Ausgangssituation
Die NordWerk GmbH ist ein mittelständischer Maschinenbauer mit 680 Mitarbeitenden an drei Standorten in Deutschland und einem Exportanteil von rund 45 Prozent. Das Unternehmen verarbeitet personenbezogene Daten von Kunden, Lieferanten, Bewerbenden und Servicepartnern und unterliegt damit zugleich Anforderungen aus Datenschutz, Informationssicherheit und internen Kontrollprozessen. Bis 2024 war die Sicherheitsorganisation historisch gewachsen: IT-Security wurde zentral gesteuert, Datenschutz lag bei einer kleinen Stabsstelle, und die HR-Abteilung organisierte jährliche Pflichtunterweisungen über verschiedene Einzellösungen.
Im Tagesgeschäft zeigte sich jedoch ein anderes Bild. Phishing-Mails wurden nicht systematisch gemeldet, Zugriffsrechte wurden bei Rollenwechseln verspätet angepasst, und neue Mitarbeitende erhielten zwar Richtlinien, aber keine belastbare Praxisunterweisung. Bei einer internen Prüfung wurden innerhalb von sechs Monaten 14 sicherheitsrelevante Vorfälle dokumentiert, darunter drei bestätigte Phishing-Klicks und mehrere Fälle fehlerhafter Datenablage. Gleichzeitig verlangte der Aufsichtsrat eine nachvollziehbare Dokumentation der Datenschutz-Compliance & Informationssicherheit sowie einen messbaren Reifegradaufbau.
Die Geschäftsführung suchte deshalb nach einer Lösung, die nicht nur Wissen vermittelt, sondern Verhalten verändert und Compliance messbar macht. Der Fokus lag auf einer integrierten Umsetzung von Informationssicherheit, Datenschutz und HR-Prozessen unter dem Leitbegriff Awareness-Compliance.
Herausforderung
Das Kernproblem war nicht fehlende Technik, sondern fehlende Verbindlichkeit im Verhalten. Sicherheitsregeln waren vorhanden, aber weder einheitlich kommuniziert noch wirksam in den Arbeitsalltag integriert. Neue Mitarbeitende unterschrieben Richtlinien, verstanden aber die praktischen Konsequenzen nicht. Führungskräfte sahen Awareness als einmalige Pflichtübung, nicht als Teil des Kontrollsystems.
Die Folgen waren operativ und regulatorisch spürbar: verzögerte Reaktionen auf Phishing-Versuche, unklare Zuständigkeiten bei Vorfällen und ein erhöhter Abstimmungsaufwand zwischen IT, Datenschutz und HR. Zudem fehlten belastbare Kennzahlen für Audits und Managementberichte. Das Unternehmen konnte zwar Maßnahmen benennen, aber nicht belegen, ob sie tatsächlich zu sicherem Verhalten führten. Genau an dieser Stelle setzte der Bedarf an, Informationssicherheit mit Awareness-Compliance verbinden.
Lösungsansatz
NordWerk entschied sich für ein mehrstufiges Awareness-Compliance-Programm, das technische Kontrollen, Prozessklarheit und verhaltensbezogene Schulung zusammenführt. Ziel war nicht eine weitere Lernplattform, sondern ein steuerbares System mit klaren Verantwortlichkeiten, messbaren Zielen und auditfähiger Dokumentation.
Im ersten Schritt wurden die bestehenden Policies konsolidiert. IT-Security, Datenschutz und HR definierten gemeinsam einen einheitlichen Pflichtenkatalog für alle Beschäftigtengruppen, ergänzt um rollenbasierte Inhalte für Management, Vertrieb, Produktion und Personalabteilung. Anschließend wurden die Inhalte in kurze, wiederkehrende Lerneinheiten überführt: Onboarding-Modul für neue Mitarbeitende, quartalsweise Micro-Learnings, simulierte Phishing-Kampagnen und gezielte Nachschulungen nach Fehlverhalten.
Parallel dazu wurden Prozesse angepasst. Meldungen zu Sicherheitsvorfällen liefen nun über einen zentralen Kanal, der direkt mit dem Ticketsystem verknüpft war. Bei Eintritts- oder Rollenwechseln triggerten HR-Workflows automatisch die passenden Unterweisungen. Datenschutz und IT-Security erhielten ein gemeinsames Reporting, das unter anderem Teilnahmequoten, Meldeverhalten, Klickraten, Reaktionszeiten und offene Maßnahmen auswertete.
Wichtig war die Führungsanbindung: Jede Bereichsleitung bekam einen eigenen Statusbericht mit Ampellogik. Damit wurde Awareness-Compliance nicht als isoliertes Schulungsthema behandelt, sondern als Teil der Linienverantwortung. Für die Bewertung der Lösung zog NordWerk auch externe Referenzen heran, darunter den Vergleich Awareness-Compliance vs. Mimecast, um den Unterschied zwischen punktueller Schulung und integriertem Compliance-Ansatz zu verdeutlichen.
Die Implementierung dauerte zwölf Wochen. Zunächst wurden 80 Schlüsselpersonen aus Management, IT, Datenschutz, HR und Produktion geschult. Danach folgte der Rollout auf alle Standorte mit begleitender Kommunikation durch die Geschäftsführung. Entscheidend war, dass jede Maßnahme einen klaren Zweck hatte: Risiken reduzieren, Nachweise erzeugen und Verhalten messbar verbessern.
Ergebnisse
Nach sechs Monaten zeigten sich deutliche Veränderungen. Die Teilnahmequote an Pflichtunterweisungen stieg von 71 auf 98 Prozent. Die durchschnittliche Reaktionszeit auf sicherheitsrelevante Meldungen sank von 4,6 auf 1,8 Stunden. Bei simulierten Phishing-Kampagnen reduzierte sich die Klickrate von 23 auf 6 Prozent; die Meldungsquote verdoppelte sich im gleichen Zeitraum von 18 auf 37 Prozent.
Auch auditseitig war der Effekt messbar: Die Zahl offener Findings aus internen Kontrollen sank von neun auf drei, davon wurden zwei innerhalb von vier Wochen geschlossen. In der Personalabteilung wurden Onboarding-Prozesse standardisiert, wodurch der Aufwand für Nachverfolgung und Einzelfallkommunikation um rund 30 Prozent zurückging. Für die Geschäftsführung besonders relevant: Der Nachweis der Schulungs- und Kontrollmaßnahmen konnte für externe Prüfungen vollständig digital dokumentiert werden.
Ein grober ROI wurde intern ebenfalls betrachtet. Die einmaligen Implementierungskosten lagen bei rund 48.000 Euro. Dem gegenüber standen geschätzte Einsparungen aus reduziertem Administrationsaufwand, weniger Nachschulungen und vermiedenen Vorfällen von etwa 72.000 Euro pro Jahr. Bereits nach acht Monaten wurde der Break-even erreicht.
Lessons Learned
- Awareness wirkt nur dann nachhaltig, wenn sie organisatorisch verankert ist. Einzelne Schulungen ohne klare Verantwortlichkeiten erzeugen wenig Veränderung.
- HR ist ein zentraler Hebel für Informationssicherheit, weil Onboarding, Rollenwechsel und Austritte die kritischsten Prozesspunkte sind.
- Messbarkeit ist entscheidend: Ohne KPIs bleiben Awareness-Maßnahmen eine kommunikative Aktivität statt eines steuerbaren Compliance-Elements.
- Führungskräfte müssen früh eingebunden werden, sonst bleibt Compliance ein Thema der Fachabteilungen.
- Technische und organisatorische Maßnahmen entfalten erst gemeinsam Wirkung, wenn Prozesse, Inhalte und Reporting zusammengeführt werden.
Zusammenfassung
NordWerk hat gezeigt, dass Informationssicherheit im Mittelstand vor allem ein Umsetzungsproblem ist. Durch die Verbindung von Schulung, Prozessintegration und Reporting wurde aus Awareness ein belastbares Compliance-System. Das Ergebnis waren weniger Vorfälle, bessere Nachweise und eine messbar höhere Sicherheitskultur.
Weitere Case Studies
Weiterführende Inhalte:
