Ausgangssituation
Die Nordlogistik GmbH ist ein mittelständisches Logistikunternehmen mit rund 1.200 Mitarbeitenden an acht Standorten in Deutschland. Das Unternehmen steuert Lager, Transport und Disposition für Industrie- und Handelskunden; etwa 55 Prozent der Belegschaft arbeiten in Schichtsystemen, viele ohne festen Büroarbeitsplatz. Die IT-Landschaft ist heterogen: zentrale Dienste am Hauptsitz, mobile Endgeräte für Außendienst und Lagerleitung sowie ein hoher Anteil an E-Mail-Kommunikation mit Spediteuren, Kunden und Subunternehmern. Genau diese Struktur machte das Unternehmen anfällig für zielgerichtete Angriffe über E-Mail.
Auslöser für das Projekt war eine Häufung von Security-Vorfällen im Jahr zuvor: Drei Mitarbeitende meldeten verdächtige Zahlungsanweisungen, ein Konto wurde nach einem Credential-Harvesting-Versuch kompromittiert, und im vierten Quartal stieg die Zahl der gemeldeten Phishing-Mails auf 41, davon 12 mit tatsächlichem Klick auf einen schädlichen Link. Gleichzeitig zeigte eine interne Auswertung, dass nur 38 Prozent der Belegschaft verdächtige Mails korrekt erkannte. Die Geschäftsführung und der CISO beschlossen deshalb, die Phishing-Simulation & Phishing Test als Bestandteil des Awareness-Programms einzuführen.
Herausforderung
Das Kernproblem war nicht ein einzelner Vorfall, sondern ein strukturelles Muster: Sicherheitswissen war vorhanden, wurde aber im Arbeitsalltag zu selten angewendet. Besonders in der Disposition und im Lager dominierten Zeitdruck, Unterbrechungen und mobile Nutzung. Dadurch stiegen die Chancen, dass Mitarbeitende eine präparierte Nachricht in einem ungünstigen Moment öffneten.
Hinzu kam, dass frühere Awareness-Maßnahmen vor allem aus E-Learnings bestanden. Die Abschlussquoten waren hoch, der Lerneffekt im Verhalten jedoch gering. Für IT und HR war außerdem wichtig, eine Lösung zu finden, die nicht als Kontrolle oder Bloßstellung wahrgenommen wurde. Das Unternehmen brauchte ein Format, das Sicherheitsverhalten messbar verbessert, ohne die Akzeptanz in der Belegschaft zu gefährden. Entscheidend war daher ein Vorgehen, das kontinuierlich misst, gezielt nachschult und unterschiedliche Risikogruppen berücksichtigt.
Lösungsansatz
Nordlogistik entschied sich für ein mehrstufiges Programm, das Phishing-Simulationen mit kurzen, zielgruppenspezifischen Lernimpulsen verband. Die Einführung wurde gemeinsam von IT-Security, HR und Betriebsrat vorbereitet. Zunächst definierten die Beteiligten klare Spielregeln: keine personenbezogene Sanktionierung, transparente Kommunikation über das Ziel des Programms und eine Auswertung auf Gruppenebene für Führungskräfte. Diese Rahmenbedingungen waren wichtig, um Vertrauen zu schaffen.
In der ersten Phase wurde eine Baseline erhoben. Über vier Wochen liefen drei simulierte Kampagnen mit unterschiedlichen Schwierigkeitsgraden: eine Rechnungsversion für die Buchhaltung, eine Paketbenachrichtigung für Lager und Disposition sowie eine angebliche Passwortablauf-Meldung für Büroarbeitsplätze. Die Kampagnen wurden bewusst an die Kommunikationsrealität des Unternehmens angepasst, um realistische Risiken abzubilden. Die Auswahl der Szenarien orientierte sich an typischen Mustern aus dem Alltag, wie sie auch in der internen Schulung zu Phishing-Simulation als Lernzyklus gestalten beschrieben werden.
Auf Basis der ersten Ergebnisse wurden drei Maßnahmen umgesetzt: Erstens erhielten alle Mitarbeitenden direkt nach einem Fehlklick eine kurze, interaktive Rückmeldung mit konkreten Hinweisen zur Erkennung verdächtiger Merkmale. Zweitens bekamen Abteilungen mit erhöhtem Risiko alle sechs Wochen neue Simulationen, ergänzt um kurze Micro-Learnings von drei bis fünf Minuten. Drittens wurden Führungskräfte monatlich mit aggregierten Kennzahlen versorgt, um das Thema in Teamroutinen zu verankern. Für die Bewertung der Wirksamkeit definierte das Projektteam klare Metriken: Klickrate, Melderate, Zeit bis zur Meldung und Wiederholungsquote bei denselben Mustern. Bei der Konzeption wurde außerdem zwischen simuliertem Angriff und allgemeinem Sensibilisierungstest unterschieden, um Missverständnisse zu vermeiden; dabei half die interne Einordnung in Phishing-Simulation vs. Phishing Test: Unterschiede.
Technisch wurde das Programm in das bestehende IAM- und Ticket-Setup eingebettet. Verdächtige Meldungen aus den Simulationen wurden nicht in den operativen SOC-Workflow einspeist, sondern getrennt ausgewertet, um den laufenden Betrieb nicht zu belasten. Parallel führte HR eine begleitende Kommunikation ein: In kurzen Beiträgen im Intranet wurden typische Betrugsmaschen erklärt, ohne einzelne Fehlerfälle zu thematisieren. Nach sechs Monaten wurde das Programm auf weitere Standorte ausgerollt.
Ergebnisse
Bereits nach dem ersten Halbjahr zeigte sich ein klarer Effekt. Die Klickrate auf simulierte Phishing-Mails sank von 32 Prozent in der Baseline auf 11 Prozent. Die Melderate stieg im selben Zeitraum von 38 auf 67 Prozent. Besonders deutlich war die Entwicklung in den operativen Bereichen: In Lager und Disposition halbierte sich die Klickrate von 41 auf 19 Prozent, nachdem die Kampagnen stärker auf die dortige Arbeitsrealität zugeschnitten worden waren.
Nach zwölf Monaten lag die unternehmensweite Klickrate stabil bei 7 Prozent. Gleichzeitig erhöhte sich die durchschnittliche Zeit bis zur Meldung einer verdächtigen Nachricht von 4,5 Stunden auf 58 Minuten. Die Wiederholungsquote bei identischen Angriffsmustern fiel von 24 auf 9 Prozent. Für das Management war vor allem relevant, dass es im Beobachtungszeitraum keinen erfolgreichen Phishing-bedingten Kontokompromittierungsfall mehr gab. Der finanzielle Nutzen war indirekt, aber plausibel: Ein vermiedener Incident mit Forensik, Produktivitätsausfall und möglicher Geschäftsunterbrechung wurde konservativ mit rund 85.000 Euro bewertet. Dem standen Programmkosten von etwa 24.000 Euro pro Jahr gegenüber.
Lessons Learned
Erstens wirkt Phishing-Prävention dann am besten, wenn sie wiederholt, kurz und arbeitsnah ist. Ein einmaliges Training verändert Verhalten kaum nachhaltig.
Zweitens müssen Szenarien zur Realität der Zielgruppen passen. In Logistik, Produktion und Schichtarbeit funktionieren allgemeine Büro-Mails schlechter als fachlich plausible Angriffe aus dem Tagesgeschäft.
Drittens ist Transparenz entscheidend. Wenn Mitarbeitende verstehen, dass es um Lernfortschritt und nicht um Schuldzuweisung geht, steigt die Akzeptanz deutlich.
Viertens sollten Ergebnisse auf Abteilungs- und nicht nur auf Unternehmensebene ausgewertet werden. So lassen sich gezielte Nachschulungen dort einsetzen, wo das Risiko am höchsten ist.
Zusammenfassung
Nordlogistik reduzierte die Klickrate auf simulierte Phishing-Mails innerhalb von zwölf Monaten von 32 auf 7 Prozent. Der Erfolg beruhte auf realistischen Szenarien, kurzen Lernimpulsen und einer klaren Trennung zwischen Schulung und Sanktionierung. Das Projekt zeigte, dass eine gut geplante Phishing-Simulation im Mittelstand messbar zur Risikoreduktion beiträgt.
Weitere Case Studies
Weiterführende Inhalte:
