Schaffen sie es immer noch nicht, das Verhalten zu ändern?
08/2026
1 Einleitung und Hintergrund
Obwohl Sicherheit eines der am intensivsten erforschten Themen der Geschichte ist, steht sie nach wie vor im Mittelpunkt heftiger Debatten, insbesondere im Zusammenhang mit der zunehmend digitalen Welt von heute. Eine dieser Debatten betrifft die Rolle des Einzelnen, der menschlichen Psychologie und, im weiteren Sinne, menschenzentrierter Ansätze in der Cybersicherheit. In der Wissenschaft hat sich diese Diskussion seit wegweisenden Werken wie «Users Are Not the Enemy» und «Why Johnny Can’t Encrypt» weiterentwickelt. Man könnte argumentieren, dass wir einen Punkt erreicht haben, an dem die Bedeutung des Verständnisses der Nutzer, der Ausrichtung auf ihre Bedürfnisse und der Berücksichtigung ihrer Einschränkungen fest etabliert ist.
Die Haltung der Industrie und der Medien ist jedoch weniger eindeutig. Allein im Jahr 2025 haben wir beispielsweise mindestens 10 Artikel in etablierten Branchen- und Medienpublikationen identifiziert, in denen Nutzer als «das schwächste Glied» bezeichnet wurden. Angeregt durch diese Beobachtung und als Gedankenexperiment angesichts der wachsenden Bedeutung generativer KI-Plattformen stellten wir Googles Gemini die Frage: «Sind Menschen das schwächste Glied?» Während die erste Antwort ausgewogen erschien, führte die weitere Aufforderung nach einer eindeutigeren Antwort zu folgender Aussage: «Ja, denn für Angreifer ist es weitaus einfacher, die menschliche Psychologie durch Täuschung und Dringlichkeit auszunutzen, als ausgefeilte technische Sicherheitsmassnahmen zu umgehen.» Dies dient als einfaches Beispiel für Sicherheitsvorstellungen, die fortbestehen und häufig verstärkt werden.
Im Bereich der Menschen und der Cybersicherheit ist eine Frage, die in den letzten zwei Jahrzehnten grosse Aufmerksamkeit erhalten hat, wie sich sicheres Verhalten bei Einzelpersonen fördern und aufrechterhalten lässt. Gängige Beispiele sind die Wahl sicherer Passwörter, die Nutzung der Multi-Faktor-Authentifizierung sowie das Erkennen von Betrugsversuchen und Social-Engineering-Angriffen. Vor zehn Jahren näherten wir uns diesem Problem aus der Perspektive von Sensibilisierungskampagnen und untersuchten die Frage, warum Kampagnen zur Förderung des Cybersicherheitsbewusstseins das Verhalten nicht ändern können. Dieser Fokus wurde durch die Beobachtung motiviert, dass Kampagnen zur Sensibilisierung und Schulung im Bereich Sicherheit (SAT), obwohl sie die wichtigste Methode sind, mit der Unternehmen und Regierungen das Verhalten beeinflussen, selten die gewünschten Ergebnisse erzielen. Dies liegt vor allem daran, dass zentrale Komponenten wie persönliche, soziale und umfeldbezogene Faktoren in der Konzeptions- und Umsetzungsphase oft vernachlässigt werden. Genauer gesagt neigen solche Initiativen dazu, Risiken zu benennen und «gutes» Verhalten vorzuschreiben, übersehen dabei jedoch andere entscheidende Faktoren, die für eine nachhaltige Verhaltensänderung erforderlich sind.
Seit unseren ersten Untersuchungen hat sich die Cybersicherheitslandschaft dramatisch verändert. Die Covid-19-Pandemie läutete eine Ära des Homeoffice ein, was weltweit zu einem Anstieg von Cyberangriffen beitrug. Angreifer werden bei der Anwendung von Social-Engineering-Techniken immer innovativer und dreister, darunter Angriffe auf Helpdesks von Organisationen sowie Ransomware-Kampagnen mit vielfältigen Erpressungsmethoden. Auch künstliche Intelligenz (KI) bringt eine Reihe spezifischer Herausforderungen mit sich, sowohl hinsichtlich der Gefährdung von Unternehmens- und Personendaten durch Schatten-IT als auch durch deren Nutzung als Hilfsmittel durch Angreifer, beispielsweise zur Erstellung von Phishing-Nachrichten oder zur Entwicklung von Malware. Die Schäden, die Opfer von Cyberangriffen erleiden, sind aufgrund der zunehmenden Vernetzung unserer Organisationen und unseres Privatlebens grösser denn je. Diese Herausforderungen werden durch den breiteren Kontext, in dem sich der Einzelne bewegt, noch verschärft – geprägt von steigenden beruflichen und privaten Anforderungen, einer zunehmenden Informationsüberflutung und anhaltender digitaler und sicherheitsbezogener Erschöpfung.
In diesem Artikel führen wir daher eine aktualisierte Analyse durch, um zu untersuchen, ob aktuelle Sicherheitsaufklärungskampagnen eher zu einer Verhaltensänderung führen. Diese Analyse berücksichtigt, inwieweit sich die Sicherheitslandschaft weiterentwickelt hat, sowie neuere Forschungsergebnisse im Bereich «Menschen und Sicherheit», einschliesslich persönlicher, sozialer und umgebungsbezogener Faktoren, die das Verhalten beeinflussen. Im Mittelpunkt unserer Analyse steht eine Reihe nationaler Kampagnen aus den Jahren 2015 bis 2025. Wir beschränken den Fokus dieser Studie zudem auf KI-gestützte Bedrohungen, darunter Deepfakes, Phishing oder Sprachsynthese. Dies geschah angesichts der heutigen Bedeutung dieser Bedrohungen sowie der begrenzten Seitenzahl dieses Artikels.
Der weitere Verlauf des Artikels ist wie folgt gegliedert: Abschnitt 2 präsentiert die Ergebnisse, während Abschnitt 3 diese sowie die breitere Forschungslandschaft reflektiert. Schliesslich stellen wir in Abschnitt 4 Schlussfolgerungen für zukünftige Kampagnen vor, wobei der Schwerpunkt auf verhaltensbezogenen Aspekten liegt.
2 Ergebnisse
Die Analyse von 11 nationalen Sensibilisierungskampagnen zur Cybersicherheit (2015–2025) zeigt, dass zwar einige Initiativen sich aktiv mit KI-gesteuerten Bedrohungen wie synthetischem Phishing und Deepfakes befassen, die Umsetzung jedoch nach wie vor uneinheitlich ist. So wird beispielsweise in den Materialien zum US-Cybersicherheits-Bewusstseinsmonat 2025 «Secure Our World» ausdrücklich anerkannt, dass «Angreifer zunehmend KI-gestütztes Phishing, Social Engineering und auf Deepfakes basierende Identitätsbetrüge ausnutzen», wobei diese Inhalte in wöchentliche Module integriert werden, die einen Schwerpunkt auf «Sicherheit im Bereich KI und neue Technologien» legen. Begleitende Merkblätter bieten praktische Anleitungen für eine sichere Online-Nutzung von KI. In ähnlicher Weise beinhalten die Aktivitäten der ENISA im Rahmen des Europäischen Cybersicherheitsmonats KI-spezifische Social-Engineering-Beispiele, während die neuseeländische Plattform «Own Your Online» von CERT NZ spezielle Erklärseiten zum Thema Deepfakes umfasst.
Die Phishing-Hinweise des britischen National Cyber Security Centre heben weiterhin Indikatoren wie allgemeine Ansprachen und schlechte Grammatik hervor, doch erst seit Kurzem wird dort auch anerkannt, dass «KI-generierte Nachrichten, die echte Kollegen oder Dienste mit alarmierender Genauigkeit imitieren», Teil von Phishing-Versuchen sein können, was eine sich abzeichnende, aber noch begrenzte Einbeziehung von KI-Bedrohungen in öffentliche Leitlinien widerspiegelt. Frühere Kampagnen, darunter auch jene, die von Bada et al. untersucht wurden, gingen davon aus, dass Nutzer Phishing anhand oberflächlicher Hinweise erkennen könnten und dass Wachsamkeit allein das Risiko mindern könne. Kampagnen im Zeitalter der KI müssen sich mit hochgradig personalisierten, sprachlich flüssigen und kontextuell plausiblen Nachrichten auseinandersetzen, die durch grosse Sprachmodelle, Stimmklonung und synthetische Medien generiert werden. Während ein Teil der Kampagnen mittlerweile explizit auf KI-gestützte Betrugsversuche Bezug nimmt, stützen sich mehrere weiterhin auf Annahmen aus der Zeit vor der KI, was die Kluft zwischen Sensibilisierungsbotschaften und realen Bedrohungen vergrössert. Die Bezugnahme auf KI reicht von Kampagnen (z. B. der «AI Fools Week» der NCA) mit speziellen KI-Toolkits bis hin zu anderen (z. B. ENISA, CISA, NCSC), die KI-Inhalte in umfassendere jährliche Kampagnen integrieren.
Allgemeiner betrachtet hat unsere Analyse sechs übergreifende Themen identifiziert, die sich auf Bereiche in den Kampagnen beziehen, in denen Verbesserungsbedarf besteht:
Thema 1: Übermässige Betonung von Angst und Risikovergrösserung.
Viele Kampagnen betonen die Gefahren und katastrophalen Folgen von Betrugsversuchen und Online-Angriffen, oft mit emotional aufgeladener Sprache. Solche Angstappelle mögen zwar die wahrgenommene Bedrohung verstärken, gehen jedoch häufig nicht mit klaren, umsetzbaren Massnahmen einher, die das Gefühl der Wirksamkeit bei den Nutzern stärken. Verhaltensforschungen legen nahe, dass Angst ohne das Gefühl der Wirksamkeit eher zu defensiver Vermeidung oder Desinteresse als zu nachhaltigem Schutzverhalten führen kann. Dies deutet darauf hin, dass seit 2015 kaum Fortschritte dabei erzielt wurden, Panikmache durch umsetzbare Leitlinien zu ersetzen.
Thema 2: Wissensorientierte Inhalte, die von rational handelnden Akteuren ausgehen.
Einige Kampagnen stützen sich nach wie vor überwiegend auf informationsorientierte Ansätze und nutzen Checklisten, Infografiken und Fachterminologie. Diese Ansätze gehen implizit davon aus, dass Einzelpersonen ihr erweitertes Wissen rational in sicheres Verhalten umsetzen. Diese Art von Materialien eignet sich gut zur Stärkung der Handlungskompetenz, lässt jedoch möglicherweise Motivation und Gelegenheit ausser Acht, die für gängige Modelle zur Verhaltensänderung wie COM-B von zentraler Bedeutung sind.
Thema 3: Versäumnis, Hindernisse anzugehen.
Viele Kampagnen weisen die Nutzer an, bestimmte Massnahmen zu ergreifen, wie beispielsweise die Aktivierung der Multi-Faktor-Authentifizierung oder die Aktualisierung von Software, ohne Einschränkungen wie begrenzte Gerätekontrolle, organisatorische IT-Richtlinien, Usability-Probleme, Zeitdruck oder digitale Ungleichheit zu berücksichtigen. Indem diese Hindernisse nicht berücksichtigt werden, laufen Kampagnen Gefahr, eine Lücke zwischen Absicht und Handlung zu vergrössern, bei der sich die Nutzer der empfohlenen Verhaltensweisen zwar bewusst sind, diese in der Praxis jedoch nicht umsetzen können.
Thema 4: Begrenzte Einbindung verhaltenswissenschaftlicher Mechanismen.
Nur eine Minderheit der Kampagnen bezieht explizit evidenzbasierte Techniken zur Verhaltensänderung ein, wie zum Beispiel zeitgerechte Aufforderungen, Hinweise auf soziale Normen, Umsetzungsabsichten oder Strategien zur Unterstützung der Gewohnheitsbildung. Stattdessen stützen sich viele auf allgemeine Aufforderungen wie «Seid wachsam» oder «Bleibt aufmerksam», die hohe kognitive Anforderungen an die Nutzer stellen. Diese begrenzte Auseinandersetzung mit der Verhaltenswissenschaft spiegelt Muster wider, die bereits in früheren Arbeiten identifiziert wurden, und deutet darauf hin, dass Erkenntnisse aus der Forschung zu benutzerfreundlicher Sicherheit und Verhaltensänderung bei der Gestaltung von Kampagnen nach wie vor zu wenig genutzt werden.
Thema 5: Ermüdung und Desensibilisierung.
Mehrere Kampagnen tauchen über verschiedene Kanäle hinweg immer häufiger auf, insbesondere während jährlicher Sensibilisierungsmonate oder als Reaktion auf neu auftretende Bedrohungen. Zwar mag die Sichtbarkeit zunehmen, doch die wiederholte Konfrontation mit Warnungen kann zu einer Sicherheitsmüdigkeit beitragen. Obwohl Aspekte der Ermüdung bereits in früherer Sicherheitsforschung festgestellt wurden, wurde dieses Phänomen im Jahr 2015 bei der Kampagnengestaltung noch nicht breit anerkannt oder systematisch berücksichtigt. Unsere Ergebnisse deuten darauf hin, dass viele Kampagnen nach wie vor Wiederholung gegenüber nachhaltigem Engagement oder Verhaltensverstärkung den Vorrang geben.
Thema 6: Versäumnis, Botschaften an KI-gestützte Bedrohungen anzupassen.
Sensibilisierungskampagnen aus der Zeit vor der KI gingen implizit davon aus, dass Phishing und Social Engineering anhand oberflächlicher Anhaltspunkte wie schlechter Grammatik, allgemeiner Ansprechformen oder ungewöhnlicher Formatierung erkannt werden könnten. Im Gegensatz dazu stellt KI-gestütztes Social Engineering dieses Modell in Frage, indem es sprachlich flüssige, hochgradig personalisierte und kontextuell plausible Botschaften in grossem Umfang erzeugt. Während ein Teil der jüngsten nationalen Kampagnen (z. B. NCA, von der ENISA koordinierte Aktivitäten und «Own Your Online» von CERT NZ) KI-generierte Bedrohungen anerkennt, fördern viele andere weiterhin veraltete Heuristiken, die auf Annahmen aus der Zeit vor der KI beruhen. Diese Diskrepanz zwischen den Botschaften der Kampagnen und den Fähigkeiten der Angreifer birgt die Gefahr, die Glaubwürdigkeit zu untergraben, und kann dazu beitragen, dass weiterhin eine Lücke zwischen Sensibilisierung und wirksamem Schutzverhalten besteht.
3 Diskussion
In den letzten zehn Jahren haben nationale Sensibilisierungskampagnen zur Cybersicherheit mehrere bemerkenswerte Verbesserungen erzielt. Kampagnen zeichnen sich heute oft durch mehr visuelle Inhalte, breitere Verbreitungskanäle und den Versuch aus, positive Formulierungen oder spielerische Elemente einzusetzen. Menschliche Faktoren, die Sicherheitskultur und die Grenzen wissensbasierter Ansätze werden stärker berücksichtigt. Dennoch bestehen weiterhin grundlegende Probleme, wie zum Beispiel: Die Verankerung in der Psychologie und Verhaltensforschung scheint unzureichend zu sein, die Botschaften betonen weiterhin kognitive Erklärungen des Nutzerverhaltens anstelle von systemischen und motivationalen Faktoren, und die Bemühungen zur Bewertung und Verbesserung scheinen begrenzt zu sein.
Mehrere strukturelle und institutionelle Faktoren tragen zu anhaltenden Einschränkungen bei. So scheint beispielsweise die Wiederverwendung bewährter Vorlagen und Kommunikationsformate bevorzugt zu werden, wobei Sichtbarkeit gegenüber Wirksamkeit den Vorrang erhält. Es gibt jedoch keine klaren, standardisierten Messgrössen zur Bewertung von Verhaltensänderungen, sodass der Erfolg eher anhand der Reichweite oder des Engagements gemessen wird als anhand der tatsächlichen Umsetzung von Schutzmassnahmen. Die anhaltende Fokussierung auf Sensibilisierung und Wachsamkeit als primäre Faktoren hat mehrere Konsequenzen. Erstens kann es aufgrund inkonsistenter oder vager Botschaften verschiedener Behörden und Länder zu Verwirrung in der Öffentlichkeit kommen. Zweitens werden wesentliche Schutzmassnahmen wie MFA oder unabhängige Verifizierung möglicherweise nur in geringem Umfang umgesetzt. Drittens können die in Kampagnen investierten Ressourcen verschwendet werden, wenn die angestrebten Verhaltensänderungen nicht erreicht werden. Schliesslich wird den Nutzern weiterhin unverhältnismässig viel Schuld für Sicherheitsverletzungen zugeschrieben, die eher auf systemische oder konzeptionelle Mängel als auf individuelle Nachlässigkeit zurückzuführen sind.
4 Implikationen für zukünftige Kampagnen: Verhaltensprioritäten für das nächste Jahrzehnt
Die Ergebnisse deuten darauf hin, dass zukünftige Kampagnen den Schwerpunkt von der Sensibilisierung auf die Verhaltensunterstützung verlagern müssen. Kampagnen sollten Verhaltensmodelle wie COM-B, das «Behaviour Change Wheel» oder MINDSPACE explizit einbeziehen, um die Gestaltung der Botschaften zu leiten. Zukünftige Kampagnen sollten darauf abzielen, die Verantwortung nicht mehr ausschliesslich den Einzelpersonen zuzuschreiben, sondern anzuerkennen, dass Sicherheit eine soziotechnische Herausforderung ist, die Kultur, Technologie und Anreize umfasst. Daher sind verschiedene Akteure beteiligt, darunter diejenigen, die die Kampagnen initiieren, sowie diejenigen, deren Produkte und Dienstleistungen einen zentralen Bestandteil der Online-Interaktionen der Öffentlichkeit bilden.
Mit Blick auf das nächste Jahrzehnt stellt sich nicht die Frage, ob Sensibilisierungskampagnen sich mit KI-gestützten Bedrohungen befassen sollten, sondern ob sie KI verantwortungsvoll nutzen können, um sicheres Verhalten durch Design statt allein durch Überzeugungsarbeit zu fördern. Zwar hat KI die Bedrohungen durch Social Engineering verstärkt, doch bietet sie auch Chancen zur Verbesserung des Bewusstseins für Cybersicherheit, indem sie personalisierte, kontextbezogene und verhaltensunterstützende Massnahmen ermöglicht, die die Abhängigkeit von der Wachsamkeit der Nutzer allein verringern. Kampagnen könnten das adaptive Potenzial der KI nutzen, um sicheres Verhalten auf ethische Weise zu fördern, indem sie die Anleitungen auf den Kontext, die Erfahrung und die Risikoexposition der Nutzer zuschneiden. Die Botschaften sollten auch der digitalen Ermüdung Rechnung tragen und das Bewusstsein so umdeuten, dass es Resilienz fördert, anstatt Schuld zuzuweisen. Verhaltensforschungen zeigen, dass Massnahmen effektiver sind, wenn sie die kognitive Belastung reduzieren und sich an bestehende Arbeitsabläufe anpassen. Kampagnen sollten mit technischen Schutzmassnahmen wie automatisierten Warnungen, schützenden Standardeinstellungen und Meldemechanismen verknüpft werden und so sicheres Verhalten durch Design statt allein durch Überzeugungsarbeit fördern.
Auf politischer Ebene sollten Sensibilisierungskampagnen eher als unterstützend denn als primär betrachtet werden, wobei Behauptungen, dass die Wachsamkeit der Nutzer allein ausgeklügelte Angriffe verhindern könne, eingeschränkt werden sollten. Es bedarf koordinierter Leitlinien, um sicherzustellen, dass die öffentlichen Botschaften mit den neu auftretenden KI-Bedrohungen Schritt halten und die Übereinstimmung zwischen den Leitlinien und den tatsächlichen Fähigkeiten der Angreifer gewahrt bleibt. Dies würde auch dazu beitragen, die erheblichen Schäden durch diese Angriffe zu verringern. Die Verlagerung der Verantwortung von den Nutzern auf die Systeme hat auch normative Auswirkungen. Indem Kampagnen die Wachsamkeit betonen, positionieren sie die Nutzer implizit als letzte Verteidigungslinie und verstärken damit eine Kultur der Schuldzuweisung statt der Resilienz. Ein politischer und gestalterischer Wandel hin zur Verantwortlichkeit auf Systemebene würde das Verständnis von benutzerfreundlicher Sicherheit besser widerspiegeln und die Sensibilisierung als eine Komponente einer mehrschichtigen Verteidigung neu positionieren, anstatt sie als Ersatz für ein robustes Systemdesign zu betrachten.
Zur einfacheren Lesbarkeit wurden das Kapitel «Methodik» sowie die Literatur- und Quellenangaben entfernt.
Maria Bada and Jason R. C. Nurse in: Festschrift for Angela Sasse, University College London, 2026
https://creativecommons.org/licenses/by/4.0
Cyber- und IT-Sicherheits-Beratung: Praxisnah, rechtskonform und auf Ihre Unternehmens-Risiken abgestimmt.
Unsere Cyber- und IT Security-Spezialisten und Penetration Tester unterstützen Sie mit einem breiten Portfolio an Beratungsdienstleistungen und Trainings zum Thema Cyber- und IT-Sicherheit.
Kontaktieren Sie uns und erfahren Sie in einem unverbindlichen Beratungsgespräch, was unsere Spezialistinnen und Spezialisten für Sie tun können: +41 41 984 12 12, infosec@infosec.ch