KI-Literacy für Security Awareness: Vom Cheater-Mode zur Lernkultur

Die Debatten um GenAI in der Hochschullehre liefern ein klares Signal für Unternehmen: Ein rein sanktionierender Umgang mit neuen Technologien fördert Misstrauen und verhindert nachhaltiges Lernen. Für Security-Awareness-Verantwortliche stellt sich die Frage, wie sich diese Erkenntnis auf Programme zur Mitarbeitersensibilisierung übertragen lässt — insbesondere wenn KI-Tools das Entscheidungsverhalten und die Arbeitsabläufe verändern. Dieser Beitrag zeigt, welche Steuerungsphasen Organisationen durchlaufen, warum „Cheater Detection“ oft kontraproduktiv ist und wie sich KI-Literacy prozessorientiert in Awareness-Formate einbinden lässt.

Warum die GenAI-Debatte relevant für Awareness-Programme ist

Die Diskussionen aus der Hochschullehre zeigen zwei unmittelbar erkennbare Effekte: Erstens erzeugt die Verfügbarkeit leistungsfähiger KI-Werkzeuge auf allen Ebenen Misstrauen; zweitens reagieren Institutionen zunächst mit Verboten und Überwachung, statt Nutzungsalternativen zu schaffen. Diese Dynamik lässt sich 1:1 auf betriebliche Sicherheitsfragen übertragen. Wenn Mitarbeitende das Gefühl haben, dass ihnen technisch erzeugte Hilfe als Betrug ausgelegt wird, sinkt die Bereitschaft, Unsicherheiten offen zu kommunizieren oder aus Fehlern zu lernen — beides essentielle Voraussetzungen für eine resilientere Sicherheitskultur.

Für Awareness-Verantwortliche heißt das: Reine Detektions- und Strafstrategien adressieren Symptome, nicht Ursachen. Stattdessen lohnt es sich, die Gründe für riskante Nutzungsweisen zu diagnostizieren (z. B. Zeitdruck, unklare Richtlinien, mangelnde Tools) und Lernangebote zu entwickeln, die Kompetenzaufbau und verantwortungsvollen Umgang fördern.

Die vier Phasen der Technologie-Governance — und ihre Übertragung auf Unternehmen

Aus der Quelle lässt sich ein pragmatisches Modell ableiten, das vier Reaktionsphasen auf neue Technologien beschreibt: Verbote, Detektion, Retrofitting und Re-Imagining. Für Awareness-Programme lassen sich diese Phasen so übersetzen:

• Verbote: Strikte Verbote bestimmter Tools in definierten Prozessen (z. B. keine externe KI bei vertraulichen Vorgängen). Sinnvoll in Bereichen mit hohen Compliance-Anforderungen, aber problematisch, wenn Mitarbeitende dadurch in Grauzonen gedrängt werden.

• Detektion & Policing: Monitoring, Phishing-Tests und Sanktionen. Wirkt kurzfristig abschreckend, untergräbt aber Vertrauen und Ehrlichkeit.

• Retrofitting: Bestehende Trainings und Richtlinien werden angepasst, um Missbrauch zu erschweren (komplexere Kontrollen, modifizierte Aufgabenformate).

• Re-Imagining: Neu konzipierte Lernformate, die KI als Thema und Werkzeug integrieren; Fokus auf Prozesssicht, Reflexion und kritischem Umgang.

Die wirksamste langfristige Strategie kombiniert selektive Beschränkungen dort, wo sie notwendig sind, mit einem klaren Fahrplan hin zu prozessorientierten Lernformaten, die KI-Literacy systematisch aufbauen.

Vertrauen aufbauen: Weg von Cheater-Detection, hin zu prozessorientiertem Lernen

Ein zentraler Befund aus der Hochschulforschung ist, dass Misstrauen die Zusammenarbeit untergräbt. Für Unternehmen bedeutet das konkret:

• Klare, konsistente Richtlinien: Verwirrende oder widersprüchliche Regeln ("für A erlaubt, für B verboten") schaffen Unsicherheit. Regeln sollten daher rollen- und aufgabenbasiert formuliert sein.

• Sichtbarmachung des Denkprozesses: Übungen, die Gründe für Entscheidungen und genutzte Hilfsmittel offenlegen, fördern Reflexion und zeigen, ob KI sinnvoll eingesetzt wurde.

• Niederschwellige Lerngelegenheiten: Kurze, wiederkehrende Praxismodule, in denen Mitarbeitende KI-Tools ausprobieren und die Grenzen erkennen, reduzieren Blindvertrauen in automatisierte Antworten.

Solche Ansätze verwandeln die Frage "Wurde geschummelt?" in die produktivere Frage "Wie wurde die Entscheidung getroffen und welche Rolle spielte KI dabei?". Das fördert Verantwortungsübernahme und stärkt die Security Culture.

Praktische Ansätze: KI-Literacy in Awareness-Programmen verankern

Awareness-Programme sollten KI-Literacy nicht als einmalige Folie, sondern als wiederkehrendes, handlungsorientiertes Element planen. Konkrete Bausteine können sein:

1. Diagnose statt Default-Policing: Vor Maßnahmen analysieren, warum Mitarbeitende KI nutzen könnten (Arbeitsdruck, fehlende Tools, Wissenslücken).

2. Prozessbasierte Übungen: Szenarien, in denen Teams Entscheidungen dokumentieren, Quellen prüfen und Risiken bewerten. Solche Formate machen das Denken überprüfbar ohne sofortige Sanktion.

3. Problem-Based Learning-Elemente: Kleine Gruppen arbeiten an realen, sicherheitsrelevanten Fragestellungen und nutzen dabei KI als unterstützendes Werkzeug — der Fokus liegt auf Methodik und Bewertung der Ergebnisse.

4. Wiederholte, kurze Trainingssequenzen: Statt langer Pflichtkurse eignen sich modulare, 10–30-minütige Sessions mit praktischen Aufgaben zur Festigung.

5. Debrief und Metareflexion: Nach Übungen wird das Entscheidungsverhalten besprochen — was lief gut, wo war KI irreführend, welche Kontrollmechanismen fehlen?

Teamgestützte, spielerische Formate unterstützen diese Ziele besonders gut, weil sie unterschiedliche Perspektiven sichtbar machen und Diskussionen forcieren. Bei Awareness-Kampagnen bietet sich deshalb eine Mischung aus Simulationen, Gruppenaufgaben und Reflexionsrunden an. Weiterführende Hinweise zur Gestaltung von Awareness-Kampagnen finden sich in unserer Übersicht zur Security-Awareness-Kampagne.

Was Awareness-Verantwortliche jetzt tun können

Die Priorität liegt nicht in einem raschen Verbot oder in verstärkter Überwachung, sondern in der Schaffung von Lerngelegenheiten, die KI-Literacy und verantwortliches Handeln verbinden. Konkret empfiehlt sich ein schrittweises Vorgehen: Ursachen analysieren, kurzfristig schützende Maßnahmen definieren, mittelfristig bestehende Trainings anpassen und langfristig Formate entwickeln, die den Denkprozess honorieren. Wer den Fokus von der Produktbewertung auf den Prozess verlagert, schafft zugleich eine bessere Basis für vertrauensvolle Kommunikation und echte Verhaltensänderung — zwei Schlüsselziele jeder nachhaltigen Security-Awareness-Strategie.

Für Programme, die Interaktion und Entscheidungsreflexion fördern, sind teamorientierte Übungen und simulierte Angriffszenarien besonders geeignet. Solche Formate ermöglichen es, KI-bezogene Unsicherheiten in einem sicheren Rahmen zu erkunden und gemeinsam praktikable Regeln zu entwickeln. Weitere Anregungen zur Überwindung der Lücke zwischen Wissen und sicherem Handeln stehen im Beitrag zum Intention–Action Gap.

Quellen und weiterführende Informationen

Carolina Kuepper-Tetzel: AI in Assessment workshop – Originalquelle