Ausgangssituation
Ein mittelständischer Maschinenbauer mit 1.250 Mitarbeitenden und Standorten in Deutschland, Polen und Tschechien hatte in den letzten 18 Monaten mehrere sicherheitsrelevante Vorfälle im E-Mail-Umfeld. Zwei davon betrafen kompromittierte Benutzerkonten nach Social-Engineering-Versuchen, einer führte zu einer unautorisierten Weiterleitung sensibler Angebotsdaten. Die IT-Abteilung bestand aus 14 Personen, davon drei im Security-Team. Es gab ein zentrales Microsoft-365-Setup, ein klassisches Ticket-System und eine jährliche Pflichtschulung für alle Beschäftigten. Die Teilnahmequote lag bei 96 Prozent, die Wirksamkeit der Schulung ließ sich jedoch nicht belegen.
Parallel stieg der Druck aus dem Management. Der CISO musste im Quartalsbericht zeigen, wie das Unternehmen das Risiko durch Phishing und Account-Takeover reduziert. Dafür fehlten belastbare Kennzahlen. Auch im HR-Bereich wuchs das Interesse, Awareness nicht nur als Pflichttermin, sondern als messbaren Bestandteil der Sicherheitskultur zu behandeln. In mehreren internen Gesprächen wurde deutlich: Es gab keine einheitliche Sicht auf das tatsächliche Verhalten der Mitarbeitenden unter realistischen Bedingungen. Besonders kritisch war, dass IT-nahe Rollen und Führungskräfte regelmäßig Ziel von Spear-Phishing wurden, ohne dass ein systematisches Training dagegen lief. In diesem Kontext wurde eine Phishing-Simulation & Phishing Test als pragmatischer Ansatz priorisiert.
Herausforderung
Das Kernproblem war nicht fehlendes Wissen, sondern fehlende Verhaltensmessung. Die Organisation konnte nicht sagen, wie viele Mitarbeitende verdächtige Nachrichten erkennen, melden oder anklicken würden. Die bestehenden Schulungen erzeugten zwar eine formale Compliance-Quote, aber keine belastbare Risikoreduktion. Gleichzeitig war das IT-Team selbst häufig Ziel von Angriffen, etwa durch gefälschte MFA-Anfragen, Lieferanten-Imitationen oder angebliche Freigabeanfragen von Führungskräften.
Für das Unternehmen hatte das direkte Folgen: höhere Reaktionszeiten im Security-Desk, unnötige Eskalationen an den Helpdesk und eine Zunahme von Rückfragen bei der Bearbeitung externer E-Mails. Zudem fehlte dem Management eine verständliche Grundlage, um Investitionen in Awareness, technische Kontrollen und Prozessanpassungen zu priorisieren. Der Bedarf war daher doppelt: messbare Ergebnisse für Cyber-Risiko, Reporting & Management Buy-in und ein Verfahren, das nicht nur allgemeine Belegschaft, sondern gezielt das IT-Team und angrenzende Rollen adressiert.
Lösungsansatz
Entschieden wurde sich für ein mehrstufiges Programm mit Phishing-Simulation als Kernbaustein. Ziel war nicht das bloße Testen von Fehlverhalten, sondern die systematische Messung von Reaktion, Meldedisziplin und Lernfortschritt. Die Einführung erfolgte in vier Schritten.
Zunächst wurde gemeinsam mit IT, HR und Datenschutz ein Rahmen definiert: Welche Nutzergruppen getestet werden, wie häufig Kampagnen laufen, welche Daten erhoben werden und wie mit Ergebnissen umgegangen wird. Wichtig war eine transparente Kommunikation an Betriebsrat und Führungskräfte. Die Simulation wurde als Lern- und Messinstrument beschrieben, nicht als Kontrollmaßnahme. Für sensible Zielgruppen, insbesondere IT, Einkauf und Assistenz der Geschäftsführung, wurden gesonderte Szenarien geplant.
Im zweiten Schritt wurden realitätsnahe Kampagnen erstellt: eine gefälschte MFA-Bestätigung, eine angebliche Passwortablaufwarnung, eine SharePoint-Freigabeanfrage und eine gefälschte Einladung zu einem internen Security-Update. Die Inhalte orientierten sich an typischen Angriffsvektoren des Unternehmensumfelds. Die Zustellung erfolgte gestaffelt über sechs Wochen, um keine künstliche Aufmerksamkeit zu erzeugen.
Drittens wurde ein Meldekanal im Mail-Client und im Intranet eingerichtet. Mitarbeitende konnten verdächtige Mails mit einem Klick an das Security-Team weiterleiten. Zusätzlich erhielten alle Teilnehmenden unmittelbar nach einem Klick oder einer Meldung ein kurzes, kontextbezogenes Feedback mit Erklärung des Merkmals, an dem die Nachricht erkennbar gewesen wäre. Das Team ergänzte dies durch kurze Mikro-Lerneinheiten von drei bis fünf Minuten.
Viertens wurden die Ergebnisse in ein monatliches Reporting überführt. Die IT-Security zeigte dem Management nicht nur Klickraten, sondern auch Meldequoten, Zeit bis zur Meldung, Wiederholungsraten und die Entwicklung der Risikogruppen. So entstand ein belastbares Bild, das operative Security mit Awareness verband.
Ergebnisse
Nach drei Kampagnen über einen Zeitraum von vier Monaten zeigte sich eine deutliche Verbesserung. Die anfängliche Klickratenquote lag bei 21 Prozent, im IT-Team sogar bei 17 Prozent, weil dort zwar technisches Wissen vorhanden war, aber Routine und Zeitdruck zu Fehlentscheidungen führten. Nach den Feedback-Schleifen sank die durchschnittliche Klickratenquote im gesamten Unternehmen auf 8 Prozent; im IT-Team lag sie zuletzt bei 5 Prozent.
Besonders relevant war die Meldequote. Vor Einführung der Maßnahme wurden nur 14 Prozent der verdächtigen Mails aktiv gemeldet. Nach vier Monaten stieg dieser Wert auf 47 Prozent. Die durchschnittliche Zeit bis zur Meldung sank von 18 Stunden auf 52 Minuten. Damit konnte das Security-Team verdächtige Nachrichten deutlich früher blockieren und auf betroffene Postfächer reagieren.
Auch organisatorisch gab es messbare Effekte: Der Helpdesk verzeichnete 31 Prozent weniger Rückfragen zu vermeintlichen Passwort- oder Freigabeaufforderungen. Im Reporting konnte der CISO erstmals konkrete Kennzahlen für das Risiko durch Social Engineering vorlegen. Auf Basis der vermiedenen Incident-Bearbeitungen und des geringeren Helpdesk-Aufwands ergab sich ein konservativ gerechneter ROI innerhalb von sechs Monaten. Die Maßnahmenkosten lagen deutlich unter den potenziellen Kosten eines einzelnen erfolgreichen Account-Takeovers.
Lessons Learned
Eine Phishing-Simulation wirkt nur dann nachhaltig, wenn sie mit sofortigem Feedback verbunden ist. Reine Tests ohne Rückmeldung verändern Verhalten kaum.
IT-Teams sind nicht automatisch geschützt, nur weil sie technisch versiert sind. Gerade sie profitieren von realistischen Szenarien mit hohem Zeitdruck und passenden Tarnmechanismen.
Metriken müssen über Klickraten hinausgehen. Meldedisziplin, Reaktionszeit und Wiederholungsquote sind oft aussagekräftiger als ein einzelner Prozentwert.
Transparenz gegenüber HR, Datenschutz und Führung reduziert Widerstände. Wer den Zweck klar als Lern- und Messinstrument formuliert, erhält schneller Akzeptanz.
Die Verknüpfung mit Management-Reporting erhöht die Relevanz. Erst wenn Ergebnisse in Risiko- und Entscheidungsberichte einfließen, wird Awareness als Steuerungsthema behandelt.
Zusammenfassung
Die Fallstudie zeigt, dass eine strukturierte Phishing-Simulation das Cyber-Risiko messbar senken kann, wenn sie realistische Szenarien, sofortiges Feedback und klare Metriken kombiniert. Besonders im IT-Team zeigte sich eine deutliche Verbesserung bei Klick- und Meldeverhalten. Entscheidend war nicht die einzelne Kampagne, sondern die Einbettung in ein kontinuierliches Awareness- und Reporting-Programm.
Weitere Case Studies
Weiterführende Inhalte:
