Die gläserne Decke der Sicherheitskultur – und wie Sie sie durchbrechen

Das Plateau als empirische Realität

Die Langzeitauswertung des Security Awareness Radar (SAR) über 20 Jahre zeigt ein bemerkenswertes Muster: Der Anteil von Organisationen mit «sehr guter» Sicherheitskultur bewegt sich trotz allgemeiner Professionalisierung nur in einem Korridor von 10-13 %. Gleichzeitig ist der Anteil ungenügender Kulturen von rund 40 % (2004–2012) auf 13 % (2019–2025) gesunken.

Die Diagnose: In der Breite gibt es klare Fortschritte – Sicherheit ist kein Randthema mehr. Aber der Weg von «gut» zu «sehr gut» ist ungleich schwieriger. Grundlegende Anforderungen zu erfüllen ist für viele erreichbar; eine tief verankerte, bereichsübergreifend getragene Exzellenzkultur bleibt die Ausnahme.

Was die Decke stabilisiert

Die Daten liefern eine klare Antwort, warum viele Organisationen die Decke nicht durchbrechen. Es liegt nicht an fehlendem Wissen oder mangelnder Einstellung. Diese Werte sind bereits auf der Stufe «gut» auf hohem Niveau. Die entscheidenden Differenzierungsfaktoren liegen in:

• Problemmanagement: Wird mit Vorfällen lernorientiert oder sanktionsorientiert umgegangen?
• Motivation: Geht Sicherheitsengagement über blosse Pflichterfüllung hinaus?
• Vorbildfunktion: Ist sicheres Verhalten auf allen Hierarchiestufen sichtbar und konsistent?
• Kulturelle Verankerung: Ist Sicherheit Teil der organisatorischen Identität oder ein Add-on?

Pfad 3 der Roadmap: Strategisch durchbrechen

Der Security Culture Code beschreibt für Organisationen auf dem Weg von «gut» zu «sehr gut» einen spezifischen Entwicklungspfad (Pfad 3). Im Mittelpunkt stehen nicht weitere Regelwerke oder Schulungsinhalte, sondern die Qualität der sozialen Verankerung. Konkret bedeutet das:

• Aufbau einer positiven Reporting-Kultur: Sicherheitsvorfälle müssen ohne Angst vor Schuldzuweisungen gemeldet werden können.
• Systematische Nutzung von Beinahe-Vorfällen als Lernanlass statt als Skandal.
• Security-Champions-Netzwerke, die Sicherheitsthemen dezentral und glaubwürdig transportieren.
• Sichtbare Anerkennung von sicherheitskonformem Verhalten – nicht nur Sanktionierung von Verstössen.

Warum Fallstudie B so lehrreich ist

Eine multinationale Organisation (25.000–50.000 Mitarbeitende) hat in sieben Jahren ihren Security Awareness Indicator von 49.1 auf 71.1 Punkte gesteigert – ein Sprung von fast 45 %. Das Geheimnis: Schulung, Kommunikation, Problemmanagement und Arbeitsgestaltung wurden gleichzeitig und koordiniert verbessert. Der Fall zeigt, dass grosse Reifeschritte möglich sind – aber nicht durch isolierte Massnahmen, sondern durch das simultane Bewegen mehrerer kultureller Hebel.

Fazit: Exzellenz ist kein Zufall

Die gläserne Decke ist real, aber nicht unüberwindbar. Organisationen, die sie durchbrechen, haben gemeinsam, dass sie Sicherheit nicht als Compliance-Pflicht, sondern als Teil ihrer professionellen und organisatorischen Identität verstehen. Das erfordert sichtbare Führung, psychologische Sicherheit im Umgang mit Fehlern und die konsequente Einbettung von Sicherheit in das kulturelle Betriebssystem der Organisation.

Den vollständigen Bericht über 20 Jahre SAR und die Erkenntnisse daraus können Sie HIER kostenlos beantragen.

‍