Ausgangssituation
Die Medivance Kliniken GmbH ist ein mittelständischer Träger mit 18 Standorten in Deutschland, rund 2.400 Beschäftigten und einem hohen Anteil an Verwaltungs-, Pflege- und IT-nahen Rollen. Durch die Kombination aus Patientenversorgung, sensiblen Gesundheitsdaten und dezentralen Prozessen war das Unternehmen ein attraktives Ziel für Social-Engineering-Angriffe. Besonders kritisch waren E-Mail-basierte Betrugsversuche, gefälschte Rechnungen, Anrufe mit vorgetäuschten Support-Anliegen und Phishing-Kampagnen gegen die Personalabteilung sowie das Finanzteam.
Auslöser für das Projekt waren mehrere Vorfälle innerhalb von sechs Monaten: Zwei Mitarbeitende gaben Zugangsdaten auf einer täuschend echten Login-Seite ein, ein externer Dienstleister wurde nach Rückruf manipuliert beauftragt, und ein Versuch, per Social Engineering Zugriff auf Patientendaten zu erhalten, wurde nur zufällig erkannt. Zwar entstand kein nachweisbarer Datenabfluss, jedoch mussten interne Untersuchungen, Passwort-Resets und externe Prüfungen durchgeführt werden. Gleichzeitig zeigten die Ergebnisse eines Baseline-Tests, dass 31 % der Belegschaft auf eine simulierte Phishing-Mail klickten und 12 % ihre Daten eingaben. Die Geschäftsführung entschied daher, Security Awareness als verbindliches Programm einzuführen, mit Fokus auf hochriskante Rollen und messbare Verhaltensänderung.
Herausforderung
Das Kernproblem war nicht ein einzelnes technisches Sicherheitsdefizit, sondern eine geringe Widerstandsfähigkeit gegen gezielte Manipulation. In einem Umfeld mit hoher Arbeitsbelastung, Schichtbetrieb und vielen externen Kontakten wurden verdächtige Nachrichten und Anrufe häufig als Routine kommuniziert. Zudem existierten unterschiedliche Sicherheitsniveaus zwischen Verwaltung, Pflege, Einkauf und IT. Genau diese Heterogenität machte standardisierte Belehrungen wirkungslos.
Für das Unternehmen bedeutete das ein erhöhtes Risiko für Kontoübernahmen, Zahlungsbetrug und unberechtigte Zugriffe auf Gesundheits- und Personaldaten. Hinzu kamen Compliance-Anforderungen aus Datenschutz, internen Audit-Vorgaben und branchenspezifischen Kontrollpflichten. Die bisherigen jährlichen Pflichtunterweisungen waren zu allgemein gehalten und enthielten zu wenig Praxisbezug. Es fehlte ein systematischer Ansatz, der Verhaltensmuster adressiert, Angriffe realistisch simuliert und Führungskräfte in die Verantwortung nimmt. Besonders problematisch war, dass Warnsignale von Social Engineering zwar in den Richtlinien beschrieben waren, im Alltag aber nicht sicher erkannt wurden. Hier setzte das Projekt an, gestützt auf Inhalte aus Social Engineering erkennen: Taktiken und Warnsignale.
Lösungsansatz
Medivance entschied sich für ein mehrstufiges Awareness-Programm mit technischen, organisatorischen und didaktischen Komponenten. Ziel war nicht nur Wissensvermittlung, sondern eine messbare Reduktion riskanter Handlungen. Grundlage bildete ein Konzept nach dem Prinzip von Security Awareness Grundlagen, angepasst auf den Gesundheitssektor und unterschiedliche Zielgruppen.
Zunächst wurde eine Risikoanalyse durchgeführt. Dabei wurden besonders anfällige Prozesse identifiziert: Rechnungsfreigaben, Onboarding und Offboarding, Support-Kontakte, Zugriff auf Patientendaten sowie Kommunikation mit externen Dienstleistern. Anschließend wurden vier Schulungsprofile definiert: allgemeine Mitarbeitende, Führungskräfte, HR/Finance und IT/Security. Jedes Profil erhielt rollenbezogene Inhalte, kurze Lerneinheiten und konkrete Handlungsanweisungen für verdächtige E-Mails, Telefonate und Messenger-Nachrichten.
Im zweiten Schritt wurden realistische Phishing-Simulationen eingeführt. Die Szenarien orientierten sich an aktuellen Betrugsformen im Gesundheitswesen, etwa angebliche Passwortabläufe, gefälschte Lieferantenanfragen und Support-Calls mit Rückrufbitte. Nach jedem Vorfall erhielten Betroffene direktes Feedback mit Erklärung der erkannten Merkmale und kurzer Nachschulung. Ergänzend wurden Meldewege vereinfacht: Ein zentraler „Report Phishing“-Button, eine definierte Hotline für Verdachtsfälle und ein klarer Eskalationsprozess für HR und Finance reduzierten Reaktionszeiten.
Parallel schulte das Unternehmen Führungskräfte und Multiplikatoren, um das Thema in Teambesprechungen zu verankern. Die Einführung wurde von Compliance und HR begleitet, damit Teilnahme, Nachverfolgung und Dokumentation auditfähig waren. Für die operative Umsetzung nutzte Medivance eine Kombination aus E-Learning, quartalsweisen Simulationen und gezielten Mikrotrainings. Die Inhalte wurden vor Rollout mit einer Pilotgruppe getestet und sprachlich an Verwaltungs- und Pflegekontexte angepasst, um Akzeptanz und Verständlichkeit zu erhöhen.
Ergebnisse
Innerhalb von neun Monaten zeigten sich messbare Verbesserungen. Die Klickrate in simulierten Phishing-Kampagnen sank von 31 % auf 9 %. Die Quote der Dateneingaben auf gefälschten Login-Seiten reduzierte sich von 12 % auf 3 %. Gleichzeitig stieg die Melderate verdächtiger E-Mails von 18 % auf 57 %, was auf eine deutlich bessere Aufmerksamkeit im Alltag hinweist.
Besonders relevant war der Effekt in den Hochrisikobereichen. Im Finanz- und HR-Team halbierte sich die Zahl der kritischen Reaktionen bereits nach zwei Kampagnen. Bei Führungskräften verbesserte sich die Erkennung manipulativer Telefonanfragen, weil Rückruf- und Verifikationsregeln verbindlich kommuniziert wurden. Interne Prüfungen zeigten zudem, dass Sicherheitsvorfälle schneller eskaliert wurden: Die durchschnittliche Zeit bis zur Meldung sank von 4,5 Stunden auf 38 Minuten.
Aus betrieblicher Sicht rechnete sich das Programm ebenfalls. Die direkten Aufwände für Incident-Analyse, Passwort-Resets und externe Unterstützung gingen im Betrachtungszeitraum um rund 41 % zurück. Bei einem Projektbudget von 68.000 Euro und vermiedenen Folgekosten von konservativ geschätzt 112.000 Euro ergab sich innerhalb eines Jahres ein positiver ROI. Zusätzlich verbesserte sich die Audit-Position, da Nachweise zu Schulung, Teilnahme und Wirksamkeitskontrolle vollständig dokumentiert vorlagen.
Lessons Learned
Standardisierte Pflichtschulungen reichen bei Social Engineering nicht aus. Wirksam wird ein Programm erst dann, wenn Inhalte rollenbasiert, wiederholt und in reale Arbeitsabläufe eingebettet sind.
Technische Kontrollen müssen durch Verhaltensmaßnahmen ergänzt werden. Ein Filter stoppt nicht jeden Angriff, aber geschulte Mitarbeitende erkennen verdächtige Muster früher und melden sie schneller.
Führungskräfte sind ein kritischer Hebel. Wenn Rückrufregeln, Freigabeprozesse und Eskalationswege im Management verankert sind, sinkt das Risiko manipulativer Ausnahmen.
Messbarkeit ist entscheidend. Nur mit klaren KPIs wie Klickrate, Melderate und Reaktionszeit lässt sich der Effekt von Security Awareness belastbar bewerten und gegenüber Audit und Geschäftsführung belegen.
Branchenkontext erhöht die Relevanz. Im Gesundheitswesen müssen Trainings nicht nur Datenschutz adressieren, sondern auch Schichtbetrieb, Zeitdruck und die hohe Zahl externer Kontakte berücksichtigen.
Zusammenfassung
Medivance reduzierte mit einem strukturierten Awareness-Programm die Anfälligkeit für Social Engineering deutlich und verbesserte zugleich die Melde- und Reaktionsfähigkeit. Der größte Effekt entstand nicht durch einzelne Schulungen, sondern durch die Kombination aus Simulation, Rollendifferenzierung und klaren Prozessen. Für mittelständische und große Organisationen im Gesundheitswesen zeigt der Fall: Security Awareness ist dann wirksam, wenn sie messbar, zielgruppenspezifisch und operativ anschlussfähig ist.
Weitere Case Studies
Weiterführende Inhalte:
