Ausgangssituation
Ein mittelständischer Handelskonzern mit rund 3.800 Mitarbeitenden an 42 Standorten in Deutschland und Österreich stand 2024 vor einem wachsenden Risiko durch zielgerichtete Phishing-Angriffe. Das Unternehmen betreibt Zentraleinkauf, Filiallogistik und einen stark digitalisierten Warenwirtschaftsprozess. Besonders betroffen waren die Funktionen Buchhaltung, Personal, Einkauf und Filialverwaltung, da dort täglich viele E-Mails mit Rechnungen, Lieferavis, Gehaltsdaten und Zugriffsanfragen verarbeitet werden.
Die IT-Sicherheitsabteilung registrierte innerhalb von sechs Monaten 27 gemeldete Phishing-Vorfälle, darunter vier Fälle mit versuchten Zugangsdaten-Abgriffen über gefälschte Microsoft-365-Anmeldeseiten. Zwei kompromittierte Postfächer führten zu internen Weiterleitungsregeln und einem konkreten Betrugsversuch mit manipulierten Zahlungsanweisungen. Gleichzeitig zeigte eine interne Befragung, dass nur 38 % der Mitarbeitenden sicher zwischen legitimen und bösartigen E-Mails unterscheiden konnten. Der Händler hatte bereits technische Schutzmaßnahmen wie E-Mail-Filter, MFA und Endpoint-Schutz eingeführt, aber die Sicherheitsvorfälle machten deutlich: Technische Kontrollen allein reichten nicht aus. Für eine wirksame Security Awareness musste das Verhalten der Mitarbeitenden systematisch verbessert werden.
Herausforderung
Das eigentliche Problem lag nicht in einem einzelnen Sicherheitsdefizit, sondern in der Kombination aus hoher E-Mail-Last, dezentralen Arbeitsabläufen und heterogenen Kenntnisständen. In den Filialen wechselten häufig Schichtteams, während in Zentrale und Backoffice viele Mitarbeitende nur selten formale Schulungen zu Social Engineering erhalten hatten. Die Angreifer nutzten reale Unternehmensbezüge, etwa Lieferantenkommunikation, Paketbenachrichtigungen und HR-Themen, um Vertrauen zu erzeugen.
Für das Unternehmen bedeutete das ein erhöhtes Risiko für Kontoübernahmen, Zahlungsbetrug und Datenschutzverletzungen. Zusätzlich entstand operativer Aufwand: Die IT musste Vorfälle manuell prüfen, Passwörter zurücksetzen und betroffene Systeme kontrollieren. Der Vorstand verlangte eine messbare Senkung des Risikos innerhalb von zwölf Monaten, ohne den Betrieb zu stören oder produktive Teams mit langen Präsenzschulungen auszubremsen. Gesucht war daher ein Ansatz, der skalierbar, zielgruppengerecht und auditierbar ist.
Lösungsansatz
Entschieden wurde sich für ein mehrstufiges Security-Awareness-Programm mit Fokus auf Phishing-Erkennung und Social Engineering. Grundlage war zunächst eine Standort- und Rollenanalyse, um besonders exponierte Gruppen zu identifizieren: Buchhaltung, Einkauf, HR, Filialleitungen und die Zentrale. Auf Basis dieser Analyse wurden Lernpfade getrennt nach Risikoprofilen aufgebaut, statt alle Mitarbeitenden mit denselben Inhalten zu adressieren. Als inhaltliche Basis dienten die Security Awareness Grundlagen, ergänzt um kurze, wiederkehrende Trainingseinheiten im Arbeitsalltag.
Der Rollout begann mit einer anonymen Baseline-Messung: Eine erste Phishing-Simulation und Social Engineering wurde an 1.200 Mitarbeitende ausgespielt. Die Kampagne enthielt realistische Beispiele wie gefälschte Rechnungen, Passwort-Resets und vermeintliche Freigaben durch Vorgesetzte. Anschließend erhielten alle Mitarbeitenden ein 20-minütiges Microlearning-Modul, das typische Merkmale verdächtiger E-Mails, Absenderprüfung, Link-Zielkontrolle und Meldewege erklärte. Für risikoreiche Rollen folgten zusätzliche, rollenspezifische Module mit Fallbeispielen aus Einkauf, Zahlungsverkehr und HR.
Parallel wurde der Meldeprozess vereinfacht: Ein „Phishing melden“-Button im Mail-Client leitete verdächtige Nachrichten direkt an das Security-Team weiter. Zudem wurde ein monatlicher Simulationszyklus eingeführt, kombiniert mit kurzen Feedback-Mails nach jeder Kampagne. Die Führungskräfte erhielten ein separates Briefing, um die Maßnahmen intern zu unterstützen. HR und Compliance waren in die Kommunikation eingebunden, damit die Schulungen als verbindlicher Bestandteil der Unternehmenssicherheit wahrgenommen wurden und nicht als reine IT-Initiative.
Wichtig war die Verzahnung von Training, Tests und Nachsteuerung. Nach jeder Simulation wurden Kennzahlen ausgewertet: Klickrate, Melderate, Wiederholungsfehler und betroffene Standorte. Daraus entstanden zielgerichtete Nachschulungen für die Gruppen mit erhöhtem Risiko. So wurde Security Awareness vom einmaligen Pflichttermin zu einem laufenden Prozess.
Ergebnisse
Nach neun Monaten zeigte das Programm klare Effekte. Die Klickrate auf simulierte Phishing-Mails sank von 31 % in der ersten Baseline auf 9 % in der letzten Messung. Gleichzeitig stieg die Melderate verdächtiger Nachrichten von 14 % auf 61 %. Besonders deutlich war der Fortschritt in den zuvor auffälligen Bereichen Buchhaltung und Einkauf: Dort halbierte sich die Fehlklickquote bereits nach drei Monaten.
Operativ reduzierte sich die Zahl der gemeldeten echten Phishing-Vorfälle mit Sicherheitsauswirkung von 27 auf 8 innerhalb von zwei Quartalen. Es kam zu keinem weiteren Kontoübernahme-Vorfall. Die Zeit bis zur ersten Meldung einer verdächtigen E-Mail verkürzte sich im Schnitt von 4,5 Stunden auf 28 Minuten. Für den CFO relevant: Ein zuvor fast eingetretener Rechnungsbetrugsfall mit einem potenziellen Schaden von 42.000 Euro wurde rechtzeitig erkannt und gestoppt.
Der Aufwand für manuelle Nacharbeiten im Security-Team sank um rund 35 %. Der ROI war positiv: Die Kosten für das Awareness-Programm lagen bei etwa 48.000 Euro pro Jahr, während vermiedene Vorfälle, reduzierte Supportaufwände und verhinderte Betrugsschäden konservativ mit mehr als 110.000 Euro beziffert wurden. Für das Management war damit erstmals ein messbarer Zusammenhang zwischen Training und Risikoreduktion sichtbar.
Lessons Learned
- Einheitliche Schulungen reichen nicht aus. Rollen mit hohem E-Mail-Risiko benötigen spezifische Inhalte und Beispiele aus ihrem Arbeitsalltag.
- Wiederholung ist entscheidend. Einzelne Trainings verbessern Wissen, aber erst regelmäßige Simulationen verändern das Verhalten nachhaltig.
- Melden muss einfach sein. Je kürzer der Meldeweg, desto schneller reagiert das Security-Team und desto geringer bleibt der Schaden.
- Führungskräfte müssen eingebunden sein. Ohne sichtbare Unterstützung aus Management und HR bleibt Security Awareness oft unverbindlich.
- Metriken machen den Erfolg belastbar. Klickrate, Melderate und Reaktionszeit sind aussagekräftiger als reine Teilnahmequoten.
Zusammenfassung
Der Handelskonzern hat Phishing-Risiken nicht nur technisch, sondern vor allem organisatorisch adressiert. Durch rollenbasierte Security-Awareness-Maßnahmen, regelmäßige Simulationen und vereinfachtes Melden sank die Anfälligkeit deutlich. Die Case Study zeigt, dass nachhaltige Sensibilisierung im Handel messbar wirksam ist, wenn Inhalte, Prozesse und Verantwortlichkeiten zusammengeführt werden.
Weitere Case Studies
Weiterführende Inhalte:
