Ausgangssituation
Die fiktive HavelNord GmbH ist ein mittelständischer Hersteller von Industriekomponenten mit rund 1.200 Mitarbeitenden an drei Standorten in Deutschland. Besonders anfällig für Social-Engineering-Angriffe war der Bereich HR: rund 90 Personen arbeiten dort mit Bewerberdaten, Vertragsunterlagen, Payroll-Informationen und Zugriffen auf interne Systeme. In den vergangenen zwölf Monaten hatte das Unternehmen bereits drei realistische Phishing-Vorfälle gemeldet, darunter gefälschte Bewerberanfragen mit schadhaften Anhängen und ein Angriff auf den E-Mail-Account einer HR-Managerin.
Die Geschäftsführung hatte bereits einmal jährlich eine generische Security-Awareness-Schulung eingeführt. Die Teilnahmequote lag zwar bei 98 Prozent, aber die Wirksamkeit blieb unklar. In einer internen Stichprobe klickten 41 Prozent der HR-Mitarbeitenden auf einen simulierten Phishing-Link; 17 Prozent gaben anschließend ihre Zugangsdaten ein. Für die IT war das ein Hinweis auf ein strukturelles Problem: Sicherheitswissen wurde vermittelt, aber nicht verhaltenswirksam verankert. Für HR war es zugleich ein Reputations- und Prozessrisiko, weil sensible Daten und Freigaben dort besonders häufig per E-Mail verarbeitet werden. Das Ziel war deshalb nicht mehr ein Einmal-Training, sondern ein messbarer Lernprozess im Rahmen der Security Awareness.
Herausforderung
Das Kernproblem lag nicht im fehlenden Grundwissen, sondern im Transfer in den Arbeitsalltag. HR-Mitarbeitende standen unter hohem Zeitdruck, bearbeiteten viele externe Anfragen und konnten verdächtige Nachrichten oft nur schwer von legitimer Kommunikation unterscheiden. Besonders kritisch waren Themen wie Bewerberkommunikation, Gehaltsänderungen und Freigaben mit hoher Dringlichkeit.
Hinzu kam, dass die bisherigen Trainings zu allgemein gehalten waren. Inhalte zu Cloud-Zugängen, Admin-Konten oder technischen Angriffsvektoren trafen den Alltag der HR-Abteilung nur teilweise. Dadurch entstand ein Bekanntheitseffekt ohne nachhaltige Verhaltensänderung. Die Folge: wiederkehrende Fehlklicks, unsichere Meldungen an die IT und eine geringe Bereitschaft, verdächtige Mails konsequent zu melden. Für die Compliance bedeutete das ein erhöhtes Risiko bei personenbezogenen Daten und eine Schwäche im Nachweis wirksamer Präventionsmaßnahmen. Die Geschäftsleitung verlangte daher ein Programm, das zielgruppenspezifisch, messbar und in bestehende HR-Prozesse integrierbar war.
Lösungsansatz
HavelNord entschied sich für ein mehrstufiges Awareness-Programm mit Fokus auf HR-spezifische Phishing-Simulationen und begleitende Micro-Learnings. Grundlage war die Annahme, dass wirksame Security Awareness nicht durch eine einzelne Schulung entsteht, sondern durch wiederholte Impulse, Feedback und messbare Fortschritte. Inhaltlich orientierte sich das Programm an typischen Angriffsszenarien aus dem HR-Alltag: Bewerbungsunterlagen mit Makros, gefälschte Nachrichten von angeblichen Führungskräften, Passwort-Resets, Dokumentenfreigaben und Rechnungsanhänge.
Die Umsetzung erfolgte in vier Schritten. Erstens wurde mit HR, IT-Security und Compliance ein Bedrohungsprofil erstellt, um reale Kommunikationsmuster und risikoreiche Prozesse zu identifizieren. Zweitens wurden monatliche Phishing-Simulationen aufgesetzt, die sich im Schwierigkeitsgrad steigerten. Dabei kamen unterschiedliche Vorlagen, Betreffzeilen und Zeitpunkte zum Einsatz, um nicht nur das Erkennen, sondern auch das Meldeverhalten zu testen. Drittens erhielten Mitarbeitende unmittelbar nach einem Klick oder einer Meldung kurzes, kontextbezogenes Feedback mit konkreten Verhaltenshinweisen. Ergänzend wurden kurze Lernmodule zu Phishing-Simulation und Social Engineering bereitgestellt, damit die Ursache des Angriffs verständlich blieb. Viertens wurde das Programm in bestehende HR- und Onboarding-Prozesse integriert, sodass neue Mitarbeitende von Beginn an mit denselben Szenarien arbeiteten.
Wichtig war außerdem die Trennung von Lernen und Sanktion. Das Ziel war nicht Kontrolle, sondern messbare Verbesserung. Deshalb wurden Ergebnisse auf Team- und Bereichsebene berichtet, nicht personalisiert an Führungskräfte weitergegeben. Parallel führte das Team ein einheitliches Meldeschema ein, damit verdächtige Nachrichten schneller an die IT eskaliert werden konnten. Die Frequenz der Trainings orientierte sich an der Empfehlung, kurze, regelmäßige Formate einzusetzen statt seltener, langer Schulungen; dazu passten die internen Vorgaben aus Awareness Training: Formate, Frequenz und Wirkung.
Ergebnisse
Nach sechs Monaten zeigte sich ein klarer Vorher-Nachher-Effekt. Die Klickrate auf simulierte Phishing-Mails in der HR-Abteilung sank von 41 Prozent auf 14 Prozent. Die Quote der Personen, die Zugangsdaten eingaben, fiel von 17 Prozent auf 3 Prozent. Gleichzeitig stieg die Melderate verdächtiger E-Mails von 22 Prozent auf 68 Prozent. Besonders relevant: Die durchschnittliche Zeit bis zur Meldung an die IT verkürzte sich von 19 Minuten auf 6 Minuten.
Im gesamten Unternehmen, in dem das Programm später auf weitere Abteilungen ausgerollt wurde, reduzierte sich die Zahl der bestätigten Phishing-Vorfälle innerhalb von neun Monaten um 38 Prozent. Für HR bedeutete das zusätzlich eine spürbare Entlastung, weil weniger Fälle in Einzelfreigaben und Ausnahmeprozessen endeten. Die Kosten für das Programm lagen im ersten Jahr bei rund 18.000 Euro, einschließlich Simulationen, Lernmodule und interner Koordination. Demgegenüber standen vermiedene Incident-Aufwände von geschätzt 54.000 Euro, vor allem durch reduzierte Bearbeitungszeiten, weniger Eskalationen und geringere Wiederherstellungsmaßnahmen. Der grob berechnete ROI lag damit bei rund 3:1. Noch wichtiger als die reine Kennzahl war jedoch der Nachweis, dass Security Awareness im HR-Bereich messbar zu sichererem Verhalten führte.
Lessons Learned
- Allgemeine Awareness-Trainings reichen für HR selten aus. Wirksam wird Schulung erst, wenn sie auf typische Arbeitsrealitäten und Angriffsmuster zugeschnitten ist.
- Regelmäßige Phishing-Simulationen liefern bessere Lernergebnisse als einmalige Pflichtschulungen, weil Verhalten unter realistischen Bedingungen trainiert wird.
- Sofortiges Feedback nach einem Fehlverhalten ist entscheidend. So wird aus einem Klick ein Lerneffekt, nicht nur ein Reporting-Ereignis.
- Die Meldequote ist ein ebenso wichtiger KPI wie die Klickrate. Eine steigende Meldedisziplin verbessert die Erkennungszeit für die gesamte Organisation.
- Ohne Einbindung von HR-Führung und Compliance bleibt Security Awareness ein IT-Thema. Erst die Integration in Prozesse und Onboarding macht sie nachhaltig.
Zusammenfassung
Die HavelNord GmbH ersetzte ein einmaliges Sicherheitstraining durch ein kontinuierliches, HR-spezifisches Awareness-Programm. Durch wiederholte Phishing-Simulationen, kurzes Feedback und klare Meldeprozesse sanken Klick- und Eingaberaten deutlich, während die Meldedisziplin spürbar stieg. Die Case Study zeigt: Security Awareness wirkt dann am besten, wenn sie zielgruppengenau, messbar und in den Arbeitsalltag integriert ist.
Weitere Case Studies
Weiterführende Inhalte:
