Thought Leadership
Ein Bericht zeigt, dass KI unter den von Security-Awareness-Fachleuten erfassten menschlichen Risiken inzwischen auf Platz zwei liegt, nur noch hinter Social Engineering.
Für den bereits elften Bericht „2026 Security Awareness & Culture Report“ befragte SANS mehr als 1.700 Security-Awareness-Fachleute aus Nordamerika, Europa, Asien, Afrika, Australien und Südamerika, begleitet von einem neu gebildeten, zwölfköpfigen Beirat mit Vertretern unter anderem der Bank of Ireland, Medibank und Datadog. Erstmals in der Geschichte des Reports widmet sich ein eigener Abschnitt gezielt KI-bezogenen menschlichen Risiken und benennt dabei drei konkrete Problemfelder: die unbefugte Nutzung generativer KI-Tools, sogenanntes Vibe-Coding durch Beschäftigte ohne Softwareentwicklungshintergrund sowie Risiken durch KI-Agenten, deren Handlungen von keinem Menschen mehr überprüft werden. Gleichzeitig setzen bereits 75 Prozent der befragten Awareness-Teams selbst KI zur Entwicklung und Verwaltung der eigenen Programme ein, nur 2,4 Prozent probierten dies aus und entschieden sich anschließend dagegen.
Reife eines Programms hängt vor allem an Teamgröße und Zeit
Der Bericht bestätigt zudem ein bereits aus Vorjahren bekanntes Muster: Eine tatsächliche Verhaltensänderung der Belegschaft erfordert mindestens drei fest zugewiesene Vollzeitkräfte sowie drei bis fünf Jahre kontinuierlicher Arbeit, der Aufbau einer dauerhaften Sicherheitskultur sogar gut vier Vollzeitkräfte sowie fünf bis zehn Jahre. Die meisten der untersuchten Programme erreichen laut SANS keine dieser beiden Personalschwellen. Als neues Hilfsmittel stellt der Bericht zudem ein interaktives Benchmarking-Werkzeug bereit, mit dem Fachleute Reifegrad, Teamgröße und Ressourcenausstattung des eigenen Programms in Echtzeit mit dem gesamten Datensatz vergleichen können. Lance Spitzner, Technischer Direktor bei SANS Workforce Security and Risk Training, ordnete den Zweck dieser Neuerung so ein:
„Jedes Jahr hören wir dasselbe von Fachleuten: Sie wissen, wo ihr Programm steht.“
Lance Spitzner, Technischer Direktor bei SANS Workforce Security and Risk Training
Unklar bleibe für viele jedoch, welche konkreten nächsten Schritte angesichts begrenzter Zeit und begrenzter Budgets die größte Wirkung erzielten, eine Lücke, die der Bericht mit einer überarbeiteten, stärker am Reifegradmodell ausgerichteten Kennzahlen-Matrix schließen wolle.
Gehälter steigen trotz anhaltendem Personalmangel
Das weltweite Durchschnittsgehalt für Security-Awareness-Fachkräfte stieg 2026 auf 123.624 US-Dollar, ein Anstieg von rund 7.000 US-Dollar gegenüber dem Vorjahr, in Europa liegt der Durchschnitt bei 106.896 US-Dollar.
(SANS Institute/red)
