwortlichkeiten, verständliche Regeln, praxisorientierte Sensibilisierung, die Einbindung der Führungskräfte und eine konstruktive Fehler- und Meldekultur. Informationssicherheit funktioniert nicht durch Vorschriften allein. Sie funktioniert, wenn Menschen verstehen, worum es geht, Verantwortung übernehmen und im Alltag entsprechend handeln. Jeder ist Teil der Lösung – und Ownership beginnt beim eigenen Handeln.

All die o. g. Aspekte sind Teil einer Kultur, die es braucht, die hilft und nicht behindert. Sonst heißt es schnell:

Culture eats Information Security for Breakfast!