Ausgangssituation
Die fiktive HelixPharma GmbH ist ein mittelständischer Pharmadienstleister mit 1.250 Mitarbeitenden an drei Standorten in Deutschland und Österreich. Das Unternehmen verarbeitet regelmäßig personenbezogene Gesundheitsdaten, unterliegt strengen regulatorischen Anforderungen und arbeitet mit mehreren externen Laboren, Logistikpartnern und Forschungsdienstleistern zusammen. Vor Projektstart gab es bereits ein klassisches Security-Awareness-Programm, das jedoch uneinheitlich umgesetzt wurde: E-Learnings wurden zwar verteilt, aber nur 68 % der Mitarbeitenden schlossen sie fristgerecht ab. Phishing-Simulationen liefen sporadisch, und Compliance-Inhalte wurden getrennt von IT-Sicherheit und HR vermittelt.
Parallel stieg der Druck durch interne Audits und externe Prüfungen. In den zwölf Monaten vor Projektbeginn wurden 14 sicherheitsrelevante Vorfälle dokumentiert, darunter drei erfolgreiche Phishing-Angriffe mit anschließender Kontoübernahme sowie mehrere Verstöße gegen Richtlinien zur Datenweitergabe. Besonders kritisch war, dass Führungskräfte keine belastbaren Kennzahlen zur Wirksamkeit der Awareness-Maßnahmen vorlegen konnten. Das Unternehmen suchte daher nach einem Ansatz, der nicht nur Schulungen ausrollt, sondern Awareness als steuerbare Compliance-Maßnahme in das operative Risikomanagement, Governance & Risk & Compliance integriert.
Herausforderung
Das Kernproblem lag nicht im Fehlen von Schulungsinhalten, sondern in der fehlenden Verknüpfung von Verhalten, Kontrolle und Nachweis. Die Inhalte waren zu allgemein, für einzelne Rollen kaum relevant und nicht auf die tatsächlichen Risiken der Organisation zugeschnitten. IT-Security, Datenschutz und HR arbeiteten mit unterschiedlichen Zielbildern und Messgrößen. Dadurch entstanden Lücken bei Eskalation, Dokumentation und Verantwortlichkeit.
Die Folgen waren messbar: Wiederholte Verstöße gegen Passwortrichtlinien, unsichere Datenweitergabe per E-Mail und unklare Reaktionen auf Phishing-Versuche führten zu zusätzlichem Aufwand in IT, Datenschutz und Führungskräften. Interne Audits bemängelten zudem, dass Awareness-Maßnahmen zwar vorhanden, aber nicht revisionssicher dokumentiert waren. Für das Management wurde deutlich, dass ein Compliance-Programm ohne Verhaltensmessung und belastbare KPIs weder wirksam noch prüffähig ist.
Lösungsansatz
HelixPharma entschied sich für einen Ansatz, bei dem Awareness-Compliance als Teil des betrieblichen Kontrollsystems umgesetzt wurde. Ziel war nicht nur Wissensvermittlung, sondern die messbare Reduktion risikorelevanten Verhaltens. Das Programm wurde gemeinsam von Compliance, Datenschutz, IT-Security und HR entwickelt und in drei Stufen eingeführt.
Zunächst erfolgte eine Risikobewertung entlang der wichtigsten Szenarien: Phishing, Datenweitergabe, Remote Work, Umgang mit Gesundheitsdaten und Richtlinienverstöße durch Führungskräfte. Auf dieser Basis wurden Zielgruppen definiert und Inhalte rollenspezifisch aufgebaut. Mitarbeitende in Verwaltung, Produktion, Einkauf und Management erhielten unterschiedliche Lernpfade. Die Inhalte wurden an reale Fälle aus dem Unternehmen angepasst, um Relevanz und Wiedererkennung zu erhöhen. Ergänzend wurden verpflichtende Kurzmodule mit Szenario-Fragen eingeführt.
Im zweiten Schritt wurde das Reporting standardisiert. Das Team definierte Kennzahlen nach dem Vorbild eines Risk & Compliance: KPI-Framework für Awareness-Programme: Abschlussquoten, Click-Rate in Phishing-Simulationen, Meldequote verdächtiger E-Mails, Wiederholungsverstöße und Zeit bis zur Eskalation. Diese Werte wurden monatlich an Compliance und das Management berichtet. Für kritische Gruppen wurden zusätzliche Schutzmaßnahmen aktiviert, etwa verstärkte Simulationen und gezielte Nachschulungen.
Drittens wurde das Programm organisatorisch verankert. HR koppelte die Teilnahme an Onboarding und jährliche Pflichtprozesse. Führungskräfte erhielten einen eigenen Leitfaden zur Vorbildrolle und zur Eskalation bei Verstößen. Für die Governance wurden Verantwortlichkeiten, Freigabeprozesse und Audit-Nachweise dokumentiert. So entstand ein steuerbarer Prozess statt einer einmaligen Schulungskampagne. Bei der Auswahl der Plattform orientierte sich das Unternehmen auch an der Frage, wie sich Lösungen funktional und organisatorisch unterscheiden; die interne Bewertung stützte sich unter anderem auf den Vergleich Awareness-Compliance vs. MetaCompliance.
Ergebnisse
Nach sechs Monaten zeigte sich eine deutliche Verbesserung. Die fristgerechte Abschlussquote stieg von 68 % auf 97 %. Die durchschnittliche Klickrate in Phishing-Simulationen sank von 21 % auf 6,4 %. Besonders stark war der Effekt bei den Mitarbeitenden mit direktem Zugriff auf sensible Daten: Dort halbierte sich die Anzahl der risikorelevanten Verstöße innerhalb eines Quartals.
Auch operativ waren die Effekte sichtbar. Die Zahl der gemeldeten verdächtigen E-Mails stieg um 43 %, was als positives Signal für erhöhte Wachsamkeit gewertet wurde. Die Zeit bis zur Eskalation eines Vorfalls reduzierte sich im Mittel von 18 Stunden auf 4,5 Stunden. Bei zwei späteren Phishing-Kampagnen wurde kein Konto kompromittiert. Im Audit wurden die Maßnahmen erstmals als revisionssicher dokumentiert bewertet.
Finanziell rechnete HelixPharma die vermiedenen Incident-Kosten, den reduzierten IT-Aufwand und die geringeren Aufwände für Nachbearbeitung konservativ mit 126.000 Euro pro Jahr. Bei Programmkosten von 54.000 Euro ergab sich ein ROI von rund 133 % innerhalb von zwölf Monaten.
Lessons Learned
Erstens wirkt Awareness nur dann nachhaltig, wenn sie an konkrete Risiken und Rollen geknüpft ist. Allgemeine Pflichtschulungen erzeugen Wissen, aber kein verlässliches Verhalten. Zweitens braucht ein wirksames Programm belastbare Kennzahlen. Ohne KPI-gestützte Steuerung bleibt unklar, ob Maßnahmen tatsächlich Risiken senken. Drittens ist die organisatorische Verankerung entscheidend: Wenn HR, IT-Security, Datenschutz und Compliance getrennt agieren, entstehen Nachweis- und Umsetzungsprobleme.
Viertens verbessert ein klarer Eskalations- und Nachschulungsprozess die Reaktionsfähigkeit messbar. Fünftens sollte Awareness-Compliance nicht als isoliertes Trainingsprojekt betrachtet werden, sondern als Teil des Governance-Systems.
Zusammenfassung
HelixPharma hat Awareness-Compliance als steuerbare Risikomanagement-Maßnahme eingeführt und damit die Wirksamkeit von Schulungen, Meldeverhalten und Kontrollen deutlich erhöht. Die Kombination aus rollenspezifischen Inhalten, KPI-basierter Steuerung und klarer Governance führte zu weniger Vorfällen und besserer Audit-Fähigkeit. Für mittelständische und große Unternehmen zeigt der Fall: Awareness wird erst dann wirksam, wenn sie organisatorisch messbar und prüffähig umgesetzt wird.
Weitere Case Studies
Weiterführende Inhalte:
