Ausgangssituation
Die NordWest Bank AG ist ein mittelständisches Finanzinstitut mit rund 1.250 Mitarbeitenden an sechs Standorten in Deutschland. Das Unternehmen betreibt ein Kernbankensystem, mehrere digitale Kundenportale sowie interne Fachanwendungen für Kreditgeschäft, Zahlungsverkehr und Compliance. Im regulierten Umfeld der Finanzbranche waren Informationssicherheit und Sensibilisierung der Mitarbeitenden zwar bereits etabliert, jedoch über mehrere Jahre gewachsen und methodisch uneinheitlich.
Bis 2024 beschränkten sich Awareness-Maßnahmen vor allem auf jährliche Pflichtschulungen, E-Mail-Hinweise und einzelne Präsenztermine. Gleichzeitig stieg die Zahl zielgerichteter Angriffe auf Mitarbeitende spürbar an. Besonders betroffen waren die Bereiche Kundenservice, Rechnungswesen und Assistenzfunktionen, da dort täglich viele externe E-Mails verarbeitet werden. Interne Auswertungen zeigten, dass bei simulierten Vorfällen nur 38 % der Beschäftigten verdächtige Nachrichten korrekt meldeten. Gleichzeitig lag die Klickrate auf verdächtigen Links in inoffiziellen internen Tests bei 19 %.
Vor diesem Hintergrund entschied sich das Institut für ein strukturiertes Awareness-Programm mit Schwerpunkt auf Awareness Training & Mitarbeiterschulung und einer messbaren Phishing-Simulation vs. Cybersecurity Awareness-Strategie. Ziel war nicht nur die Reduktion menschlicher Fehlhandlungen, sondern auch ein belastbarer Nachweis gegenüber Vorstand, Revision und Aufsicht, dass Sicherheitskultur systematisch verbessert wird.
Herausforderung
Das zentrale Problem war nicht fehlendes Wissen, sondern fehlende Routine im sicheren Handeln unter Alltagsdruck. Viele Mitarbeitende kannten grundlegende Warnsignale von Phishing-Mails, reagierten aber in stressigen Situationen zu spät oder meldeten verdächtige Inhalte nicht konsequent an die richtigen Stellen.
Für das Institut hatte das operative Folgen: Ein einzelner erfolgreicher Angriff hätte neben möglichen finanziellen Schäden auch Meldepflichten, Reputationsrisiken und zusätzliche Prüfaufwände ausgelöst. Besonders kritisch war, dass das Management bislang nur begrenzte Transparenz über Risikotreiber auf Mitarbeiterebene hatte. Es fehlten Kennzahlen zu Melderaten, Risikogruppen und Entwicklung über die Zeit. Ohne diese Daten war es schwer, gezielt zu steuern und Investitionen gegenüber dem Vorstand zu begründen. Genau hier setzte auch das Thema Cyber-Risiko, Reporting & Management Buy-in an.
Lösungsansatz
Die NordWest Bank entschied sich für ein mehrstufiges Programm, das Phishing-Simulationen, zielgruppenspezifische Lerninhalte und ein zentrales Reporting miteinander verband. Ausschlaggebend war die Anforderung, nicht nur einmalig zu sensibilisieren, sondern Verhalten messbar zu verändern. Die Lösung wurde so konzipiert, dass sie sich ohne hohe Betriebsunterbrechung in die bestehende Sicherheits- und HR-Landschaft integrieren ließ.
In der ersten Phase wurden gemeinsam mit IT-Sicherheit, HR, Betriebsrat und Compliance die Zielgruppen definiert: Gesamtbelegschaft, besonders gefährdete Fachbereiche sowie Führungskräfte. Anschließend wurden realistische Phishing-Szenarien aufgebaut, die typische Angriffsformen im Finanzumfeld abbildeten, etwa Rechnungsfälschungen, Passwort-Resets, Paketbenachrichtigungen und angebliche Freigabeanfragen. Die Inhalte waren abgestuft: Mitarbeitende mit hohem Risiko erhielten kürzere Simulationszyklen und direkte Micro-Learnings, während Führungskräfte zusätzliche Inhalte zu Entscheidungsverantwortung und Eskalationswegen bekamen.
Parallel wurde ein Meldeprozess etabliert, der das Reporting vereinfachte: Mit einem Klick konnten verdächtige E-Mails an ein zentrales Postfach weitergeleitet werden. Ergänzend wurden interne Kommunikationsbausteine entwickelt, um nicht nur auf Fehlverhalten zu reagieren, sondern positives Verhalten sichtbar zu machen. Wichtig war dabei die Trennung von Lern- und Sanktionslogik: Die Maßnahme wurde bewusst als Präventionsprogramm kommuniziert, nicht als Kontrollinstrument. Das erhöhte die Akzeptanz im Unternehmen deutlich.
Nach dem Piloten in zwei Fachbereichen wurde das Programm auf die gesamte Organisation ausgerollt. Die Kampagnen liefen über sechs Monate, kombiniert mit kurzen Lernmodulen und quartalsweisen Auswertungen. So entstand ein kontinuierlicher Kreislauf aus Testen, Lernen und Verbessern.
Ergebnisse
Bereits nach drei Monaten zeigten sich messbare Veränderungen. Die Klickrate auf simulierte Phishing-Mails sank von 19 % auf 7 %. Nach sechs Monaten lag sie bei 4,8 %. Gleichzeitig stieg die Melderate verdächtiger E-Mails von 38 % auf 71 %. Besonders deutlich war der Effekt in den zuvor auffälligen Bereichen Kundenservice und Rechnungswesen: Dort reduzierte sich die Klickrate um mehr als 75 % gegenüber dem Ausgangswert.
Auch auf Management-Ebene verbesserte sich die Transparenz. Das Institut erhielt erstmals quartalsweise belastbare Kennzahlen zu Risikogruppen, Lernfortschritten und Meldeverhalten. Dadurch konnten Schulungsmaßnahmen gezielt nachgesteuert werden. Die Zahl der wiederholt auffälligen Nutzer sank innerhalb von zwei Kampagnenzyklen um 62 %.
Finanziell war der Nutzen ebenfalls nachvollziehbar: Durch die Reduktion der incidentnahen Meldungen, des manuellen Prüfaufwands und der Nachschulungen ergab sich eine geschätzte Amortisation innerhalb von neun Monaten. Der größte Mehrwert lag jedoch in der Risikoreduktion: Das Institut konnte gegenüber Vorstand und Revision belegen, dass Awareness nicht nur formal vorhanden, sondern operativ wirksam war.
Lessons Learned
- Phishing-Simulationen wirken nur dann nachhaltig, wenn sie mit kurzen, konkreten Lernimpulsen verbunden werden. Reine Tests verändern Verhalten nur begrenzt.
- Zielgruppenspezifische Szenarien erhöhen die Relevanz deutlich. Standardisierte Massenkampagnen sind im Finanzumfeld weniger wirksam als realitätsnahe Anwendungsfälle.
- Ein einfacher Meldeprozess ist entscheidend. Wenn das Reporting kompliziert ist, sinkt die Melderate auch bei hoher Aufmerksamkeit.
- Management-Reporting schafft Rückhalt. Erst mit belastbaren Kennzahlen lassen sich Prioritäten, Budget und Folgemaßnahmen sauber steuern.
- Die Trennung von Lern- und Sanktionslogik verbessert die Akzeptanz. Mitarbeitende reagieren deutlich offener, wenn Awareness als Unterstützung statt als Kontrolle kommuniziert wird.
Zusammenfassung
Die NordWest Bank AG hat mit einer strukturierten Phishing-Simulation ihre Cybersecurity Awareness innerhalb von sechs Monaten spürbar verbessert. Die Klickrate sank deutlich, während die Melderate verdächtiger E-Mails mehr als verdoppelt wurde. Entscheidend waren realistische Szenarien, klare Prozesse und ein belastbares Reporting für Management und Fachbereiche.
Weitere Case Studies
Weiterführende Inhalte:
