DNS, VPN, SQL … Hilfe!

«Und so funktioniert DNS.» Ich blinzle einmal. Dann zweimal. Die Person vor mir wartet gespannt auf ein Zeichen, dass ich die so geduldig vorgetragene Erklärung verstanden habe. Stattdessen findet sie ein riesiges Fragezeichen auf meinem Gesicht. D-N-S. Wie sollte ich anderen Menschen digitale Risiken vermitteln, wenn ich selbst kaum verstand, wie das Internet funktioniert? Kurz gesagt: DNS – das Domain Name System – ist wie das Telefonbuch auf deinem Handy. Du rufst deine Freundin Anna an, indem du ihren Namen auswählst, nicht indem du dir ihre Nummer merkst. Das Internet funktioniert genauso. Statt eine lange IP-Adresse wie 142.250.80.46 einzugeben, tippst du einfach google.com. Das DNS-System übersetzt diesen leicht merkbaren Namen über eine Kette von Servern in die entsprechende numerische Adresse und leitet deinen Computer zur richtigen Website weiter. Als ich es so erklärt bekam, klickte es endlich. Eine kurze Geschichte über einen Anruf bei Anna hatte etwas erreicht, woran technische Erklärungen gescheitert waren. Das Konzept war nicht genauer geworden – es war zugänglicher geworden.

Natürlich lässt jede Vereinfachung Details aus. Kritiker könnten zu Recht anmerken, dass DNS komplexer ist als ein Telefonbuch – und sie lägen damit nicht falsch. Doch Zugänglichkeit und Genauigkeit schliessen sich nicht zwingend aus. Wie die Usability-Expertin Lorrie Faith Cranor treffend formuliert hat: „Sicherheit, die nicht nutzbar ist, ist keine Sicherheit.» Dasselbe gilt für die Sicherheitskommunikation: Information, die Menschen nicht erreicht, nicht verstanden oder nicht umgesetzt werden kann, ist keine Awareness.

Damals hielt ich die Erfahrung für eine glückliche Ausnahme. Damals schrieb ich die zugänglichere Erklärung einem glücklichen Zufall zu. Jahre später sollte ich entdecken, dass es ein ganzes Handwerk gibt, das sich dem Verständlichmachen komplexer Ideen durch Geschichten widmet.

Der Fluch des Zuviel-Wissens

Wie wichtig Zugänglichkeit ist, wurde mir noch klarer durch eine Begegnung, die ein Kollege mit einem Schweizer Armeegeneral hatte. Als dieser erfuhr, dass der Hintergrund meines Kollegen in der Meteorologie und nicht in der Informatik lag, reagierte er mit sichtlicher Erleichterung: „Gott sei Dank.» Er wollte technische Expertise damit nicht abwerten – ganz im Gegenteil. Er brachte eine Frustration zum Ausdruck, die viele Nicht-Fachleute teilen: Cybersicherheit wurde endlich in einer Sprache erklärt, die er verstand.

Seine Geschichte rief eine Erinnerung aus meinem ersten Studienjahr wach, in dem ich in meiner Einführungsvorlesung in Statistik für Sozialwissenschaftler kaum mithalten konnte. Wie viele meiner Kommiliton:innen hatte ich Mühe mit Konzepten wie Standardabweichung, Varianz und Korrelation. Alles änderte sich, als ich ein Statistiklehrbuch von Andy Field, Professor für quantitative Methoden an der University of Sussex, entdeckte. In verständlicher Sprache geschrieben und voll mit Humor, Geschichten und Alltagsbeispielen verwandelte es ein Fach, das mir Angst eingeflösst hatte, in eines, das sich einladend anfühlte und – man mag es kaum glauben – sogar richtig Spass machte.

Obwohl manche Statistiker:innen das Buch für zu wenig wenig rigoros hielten, wurde es unter Studierenden enorm populär und gewann sogar einen Buchpreis der British Psychological Society. Sein Erfolg verdeutlichte eine wichtige Lektion: Zugänglichkeit ist oft das, was Verständnis erst möglich macht.

Beispiele wie diese liessen mich eine Annahme hinterfragen, die ich unbewusst in die Cybersicherheit mitgebracht hatte: Könnte das Fehlen eines technischen Hintergrunds nicht auch ein Vorteil sein? Kognitionswissenschaftler:innen beschreiben ein Phänomen, das als „Fluch des Wissens» bekannt ist: Expertise macht es schwer, sich vorzustellen, wie es sich anfühlt, etwas nicht zu wissen. Je tiefer unser Fachwissen, desto schwieriger kann es werden, ein Thema aus der Perspektive von Anfängern zu erklären. Je vertrauter uns ein Thema wird, desto eher vergessen wir, wie viel Vorwissen wir dabei stillschweigend voraussetzen.

Wie lässt sich Cybersicherheit also so kommunizieren, dass Menschen wirklich damit in Berührung kommen wollen? Diese Frage führte mich schliesslich zur Arbeit der Technologiejournalistin Eva Wolfangel.

Warum Fakten allein nicht reichen

«Du musst in Szenen denken.»

Wer schon einmal emotional mit einer Protagonist:in mitgefiebert hat, versteht bereits, warum dieser Ansatz funktioniert. Geschichten berühren etwas Urmenschliches in uns. Wie die Usability-Forscherin Dr. Karen Renaud festgestellt hat: „ Menschen sind fühlende Wesen, die denken – und keine denkenden Wesen, die fühlen.» Storytelling spricht zuerst unsere Gefühle an, dann unseren Verstand. Es ist also kaum ein Wunder, dass narrative Ansätze der Risikokommunikation mit grösserem Engagement, einem stärkeren Gefühl von Sinnhaftigkeit und niedrigschwelligerem Wissenszugang verknüpft in Verbindung gebracht wird (Kampmann, 2020, S. 23, 103–104).

Auf die Frage, wie Fakten durch Storytelling vermittelt werden können, ist Evas Antwort verblüffend praktisch: „Nach jeder Szene kannst du relevante Fakten oder Hintergrundinformationen einfügen. Du hast also eine Abfolge von Szene, Fakt, Szene, Fakt und so weiter.» Sie fügt einen wichtigen Hinweis hinzu: „Achte darauf, dass Fakten im gleichen Ton und Stil wie die Szenen präsentiert werden – sonst wirken sie wie zwei getrennte Geschichten.»

Für Fachleute im Bereich Security Awareness ist diese Erkenntnis wertvoll. Fakten müssen eine Erzählung nicht unterbrechen. Wenn sie durchdacht eingebunden werden, werden sie Teil von ihr – sie informieren, ohne zu entfremden; sie bilden, ohne zu überfordern; und sie begeistern, ohne an Genauigkeit einzubüssen.

Was das in der Praxis bedeutet

Aus diesen Erfahrungen haben sich sechs praktische Prinzipien entwickelt, die heute als Leitfaden für meine Cybersicherheitsgeschichten dienen.

1. Fokus auf das richtige Zielverhalten und die richtige Zielgruppe. Definiere vor dem Schreiben das Verhalten, das du beeinflussen möchtest, und identifiziere die richtige Zielgruppe. Wenn das Ziel darin besteht, Wissen und Motivation zu verbessern, sind Mitarbeitende oft die richtige Adresse. Liegt das eigentliche Hindernis jedoch auf organisatorischer Ebene – etwa fehlende Ressourcen, unklare Prioritäten oder mangelndes Commitment der Führung – muss die Geschichte Entscheidungstragende ansprechen. Echte Wirkung entsteht oft durch eine Kombination aus Veränderungen auf Führungs- und Mitarbeitendenebene.

3. Aufmerksamkeit wecken und halten. Wer in den ersten Absätzen keine Neugier weckt, verliert die Lesenden meist schon früh. Setze daher auf einen starken Einstieg, Spannungsbögen und andere Techniken wie Hooks und Cliffhanger, die zum Weiterlesen einladen – und fasse dich dabei so kurz wie möglich.

4. Show, don’t tell. Lebendige Szenen wirken stärker als abstrakte Beschreibungen. Lass die Lesenden Momente direkt erleben. Zitate und Dialoge können Figuren und Situationen deutlich greifbarer und authentischer wirken lassen. Die Fakten, die du vermitteln möchtest, lassen sich gezielt zwischen den Szenen einweben.

5. Die Hauptfigur mit Tiefe ausstatten. Die Lesenden sollten sowohl die äussere Herausforderung als auch den inneren Konflikt der Hauptfigur nachvollziehen können. Spannung entsteht oft dort, wo Ziele in Konflikt geraten – etwa wenn Geschäftsziele und Informationssicherheit gegeneinander abgewogen werden müssen. Im Bereich Cybersicherheit sind Redemption Arcs besonders wirkungsvoll: Die Hauptfigur begeht einen Fehler, erfährt die Konsequenzen, zieht ihre Lehren und verändert schliesslich ihr Verhalten. Solche Geschichten überzeugen, weil sie zeigen, wie Menschen tatsächlich lernen. Eine Figur, die sich zu schnell wandelt, wirkt unglaubwürdig; eine, deren Ringen sich echt anfühlt, nimmt die Lesenden mit und inspiriert.

6. Dem Ende Gewicht geben. Starke Geschichten erzählen im Kern immer von Transformation. Die einprägsamsten Stories hinterlassen das Gefühl, dass etwas nicht mehr so ist wie zuvor – sei es das Wissen, die Perspektive oder der Antrieb zu handeln. Bei Redemption Arcs entsteht dieses Gefühl in dem Moment, in dem die Hauptfigur das Gelernte erstmals erfolgreich anwendet. Das Problem muss nicht vollständig gelöst sein – aber die Figur, die am Ende steht, ist nicht mehr dieselbe wie zu Beginn ihrer Bewährungsprobe.

Warum Storytelling eine Kernkompetenz der Cybersicherheit sein sollte

Nachdem ich nun ein paar Jahre lang mit Storytelling in der Cybersicherheit gearbeitet habe, kann ich auf jenes verwirrte Ich zurückblicken, das einst ratlos vor dem Kürzel „DNS» stand und dabei schmunzeln. Dieser Moment hat mich etwas Wichtiges gelehrt: Verständnis beginnt nicht mit technischer Präzision. Es beginnt dort, wo neue Informationen an etwas anknüpfen können, das Menschen bereits kennen.

Und das ist vielleicht die ermutigendste Erkenntnis von allen: Storytelling ist keine Gabe, die nur Journalist:innen, Schriftsteller:innen oder charismatischen Redner:innen vorbehalten ist. Es ist eine Fähigkeit, die erlernt werden kann.

Storytelling entfaltet seine volle Wirkung jedoch erst auf dem richtigen Fundament: einem Team, das technisches Fachwissen mit der Fähigkeit verbindet, die Sprache der Zielgruppe zu sprechen. Auf der einen Seite jemand, der Risiken, Technologien und Regulierungen von Grund auf versteht. Auf der anderen jemand, der nie vergessen hat, wie es sich anfühlt, davon keine Ahnung zu haben. Gemeinsam vereinen sie das Beste aus beiden Welten – die Tiefe der einen und die Zugänglichkeit der anderen.

Denn Wissen, das die Menschen nicht erreicht, schützt niemanden – weder dein Team, noch deine Organisation.