Veränderung ist schwierig. Das gilt für Unternehmen genauso wie für einzelne Menschen – und auch für Pinguine.
Ja, richtig gelesen: Pinguine.
Der renommierte Change-Management-Experte John Kotter zeigt in seinem Buch „Das Pinguin-Prinzip“, wie Veränderung erfolgreich gelingt – anhand einer Kolonie von Kaiserpinguinen, die sich einer existenziellen Bedrohung gegenübersieht: Ihre Eisscholle schmilzt. Doch statt in Panik zu verfallen oder das Problem zu verdrängen, durchläuft die Kolonie einen strukturierten Veränderungsprozess.
Und genau diesen strukturierten Prozess brauchen Unternehmen auch für ihre Cybersicherheitsbewusstsein (Awareness).
Denn Cybersicherheit scheitert nicht an der Technik – sie scheitert an Widerständen, Bequemlichkeit und fehlender Akzeptanz. Ein neues Sicherheitstool allein verändert nichts, wenn die Menschen es nicht nutzen. Strengere Regeln bringen nichts, wenn Mitarbeitende sie umgehen.
Sicherheitsbewusstsein entsteht nicht durch Vorgaben, sondern durch einen echten Wandel – und dabei kann uns das Pinguin-Prinzip auf unterhaltsame Art und Weise praktische Anregungen geben.
Warum Change in der Cybersicherheit scheitert – und was Pinguine besser machen
Viele Unternehmen wissen, dass sie ihre Cybersicherheitsstrategie verbessern müssen. Doch was passiert in der Praxis?
- Dringlichkeit fehlt: Geschäftsführende sehen IT-Sicherheit als rein technisches Thema, nicht als elementaren Bestandteil der Unternehmenskultur.
- Führungskräfte setzen falsche Prioritäten: IT-Abteilungen oder CISOs (Chief Information Security Officer) warnen, doch das Management bleibt skeptisch.
- Mitarbeitende erkennen keinen persönlichen Nutzen: Warum sollte ich mein Verhalten ändern, wenn es mich nur mehr Zeit kostet?
- Regeln werden umgangen: Komplexe und realitätsferne Prozesse führen dazu, dass Menschen unsichere Abkürzungen wählen.
Genau diese Probleme hatten auch Kotters Pinguine: Ihre Eisscholle schmolz – aber nicht alle wollten es wahrhaben. Doch mit einer klaren Strategie konnten sie die gesamte Kolonie auf Veränderung einschwören.
Die 8-Stufen-Strategie von Kotter für Cybersicherheits-Awareness
1. Ein Gefühl der Dringlichkeit schaffen
Die Pinguine mussten erst einmal verstehen, dass ihre Situation gefährlich war. Erst als sie das Problem realisierten, waren sie bereit zu handeln.
Für Cybersicherheits-Awareness bedeutet das: Mitarbeitende müssen begreifen, warum Cybersicherheit für sie selbst relevant ist.
📌 So gelingt es:
- Konkrete Beispiele für Cyberangriffe zeigen – idealerweise aus der eigenen Branche.
- Interaktive Phishing-Simulationen nutzen, um reale Bedrohungen erfahrbar zu machen.
- Zahlen und Fakten kommunizieren: Wie viele KMU werden tatsächlich Opfer?
Ohne ein Gefühl der Dringlichkeit bleibt Veränderung eine optionale Maßnahme – und wird nicht ernst genommen.
2. Ein starkes Führungsteam aufbauen
Veränderung braucht Fürsprecher. Bei den Pinguinen war es eine kleine Gruppe mutiger Tiere, die den Rest der Kolonie überzeugte.
In Unternehmen sind das Geschäftsführung, IT-Teams und Sicherheitsbotschafter.
📌 So gelingt es:
- Sicherheitsverantwortliche in verschiedenen Abteilungen benennen.
- Geschäftsführung aktiv in die Kommunikation einbinden.
- Cybersicherheit als Unternehmenspriorität und nicht als „IT-Aufgabe“ etablieren.
3. Eine klare Vision und Strategie entwickeln
Die Pinguine mussten sich einig sein: Wohin ziehen wir? Was ist der Plan?
Genauso braucht Cybersicherheit eine verständliche Vision und klare Ziele.
📌 So gelingt es:
- Cybersicherheits-Awareness als Teil der Unternehmenskultur definieren.
- Klare, greifbare Ziele setzen: „Bis Ende des Jahres nutzen 95 % der Mitarbeitenden MFA.“
- Regeln mit praktikablen Lösungen kombinieren, damit sie akzeptiert werden.
4. Die Vision im Unternehmen kommunizieren
Die beste Strategie hilft nichts, wenn niemand sie kennt. Die Pinguine mussten die gesamte Kolonie überzeugen – mit klaren Botschaften und regelmäßiger Kommunikation.
Das gilt auch für Cybersicherheits-Awareness: Mitarbeitende müssen verstehen, was erwartet wird und warum.
📌 So gelingt es:
- Sicherheitsthemen einfach und verständlich erklären.
- Storytelling nutzen: „Stellen Sie sich vor, ein Hacker sitzt in Ihrem Lieblingscafé …“
- Regelmäßige Erinnerungen durch Plakate, Newsletter und interaktive Formate.
5. Hindernisse aus dem Weg räumen
Nicht alle Pinguine waren sofort begeistert – manche hielten an alten Gewohnheiten fest. Doch das Team erkannte die Hürden und beseitigte sie.
In Unternehmen sind Hindernisse oft komplizierte Prozesse, unpraktische Lösungen oder fehlendes Wissen.
📌 So gelingt es:
- Cybersicherheitsmaßnahmen so einfach und komfortabel wie möglich gestalten.
- Technische Hürden abbauen: Wer sich dreimal für MFA anmelden muss, nutzt es nicht.
- Mitarbeitenden helfen, Sicherheitsmaßnahmen in den Alltag zu integrieren.
6. Kurzfristige Erfolge erzielen
Die Pinguine brauchten sichtbare Erfolge, um alle zu überzeugen. Kleine, schnelle Erfolge motivieren auch in der Cybersicherheits-Awareness.
📌 So gelingt es:
- Erfolge messbar machen: „Letzten Monat haben 80 % der Mitarbeitenden Phishing-Mails erkannt!“
- Sicherheit spielerisch verankern – z. B. mit Cybersicherheits-Bingo.
- Kleine Challenges und Wettbewerbe nutzen, um die Motivation zu steigern.
7. Erfolge festigen und weitere Veränderungen anstoßen
Die Pinguine mussten langfristig denken – nicht nur auf die nächste Woche.
Auch Cybersicherheit ist ein kontinuierlicher Prozess, kein einmaliges Projekt.
📌 So gelingt es:
- Regelmäßige Schulungen in den Arbeitsalltag integrieren.
- Sicherheitsmaßnahmen anpassen, wenn sich Bedrohungen ändern.
- Feedback einholen: Was funktioniert gut? Wo gibt es noch Probleme?
8. Die neue Kultur verankern
Am Ende hatte die Pinguin-Kolonie nicht nur eine neue Heimat gefunden – sie hatte sich verändert. Die Art zu denken und zu handeln war eine andere geworden.
Genau das ist das Ziel einer nachhaltigen Cybersicherheitsstrategie: Wenn Sicherheit zur Selbstverständlichkeit wird, ist Awareness erfolgreich.
📌 So gelingt es:
- Cybersicherheit als festen Bestandteil der Unternehmenskultur etablieren.
- Regelmäßige Erfolgsgeschichten teilen: Was haben wir gemeinsam erreicht?
- Führungskräfte und Mitarbeitende langfristig als Sicherheitsbotschafter etablieren.
Was wir nun also von Pinguinen lernen können
Kotters Pinguin-Prinzip zeigt eindrucksvoll, wie Veränderung erfolgreich funktioniert – und genau das brauchen wir für Sensibilisierung zur Cybersicherheit.
Cybersicherheit wird erst dann Teil der Unternehmenskultur, wenn sie gelebt wird. Von Regeln zu Reflexen – das ist das Ziel.
Im nächsten Artikel beleuchten wir, welche Change-Management-Modelle sich noch für Sensibilisierung zur Cybersicherheit eignen – und welche am besten funktionieren.