Ausgangssituation
Die KSR Maschinenbau GmbH ist ein mittelständischer Hersteller von Präzisionskomponenten mit rund 1.250 Mitarbeitenden an drei Standorten in Deutschland und Tschechien. Der Anteil indirekter Produktion, vernetzter Maschinen und digitaler Fertigungssteuerung war in den letzten Jahren deutlich gestiegen. Parallel dazu nahm die Zahl sicherheitsrelevanter Vorfälle zu: Im Zeitraum von zwölf Monaten wurden 38 Meldungen zu Phishing, unsicheren USB-Medien und Fehlbedienungen in produktionsnahen IT-Systemen dokumentiert. Zwei Vorfälle führten zu jeweils mehrstündigen Unterbrechungen einzelner Fertigungslinien, ohne dass Daten abgeflossen sind.
Besonders kritisch war die Kombination aus hoher Schichttaktung, heterogenen Zielgruppen und einer historisch schwachen Verankerung von Human Risk Management. Sicherheitsmaßnahmen wurden primär technisch gedacht, nicht als Verhaltens- und Führungsthema. Produktionsmitarbeitende hatten teils keinen regelmäßigen Zugang zu Schulungen, Führungskräfte verfügten über keine einheitlichen Eskalationsregeln, und HR sowie Compliance arbeiteten nur punktuell mit der IT-Sicherheit zusammen. Für den CISO war klar: Die technische Schutzarchitektur war vorhanden, aber die Cyber Security Culture in der Produktion war nicht belastbar genug.
Herausforderung
Das Kernproblem lag nicht in fehlenden Policies, sondern in deren Wirksamkeit im Alltag. In der Produktion waren klare Regeln zwar dokumentiert, jedoch kaum in die operativen Abläufe integriert. Mitarbeitende arbeiteten unter Zeitdruck, häufig an wechselnden Stationen und mit unterschiedlichen Endgeräten. Dadurch entstanden typische Verhaltensrisiken: Weitergabe von Zugangsdaten, Umgehung von Sperrbildschirmen, Nutzung nicht freigegebener Datenträger und das Öffnen verdächtiger E-Mails auf Schichtarbeitsplätzen.
Die Auswirkungen waren messbar. Die Zahl der gemeldeten sicherheitsrelevanten Ereignisse stieg, gleichzeitig sank das Vertrauen in die eigene Handlungssicherheit. Führungskräfte meldeten Unsicherheit bei der Frage, wann ein Vorfall als Sicherheitsvorfall zu behandeln ist und wie im Verdachtsfall zu reagieren ist. Hinzu kam ein erhöhtes Audit-Risiko: Im Vorjahr hatten interne Prüfungen mehrfach bemängelt, dass Nachweise zu Schulungsteilnahmen, Zuständigkeiten und Awareness-Maßnahmen unvollständig waren. Für das Unternehmen wurde deutlich, dass ein reines Compliance-Modell nicht ausreichte. Erforderlich war ein Ansatz, der Verhalten, Verantwortung und Governance zusammenführt. Mehr dazu ist auch im Kontext von Cyber Security Culture und Compliance Schulung relevant.
Lösungsansatz
KSR entschied sich für ein dreistufiges Human-Risk-Management-Programm mit Fokus auf Produktion und angrenzende Supportbereiche. Ziel war nicht die Einführung zusätzlicher Einzeltrainings, sondern ein konsistentes Betriebsmodell für sicheres Verhalten im Alltag.
In Phase 1 wurden Risiken entlang der Produktionsprozesse erhoben. Dazu führte das Projektteam Workshops mit Schichtleitungen, IT, HR, Betriebsrat und Compliance durch und analysierte 24 reale Vorfälle aus den letzten 18 Monaten. Ergebnis war eine priorisierte Risikomatrix mit fünf Verhaltensmustern, die in der Produktion besonders relevant waren: Umgang mit E-Mails, Nutzung von USB-Medien, Freigabeprozesse an Maschinenarbeitsplätzen, Meldung verdächtiger Aktivitäten und Passwortverhalten.
In Phase 2 wurden die Maßnahmen zielgruppenspezifisch ausgerollt. Statt eines allgemeinen E-Learnings erhielten Mitarbeitende kurze, rollenbezogene Lerneinheiten in 8- bis 12-minütigen Modulen direkt vor Schichtbeginn. Führungskräfte wurden separat geschult, um Vorbildverhalten, Eskalation und Feedback zu standardisieren. Gleichzeitig wurden HR-Prozesse angepasst: Neue Mitarbeitende durchliefen ein verpflichtendes Security-Onboarding, jährliche Nachschulungen wurden in das bestehende Weiterbildungsmanagement integriert, und Compliance erhielt einen festen Platz im Freigabeprozess für kritische Richtlinien. Der Ansatz orientierte sich an den Prinzipien aus Cyber Security Culture: Führung und Governance, insbesondere an klaren Rollen, messbarer Verantwortung und Management-Reporting.
In Phase 3 wurden die Maßnahmen technisch und organisatorisch verstärkt: USB-Nutzung wurde restriktiver geregelt, Meldewege für Vorfälle wurden vereinfacht, und auf den Werksflächen wurden visuelle Reminder sowie klare Reaktionskarten an kritischen Stationen eingeführt. Zusätzlich erhielt jede Standortleitung monatliche Kennzahlen zu Schulungsquote, Phishing-Resonanz und Vorfallmeldungen. Das Programm lief zunächst sechs Monate als Pilot an einem Werk, danach folgte der Rollout auf alle Standorte.
Ergebnisse
Nach neun Monaten zeigte das Programm messbare Effekte. Die Teilnahmequote an den verpflichtenden Sicherheitsmodulen stieg von 54 % auf 96 %. Die durchschnittliche Quote erfolgreicher Phishing-Simulationen sank von 18,4 % auf 6,1 %. Gleichzeitig erhöhte sich die Zahl qualifizierter Meldungen von verdächtigen E-Mails und Vorfällen um 41 %, was auf eine bessere Erkennung und niedrigere Hemmschwelle bei der Meldung hinwies.
Im Produktionsumfeld gingen die sicherheitsbedingten Störungen deutlich zurück: Im Vergleich zum Vorjahreszeitraum reduzierte sich die Anzahl produktionsnaher Sicherheitsvorfälle von 11 auf 4. Besonders relevant war der Rückgang von Incidents mit Betriebsunterbrechung von 2 auf 0. Die Zeit bis zur Meldung eines Verdachtsfalls verkürzte sich im Median von 4,5 Stunden auf 55 Minuten. Auch im Audit verbesserte sich die Lage: Die Zahl offener Findings aus dem internen Kontrollbericht sank von 7 auf 1.
Finanziell ließ sich ein konservativer ROI ableiten. Durch vermiedene Stillstandszeiten, geringeren Supportaufwand und reduzierte Nacharbeit schätzte das Unternehmen den Nutzen des Programms auf rund 180.000 Euro pro Jahr. Die Gesamtkosten für Konzeption, Schulung, interne Kommunikation und operative Umsetzung lagen bei etwa 62.000 Euro im ersten Jahr. Damit ergab sich ein positiver Nettoeffekt innerhalb von unter fünf Monaten.
Lessons Learned
Human Risk Management muss in operative Prozesse eingebettet sein. Einzelne Awareness-Maßnahmen reichen in der Produktion nicht aus, wenn Verhalten nicht in Schichtabläufe und Führungsroutinen integriert wird.
Führungskräfte sind Multiplikatoren. Erst als Schichtleitungen klare Eskalationsregeln und messbare Verantwortlichkeiten erhielten, stieg die Wirksamkeit der Maßnahmen.
Rollenbezogene Inhalte sind wirksamer als Standardtrainings. Kurze, arbeitsplatznahe Module erzielten bessere Teilnahme- und Verständniswerte als allgemeine E-Learnings.
HR und Compliance müssen Teil des Sicherheitsmodells sein. Nur wenn Schulungen, Onboarding und Nachweisführung in bestehende Prozesse integriert sind, wird Cyber Security Culture nachhaltig.
Metriken schaffen Steuerbarkeit. Ohne belastbare KPIs zu Meldungen, Reaktionszeiten und Teilnahmequoten wäre der Fortschritt nicht messbar gewesen.
Zusammenfassung
KSR Maschinenbau hat gezeigt, dass Cyber Security Culture in der Produktion nur dann wirksam wird, wenn Human Risk Management organisatorisch, technisch und führungsseitig zusammen gedacht wird. Durch rollenbasierte Schulungen, klare Governance und vereinfachte Meldewege sanken Vorfälle und Reaktionszeiten deutlich. Gleichzeitig stieg die Auditfähigkeit des Unternehmens messbar an.
Weitere Case Studies
Weiterführende Inhalte:
