Ausgangssituation
Eine mittelgroße Genossenschaftsbank mit rund 1.450 Mitarbeitenden und 86 Filialen in Süddeutschland stand 2024 vor einer typischen, aber geschäftskritischen Herausforderung: Trotz etablierter IT-Sicherheitsrichtlinien blieb das Verhalten der Beschäftigten in Bezug auf verdächtige E-Mails uneinheitlich. Die Bank verarbeitet täglich hohe Volumina an internen und externen Nachrichten, darunter Kundenanfragen, Zahlungsfreigaben und Dokumentenprozesse. Genau diese Umgebung machte sie anfällig für gezielte Phishing-Angriffe.
Im Vorjahr wurden 14 sicherheitsrelevante Vorfälle dokumentiert, davon neun mit E-Mail-Bezug. Zwei davon führten zu unautorisierten Login-Versuchen auf interne Systeme; ein Vorfall verursachte einen dreistelligen Stundenaufwand in IT und Fachbereich für Analyse, Sperrung und Nachbearbeitung. Eine interne Auswertung zeigte außerdem, dass nur 58 % der Mitarbeitenden im ersten Versuch eine simulierte Phishing-Mail korrekt meldeten. Besonders betroffen waren Fachbereiche mit hohem Kommunikationsaufkommen, darunter Kundenservice, Zahlungsverkehr und Marktfolge.
Die Geschäftsführung definierte Security Awareness daher nicht als reines Schulungsthema, sondern als Bestandteil des operativen Risikomanagements. Ziel war es, das Verhalten messbar zu verbessern und die Meldedisziplin im Alltag zu erhöhen.
Herausforderung
Das Kernproblem war nicht mangelndes Wissen über Cyberrisiken, sondern die Lücke zwischen theoretischer Schulung und tatsächlichem Verhalten im Arbeitsalltag. Die Bank hatte bereits E-Learnings, jährliche Pflichtunterweisungen und technische Schutzmaßnahmen im Einsatz. Dennoch klickten Mitarbeitende in realistischen Tests auf präparierte Links oder gaben Zugangsdaten in nachgebauten Login-Masken ein.
Hinzu kam eine organisatorische Schwierigkeit: Die Belegschaft arbeitete an mehreren Standorten, teilweise im Schichtbetrieb, mit unterschiedlichen technischen Reifegraden und Belastungen. Dadurch waren klassische Einmal-Schulungen nur begrenzt wirksam. Für den CISO und die Compliance-Verantwortlichen entstand daraus ein doppeltes Risiko: Einerseits erhöhte sich die Wahrscheinlichkeit erfolgreicher Phishing-Angriffe, andererseits wuchs der Nachweisbedarf gegenüber Revision und Aufsicht, dass Security Awareness Grundlagen nicht nur formal dokumentiert, sondern im Verhalten verankert sind.
Besonders kritisch war die geringe Meldequote bei verdächtigen Mails. Viele Mitarbeitende löschten verdächtige Nachrichten oder fragten informell Kolleginnen und Kollegen, ohne den Vorfall an die IT weiterzugeben. Dadurch gingen wertvolle Frühwarnsignale verloren, und Reaktionszeiten verlängerten sich unnötig.
Lösungsansatz
Die Bank entschied sich für ein vierstufiges Programm aus Phishing-Simulation, zielgruppenspezifischer Aufklärung, klaren Meldewegen und Management-Reporting. Ziel war kein kurzfristiger Trainingseffekt, sondern eine dauerhaft bessere Routine im Umgang mit Social-Engineering-Angriffen. Grundlage war eine Kombination aus realistischen Tests und kurzen, direkt verwertbaren Lernimpulsen. Für die inhaltliche Ausgestaltung nutzte das Projektteam unter anderem die Methodik aus Phishing-Simulation und Social Engineering sowie die Messlogik aus Phishing-Simulation: Aufbau, Ablauf und Messgrößen.
In der ersten Phase wurde eine Baseline erhoben. Dafür liefen über sechs Wochen drei simulierte Angriffswellen mit unterschiedlichen Szenarien: ein angebliches Postfach-Upgrade, eine interne Dokumentenfreigabe und ein Lieferantenwechsel mit Zahlungsbezug. Jede Welle wurde in Schwierigkeitsgrad, Absenderlogik und Zielgruppe variiert. Die Simulationen wurden bewusst nicht nur an die IT, sondern an alle Bereiche ausgespielt, um typische Verhaltensmuster zu erfassen.
Parallel überarbeitete die Bank ihre Awareness-Kommunikation. Statt allgemeiner Sicherheitshinweise gab es monatliche Micro-Learnings mit konkreten Beispielen aus der Praxis, insbesondere für kundennahe Rollen und administrative Funktionen. Mitarbeitende, die auf eine Phishing-Mail reagierten, erhielten unmittelbar eine kurze Rückmeldung mit Hinweisen auf die erkennbaren Merkmale. Wer eine Mail korrekt meldete, bekam ebenfalls Feedback, um positives Verhalten zu verstärken.
Organisatorisch wurde der Meldeprozess vereinfacht: Ein einheitlicher Button im Mail-Client leitete verdächtige Nachrichten direkt an das Security-Team weiter. Zusätzlich definierte die Bank eine Eskalationsroutine für die ersten 30 Minuten nach Meldung, damit potenzielle Angriffe schneller bewertet werden konnten. Das Management erhielt monatlich ein Reporting mit Kennzahlen zu Klickrate, Meldequote, Wiederholungsfehlern und risikobehafteten Zielgruppen. So wurde Security Awareness von einer HR-nahen Einzelmaßnahme zu einem steuerbaren Sicherheitsprozess.
Ergebnisse
Nach vier Monaten zeigte sich ein klarer Effekt. Die Klickrate auf simulierte Phishing-Mails sank von 31 % in der Baseline auf 12 %. Noch wichtiger: Die Meldequote stieg von 58 % auf 84 %. Damit verschob sich das Verhalten von passiver Reaktion hin zu aktiver Mitwirkung an der Erkennung von Angriffen. In den risikoreichsten Bereichen, etwa Zahlungsverkehr und Marktfolge, reduzierte sich die Klickrate sogar auf 9 %.
Die durchschnittliche Zeit bis zur ersten Meldung eines verdächtigen Mails sank von 19 Minuten auf 6 Minuten. Das Security-Team konnte dadurch 11 potenzielle Vorfälle frühzeitig analysieren, ohne dass Zugangsdaten oder schädliche Anhänge tatsächlich verarbeitet wurden. Im Vergleich zum Vorjahr verringerte sich der interne Aufwand für Phishing-Nachbearbeitung um rund 42 %.
Auch wirtschaftlich war der Ansatz wirksam: Die Bank bezifferte den eingesparten Bearbeitungsaufwand, die reduzierte Incident-Response-Zeit und vermiedene Folgekosten konservativ auf einen mittleren fünfstelligen Euro-Betrag pro Jahr. Die Investition in das Programm amortisierte sich damit innerhalb von neun Monaten. Entscheidend war dabei nicht nur die technische Wirkung, sondern die messbare Veränderung im Verhalten der Mitarbeitenden.
Lessons Learned
Security Awareness wirkt nur dann nachhaltig, wenn sie regelmäßig und arbeitsnah stattfindet. Einmalige Pflichtschulungen reichen für reale Risikosituationen nicht aus.
Realistische Phishing-Simulationen liefern belastbare Daten über Verhalten, nicht nur über Wissensstände. Genau diese Daten sind für CISO, Compliance und Revision entscheidend.
Ein einfacher Meldeweg ist oft wirksamer als zusätzliche Regeln. Wenn Mitarbeitende verdächtige Mails mit einem Klick melden können, steigt die Reaktionsgeschwindigkeit messbar.
Zielgruppenspezifische Inhalte verbessern die Relevanz. Besonders in Banken unterscheiden sich die Risikoprofile zwischen Kundenservice, Zahlungsverkehr und Management deutlich.
Management-Reporting ist notwendig, um Awareness als Sicherheitssteuerung zu etablieren. Nur mit Kennzahlen lässt sich Fortschritt belegen und priorisieren.
Zusammenfassung
Die Bank reduzierte mit einer strukturierten Phishing-Simulation die Klickrate deutlich und erhöhte zugleich die Meldequote im gesamten Unternehmen. Entscheidend war die Kombination aus realistischen Tests, kurzen Lernimpulsen und einem vereinfachten Meldeprozess. Security Awareness wurde damit von einer Pflichtübung zu einem messbaren Bestandteil des Risikomanagements.
Weitere Case Studies
Weiterführende Inhalte:
