TreeSolution-Langzeitauswertung: Nur 13 Prozent der untersuchten Organisationen erreichen eine sehr gute Sicherheitskultur

Hünenberg, Schweiz - Unternehmen haben ihre Sicherheitskultur in den vergangenen zwei Jahrzehnten deutlich professionalisiert. Der Schritt von einer soliden zu einer hervorragenden Sicherheitskultur gelingt jedoch weiterhin nur wenigen Organisationen. Das zeigt der neue Report "Security Culture Code - 20 Jahre Security Awareness Radar" der TreeSolution Security Awareness AG.

Die Langzeitauswertung basiert auf 88 organisationsweiten Erhebungen aus den Jahren 2004 bis 2025, mehr als 100.000 Teilnehmenden und rund 4,5 Millionen Einzelantworten. Der Report untersucht, wie sich Informationssicherheitskultur über zwei Jahrzehnte entwickelt hat und welche Faktoren Organisationen auf dem Weg zu höherer Cyberresilienz besonders beeinflussen.

Wissen allein führt nicht zu hoher Sicherheitsreife
Ein zentrales Ergebnis der Analyse: Mehr Wissen allein führt nicht automatisch zu einer höheren Sicherheitskultur.

Grundlegende Sicherheitskenntnisse und sicherheitsbezogene Einstellungen befinden sich in vielen Organisationen bereits auf einem vergleichsweise hohen Niveau. Die größten Unterschiede zwischen niedriger und hoher Reife entstehen vielmehr dort, wo Informationssicherheit in den Arbeitsalltag übersetzt werden muss.

Besonders deutlich zeigen sich die Unterschiede bei den Themen Kommunikation, Vorbildfunktion der Führung, Schulung sowie Arbeits- und Technologiegestaltung.

Die Analyse kommt damit zu einem klaren Ergebnis: Entscheidend ist nicht nur, ob Mitarbeitende Sicherheitsregeln kennen. Entscheidend ist, ob Informationssicherheit verständlich kommuniziert, durch Führungskräfte sichtbar vorgelebt und in Prozesse, Werkzeuge und tägliche Routinen integriert wird.

Der nächste Reifeschritt scheitert nicht an fehlendem Wissen, sondern an der Sichtbarkeit und Handhabbarkeit von Sicherheit im Alltag.

Deutliche Verbesserung - aber eine "gläserne Decke" bleibt
Über die vergangenen 20 Jahre zeigt sich zunächst eine klare Professionalisierung.

In der frühen Phase von 2004 bis 2012 wiesen rund 40 Prozent der untersuchten Organisationen eine ungenügende Sicherheitskultur auf. Im Zeitraum 2019 bis 2025 sank dieser Anteil auf 13 Prozent.

Für die Jahre 2019 bis 2025 ergibt sich folgende Verteilung:

• 13 Prozent der Organisationen: ungenügende Sicherheitskultur
• 40 Prozent: ausbaufähige Sicherheitskultur
• 33 Prozent: gute Sicherheitskultur
• 13 Prozent: sehr gute Sicherheitskultur

Bemerkenswert ist insbesondere der geringe Anteil der Organisationen mit sehr hoher Reife. Über den gesamten Beobachtungszeitraum bewegt sich dieser Anteil lediglich in einem Bereich von etwa 10 bis 13 Prozent.

TreeSolution bezeichnet dieses Phänomen als "gläserne Decke zur Exzellenz". Grundlegende Verbesserungen der Sicherheitskultur sind für viele Organisationen erreichbar. Deutlich schwieriger ist jedoch der Schritt zu einer tief verankerten, bereichsübergreifend gelebten Sicherheitskultur.

Auch der durchschnittliche Security Awareness Indicator, kurz SAI, zeigt die langfristige Entwicklung. Er steigt in der Auswertung von 43,8 Punkten im Jahr 2005 auf 65,2 Punkte im Jahr 2025.

Mitarbeitende kennen zentrale Sicherheitsregeln bereits
Besonders aufschlussreich ist der Blick auf einzelne Aussagen aus den Erhebungen.

Bei grundlegenden Verhaltensregeln werden sehr hohe Zustimmungswerte erreicht:

• 94 Prozent: Passwörter sollen nicht weitergegeben werden.
• 93 Prozent: Vorsicht bei verdächtigen E-Mails.
• 89 Prozent: Informationssicherheit ist die Verantwortung aller.

Deutlich niedrigere Werte zeigen sich dagegen bei Themen, die stärker von Organisation und Führung abhängen.

Nur 39 Prozent stimmen der Aussage zu, dass Sicherheitsmaßnahmen durch Vorgesetzte erläutert werden. Bei verständlichen Sicherheitsinformationen liegt der Zustimmungswert bei 51 Prozent, bei Schulungen für bestehende Mitarbeitende bei 53 Prozent.

Das Muster ist deutlich: Viele Mitarbeitende wissen grundsätzlich, welches Verhalten im Bereich Cybersecurity von ihnen erwartet wird. Die größere Herausforderung liegt darin, Sicherheit organisatorisch zu vermitteln und dauerhaft im Arbeitsalltag zu verankern.

Führung und Kommunikation werden zum entscheidenden Faktor
Die Langzeitauswertung identifiziert vier zentrale Entwicklungsfelder für eine reife Sicherheitskultur:

• Führung und Wahrnehmung
• Kommunikation und Befähigung
• Werte und kulturelle Verankerung
• Handhabbarkeit und psychologische Sicherheit

Wo Führungskräfte Informationssicherheit sichtbar unterstützen, vorleben und priorisieren, ist auch die Wahrnehmung von Informationssicherheit stärker ausgeprägt.

Gleichzeitig zeigt die Analyse einen engen Zusammenhang zwischen Kommunikation und Schulung. Kommunikation ohne konkrete Lernangebote bleibt häufig abstrakt. Schulungen ohne kommunikative Einbettung wirken dagegen oftmals nur punktuell.

Eine nachhaltige Security-Awareness-Strategie verbindet deshalb Wissensvermittlung, Kommunikation, Führung und kontinuierliche Lernimpulse.

Fachwissen schützt nicht automatisch vor kulturellen Schwächen
Ein weiteres Ergebnis stellt eine verbreitete Annahme infrage: Techniknahe oder wissensintensive Organisationen verfügen nicht automatisch über eine höhere Sicherheitskultur.

Im untersuchten wissensintensiven Sektor wurden 50 Prozent der Organisationen als "ungenügend" eingestuft.

Dabei liegt die Herausforderung nicht zwangsläufig in fehlendem Fachwissen. Gerade in Expertenorganisationen können hohe individuelle Autonomie und ausgeprägter Expertenstatus dazu führen, dass gemeinsame Orientierung, Führungssignale und verbindliche Sicherheitsnormen schwächer ausgeprägt sind.

Fachliche Expertise ersetzt damit keine kulturelle Steuerung.

Multinationale Unternehmen profitieren von ihren Strukturen
Auch die internationale Aufstellung einer Organisation liefert interessante Hinweise.

Multinationale Organisationen erreichen in der Untersuchung häufiger hohe beziehungsweise sehr hohe Reifegrade als rein national agierende Organisationen.

Der Vorteil entsteht nach Analyse von TreeSolution jedoch nicht primär durch die geografische Aufstellung. Entscheidend sind vielmehr die Strukturen, die in multinationalen Unternehmen häufig stärker ausgeprägt sind: gemeinsame Frameworks, verbindliche Prozesse, standardisierte Roll-outs, Governance und konsistentes Reporting.

TreeSolution fasst diesen Zusammenhang unter dem Prinzip "Systemlogik vor Geografie" zusammen.


Vom Awareness-Training zur Sicherheitskultur
Aus den Ergebnissen leitet TreeSolution eine Roadmap für die Jahre 2026 bis 2030 ab.

Welche Maßnahmen sinnvoll sind, hängt dabei vom jeweiligen Reifegrad einer Organisation ab.

Bei Organisationen mit niedriger Reife steht zunächst die Vereinfachung des sicheren Verhaltens im Vordergrund. Dazu gehören beispielsweise klare Standardprozesse, Passwortmanager, Single Sign-on und einfache Meldewege für Phishing.

Ist bereits eine grundlegende Sicherheitskultur vorhanden, werden Führung und Kommunikation zunehmend entscheidend. Security-Themen sollten dann stärker in bestehende Management- und Führungsroutinen integriert werden.

Bei Organisationen mit höherem Reifegrad gewinnen eine positive Fehler- und Reporting-Kultur, Security-Champions, teamnahe Lernformate und die sichtbare Anerkennung sicheren Verhaltens an Bedeutung.

Die zentrale Erkenntnis aus zwei Jahrzehnten Security Awareness Radar lautet damit: Kulturelle Exzellenz entsteht nicht durch immer mehr Sicherheitsinformationen. Sie entsteht dort, wo Wissen, Führung, Kommunikation und organisationale Strukturen ineinandergreifen und Informationssicherheit zu einem selbstverständlichen Bestandteil des Arbeitsalltags wird.
Report "Security Culture Code" kostenlos herunterladen
Der vollständige Report "Security Culture Code - 20 Jahre Security Awareness Radar - Strategische Leitlinien für eine wirksame Sicherheitskultur" steht bei TreeSolution kostenlos zum Download zur Verfügung:
Report kostenlos bei TreeSolution herunterladen