Cybersecurity Awareness wurde für die Angriffe von gestern entwickelt

Veröffentlichungsdatum:

6. August 2026

Was jede Führungskraft im Sicherheitsbereich verstehen sollte, bevor sie das nächste Awareness-Programm finanziert. Dieser Essay handelt vom Engineering menschlicher Verteidigung – warum jährliche Schulungen mit KI-gestützten Angriffen nicht mithalten, was kontinuierliche Security Awareness wirklich erfordert und wie Mitarbeitende und IT-Security deutlich enger zusammenarbeiten können.

Warum KI grundlegend verändert, wie wir menschliches Verhalten verteidigen

In meinem vorherigen Artikel habe ich argumentiert, dass die meisten „Cyber-Angriff“-Infografiken Bedrohungen schlecht klassifizieren. Sie werfen Malware, Schwachstellen, Angriffstechniken und Bedrohungsakteure in ein buntes Diagramm, das überzeugend aussieht und wenig erklärt. Mein Vorschlag war einfach: Angriffe nicht nach technischem Etikett klassifizieren, sondern nach ihrem primären Angriffsvektor.

Macht man das, fällt sofort etwas auf. Die größte – und am schnellsten wachsende – Kategorie ist längst nicht mehr Malware.

Es sind Menschen. Genauer: Social Engineering und Angriffe auf menschliches Verhalten.

Wenn man das akzeptiert, hat es Konsequenzen. Denn wenn sich der primäre Angriffsvektor verändert hat – sollte sich dann nicht auch unsere Verteidigungsstrategie ändern? Ich finde: ja.

Wir lösen immer noch das Problem von gestern

Klassische Security Awareness wurde für eine ganz andere Welt gebaut. Angreifer verschickten Phishing-Mails voller Rechtschreibfehler. Die gefälschten Landingpages sahen furchtbar aus. Die meisten Angriffe setzten auf Masse statt auf Qualität.

Die logische Antwort war Aufklärung: Mitarbeitenden beibringen, verdächtige E-Mails zu erkennen, die typischen Warnsignale erklären, gelegentlich eine Phishing-Simulation fahren, die Schulung einmal im Jahr wiederholen.

Lange Zeit war das völlig vernünftig. Aber die Welt hat sich weitergedreht.

KI hat die Ökonomie der Cyberkriminalität verändert

KI hat weder Phishing noch Malware noch Social Engineering erfunden. Was sie verändert hat, ist grundlegender als jede einzelne Technik.

Die Ökonomie.

Zum ersten Mal können Angreifer wirklich überzeugende Angriffe zu praktisch null Kosten produzieren. Sie sammeln öffentliche Informationen von LinkedIn und überall sonst, analysieren Unternehmenswebsites, imitieren einen bestimmten Schreibstil, übersetzen fehlerfrei in nahezu jede Sprache, klonen eine Stimme und erzeugen sogar überzeugende Videos.

Und das tausendfach – jeden Tag.

Was früher einen erfahrenen Angreifer erforderte, braucht heute kaum mehr als einen Prompt. Die Einstiegshürde ist eingebrochen.

Wissen allein genügt nicht mehr

Genau hier brechen aus meiner Sicht viele Awareness-Programme still in sich zusammen. Sie beruhen auf einer einfachen Annahme:

Wissen → sicheres Verhalten

Wenn Mitarbeitende wissen, wie Phishing aussieht, entscheiden sie besser. Klingt plausibel. Nur funktioniert die menschliche Psyche so nicht.

Ich weiß, dass weniger Zucker gut für mich wäre. Ich esse trotzdem zu viel davon. Ich weiß, dass ich mehr Sport treiben sollte. Ich tue es nicht. Ich weiß, dass ich beim Autofahren nicht aufs Handy schauen sollte – und manchmal tue ich es doch. Ich vermute, damit bin ich nicht allein.

Wissen beeinflusst Verhalten. Es bestimmt es selten. Cybersecurity ist da keine Ausnahme – wir haben schon früher darüber geschrieben, warum Einstellung und Verhalten nicht dasselbe sind und warum so viele Programme am Ende das Falsche trainieren.

Moderne Angriffe zielen auf Verhalten, nicht auf Unwissenheit

KI-gestützte Angriffe nutzen selten eine Lücke im technischen Wissen aus. Sie nutzen vorhersehbares menschliches Verhalten aus: Vertrauen, Autorität, Neugier, Dringlichkeit, Angst, Routine, Zeitdruck. Wer die Mechanik dahinter sucht: Wir haben die Psychologie hinter dem Klicken im Detail aufgeschlüsselt.

Der Angreifer braucht nicht, dass Sie Technik missverstehen. Der Angreifer braucht, dass Sie sich wie ein normaler Mensch verhalten. Und unter Druck ist normales menschliches Verhalten bemerkenswert vorhersehbar – genau darauf setzen moderne Angreifer.

Verhalten entsteht durch Übung

Es gibt Berufe, in denen ein Fehler Leben kostet. Piloten lernen Notfallverfahren nicht von Folien. Feuerwehrleute bereiten sich nicht auf eine Katastrophe vor, indem sie einmal im Jahr ein Video schauen. Chirurgen werden nicht durch ein Online-Quiz sicher.

Sie üben. Wieder und wieder, bis die richtige Handlung in Fleisch und Blut übergeht.

Cybersecurity sollte genauso funktionieren. Unter Stress erinnert sich niemand an eine Schulung von vor sechs Monaten – Menschen fallen in ihre Gewohnheiten zurück. Genau das ist mir passiert, als ich in diesem Frühjahr selbst auf Phishing hereingefallen bin.

Was unsere Verhaltensforschung tatsächlich ergeben hat

Gemeinsam mit Forschenden der Hochschule Luzern (HSLU) wollten wir eine bewusst einfache Frage beantworten: Was verändert Verteidigungsverhalten wirklich? Wissen, vermittelt als Schulung? Oder Übung, vermittelt als Training – und wenn ja, welche Art?

Wir haben drei Ansätze verglichen [1]:

Klassisches Awareness-eLearning – verbesserte das Verteidigungsverhalten um rund 40%.
Konventionelle Phishing-Simulationen – etwas besser als eLearning.
KI-personalisierte Spear-Phishing-Simulationen auf Basis von OSINT-Daten – Verbesserungen von bis zu 60%.

Die Schlussfolgerung ist nicht, dass Schulung nutzlos wäre. Wissen bleibt essenziell: Menschen müssen wissen, und die meisten Organisationen müssen zusätzlich nachweisen, dass ihre Mitarbeitenden eine Richtlinie, ein Gesetz oder eine Zertifizierung einhalten.

Aber Wissen allein bringt Sie nicht ans Ziel. Verhalten verändert sich am stärksten, wenn Menschen wiederholt unter realistischen Bedingungen entscheiden. Also lassen Sie uns das Verhalten bauen, das wir tatsächlich wollen. 🙂

Awareness darf nicht enden, wenn die Schulung endet

Zu viele Programme laufen noch immer als isolierte Kampagnen. Mitarbeitende absolvieren einen Kurs. Sie bekommen eine Phishing-Simulation oder ein Set an Standardübungen – oft genau die Sorte, von der wir behauptet haben, dass sie in ihrer heutigen Form wenig bringt. Ein Score wird erfasst. Die Kampagne endet. Manchmal gibt es ein Zertifikat.

Angreifer arbeiten nicht in Kampagnen.

Sie passen sich fortlaufend an – und ihre KI tut es auch. Sie lernen, experimentieren, wechseln Taktiken, nutzen aktuelle Ereignisse und springen zwischen Kanälen: von E-Mail zu SMS, von SMS zu Sprache, von Sprache zu Kollaborationsplattformen und weiter zu Deepfakes. In Maschinengeschwindigkeit.

Unsere Verteidigung sollte sich mit vergleichbarer Geschwindigkeit bewegen. Und Mitarbeitende sollten nicht nur für diese Realität geschult werden – sie sollten aktiv dazu beitragen, das Unternehmen zu verteidigen.

Von Kampagnen zu kontinuierlicher Security Awareness

„Wie schulen wir unsere Mitarbeitenden?“ ist für mich die Frage von gestern. Die bessere lautet:

„Wie verbessern wir Verteidigungsverhalten kontinuierlich?“

Das ist eine grundlegend andere Frage, weil sie den Fokus von Aufklärung auf Engineering verschiebt. Von jährlichen Kampagnen auf kontinuierliche Anpassung. Sie hängt nicht mehr an statischen Schulungs- und Übungsbibliotheken, sondern nutzt reale Bedrohungen als unmittelbare Übungen, die die Belegschaft immunisieren.

Sie verändert auch, was Sie messen. Sie hören auf, Kursabschlüsse als Leitkennzahl zu zählen, und beginnen, das Richtige zu messen – tatsächliches Verhalten. Sie setzen auf Intervention in Echtzeit statt auf statische Inhalte.

In der Praxis sieht der Kreislauf so aus. Ein realer Angriff trifft ein. Mitarbeitende melden ihn. Die KI erklärt, worum es sich handelte und warum er funktioniert hat. Die Mitarbeitenden lernen – und das Sicherheitssystem lernt mit. Dieser reale Angriff wird dann zur Simulation für alle anderen. Die Organisation verbessert sich. Und dann beginnt es von vorn.

Manche in der Branche nennen das kontinuierliche Security Awareness. Ich gehe einen Schritt weiter und nenne es beim Namen: Behavioral Defense Engineering.

Die Zukunft heißt nicht mehr Schulungen

Über zwanzig Jahre lang hat sich Security Awareness darauf konzentriert, Wissen zu vergrößern. Das ergab Sinn, solange Angriffe technische Unwissenheit ausnutzten und der Reifegrad der Nutzenden niedrig war. Die Angriffe von heute nutzen Verhalten aus – deshalb braucht es eine andere Denkweise.

Nicht, weil Awareness obsolet geworden wäre. Sondern weil Awareness allein nicht mehr ausreicht. Wissen zählt weiterhin; bewusstes Üben wird essenziell; kontinuierliche Anpassung wird Pflicht. Und echtes Verhalten zu messen wird deutlich wertvoller, als abgeschlossene Kurse zu zählen.

Die Organisationen, die diesen Wandel erkennen, werden nicht zwangsläufig mehr schulen als alle anderen. Sie werden einen Stack bauen, der

menschliches Verhalten kontinuierlich stärkt, während Angreifer ihr eigenes kontinuierlich weiterentwickeln, und
gut trainiertes Nutzerverhalten als aktiven Teil des Security-Stacks behandelt – und menschliche Signale in hochwertige, sehr frühe Angriffsinformationen verwandelt.

Denn im Zeitalter der KI geht es in der Cybersicherheit nicht nur darum, Technologie zu schützen. Es geht darum, die Verhaltensverteidigung der Menschen zu bauen, die sie nutzen. Der Zustand, den es anzustreben lohnt, ist der, in dem jeder Angriff zur Gelegenheit wird, die Organisation zu stärken.

Zum Schluss

Ich glaube nicht, dass die Zukunft der Cybersicherheit denen gehört, die am meisten Awareness-Schulung liefern. Ich glaube, sie gehört Organisationen, die menschliches Verteidigungsverhalten kontinuierlich beobachten, stärken und anpassen können – so schnell, wie Angreifer ihre Angriffstechniken anpassen. Wenn dieses Verhaltenssignal in Echtzeit in die Sicherheitssysteme zurückfließt, umso besser.

Zusammengenommen ist das kein besseres Awareness-Programm.

Es ist eine andere Disziplin – und ich glaube, sie wird die nächste Generation menschlicher Cyberverteidigung prägen.

So Long, Palo

Fussnoten

[1] Improving Cyber Risk Behavior through AI-Enabled Spearphishing – A Comparative Analysis (gemeinsame Studie mit der Hochschule Luzern)

Häufig gestellte Fragen

Was ist kontinuierliche Security Awareness?

Es ist der Wechsel von Awareness als Ereignis zu Awareness als laufender Praxis. Statt eines Jahreskurses plus einem Phishing-Test pro Quartal werden Mitarbeitende wiederholt mit realistischen Entscheidungen konfrontiert, an ihrem tatsächlichen Verhalten gemessen und in dem Moment unterstützt, in dem eine Bedrohung eintrifft. Das Modell ähnelt eher dem Training von Piloten oder Chirurgen als klassischen Compliance-Schulungen.

Funktioniert Security-Awareness-Schulung überhaupt?

Sie schafft die Compliance-Basis und prägt die Einstellung – beides zählt. Für sich genommen sagt sie aber nur schwach voraus, was Menschen bei einem echten, gut gemachten Angriff tun. Unsere Forschung mit der HSLU zeigt: Klassisches eLearning verbessert das Verteidigungsverhalten um rund 40 % – real, aber deutlich zu wenig gegen KI-personalisierte Angriffe.

Warum reicht Wissen nicht aus, um modernes Phishing zu stoppen?

Weil die menschliche Psyche nicht nach „Wissen → sicheres Verhalten“ funktioniert. Menschen wissen, dass Zucker schadet, und essen ihn trotzdem; sie wissen, dass sie Sport treiben sollten, und lassen es; sie wissen, dass man beim Fahren nicht tippen sollte, und tun es doch. Unter Stress fällt man in Gewohnheiten zurück – nicht auf das, was man einmal im Jahr in einem Kurs gelernt hat.

Was hat KI an Phishing tatsächlich verändert?

Nicht die Angriffsarten – die Ökonomie. Angreifer betreiben heute OSINT zu einzelnen Zielpersonen, imitieren Schreibstile, übersetzen fehlerfrei, klonen Stimmen und erzeugen Videos – tausendfach pro Tag, zu nahezu null Kosten. Die Bedrohungskategorien sind dieselben. Das Volumen und die Personalisierung sind es nicht.

Wie oft sollte man Phishing-Simulationen durchführen?

Realistisches Verhalten entsteht so, wie es bei Piloten, Feuerwehrleuten und Chirurgen entsteht: durch wiederholte Übung unter realistischen Bedingungen, nicht durch eine Übung pro Jahr. Unsere Forschung belegt das direkt – konventionelle Simulationen schlagen reines eLearning, und KI-personalisierte OSINT-Simulationen verbesserten das Verteidigungsverhalten um bis zu 60 %.

Wie misst man Verhaltensänderung statt Kursabschlüssen?

Hören Sie auf zu zählen, wer das Modul beendet hat, und beginnen Sie zu zählen, was Menschen tun, wenn eine echte Bedrohung eintrifft: Melden sie sie, klicken sie, eskalieren sie? Behandeln Sie jeden gemeldeten echten Phishing-Versuch als sofortige Übung – und die Meldungen als frühe Bedrohungsinformation, nicht bloß als Zeile im Compliance-Log.