Ausgangssituation
Die fiktive Nordpack Maschinenbau GmbH ist ein mittelständischer Hersteller von Verpackungsanlagen mit rund 820 Mitarbeitenden, davon 140 in Verwaltung, Einkauf, Vertrieb und HR. Das Unternehmen betreibt drei Standorte in Deutschland und arbeitet mit mehreren internationalen Lieferanten zusammen. Im Zuge der Digitalisierung von Beschaffung, Lohnabrechnung und Reisekostenprozessen nahm die Zahl externer E-Mails deutlich zu. Gleichzeitig zeigte eine interne Befragung, dass 61 % der Beschäftigten unsicher waren, wie sie verdächtige Nachrichten zuverlässig erkennen.
Die IT-Sicherheitsabteilung stellte außerdem fest, dass klassische Mailfilter zwar Spam reduzierten, aber gezielte Angriffe kaum abfangen konnten. Besonders riskant waren Nachrichten, die sich als bekannte Dienstleister, interne Freigaben oder HR-Mitteilungen tarnten. Vor diesem Hintergrund entschied sich Nordpack für eine strukturierte Phishing-Simulation als Teil eines breiteren Awareness-Programms. Ziel war es, reale Verhaltensdaten zu erheben, Risikogruppen zu identifizieren und die Belegschaft mit praxisnahen Lerneinheiten auf aktuelle Angriffsmuster vorzubereiten.
Herausforderung
Das eigentliche Problem war nicht nur die technische Abwehr, sondern das menschliche Verhalten im Arbeitsalltag. In den vergangenen zwölf Monaten waren am Standort zweimal verdächtige E-Mails an das Finance-Team durchgekommen, darunter ein Versuch zur Änderung von Bankverbindungen eines Lieferanten. Der Schaden konnte jeweils verhindert werden, weil Mitarbeitende Rückfragen stellten. Gleichzeitig war aber klar: Das Unternehmen hatte keinen belastbaren Überblick darüber, wie viele Beschäftigte auf manipulierte Inhalte tatsächlich reagieren würden.
Hinzu kam ein organisatorisches Risiko. Die Abteilungen arbeiteten mit hohem Termindruck, was die Aufmerksamkeit für ungewöhnliche Anfragen reduzierte. Insbesondere HR und Einkauf waren überdurchschnittlich exponiert, da sie regelmäßig sensible Daten, Zahlungsfreigaben und externe Kontakte bearbeiten. Für den CISO bedeutete das: Es fehlten messbare Kennzahlen zu Klickrate, Melderate und Wiederholungsfehlern. Ohne diese Daten ließ sich weder gezielt schulen noch der Fortschritt gegenüber Geschäftsführung und Betriebsrat sauber belegen.
Lösungsansatz
Nordpack entschied sich für eine mehrstufige Phishing-Simulation mit anschließender zielgruppenspezifischer Awareness-Maßnahme. Die Auswahl fiel auf ein Programm, das reale Angriffsszenarien abbildet, ohne den laufenden Betrieb zu stören. Wichtig war der Geschäftsführung dabei, dass keine personenbezogene Bloßstellung entsteht und die Maßnahme mit dem Betriebsrat abgestimmt wird. Deshalb wurde vor dem Start ein klarer Governance-Rahmen definiert: Zweck, Umfang, Auswertungstiefe, Aufbewahrungsfristen und Eskalationswege wurden schriftlich festgehalten.
In der ersten Phase wurden Baseline-Metriken erhoben. Dazu gehörten Klickrate, Melderate, Weiterleitungsrate an die IT und Zeit bis zur Meldung. Anschließend wurden vier realistische Kampagnen über einen Zeitraum von acht Wochen durchgeführt: Rechnungsbetrug, interne Freigabeanfrage, Passwort-Reset und angebliche Lieferantenkommunikation. Die Inhalte orientierten sich an Social Engineering & Phishing-Angriffe und wurden auf die tatsächlichen Arbeitsprozesse im Unternehmen zugeschnitten. Besonders wirksam waren Varianten mit vertrauten Absendern, kurzen Handlungsaufforderungen und zeitlichem Druck.
Parallel erhielten gefährdete Gruppen wie Einkauf, Finance und HR kurze, rollenbezogene Micro-Learnings. Wer auf eine Simulation klickte, wurde nicht pauschal sanktioniert, sondern unmittelbar auf eine Lernseite mit konkreten Erkennungsmerkmalen geführt. Zusätzlich gab es einen vereinfachten Meldemechanismus direkt im Mail-Client und eine zentrale Meldeadresse. Die IT ergänzte dies durch klare Verhaltensregeln für Zahlungsfreigaben und Rückrufverfahren bei externen Änderungsanfragen. Nach Abschluss der Kampagnen wurden die Ergebnisse mit Führungskräften ausgewertet und in wiederkehrende Awareness-Maßnahmen überführt.
Ergebnisse
Nach acht Wochen zeigte sich ein deutlicher Effekt. Die Klickrate sank von 27 % in der ersten Kampagne auf 9 % in der vierten Kampagne. Gleichzeitig stieg die Melderate verdächtiger E-Mails von 18 % auf 52 %. Besonders relevant: In den Zielgruppen Finance und Einkauf halbierte sich die Zahl der Erstreaktionen auf manipulative Mails innerhalb von zwei Monaten. Die durchschnittliche Zeit bis zur Meldung verkürzte sich von 38 Minuten auf 11 Minuten.
Auch organisatorisch brachte das Programm messbaren Nutzen. Vor der Maßnahme wurden pro Monat im Schnitt 14 verdächtige Mails nur an Kollegen weitergeleitet, nach der Einführung des Meldebuttons gingen 31 strukturierte Meldungen pro Monat direkt an die IT. Dadurch konnten zwei tatsächlich gefährliche Nachrichten innerhalb weniger Minuten isoliert werden. Ein exakter ROI ließ sich nur näherungsweise bestimmen, da kein realer Schadensfall eintrat. Auf Basis der vermiedenen Ausfall- und Prüfkosten sowie der eingesparten manuellen Nachbearbeitung schätzte Nordpack den wirtschaftlichen Nutzen jedoch auf das 3,2-Fache der Projektkosten innerhalb von zwölf Monaten.
Lessons Learned
- Eine Phishing-Simulation wirkt nur dann nachhaltig, wenn sie an reale Arbeitsabläufe und konkrete Rollen im Unternehmen angepasst ist.
- Messbare Baseline-Daten sind entscheidend, um Fortschritte glaubwürdig zu belegen und Schwachstellen gezielt zu adressieren.
- Schulung nach Fehlverhalten ist effektiver als pauschale Pflichttrainings, wenn sie sofort auf den konkreten Vorfall bezogen ist.
- Ein einfacher Meldekanal erhöht die Reaktionsgeschwindigkeit deutlich und entlastet die IT im Incident-Management.
- Führungskräfte und Fachbereiche müssen eingebunden werden, damit Awareness nicht als Einzelmaßnahme der IT, sondern als organisatorischer Standard wirkt.
Zusammenfassung
Nordpack reduzierte das Risiko durch gezielte Phishing-Simulationen und rollenbasierte Awareness-Maßnahmen deutlich. Die Kombination aus realistischen Szenarien, klaren Meldewegen und kurzer, konkreter Nachschulung senkte die Klickrate und erhöhte die Meldedisziplin. Entscheidend war nicht die einzelne Schulung, sondern ein messbarer, wiederholbarer Prozess.
Weitere Case Studies
Weiterführende Inhalte:
