Security Champions aufbauen: Mandat, Schnittstellen und Grenzen klarziehen
Security Champions sollen Sicherheitswissen näher an Fachbereiche und Teams bringen. In der Praxis entsteht jedoch schnell eine Schattenrolle: Eine engagierte Person beantwortet Fragen, verteilt Hinweise und wird bei Problemen gerufen, ohne dafür ein klares Mandat, einen verlässlichen Eskalationsweg oder Rückhalt durch Führungskräfte zu haben. Das erhöht die Reichweite der Security-Kommunikation, löst aber noch kein organisatorisches Problem.
Für CISOs ist deshalb nicht die Zahl der benannten Champions die erste Kennzahl. Entscheidend ist, ob das Netzwerk als belastbare Schnittstelle funktioniert. Champions müssen wissen, welche Fragen sie selbst einordnen können, wann sie eskalieren und wer im zentralen Security-Team Entscheidungen übernimmt. Ebenso wichtig ist der Rückkanal: Das Security-Team braucht Einblick in lokale Arbeitsabläufe, unklare Regeln und wiederkehrende Hindernisse.
Warum Champions ohne Mandat zur Schattenrolle werden
Das BSI nennt für Sensibilisierungs- und Schulungsprogramme klare organisatorische Voraussetzungen. Dazu gehören Management-Unterstützung, eindeutige Ziele, Kontinuität und ausreichende Ressourcen. Im Baustein ORP.3 bleibt die grundsätzliche Zuständigkeit beim Informationssicherheitsbeauftragten; weitere Rollen wie IT-Betrieb, Führungskräfte und Personalabteilung wirken mit. Diese Trennung ist auch für ein Champion-Netzwerk zentral: Beteiligung verteilt den Zugang zur Organisation, aber nicht automatisch die formale Verantwortung.
Fehlt diese Klarheit, entstehen widersprüchliche Erwartungen. Teams betrachten Champions womöglich als lokale Freigabestelle. Das zentrale Security-Team erwartet dagegen vor allem Kommunikation. Führungskräfte sehen die Rolle als freiwillige Zusatzaufgabe. Ein solches Modell hängt an persönlichem Engagement und verliert an Verlässlichkeit, sobald operative Arbeit Vorrang bekommt.
Die Schnittstelle ist die eigentliche Aufgabe
Eine qualitative Studie von Jonas Hielscher und Simon Parkin untersuchte mit 15 Vollzeit-Verantwortlichen aus europäischen Unternehmen, was Security Awareness in Organisationen prägt. Die Forschenden beschreiben eine Spannung zwischen der Vermittlung sicheren Verhaltens und der Verbindung zu Beschäftigten. In den Interviews erschienen Security Champions als Möglichkeit, die Distanz zwischen zentraler Security-Funktion und Teams zu verringern, Informationen weiterzugeben und Rückmeldungen aufzunehmen.
Die kleine qualitative Stichprobe ist kein allgemeiner Wirksamkeitsnachweis. Sie liefert aber einen belastbaren Hinweis für die Gestaltung: Champions sind besonders dort nützlich, wo Kontext in beide Richtungen fließen muss. Sie können erklären, warum eine Vorgabe im Arbeitsablauf schwer umzusetzen ist, lokale Fragen bündeln und sichtbar machen, an welchen Stellen Regeln, Prozesse oder Werkzeuge nachgebessert werden müssen.
Das britische NCSC verfolgt denselben systemischen Blick. Gute Sicherheitsentscheidungen hängen nicht nur von Wissen ab, sondern auch von Zeit, Aufwand, sozialen Normen und verfügbaren Hilfen. Wiederholte Schulung löst deshalb kein Problem, dessen Ursache in einem unpraktischen Prozess liegt. Ein Champion-Netzwerk sollte solche Reibung früh sichtbar machen, statt sie mit zusätzlicher Kommunikation zu überdecken.
Vier Punkte für ein belastbares Mandat
Vor dem Start sollte das Mandat schriftlich vier Fragen beantworten:
Auftrag: Welche Sicherheitsziele unterstützt das Netzwerk, und für welche Zielgruppen oder Geschäftsbereiche ist es zuständig?
Befugnis: Welche Informationen dürfen Champions verbindlich weitergeben, und bei welchen Fragen brauchen sie eine Entscheidung des Security-Teams?
Eskalation: Über welchen Kanal gelangen Verdachtsfälle, Regelkonflikte und dringende Fragen an die verantwortliche Stelle?
Rückmeldung: Wie erfahren Champions, was aus ihren Hinweisen wurde, und wie fließen wiederkehrende Probleme in Richtlinien, Kontrollen oder Awareness-Themen ein?
Diese vier Punkte schützen beide Seiten. Champions müssen keine Entscheidungen vertreten, für die ihnen Zuständigkeit oder Fachkenntnis fehlen. Das zentrale Team erhält zugleich strukturierte Hinweise aus der Organisation und kann erkennen, ob ein Einzelfall auf ein größeres Prozessproblem hinweist.
Wo die Verantwortung bewusst endet
Security Champions ersetzen weder den Informationssicherheitsbeauftragten noch Incident Response, Datenschutz, Compliance oder technische Spezialisten. Sie sollten keine Vorfälle allein bewerten, Ausnahmen genehmigen oder lokale Regeln erfinden. Auch eine fachliche Erstorientierung darf den offiziellen Melde- und Eskalationsweg nicht verdrängen.
Diese Grenze ist keine Schwächung der Rolle. Sie macht sie verlässlich. Ein Champion kann der bekannte Ansprechpartner im Team sein und trotzdem auf den vorgesehenen Prozess verweisen. Für den CISO bleibt sichtbar, wer Entscheidungen trifft und wo Nachweise entstehen. Das verhindert parallele Schattenprozesse, in denen relevante Informationen nur in persönlichen Chats oder informellen Gesprächen verbleiben.
Rückkanal statt Einweg-Kommunikation
Viele Programme denken Champions zuerst als Multiplikatoren: Das zentrale Team liefert Botschaften, die dezentral verteilt werden. Damit bleibt ein wesentlicher Teil ihres Werts ungenutzt. Lokale Rückmeldungen zeigen, ob Vorgaben verständlich sind, ob ein Meldeweg erreichbar ist und wo sichere Prozesse mit den tatsächlichen Arbeitsbedingungen kollidieren.
Das NCSC empfiehlt fortlaufendes Feedback und Tests für sicherheitskritische Werkzeuge und Prozesse. Der Grundgedanke lässt sich auf das Netzwerk übertragen: Rückmeldungen brauchen eine feste Annahmestelle, eine nachvollziehbare Bearbeitung und eine Antwort. Bleibt Feedback ohne sichtbare Folge, sinkt der Anreiz, Probleme früh zu melden. Werden Hinweise dagegen gebündelt und an Prozessverantwortliche übergeben, kann das Netzwerk zur Verbesserung von Sicherheit und Nutzbarkeit beitragen.
Wie CISOs das Netzwerk steuern
Die Steuerung sollte mehrere Signale verbinden. Die Zahl aktiver Champions zeigt Reichweite, aber nicht den Nutzen des Netzwerks. Aussagekräftiger sind Fragen wie: Werden relevante Anliegen über den vorgesehenen Weg eskaliert? Kommt die zentrale Stelle innerhalb einer vereinbarten Frist zu einer Einordnung? Welche Themen kehren in mehreren Bereichen wieder? Und führen Rückmeldungen zu klareren Vorgaben, besseren Meldewegen oder der Prüfung technischer Kontrollen?
Die Grenzen solcher Kennzahlen sollten offen bleiben. Mehr Rückfragen können auf Unsicherheit hindeuten, aber auch auf gestiegenes Vertrauen in den Meldeweg. Eine sinkende Zahl von Eskalationen kann für klarere Prozesse stehen oder für ein eingeschlafenes Netzwerk. Wer Security Awareness messen will, sollte Reichweite, Aktivität, Prozessqualität und organisatorische Folgen deshalb getrennt betrachten.
Eine regelmäßige Überprüfung des Mandats gehört ebenfalls zur Steuerung. Ändern sich Geschäftsprozesse, Ansprechpartner oder Risiken, müssen Aufgaben und Eskalationswege angepasst werden. Das BSI fordert, zielgruppenorientierte Programme regelmäßig zu prüfen und Ergebnisse in ihre Verbesserung einfließen zu lassen. Ein Champion-Netzwerk ist damit kein einmaliges Organigrammprojekt, sondern ein betreuter Bestandteil des Awareness-Programms.
What The Hack! als gemeinsamer Lernanlass
Ein Champion-Netzwerk braucht gemeinsame Themen und Gesprächsanlässe, ohne dass daraus automatisch neue Verantwortlichkeiten entstehen. Die Security-Awareness-Plattform von What The Hack! unterstützt die freigegebene Team- und Solo-Nutzung mit auswählbaren Themenkampagnen. Nach Sessions stehen Spielergebnisse, Auswertungen und Teilnahmezertifikate zur Verfügung. Champions können solche Ergebnisse als Hinweis auf Themen nutzen, die im eigenen Bereich weitere Erklärung brauchen; Entscheidungen über Risiken, Ausnahmen oder Kontrollen bleiben beim zuständigen Security-Team.
Ob eine selbst betriebene Plattform, ein moderierter Termin oder eine Kombination besser passt, ist eine getrennte Betriebsentscheidung. Der Beitrag Security-Awareness-Event oder Plattform ordnet dafür Ziel, Taktung, internen Aufwand und Auswertung ein. Ein Champion-Netzwerk kann beide Formate begleiten, ersetzt aber weder die Programmplanung noch die fachliche Verantwortung.
Fazit: Reichweite braucht Zuständigkeit
Security Champions können die Verbindung zwischen zentraler Security-Funktion und Arbeitsalltag verbessern. Dafür brauchen sie mehr als einen Titel. Ein belastbares Modell legt Auftrag, Befugnis, Eskalation und Rückmeldung fest. Es schützt die formale Verantwortung, macht lokale Reibung sichtbar und schafft einen verlässlichen Weg für Fragen aus den Teams.
Für CISOs lautet die entscheidende Prüfung deshalb: Ist ein Netzwerk entstanden, das Informationen in beide Richtungen transportiert und an klare Prozesse anschließt? Erst dann wird aus engagierten Einzelpersonen eine tragfähige organisatorische Schnittstelle.
Quellen
Ihr Ansprechpartner
Thorben Steenmanns
Chief Gaming Officer & Head of Sales
Was wäre, wenn Ihre nächste Awareness-Schulung als positives Erlebnis in den Köpfen Ihrer KollegInnen verbleibt?
Lebendige Sicherheitskulturen sind das mächtigste Mittel gegen Hacker. Ich helfe Ihnen, ihre aufzubauen - mit unserem Serious Business Gaming What The Hack! für die Themen Cybersecurity, Datenschutz und Compliance.
