Informationskompetenz für betriebliche Resilienz: Wie Sie die Compliance-Lücke schließen

In zahlreichen Unternehmen verantworten Informationssicherheitsbeauftragte (ISB) den Schutz der Systeme und den sicheren Umgang mit Informationen – sie überwachen die Einhaltung der ISO/IEC 27001. Den „Faktor Mensch“ decken Unternehmen durch Compliance-Richtlinien ab. Doch die vermitteln keine gesunde Skepsis. So bleibt eine Sicherheitslücke, die sich einfach schließen lassen würde. Kommunikationswissenschaftler und Trainer Thilo Baum zeigt in diesem Beitrag den zunehmenden Stellenwert von Informationskompetenz für eine gesunde Resilienz.

Würden Sie auf den Enkeltrick hereinfallen? Oder auf Phishing-E-Mails? Wenn Sie hier sicher „nein“ sagen können, dann verfügen Sie über gesunde Skepsis. Eine rar gesäte Fähigkeit, die sich irgendwo zwischen naiver Arglosigkeit und paranoidem Misstrauen ansiedelt.

Und wie sieht es mit Ihren Mitarbeitern aus? Würden die auf Manipulationsversuche hereinfallen? Vermutlich können Sie da nicht so sicher „nein“ sagen. Und damit haben Sie die Sicherheitslücke schon gefunden, um die es hier geht: der Mangel an Informationskompetenz, also der Fähigkeit, mit Informationen umzugehen.

Lassen Sie mich ein Beispiel nennen. Sie erhalten eine dubiose E-Mail. Wie prüfen Sie die? Vermutlich klopfen Sie sie auf Widersprüche und Merkwürdigkeiten ab. Und wenn alles stimmig erscheint, halten Sie die E-Mail für echt. Stimmt’s?

Tja – nur ist Plausibilität leider etwas völlig anderes als Wahrheit. Gute Lügen sind immer plausibel. Sonst würden sie nicht funktionieren. Wissen Ihre Mitarbeitenden das? Ich denke, sie sollten es wissen, denn die Manipulationsversuche werden immer besser. Plausibilitäts­prüfungen reichen bei weitem nicht mehr aus, um sicher zu sein, dass etwas stimmt.

Oder stellen Sie sich vor, ein übles Gerücht geht um. Was machen Ihre Mitarbeiter damit? Ich wette mit Ihnen: Die meisten lassen sich erst emotionalisieren, bevor sie die Information prüfen. Die wenigsten haben eine Pause zwischen Reiz und Reaktion in ihrem Denken.

Solche Dinge gehören zu dem Spektrum an Skills, das ich „Informationskompetenz“ nenne. Der Begriff kommt aus der Bibliothekswissenschaft und meint schon immer die Fähigkeit, Informationen richtig einzuordnen. Diese Fähigkeit brauchen wir, um dem enormen Ausmaß von Manipulationsversuchen und Desinformation zu begegnen, wie wir es heute erleben. Also: Stimmt, was wir hören, sehen und lesen? Was ist überhaupt eine gesicherte Informa­tion? Wenn ein Kollege sagt: „Der Kunde braucht das Produkt nicht“, ist das dann eine Meinung des Kollegen oder eine Information, die er von irgendwo hat? Und wie treffen Sie Ihre Entscheidungen im Unternehmen – anhand von klaren Fakten oder von Vermutungen? Oder eben vielleicht auf der Basis von Meinungen?

Fragen Sie mal herum in Ihrem Unternehmen, wer den Unterschied zwischen Behauptung und Meinung kennt. Nach meiner Erfahrung kann das kaum jemand klar sagen, weil fast niemand jemals Medienrecht in der Uni hatte. Oder weil die Methoden des wissenschaftlichen Denkens nicht präsent sind. Und so treffen viele Unternehmen eben Entscheidungen anhand von Einschätzungen und Meinungen, die sie für Informationen halten.

Für Führungskräfte und Mitarbeiter ist Informationskompetenz in zweierlei Hinsicht wichtig:

Vielleicht kennen Sie das alte Hofling-Hospital-Experiment. 1966 wollte der Psychiater Charles K. Hofling herausfinden, wie autoritätshörig Krankenhauspersonal ist. Ein unbekannter Anrufer gab sich am Telefon als Arzt aus und forderte Pflegekräfte auf, einem Patienten eine überhöhte Dosis eines Medikaments zu verabreichen. Die meisten Pflegekräfte machten sich folgsam auf den Weg und hätten das Präparat verabreicht, hätten die Forscher nicht eingegriffen.

Heute haben Sie KI-Anrufe mit Stimmen, die wie der Chef klingen. Das bekomme auch ich an meinem Rechner hin, wenn irgendwo online ein Vortrag von diesem Chef mit seiner Stimme zu finden ist. Die Manipulateure setzen auf Plausibilität: Die Stimme klingt echt und reagiert sinnvoll auf unsere Nachfragen. Auch die Absendernummer auf dem Display stimmt.

Doch die scheinbare Gewissheit bedeutet eben keine gesicherte Information. Um wirklich sicher zu sein, müssen wir die Authentizität des Anrufers verifizieren. Und dazu brauchen wir eine Sicherheitsschleife: Wie bei einer Zwei-Faktor-Authentifizierung genügt das Passwort nicht, sondern wir brauchen zur Bestätigung auch ein Token, das unzweifelhaft nur unser Gegenüber haben kann.

Alle diese Vorsichtsmaßnahmen sind kein Misstrauen gegenüber Kollegen oder Vorgesetzten. Wir sollten da überhaupt nichts persönlich nehmen oder emotional reagieren, sondern alle sollten einsehen, dass es rein ums Verifizieren von Informationen geht. Das dauert manchmal eine Weile, weshalb Angreifer auch immer wieder auf Zeitdruck setzen. Und zu wissen, dass Zeitdruck eine Manipulationsmethode sein kann, gehört eben zur Informationskompetenz.

Informationskompetenz besteht aus vielen Puzzlestücken, wenn Sie so wollen. Es geht um Erkenntnistheorie, Aussagenlogik und etwas Medienrecht. Einige Beispiele:

Alles das ist – außerhalb von Wissenschaft, Publizistik und Medienrecht – weitgehend unbekanntes Wissen. Es geht dabei nicht um Medienkompetenz. Informationskompetenz reicht viel tiefer und betrifft die Einordnung von Informationen als solche. Bevor wir die Frage beantworten können, wie wir Medien sicher nutzen, sollten wir wissen, woran wir seriöse und unseriöse Informationen erkennen. Der Kern ist die Frage: Woher wissen wir, dass wir wissen, was wir wissen?

Und so ist Informationskompetenz ein Crashkurs durch die Kunst des wissenschaftlichen und redaktionellen Denkens. Ohne diese Kompetenz unterliegen wir Denkfehlern und sind anfällig für Manipulationen jedweder Art.

Aus guten Gründen sind Unternehmen gut beraten, sich dieses Wissen anzueignen und ihren Führungskräften und Mitarbeitern als strategische Kernkompetenz zu vermitteln. Dieses Wissen schließt die Lücke, die die Compliance offenlässt – und schützt vor Manipulationen und Radikalisierung. Am Ende ist kein Unternehmen resilient, wenn es nicht auch die Menschen in diesem Unternehmen sind.

Tipp: Vertiefen Sie Ihr Wissen in unseren Compliance-Seminaren und KI-Weiterbildungen.