Die Sichtbarkeitsfalle

Viele Organisationen haben das Gefühl, dass ihre Awareness in Ordnung ist. Es hängen Plakate an der Kaffeemaschine, jeden Monat geht ein Mailing hinaus, und im Intranet steht eine Kampagne mit praktischen Hinweisen. Die dahinterliegende Überlegung ist naheliegend. Es wird schließlich viel über sicheres Verhalten kommuniziert, und daraus folgt schnell der Gedanke, dass es ein Awareness-Programm gibt. Diese Gleichsetzung von Sichtbarkeit mit einem Programm ist verständlich, aber sie stimmt nicht.

Dieser Bericht untersucht zwei Fragen, die darunter liegen. Die erste ist, ob eine Kommunikationskampagne etwas wesentlich anderes ist als ein Verhaltensprogramm. Die zweite ist, wann Kommunizieren seine Wirkung verliert, also an welchem Punkt mehr Botschaften nicht mehr helfen und sogar kontraproduktiv werden. Er stellt zusammen, was die wissenschaftliche Forschung dazu zeigt, und welcher Ansatz daraus folgt.

Bei beiden Fragen ist es wichtig, zuerst klarzustellen, was wir in diesem Bericht unter einem Programm verstehen. Ein Programm ist keine Reihe einzelner Botschaften, sondern ein fortlaufendes und gesteuertes Ganzes, das auf Verhalten ausgerichtet ist. Es legt vorab fest, welches Verhalten es erreichen will, wählt dazu passende Mittel, darunter Training, Übung und Kommunikation, misst anschließend, ob sich dieses Verhalten auch tatsächlich verändert, und steuert auf Grundlage dieser Messung nach. Es ist mit anderen Worten ein Zyklus, der sich selbst erhält und auf ein Ziel ausgerichtet ist. Eine Kampagne steht dem gegenüber als eine einzelne oder wiederkehrende Botschaft für sich, und diese kann ein wertvoller Bestandteil eines Programms sein, ohne jemals mit ihm zusammenzufallen.

01 · BefundSichtbarkeit ist eine Schicht, kein Programm

Der Unterschied zwischen Kommunizieren und einem Programm ist kein Wortspiel, sondern steht in der Richtlinie, die das Fachgebiet hierfür heranzieht. Die amerikanische Standardisierungsorganisation NIST unterscheidet in ihrer überarbeiteten Richtlinie drei Ebenen des Lernens: Sensibilisierung, Training und Bildung (NIST SP 800-50r1, 2024). Sensibilisierung richtet die Aufmerksamkeit der Menschen auf ein Thema, Training vermittelt ihnen eine Fertigkeit, mit der sie eine Aufgabe ausführen können, und Bildung ist die vertiefte, oft auf die Laufbahn ausgerichtete Form. Plakate, Mailings und Intranet-Kampagnen fallen nahezu allesamt unter die erste Ebene. Sie verlangen Aufmerksamkeit, aber sie vermitteln keine Fertigkeit und sie steuern für sich genommen kein Verhalten.

Wichtiger noch ist, was die Richtlinie unter einem Programm versteht. Die Überarbeitung aus dem Jahr 2024 beschreibt ein Lernprogramm nicht als eine Reihe von Botschaften, sondern als einen gesteuerten Zyklus mit einem Lebenslauf: Man legt Ziele fest, man stimmt die Inhalte auf Rollen und Zielgruppen ab, man misst die Wirkung, und man steuert nach. Sensibilisierungskampagnen sind innerhalb dieses Zyklus einer der Bausteine, neben rollenbezogenem Training, Übungen und gezielten Interventionen. Eine Kampagne mit einem Programm gleichzusetzen ist daher ein Kategorienfehler, denn man verwechselt eine Schicht mit dem Ganzen.

Die Verhaltenswissenschaft trifft dieselbe Unterscheidung auf einem anderen Weg. Das vielgenutzte Behaviour Change Wheel, das wir auch in Das Teilnahmeparadox verwenden, unterscheidet neun Arten von Interventionen, mit denen man Verhalten beeinflussen kann, und Aufklärung ist davon nur eine (Michie, van Stralen und West, 2011). Kommunizieren berührt vor allem das Wissen der Menschen. Es lässt die übrigen Stellschrauben, an denen Verhalten hängt, etwa die Motivation und die praktische Gelegenheit, weitgehend unangetastet. Wer nur kommuniziert, bedient also einen Hebel und lässt die übrigen acht ungenutzt.

02 · BefundKommunizieren verändert oft kein Verhalten

Dass Kampagnen das Verhalten längst nicht immer verändern, ist keine neue Erkenntnis. In einer vielzitierten Studie analysierten Bada, Sasse und Nurse, warum Sensibilisierungskampagnen so oft daran scheitern, das Verhalten zu verändern (Bada, Sasse und Nurse, 2015). Ihre Schlussfolgerung war eindeutig. Wissen und Bewusstsein sind eine notwendige Voraussetzung, aber für sich genommen nicht ausreichend. Um Verhalten zu verändern, müssen Menschen den Rat verstehen und anwenden können, und sie müssen darüber hinaus bereit sein, das zu tun. Diese Bereitschaft erfordert eine Veränderung der Haltung und Absicht, und die entsteht nicht von selbst dadurch, dass man mehr Informationen verbreitet.

Dies ist die bekannte Kluft zwischen Wissen und Tun. Menschen wissen, dass sie ein starkes Passwort verwenden sollen, dass sie nicht einfach auf einen Link klicken sollen, und dass sie Daten ordentlich ablegen sollen, aber das Verhalten folgt dem Wissen nicht automatisch. Das Behaviour Change Wheel erklärt, warum das so ist. Sicheres Verhalten entsteht erst dann, wenn das Wissen und die Fertigkeit, die Motivation und die Gelegenheit, das Richtige zu tun, zusammenkommen (Michie, van Stralen und West, 2011). Eine Kampagne, die ausschließlich Informationen vermittelt, füllt höchstens das erste Feld. Die Motivation und die Gelegenheit bleiben dann unberührt, und gerade dort geht es mit dem Verhalten oft schief.

03 · ErklärungWann Kommunizieren kontraproduktiv wird

Die zweite Frage ist, wann Kommunizieren nicht nur wenig einbringt, sondern geradezu kontraproduktiv wird. Die Forschung weist auf zwei Mechanismen hin, die zusammen erklären, warum mehr des Gleichen die Aufmerksamkeit untergräbt: Gewöhnung und Botschaftsmüdigkeit.

Der erste Mechanismus ist Gewöhnung, und der sitzt tiefer als eine Frage der Motivation. In einer Reihe von Hirnstudien bildeten Anderson und Kollegen mit funktioneller MRT (fMRT) ab, wie das Gehirn auf wiederholte Sicherheitswarnungen reagiert (Anderson u. a., 2015). Die Aktivität in den visuellen Verarbeitungsbereichen sank bereits nach der zweiten Exposition stark ab und ging bei jeder weiteren Wiederholung noch weiter zurück. Eine Folgestudie in der Praxis bestätigte dieses Bild. In einem dreiwöchigen Feldexperiment nahm das Ausmaß, in dem Menschen Warnungen befolgten, deutlich ab, je häufiger diese vorbeikamen (Vance u. a., 2018). Die Botschaft, die stets dieselbe Form hat, wird sogar im Gehirn immer weniger registriert. Auffällig ist, dass Warnungen, die jedes Mal die Form veränderten, diesem Effekt viel besser widerstanden. Variation hält die Aufmerksamkeit fest, während die Wiederholung von genau dem Gleichen die Aufmerksamkeit gerade erlahmen lässt.

Der zweite Mechanismus ist Botschaftsmüdigkeit, ein Begriff aus der Kommunikationswissenschaft. So, Kim und Cohen erfassten, wie Menschen reagieren, wenn sie über lange Zeit Botschaften zum selben Thema ausgesetzt sind (So, Kim und Cohen, 2017). Es geht dann um einen Zustand der Erschöpfung, der durch Übermaß, Wiederholung und Eintönigkeit entsteht und der dazu führt, dass Menschen die Botschaft zu ignorieren beginnen. In Folgeforschung zeigte sich, dass Botschaftsmüdigkeit die Überzeugungskraft auf zwei Wegen untergräbt: durch aktiven Widerstand, bei dem Menschen sich gegen die Botschaft wehren, und durch passives Abschalten, bei dem sie einfach nicht mehr aufpassen (Kim und So, 2018). Das Beunruhigende ist, dass Übermaß nicht nur die Wirkung aufhebt, sondern die gewünschte Handlung sogar unwahrscheinlicher machen kann, als wenn gar nichts kommuniziert worden wäre. Vergleichbare Effekte wurden bei der Aufklärung über Klima und Gesundheit beschrieben, wo zu viel der gleichen Botschaft die Bereitschaft zum Mitmachen gerade verringerte.

Im Sicherheitskontext hat dies einen eigenen Namen erhalten. Forscher von NIST stießen in Interviews auf das, was sie Sicherheitsmüdigkeit nennen, eine Ermüdung und Unwilligkeit, sich noch mit Sicherheit zu befassen (Stanton u. a., 2016). Menschen fühlten sich mit Warnungen im Stil von achte auf dies und achte auf das bombardiert und reagierten darauf mit Resignation, einem Gefühl des Kontrollverlusts, dem Verharmlosen von Risiken und dem Ausweichen vor Entscheidungen. Die Forscher empfehlen daher, die Anzahl der Sicherheitsentscheidungen, die man von Menschen verlangt, so gering wie möglich zu halten.

Diese Mechanismen laufen in einem nüchternen ökonomischen Gedanken zusammen, dem Compliance-Budget. Beautement, Sasse und Wonham zeigten, dass Menschen Sicherheitsregeln nur bis zu einem gewissen Grad befolgen, wonach die Bereitschaft abnimmt (Beautement, Sasse und Wonham, 2008). Es gibt, mit anderen Worten, eine endliche Menge an Aufmerksamkeit und Mitwirkung, und oberhalb dieser Grenze wird jede zusätzliche Anforderung eher schädlich als nützlich. Jedes Plakat und jedes Mailing kostet etwas von diesem Budget. Wer weiter sendet, ohne diese Kosten zu zählen, verbraucht seinen Vorrat und behält nichts übrig für den Moment, in dem es wirklich darauf ankommt.

04 · AnsatzVon der Kampagne zum Programm

Wenn Kommunizieren ein Hebel ist und kein Programm, und wenn mehr des Gleichen ab einem bestimmten Punkt kontraproduktiv wird, dann folgt daraus eine andere Arbeitsweise. Der Kern besteht darin, die Kommunikation als einen Bestandteil eines Programms zu behandeln, das auf Verhalten einwirkt, und nicht als das Programm selbst.

1. Behandeln Sie Kommunikation als einen Hebel innerhalb eines gesteuerten Zyklus.Geben Sie dem Programm einen Lebenslauf statt einer Agenda mit einzelnen Botschaften: Ziele festlegen, die Inhalte auf Rollen und Zielgruppen abstimmen, die Wirkung messen und nachsteuern (NIST SP 800-50r1, 2024). Eine Kampagne ist dann ein Instrument innerhalb dieses Zyklus, und nicht dessen Abschluss.
2. Gestalten Sie für Verhalten statt für Sichtbarkeit.Fragen Sie bei jeder Intervention, welchen Bestandteil von Verhalten Sie beeinflussen. Eine Botschaft berührt höchstens das Wissen, während Verhalten auch Motivation und Gelegenheit erfordert (Michie, van Stralen und West, 2011). Sorgen Sie also dafür, dass das sichere Verhalten nicht nur bekannt, sondern auch attraktiv und einfach umzusetzen ist.
3. Wechseln Sie die Form ab, um Gewöhnung entgegenzuwirken.Wiederholen Sie nicht endlos dasselbe Plakat oder Mailing, denn genau das lässt die Aufmerksamkeit erlahmen. Variieren Sie Form, Kanal und Blickwinkel, sodass die Botschaft jedes Mal aufs Neue bemerkt wird (Anderson u. a., 2015; Vance u. a., 2018).
4. Respektieren Sie das Aufmerksamkeits- und Compliance-Budget.Setzen Sie auf weniger, aber gezieltere und gut getimte Botschaften, und begrenzen Sie die Anzahl der Entscheidungen, die Sie von Menschen verlangen (Stanton u. a., 2016; Beautement, Sasse und Wonham, 2008). Jede unnötige Botschaft kostet einen Teil eines Vorrats, den Sie besser für den Moment aufheben, in dem es darauf ankommt.
5. Messen Sie Verhalten und Wirkung statt der Anzahl der Botschaften.Zählen Sie nicht, wie viele Plakate hingen oder wie viele Mailings hinausgingen, sondern schauen Sie darauf, was Menschen tatsächlich tun, etwa das Melden verdächtiger Nachrichten. Dass sich eine solche Fertigkeit, das Erkennen von Phishing, nicht von selbst allein durch Exposition verbessert, haben wir in Das Aufmerksamkeitsproblem ausgearbeitet. Nach der NIS2-Richtlinie ist die Sorge für widerstandsfähiges Verhalten zudem Verantwortung der Leitungsorgane, und diese Führung mitzunehmen ist eine eigene Aufgabe, wie wir in Das Rückhalt-Problem gezeigt haben. Diese Verantwortung lässt sich mit Verhaltenszahlen besser belegen als mit einer Zählung von Maßnahmen.

05 · FazitSichtbarkeit ist ein Anfang, kein Programm

Eine Kommunikationskampagne ist etwas wesentlich anderes als ein Verhaltensprogramm. Sichtbarkeit richtet die Aufmerksamkeit, aber sie vermittelt keine Fertigkeit und sie steuert für sich genommen kein Verhalten. Ein Programm verbindet diese Sichtbarkeit mit Training, mit Aufmerksamkeit für Motivation und Gelegenheit, mit Messung und mit Nachsteuerung, und es tut dies als ein gesteuerter Zyklus statt als eine Reihe einzelner Botschaften. Wer die beiden gleichsetzt, verwechselt eine Schicht mit dem Ganzen.

Und Kommunizieren verliert seine Wirkung, sobald die Wiederholung die Aufmerksamkeit erlahmen lässt und die Müdigkeit die Oberhand gewinnt. Durch Gewöhnung sinkt die Reaktion bereits nach der zweiten Exposition, durch Botschaftsmüdigkeit kann Wiederholung sogar kontraproduktiv wirken, und das Aufmerksamkeits- und Compliance-Budget ist nun einmal endlich. Die richtige Frage ist daher nicht, ob viel kommuniziert wurde, sondern ob sich das Verhalten und die Kultur dauerhaft verändert haben. Sichtbarkeit ist dabei ein Anfang, und kein Programm.