Podcast | Lia Fey - Braucht IT-Sicherheit mehr Empathie?

Klassische Awareness-Trainings wirken oft nicht so, wie erhofft. Studien zeigen, dass Phishing-Simulationen das Verhalten von Mitarbeitenden im Durchschnitt nur um 1,7 % verbessern. Der Grund liegt jedoch nicht im fehlenden Wissen, sondern in der fehlenden Motivation und Relevanz. 

Viele Menschen absolvieren Sicherheitsschulungen, ohne sich wirklich angesprochen zu fühlen. Inhalte werden durchgeklickt, statt verstanden. Genau hier setzt ein neuer Denkansatz an: Menschen sollen befähigt statt beschämt werden. Nur wenn Trainings relevant und menschlich gestaltet sind, können sie Wirkung entfalten, wie ein Muskel, der durch kontinuierliches Training stärker wird. 

Dabei entscheidend: die Haltung der Unternehmen. In vielen Unternehmen herrscht noch eine Kultur, die auf Kontrolle statt Vertrauen setzt. Doch nachhaltige Security entsteht nur dort, wo Mitarbeitende nicht als „schwächstes Glied in der Kette“, sondern als aktiver Teil der Lösung gesehen werden. Phishing-Simulationen können wertvolle Lernmomente bieten, vorausgesetzt sie werden respektvoll eingesetzt. Wenn Übungen Bloßstellung oder Misstrauen erzeugen, verpufft ihr Effekt. Denn gute Awareness-Maßnahmen schaffen Aha-Momente, nicht Angst.

Julius, Marcel und Lia geben Antworten auf folgende Fragen:

• Wer ist Lia, was macht sie genau und was zeichnet sie aus?
• Warum hat sich Lia "freiwillig" mit Lernpsychologie und Awareness-Theorien beschäftigt?
• In ihrer Keynote spricht Lia über Motivationstheorien wie das ARCS-Modell von John Keller. Was genau ist das und wie hilft es Security Awareness besser zu gestalten?
• Wie können Unternehmen es schaffen, dass Mitarbeitende nicht belehrt, sondern befähigt werden und sich aus so fühlen?
• Eine Studie aus den USA besagt, dass Awareness-Kampagnen kaum etwas bringen. Was ist das Besondere an der Studie?
• Wie weit dürfen Simulationen gehen und wann kippt eine Awareness-Übung in Manipulation und Bloßstellung?
• Wir sprechen in Unternehmen viel über Fehlerkultur. Warum scheint es aber ausgerechnet beim Thema Phishing nicht zu gelten?
• Abschließend geben die drei einen Ausblick in die Zukunft: Was muss passieren, damit Security Awareness als Teil der eigenen Verantwortung gesehen wird und nicht als Pflichtschulung?