Ausgangssituation
Die AlphaTech Industrials GmbH ist ein mittelständischer Industriezulieferer mit 2.400 Mitarbeitenden an vier Standorten in Deutschland und Österreich. Das Unternehmen arbeitet mit sensiblen Konstruktionsdaten, Lieferanteninformationen und personenbezogenen Daten aus HR und Einkauf. Nach mehreren Sicherheitsvorfällen in der Branche und einer intern gestiegenen Zahl verdächtiger E-Mails entschied sich die Geschäftsführung 2024 für ein strukturiertes Programm zur Reduzierung von Social-Engineering-Risiken.
Besonders kritisch war die heterogene Belegschaft: rund 38 % der Mitarbeitenden arbeiten im Produktionsumfeld ohne festen Büroarbeitsplatz, 27 % im administrativen Bereich und 35 % im Vertrieb, Einkauf und technischen Service. Die IT-Sicherheitsabteilung bestand aus sechs Personen und konnte keine regelmäßigen Einzeltrainings für alle Bereiche durchführen. Gleichzeitig zeigte eine interne Baseline-Messung, dass 31 % der Mitarbeitenden mindestens einmal pro Monat auf verdächtige Links klickten oder Anhänge öffneten. Die Geschäftsführung wollte deshalb eine Lösung, die skalierbar ist, messbar bleibt und in Awareness Training & Mitarbeiterschulung eingebettet werden kann.
Herausforderung
Das Kernproblem war nicht nur das technische Risiko, sondern das menschliche Fehlverhalten im Umgang mit Phishing-Mails. Die bisherigen Pflichtunterweisungen fanden einmal jährlich statt und waren zu allgemein gehalten. Sie verbesserten zwar das formale Compliance-Niveau, hatten aber kaum Einfluss auf das tatsächliche Verhalten im Alltag. Besonders anfällig waren Mitarbeitende in der Buchhaltung, im Einkauf und in dezentralen Teams mit hohem E-Mail-Aufkommen.
Hinzu kam ein organisatorisches Problem: Der Sicherheitsbereich erhielt zwar Meldungen über verdächtige Mails, aber keine belastbaren Daten darüber, welche Gruppen am stärksten gefährdet waren und welche Inhalte am besten wirkten. Dadurch fehlte eine Grundlage für gezielte Maßnahmen. Die Folge waren wiederholte Klicks auf täuschend echte Rechnungs-, Paket- und Microsoft-365-Nachrichten. Das Management forderte deshalb ein Programm, das Risiken reduziert, die Meldefähigkeit erhöht und sich für verschiedene Zielgruppen im Unternehmen differenziert ausrollen lässt.
Lösungsansatz
Gewählt wurde eine mehrstufige Phishing-Simulation mit begleitender, rollenbasierter Schulung. Ziel war nicht die bloße Kontrolle, sondern ein messbarer Lerneffekt im laufenden Betrieb. Das Projekt startete mit einer zweiwöchigen Bestandsaufnahme: IT-Security definierte gemeinsam mit HR und den Fachbereichen Risikogruppen, typische Angriffsmuster und Kommunikationsregeln. Auf dieser Basis wurden sechs realistische Kampagnen geplant, darunter Login-Fälschungen, Rechnungsbetrug, Paketbenachrichtigungen und interne Freigabeanfragen.
Die Umsetzung erfolgte in drei Phasen. Zuerst wurde eine anonyme Baseline-Simulation ohne Vorwarnung durchgeführt, um das reale Verhalten zu erfassen. Danach erhielten Mitarbeitende bei Fehlklicks unmittelbar eine kurze Lernseite mit konkreten Erkennungshinweisen. Parallel etablierte das Unternehmen ein Meldeverfahren über einen E-Mail-Button in Outlook sowie eine zentrale Anlaufstelle im Intranet. In der zweiten Phase wurden die Inhalte nach Funktionsgruppen angepasst: Für HR und Finance lag der Schwerpunkt auf Identitätsprüfung und Zahlungsfreigaben, für Produktion und Service auf Mobilgeräten, QR-Codes und externen Links.
Die dritte Phase bestand aus wiederkehrenden Simulationen im Abstand von sechs Wochen. Führungskräfte erhielten aggregierte Auswertungen, jedoch keine personenbezogenen Detaildaten. So blieb die Maßnahme akzeptiert und datenschutzkonform. Zusätzlich wurden die Inhalte in das bestehende Awareness Training & Mitarbeiterschulung integriert, damit nicht nur Fehlverhalten sichtbar wurde, sondern auch konkrete Verhaltensregeln langfristig verankert wurden.
Ergebnisse
Bereits nach drei Monaten sank die Klickrate auf simulierte Phishing-Mails von 27 % in der Baseline auf 12 %. Nach sechs Monaten lag sie bei 7 %. Die Melderate verdächtiger E-Mails stieg im gleichen Zeitraum von 18 % auf 49 %, was die Früherkennung deutlich verbesserte. Besonders stark war der Effekt im Bereich Finance: Dort reduzierten sich Fehlklicks von 22 % auf 5 %.
Auch die Reaktionszeiten verbesserten sich messbar. Verdächtige Mails wurden im Schnitt 3,4 Stunden schneller an die IT-Security gemeldet als vor Projektstart. Zudem sank die Zahl echter Support-Tickets zu verdächtigen Nachrichten um 41 %, weil Mitarbeitende häufiger den Meldekanal nutzten statt selbst zu reagieren.
Der wirtschaftliche Nutzen war ebenfalls nachvollziehbar: Das Unternehmen schätzte, dass ein vermiedener Incident im Durchschnitt rund 18.000 Euro an internen Aufwänden und Produktivitätsverlusten spart. Auf Basis von vier potenziell vermiedenen Vorfällen im ersten Jahr ergab sich ein konservativer ROI von über 300 %. Für den Mittelstand war das Projekt damit nicht nur ein Awareness-Vorhaben, sondern ein belastbarer Beitrag zur Risikoreduktion.
Lessons Learned
- Phishing-Simulationen wirken nur dann nachhaltig, wenn sie regelmäßig und zielgruppenspezifisch durchgeführt werden. Einmalige Maßnahmen führen selten zu stabilem Verhalten.
- Der Lernmoment ist wichtiger als die Sanktion. Kurze, direkte Rückmeldungen nach Fehlklicks steigern den Lerneffekt deutlich stärker als pauschale Hinweise.
- Messbarkeit braucht klare KPIs. Klickrate, Melderate und Reaktionszeit sind aussagekräftiger als reine Teilnahmequoten.
- Awareness muss in bestehende Prozesse eingebettet werden. Ohne Meldeweg, Führungskräfte-Reporting und HR-Anbindung verpufft der Effekt.
- Unterschiedliche Zielgruppen brauchen unterschiedliche Inhalte. Produktionsmitarbeitende, Verwaltung und Führungskräfte reagieren auf andere Angriffsmuster.
Zusammenfassung
Die AlphaTech Industrials GmbH hat mit einer strukturierten Phishing-Simulation das Verhalten ihrer Mitarbeitenden messbar verbessert und das Risiko erfolgreicher Social-Engineering-Angriffe deutlich reduziert. Entscheidend waren realistische Szenarien, rollenbasierte Inhalte und eine enge Verzahnung von IT-Security, HR und Führung. Das Projekt zeigte, dass Awareness-Programme dann wirksam sind, wenn sie kontinuierlich, datenbasiert und praxisnah umgesetzt werden.
Weitere Case Studies
Einen Vergleich mit einem anderen Szenario finden Sie hier: Awareness Training nach Phishing-Angriffen im Handel
Weiterführende Inhalte:
