Ausgangssituation
Die KWS Technik GmbH ist ein fiktives, mittelständisches Maschinenbauunternehmen mit 640 Mitarbeitenden an drei Standorten in Deutschland und einem Jahresumsatz von rund 180 Mio. Euro. Das Unternehmen produziert kundenspezifische Automatisierungskomponenten für industrielle Anlagen. Durch den hohen Anteil an Konstruktionsdaten, Fertigungsplänen und sensiblen Kundenspezifikationen war die Informationssicherheit bereits ein strategisches Thema. Dennoch zeigte ein interner Auditbericht im Frühjahr 2024, dass technische Schutzmaßnahmen allein nicht ausreichten.
In den zwölf Monaten vor Projektstart wurden 27 sicherheitsrelevante Vorfälle dokumentiert, davon 11 Phishing-bedingte Kontoübernahmen, 6 Fälle von unsachgemäßem Umgang mit vertraulichen Dateien und 4 unautorisierte Weiterleitungen von Kundendaten über private Kanäle. Zusätzlich ergab eine anonyme Mitarbeiterbefragung, dass 38 % der Beschäftigten Sicherheitsrichtlinien zwar kannten, sie im Alltag aber als „zu komplex“ oder „nicht praxistauglich“ einstuften. Besonders betroffen waren Vertrieb, Projektmanagement und Einkauf. Für die Geschäftsführung wurde klar: Das Risiko lag nicht nur in Systemen, sondern im Verhalten. Damit rückte Human Risk Management Grundlagen erstmals als eigenständiger Steuerungsansatz in den Fokus.
Herausforderung
Das Kernproblem war nicht mangelnde Motivation, sondern eine Lücke zwischen Richtlinie und Alltag. Mitarbeitende arbeiteten unter hohem Zeitdruck, wechselten regelmäßig zwischen Büro, Homeoffice und Kundenstandorten und nutzten mehrere Kollaborationstools parallel. Sicherheitsregeln wurden dadurch häufig umgangen, etwa bei Dateifreigaben, Passwortverwaltung oder dem Umgang mit externen Absendern. Die Folge waren wiederkehrende Verstöße mit hohem Fehleranteil, aber ohne böswillige Absicht.
Für das Unternehmen hatte das direkte Auswirkungen: Der IT-Support registrierte steigende Rückfragen zu Sicherheitswarnungen, die Reaktionszeiten auf Incident-Meldungen verschlechterten sich, und der Compliance-Bereich musste wiederholt Ausnahmegenehmigungen dokumentieren. Gleichzeitig stieg das Risiko von Datenabfluss und Reputationsschäden gegenüber Großkunden. Besonders kritisch war, dass klassische Awareness-Schulungen keine nachhaltige Verhaltensänderung erzeugten. Es fehlte eine systematische Sicht auf Risikogruppen, Verhaltensmuster und die Frage, welche Rollen im Unternehmen besonders anfällig für Fehlhandlungen oder Social Engineering waren. Genau an dieser Stelle setzte die Analyse von Human Factor Risk: Rollenrisiken im Mittelstand an.
Lösungsansatz
Die KWS Technik GmbH entschied sich für ein mehrstufiges Human-Risk-Management-Programm mit dem Ziel, Risiken messbar zu machen und gezielt zu reduzieren. Statt nur auf allgemeine Schulungen zu setzen, wurde eine verhaltensbasierte Risikoanalyse eingeführt, die technische, organisatorische und menschliche Signale zusammenführte. Dazu gehörten Phishing-Simulationen, Auswertungen zu Passwort-Resets, Meldungen aus dem Incident-Management, File-Sharing-Logs sowie Ergebnisse aus einer anonymisierten Mitarbeiterbefragung.
Im ersten Schritt definierte das Projektteam aus IT-Security, HR, Compliance und Betriebsrat sechs Risikokategorien: Phishing-Anfälligkeit, Datenklassifizierung, Freigabeverhalten, Remote-Work-Risiko, Rollenabhängigkeit und Meldeverhalten. Anschließend wurden drei besonders exponierte Bereiche priorisiert: Vertrieb, Einkauf und Projektleitung. Diese Rollen hatten häufigen externen Kontakt, arbeiteten mit sensiblen Angebots- und Vertragsdaten und trafen regelmäßig operative Entscheidungen ohne Zweitfreigabe. Damit war die Ausgangslage typisch für Verhaltensbasierte Risikoanalyse und Insider Risk.
Parallel dazu wurden die bestehenden Schulungen neu aufgebaut. Statt eines jährlichen Pflichtmoduls gab es kurze, rollenbasierte Lerninhalte mit konkreten Alltagsszenarien. Beispiele waren falsche Empfänger in E-Mail-Verläufen, unsichere Datenfreigaben oder der Umgang mit ungewöhnlichen Zahlungsanweisungen. Für Hochrisikogruppen wurden zusätzliche Maßnahmen eingeführt: strengere Freigaberegeln, zweistufige Verifikation bei externen Datenanfragen und ein vereinfachter Meldeweg über Microsoft Teams und ein Security-Portal.
Wichtig war außerdem die Einbindung von HR und Führungskräften. Sicherheitsverhalten wurde als Teil der Rollenverantwortung definiert und in Onboarding, Zielgespräche und interne Richtlinien integriert. Dadurch entstand kein reines Kontrollsystem, sondern ein steuerbares Programm mit klaren Verantwortlichkeiten. Ergänzend lief eine Awareness-Kampagne gegen Phishing, orientiert an den Ergebnissen aus Human Factor Risk: Mitarbeiterverhalten gegen Phishing. Der Rollout erfolgte innerhalb von fünf Monaten: erst Pilot in zwei Bereichen, dann unternehmensweite Ausdehnung nach Anpassung der Inhalte.
Ergebnisse
Bereits nach sechs Monaten zeigte das Programm messbare Effekte. Die Phishing-Click-Rate sank von 21 % auf 8 %. Gleichzeitig stieg die Meldequote verdächtiger E-Mails von 14 % auf 37 %, was die Reaktionsfähigkeit des SOC deutlich verbesserte. Sicherheitsvorfälle mit menschlicher Ursache gingen im Vergleich zum Vorjahreszeitraum von 27 auf 11 zurück. Besonders relevant: Kein Fall führte mehr zu einer unkontrollierten Weitergabe von Kundendaten.
Auch in den begleitenden Kennzahlen war die Wirkung sichtbar. Passwort-Resets reduzierten sich um 29 %, weil mehr Mitarbeitende Passwortmanager nutzten und weniger unsichere Workarounds anwendeten. Die durchschnittliche Zeit bis zur Meldung eines Vorfalls sank von 18 auf 6 Stunden. Die Geschäftsführung bewertete zudem den wirtschaftlichen Effekt positiv: Allein durch vermiedene Incident-Bearbeitung, reduzierte Supportlast und geringere Ausfallzeiten wurde ein geschätzter Nutzen von 84.000 Euro innerhalb von zwölf Monaten erreicht. Dem standen Projektkosten von 52.000 Euro gegenüber. Der daraus abgeleitete ROI lag bei rund 61 %.
Lessons Learned
Erstens: Sicherheitsrisiken im Mittelstand entstehen häufig nicht durch Einzelpersonen, sondern durch wiederkehrende Verhaltensmuster in bestimmten Rollen. Eine pauschale Schulung reicht dafür nicht aus.
Zweitens: Human Risk Management wirkt nur dann, wenn IT, HR, Compliance und Führung gemeinsam steuern. Ohne klare Zuständigkeiten bleiben Maßnahmen punktuell.
Drittens: Messbarkeit ist entscheidend. Erst durch KPIs wie Phishing-Click-Rate, Meldequote und Incident-Zeit wurde das Programm intern belastbar.
Viertens: Verhaltensänderung braucht einfache Prozesse. Je weniger Reibung beim Melden, Prüfen und Freigeben entsteht, desto höher ist die Akzeptanz.
Zusammenfassung
Die KWS Technik GmbH reduzierte mit einem strukturierten Human-Risk-Management-Ansatz ihre sicherheitsrelevanten Vorfälle innerhalb von sechs Monaten deutlich. Entscheidend war die Kombination aus Datenanalyse, rollenbasierten Maßnahmen und enger Zusammenarbeit zwischen IT, HR und Compliance. Das Ergebnis war nicht nur eine bessere Sicherheitslage, sondern auch ein messbarer wirtschaftlicher Nutzen.
Weitere Case Studies
Weiterführende Inhalte:
