Auswertung von 88 organisationsweiten Erhebungen mit mehr als 100.000 Teilnehmenden und rund 4,5 Millionen Einzelantworten zeigt, warum Wissen allein nicht für Cyberresilienz reicht.

Hünenberg, Schweiz – Unternehmen haben ihre Sicherheitskultur in den vergangenen zwei Jahrzehnten deutlich professionalisiert. Der Schritt von einer soliden zu einer sehr guten Sicherheitskultur gelingt jedoch weiterhin nur wenigen Organisationen. Das zeigt der Report “Security Culture Code – 20 Jahre Security Awareness Radar” der TreeSolution Security Awareness AG.

Die Langzeitauswertung basiert auf 88 organisationsweiten Erhebungen aus den Jahren 2004 bis 2025, mehr als 100.000 Teilnehmenden und rund 4,5 Millionen Einzelantworten. Der Report untersucht, wie sich Informationssicherheitskultur über zwei Jahrzehnte entwickelt hat und welche Faktoren Organisationen auf dem Weg zu höherer Cyberresilienz besonders beeinflussen.

Wissen allein führt nicht zu hoher Sicherheitsreife

Ein zentrales Ergebnis der Analyse: Mehr Wissen allein führt nicht automatisch zu einer höheren Sicherheitskultur.

Grundlegende Sicherheitskenntnisse und sicherheitsbezogene Einstellungen befinden sich in vielen Organisationen bereits auf einem vergleichsweise hohen Niveau. Die grössten Unterschiede zwischen niedriger und hoher Reife entstehen vielmehr dort, wo Informationssicherheit in den Arbeitsalltag übersetzt werden muss.

Besonders deutlich zeigen sich die Unterschiede bei den Themen Kommunikation, Vorbildfunktion der Führung, Schulung sowie Arbeits- und Technologiegestaltung.

Die Analyse kommt damit zu einem klaren Ergebnis: Entscheidend ist nicht nur, ob Mitarbeitende Sicherheitsregeln kennen. Entscheidend ist, ob Informationssicherheit verständlich kommuniziert, durch Führungskräfte sichtbar vorgelebt und in Prozesse, Werkzeuge und tägliche Routinen integriert wird.

Deutliche Verbesserung – aber eine “gläserne Decke” bleibt

Über die vergangenen 20 Jahre zeigt sich zunächst eine klare Professionalisierung.

In der frühen Phase von 2004 bis 2012 wiesen rund 40 Prozent der untersuchten Organisationen eine ungenügende Sicherheitskultur auf. Im Zeitraum 2019 bis 2025 sank dieser Anteil auf 13 Prozent.

Für die Jahre 2019 bis 2025 ergibt sich folgende Verteilung:

* 13 Prozent der Organisationen: ungenügende Sicherheitskultur
* 40 Prozent: ausbaufähige Sicherheitskultur
* 33 Prozent: gute Sicherheitskultur
* 13 Prozent: sehr gute Sicherheitskultur

Bemerkenswert ist insbesondere der geringe Anteil der Organisationen mit sehr hoher Reife. Über den gesamten Beobachtungszeitraum bewegt sich dieser Anteil lediglich in einem Bereich von etwa 10 bis 13 Prozent.

TreeSolution bezeichnet dieses Phänomen als “gläserne Decke zur Exzellenz”. Grundlegende Verbesserungen der Sicherheitskultur sind für viele Organisationen erreichbar. Deutlich schwieriger ist jedoch der Schritt zu einer tief verankerten, bereichsübergreifend gelebten Sicherheitskultur.

Auch der durchschnittliche Security Awareness Indicator, kurz SAI, zeigt die langfristige Entwicklung. Er steigt in der Auswertung von 43,8 Punkten im Jahr 2005 auf 65,2 Punkte im Jahr 2025.

Mitarbeitende kennen zentrale Sicherheitsregeln bereits

Besonders aufschlussreich ist der Blick auf einzelne Aussagen aus den Erhebungen.

Bei grundlegenden Verhaltensregeln werden sehr hohe Zustimmungswerte erreicht:

* 94 Prozent: Passwörter sollen nicht weitergegeben werden.
* 93 Prozent: Vorsicht bei verdächtigen E-Mails.
* 89 Prozent: Informationssicherheit ist die Verantwortung aller.

Deutlich niedrigere Werte zeigen sich dagegen bei Themen, die stärker von Organisation und Führung abhängen.

Nur 39 Prozent stimmen der Aussage zu, dass Sicherheitsmassnahmen durch Vorgesetzte erläutert werden. Bei verständlichen Sicherheitsinformationen liegt der Zustimmungswert bei 51 Prozent, bei Schulungen für bestehende Mitarbeitende bei 53 Prozent.

Das Muster ist deutlich: Viele Mitarbeitende wissen grundsätzlich, welches Verhalten im Bereich Cybersecurity von ihnen erwartet wird. Die grössere Herausforderung liegt darin, Sicherheit organisatorisch zu vermitteln und dauerhaft im Arbeitsalltag zu verankern.

Führung und Kommunikation werden zum entscheidenden Faktor

Die Langzeitauswertung identifiziert vier zentrale Entwicklungsfelder für eine reife Sicherheitskultur:

* Führung und Wahrnehmung
* Kommunikation und Befähigung
* Werte und kulturelle Verankerung
* Handhabbarkeit und psychologische Sicherheit

Wo Führungskräfte Informationssicherheit sichtbar unterstützen, vorleben und priorisieren, ist auch die Wahrnehmung von Informationssicherheit stärker ausgeprägt.

Gleichzeitig zeigt die Analyse einen engen Zusammenhang zwischen Kommunikation und Schulung. Kommunikation ohne konkrete Lernangebote bleibt häufig abstrakt. Schulungen ohne kommunikative Einbettung wirken dagegen oftmals nur punktuell.

Eine nachhaltige Security-Awareness-Strategie verbindet deshalb Wissensvermittlung, Kommunikation, Führung und kontinuierliche Lernimpulse.

Fachwissen schützt nicht automatisch vor kulturellen Schwächen

Ein weiteres Ergebnis stellt eine verbreitete Annahme infrage: Techniknahe oder wissensintensive Organisationen verfügen nicht automatisch über eine höhere Sicherheitskultur.

Im untersuchten wissensintensiven Sektor wurden 50 Prozent der Organisationen als “ungenügend” eingestuft.

Dabei liegt die Herausforderung nicht zwangsläufig in fehlendem Fachwissen. Gerade in Expertenorganisationen können hohe individuelle Autonomie und ausgeprägter Expertenstatus dazu führen, dass gemeinsame Orientierung, Führungssignale und verbindliche Sicherheitsnormen schwächer ausgeprägt sind.

Fachliche Expertise ersetzt damit keine kulturelle Steuerung.

Multinationale Unternehmen profitieren von ihren Strukturen

Auch die internationale Aufstellung einer Organisation liefert interessante Hinweise.

Multinationale Organisationen erreichen in der Untersuchung häufiger hohe beziehungsweise sehr hohe Reifegrade als rein national agierende Organisationen.

Der Vorteil entsteht nach Analyse von TreeSolution jedoch nicht primär durch die geografische Aufstellung. Entscheidend sind vielmehr die Strukturen, die in multinationalen Unternehmen häufig stärker ausgeprägt sind: gemeinsame Frameworks, verbindliche Prozesse, standardisierte Roll-outs, Governance und konsistentes Reporting.

TreeSolution fasst diesen Zusammenhang unter dem Prinzip “Systemlogik vor Geografie” zusammen.

Vom Awareness-Training zur Sicherheitskultur

Aus den Ergebnissen leitet TreeSolution eine Roadmap für die Jahre 2026 bis 2030 ab.

Welche Massnahmen sinnvoll sind, hängt dabei vom jeweiligen Reifegrad einer Organisation ab.

Bei Organisationen mit niedriger Reife steht zunächst die Vereinfachung des sicheren Verhaltens im Vordergrund. Dazu gehören beispielsweise klare Standardprozesse, Passwortmanager, Single Sign-on und einfache Meldewege für Phishing.

Ist bereits eine grundlegende Sicherheitskultur vorhanden, werden Führung und Kommunikation zunehmend entscheidend. Security-Themen sollten dann stärker in bestehende Management- und Führungsroutinen integriert werden.

Bei Organisationen mit höherem Reifegrad gewinnen eine positive Fehler- und Reporting-Kultur, Security-Champions, teamnahe Lernformate und die sichtbare Anerkennung sicheren Verhaltens an Bedeutung.

Die zentrale Erkenntnis aus zwei Jahrzehnten Security Awareness Radar lautet damit: Kulturelle Exzellenz entsteht nicht durch immer mehr Sicherheitsinformationen. Sie entsteht dort, wo Wissen, Führung, Kommunikation und organisationale Strukturen ineinandergreifen und Informationssicherheit zu einem selbstverständlichen Bestandteil des Arbeitsalltags wird.

Report kostenlos herunterladen

Der vollständige Report “Security Culture Code – 20 Jahre Security Awareness Radar – Strategische Leitlinien für eine wirksame Sicherheitskultur” steht bei TreeSolution kostenlos zum Download zur Verfügung:

www.treesolution.com/security-culture-code

Über TreeSolution Security Awareness AG

Die TreeSolution Security Awareness AG ist ein Schweizer Spezialist für Security Awareness, Informationssicherheitskultur und die nachhaltige Sensibilisierung von Mitarbeitenden für Cyberrisiken.

Seit 2005 beschäftigt sich TreeSolution mit der Messung und Entwicklung von Sicherheitskultur in Organisationen. Grundlage der Arbeit sind reale Daten, wissenschaftlich fundierte Methoden und mehr als zwei Jahrzehnte Erfahrung mit der menschlichen und organisatorischen Dimension der Informationssicherheit.

Ein zentrales Instrument ist der Security Awareness Radar®, mit dem Informationssicherheitskultur nicht nur über Wissen, sondern über verschiedene Dimensionen auf Ebene von Individuum, Gruppe und Organisation erfasst wird. Dazu gehören unter anderem Wissen, Werte, Wahrnehmung, Kommunikation, Vorbildfunktion und organisationale Einbettung.

TreeSolution verfolgt das Ziel, Informationssicherheit so in Organisationen zu verankern, dass Technik, Prozesse und Menschen als zusammenhängendes System betrachtet werden.

TreeSolution Security Awareness AG
Bösch 23
6331 Hünenberg
Schweiz

Telefon: +41 58 510 98 00
E-Mail: info@treesolution.com
Web: https://www.treesolution.com/

Verantwortlicher für diese Pressemitteilung:

TreeSolution Security Awareness AG
Herr Thomas Schlienger
Bösch 23
6331 Hünenberg
Schweiz

fon ..: +41585109800
web ..: https://www.treesolution.com
email : info@treesolution.com

Über TreeSolution Security Awareness AG

Die TreeSolution Security Awareness AG ist ein Schweizer Spezialist für Security Awareness, Informationssicherheitskultur und die nachhaltige Sensibilisierung von Mitarbeitenden für Cyberrisiken. Seit 2005 unterstützt TreeSolution Unternehmen und Organisationen dabei, Sicherheitsbewusstsein messbar zu machen und eine nachhaltige Sicherheitskultur aufzubauen.

Zum Portfolio gehören unter anderem Security-Awareness-Messungen mit dem Security Awareness Radar®, Awareness-Strategien und -Kampagnen, Cyber-Security-Schulungen, E-Learnings, Phishing-Trainings sowie Consulting. Mehr als 660 Kundenprojekte und rund 2,6 Millionen Nutzerinnen und Nutzer wurden mit Lösungen von TreeSolution erreicht.

Weitere Informationen unter: https://www.treesolution.com/

Pressekontakt:

TreeSolution Security Awareness AG
Herr Thomas Schlienger
Bösch 23
6331 Hünenberg

fon ..: +41585109800
email : info@treesolution.com