Awareness-Teamgrösse: 8 harte Wahrheiten aus SANS 2026
Veröffentlichungsdatum:
- 9. September 2026
Ich habe den neuen SANS Security Awareness & Culture Report aus einer etwas ungewöhnlichen Perspektive gelesen: Ich stelle Security-Awareness-Software her. Und die Erkenntnis, die bei mir geblieben ist, betrifft die Awareness-Teamgrösse — und nicht die Tools.
Eigentlich müsste ich also nach Zahlen suchen, die belegen, dass Unternehmen mehr Technologie, mehr Automatisierung und vorzugsweise mehr Software brauchen. Denn die meisten in unserer Branche erzählen allen, Awareness sei eigentlich einfach und passiere von selbst. Aber genau das ist mir NICHT im Kopf geblieben.
Einige Ergebnisse bestätigen deutlich, wohin sich unsere Branche meiner Meinung nach entwickeln muss. Andere hinterfragen die Denkweise von Awareness-Anbietern — meine eingeschlossen. Und mindestens einer Schlussfolgerung des Reports widerspreche ich grundlegend.
Hier sind meine acht Erkenntnisse.
Ein gutes Tool verschafft einem guten Team Hebelwirkung, aber es ersetzt das Team nicht.
1. Ein unterbesetztes Awareness-Programm lässt sich nicht mit Einkäufen lösen
Das ist vermutlich die unbequemste Erkenntnis für Software-Anbieter.
SANS stellt fest, dass Organisationen, die das Verhalten ihrer Mitarbeitenden wirksam verändern, rund drei dedizierte Awareness-FTEs haben. Der Schritt von Verhaltensänderung zu Sicherheitskultur erfordert im Durchschnitt 4,3 dedizierte Personen.
Think about that.
We vendors like to explain how much work our platforms automate. And they do it a lot. But technology doesn’t build relationships with HR, understand employees, convince management, define the right behaviours or establish trust. And full-service solutions are unable to capture the true context and its nuances in campaigns, emails, and training sessions.
Ein gutes Tool verschafft einem guten Team Hebelwirkung, aber es ersetzt das Team nicht.
Zwei Details im Report machen das schwer widerlegbar. SANS zählt jemanden nur dann als FTE, wenn diese Person 75 % oder mehr ihrer Arbeitszeit für Security Awareness und Kultur einsetzt — es geht also nicht darum, die Aufgabe drei Personen zusätzlich aufzuladen. Und die Zahlen sind mit Zeiträumen verknüpft: Organisationen, die Verhalten in der Breite verändert haben, brauchten drei bis fünf Jahre, für Kultur waren es fünf bis zehn, und die reifsten Programme hatten mehr als sechs dedizierte FTEs und liefen seit über einem Jahrzehnt. Awareness-Teamgrösse und Programmalter waren die beiden Variablen, die Reife am stärksten vorhergesagt haben.
2. Die Zusammensetzung Ihres Security-Teams ist wahrscheinlich falsch
SANS liefert eine weitere Zahl, die meiner Meinung nach jeder CISO ansehen sollte: als Ausgangspunkt eine auf den Menschen fokussierte Sicherheitsfachkraft pro zehn technische Sicherheitsfachkräfte.
Diese Kennzahl gefällt mir, weil sie ein Ungleichgewicht bei den Investitionen offenlegt. Unternehmen geben enorme Summen für die Absicherung von Endpoints, Identitäten, Netzwerken, Applikationen und Cloud-Umgebungen aus. Angreifer nehmen aber immer stärker die Person davor ins Visier (na ja, das haben sie eigentlich immer getan, oder?)
Human Defense darf nicht die kleine Awareness-Ecke neben dem „echten“ Security-Team bleiben. Sie ist TEIL DES SECURITY-TEAMS — dasselbe Argument, das wir gemacht haben, als wir gefragt haben, warum der Human Layer in Ihren Security Stack gehört.
3. Wir reden endlos über Sicherheitskultur — und wo sind die Werte?
Das war eines meiner grössten Fragezeichen. SANS stellt Sicherheitskultur an die Spitze seines Reifegradmodells. Reife Organisationen werden als Orte beschrieben, an denen Mitarbeitende an Sicherheit glauben, sie unterstützen und in ihrem Arbeitsalltag priorisieren.
Gut.
Aber mir fehlt etwas Grundlegendes: Werte.
Man kann Organisationskultur nicht ernsthaft diskutieren, ohne zu fragen, welche Werte diese Kultur schaffen. Schätzen wir Offenheit, wenn jemand einen Fehler macht? Verantwortung? Urteilsvermögen? Früh melden statt einen Vorfall zu verschweigen? Einer Kollegin oder einem Kollegen helfen? Im Deutschen nennt man das ‚Fehlerkultur‘.
Wenn wir Sicherheitskultur wollen, verdienen diese Fragen deutlich mehr Aufmerksamkeit.
4. SANS und die Befragten unterschätzen weiterhin, was KI für Awareness leisten kann
Hier widerspreche ich dem Report, weil er zu früh aufhört.
Um fair zu sein: SANS beurteilt KI sehr positiv. Der Report deckt Content-Erstellung, Kommunikation, Personalisierung, Datenanalyse, Assessments, Programmplanung, Policies und sogar Business Cases ab. Aber er betrachtet KI weitgehend als Assistenz für die Awareness-Fachkraft.
Die grössere Veränderung ist, dass KI selbst Teil der Awareness-Maschinerie wird.
Wenn Sie wirklich richtige Awareness-Kampagnen mit hoher Personalisierung fahren wollen statt Standardware: Warum jede Kampagne manuell entwerfen, wenn KI beim Prompten und Generieren helfen kann? Warum bei personalisierten Trainings stehenbleiben, wenn OSINT realistische Deepfake- oder Social-Engineering-Übungen unterstützen kann? Warum Simulationen nicht dynamisch an Rollen, Sprachen, Angriffskanäle und beobachtetes Verhalten anpassen?
KI kann viel mehr, als schönere Awareness-Inhalte zu erstellen.
5. Security Awareness ist eigentlich kein Tech-Job
Und das ist eine gute Sache ☺ Einer meiner Lieblingsteile des Reports ist der Rat an Awareness-Fachkräfte: Denken Sie wie eine Marketerin oder ein Marketer.
Im qualitativen Teil geht SANS noch weiter und beschreibt die Rolle als weder primär Trainings- noch technische Aufgabe, sondern als Rolle zur Verhaltensänderung in einem Sicherheitskontext. Genau! Denn die beste Awareness-Fachkraft weiss nicht zwangsläufig am meisten über Firewalls.
Sie versteht Menschen, Kommunikation, Motivation, Verhalten, Marketing und so weiter. Und sie weiss genug über Cybersecurity, um all das mit echtem Risiko zu verbinden. Anders gesagt: Wir brauchen vielleicht weniger technische Nerds — und mehr Brückenbauer.
6. Awareness-Fachkräfte in Europa verdienen rund 107’000 US-Dollar. Nur?
Der Report nennt für Europa einen Durchschnitt von rund 107’000 US-Dollar pro Jahr (etwa 92’000 Euro). Der globale Durchschnitt liegt bei 123’624 US-Dollar.
Diese Zahl hat mich überrascht — nicht, weil sie mir absolut gesehen niedrig erscheint. Sondern wegen dem, was wir von diesen Menschen zunehmend erwarten. Sie sollen Cybersecurity, menschliches Verhalten, Risiko, Kommunikation, Marketing, KI, (Menschen-, Stakeholder-, Projekt- usw.) Management, Analytics und Metriken sowie organisatorischen Wandel verstehen. Und idealerweise Beziehungen zwischen Mitarbeitenden, Führung und dem SOC aufbauen.
Mein Eindruck aus dem Markt ist, dass gute Leute mit dieser Kombination an Fähigkeiten schwer zu finden sind. Ich halte sie auch für wertvoller, als dieser Durchschnitt vermuten lässt.
7. J-A: Simulation zählt
Dieser Teil hat mich zum Schmunzeln gebracht. Als SANS Praktikerinnen und Praktiker nach den wirksamsten Ansätzen zur Veränderung von Sicherheitsverhalten fragte, standen realistische Simulationen weit oben. Erfolgreiche Programme nutzten rollenbasierte Szenarien, unmittelbares Feedback und kurze Lerninterventionen, die direkt an das anknüpften, was die Mitarbeitenden gerade erlebt hatten.
Das ist der entscheidende Unterschied. Zu wissen, was Phishing ist, ist nicht dasselbe wie eine Phishing-Mail unter Druck zu erkennen. Zu wissen, dass verdächtige Nachrichten gemeldet werden sollen, ist nicht dasselbe wie während eines Angriffs tatsächlich schnell zu melden.
Sie lesen das nicht zum ersten Mal von mir: Verhalten lässt sich nicht mit Wissen allein trainieren. Man muss das Verhalten üben. Über diese Trennung haben wir schon geschrieben — Training prägt die Einstellung, Simulation prägt das Verhalten, und die Kombination ist das, was hält.
8. Mitarbeitende werden endlich Teil der Lösung
Die vermutlich wichtigste Veränderung im gesamten Report zeigt sich in den offenen Antworten.
Über mehr als 4’500 Antworten hinweg nennt SANS ein gemeinsames Thema: „people are assets, not liabilities“ — Menschen sind ein Wert, keine Belastung. Das traditionelle Narrativ vom schwächsten Glied wird ausdrücklich in Frage gestellt.
Ich könnte nicht mehr zustimmen. Angst, Bestrafung und ‚Gotcha‘-Phishing im negativen Stil untergraben Vertrauen. Genau das hat SANS festgestellt: Strafende Simulationen können dazu führen, dass Mitarbeitende sich zurückziehen oder Fehler verbergen, während Transparenz und positive Verstärkung deutlich besser funktionieren. Mitarbeitende sollten nicht als die Schwachstelle behandelt werden, die wir irgendwie vollständig kontrollieren müssen.
Sie können erkennen. Sie können reagieren. Sie können melden — und ihre Meldung kann zu einem der frühesten Sicherheitssignale werden, die Ihr SOC erhält.
Das ist für mich die grössere Botschaft, die im SANS Report 2026 steckt.
Security Awareness bewegt sich langsam weg davon, Menschen über Sicherheit zu unterrichten, und hin dazu, Menschen zu einem aktiven Teil der Verteidigung zu machen.
Wir nennen das Behavioral Defense Engineering (BDE).
Wir machen den Menschen zum Teil der Lösung, nicht zum Teil des Problems.
Häufige Fragen zur Awareness-Teamgrösse
Wie viele FTEs braucht ein Security-Awareness-Programm?
Der SANS Report 2026 stellt fest, dass Organisationen, die das Verhalten ihrer Mitarbeitenden wirksam verändern, mindestens drei dedizierte FTEs hatten, und dass für das Verankern einer Sicherheitskultur mindestens 4,3 nötig waren. SANS zählt als FTE, wer 75 % oder mehr der Arbeitszeit für Security Awareness und Kultur einsetzt. Eine lineare Regel wie ein FTE pro 10’000 Mitarbeitende weist der Report ausdrücklich zurück, weil die Skalierung nicht linear ist — er hält aber fest, dass selbst eine Organisation mit rund 1’000 Mitarbeitenden eine Basis von zwei dedizierten Personen braucht.
Wie ist das richtige Verhältnis von Awareness- zu technischem Sicherheitspersonal?
SANS schlägt als Ausgangspunkt eine auf den Menschen fokussierte Sicherheitsfachkraft pro zehn technische Sicherheitsfachkräfte vor. Derselbe Abschnitt bietet eine zweite Formulierung: Pro zehn Personen im Security-Team sollte mindestens eine auf die menschliche Seite fokussiert sein.
Wie lange dauert es, Sicherheitsverhalten zu verändern?
Drei bis fünf Jahre für organisationsweite Verhaltensänderung und fünf bis zehn Jahre, um eine starke Sicherheitskultur zu verankern — so der Report 2026. Teamgrösse und Programmalter waren die beiden stärksten Prädiktoren für Reife. Verhaltens- und Kulturwandel brauchen Jahre, nicht Quartale.
Kann eine Awareness-Plattform ein Security-Awareness-Team ersetzen?
Nein — und das ist die für Anbieter unbequemste Erkenntnis. Software automatisiert Produktion, Auslieferung, Personalisierung und Messung. Sie baut keine Beziehung zu HR auf, verhandelt nicht mit dem Management, entscheidet nicht, welche Verhaltensweisen in Ihrem Kontext zählen, und erarbeitet nicht das Vertrauen, das Menschen dazu bringt, früh zu melden. Ein gutes Tool verschafft einem guten Team Hebelwirkung; es ersetzt das Team nicht.
Was verdient eine Security-Awareness-Fachkraft?
Der SANS Report 2026 nennt einen globalen Jahresdurchschnitt von 123’624 US-Dollar, rund 7’000 US-Dollar mehr als im Vorjahr. Den grössten Einfluss auf die Bezahlung hatte die Region des Firmensitzes, mit Nordamerika an der Spitze bei durchschnittlich 131’783 US-Dollar.
Sources
SANS Institute, SANS 2026 Security Awareness & Culture Report, 2026 — basierend auf Antworten von mehr als 1’700 Security-Awareness-Fachkräften weltweit, darunter mehr als 4’500 Antworten auf fünf offene Fragen. Report bei SANS herunterladen.
#humanauthored
