Ausgangssituation
Ein international tätiger Maschinenbauhersteller mit 2.400 Mitarbeitenden und Standorten in Deutschland, Österreich und Tschechien stand vor einer typischen, aber kritischen Ausgangslage: Die formale Compliance war vorhanden, die operative Umsetzung jedoch uneinheitlich. Das Unternehmen unterlag mehreren regulatorischen Anforderungen, darunter DSGVO, interne Richtlinien zur Informationssicherheit und kundenseitige Auditvorgaben aus der Automobil- und Industrieversorgung. Besonders betroffen waren IT, Einkauf, Vertrieb und HR, also Teams mit regelmäßigem Zugriff auf personenbezogene Daten, Vertragsinformationen und interne Systeme.
Bis zum Projektstart gab es jährliche Pflichtschulungen, die als PDF-Module und einmalige Präsenztermine organisiert waren. Die Teilnahmequote lag zwar bei 96 %, doch in den Folgeaudits zeigten sich wiederkehrende Lücken: unsichere Passwortweitergabe, fehlendes Meldeverhalten bei Phishing-Vorfällen und unklare Zuständigkeiten bei Datenschutzanfragen. In einer internen Stichprobe von 180 Mitarbeitenden konnten nur 41 % korrekt benennen, wie verdächtige E-Mails zu melden sind. Gleichzeitig stiegen die gemeldeten Security-Vorfälle um 28 % innerhalb von zwölf Monaten, ohne dass sich daraus ein konsistentes Lernverhalten ableiten ließ.
Die Geschäftsführung forderte deshalb eine Lösung, die nicht nur Wissen vermittelt, sondern Compliance, Governance und IT-Sicherheitskultur im Arbeitsalltag messbar verbessert.
Herausforderung
Das Kernproblem lag nicht in fehlenden Regeln, sondern in der geringen Wirksamkeit der bisherigen Schulungen. Mitarbeitende kannten die Inhalte oberflächlich, setzten sie im Arbeitsalltag aber nicht zuverlässig um. Das betraf vor allem verteilte Teams mit hoher E-Mail- und Dokumentenlast sowie Führungskräfte, die Schulungen häufig erst kurz vor Fristende abschlossen. Für HR und Compliance entstand dadurch ein erheblicher administrativer Aufwand, während IT und Security kaum verwertbare Daten über Risikoverhalten erhielten.
Hinzu kam, dass mehrere Audit-Anforderungen parallel erfüllt werden mussten. Die vorhandenen Trainings ließen sich weder nach Zielgruppen differenzieren noch in Onboarding- und Wiederholungskampagnen integrieren. Dadurch blieb die Schulung ein Einzeltermin statt eines kontinuierlichen Prozesses. Besonders problematisch war, dass die Organisation zwar Wissen nachweisen konnte, aber keine belastbare Verbesserung der Security Awareness sichtbar wurde. Für ein Unternehmen mit hohem Kundendruck und engen Lieferketten war das ein reales Risiko für Reputationsschäden, Incident-Kosten und Audit-Findings.
Lösungsansatz
Entschieden wurde sich für ein mehrstufiges Programm, das Compliance-Schulung mit Security Awareness systematisch verknüpft. Ziel war nicht eine zusätzliche Pflichtunterweisung, sondern ein konsistentes Lernmodell für unterschiedliche Rollen und Risikoprofile. Grundlage bildete eine zentrale Lernplattform mit automatisierter Zuweisung nach Abteilung, Standort und Funktion. Ergänzend wurden kurze, wiederkehrende Lerneinheiten eingeführt, die jeweils auf konkrete Situationen aus dem Arbeitsalltag zugeschnitten waren: Phishing, Passwortschutz, Datenweitergabe, Remote Work, Umgang mit externen Dienstleistern und Meldewege bei Sicherheitsvorfällen. Die inhaltliche Verzahnung folgt dem Ansatz, den auch der Beitrag zur Compliance Schulung und Security Awareness verzahnen beschreibt: Regeln werden erst dann wirksam, wenn sie in Verhaltenssituationen übersetzt werden.
Die Umsetzung erfolgte in vier Schritten. Zunächst wurden die Pflichtinhalte in eine rollenbasierte Matrix überführt. Danach definierte das Security-Team gemeinsam mit HR und Compliance vier Zielgruppen: allgemeine Belegschaft, exponierte Fachbereiche, Führungskräfte und privilegierte IT-Nutzer. Für jede Gruppe wurden Lernpfade mit eigener Frequenz und Relevanz erstellt. Anschließend wurden simulierte Phishing-Kampagnen eingeführt, um Lernfortschritte messbar zu machen. Parallel richtete man ein Reporting für Audit- und Managementzwecke ein, das Abschlussquoten, Fehleranfälligkeit und Meldeverhalten auswertete.
Wesentlich war die operative Einbindung von HR und Führungskräften. Schulungen wurden in Onboarding-Prozesse, jährliche Rezertifizierungen und interne Kommunikationskampagnen integriert. Damit entstand ein wiederholbarer Prozess, der nicht von Einzelterminen abhing, sondern Teil des regulären Betriebs wurde. Das Programm orientierte sich damit an Best Practices aus Awareness Training und Security Schulung, insbesondere an kontinuierlicher Wiederholung, zielgruppenspezifischem Inhalt und messbarer Verhaltensänderung.
Ergebnisse
Nach sechs Monaten hatte das Unternehmen die Teilnahmequote stabil bei 98 % und die fristgerechte Abschlussquote der Pflichtmodule von 72 % auf 97 % erhöht. In einer erneuten Stichprobe konnten 84 % der Mitarbeitenden den korrekten Meldeweg für verdächtige E-Mails benennen, gegenüber 41 % vor Projektstart. Die Klickrate in simulierten Phishing-Kampagnen sank innerhalb von vier Quartalen von 18,4 % auf 4,9 %. Gleichzeitig stieg die Meldequote verdächtiger Nachrichten von 22 auf 67 pro Monat.
Auch im Audit-Kontext zeigten sich deutliche Verbesserungen. Die Zahl der offenen Findings aus internen Prüfungen zur Schulungsdokumentation sank von 11 auf 2. Für HR reduzierte sich der manuelle Aufwand für Nachverfolgung und Eskalation um rund 60 Stunden pro Quartal. Das Management bewertete das Programm als wirtschaftlich sinnvoll: Durch weniger Nacharbeit, geringere Audit-Risiken und reduzierte Incident-Bearbeitung wurde ein konservativ geschätzter ROI von 2,8:1 innerhalb von zwölf Monaten erreicht.
Lessons Learned
- Pflichtschulungen wirken nur dann nachhaltig, wenn sie in den Arbeitsalltag eingebettet sind und regelmäßig wiederholt werden.
- Zielgruppenspezifische Inhalte erhöhen die Relevanz deutlich, insbesondere bei IT, HR, Führungskräften und privilegierten Nutzern.
- Security Awareness muss messbar sein: Abschlussquoten allein reichen nicht aus, entscheidend sind Verhalten und Meldekompetenz.
- Die enge Zusammenarbeit von HR, Compliance und IT ist Voraussetzung für belastbare Prozesse und saubere Audit-Nachweise.
- Simulierte Phishing-Kampagnen sind kein Selbstzweck, sondern ein wirksames Instrument, um Lernfortschritt und Risikoverhalten zu überprüfen.
Zusammenfassung
Das Unternehmen ersetzte einmalige Pflichtschulungen durch ein kontinuierliches, rollenbasiertes Programm für Compliance und Security Awareness. Dadurch verbesserten sich Abschlussquoten, Meldeverhalten und Audit-Fähigkeit innerhalb weniger Monate deutlich. Entscheidend war die Verbindung aus zielgruppenspezifischem Lernen, messbaren Tests und der operativen Verankerung in HR- und Sicherheitsprozessen.
Weitere Case Studies
Weiterführende Inhalte:
