Ausgangssituation
Die fiktive Nordwerk Maschinenbau GmbH ist ein mittelständischer Industriehersteller mit 1.850 Mitarbeitenden an drei Standorten in Deutschland und Tschechien. Das Unternehmen produziert Komponenten für Sondermaschinen und arbeitet mit sensiblen Konstruktionsdaten, Lieferantenportalen und einem hohen Anteil an E-Mail-basierter Kommunikation mit Kunden und Partnern. Die IT-Organisation bestand aus 14 Personen, die Security-Funktion war Teil des IT-Bereichs. Vor Projektbeginn gab es keine systematische Security Awareness-Maßnahme, sondern nur gelegentliche Hinweise im Intranet und ein einmaliges Pflichtmodul für neue Mitarbeitende.
Die Ausgangslage war kritisch: Innerhalb von zwölf Monaten wurden 27 verdächtige E-Mails gemeldet, davon 11 tatsächlich als Phishing eingestuft. In zwei Fällen wurden Zugangsdaten über ein gefälschtes Microsoft-Login abgegriffen, ohne dass es zu einem bestätigten Datenabfluss kam. Gleichzeitig stieg der Druck aus der Compliance, weil Kunden aus der Automobil- und Medizintechnik belastbare Nachweise zu Schulungsstand, Phishing-Resilienz und dokumentierten Maßnahmen verlangten. Die Geschäftsführung wollte daher keine allgemeine Sensibilisierung, sondern eine messbare Verbesserung des Nutzerverhaltens. Im Mittelpunkt stand die Frage, wie sich Security Awareness so aufsetzen lässt, dass nicht nur Wissen vermittelt, sondern konkretes Verhalten im Arbeitsalltag verändert wird.
Herausforderung
Das Kernproblem war nicht mangelndes Interesse, sondern fehlende Struktur. Mitarbeitende unterschieden kaum zwischen legitimen und manipulierten Nachrichten, insbesondere bei Rechnungsfreigaben, Passwort-Resets und Datei-Links. Die IT wurde bei Verdachtsfällen oft zu spät eingebunden, weil Mitarbeitende unsicher waren, ob ein Vorfall relevant ist. Zusätzlich gab es Unterschiede zwischen Produktion, Verwaltung und Entwicklung: Während Office-Teams häufiger mit Phishing konfrontiert waren, arbeiteten Fertigungsbereiche mit weniger digitaler Routine, aber höherem Risiko bei Freigaben und Anmeldungen an gemeinsamen Systemen.
Für Nordwerk bedeutete das ein operatives Risiko: verzögerte Reaktionen auf Angriffe, potenzielle Produktionsunterbrechungen und erhöhte Kosten für Incident-Handling. Hinzu kamen Reputationsrisiken gegenüber Kunden und Auditrelevanz im Bereich Informationssicherheit. Die bestehende Schulungslage war nicht auditfest, weil Teilnahme und Wirksamkeit nur rudimentär dokumentiert wurden. Es fehlte also sowohl ein präventiver Hebel als auch ein belastbarer Nachweis für Wirksamkeit. Genau an diesem Punkt setzt eine strukturierte Awareness Training und Security Schulung an: Inhalte, Frequenz und Messgrößen müssen auf das tatsächliche Risiko des Unternehmens abgestimmt werden.
Lösungsansatz
Nordwerk entschied sich für ein mehrstufiges Security-Awareness-Programm mit Fokus auf messbarer Verhaltensänderung. Ziel war nicht, Mitarbeitende mit Einmal-Trainings zu „schulen“, sondern sie über wiederholte, kontextnahe Lernimpulse und Simulationen zu sicherem Verhalten zu führen. Der Rollout begann mit einer Baseline-Messung: In einer anonymisierten Phishing-Simulation klickten 38 % der Teilnehmenden auf den Link, 14 % gaben Daten auf einer Testseite ein und nur 21 % meldeten die Nachricht aktiv an die IT. Diese Werte dienten als Ausgangspunkt für alle weiteren Maßnahmen.
Im nächsten Schritt wurden Zielgruppen definiert. Die Belegschaft wurde in vier Segmente unterteilt: Verwaltung, Führungskräfte, Produktion und IT/Engineering. Jede Gruppe erhielt Inhalte mit passenden Beispielen: Rechnungsbetrug, Identitätsdiebstahl, QR-Phishing, manipulierte Freigabeprozesse und Social Engineering am Telefon. Zusätzlich wurden die Schulungen in kurze Module von 8 bis 12 Minuten gegliedert, um sie in den Arbeitsalltag integrieren zu können. Wichtig war auch die enge Abstimmung mit HR und Compliance, damit Teilnahme, Erinnerungen und Nachweise sauber dokumentiert wurden.
Parallel führte das Unternehmen quartalsweise Phishing-Simulationen durch. Die Szenarien wurden von Monat zu Monat angepasst: erst einfache externe Mails, dann glaubwürdige interne Vorlagen, schließlich thematisch passende Kampagnen zu Urlaubsanfragen, Paketbenachrichtigungen und Dokumentenfreigaben. Nach jeder Simulation erhielten die betroffenen Teams unmittelbar Feedback. Wer klickte, bekam eine kurze Lerneinheit; wer meldete, erhielt positives Feedback und eine Erklärung, woran die Nachricht erkennbar war. Ergänzend wurden Meldewege vereinfacht: ein Outlook-Add-in, ein zentraler Meldemechanismus und ein klarer Eskalationsprozess für Security und Service Desk.
Die Geschäftsführung unterstützte das Programm sichtbar. Das war entscheidend, weil Security Awareness ohne Management-Rückendeckung oft als Zusatzaufgabe wahrgenommen wird. Für die Auswertung wurden KPIs definiert: Klickrate, Melderate, Wiederholungsquote, Abschlussquote der Module und Zeit bis zur Meldung. Damit wurde aus einer generischen Sensibilisierung ein steuerbares Programm. Für die methodische Einordnung nutzte das Team auch die Leitlinie aus Awareness Training: So wird Verhaltensänderung messbar, insbesondere die Trennung von Wissensindikatoren und Verhaltenskennzahlen.
Ergebnisse
Nach sechs Monaten zeigte sich eine deutliche Verbesserung. Die Klickrate in den Phishing-Simulationen sank von 38 % auf 11 %. Die Quote der Nutzer, die Daten auf einer Testseite eingaben, fiel von 14 % auf 2 %. Gleichzeitig stieg die aktive Melderate von 21 % auf 67 %. Besonders relevant: Die durchschnittliche Zeit bis zur Meldung verkürzte sich von 38 Minuten auf 9 Minuten.
Nach neun Monaten lagen die Werte stabil. In der letzten Simulation klickten nur noch 8 % auf den Link, während 74 % der Empfänger die Nachricht korrekt meldeten oder an die IT weiterleiteten. Im selben Zeitraum registrierte das Security-Team 41 reale Verdachtsmeldungen, gegenüber 18 im Vorjahreszeitraum. Zwei potenziell schädliche Phishing-Mails konnten dadurch innerhalb von 15 Minuten isoliert und in der Mailumgebung blockiert werden.
Auch auf Prozessebene war der Effekt messbar: 96 % der Mitarbeitenden hatten die Schulungsmodule abgeschlossen, gegenüber 54 % bei früheren Pflichtunterweisungen. Für den Audit-Nachweis konnte Nordwerk erstmals vollständige Teilnahme- und Wirksamkeitsdaten vorlegen. Der finanzielle Nutzen war ebenfalls belastbar: Durch vermiedene Incident-Bearbeitung, reduzierte Eskalationen und weniger IT-Helpdesk-Aufwand wurde ein konservativer Jahresnutzen von rund 68.000 Euro berechnet. Bei Programmkosten von 22.000 Euro ergab sich ein positiver ROI bereits im ersten Jahr.
Lessons Learned
- Security Awareness wirkt nur dann nachhaltig, wenn sie regelmäßig statt einmalig erfolgt. Einzelne Pflichtschulungen verbessern Wissen, aber nicht zwingend das Verhalten.
- Zielgruppenspezifische Inhalte erhöhen die Relevanz. Mitarbeitende reagieren deutlich besser auf Szenarien aus ihrem eigenen Arbeitskontext.
- Messung ist keine Kür, sondern Voraussetzung. Ohne Baseline, KPIs und Wiederholungsmessung bleibt der Effekt einer Maßnahme nicht belegbar.
- Ein einfacher Meldeweg ist genauso wichtig wie der Lerninhalt. Wer verdächtige Nachrichten schnell melden kann, reduziert das operative Risiko.
- Management-Sponsoring entscheidet über Akzeptanz und Teilnahme. Sichtbare Unterstützung aus Geschäftsführung, HR und Compliance erhöht die Verbindlichkeit.
Zusammenfassung
Nordwerk hat Security Awareness von einer formalen Pflichtübung zu einem messbaren Sicherheitsprogramm entwickelt. Entscheidend waren segmentierte Inhalte, wiederholte Simulationen und klare Kennzahlen zur Verhaltensänderung. Das Ergebnis: weniger Klicks, mehr Meldungen, schnellere Reaktion und ein belastbarer ROI.
Weitere Case Studies
Weiterführende Inhalte:
