Ausgangssituation
Ein mittelständischer IT-Dienstleister mit 1.250 Mitarbeitenden und Standorten in Deutschland, Österreich und der Schweiz stand 2024 vor einem wachsenden Risiko durch menschliches Fehlverhalten im HR-Umfeld. Das Unternehmen verwaltet sensible Personaldaten, Gehaltsinformationen und Vertragsunterlagen für interne Mitarbeitende sowie externe Projektkräfte. HR arbeitete mit einem hybriden System aus ERP, DMS und Cloud-gestützter Kollaborationssoftware; zusätzlich nutzten mehrere Fachbereiche lokale Excel-basierte Auswertungen. Die Folge war eine hohe Zahl an manuellen Arbeitsschritten und ein uneinheitliches Berechtigungsmodell.
Innerhalb von zwölf Monaten wurden 18 sicherheitsrelevante Vorfälle dokumentiert, davon 11 im direkten HR-Kontext: falsch adressierte E-Mails, unvollständige Löschungen personenbezogener Daten, Freigaben sensibler Dokumente an zu breite Verteiler und drei Fälle von Social-Engineering-Versuchen über scheinbar interne Anfragen. Kein Vorfall führte zu einem meldepflichtigen Datenschutzereignis, jedoch stiegen der Prüfaufwand und die Belastung der Compliance-Abteilung deutlich. Besonders kritisch war, dass wiederkehrende Fehler nicht auf Einzelfälle beschränkt blieben, sondern strukturell durch Prozesse und Rollenmodelle begünstigt wurden. Die Geschäftsführung entschied deshalb, Human Risk Management als Rahmen für HR, IT-Sicherheit und Compliance einzuführen.
Herausforderung
Das Kernproblem war nicht mangelndes Bewusstsein, sondern die Kombination aus Prozesskomplexität, Zeitdruck und fehlender Transparenz über risikobehaftete Verhaltensmuster. HR-Mitarbeitende arbeiteten mit mehreren Systemen, oft unter kurzfristigen Fristen bei Ein- und Austritten, Vertragsänderungen und Bescheinigungen. Dadurch entstanden Medienbrüche und eine hohe Fehleranfälligkeit. Besonders problematisch war, dass Sicherheitsmaßnahmen zwar vorhanden waren, aber nicht konsequent an typische Arbeitssituationen im HR-Alltag angepasst waren.
Für IT-Sicherheit und Compliance ergab sich daraus ein doppeltes Risiko: Erstens die Gefahr unbeabsichtigter Datenoffenlegung, zweitens die Schwierigkeit, tatsächliche Verhaltensrisiken von rein technischen Schwachstellen zu trennen. Die bisherigen Awareness-Schulungen waren zu generisch und hatten kaum messbare Wirkung. Gleichzeitig fehlten belastbare Kennzahlen, um zu erkennen, welche Tätigkeiten besonders fehleranfällig waren. In der Praxis bedeutete das: hohe Reaktionszeiten bei Vorfällen, Mehraufwand bei Audits und ein wachsendes Misstrauen gegenüber manuellen HR-Prozessen. Die Organisation brauchte einen Ansatz, der menschliches Fehlverhalten systematisch reduziert, ohne HR zusätzlich zu verlangsamen. Für die Einordnung zwischen Verhaltens- und Insiderrisiken nutzte das Team intern auch den Vergleich Mitarbeiterverhalten vs. Insider Risk.
Lösungsansatz
Das Unternehmen entschied sich für ein mehrstufiges Human-Risk-Management-Programm mit Fokus auf HR-Prozesse. Der erste Schritt war eine Risikoanalyse aller HR-relevanten Tätigkeiten: Onboarding, Offboarding, Gehaltsänderungen, Krankmeldungen, Zeugnisse, Vertragsablagen und Zugriffsanträge. Dabei wurden Fehlerwahrscheinlichkeit, Datenkritikalität und mögliche Auswirkungen bewertet. Auf dieser Basis entstand eine Priorisierung der Top-5-Risikoprozesse.
Im zweiten Schritt wurden die Prozesse technisch und organisatorisch angepasst. Sensible Dokumente wurden in einem zentralen DMS mit rollenbasierten Freigaben abgelegt, E-Mail-Versand sensibler Inhalte durch Vorlagen und Warnhinweise reduziert und Freigabeschritte für Ausnahmen verbindlich gemacht. Zugriffsrechte wurden bereinigt, insbesondere bei temporären HR-Vertretungen und bei Schnittstellen zu Payroll und IT. Zusätzlich wurden automatisch erzeugte Erinnerungen für Lösch- und Prüfpflichten eingerichtet.
Parallel dazu wurde ein zielgruppenspezifisches Schulungskonzept eingeführt. Statt allgemeiner Awareness-Inhalte erhielten HR-Teams kurze, situationsbezogene Trainings zu typischen Fehlermustern. Ergänzend gab es monatliche Micro-Learnings und simulierte Social-Engineering-Szenarien. Die Grundlage dafür lieferte ein internes Verständnis von Human Risk Management Grundlagen sowie die Auswertung typischer Fehlerbilder aus dem HR-Kontext, angelehnt an Human Risk Management und menschliches Fehlverhalten.
Wichtig war außerdem die Verankerung in Governance und Reporting. Ein gemeinsames Steuerungsteam aus HR, IT-Sicherheit, Datenschutz und Compliance definierte KPIs, bewertete Vorfälle monatlich und leitete Maßnahmen nach. So wurde aus einer reaktiven Fehlerbearbeitung ein kontrollierter Verbesserungsprozess.
Ergebnisse
Nach sechs Monaten zeigten sich messbare Verbesserungen. Die Zahl der sicherheitsrelevanten Vorfälle im HR-Umfeld sank von 11 auf 4 pro Halbjahr, also um 64 Prozent. Falsch adressierte E-Mails gingen um 71 Prozent zurück, unberechtigte Dokumentenfreigaben um 58 Prozent. Gleichzeitig verringerte sich die durchschnittliche Bearbeitungszeit für Sicherheitsprüfungen im HR-Prozess von 18 auf 11 Minuten pro Fall, weil klarere Freigabewege und standardisierte Vorlagen eingeführt wurden.
Auch die Audit- und Compliance-Kennzahlen verbesserten sich: Bei der nächsten internen Prüfung wurden nur noch 2 geringfügige Abweichungen festgestellt, nach zuvor 9 Feststellungen. Die Quote fristgerecht gelöschter personenbezogener Daten stieg von 82 auf 96 Prozent. Zusätzlich sank der Schulungsaufwand für wiederkehrende Rückfragen im HR-Team um rund ein Drittel. Der finanzielle Effekt wurde konservativ auf 68.000 Euro pro Jahr beziffert, vor allem durch vermiedene Prüfaufwände, weniger Nachbearbeitung und geringere Eskalationskosten. Bei Implementierungskosten von 42.000 Euro ergab sich ein positiver ROI innerhalb von neun Monaten.
Lessons Learned
- Human Risk Management wirkt nur dann, wenn Prozesse und Verhalten gemeinsam betrachtet werden. Reine Schulungen reichen nicht aus.
- Die größten Risiken liegen oft in Standardabläufen mit hohem Zeitdruck, nicht in Ausnahmefällen.
- Messbare KPIs sind entscheidend, um Fortschritt von subjektivem Sicherheitsgefühl zu trennen.
- HR, IT-Sicherheit, Datenschutz und Compliance müssen gemeinsam steuern, sonst bleiben Maßnahmen fragmentiert.
- Zielgruppenspezifische Inhalte sind wirksamer als allgemeine Awareness-Kampagnen, weil sie konkrete Arbeitssituationen abbilden.
Zusammenfassung
Das Fallbeispiel zeigt, dass menschliches Fehlverhalten im HR-Umfeld vor allem durch Prozesskomplexität und fehlende Kontrolle entsteht. Ein strukturiertes Human-Risk-Management-Programm senkte Vorfälle, verbesserte Compliance und reduzierte den operativen Aufwand messbar. Entscheidend war die Verbindung aus Prozessanpassung, technischen Schutzmaßnahmen und zielgruppenspezifischer Schulung.
Weitere Case Studies
Weiterführende Inhalte:
