Warum Wissen allein Ihre Organisation nicht schützt

Was die Daten zeigen

Mit dem Security Awareness Radar (SAR) von TreeSolution wurden zwischen 2004 und 2025 insgesamt 88 organisationsweite Erhebungen mit über 100.000 Teilnehmenden und rund 4.5 Millionen Einzelantworten durchgeführt. Das Ergebnis ist eindeutig: Die Domänen Wissen und Werte liegen über alle Reifestufen hinweg auf einem vergleichsweise hohen Niveau. Selbst Organisationen mit «ungenügender» Sicherheitskultur erzielen beim Wissen durchschnittlich 62 Punkte auf einer Skala von 0 bis 100 – bei der Domäne Werte sind es sogar 83 Punkte.

Was also erklärt den Unterschied zwischen einer mittelmässigen und einer exzellenten Sicherheitskultur? Die Antwort liegt in anderen Domänen. Die grössten Abstände zwischen «ungenügend» und «sehr gut» zeigen sich bei:

• Kommunikation: 29 → 68 Punkte (Differenz: +39)
• Schulung (Qualität & Einbettung): 28 → 69 Punkte (Differenz: +41)
• Vorbildfunktionder Führung: 32 → 63 Punkte (Differenz: +31)
• Arbeits-und Technologiegestaltung: 49 → 76 Punkte (Differenz: +27)

Das Paradox der gut informierten Organisation

Viele Organisationen haben das Paradox geschaffen, dass ihre Mitarbeitenden sehr wohl wissen, was sie tun sollten – es aber im Alltag trotzdem nicht konsequent tun. Der Grund: Wissen und Verhalten sind nicht identisch. Zwischen dem Verstehen einer Sicherheitsregel und ihrer alltäglichen Anwendung steht die organisatorische Realität: unklare Prozesse, fehlende Vorbilder, schwerfällige Meldewege und eine Unternehmenskultur, die Sicherheit nicht wirklich priorisiert.

Die Konsequenz: Mehr Schulungsinhalte produzieren ab einem gewissen Punkt abnehmenden Nutzen. Wer den nächsten Reifesprung erreichen möchte, muss an anderen Stellschrauben drehen.

Aufmerksamkeit statt Inhalte

Der Security Culture Code beschreibt diesen Wandel als den Übergang von der Wissensvermittlung zur organisatorischen Aufmerksamkeit. Es geht nicht darum, den Mitarbeitenden noch mehr Informationen zu geben. Es geht darum, Sicherheit im Alltag sichtbar, handhabbar und selbstverständlich zu machen.

Das bedeutet konkret: Führungspersonen sprechen in Meetings über Sicherheitsvorfälle. Sicherheitsrelevante Prozesse sind in den Arbeitsalltag integriert, nicht additiv. Meldungen von Vorfällen werden als Lernanlass genutzt, nicht sanktioniert. Und Sicherheit erscheint regelmässig auf der Agenda von Führungsgremien – nicht nur dann, wenn etwas schiefgelaufen ist.

Fazit: Schulung bleibt notwendig – reicht aber nicht aus

Training und Schulung bilden das notwendige Fundament. Sie schaffen Grundwissen, Sensibilisierung und Mindeststandards. Aber der eigentliche Reifesprung entsteht erst, wenn Sicherheitskultur als Führungsaufgabe verstanden wird und in die Kommunikations- und Entscheidungsroutinen der Organisation einzieht. Wer den Security Culture Code entschlüsseln will, muss über die Schulungslogik hinausdenken.

Den vollständigen Bericht über 20 Jahre SAR und die Erkenntnisse daraus können Sie HIER kostenlos beantragen.