Ausgangssituation
Die Nordmarkt Handelsgruppe ist ein mittelständischer Handelsverbund mit 14 Standorten in Deutschland, rund 1.900 Mitarbeitenden und einem zentralen IT-Betrieb. In den Monaten vor dem Projekt kam es zu mehreren gezielten Phishing-Versuchen gegen Buchhaltung, Einkauf und Filialleitungen. Zwei Angriffe führten tatsächlich zur Preisgabe von Zugangsdaten; in einem Fall wurde ein E-Mail-Konto kompromittiert und für interne Weiterleitungen missbraucht. Die Security-Abteilung registrierte außerdem eine steigende Zahl gemeldeter verdächtiger Mails, aber auch viele nicht gemeldete Vorfälle im Tagesgeschäft.
Die Ausgangslage war typisch für den Handel: hoher Personalwechsel in Filialen, viele Teilzeitkräfte, heterogene digitale Vorkenntnisse und ein hoher Zeitdruck im operativen Geschäft. Gleichzeitig nutzte das Unternehmen Microsoft 365, mehrere SaaS-Anwendungen und ein zentrales ERP-System. Die Geschäftsführung verlangte nach einer Maßnahme, die kurzfristig wirksam ist, ohne den Betrieb zu stören. Ziel war nicht nur, das Risiko weiterer Angriffe zu senken, sondern auch ein belastbares Sicherheitsbewusstsein in der Fläche aufzubauen. Grundlage dafür wurde eine Phishing-Simulation mit anschließender gezielter Schulung.
Herausforderung
Das Problem war nicht nur die technische Anfälligkeit, sondern vor allem das fehlende Verhaltensmodell im Umgang mit verdächtigen E-Mails. Viele Mitarbeitende konnten Phishing-Merkmale zwar grob benennen, setzten dieses Wissen aber unter Arbeitsdruck nicht konsequent um. Besonders kritisch waren Freigabeprozesse im Rechnungswesen, Lieferantenkommunikation und Kontodatenänderungen im Einkauf.
Hinzu kam, dass die bisherigen Awareness-Maßnahmen nur punktuell stattfanden und nicht auf unterschiedliche Rollen zugeschnitten waren. Filialteams erhielten dieselben Inhalte wie Verwaltungsmitarbeitende, obwohl die Angriffsmuster deutlich abwichen. Das Ergebnis war eine Lücke zwischen Wissen und Verhalten. Für das Management bedeutete das ein operatives Risiko: mögliche Kontenübernahmen, Zahlungsbetrug, Datenschutzvorfälle und Reputationsschäden. Zudem fehlten messbare Kennzahlen, um den Reifegrad der Organisation nachzuweisen.
Lösungsansatz
Entschieden wurde sich für ein mehrstufiges Awareness-Programm mit realistischen Phishing-Simulationen, rollenbezogenen Schulungsmodulen und einem klaren Messkonzept. Der Ansatz wurde bewusst nicht als einmalige Kampagne angelegt, sondern als kontinuierlicher Lernprozess über sechs Monate.
Zunächst wurden die kritischen Zielgruppen identifiziert: Buchhaltung, Einkauf, HR, Filialleitungen und der Kundenservice. Für jede Gruppe wurden eigene Szenarien entwickelt, etwa gefälschte Lieferantenrechnungen, angebliche Passwort-Resets, falsche Microsoft-365-Benachrichtigungen oder vermeintliche interne Eskalationen. Die Inhalte orientierten sich an den tatsächlich beobachteten Angriffen. Parallel definierte das Projektteam Kennzahlen wie Öffnungsrate, Klickrate, Melderate und Zeit bis zur Meldung.
Die technische Umsetzung erfolgte über eine zentrale Plattform für Awareness Training & Mitarbeiterschulung, die automatisierte Kampagnen, Rollenzuweisung und Auswertung ermöglichte. Nach jeder Phishing-Simulation erhielten Betroffene unmittelbares, kurzes Feedback mit konkreten Hinweisen: Woran war der Betrugsversuch erkennbar? Welche Information hätte geprüft werden müssen? Wohin kann ein Vorfall gemeldet werden? Ergänzend wurden für Risikogruppen 20-minütige Microtrainings eingeführt.
Wichtig war die Einbindung von HR und Führungskräften. Neue Mitarbeitende erhielten das Training im Onboarding, Filialleitungen wurden gebeten, die Teilnahme aktiv zu begleiten. Nach dem ersten Zyklus wurden die schwierigsten Inhalte nachgeschärft und die Tonalität angepasst, um keine Überforderung zu erzeugen. So entstand eine praxisnahe Sicherheitsroutine, die in den Arbeitsalltag integrierbar war.
Ergebnisse
Bereits nach der ersten Kampagne sank die Klickrate auf simulierte Phishing-Mails von 28 % auf 14 %. Nach sechs Monaten lag sie bei 6 %. Gleichzeitig stieg die Melderate verdächtiger E-Mails von 22 % auf 67 %. Besonders deutlich war die Verbesserung in den operativen Bereichen: In Buchhaltung und Einkauf halbierte sich die Reaktionszeit bis zur Meldung von durchschnittlich 18 Minuten auf 9 Minuten.
Auch organisatorisch zeigte das Programm Wirkung. In den sechs Monaten nach Einführung wurden keine weiteren Konten kompromittiert. Im Vergleich zum Vorjahr reduzierte sich die Zahl sicherheitsrelevanter Vorfälle mit E-Mail-Bezug von sieben auf zwei, wobei beide Ereignisse früh erkannt und ohne Schaden eingedämmt wurden. Die interne Sicherheitsabteilung sparte dadurch nach eigener Schätzung rund 80 Arbeitsstunden für Incident-Analyse und Nacharbeit ein.
Der ROI war nicht vollständig monetarisiert, aber das Unternehmen bezifferte die vermiedenen Kosten eines einzigen erfolgreichen Angriffs konservativ mit 25.000 bis 40.000 Euro. Vor diesem Hintergrund war das Awareness-Programm innerhalb weniger Monate wirtschaftlich plausibel, zumal die Umsetzung ohne relevante Betriebsunterbrechungen erfolgte.
Lessons Learned
- Phishing-Simulationen wirken nur dann nachhaltig, wenn sie auf reale Rollen und Angriffsmuster zugeschnitten sind. Standardinhalte ohne Kontext erzeugen kurzfristige Aufmerksamkeit, aber kein stabiles Verhalten.
- Messung ist entscheidend. Erst Klickrate, Melderate und Zeit bis zur Meldung machen Fortschritt sichtbar und erlauben eine gezielte Nachsteuerung.
- Führungskräfte und HR müssen eingebunden sein. Ohne organisatorische Verankerung bleibt Awareness ein IT-Thema und erreicht die operativen Bereiche zu spät.
- Kurze, wiederholte Lernimpulse sind wirksamer als lange Pflichtschulungen. Mikroformate passen besser zu Schichtbetrieb und Handelsalltag.
- Der größte Nutzen entsteht dort, wo Awareness mit Meldeprozessen verbunden wird. Nur wenn Mitarbeitende wissen, wie sie reagieren sollen, wird aus Wissen tatsächliche Resilienz.
Zusammenfassung
Die Nordmarkt Handelsgruppe reduzierte nach mehreren Phishing-Vorfällen ihr Risiko durch ein rollenbasiertes Awareness-Programm mit realistischen Simulationen deutlich. Entscheidend waren die enge Verzahnung von Phishing-Simulation, Feedback und kurzen Schulungseinheiten sowie die Einbindung von HR und Führungskräften. Innerhalb von sechs Monaten sanken die Klickraten spürbar, während die Melderate und Reaktionsgeschwindigkeit stiegen.
Weitere Case Studies
Weiterführende Inhalte:
