Spielerisch gegen Awareness-Müdigkeit: Educational Escape Rooms als Sicherheitsbaustein

Der Beitrag zeigt, wie sich EERs als praktisch erprobter, niederschwelliger Awareness-Baustein in den Arbeitsalltag integrieren lassen, um heterogene Zielgruppen anzusprechen und das Sicherheitsbewusstsein dauerhaft zu fördern.

Viele Unternehmen und Organisationen setzen bei der Sensibilisierung ihrer Mitarbeitenden für IT-Sicherheitsrisiken auf Schulungen, E-Learnings oder Vorträge. Ziel entsprechender Schulungs- und Sensibilisierungsprogramme ist es, das durch menschliches Verhalten entstehende Sicherheitsrisiko zu reduzieren und langfristig sichere Verhaltensweisen im Arbeitsalltag zu etablieren.

Laut mehreren Studien, darunter Arbeiten von Prümmer (2024) sowie Haney und Lutters (2024), zeigen diese Formate jedoch nur begrenzte Wirkung, wenn es um nachhaltige Verhaltensänderungen geht.[10, 4] Sie basieren häufig auf passiven Lernmethoden, überfordern mit großen Informationsmengen in kurzer Zeit und werden insbesondere von Beschäftigten ohne technischen Hintergrund als wenig motivierend oder kaum arbeitsrelevant empfunden.

Die Autorinnen dieses Artikels haben deswegen im Rahmen des vom Bundesministerium für Forschung, Technologie und Raumfahrt geförderten Projekts deFenSIO untersucht, ob Educational Escape-Rooms (EERs) hier einen wirksameren Ansatz bieten können.[1]

Vier Dimensionen der Informationssicherheits-Awareness

Informationssicherheits-Awareness, kurz ISA, lässt sich als Grad der Sensibilisierung für Informationssicherheit in vier Dimensionen unterteilen: Wissen und Fähigkeit, Verhaltensabsicht, Salienz und Gewohnheit.[13] Der Informationssicherheitsexperte Michael Helisch (2009) definiert ISA als ein Konstrukt aus Wissen, Wollen und Können.[5]

Damit wird deutlich, dass erfolgreiche Awareness-Maßnahmen über die reine Wissensvermittlung hinausgehen und sicheres Verhalten im Arbeitsalltag fördern müssen. Für die Praxis lassen sich daraus vier Leitfragen, orientiert an Weber et al.[13], ableiten, die bei der Planung, Auswahl und Bewertung von Awareness-Maßnahmen unterstützen. Sie helfen einzuschätzen, ob ein Format nicht nur Wissen vermittelt, sondern auch zu einer nachhaltigen Verankerung sicheren Verhaltens im Arbeitsalltag beiträgt.

Wissen Mitarbeitende, wie sie in konkreten Situationen sicher handeln? (Wissen und Fähigkeit) Sind die Mitarbeitenden bereit, dieses Wissen anzuwenden? (Verhaltensabsicht) Ist Informationssicherheit im Arbeitsalltag präsent? (Salienz) Ist sicheres Verhalten zur Routine geworden? (Gewohnheit)

Gamification und Educational Escape-Rooms: was die Forschung sagt

Um diese Dimensionen gezielter anzusprechen, haben sich in den vergangenen Jahren zunehmend gamifizierte Lernansätze etabliert. Meta-Analysen von Sailer und Homner (2020) sowie Li, Ma und Shi (2023) weisen darauf hin, dass Gamification Motivation, Lernverhalten und kognitive Leistungen positiv beeinflussen kann.[11, 8] Auch speziell für die Informationssicherheit dokumentieren Studien laut Prümmer (2024) Verbesserungen beim Wissenserwerb, bei sicherheitsbezogenen Einstellungen und beim Verhalten. Elemente wie Storytelling, Wettbewerb oder interaktive Szenarien sollen dabei vor allem bei nicht-technischen Zielgruppen die Auseinandersetzung mit IT-Sicherheitsthemen fördern.[10]

Innerhalb dieser Ansätze gelten EERs als besonders vielversprechend. Im Unterschied zu herkömmlichen Escape-Rooms, die primär der Unterhaltung dienen, stellen EERs die gezielte Vermittlung von Lerninhalten, Entwicklung von Kompetenzen und den Transfer in den Arbeitsalltag in den Vordergrund.[14] Fotaris und Mastoras (2022) sowie Spatafora et al. (2024) beschreiben EERs als erfahrungsbasierte Lernformate, die durch aktives Erleben, emotionale Beteiligung und praktische Anwendung nachhaltigere Lernprozesse ermöglichen sollen als klassische Schulungen.[2, 12] Gwenhure und Rahayu (2024) ergänzen, dass Spielelemente wie Storytelling und interaktive Szenarien den Wissenszuwachs und das Engagement zusätzlich fördern können.[3]

Empirische Ergebnisse von Koning und Bullee (2024) aus einem Cybersicherheitstraining im Gesundheitswesen bestätigen signifikante Verbesserungen bei Wissen, Einstellungen und Verhaltensintentionen unmittelbar nach der Teilnahme, die teilweise auch langfristig nachweisbar blieben.[7] Besonders relevant ist der gamifizierte Ansatz im Hinblick auf die verschiedenen Dimensionen des Informationssicherheitsbewusstseins: EERs fördern Wissen und Fähigkeiten durch die Bearbeitung realistischer Sicherheitsvorfälle, stärken die Verhaltensabsicht durch eigenständige Entscheidungen, erhöhen die Sichtbarkeit von Informationssicherheit im Arbeitsalltag und unterstützen durch unmittelbares Feedback die Entwicklung sicherer Routinen.

Heterogene Zielgruppen erfordern neue Wege – Beispiel Hilfsorganisationen

Wie sich EERs in der Praxis bewähren, wurde im Projekt deFenSIO untersucht. Das vom Bundesministerium für Forschung, Technologie und Raumfahrt bis August 2026 geförderte Vorhaben konzentriert sich auf die Sensibilisierung von haupt- und ehrenamtlich Beschäftigten am Beispiel des Malteser Hilfsdienstes e. V.

Da klassische Schulungsformate den Anforderungen einer heterogenen Mitarbeitendenstruktur häufig nur eingeschränkt gerecht werden, fiel die Wahl bewusst auf EERs als alternatives Schulungsformat für Hilfsorganisationen.

Angriffe auf die Informationssicherheit von Hilfsorganisationen haben oft enorme Folgen. Da sie zur kritischen Infrastruktur (KRITIS) zählen, reichen die Folgen häufig weiter als reine Datenverluste oder finanzielle Schäden. Im Ernstfall beeinträchtigen sie die Versorgung hilfsbedürftiger Menschen und haben damit Auswirkungen auf die öffentliche Sicherheit und gesellschaftliche Stabilität. Vor diesem Hintergrund gewinnen gezielte Sensibilisierungsmaßnahmen auch für Mitarbeitende von Hilfsorganisationen zunehmend an Bedeutung.

Gleichzeitig stehen diese Organisationen vor spezifischen Herausforderungen bei der Sicherheitsschulung: Ihre Belegschaften setzen sich aus hauptamtlich Beschäftigten, ehrenamtlich Tätigen sowie Teilnehmern im Freiwilligen Sozialen Jahr (FSJ) und Bundesfreiwilligendienst (BFD) zusammen.

Die digitalen Kompetenzen variieren zudem erheblich. Während FSJ- und BFD-Leistende oft eine hohe digitale Affinität mitbringen, fehlt ihnen die Erfahrung im Umgang mit Sicherheitsrisiken. Ehrenamtliche wiederum bringen unterschiedliche berufliche Hintergründe und eine heterogene Altersstruktur mit. Diese Heterogenität erschwert die organisationsweite und konsistente Umsetzung klassischer Awareness-Maßnahmen erheblich.

Hinzu kommen dezentrale Arbeitsstrukturen, die Nutzung privater Endgeräte, begrenzte zeitliche Ressourcen und teilweise fehlender Internet- oder Mobilfunkzugang. Schulungsangebote müssen häufig außerhalb regulärer Arbeitszeiten wahrgenommen werden, was die Akzeptanz vortragsbasierter Formate zusätzlich einschränkt.

Laut Kerres et al. (2024) erweisen sich interaktive und praxisnahe Ansätze in solchen Kontexten als deutlich geeigneter.[6] Vor diesem Hintergrund konzipierte und erprobte das Projektteam den EER „Datensicherheit – Rettet das IT-System!“, um Mitarbeitende auf spielerische Weise für Sicherheitsthemen zu sensibilisieren.

Die beschriebenen Herausforderungen treten allerdings nicht nur bei Hilfsorganisationen auf, sondern auch in Organisationen mit dezentralen Strukturen, heterogenen Beschäftigungsgruppen und eingeschränkten Steuerungsmöglichkeiten für Lern- und Schulungsprozesse.

Flexible, niedrigschwellige Lernformate wie EERs könnten auch dort einen Beitrag leisten, da sie unabhängig von Ort, Zeit und verfügbarer IT-Infrastruktur funktionieren und unterschiedliche Kompetenzniveaus berücksichtigen. Sie wirken der sogenannten „Awareness-Müdigkeit“ klassischer Schulungsformate entgegen und lassen sich flexibel in bestehende Schulungs-, Übungs- und Awareness-Programme integrieren.

Der EER „Datensicherheit – Rettet das IT-System!“ in der Praxis

Im entwickelten EER bearbeiten die Teilnehmenden realitätsnahe Szenarien zu zentralen Themen der Informationssicherheit. Dazu zählen unter anderem der Umgang mit Phishingmails und Sicherheitsvorfällen, Passwortmanagement sowie die verantwortungsvolle Nutzung sozialer Medien.

Ziel ist es, die defensiven Kompetenzen der Teilnehmenden zu stärken, eine nachhaltige Sicherheitskultur innerhalb der Organisation zu fördern und unterschiedliche Vorerfahrungen im Umgang mit digitalen Medien zusammenzuführen. Das Format ist auf eine Spielzeit von 45 bis 60 Minuten ausgelegt, ergänzt durch eine etwa 10-minütige Einführung und eine rund 30-minütige Nachbesprechung. Es lässt sich in bestehende Formate wie Dienstabende, Schulungen oder Übungen integrieren, um ehrenamtlich Engagierte zeitlich nicht zusätzlich zu belasten.

Das Team erprobte den EER mit acht Teilnehmergruppen, die jeweils drei bis 16 haupt- und ehrenamtliche Mitarbeiter des Malteser Hilfsdienstes umfassten. Innerhalb der Gruppen arbeiteten die Teilnehmende in Kleingruppen von drei bis sechs Personen zusammen. Die Auswertung erfolgte mittels teilnehmender Beobachtung und teilstrukturierter Gruppeninterviews, wobei Motivation, Wissenszuwachs, Einstellung zu Informationssicherheit und Transfer in den Arbeitsalltag erhoben wurden.

Die Erprobungen lieferten mehrere Erkenntnisse:

• Niederschwelliger Zugang: Das spielbasierte Format bietet einen anwendungsorientierten Zugang zu einem Thema, das im Ehrenamt häufig als abstrakt oder „IT-lastig“ wahrgenommen wird. Da gamifizierte Formate weniger auf technische Vorkenntnisse als vielmehr auf Problemlösungsfähigkeit, Kommunikation und Zusammenarbeit fokussiert sind, werden unterschiedliche Zielgruppen mit variierendem Vorwissen gleichermaßen eingebunden. Dies trägt dazu bei, Hemmschwellen gegenüber Informationssicherheitsthemen abzubauen und eine breitere Teilhabe am Lern- und Sensibilisierungsprozess zu ermöglichen.
• Motivationsstärkung: EERs machen IT-Sicherheitsthemen unmittelbar erlebbar. Durch die Kombination aus Zeitdruck, Teaminteraktion und narrativen Rahmungen
  entsteht ein immersives Lernerlebnis, das die aktive Auseinandersetzung mit Sicherheitsfragen unterstützt. Die Lerninhalte werden dadurch nicht nur vermittelt, sondern unmittelbar angewendet und reflektiert. Dadurch steigt die wahrgenommene Relevanz der Lerninhalte für den eigenen Arbeitsalltag und somit auch die intrinsische Motivation zur Beschäftigung mit diesen.
• Teambildender Charakter des Formats: Die Erarbeitung gemeinsamer Lösungen in kleinen Gruppen fördert den Austausch und die Kommunikation untereinander. Die Teilnehmenden lernen im Spielverlauf voneinander, indem sie unterschiedliche Perspektiven und Erfahrungen einbringen sowie aktuelle Schwachstellen in ihrer Arbeitsumgebung identifizieren.
• Transfer von Sicherheitswissen in den Arbeitsalltag: Mit EERs lassen sich abstrakte und teilweise komplexe Sicherheitskonzepte in konkrete und erlebbare Handlungssituationen überführen. Da-durch wird das Lernen nicht nur kognitiv, sondern auch emotional und sozial aktiviert. Die aktive und handlungsorientierte Bearbeitung der Aufgaben sowie die Einbindung unterschiedlicher Vorerfahrungen fördern ein vertieftes Verständnis der vermittelten Inhalte. Der unmittelbare Praxisbezug sowie die gemeinsame Bearbeitung der Aufgaben in Kleingruppen fördern den Lerntransfer und stärken die Handlungsfähigkeit der Ehrenamtlichen im Umgang mit Informationssicherheitsrisiken.

Ohne Nachbesprechung bleibt der Lerneffekt begrenzt

Ein zentraler Punkt der Auswertung ist, dass EERs ihr volles Potenzial erst durch eine systematische Nachbesprechung entfalten. In dieser Reflexionsphase werden offene Fragen geklärt, Lösungsstrategien nachvollziehbar erläutert und die zugrunde liegenden Sicherheitsprinzipien der eigenen Organisation transparent dargestellt. Die während des Spiels gewonnenen Erfahrungen werden eingeordnet und mit dem Arbeitsalltag verknüpft.

Besonders wirksam ist die Einbettung der Auf-gaben in reale oder aktuelle Cyberbedrohungen, wie die projektbezogenen Erprobungen zeigen. Die ergänzenden Hintergrundinformationen stärken das Verständnis für die Relevanz der behandelten Inhalte und verdeutlichen die Bedeutung menschlichen Verhaltens für die Informationssicherheit. Gleichzeitig ermöglicht die gemeinsame Reflexion den Austausch unterschiedlicher Erfahrungen sowie die Identifikation abweichender Prozessabläufe und potenzieller Schwachstellen. Auf diese Weise wird theoretisches Sicherheitswissen mit konkreten Handlungssituationen verknüpft und die Entwicklung eines sicherheitsbewussten Verhaltens unterstützt.

Ergänzung, kein Ersatz: Grenzen und Gestaltungsempfehlungen

Zentrale IT-Sicherheitsthemen wie Phishingmails, Passwortsicherheit, Social Engineering oder Meldewege bei IT-Vorfällen basieren auf grundlegenden Sicherheitsprinzipien, die organisationsübergreifend und zum Teil auch privat relevant sind. Lernziele, Bedrohungsszenarien und spielmechanische Elemente lassen sich flexibel an unterschiedliche Zielgruppen, Kompetenzniveaus und organisationale Rahmenbedingungen anpassen. Dadurch können EERs in unterschiedlichen Organisationen zum Einsatz kommen.

Auch die Literatur beschreibt EERs als modular gestaltbare Lernumgebungen, deren Rätsel, Narrative und Lernziele flexibel kombiniert werden können.[2] Studien zeigen zudem positive Effekte auf Motivation, Problemlösekompetenz, sicherheitsbezogenes Verhalten und den Transfer in den Arbeitsalltag.[12, 9]

Allerdings sollten EERs nicht als alleinige Awareness-Maßnahme verstanden werden. Ihr Erfolg hängt wesentlich von einer guten didaktischen Gestaltung, der Einbettung in bestehende Awareness-Konzepte und einer strukturierten Nachbesprechung ab.[2] Zudem ist bislang noch nicht eindeutig geklärt, welche Gestaltungselemente wie Gamification, Teamarbeit oder Storytelling den größten Einfluss auf den Lernerfolg haben.[7]

EERs ergänzen daher bestehende Informationssicherheits-Awareness-Maßnahmen, ersetzen diese jedoch nicht. Besonders wirksam werden sie im Zusammenspiel mit Reflexionsphasen, da hier der Transfer in den Arbeitsalltag unterstützt wird.

Bei der Entwicklung und Durchführung von EERs sind folgende Punkte zu beachten:

• Integration realistischer Bedrohungsszenarien: Inhalte an tatsächliche oder typische Sicherheitsvorfälle der Organisation anpassen
• Abbildung organisatorischer Prozesse: interne Meldewege, Eskalationen und  Sicherheitsrichtlinien sichtbar in das Szenario einbauen
• Integration in bestehende Strukturen: EERs in bestehende Schulungs- und Arbeitsstrukturen einbetten
• Sicherstellung der didaktischen Einbettung: insbesondere durch strukturierte Nachbesprechung und Reflexion den Lerneffekt sichern
• Einplanung eines modularen Aufbaus: Aufgaben so gestalten, dass sie je nach Zeitbudget (zwischen 30 und 60 Minuten) ergänzt oder reduziert werden können, ohne Spielfluss, Übergänge oder Lernziele zu beeinträchtigen

Literaturverzeichnis

[1] deFenSIO – Stärkung defensiver Fähigkeiten zur Sicherung der Informations- und Kommunikationsstrukturen einer (Hilfs-)Organisation. Forschungsprojekt, gefördert durch das Bundesministerium für Forschung, Technologie und Raumfahrt (BMFTR). Laufzeit 2023-2026.
[2] Fotaris, P., & Mastoras, T. (2022): “Room2Educ8: A Framework for Creating Educational Escape Rooms Based on Design
Thinking Principles”. Education Sciences. 12(11). S. 768. https://doi.org/10.3390/educsci12110768.
[3] Gwenhure, A.K. & Rahayu, F.S. (2024): “Gamification of Cybersecurity Awareness for Non-IT-Professionals: A Systematic Literatur Review”. In: International Journal of Serious Games. 11(1). S.83-99. https://doi.org/10.17083/ijsg.v11i1.719.
[4] Haney J. & Lutters, W. (2024): “From Compliance to Impact: Tracing the Transformation of an Organizational Security Awareness Program”. In: Cyber Security: A Peer-Reviewed Journal. 8(2). 2024/2025. https://doi.org/10.69554/NJYA9034.
[5] Helisch, M. (2009): “Definition von Awareness, Notwendigkeit und Sicherheitskultur”. In: Helisch M.; Pokoyski, D. (Hrsg) Security Awareness – Neue Wege zur erfolgreichen Mitarbeiter-Sensibilisierung. Vieweg + Teubner, Wiesbaden, S. 9–28.
[6] Kerres, M., Janssen, I., Sämisch, A. & Vens-Cappell, V. (2024): „Kompetenzentwicklung im ehrenamtlichen Engagement – Zwischen Eigenverantwortung und Institutionalisierung Ergebnisbericht“. learninglab gGmbH im Auftrag der Deutschen Stiftung für Engagement und Ehrenamt (DSEE).
[7] Koning, L. & Bullee, J.W. (2024): “Cybersecurity on the Move: Investigating the Efficacy of a Movable Escape Room as an Educational Tool for Healthcare Employees”. In: Proceedings of the European Conference on Games Based Learning (ECGBL). 18(1). S. 525–533. https://doi.org/10.34190/ecgbl.18.1.2631.
[8] Li, M., Ma, S. & Shi, Y. (2023): “Examining the effectiveness of gamification as a tool promoting teaching and learning
in educational settings: a meta-analysis”. In: Frontiers in Psychology. 14. 1253549. https://doi.org/10.3389/fpsyg.2023.1253549.
[9] Pirta-Dreimane, R. et al. (2024): “Try to esCAPE from Cybersecurity Incidents! A Technology-Enhanced Educational Approach. In: Technology, Knowledge and Learning. 30(3). S. 1577-1606. https://doi.org/10.1007/s10758-024-09769-8.
[10] Prümmer J. (2024): “The Role of Cognition in Developing Successful Cybersecurity Training Programs – Passive vs. Active Engagement”. In: In D. D. Schmorrow & C. M. Fidopiastis (Hrsg.), HCII 2024 Proceedings (Lecture Notes in Artificial Intelligence, Vol. 14695, S. 185–199): Springer. https://doi.org/10.1007/978-3-031-61572-6_13
[11] Sailer, M. & Hommer, L. (2020): “The Gamification of Learning. A Meta-analysis”. In: Educational Psychology Review. 32. S. 77–112. https://doi.org/10.1007/s10648-019-09498-w.
[12] Spatafora, A. et al. (2024): “An Educational Escape Room Game to Develop Cybersecurity Skills”. Computers. 13(8). S. 205. https://doi.org/10.3390/computers13080205.
[13] Weber K., Schütz A.E. & Fertig, T. (2019): „Grundlagen und Anwendung von Information Security Awareness. Mitarbeiter
zielgerichtet für Informationssicherheit sensibilisieren“. Wiesbaden: Springer Vieweg. https://doi.org/10.1007/978-3-658-26258-7.
[14] FernUniversität Hagen (2025): „EduTechTalk am 21.1.25: Educational Escape Rooms“. Hagen.