Ausgangssituation
Ein mittelständisches SaaS-Unternehmen aus dem B2B-Bereich mit 420 Mitarbeitenden und Standorten in Deutschland, Österreich und den Niederlanden stand 2024 vor einem typischen, aber schwer messbaren Risiko: Die technische Sicherheitslage war solide, die menschliche Angriffsfläche jedoch zu groß. Das Unternehmen betreibt eine cloudbasierte Plattform für Prozessautomatisierung und verarbeitet dabei Kunden-, Vertrags- und Nutzungsdaten aus regulierten Branchen. Durch das schnelle Wachstum der Belegschaft um 28 % innerhalb von 18 Monaten hatten sich Rollen, Zuständigkeiten und Sicherheitsroutinen unterschiedlich entwickelt.
Im IT-Sicherheitsreport des Vorjahres wurden 17 potenziell riskante Vorfälle erfasst, darunter drei Phishing-Fälle mit Credentials-Abfluss, mehrere Fehlversendungen sensibler Anhänge und ein Freigabeprozess für SaaS-Administrationsrechte, der nicht einheitlich dokumentiert war. Gleichzeitig zeigte eine interne Befragung, dass nur 41 % der Mitarbeitenden die Meldewege für verdächtige E-Mails korrekt kannten. Für das Management wurde klar: Klassische Einmal-Schulungen reichten nicht aus. Gesucht wurde ein Ansatz im Sinne von Security Awareness und Awareness Training, der nicht nur Wissen vermittelt, sondern Verhalten nachhaltig verändert.
Herausforderung
Die zentrale Herausforderung bestand darin, Security Awareness aus dem Status eines Pflichtmoduls herauszulösen und als steuerbaren Bestandteil des Human Risk Management zu etablieren. Das Unternehmen hatte bereits E-Learnings und jährliche Pflichtunterweisungen im Einsatz, doch die Abschlussquoten sagten wenig über das tatsächliche Risikoverhalten aus. Phishing-Tests wurden nur punktuell durchgeführt, die Ergebnisse nicht einheitlich ausgewertet.
Besonders problematisch war die Heterogenität der Belegschaft: Entwickler, Customer-Success-Teams, Sales, HR und Finance hatten unterschiedliche Risikoprofile. Hinzu kamen viele Neueinstellungen und externe Mitarbeitende, die innerhalb kurzer Zeit auf interne Systeme zugreifen mussten. Dadurch stieg das Risiko für Fehlverhalten im Alltag, etwa bei Passwortweitergabe, Dateifreigaben oder der Nutzung unsicherer Kommunikationswege. Für IT-Sicherheit, HR und Compliance bedeutete das: Ein gemeinsames Programm musste technische, organisatorische und menschliche Faktoren zusammenführen, ohne die Produktivität zu beeinträchtigen.
Lösungsansatz
Entschieden wurde sich für ein mehrstufiges Awareness-Programm mit klarer Governance, rollenbasierten Lernpfaden und laufender Erfolgsmessung. Ziel war nicht, einzelne Mitarbeitende zu kontrollieren, sondern Risikoverhalten messbar zu senken und Verantwortlichkeiten im Unternehmen zu verankern. Die Einführung erfolgte in vier Schritten.
Zunächst wurden gemeinsam mit IT-Security, HR, Compliance und dem Management die relevanten Risikoszenarien priorisiert: Phishing, Credential-Diebstahl, Datenweitergabe, unsichere SaaS-Nutzung und Social Engineering. Auf dieser Basis wurden Zielgruppen definiert: allgemeine Belegschaft, Führungskräfte, privilegierte Nutzer und besonders exponierte Rollen wie Finance und Support. Für jede Gruppe entstanden kurze Lernmodule mit praxisnahen Beispielen aus dem Arbeitsalltag.
Im zweiten Schritt wurden monatliche Micro-Learnings eingeführt, ergänzt durch simulierte Phishing-Kampagnen mit steigender Schwierigkeit. Wichtig war eine saubere Kommunikation: Die Maßnahmen wurden als Schutz- und Lernsystem positioniert, nicht als Sanktion. Parallel erhielt das HR-Team standardisierte Inhalte für Onboarding und Offboarding, damit Awareness früh in den Mitarbeiterlebenszyklus eingebettet wurde.
Drittens wurden Kennzahlen definiert: Meldequote verdächtiger E-Mails, Klickrate in Simulationen, Abschlussquote, Wiederholungsquote bei kritischen Modulen und Zeit bis zur Meldung. Diese Daten flossen monatlich in ein gemeinsames Reporting für CISO, HR und Compliance ein. Damit wurde aus einem Trainingsprojekt ein Steuerungsinstrument für Awareness Training mit messbarer Risikoreduktion.
Ergebnisse
Nach sechs Monaten zeigten sich deutliche Verbesserungen. Die Klickrate in Phishing-Simulationen sank von 24 % auf 8 %. Gleichzeitig stieg die Meldequote verdächtiger E-Mails von 37 % auf 79 %. Besonders wirksam war die Kombination aus kurzen Modulen und wiederkehrenden Simulationen: Die Abschlussquote der monatlichen Lerninhalte lag stabil bei 96 %, während die Wiederholungsfehler bei kritischen Themen um 52 % zurückgingen.
Auch im operativen Alltag waren die Effekte messbar. Die Anzahl der sicherheitsrelevanten Incidents mit menschlicher Ursache reduzierte sich im Vergleich zum Vorhalbjahr von 17 auf 7 Fälle. Davon entfielen nur noch zwei auf Fehlversendungen sensibler Daten. Das Security-Team schätzte, dass durch weniger manuelle Nachverfolgung und geringeren Incident-Aufwand rund 120 Arbeitsstunden pro Quartal eingespart wurden. Auf dieser Basis ergab sich ein konservativ kalkulierter ROI innerhalb von neun Monaten, vor allem durch reduzierte Reaktionskosten und weniger produktivitätskritische Unterbrechungen.
Für das Management war entscheidend, dass die Sicherheitslage nicht nur subjektiv besser wirkte, sondern über Kennzahlen nachvollziehbar wurde. Das Programm wurde daher nach dem Pilot auf weitere Teams und internationale Standorte ausgerollt.
Lessons Learned
Erstens: Awareness muss rollenbasiert sein. Ein einheitliches Schulungsformat für alle Mitarbeitenden erzeugt zwar Reichweite, aber keine präzise Risikoreduktion. Unterschiedliche Funktionen benötigen unterschiedliche Szenarien.
Zweitens: Reine Abschlussquoten sind kein belastbarer Erfolgsindikator. Erst die Kombination aus Simulationen, Meldeverhalten und Incident-Daten zeigt, ob Verhalten tatsächlich besser wird.
Drittens: HR ist ein zentraler Hebel. Wenn Awareness in Onboarding, interne Kommunikation und Führungskräfteprozesse integriert wird, steigt die Relevanz im Alltag deutlich.
Viertens: Transparente Kommunikation ist entscheidend. Mitarbeitende akzeptieren Trainings und Tests eher, wenn der Zweck klar erklärt und die Ergebnisse nicht als Bestrafung, sondern als Lerngrundlage genutzt werden.
Zusammenfassung
Das SaaS-Unternehmen reduzierte mit einem strukturierten Human-Risk-Ansatz die Klickrate in Phishing-Simulationen von 24 % auf 8 % und steigerte die Meldequote auf 79 %. Entscheidend waren rollenbasierte Lernpfade, regelmäßige Simulationen und ein gemeinsames Reporting für IT-Sicherheit, HR und Compliance. Aus einer Pflichtschulung wurde ein messbares Steuerungsinstrument für das Risikomanagement.
Weitere Case Studies
Weiterführende Inhalte:
