Ausgangssituation
Ein mittelständischer Energieversorger mit rund 1.850 Mitarbeitenden betreibt Netzbetrieb, Kundenservice, Messstellenbetrieb und mehrere regionale Verwaltungsstandorte. Das Unternehmen verarbeitet täglich personenbezogene Daten von Endkundinnen und Endkunden, Dienstleistern und Beschäftigten sowie technische Betriebsdaten aus der Infrastruktur. Gleichzeitig steigt der regulatorische Druck durch DSGVO, NIS2-Vorbereitung, interne Audit-Anforderungen und branchenspezifische Sicherheitsvorgaben.
Vor Projektbeginn wurden Awareness-Maßnahmen punktuell durchgeführt: eine jährliche Präsenzschulung, eine allgemeine E-Learning-Einheit und vereinzelt E-Mail-Hinweise der IT-Abteilung. Die Teilnahmequote lag zwar formal bei 91 Prozent, doch die Nachweislage war unvollständig, die Inhalte waren nicht rollenbasiert und die Wirksamkeit ließ sich nicht belegen. In internen Tests scheiterte knapp ein Drittel der Belegschaft an simulierten Phishing-Mails, besonders in den Bereichen Kundenservice, Buchhaltung und Personal.
Hinzu kam, dass das Unternehmen für externe Audits einen belastbaren Nachweis zur Awareness-Compliance benötigte. Gesucht wurde ein Ansatz, der Schulung, Messbarkeit und Compliance zusammenführt und sich in bestehende HR- und IT-Prozesse integrieren lässt. Reine Sensibilisierung reichte nicht mehr aus.
Herausforderung
Das zentrale Problem war nicht fehlendes Wissen, sondern eine fehlende, steuerbare Sicherheitsroutine im Arbeitsalltag. Mitarbeitende konnten Bedrohungen zwar grundsätzlich benennen, erkannten aber manipulative E-Mails, gefälschte Login-Seiten und Social-Engineering-Muster im konkreten Kontext zu selten. Dadurch entstanden Risiken für Kontozugriffe, Datenabfluss und Fehlschaltungen in sicherheitskritischen Prozessen.
Für das Unternehmen hatte das unmittelbare Folgen: Der Informationssicherheitsbeauftragte dokumentierte pro Quartal mehrere gemeldete Phishing-Vorfälle, davon zwei mit tatsächlicher Weiterleitung sensibler Informationen an externe Adressen. Gleichzeitig verlangte die Revision nachvollziehbare Berichte über Teilnahme, Testresultate und Wiederholungsschulungen. HR benötigte außerdem ein Verfahren, das Neueintritte, interne Wechsel und Pflichtschulungen automatisiert abbildet.
Die bisherige Lösung war dafür zu statisch. Ohne segmentierte Inhalte, definierte Eskalationspfade und messbare Zielwerte blieb die Awareness-Compliance formal, aber nicht belastbar. Das Unternehmen brauchte einen Ansatz, der nicht nur Wissen vermittelt, sondern Verhalten messbar verändert. Orientierung boten interne Anforderungen aus dem Bereich Phishing Awareness & Cybersecurity-Awareness sowie die Frage, wie Cybersecurity-Awareness für Mitarbeitende wirksam gestalten praktisch umgesetzt werden kann.
Lösungsansatz
Entschieden wurde sich für ein strukturiertes Awareness-Compliance-Programm mit rollenbasierten Lernpfaden, kontinuierlichen Phishing-Simulationen und automatisierter Dokumentation. Ziel war nicht eine weitere Einmal-Schulung, sondern ein kontrollierbarer Prozess mit klaren Verantwortlichkeiten zwischen IT-Security, Datenschutz, HR und Fachbereichen.
Die Einführung erfolgte in vier Schritten. Erstens wurden alle Mitarbeitenden in Risikogruppen eingeteilt: allgemeine Verwaltung, Kundenkontakt, Finanzwesen, technische Bereiche und Führungskräfte. Jede Gruppe erhielt eigene Inhalte mit Bezug zu typischen Angriffsszenarien. Zweitens wurde ein Pflichttrainingszyklus definiert: Onboarding innerhalb der ersten 30 Tage, anschließend quartalsweise Mikrotrainings von 8 bis 12 Minuten. Drittens wurden monatliche Phishing-Kampagnen mit unterschiedlichen Schwierigkeitsgraden gestartet, ergänzt um gezielte Nachschulungen bei Fehlreaktionen. Viertens wurden Reporting und Nachweise an HR- und ISMS-Prozesse angebunden, sodass Teilnahmequoten, Testergebnisse und Eskalationen revisionssicher nachvollziehbar waren.
Besonderes Augenmerk lag auf Akzeptanz. Das Programm wurde mit dem Betriebsrat abgestimmt, datenschutzkonform umgesetzt und so kommuniziert, dass nicht „Kontrolle“, sondern Schutz der Arbeitsfähigkeit im Vordergrund stand. Für die Auswahl der Inhalte wurde zusätzlich der Vergleich zu marktüblichen Awareness-Angeboten herangezogen; relevant war dabei auch die Einordnung, warum sich Awareness-Compliance vs. NINJIO in Bezug auf Nachweisführung und Steuerbarkeit unterscheidet.
Die Fachabteilungen erhielten praxisnahe Beispiele: gefälschte Lieferantenrechnungen im Einkauf, manipulierte Service-Anfragen im Kundenservice, Identitätsmissbrauch im HR-Kontext und Zugriffsversuche auf Netzbetriebsdaten. Damit wurde Awareness nicht als IT-Thema, sondern als Unternehmensrisiko vermittelt.
Ergebnisse
Bereits nach sechs Monaten zeigten sich messbare Veränderungen. Die Teilnahmequote an Pflichttrainings stieg von 91 auf 98 Prozent, weil Erinnerungen, Eskalationen und Onboarding-Prozesse automatisiert wurden. Die Click-Rate in simulierten Phishing-Kampagnen sank von 29 Prozent auf 9 Prozent. Besonders deutlich war der Effekt in den risikoarmen Wiederholungsgruppen: Dort fiel die Fehlklick-Rate teilweise unter 6 Prozent.
Auch die Melderate verbesserte sich. Verdächtige Nachrichten wurden nicht mehr nur an die IT weitergeleitet, sondern zunehmend über den definierten Meldekanal gemeldet; die Zahl qualifizierter Meldungen stieg um 64 Prozent. Gleichzeitig reduzierte sich die Zahl der Vorfälle mit tatsächlicher Weitergabe sensibler Daten innerhalb von neun Monaten von zwei auf null. Für Audit-Zwecke standen erstmals vollständige Berichte über Teilnahme, Testergebnisse und Wiederholungsschulungen pro Rolle zur Verfügung.
Finanziell war der Nutzen ebenfalls sichtbar: Der interne Aufwand für manuelle Nachverfolgung und Berichtserstellung sank um rund 120 Arbeitsstunden pro Quartal. Auf Basis dieser Einsparung und der reduzierten Incident-Bearbeitung ergab sich ein positiver ROI innerhalb eines Jahres. Die Geschäftsleitung bewertete vor allem die Kombination aus messbarer Verhaltensänderung und revisionssicherer Awareness-Compliance als entscheidenden Mehrwert.
Lessons Learned
- Awareness wirkt nur dann nachhaltig, wenn sie als laufender Prozess organisiert ist und nicht als jährliche Pflichtübung.
- Rollenbasierte Inhalte sind wirksamer als allgemeine Standardmodule, weil Risiken im Kundenservice anders aussehen als im technischen Betrieb oder in der Personalabteilung.
- Messbarkeit ist für Compliance entscheidend: Teilnahme allein reicht nicht, erforderlich sind Reaktions- und Meldekennzahlen.
- HR, Datenschutz und IT-Security müssen gemeinsam steuern, sonst bleiben Nachweise lückenhaft und Eskalationen uneinheitlich.
- Akzeptanz steigt, wenn Maßnahmen als Schutz des Arbeitsalltags kommuniziert werden und nicht als reine Kontrolle.
Zusammenfassung
Der Energieversorger hat Awareness von einer punktuellen Schulung zu einem steuerbaren Compliance-Prozess entwickelt. Durch rollenbasierte Inhalte, regelmäßige Simulationen und automatisierte Nachweise sank das Risiko messbar. Entscheidend war nicht die Menge an Training, sondern die Verankerung von Awareness-Compliance in den operativen Prozessen.
Weitere Case Studies
Weiterführende Inhalte:
