Ausgangssituation
Die DeltaForm AG ist ein mittelständischer Hersteller von Präzisionskomponenten mit rund 1.800 Mitarbeitenden an drei Standorten in Deutschland und Polen. Das Unternehmen arbeitet mit einem hohen Anteil an E-Mail-basierter Kommunikation mit Kunden, Lieferanten und Logistikpartnern. Gleichzeitig wächst der Anteil hybrider Arbeitsplätze, wodurch die Angriffsfläche für Social-Engineering-Angriffe zunimmt. Die IT-Sicherheitsabteilung stellte fest, dass Phishing-Mails in den vergangenen zwölf Monaten mehrfach zu Account-Abfragen, Rückrufen und einzelnen Malware-Blockierungen geführt hatten. Ein echter Sicherheitsvorfall mit Datenabfluss trat zwar nicht auf, aber die interne Risikoanalyse bewertete Phishing als einen der wahrscheinlichsten Einstiegswege für Angriffe auf Produktions- und Finanzsysteme.
Parallel dazu forderte der Vorstand belastbare Kennzahlen zum Sicherheitsniveau. Bis dahin gab es nur Einzelmeldungen aus dem Helpdesk und vereinzelte Awareness-Schulungen ohne konsistente Messung. Der CISO benötigte ein Reporting, das nicht nur technische Ergebnisse, sondern auch Management-relevante Aussagen enthält: Risikotrend, Teilnahmequote, Klickrate, Meldeverhalten und Ableitung konkreter Maßnahmen. Gesucht wurde daher eine strukturierte Phishing-Simulation mit standardisiertem Reporting, das sowohl IT als auch HR und Führungskräfte einbindet und als Grundlage für Reporting für CISO: Phishing-Risiken verständlich dient.
Herausforderung
Die zentrale Herausforderung bestand darin, Sicherheit messbar zu machen, ohne die Belegschaft zu demotivieren. Frühere Awareness-Aktionen hatten kaum Wirkung gezeigt, weil sie nicht zielgruppenspezifisch waren und keine nachvollziehbare Baseline lieferten. Gleichzeitig fehlte ein Management-Reporting, das den Reifegrad der Organisation in einer Sprache darstellt, die für Vorstand und Bereichsleitungen verständlich ist.
Hinzu kam die organisatorische Komplexität: Produktionsmitarbeitende, kaufmännische Teams und Führungskräfte hatten unterschiedliche Risikoprofile und nutzten verschiedene Endgeräte und Kommunikationskanäle. Die IT musste außerdem sicherstellen, dass die Übung rechtlich und betrieblich unkritisch bleibt, also keine operativen Prozesse stört und keine personenbezogene Einzelauswertung ohne Zweckbindung entsteht. Das Unternehmen brauchte daher eine Lösung, die sich an realistischen Angriffsmustern orientiert, sauber segmentiert auswertet und Management-Daten mit operativen Maßnahmen verbindet. Für die Projektbeteiligten war klar: Ohne belastbares Reporting bleibt Phishing ein abstraktes Thema, obwohl es praktisch ein Cyber-Risiko, Reporting & Management Buy-in Problem ist.
Lösungsansatz
DeltaForm entschied sich für eine mehrstufige Phishing-Simulation mit begleitendem Awareness-Programm und einem Management-Dashboard. Ziel war nicht nur, das Fehlverhalten einzelner Mitarbeitender zu testen, sondern Muster sichtbar zu machen: Welche Szenarien funktionieren? Welche Standorte reagieren wie? Wer meldet verdächtige Mails frühzeitig? Und wie entwickeln sich diese Kennzahlen über Zeit? Die Auswahl fiel auf eine Lösung, die Kampagnenplanung, Rollenzuordnung, Auswertung und Reporting in einem zentralen System bündelt. Entscheidend war zudem die Möglichkeit, Berichte nach Zielgruppen aufzubereiten, damit der Vorstand nicht in technischen Detailwerten, sondern in Risikotrends und Handlungsfeldern informiert wird.
Die Umsetzung begann mit einer vierwöchigen Baseline-Phase. In dieser Zeit wurden keine Trainings ausgelöst, sondern realitätsnahe Simulationen mit drei Typen von Szenarien ausgespielt: Paketbenachrichtigungen, Passwort-Reset-Mails und interne Freigabeanfragen mit vermeintlichem Zahlungsbezug. Die Kampagnen wurden nach Standort, Funktion und Hierarchieebene segmentiert. Für Führungskräfte gab es eigene Szenarien mit erhöhtem Vertrauensfaktor, für Produktionsteams einfache, aber häufige Phishing-Muster. Die Ergebnisse wurden im Sinne von Phishing-Simulation & Phishing Test so aufbereitet, dass technische und organisatorische Maßnahmen voneinander getrennt bewertet werden konnten.
Im zweiten Schritt folgte eine abgestufte Intervention: Nach dem Klick auf eine simulierte Mail wurden sofort kontextsensitive Hinweise eingeblendet, bei wiederholten Auffälligkeiten wurde ein kurzes Micro-Learning vorgeschaltet. Gleichzeitig erhielt die Security-Abteilung ein Dashboard mit Quoten zu Zustellung, Klicks, Eingaben auf Fake-Landingpages, Meldeverhalten und Wiederholungsfällen. HR unterstützte bei der internen Kommunikation, um die Maßnahme als Lernprogramm und nicht als Bloßstellung zu positionieren. Das Management-Reporting wurde monatlich erstellt und enthielt eine Ampellogik, Trendlinien sowie konkrete Empfehlungen für Schulungsschwerpunkte. Ergänzend wurden ausgewählte Inhalte aus dem bestehenden Awareness Training & Mitarbeiterschulung eingebunden, um die Erkenntnisse aus der Simulation direkt in Lernmodule zu überführen.
Ergebnisse
Bereits nach sechs Monaten zeigten sich klare Veränderungen. In der Baseline lag die Klickrate bei 21,4 Prozent, die Meldequote verdächtiger Mails bei 8,7 Prozent. Nach drei Kampagnen und begleitenden Awareness-Maßnahmen sank die Klickrate auf 9,3 Prozent. Gleichzeitig stieg die Meldequote auf 31,6 Prozent. Besonders relevant für das Management: Die Zahl der Mitarbeitenden, die auf Fake-Landingpages Daten eingaben, ging von 6,1 Prozent auf 1,8 Prozent zurück.
Auf Standortebene zeigte sich ein differenziertes Bild. Der größte Standort reduzierte die Klickrate um 58 Prozent, während im Werk in Polen zunächst ein leicht erhöhter Wert sichtbar wurde, der auf Sprachvarianten und Schichtmodelle zurückgeführt wurde. Nach Anpassung der Szenarien verbesserten sich auch dort die Ergebnisse deutlich. Insgesamt wurden 1.740 Mitarbeitende erreicht, die Teilnahmequote an den Micro-Learnings lag bei 84 Prozent. Der CISO nutzte das Reporting, um dem Vorstand erstmals eine belastbare Entwicklungskurve statt Einzelereignissen zu präsentieren. Der interne Aufwand für manuelle Auswertungen sank um rund 12 Stunden pro Monat. Bezogen auf die eingesparte Arbeitszeit und die vermiedene Eskalation einzelner Vorfälle ergab sich innerhalb von neun Monaten ein positiver ROI. Für die Geschäftsleitung war vor allem wichtig, dass Risiken nicht nur gemessen, sondern in eine nachvollziehbare Managementsicht übersetzt wurden. Genau hier half die Verknüpfung von operativer Simulation und strategischer Berichtslogik, wie sie auch in der Betrachtung von Phishing-Simulation vs. Cyber-Risiko: Messung im Vergleich beschrieben wird.
Lessons Learned
Erstens: Eine Phishing-Simulation wirkt nur dann nachhaltig, wenn sie regelmäßig und mit variierenden Szenarien durchgeführt wird. Einzelaktionen erzeugen Aufmerksamkeit, aber keine belastbare Verhaltensänderung.
Zweitens: Das Management braucht keine Rohdaten, sondern verdichtete Aussagen über Risikoentwicklung, Zielgruppen und Fortschritt. Ein gutes Reporting erhöht die Chance auf Budget- und Prioritätsentscheidungen.
Drittens: Segmentierung ist entscheidend. Produktionsbereiche, Verwaltung und Führungskräfte reagieren unterschiedlich auf dieselben Muster; ein einheitlicher Ansatz verschleiert diese Unterschiede.
Viertens: Awareness funktioniert besser, wenn Feedback unmittelbar erfolgt und mit kurzen Lernimpulsen verknüpft ist. So wird aus der Simulation ein Lernprozess statt einer reinen Messung.
Zusammenfassung
DeltaForm hat mit einer strukturierten Phishing-Simulation die Sicherheitslage messbar verbessert und die Klickrate innerhalb von sechs Monaten mehr als halbiert. Gleichzeitig stieg das Meldeverhalten deutlich an, was die Reaktionsfähigkeit der Organisation stärkte. Entscheidend war nicht nur die technische Durchführung, sondern das Management-Reporting, das Sicherheitsdaten in klare Handlungsentscheidungen übersetzte.
Weitere Case Studies
Weiterführende Inhalte:
