Vor zwei Jahren belegte KI den vierten Platz unter den von Fachleuten für Security-Awareness erfassten menschlichen Risiken. Heute liegt sie laut dem „2026 Security Awareness & Culture Report“ des SANS Institutes nur noch hinter Social-Engineering. Der Bericht stellt zudem fest, dass die meisten Programme zur Sensibilisierung für Cybersicherheit trotz steigender Gehälter in der gesamten Branche weiterhin nicht über genügend Personal verfügen, um über grundlegende Compliance-Schulungen hinauszugehen.
Die Umfrage stützt sich auf Antworten von mehr als 1.700 Security-Awareness-Fachleuten aus Nordamerika, Europa, Asien, Afrika, Australien und Südamerika, wobei die Ergebnisse von einem neu gebildeten 12-köpfigen Beirat begleitet wurden, dem Fachleute von der Bank of Ireland, Medibank und Datadog angehören.
Mitarbeiter haben KI schneller angenommen, als die meisten Sicherheitsteams sie regulieren können. Der Bericht für 2026 enthält einen Abschnitt, der sich mit KI-bezogenen Risiken durch menschliches Handeln befasst und drei Bereiche abdeckt, deren Management nun von den Fachleuten erwartet wird: die unbefugte Nutzung generativer KI-Tools, das „Vibe-Coding“ durch Mitarbeiter ohne Softwareentwicklungshintergrund sowie die Risiken, die durch KI-Agenten entstehen, deren Handlungen nicht von einem Menschen überprüft werden. Im selben Abschnitt wird darauf hingewiesen, dass 75 Prozent der Teams für Security-Awareness bereits KI einsetzen, um ihre eigenen Programme zu entwickeln und zu verwalten, während nur 2,4 Prozent es ausprobiert und entschieden haben, dass es nicht nützlich sei.
Die Reife eines Programms hängt mehr als alles andere von zwei Variablen ab: Teamgröße und Zeit. Die Veränderung des Verhaltens der Belegschaft erfordert mindestens drei fest zugewiesene Mitarbeiter und drei bis fünf Jahre, bis Ergebnisse sichtbar werden. Die nächste Phase – der Aufbau einer dauerhaften Sicherheitskultur – erfordert ein größeres Team: etwas mehr als vier fest zugewiesene Mitarbeiter und fünf bis zehn Jahre. Die meisten der untersuchten Programme erreichen keine dieser beiden Schwellenwerte bei der Personalausstattung. Der Bericht enthält außerdem ein neues interaktives Benchmarking-Tool, mit dem Fachleute die Reife ihres eigenen Programms, die Teamgröße und die Ressourcenausstattung in Echtzeit mit dem gesamten Datensatz vergleichen können.
„Jedes Jahr hören wir dasselbe von Fachleuten: Sie wissen, wo ihr Programm steht, sind sich aber nicht sicher, was als Nächstes zu tun ist. Welche Maßnahmen werden die größte Wirkung erzielen, insbesondere angesichts begrenzter Zeit und begrenzter Budgets? Diese Lücke wollten wir mit dieser Ausgabe schließen. Wir haben die Matrix für die Indikatoren aktualisiert, um sie besser auf das Reifegradmodell abzustimmen, sodass Fachleute konkrete Maßnahmen erhalten, die auf den tatsächlichen Stand ihres Programms zugeschnitten sind. Diese Daten liefern ihnen greifbare Argumente für Budgetgespräche mit der Unternehmensleitung“, erklärt Lance Spitzner, Technischer Direktor bei SANS Workforce Security and Risk Training.
Die Gehälter steigen, obwohl der Personalbedarf noch nicht gedeckt ist. Das weltweite Durchschnittsgehalt für Fachkräfte im Bereich Security-Awareness erreichte im Jahr 2026 123.624 US-Dollar – ein Anstieg von rund 7.000 US-Dollar gegenüber dem Vorjahr –, wobei der Durchschnitt in Europa bei 106.896 US-Dollar lag. Der Bericht schlüsselt die Gehaltsdaten weiter nach Region, Branche und beruflichem Hintergrund auf.
Der vollständige „Security Awareness and Culture Report 2026“ kann über ein Kontaktformular heruntergeladen werden. Die Anmeldung für den begleitenden Webcast „SANS 2026 Security Awareness & Culture Report Insights“ mit Lance Spitzner und Rachael Saffer, Global Product Marketing Manager, ist unter https://go.sans.org/TVoa5C möglich.
#SANS Institutes
