Der elfte SANS Security Awareness & Culture Report liefert neue Zahlen zur Reife von Sicherheitsprogrammen weltweit: Künstliche Intelligenz ist binnen zwei Jahren vom vierten zum zweitgrößten Risikofaktor aufgestiegen.
Social Engineering bleibt das größte Einzelrisiko für Unternehmen, doch der Abstand zur Nummer zwei schmilzt: Laut dem aktuellen SANS Security Awareness & Culture Report 2026, der auf Angaben von über 1.700 Sicherheitsverantwortlichen aus aller Welt basiert, hat sich der unsachgemäße Einsatz von Künstlicher Intelligenz am Arbeitsplatz vom vierten auf den zweiten Platz der größten Sicheheitsisiken vorgearbeitet.
Der von SANS Institute veröffentlichte Bericht, der jährlich die Reife von Sicherheitsbewusstseinsprogrammen in Unternehmen untersucht, sieht Phishing, Smishing und Vishing weiterhin mit 77 Prozent an der Spitze der Risikoprioritäten. Dahinter folgt laut den Studienautoren der unangemessene Einsatz von KI am Arbeitsplatz mit 42 Prozent, noch vor der falschen Handhabung sensibler Daten (39 Prozent) und schwachen Passwörtern (22 Prozent).
Nach Angaben von SANS liegt der Grund für den Anstieg nicht in einer inhärenten Unsicherheit der KI-Technologie selbst, sondern darin, dass Unternehmen Schwierigkeiten haben, geeignete Richtlinien und Kontrollen zu etablieren – während Beschäftigte zunehmend über generative KI hinaus auch Vibe Coding und agentische KI-Systeme nutzen, oft ohne Wissen der Sicherheitsteams.
Reifegrad hängt von Teamgröße und Programmalter ab
Ein zentraler Befund des Reports betrifft die strukturellen Voraussetzungen erfolgreicher Programme. Laut den Studienautoren korreliert die Reife eines Sicherheitsbewusstseinsprogramms vor allem mit zwei Faktoren: der Teamgröße und dem Alter des Programms. Um eine spürbare Verhaltensänderung in der Belegschaft zu erreichen, benötigen Organisationen demnach mindestens drei Vollzeitkräfte (Full Time Employees, FTEs), die sich zu mindestens 75 Prozent ihrer Arbeitszeit dem Thema widmen. Für einen echten Kulturwandel im gesamten Unternehmen seien im Schnitt 4,3 FTEs sowie ein Zeitraum von fünf bis zehn Jahren erforderlich. Die reifsten Programme verfügten häufig über mehr als sechs dedizierte Vollzeitkräfte und liefen bereits länger als zehn Jahre.
Als größte Hürde beim Aufbau eines Programms nennen die befragten Fachkräfte laut Report übereinstimmend Zeitmangel (30 Prozent), gefolgt von Budget (26 Prozent) und fehlendem Personal (25 Prozent). Interessant ist laut SANS zudem, dass in diesem Jahr erstmals Führungskräfte sowohl unter den größten Blockern als auch unter den größten Unterstützern genannt wurden.
Positive Verstärkung statt Angstkampagnen
In den offenen Antworten der Umfrage, an der sich laut SANS über 4.500 Personen beteiligten, zeichnet sich ein klarer Trend ab: Programme, die auf positive Verstärkung, Anerkennung und Partnerschaft mit der Belegschaft setzen, berichten deutlich bessere Ergebnisse als solche, die auf Bestrafung oder Beschämung bauen. Ein Befragter berichtete laut Report, dass die Umstellung von einer angstbasierten Phishing-Kampagne mit öffentlichem Benchmarking der Fehlerquoten auf einen transparenteren Ansatz zu deutlich besserem Meldeverhalten geführt habe.
Gehälter steigen, Zufriedenheit bleibt hoch
Auch beim Thema Vergütung zeigt der Report Bewegung: Das durchschnittliche Jahresgehalt für Sicherheitsbewusstseins-Fachkräfte liegt laut Studie 2026 bei 123.624 US-Dollar – ein Anstieg von 7.000 US-Dollar gegenüber dem Vorjahr. Nordamerika verzeichnet mit durchschnittlich 131.783 US-Dollar die höchsten Gehälter, während Afrika laut den erhobenen Daten das Schlusslicht bildet. Als wichtigste Einflussfaktoren auf die Bezahlung identifiziert der Report den beruflichen Hintergrund sowie die Branche des Arbeitgebers – nicht jedoch, ob die Tätigkeit in Voll- oder Teilzeit ausgeübt wird.
Bemerkenswert ist laut Bericht auch die Stimmungslage der Branche: 56 Prozent der Befragten gaben an, mit ihrem aktuellen Arbeitgeber zufrieden zu sein, weitere 32 Prozent würden zwar gerne im Bereich bleiben, aber den Arbeitgeber wechseln. Weniger als 12 Prozent wollen das Feld gänzlich verlassen.
Der Report empfiehlt Organisationen abschließend, Sicherheitsbewusstsein nicht länger als reine Compliance-Aufgabe, sondern als Teil des unternehmensweiten Risikomanagements zu verstehen – mit entsprechend dauerhafter Ressourcenausstattung statt einmaliger Schulungsmaßnahmen.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de