Cyberangriffe sind für Unternehmen längst ein ernst zu nehmendes Geschäftsrisiko geworden. Laut Bitkoms Wirtschaftsschutz-Studie 2025 stuft inzwischen jedes zweite Unternehmen Cyberattacken als existenzbedrohend ein. Gleichzeitig berichten 72 Prozent der Unternehmen weltweit, dass die Zahl der Angriffe zuletzt deutlich gestiegen ist. 82 Prozent erwarten eine weitere Zunahme innerhalb der nächsten zwölf Monate.
Die wirtschaftlichen Folgen sind enorm: 202,4 Milliarden Euro Schaden pro Jahr entstehen der deutschen Wirtschaft durch Cyberattacken. Vor diesem Hintergrund ist klar: Die Frage lautet nicht mehr, ob ein Unternehmen angegriffen wird, sondern wann und wie oft.
Angriff auf die „menschliche Firewall“
Dabei richtet sich ein Großteil der Attacken nicht primär gegen technische Systeme, sondern gegen Menschen. Über 85 Prozent aller Cyberangriffe setzen laut SoSafe hier an. Angreifer versuchen beispielsweise, über Phishing-Mails, manipulierte QR-Codes, gefälschte Anrufe oder andere Formen des Social Engineering an vertrauliche Informationen zu gelangen. Auch Ransomware-Angriffe, bei denen ein System verschlüsselt und Lösegeld gefordert wird, beginnen häufig mit einer einzigen unbedachten Handlung. 91 Prozent der Organisationen wurden bereits über private Geräte oder persönliche Konten von Mitarbeitenden angegriffen.
Cybersecurity ist kein reines IT-Thema
Genau hier wird Cybersecurity zu einer strategischen Aufgabe der Internen Kommunikation. Denn technische Schutzmaßnahmen greifen nur, wenn Mitarbeitende Risiken erkennen, einen Bezug zu ihrem eigenen Alltag herstellen und dementsprechend sicher handeln können. Interne Kommunikation schafft die Voraussetzung dafür: Sie macht Bedrohungen verständlich, übersetzt Sicherheitsregeln in den Arbeitsalltag und verankert Cybersecurity als gemeinsames Anliegen. Wirksame Cybersecurity ist deshalb mehr als eine technische Lösung. Sie ist eine Führungs-, Kultur- und Kommunikationsaufgabe.
Wie K12 Sie bei der Cybersecurity-Kommunikation unterstützen kann
Cybersecurity: die wichtigsten Zahlen auf einen Blick
- 59 % der Unternehmen stufen Cyberattacken als existenzbedrohend ein.
- 289,2 Milliarden Euro Gesamtschaden im Jahr 2025 durch Diebstahl, Industriespionage und Sabotage.
- 70 % davon (202,4 Milliarden Euro) entstanden durch Cyberattacken.
- 87 % der Unternehmen wurden 2025 Opfer von Diebstahl, Spionage oder Sabotage.
- 82 % erwarten eine Zunahme der Cyberangriffe in den nächsten 12 Monaten.
- 84 % der Unternehmen, die von IT-Sicherheitsvorfällen berichteten, gaben Phishing als Angriffsmethode an.
- Durchschnittlich 48 Minuten dauert es von der Infektion bis zum Ausbruch einer Cyberattacke.
- 74 % aller Cybersicherheitslücken sind in menschlichem Versagen begründet.
- Nur 15 % der Unternehmen bieten monatliche oder kontinuierliche Cybersecurity-Schulungen.
Wie Unternehmen ihre Cyberresilienz stärken
Sicherheit entsteht nicht allein durch Firewalls, Software oder Zugangskontrollen. Sie entsteht dort, wo Menschen verstehen, welche Risiken existieren und wie ihr eigenes Verhalten dazu beiträgt, das Unternehmen zu schützen. Die folgenden Prinzipien haben sich in der Praxis bewährt.
1. Cybersecurity kontinuierlich kommunizieren
Awareness-Schulungen schaffen Grundlagen, verändern aber kein Verhalten auf Dauer. Ähnlich wie im Sport gilt auch hier: Wer aufhört zu trainieren, verliert seine Form. Eine resiliente Sicherheitskultur entsteht nur durch kontinuierliche Aufmerksamkeit. Die Interne Kommunikation sorgt dafür, dass Cybersecurity in den Köpfen präsent bleibt – durch kurze Impulse, aktuelle Beispiele und wiederkehrende Botschaften, die Sicherheit im Arbeitsalltag verankern.
2. Zielgruppen differenziert ansprechen
Nicht alle arbeiten unter denselben Bedingungen. Blue-Collar-Worker nutzen andere Informationskanäle als Beschäftigte im Büro. Mitarbeitende unterscheiden sich in Wissen, Erfahrung, Aufgaben und digitalem Handlungsspielraum. Die Interne Kommunikation berücksichtigt diese Unterschiede und passt Inhalte, Sprache und Formate an, damit Cybersicherheit für alle nachvollziehbar wird.
3. Cybersecurity in der Unternehmenskultur verankern
Die Interne Kommunikation prägt, wofür ein Unternehmen steht. Indem sie Cybersecurity regelmäßig thematisiert, in Werte, Leitbilder und Führungskommunikation integriert, macht sie Sicherheit zu einem selbstverständlichen Teil der täglichen Arbeit – nicht zu einer Sondermaßnahme.
4. Ohne erhobenen Zeigefinger kommunizieren
Angriffe werden schneller gemeldet, wenn Mitarbeitende keine Schuldzuweisungen fürchten müssen. Die Interne Kommunikation prägt eine offene Sicherheitskultur, indem sie Sicherheit als gemeinsames Lernfeld vermittelt und zum Melden von Vorfällen ermutigt.
5. IT, Management und Kommunikation zusammenbringen
Cybersecurity funktioniert am besten, wenn Fachbereiche, Führung und Kommunikation eng zusammenarbeiten und mit einer Stimme sprechen. Während IT-Expert:innen Inhalte liefern und das Management Orientierung gibt, sorgt Kommunikation für Verständlichkeit, Konsistenz und Reichweite.
Wie K12 Sie bei der Cybersecurity-Kommunikation unterstützen kann
„Cybersicherheit funktioniert nur, wenn sie als gemeinsames Anliegen verankert ist.“
Christian Roberts, geschäftsführender Partner K12
Häufig gestellte Fragen rund um Cybersecurity und Kommunikation (FAQ)
Die Interne Kommunikation ist ein zentraler Erfolgsfaktor für wirksame Cybersecurity. Denn ein Großteil der Angriffe richtet sich nicht gegen technische Systeme, sondern gegen Menschen – etwa über Phishing-Mails, Social Engineering oder manipulierte Links. Interne Kommunikation hilft Mitarbeitenden, solche Risiken zu verstehen und richtig darauf zu reagieren. Sie übersetzt komplexe Sicherheitsregeln in verständliche Hinweise für den Arbeitsalltag, sorgt für kontinuierliche Aufmerksamkeit und verankert Cybersecurity als Teil der Unternehmenskultur. Damit trägt sie dazu bei, eine „menschliche Firewall“ aufzubauen – aus Mitarbeitenden, die aufmerksam bleiben, Risiken erkennen und verantwortungsvoll handeln.
Cyberangriffe nutzen häufig menschliche Schwachstellen. Zu den verbreitetsten Bedrohungen gehören Phishing-Mails, mit denen Angreifer versuchen, an Passwörter oder vertrauliche Daten zu gelangen. Auch Social-Engineering-Angriffe sind verbreitet: Dabei manipulieren Kriminelle Mitarbeitende etwa über gefälschte Anrufe, Nachrichten oder Identitäten. Ein weiteres Risiko sind Ransomware-Angriffe, bei denen die Täter Unternehmensdaten verschlüsseln und anschließend Lösegeld fordern. Häufig reicht dafür bereits eine unbedachte Handlung, etwa das Öffnen eines infizierten Anhangs. Weitere Gefahren entstehen durch manipulierte QR-Codes, unsichere private Geräte oder kompromittierte persönliche Accounts. Gemeinsam ist diesen Angriffen, dass sie meist beim Faktor Mensch ansetzen.
Cybersecurity-Kommunikation hat eine präventive und eine reaktive Dimension. Im Idealfall sorgt sie im Vorfeld dafür, dass Mitarbeitende Risiken erkennen, sicher handeln und Vorfälle früh melden. Kommt es dennoch zu einem Angriff, wird Cybersecurity-Kommunikation schnell zu einer Form der Krisenkommunikation. Dann geht es darum, Orientierung zu geben, klare Handlungsanweisungen zu vermitteln und Unsicherheit im Unternehmen zu reduzieren. Eine etablierte Sicherheitskultur und klare Kommunikationsstrukturen helfen dabei, in solchen Situationen schneller und koordinierter zu reagieren.
Im Falle eines Cyberangriffs ist schnelle, klare und koordinierte Kommunikation entscheidend. Mitarbeitende müssen wissen, was passiert ist, welche Maßnahmen ergriffen werden und wie sie sich jetzt verhalten sollen – etwa welche Systeme sie nicht nutzen sollen oder welche Sicherheitsregeln besonders zu beachten sind. Wichtig ist außerdem, Vorfälle transparent zu adressieren und eine offene Fehlerkultur zu fördern, damit mögliche Sicherheitsprobleme früh gemeldet werden. Idealerweise sind Kommunikationswege und Verantwortlichkeiten bereits im Vorfeld definiert, damit IT, Management und Kommunikation im Ernstfall abgestimmt handeln können.
Überblick: Cybersecurity ist Kommunikationsaufgabe
- Menschliche Fehler sind das häufigste Einfallstor für Cyberangriffe.
- Technische Schutzmaßnahmen funktionieren nur mit informierten Mitarbeitenden,
- Sicherheitsregeln müssen verständlich und alltagstauglich sein,
- Sicherheitsbewusstsein entsteht nur durch kontinuierliche Kommunikation,
- Unterschiedliche Zielgruppen brauchen unterschiedliche Ansprachen.
- Eine offene Sicherheitskultur entsteht durch transparente Kommunikation.
- Cyberresilienz entsteht durch das Zusammenspiel von IT, Management und Kommunikation.
Glossar Cybersecurity & Kommunikation
Cyberresilienz: Cyberresilienz beschreibt die Fähigkeit eines Unternehmens, Cyberangriffe zu verhindern, schnell zu erkennen und den Geschäftsbetrieb trotz eines Angriffs aufrechtzuerhalten. Kommunikation hilft dabei, Mitarbeitende zu orientieren und Reaktionen zu koordinieren.
Cybersecurity: Cybersecurity umfasst alle Maßnahmen, mit denen Unternehmen ihre IT-Systeme, Daten und digitalen Prozesse vor Angriffen schützen. Neben Technologie spielt der Faktor Mensch eine zentrale Rolle.
Cybersecurity-Awareness-Kampagne: Eine Awareness-Kampagne umfasst Kommunikationsmaßnahmen, mit denen Unternehmen Mitarbeitende regelmäßig über Cyberrisiken informieren und sichere Verhaltensweisen vermitteln.
Cybersecurity-Krisenkommunikation: Cybersecurity-Krisenkommunikation umfasst die interne und externe Kommunikation während eines Cyberangriffs. Ziel ist es, Orientierung zu geben, Vertrauen zu sichern und Schäden zu begrenzen.
Human Firewall: Der Begriff beschreibt Mitarbeitende, die Cyberrisiken erkennen und sicher darauf reagieren können. Durch Awareness und Kommunikation werden sie zu einer wichtigen Verteidigungslinie gegen Angriffe.
Incident Response: Incident Response bezeichnet den strukturierten Umgang mit Cybervorfällen – vom Erkennen eines Angriffs über die Eindämmung bis zur Kommunikation im Unternehmen.
Meldekultur: Meldekultur bedeutet, dass Mitarbeitende Sicherheitsvorfälle oder Fehler frühzeitig melden können, ohne negative Konsequenzen zu befürchten. Dadurch lassen sich Angriffe schneller erkennen und eindämmen.
Phishing: Phishing ist eine Betrugsmethode, bei der Angreifer über täuschend echte E-Mails oder Websites versuchen, Zugangsdaten oder vertrauliche Informationen zu stehlen.
Ransomware: Ransomware ist Schadsoftware, die Unternehmensdaten oder Systeme verschlüsselt. Angreifer verlangen anschließend Lösegeld für die Freigabe der Daten.
Security Awareness: Security Awareness bezeichnet das Sicherheitsbewusstsein von Mitarbeitenden im Umgang mit digitalen Risiken. Es entsteht durch Schulungen, regelmäßige Information und klare Kommunikationsimpulse.
Sicherheitskultur: Eine Sicherheitskultur beschreibt gemeinsame Werte und Verhaltensweisen im Unternehmen im Umgang mit Cyberrisiken. Sie entsteht durch Führung, klare Regeln und kontinuierliche Kommunikation.
Social Engineering: Social Engineering bezeichnet Angriffe, bei denen Kriminelle gezielt menschliche Schwächen ausnutzen, etwa durch Täuschung, Druck oder gefälschte Identitäten.
