Bonusfolge 15: Compliance-Häkchen schützen nicht – Warum Cybersicherheit eine Frage der Organisationskultur ist

Der Mensch ist nicht das schwächste Glied – die Organisation ist es. In dieser Folge von Follow the White Rabbit spricht Lisa Fröhlich mit Petra Haferkorn, Professorin an der Hochschule Bonn-Rhein-Sieg und ehemalige Risikoprüferin der BaFin, über einen in der Cybersicherheit längst überfälligen Perspektivwechsel. Denn solange Phishing-Mails geöffnet werden, liegt das Problem selten beim Individuum, sondern meistens bei den Prozessen, Strukturen und der Kultur der Organisation. Und das lässt sich ändern.Petra nimmt die Zuhörenden mit in 25 Jahre Risikopraxis: von Risikomodellen bei der Bundesbank und der BaFin bis hin zu IT-Sicherheitsprüfungen bei Banken und Versicherungen. Dabei wird schnell klar: Compliance-Häkchen und Zertifikate erzeugen noch keine echte Sicherheit. Was wirklich hilft, sind abgestimmte Prozesse, eine gelebte Fehlerkultur und das Bewusstsein, dass Informationssicherheit nicht alleinige Aufgabe des ISB oder CISO ist, sondern in jede Routine, jede Entscheidung und jede Abteilung eingebettet sein muss. Und dass Sicherheit – wie Carearbeit – erst dann sichtbar wird, wenn sie fehlt.Zum Schluss wagt Petra einen Blick auf das große Ganze: staatlich finanzierte Angreifer, KI-gestütztes Profiling, Social Engineering auf industriellem Niveau – und trotzdem gibt es Hoffnung. Denn engagierte junge Menschen, offene Communities und ein wachsendes gesellschaftliches Bewusstsein zeigen, dass Verteidigung genauso kollektiv werden kann wie Angriff. Ein Gespräch, das weit über die IT hinausgeht.Takeaways:Der Mensch ist keine angeborene Schwachstelle. Wer E-Mail-Anhänge öffnet, weil der Prozess dies vorsieht, ist nicht das Problem. Organisationen müssen vielmehr Routinen schaffen, in denen solche Einfallstore gar nicht erst entstehen.Compliance ist nicht gleich Sicherheit. Zertifikate und Häkchen in Checklisten sind wichtig, aber nicht ausreichend. Echte Sicherheit entsteht, wenn Maßnahmen auf den konkreten Arbeitsalltag der Menschen abgestimmt sind, die damit leben müssen.Sicherheit ist Carearbeit – man sieht sie erst, wenn sie fehlt. Budgets und Anerkennung fließen jedoch oft in sichtbare Projekte. Dabei ist es genau die kontinuierliche Sicherheitsarbeit im Hintergrund, die Organisationen am Laufen hält.Entscheider müssen zu Betroffenen werden. Wer über Sicherheitsmaßnahmen entscheidet, ohne die Konsequenzen zu tragen, trifft andere Entscheidungen. NIS 2 geht in die richtige Richtung, doch dieses Prinzip lässt sich auf viele weitere Ebenen anwenden.Die Bedrohung ist politisch, technisch und psychologisch zugleich. KI-gestütztes Profiling, staatlich finanzierte Angreifer und Social Engineering machen deutlich, dass Cybersicherheit längst kein rein technisches Thema mehr ist, sondern eine gesellschaftliche Aufgabe darstellt.Warum du diese Folge hören solltest:Petra verfügt über 25 Jahre Risikopraxis und einen erfrischend systemischen Blick. Sie zeigt, warum die üblichen Ansätze – Schulungen, Checklisten, Einzelverantwortliche – allein nicht ausreichen. Diese Folge bietet dir den dringend benötigten Perspektivwechsel, damit Cybersicherheit in deiner Organisation nicht als notwendiges Übel, sondern als strategischer Bestandteil einer resilienten Unternehmenskultur gelebt wird. Bleibt sicher und informiert! Abonniert den Podcast und seid in Sachen IT-Sicherheit immer einen Schritt voraus. Teilt die Folge mit euren Kolleg:innen, Freund:innen und eurer Familie – denn Cybersicherheit ist kein Solo-Sport. Weitere spannende Security-Themen findest du auf den Link11-Kanälen. Keep calm and get protected!Habt ihr Fragen oder eine spannende Idee für eine neue Episode? Schreibt uns – per E-Mail oder über unsere Social-Media-Kanäle. Wir freuen uns auf den Austausch mit euch.Links: Hier gibt es mehr zu Petra, ihren Lehrveranstaltungen und Forschungen.