Development and Validation of the Organizational Cybersecurity Perception Scale: A Protection Motivation Theory Instrument Contextualized by NIST CSF 2.0

Stellen Sie sich die digitale Welt als eine riesige, geschäftige Stadt vor, in der jedes Gebäude ein Unternehmen, jede Straße ein Datenkabel und jeder Bürger ein Angestellter ist. In dieser Stadt versuchen unsichtbare Monster, sogenannte „Cyber-Bedrohungen“, ständig einzubrechen, Schätze zu stehlen oder Chaos zu stiften. Lange Zeit dachten die Stadtplaner (die Tech-Experten), dass der einzige Weg, die Stadt sicher zu halten, darin bestehe, stärkere Mauern zu bauen, bessere Schlösser zu installieren und mehr Wachen einzustellen. Aber sie erkannten etwas Wichtiges: Selbst die stärkste Burg fällt, wenn die Menschen, die darin leben, nicht glauben, dass die Mauern echt sind, oder wenn sie denken, dass die Wachen nutzlos sind, oder wenn sie das Gefühl haben, dass die Regeln einfach zu nervig sind, um ihnen zu folgen.

Hier kommt eine berühmte Idee namens Protection Motivation Theory (Schutzmotivierungstheorie) ins Spiel. Betrachten Sie dies als eine mentale Checkliste, die unser Gehirn läuft, wenn wir einer Gefahr gegenüberstehen. Zuerst fragen wir: „Wie schlimm wäre es, wenn das passiert?“ (Bedrohungseinschätzung/Threat Appraisal). Dann fragen wir: „Kann ich es stoppen? Gibt es einen Plan? Ist es zu viel Arbeit?“ (Bewältigungseinschätzung/Coping Appraisal). Wenn die Antwort auf den zweiten Teil „Ja, ich kann damit umgehen“ lautet, sind wir motiviert zu handeln. Die meisten Studien haben jedoch bisher nur untersucht, wie Einzelpersonen über ihre eigenen Passwörter oder das Klicken auf Links denken. Sie haben nicht wirklich gefragt: „Wie fühlt sich der Angestellte gegenüber der Fähigkeit des gesamten Unternehmens fühlt, gegen diese Monster zu kämpen?“

Hier kommt der NIST Cybersecurity Framework ins Spiel, der wie ein riesiger, offizieller Bauplan dafür ist, wie eine Stadt ihre Sicherheit verwalten sollte. Er sagt Ihnen nicht, was Sie fühlen sollen, aber er listet die sechs Aufgaben auf, die eine Stadt erfüllen muss: Steuern (Regeln erstellen), Identifizieren (Schwachstellen finden), Schützen (Mauern bauen), Erkennen (Eindringlinge aufspüren), Reagieren (zurückkämpfen) und Wiederherstellen (das Chaos beseitigen). Die große Frage, die dieses Forschungsteam beantworten wollte, war: Können wir ein Werkzeug entwickeln, um genau zu messen, wie die Mitarbeiter die Sicherheit ihrer Stadt wahrnehmen, indem wir die mentale Checkliste der Protection Motivation Theory nutzen, aber sie mit den spezifischen Aufgaben aus dem NIST-Blueprint füllen?

---

Die große Idee: Ein neues „Sicherheitsradar“ für Unternehmen

Ein Forschungsteam aus der Türkei beschloss, ein neues Werkzeug zu entwickeln, das sie die Organizational Cybersecurity Perception Scale (PMT-OCPS) nennen. Sie können sich diese Skala als ein „Sicherheitsradar“ vorstellen, das Unternehmen nutzen können, um die Köpfe ihrer Mitarbeiter zu scannen. Anstatt zu fragen: „Wissen Sie, wie man sein Passwort ändert?“ (ein technischer Test), fragt dieses Radar: „Glauben Sie, dass das Sicherheitsteam Ihres Unternehmens tatsächlich gut darin ist, Hacker zu stoppen?“ und „Haben Sie das Gefühl, dass die Sicherheitsregeln zu nervig sind, um ihnen zu folgen?“

Die Forscher begannen mit einem riesigen Stapel von 46 Fragen. Sie baten ein Expertengremium – Psychologen, Cybersicherheitsexperten und Sprachgenies – diese zu überprüfen. Die Experten sagten: „Diese sind gut, aber lasst sie klarer machen und streicht den unnötigen Ballast.“ Nach einer gewissen Politur und einem kleinen Testlauf mit 47 Personen reduzierten sie die Liste auf 29 Fragen und schließlich auf ein kompaktes, 27-Fragen-starkes „Sicherheitsradar“.

Was sie fanden: Die sechs Säulen des Sicheren-Fühlens

Als sie dieses neue Radar an zwei großen Gruppen von Menschen testeten (519 Personen beim ersten Test und 400 andere Personen zur Bestätigung der Ergebnisse), entdeckten sie, dass Angestellte nicht einfach nur ein großes Gefühl bezüglich der Sicherheit haben. Stattdessen unterteilt ihr Geist dieses Gefühl in sechs distinkte Säulen. Es ist wie das Besitzen von sechs verschiedenen Sensoren auf einem Raumschiff, von denen jeder ein anderes System prüft:

1. Perceived Severity (Wahrgenommene Schwere): „Wie gruselig ist das Monster?“ Dies misst, wie schlimm die Mitarbeiter einen Cyberangriff für das Unternehmen einschätzen (z. B. Geldverlust, Klagen oder Rufschädigung).
2. Perceived Vulnerability (Wahrgenommene Verwundbarkeit): „Wie wahrscheinlich ist es, dass das Monster uns erwischt?“ Hier geht es darum, wie exponiert die Mitarbeiter die digitalen Systeme ihres Unternehmens gegenüber Angriffen fühlen.
3. Preventive Efficacy (Präventive Wirksamkeit): „Funktionieren die Schilde?“ Dies misst, ob die Mitarbeiter glauben, dass die präventiven Maßnahmen des Unternehmens (wie Software-Updates, Schulungen und Schlösser) tatsächlich effektiv sind, um Angriffe zu stoppen, bevor sie überhaupt beginnen.
4. Intervention Capability (Interventionsfähigkeit): „Können wir zurückschlagen?“ Dies ist eine brandneue Entdeckung! Die Forscher fanden heraus, dass Angestellte zwischen „Verhindern“ eines Angriffs und dem „Bekämpfen“ eines Angriffs unterscheiden. Diese Säule misst, ob die Mitarbeiter darauf vertrauen, dass das Unternehmen in der Lage ist, einen Angriff zu erkennen, darauf zu reagieren und nach dem Schaden wieder herzustellen.
5. Self-Efficacy (Selbstwirksamkeit): „Kann ich helfen?“ Hier geht es nicht um das Unternehmen, sondern um den Angestellten selbst. Fühlen sie sich fähig, eine Phishing-E-Mail zu erkennen oder ein Problem zu melden?
6. Response Cost (Reaktionskosten): „Ist das zu viel Aufwand?“ Dies misst, wie nervig oder belastend die Angestellten die Sicherheitsregeln finden. Wenn die Regeln sich wie ein schwerer Rucksack anfühlen, steigt dieser Wert, und die Menschen sind weniger wahrscheinlich bereit, sie zu befolgen.

Der „Aha!“-Moment: Prävention vs. Intervention

Der spannendste Teil dieser Studie war das, was mit dem Teil der „Response Efficacy“ (Reaktionswirksamkeit) der ursprünglichen Theorie geschah. In der Vergangenheit dachten Wissenschaftler, „Response Efficacy“ sei einfach ein einziger großer Eimer: „Funktionieren die Sicherheitsmaßnahmen?“ Aber diese Studie zeigte, dass dieser Eimer in einem Unternehmen tatsächlich in zwei separate Eimer aufgeteilt wird: Prävention (die Bösen am Tor stoppen) und Intervention (das Chaos bewältigen, wenn sie reingekommen sind).

Die Forscher legen nahe, dass Mitarbeiter klug genug sind zu wissen, dass ein gutes Schloss an der Tür (Prvention) etwas anderes ist als ein großartiges Notfallteam, das bereit ist, das Feuer zu löschen, wenn es ausbricht (Intervention). Diese Trennung ist entscheidend, da ein Unternehmen in einem Bereich exzellent, im anderen aber schlecht sein kann – und dieses neue Radar kann den Unterschied erkennen.

Wie gut ist das Radar?

Die Forscher waren sehr sorgfältig. Sie haben nicht nur geraten; sie haben die Zahlen ausgewertet.

• Reliabilität (Zuverlässigkeit): Das Radar ist konsistent. Wenn Sie den Test heute machen und in drei Wochen erneut, erhalten Sie fast denselben Wert (ein Stabilitätswert von .882).
• Genauigkeit: Die sechs Säulen, die sie fanden, sind real und unterscheidbar. Die Daten zeigten, dass „Prävention“ und „Intervention“ tatsächlich unterschiedliche Gefühle sind und nicht nur das Gleiche wiederholt werden.
• Realitätscheck: Sie testeten das Radar an zwei verschiedenen Gruppen: Mitarbeitern von Sportinstitutionen und Universitätsmitarbeitern. Sie fanden heraus, dass Menschen, die ein Cybersicherheitstraining absolviert hatten, selbstbewusster waren (höhere Self-Efficacy) und die Regeln als weniger nervig empfanden (niedrigere Response Cost). Menschen, die von einer spezifischen „Cybersecurity Unit“ in ihrem Unternehmen wussten, fühlten sich, dass das Unternehmen besser darin sei, zurückzukämpfen (höhere Intervention Capability). Dies beweist, dass das Radar tatsächlich reale Unterschiede in der Wahrnehmung der Menschen erfasst.

Was dies bedeutet (und was es nicht bedeutet)

Diese neue Skala ist ein mächtiges Werkzeug für Organisationen. Sie sagt Ihnen nicht, ob ein Computer mit einem Virus infiziert ist; sie sagt Ihnen, ob die Menschen sich sicher und fähig fühlen. Wenn ein Unternehmen dieses Radar nutzt und feststellt, dass der Wert für „Intervention Capability“ niedrig ist, wissen sie, dass sie ihren Mitarbeitern zeigen müssen, wie gut ihr Notfallteam arbeitet. Wenn der Wert für „Response Cost“ hoch ist, wissen sie, dass ihre Sicherheitsregeln zu kompliziert sind und vereinfacht werden müssen.

Die Forscher sind jedoch ehrlich über die Grenzen. Diese Studie wurde in der Türkei durchgeführt, hauptsächlich mit Beschäftigten des öffentlichen Sektors, daher wissen wir nicht sicher, ob das Radar in einer Bank in New York oder einer Fabrik in Tokio exakt gleich funktioniert. Außerdem haben die Teilnehmer in dieser Studie nur darüber berichtet, was sie fühlten; sie wurden nicht beobachtet, um zu sehen, ob sie die Regeln tatsächlich befolgten. Es deutet jedoch stark darauf an, dass die Art und Weise, wie Mitarbeiter über die Sicherheit ihres Unternehmens denken, ein riesiger Puzzlestein ist, der uns bisher gefehlt hat.

Kurz gesagt: Diese Arbeit hat einen neuen, sechsteiligen Kompass gebaut, der Unternehmen hilft, die menschliche Seite der Cybersicherheit zu navigieren. Sie zeigt, dass man, um die digitale Stadt sicher zu halten, zwar starke Mauern bauen muss, aber auch sicherstellen muss, dass die Bürger glauben, dass die Mauern funktionieren, das Notfallteam vertrauen und nicht das Gefühl haben, dass die Sicherheitsregeln zu schwer zu tragen sind.