Ausgangssituation
Die Linde & Partner Leasing GmbH ist ein mittelständischer Finanzdienstleister mit rund 840 Mitarbeitenden, davon 310 im Außendienst und 190 im Kundenservice. Das Unternehmen verarbeitet täglich sensible Vertrags-, Identitäts- und Kontodaten von Privat- und Geschäftskunden. Durch die starke Digitalisierung von Onboarding, Zahlungsprozessen und Freigaben stieg die Angriffsfläche für Phishing erheblich. Im Jahr vor Projektstart wurden 17 real gemeldete Phishing-Vorfälle dokumentiert, darunter drei Fälle mit erfolgter Credential-Eingabe und ein bestätigter Versuch, Zahlungsanweisungen per CEO-Fraud zu manipulieren.
Zusätzlich verschärften interne und externe Anforderungen die Lage: Die Revision monierte fehlende Nachweise zur Awareness-Compliance, die Datenschutzabteilung forderte belastbare Schulungs- und Testprotokolle, und der Betriebsrat verlangte Transparenz bei Messung und Tracking. Gleichzeitig war die Pflichtschulung nur als jährliches E-Learning organisiert, mit einer Abschlussquote von 81 %, aber ohne messbaren Verhaltensnachweis. Gerade im Finanzsektor reicht reine Wissensvermittlung nicht aus. Entscheidend ist, ob Mitarbeitende verdächtige Nachrichten erkennen, melden und angemessen reagieren. Für die Geschäftsführung war daher klar: Es brauchte ein Programm, das nicht nur sensibilisiert, sondern auditfähig dokumentiert, wie sich das Risiko durch Phishing Awareness & Cybersecurity-Awareness reduziert.
Herausforderung
Das Kernproblem war nicht ein einzelner technischer Mangel, sondern eine Kombination aus heterogener Belegschaft, unklaren Zuständigkeiten und fehlender Wirksamkeitsmessung. Besonders gefährdet waren Mitarbeitende mit hohem Kommunikationsaufkommen in Buchhaltung, Vertrieb und HR. Viele arbeiteten hybrid, nutzten private Mobilgeräte für MFA-Freigaben und unterschätzten Social-Engineering-Angriffe. Die Folge: Meldungen kamen spät, und Sicherheitsvorfälle mussten häufig manuell eingeordnet werden.
Hinzu kam, dass die Führungsebene für Audits Nachweise verlangte, die über Teilnahmezertifikate hinausgingen. Die Organisation benötigte belastbare Daten zu Teilnahme, Klickrate, Meldeverhalten und Wiederholungsquote. Ohne diese Daten war weder ein sauberer Nachweis gegenüber internen Prüfern noch eine gezielte Priorisierung der Risikogruppen möglich. Die bestehende Schulung war formal vorhanden, aber nicht in die Sicherheits- und Compliance-Prozesse integriert. Genau an dieser Stelle wurde klar, dass Phishing Awareness als Kern von Cybersecurity-Awareness nicht als Einzelmaßnahme, sondern als kontinuierlicher Kontrollprozess umgesetzt werden musste.
Lösungsansatz
Linde & Partner entschied sich für ein mehrstufiges Awareness-Programm mit Fokus auf messbare Awareness-Compliance. Ziel war, Mitarbeitende nicht nur zu schulen, sondern das Verhalten im realen Alltag zu verändern und gleichzeitig revisionssichere Nachweise zu erzeugen. Die Umsetzung startete mit einer Risikoanalyse: Die Belegschaft wurde nach Geschäftsrollen, Kontaktintensität, Berechtigungen und Vorfallhistorie segmentiert. Daraus entstanden drei Zielgruppen mit unterschiedlichen Risikoprofilen: Front Office, Finance/HR und Führungskräfte.
Im ersten Schritt wurden monatliche Phishing-Simulationen eingeführt, die realistische Szenarien wie Dokumentenfreigaben, Paketbenachrichtigungen, Kontosperrungen und interne Gehaltsanpassungen abbildeten. Die Inhalte wurden an typische Arbeitsabläufe angepasst, damit die Tests nicht künstlich wirkten. Parallel dazu erhielten alle Mitarbeitenden ein kurzes Basismodul mit konkreten Handlungsregeln: Absender prüfen, Links vermeiden, MFA-Anfragen verifizieren, Meldung über den definierten Kanal auslösen. Für besonders exponierte Gruppen wurden zusätzliche Micro-Learnings eingeführt, die jeweils fünf bis sieben Minuten dauerten.
Wichtig war die Integration in die Compliance- und IT-Prozesse. Die Daten aus den Simulationen wurden mit dem Ticketing-System verknüpft, damit gemeldete Phishing-Versuche direkt an Security Operations und Datenschutz weitergeleitet wurden. Die HR-Abteilung erhielt aggregierte, datenschutzkonforme Reports für die Zielgruppensteuerung, während die Revision standardisierte Nachweise über Teilnahme, Testresultate und Fortschritt abrufen konnte. Für Führungskräfte wurden quartalsweise Dashboards aufgesetzt, die Kennzahlen wie Klickrate, Melderate und Wiederholungsquote auswiesen.
Ergänzend definierte das Unternehmen Eskalationslogiken: Wer wiederholt auf Simulationen reagierte, erhielt zeitnah ein vertieftes Coaching. Wer verdächtige Mails korrekt meldete, bekam positives Feedback, um gewünschtes Verhalten zu verstärken. Damit wurde Awareness-Compliance zu einem steuerbaren Prozess statt zu einer einmaligen Kampagne. Das Vorgehen orientierte sich inhaltlich an etablierten Best Practices für Awareness-Compliance vs. Proofpoint, ohne sich auf reine Tool-Funktionen zu beschränken.
Ergebnisse
Nach sechs Monaten zeigte sich eine deutliche Verbesserung. Die Klickrate auf simulierte Phishing-Mails sank von 28 % auf 9 %. Gleichzeitig stieg die Melderate verdächtiger Nachrichten von 22 % auf 61 %. Besonders relevant: In den Bereichen Finance und HR halbierte sich die durchschnittliche Reaktionszeit auf Sicherheitsmeldungen von 14 Stunden auf 6 Stunden. Die Zahl der Mitarbeitenden, die mindestens einmal eine Phishing-Simulation korrekt meldeten, stieg von 184 auf 517.
Auch die Compliance-Seite verbesserte sich messbar. Die Abschlussquote der Pflichtmodule lag nach der Umstellung bei 98 %, und 100 % der geforderten Nachweise standen für den internen Audit-Termin vollständig und konsistent zur Verfügung. In der Revision entfielen Nachforderungen zu Schulungsprotokollen erstmals vollständig. Zudem wurden im gleichen Zeitraum vier real eingehende Phishing-Kampagnen frühzeitig erkannt und innerhalb von 30 Minuten an Security Operations eskaliert. Ein bestätigter CEO-Fraud-Versuch konnte dadurch gestoppt werden, bevor Zahlungsdaten geändert wurden.
Der finanzielle Nutzen war ebenfalls nachvollziehbar: Die geschätzten vermiedenen Kosten aus einem verhinderten Vorfall, reduziertem Incident-Handling und weniger Eskalationsaufwand beliefen sich auf rund 78.000 Euro im ersten Jahr. Dem standen Projekt- und Betriebskosten von 31.000 Euro gegenüber. Das entspricht einem positiven ROI innerhalb von zwölf Monaten.
Lessons Learned
Phishing Awareness wirkt nur dann nachhaltig, wenn sie in Compliance-, IT- und HR-Prozesse eingebettet ist. Einzelne Schulungen ohne Nachweis- und Eskalationslogik liefern keinen belastbaren Risikoeffekt.
Realistische, rollenbezogene Szenarien erzielen bessere Ergebnisse als generische Standardmails. Besonders bei Finanzprozessen müssen Inhalte an Freigaben, Zahlungswege und interne Kommunikation angepasst sein.
Messung ist entscheidend. Klickrate, Melderate und Reaktionszeit sind aussagekräftiger als reine Teilnahmequoten, weil sie das tatsächliche Verhalten abbilden.
Positives Feedback ist wirksamer als reine Sanktionierung. Mitarbeitende, die verdächtige Mails korrekt melden, sollten zeitnah Rückmeldung erhalten, um gewünschtes Verhalten zu stabilisieren.
Datenschutz und Betriebsrat müssen früh eingebunden werden. Nur so entstehen transparente Regeln für Auswertung, Aggregation und Berichtswesen, die intern akzeptiert werden.
Zusammenfassung
Linde & Partner reduzierte das Phishing-Risiko durch ein messbares, rollenbasiertes Awareness-Programm mit klarer Governance und auditfähiger Dokumentation. Die Kombination aus Simulationen, Micro-Learnings und Prozessintegration führte zu deutlich besseren Verhaltenskennzahlen und erfüllte die Anforderungen an Awareness-Compliance. Der Fall zeigt, dass im Finanzsektor nicht die Schulung allein zählt, sondern die nachweisbare Wirksamkeit im Alltag.
Weitere Case Studies
Weiterführende Inhalte:
