Ausgangssituation
Ein mittelständisches Krankenhaus mit 1.450 Mitarbeitenden, 280 Betten und drei angeschlossenen Fachabteilungen stand vor einem typischen, aber kritischen Problem: Die technische Schutzarchitektur war solide, das Verhalten der Mitarbeitenden aber nicht. In den Jahren zuvor waren vereinzelt verdächtige E-Mails gemeldet worden, gleichzeitig zeigte die interne IT, dass Mails mit Login-Aufforderungen regelmäßig geöffnet wurden. Besonders betroffen waren Verwaltung, Pflegekoordination und der ärztliche Dienst, also Bereiche mit hoher Arbeitslast und vielen externen Kommunikationspartnern.
Im Vorfeld eines geplanten Audits wollte die Klinikleitung das Sicherheitsbewusstsein messbar verbessern. Anlass war nicht nur die steigende Zahl von Angriffsversuchen auf das Gesundheitswesen, sondern auch die Erkenntnis, dass klassische Sicherheitsschulungen kaum messbare Verhaltensänderungen erzeugten. Es fehlten belastbare Kennzahlen zu Klickverhalten, Meldequote und Risikobereichen. Deshalb wurde entschieden, eine Phishing-Simulation als Ausgangspunkt für ein strukturiertes Awareness-Programm einzusetzen. Ziel war es, realistische Angriffsszenarien abzubilden, Schwachstellen in der Kommunikation zu identifizieren und den Erfolg der Maßnahmen später objektiv zu bewerten.
Herausforderung
Die zentrale Herausforderung war nicht allein die geringe Sensibilisierung, sondern die fehlende Sichtbarkeit des tatsächlichen Risikos. Im Krankenhaus liefen viele Prozesse parallel: Schichtbetrieb, Zeitdruck, wechselnde Zuständigkeiten und eine hohe Zahl externer E-Mails von Laboren, Lieferanten und Kooperationspartnern. Dadurch fiel es Mitarbeitenden schwer, verdächtige Nachrichten konsequent zu prüfen.
Hinzu kam, dass die IT-Sicherheitsverantwortlichen zwar Schulungsmaßnahmen angeboten hatten, diese aber vor allem allgemeines Wissen vermittelten und keine Verhaltensdaten lieferten. Das führte zu einem blinden Fleck: Niemand konnte präzise sagen, welche Abteilungen besonders anfällig waren, ob die Mitarbeitenden Phishing-Muster überhaupt erkennen und wie schnell Vorfälle gemeldet werden. Für ein Haus mit sensiblen Patientendaten und einem hohen Schutzbedarf war das ein erhebliches Betriebs- und Reputationsrisiko.
Lösungsansatz
Das Krankenhaus entschied sich für eine mehrstufige Phishing-Simulation, kombiniert mit einer kompakten Awareness-Kampagne. Ausschlaggebend war, dass ein realistischer Phishing Test nicht nur Schwachstellen offenlegt, sondern auch eine messbare Basis für Verbesserungen schafft. Als Orientierung diente ein Vorgehen, das sich mit den Grundprinzipien aus Phishing-Simulation & Phishing Test deckt: realistische Szenarien, klare Messgrößen und eine anschließende Auswertung, die nicht sanktioniert, sondern Lernverhalten fördert.
In der ersten Phase wurden vier Kampagnen über acht Wochen verteilt ausgespielt. Die Szenarien orientierten sich an typischen Krankenhausabläufen: angebliche Laborberichte, interne Terminänderungen, Passwortabläufe und Nachrichten von vermeintlichen Lieferanten. Die E-Mails wurden so gestaltet, dass sie im Arbeitsalltag plausibel wirkten, aber bewusst kleine Warnsignale enthielten. Ziel war nicht, Mitarbeitende „hereinzulegen“, sondern das reale Erkennungsvermögen zu testen.
Parallel definierte das Projektteam drei Messgrößen: Öffnungsrate, Klickrate und Melderate an die IT. Zusätzlich wurden Abteilungen mit erhöhter Trefferquote identifiziert, um dort gezielte Nachschulungen anzusetzen. Nach jeder Kampagne erhielten Mitarbeitende eine kurze, kontextbezogene Rückmeldung mit Hinweisen zu den erkennbaren Merkmalen der Nachricht. Besonders wichtig war dabei die Zusammenarbeit zwischen IT, Datenschutz, HR und Stationsleitungen. Denn nur wenn die Kommunikation vertrauenswürdig ist, entsteht aus einer Simulation tatsächlich Sicherheitsbewusstsein.
Im zweiten Schritt wurden Führungskräfte und Teamleitungen eingebunden. Sie erhielten kompakte Briefings mit praktischen Prüfkriterien für verdächtige E-Mails und einem Leitfaden für die interne Ansprache. Damit wurde die Phishing-Simulation nicht als einmalige Maßnahme, sondern als Bestandteil eines kontinuierlichen Awareness-Prozesses verankert.
Ergebnisse
Bereits nach der ersten Kampagne zeigte sich ein klares Bild: Die initiale Klickrate lag bei 27 Prozent, die Melderate bei 8 Prozent. Besonders häufig reagierten Verwaltungsbereiche auf vermeintliche Termin- und Dokumentenlinks. Nach vier Kampagnen und gezielten Nachschulungen sank die Klickrate innerhalb von sechs Monaten auf 9 Prozent. Gleichzeitig stieg die Melderate auf 31 Prozent.
Auch die Reaktionszeit verbesserte sich deutlich. Verdächtige E-Mails wurden im Schnitt nach 14 Stunden gemeldet, zuvor lag der Wert bei 41 Stunden. In zwei Fällen konnte die IT dank früher Meldung interne Warnhinweise an andere Mitarbeitende senden, bevor weitere Nutzer auf die Nachricht klickten. Das reduzierte das operative Risiko spürbar.
Aus Managementsicht war der ROI nachvollziehbar: Die Kosten für die Phishing-Simulation, Begleitung und Nachschulungen lagen deutlich unter den geschätzten Kosten eines einzelnen Vorfalls mit Betriebsunterbrechung, Forensik und Kommunikationsaufwand. Zusätzlich verbesserte sich die Audit-Fähigkeit des Hauses, weil erstmals verwertbare Kennzahlen zur Awareness vorlagen. Die Erkenntnisse bestätigten auch die Unterschiede zwischen bloßer Schulung und Verhaltensänderung, wie sie in der Debatte um Phishing-Simulation vs. Sicherheitsbewusstsein: Wege regelmäßig herausgearbeitet werden.
Lessons Learned
- Messbarkeit ist entscheidend: Ohne Klickrate, Melderate und Reaktionszeit bleibt Awareness ein abstraktes Ziel.
- Realistische Szenarien wirken stärker als generische Schulungen, weil sie den Arbeitsalltag der Zielgruppen abbilden.
- Führungskräfte müssen eingebunden werden, sonst bleibt die Maßnahme ein reines IT-Thema.
- Rückmeldung unmittelbar nach der Simulation erhöht den Lerneffekt deutlich.
- Phishing-Simulationen sollten regelmäßig wiederholt werden, damit sich ein nachhaltiges Sicherheitsverhalten entwickelt.
Zusammenfassung
Das Krankenhaus senkte durch eine strukturierte Phishing-Simulation die Klickrate deutlich und steigerte gleichzeitig die Meldebereitschaft der Mitarbeitenden. Entscheidend waren realistische Szenarien, klare Kennzahlen und die enge Zusammenarbeit von IT, HR und Führungskräften. Die Maßnahme verbesserte nicht nur das Sicherheitsbewusstsein, sondern auch die Auditfähigkeit und Reaktionsgeschwindigkeit im Ernstfall.
Weitere Case Studies
Ein ähnlicher Effekt wurde auch in anderen Branchen beobachtet, etwa in einer Phishing-Simulation im Logistikunternehmen: Weniger Klicks.
Weiterführende Inhalte:
