Menschliches Verhalten weiterhin kritische Schwachstelle der Cybersicherheit

MetaCompliance beleuchtet mit einer Studie die weit verbreitete Sorge von CISOs, dass bestehende Maßnahmen das Cyberrisiko durch menschliche Fehler nicht wirksam angehen

[datensicherheit.de, 20.05.2026] CISOs im EMEA-Wirtschaftsraum verlieren offenbar das Vertrauen in klassische Sicherheitsschulungen: Jedenfalls gaben in einer kürzlich von MetaCompliance in Auftrag gegebenen Umfrage 78 Prozent der befragten CISOs an, dass ihr bisheriger Schulungsansatz dringend überarbeitet werden muss. MetaCompliance unterstützt Organisationen nach eigenen Angaben dabei, resiliente Sicherheitskulturen aufzubauen, und beleuchtet nun mit seiner Studie die weit verbreitete Sorge von CISOs, dass bestehende Maßnahmen das Cyberrisiko durch menschliche Fehler nicht wirksam angehen.

Foto: MetaCompliance

James Mackay warnt: Viele Unternehmen verwechseln absolvierte Sicherheitsschulungen mit tatsächlicher Sicherheit

Menschliches Fehlverhalten aus Sicht vieler Unternehmen hartnäckige Schwachstelle der Unternehmenssicherheit

Für die Studie seien 200 CISOs aus Großbritannien, Schweden, Deutschland und Frankreich befragt worden – und das Ergebnis sei eindeutig: 81 Prozent seien überzeugt, dass „Security Awareness“-Programme scheiterten, weil sie das Cyberrisiko durch menschliche Fehler als reine Schulungsfrage statt als unternehmensweite Aufgabe des Risikomanagements behandelten.

• Die Relevanz dieser Erkenntnis werde dadurch unterstrichen, dass 68 Prozent der befragten Unternehmen ihre eigenen Mitarbeiter als größtes Sicherheitsrisiko betrachteten. Dies zeichne das Bild von menschlichem Fehlverhalten als hartnäckige Schwachstelle im Kern der Unternehmenssicherheit.

Trotz kontinuierlicher Investitionen in Schulungen – Unternehmen wendeten im Schnitt 15 Prozent ihres jährlichen Sicherheitsbudgets für „Awareness“-Training auf, 79 Prozent böten mindestens alle zwei Wochen Schulungen an – sei der Erfolg nicht garantiert.

Ursache des Problems gleichermaßen in Organisationen selbst wie im menschlichen Verhalten der Mitarbeiter

Ein Viertel der Organisationen schaffe es nicht, die Aufmerksamkeit ihrer Mitarbeiter zu gewinnen. Weiteren 24 Prozent gelinge es nicht, sicherheitsbewusstes Verhalten im Arbeitsalltag zu verankern, und noch einmal 24 Prozent hätten Schwierigkeiten damit, abteilungsübergreifend auf einen gemeinsamen Nenner für Sicherheit zu kommen.

• Damit sei klar: Die Ursache des Problems liege gleichermaßen in den Organisationen selbst wie im Verhalten der Mitarbeiter.

Der Grund seien überholte Schulungsansätze. Zwar seien viele CISOs der Meinung, ihre Unternehmen hätten Weiterbildungen mit „Häkchensetzen“ hinter sich gelassen – einige bezeichneten ihr Programm als „verhaltensorientiert“ (33%) oder gäben an, „Human Risk Management“ (24%) zu integrieren. Dennoch führe dieser gefühlte Fortschritt nicht zu grundlegenden Veränderungen.

Weiterbildungen ändern oft nichts an zugrundeliegenden menschlichen Schwachstellen

James Mackay, CEO bei MetaCompliance, kommentiert: „Das Selbstvertrauen nimmt zu, aber das bedeutet nicht, dass das Risiko sinkt. Viele Unternehmen verwechseln absolvierte Sicherheitsschulungen mit tatsächlicher Sicherheit.“ Oft änderten Weiterbildungen nämlich nichts an den zugrundeliegenden menschlichen Schwachstellen. Dies führe zu einer gefährlichen Diskrepanz zwischen wahrgenommener und tatsächlicher Sicherheit.

• Mackay warnt: „Unternehmen fühlen sich sicherer, obwohl ihre Mitarbeitenden auch nach Schulungen weiterhin ihre größte Risikoquelle darstellen. Gleichzeitig werden die Bedrohungen zunehmend raffinierter: KI steigert die Zahl und Präzision von Social-Engineering-Angriffen. Wer diese Sicherheitslücke nicht schließt, ist wachsenden Risiken ausgesetzt!“

CISOs fordern demnach eine „strategischere Vorgehensweise“. Knapp vier von fünf (79%) wollten „Human Risk Management“ einführen. Diese Methode identifiziere Personen mit besonders riskanten Verhaltensweisen, erstelle maßgeschneiderte Interventionen auf Basis von Verhaltensmustern und fördere eine organisationsweite Sicherheitskultur.

Cyberrisiko durch menschliches Fehlverhalten wie jedes andere Unternehmensrisiko zu managen

Weitere 83 Prozent seien überzeugt, dass gezieltes Eingreifen das Risiko schneller senken würde, und laut 80 Prozent entfalteten sicherheitsrelevante Informationen ihre größte Wirkung, wenn sie in die tägliche Arbeit integriert sind.

• Dieser Wandel vollziehe sich vor dem Hintergrund einer sich schnell entwickelnden Bedrohungslandschaft. Für die nächsten zwölf Monate hätten die befragten Unternehmen voraussichtlich drei Prioritäten: Intensivierung der Schulungsfrequenz (27%), messbarer ROI (25%) und zielgerichtete Interventionen für Hochrisiko-Personen (24%), insbesondere im Hinblick auf KI-gestützte Social-Engineering-Angriffe (24%).

Mackay rät abschließend: „Das Cyberrisiko durch menschliches Fehlverhalten muss wie jedes andere Unternehmensrisiko gemanagt werden – messbar, zielgerichtet und kontinuierlich! Das bedeutet, dass Unternehmen reines ,Awareness’-Training hinter sich lassen und sich um echte Verhaltensänderungen bemühen.“ Unternehmen müssten Cybersicherheit mit Echtzeit-Targeting und datenbasierten Erkenntnissen von Grund auf neu denken, um die richtigen Personen zur richtigen Zeit mit den richtigen Informationen zu erreichen. „Nur so lässt sich das menschliche Cyberrisiko im großen Umfang reduzieren!“, unterstreicht Mackay.

Weitere Informationen zum Thema:

MetaCompliance
The Leading Human Risk Management Platform / Reduce risk and create lasting behaviour change with personalised security awareness that engages every employee.

MetaCompliance, 13.05.2026
Rethinking Security Awareness / How CISO’s Can Transform Security Awareness Training to Drive Measurable Risk Reduction

MetaCompliance
Treffen Sie unser Führungsteam / Vorstandsvorsitzender James Mackay

datensicherheit.de, 19.12.2025
Reduzierung menschlicher Fehler als Erfolgsfaktor zur Senkung der IT-Risiken / MetaCompliance rät mit Blick auf den „Faktor Mensch“ zu mehr personalisiertem Sicherheitstraining im neuen Jahr 2026