Ausgangssituation
Die fiktive HanseTrade GmbH ist ein mittelständischer Import- und Exportdienstleister mit Sitz in Hamburg und Niederlassungen in Polen, Spanien und den Vereinigten Arabischen Emiraten. Das Unternehmen beschäftigt 840 Mitarbeitende, davon 220 in Einkauf, Logistik und Zollabwicklung. Über 70 Prozent der Prozesse laufen digital, darunter Lieferantenkommunikation, Zahlungsfreigaben und die Dokumentenprüfung im Außenhandel. HanseTrade verarbeitet pro Monat rund 18.000 E-Mails mit handelsrelevanten Anhängen und kommuniziert mit mehr als 1.200 internationalen Geschäftspartnern.
Im Vorjahr war das Unternehmen mehrfach Ziel von Social-Engineering-Versuchen. Besonders kritisch waren gefälschte Zahlungsanweisungen, identitätsbasierte Angriffe auf Führungskräfte und manipulierte Lieferantendaten. Zwei Vorfälle führten zu verzögerten Zahlungen und erhöhtem Prüfaufwand; ein dritter wurde nur durch manuelle Rückfragen erkannt. Die interne Revision stufte das Thema erstmals als Human Factor Risk ein, also als Risiko, das aus Fehlentscheidungen, mangelnder Aufmerksamkeit oder unklaren Prozessen von Mitarbeitenden entsteht. Gleichzeitig stand HanseTrade unter Druck durch strengere Compliance-Anforderungen, insbesondere bei internationalem Zahlungsverkehr, Exportkontrolle und Datenschutz. Die Geschäftsführung definierte daher das Ziel, Risiken aus menschlichem Verhalten messbar zu machen und mit einem Human Risk Management Ansatz systematisch zu reduzieren.
Herausforderung
Das Kernproblem lag nicht in fehlender Technik, sondern in einer Lücke zwischen Sicherheitsrichtlinien und gelebter Praxis. Mitarbeitende arbeiteten unter Zeitdruck, wechselten regelmäßig zwischen Zeitzonen und nutzten unterschiedliche Kommunikationskanäle für Kunden, Spediteure und Behörden. Dadurch wurden Abweichungen in E-Mails, Freigaben und Dateianhängen zu spät erkannt. Besonders anfällig waren Prozesse mit hohem Vertrauensanteil, etwa die Änderung von Bankverbindungen oder die Freigabe eilig angeblich „dringender“ Zahlungen.
Die Folgen waren konkret: steigendes Risiko für Betrugsfälle, mehr manuelle Kontrollen in der Buchhaltung und ein wachsender Aufwand für IT und Compliance. Gleichzeitig war unklar, welche Teams oder Prozessschritte die höchste Anfälligkeit hatten. Die bisherigen Awareness-Schulungen waren generisch, einmal jährlich und ohne messbare Wirkungskontrolle. Für das Management war das unbefriedigend: Es gab einzelne Trainings, aber keine belastbaren Kennzahlen zur Exposition gegenüber Phishing-Prävention und Human Factor Risk oder zu wiederkehrenden Verhaltensmustern in kritischen Abteilungen.
Lösungsansatz
HanseTrade entschied sich für ein mehrstufiges Programm zur Reduktion von Human Factor Risk, kombiniert aus technischer Erkennung, verhaltensbezogener Analyse und prozessualer Absicherung. Ziel war nicht nur, Angriffe besser abzuwehren, sondern gefährdete Abläufe im Vorfeld messbar zu machen. Das Projekt wurde gemeinsam von IT-Sicherheit, HR, Compliance und Finanzabteilung umgesetzt, gesteuert durch ein monatliches Risk-Board.
In der ersten Phase wurden die relevanten Geschäftsprozesse kartiert: Zahlungsfreigaben, Lieferantenstammdaten, Zoll- und Exportdokumente sowie Eskalationswege für Führungskräfte. Danach definierte das Team Risikoszenarien mit hoher Eintrittswahrscheinlichkeit, darunter CEO-Fraud, Account-Takeover, manipulierte Rechnungen und Datenabfluss über Fehlversand. Parallel dazu wurden die E-Mail-Sicherheitsregeln verschärft, MFA flächendeckend aktiviert und ein Freigabeprozess für Bankdatenänderungen eingeführt, der nun grundsätzlich eine Rückbestätigung über einen zweiten Kanal verlangt.
Der entscheidende Schritt war die Einführung eines Human Risk Score je Abteilung und Nutzergruppe. Grundlage waren Simulationsergebnisse, Melderaten, Klickverhalten, Reaktionszeiten und die Häufigkeit von Verstößen gegen Prozesse. Auf Basis dieser Daten erhielten besonders exponierte Gruppen gezielte Trainings, etwa für Einkauf, Finance und Assistenzfunktionen der Geschäftsleitung. Die Schulungen wurden in kurze Module von 8 bis 12 Minuten zerlegt und mit fallbasierten Übungen ergänzt. Zusätzlich wurde ein Meldeweg für verdächtige Nachrichten vereinfacht und in Microsoft Teams integriert, damit Mitarbeitende Auffälligkeiten ohne Medienbruch melden konnten.
Wichtig war auch die Verankerung in der Führungsebene. Vorgesetzte erhielten quartalsweise Berichte zu Risikotrends und mussten Maßnahmen in ihren Teams dokumentieren. Dadurch wurde Human Risk Management nicht als isoliertes Security-Projekt behandelt, sondern als Teil von Governance, Compliance und operativer Qualitätssicherung.
Ergebnisse
Nach sechs Monaten zeigte sich eine deutliche Verbesserung der Sicherheits- und Prozesskennzahlen. Die Klickrate in simulierten Phishing-Kampagnen sank von 21,4 Prozent auf 6,8 Prozent. Gleichzeitig stieg die Melderate verdächtiger E-Mails von 14 Prozent auf 41 Prozent. In den besonders kritischen Bereichen Finance und Einkauf reduzierte sich die durchschnittliche Zeit bis zur Meldung einer verdächtigen Nachricht von 18 Stunden auf unter 2 Stunden.
Auch operativ waren Effekte messbar. Vor Einführung des Programms wurden im Schnitt 11 potenziell riskante Freigaben pro Monat manuell nachgeprüft; danach sank dieser Wert auf 4, weil die neuen Prozesse frühzeitig greifbar waren und weniger Eskalationen auslösten. Die Zahl der bestätigten Betrugsversuche mit Bezug zu Zahlungsdaten ging im Halbjahr von 5 auf 1 zurück. Ein ROI-Modell auf Basis vermiedener Prüfaufwände, reduzierter Unterbrechungen und eines verhinderten Schadensereignisses ergab eine Amortisation nach 9 Monaten.
Besonders relevant für das Management war, dass Risiken erstmals teambezogen sichtbar wurden. Dadurch konnten HR und Compliance Schulungen gezielt steuern, während IT-Sicherheit den Schutz dort erhöhte, wo das menschliche Risiko tatsächlich am höchsten war. Das Programm lieferte damit nicht nur weniger Vorfälle, sondern auch eine belastbare Grundlage für Priorisierung und Budgetplanung.
Lessons Learned
- Human Factor Risk ist messbar, wenn Verhalten, Prozesse und Vorfälle gemeinsam betrachtet werden. Einzelne Awareness-Trainings reichen dafür nicht aus.
- Die größten Risiken liegen oft in Kernprozessen mit hohem Zeitdruck, nicht in allgemeinen Office-Aktivitäten. Daher müssen Freigaben, Lieferantenänderungen und Eskalationswege besonders abgesichert werden.
- Technische Kontrollen wirken besser, wenn sie durch klare Rückbestätigungen, einfache Meldemöglichkeiten und Führungskräfte-Reporting ergänzt werden.
- Zielgruppenbezogene Trainings sind deutlich wirksamer als Standard-Schulungen für alle. Insbesondere Finance, HR und Assistenzfunktionen brauchen konkrete Szenarien statt abstrakter Sicherheitsregeln.
Zusammenfassung
HanseTrade reduzierte Human Factor Risk im internationalen Handel durch die Kombination aus Prozessabsicherung, gezielter Verhaltensanalyse und rollenbasierten Schulungen. Entscheidend war, dass IT, HR und Compliance gemeinsam auf dieselben Risikodaten arbeiteten. Das Ergebnis waren weniger Vorfälle, schnellere Meldungen und eine messbare Entlastung kritischer Geschäftsprozesse.
Weitere Case Studies
Weiterführende Inhalte:
