Ausgangssituation
Ein mittelständischer Handelskonzern mit rund 4.800 Mitarbeitenden an 19 Standorten in Deutschland und Österreich stand 2024 vor einem wachsenden Risiko durch gezielte Phishing-Angriffe. Das Unternehmen betreibt Zentraleinkauf, Logistik, stationären Vertrieb und einen stark ausgelasteten E-Commerce-Kanal. Die IT-Sicherheitsabteilung zählte im Vorjahr 312 gemeldete verdächtige E-Mails, von denen 41 als realistische Phishing-Versuche bestätigt wurden. Drei Vorfälle führten zu kompromittierten Benutzerkonten, zwei davon in der Finanzabteilung. Ein direkter finanzieller Schaden entstand nicht, jedoch verursachten Sperrungen, forensische Prüfungen und Passwort-Rollouts erheblichen operativen Aufwand.
Besonders betroffen waren Mitarbeitende in Filialen, im Kundenservice und in kaufmännischen Funktionen. Die Angreifer nutzten wechselnde Themen wie Lieferschwierigkeiten, Rechnungskorrekturen und Microsoft-Login-Warnungen. Für die Sicherheitsverantwortlichen war klar: Klassische Einmal-Schulungen reichten nicht mehr aus. Das Unternehmen brauchte einen Ansatz, der nicht nur Wissen vermittelt, sondern tatsächliches Verhalten verändert. Im Mittelpunkt stand daher Security Awareness und Awareness Training als Baustein eines breiteren Human-Risk-Management-Programms.
Herausforderung
Das Kernproblem war nicht mangelnde Technik, sondern ein heterogenes Nutzungsverhalten im gesamten Unternehmen. Die Belegschaft arbeitete mit unterschiedlichen Endgeräten, in wechselnden Schichten und unter hohem Zeitdruck. Phishing-Mails wurden häufig zwar erkannt, aber nicht gemeldet. Gleichzeitig klickten einzelne Mitarbeitende auf manipulierte Links, weil sie Rechnungs- oder Lieferdokumente erwarteten. Für den Handel war das besonders kritisch, da Angriffe oft außerhalb klassischer Bürozeiten stattfanden und dadurch spätere Reaktionszeiten möglich waren.
Hinzu kam ein organisatorisches Problem: IT, HR und Compliance arbeiteten bei Security Awareness bislang nebeneinander statt gemeinsam. Trainings wurden zwar dokumentiert, aber nicht zielgruppenspezifisch gesteuert. Die Folge waren niedrige Abschlussquoten, geringe Erinnerungswerte und kaum messbare Verhaltensänderung. Das Unternehmen suchte deshalb einen Ansatz, der Risiko nicht nur als Schulungsthema, sondern als Steuerungsgröße versteht. Relevant wurde dabei auch Phishing-Prävention und Human Factor Risk, da der Schwerpunkt klar auf menschlichen Fehlentscheidungen lag.
Lösungsansatz
Entschieden wurde sich für ein mehrstufiges Human-Risk-Management-Programm mit Fokus auf Phishing-Resilienz. Ziel war es, Risiko in den Alltag der Mitarbeitenden zu integrieren, statt punktuell zu trainieren. Der Rollout begann mit einer Baseline-Messung: simulierte Phishing-Kampagnen für verschiedene Zielgruppen, Auswertung von Klick-, Melde- und Eskalationsraten sowie eine kurze Standortanalyse zu Sicherheitswissen und Meldeverhalten. Auf dieser Grundlage wurden Risikogruppen definiert, etwa Filialleitungen, Buchhaltung, Einkauf und Kundenservice.
Im nächsten Schritt wurden die Inhalte differenziert ausgesteuert. Für stark exponierte Gruppen gab es kurze, rollenbezogene Lerneinheiten mit konkreten Beispielen aus dem Handelsalltag: angebliche Lieferverzögerungen, Rechnungsanhänge, Paketbenachrichtigungen und Social-Engineering-Mails im Namen interner Führungskräfte. Ergänzend wurde ein Meldeprozess mit einem zentralen „Report Phishing“-Button eingeführt, damit verdächtige Mails ohne Umwege an das SOC geleitet werden. Wichtig war die enge Abstimmung mit HR und Compliance, um Schulungen in Onboarding, Pflichtunterweisungen und jährliche Wiederholungen zu integrieren.
Parallel etablierte die IT-Abteilung monatliche Simulationen mit variierenden Schwierigkeitsgraden. Die Auswertung erfolgte nicht personenbezogen im Strafmodus, sondern risikoorientiert nach Teams und Funktionsbereichen. Mitarbeitende mit erhöhtem Risiko erhielten zusätzliche Mikrotrainings nach realen Fehlklicks. Dieser Ansatz orientierte sich an Phishing-Prävention durch gezielte Verhaltensanalyse, weil nicht nur Wissen, sondern beobachtbares Verhalten verbessert werden sollte. Nach drei Monaten wurden die Inhalte nachgeschärft: weniger Theorie, mehr kontextbezogene Szenarien, kürzere Module, bessere Wiederholung.
Ergebnisse
Nach sechs Monaten zeigte das Programm messbare Effekte. Die Klickrate in simulierten Phishing-Kampagnen sank von 18,4 % auf 6,7 %. Gleichzeitig stieg die Melderate verdächtiger E-Mails von 22 % auf 61 %. Besonders deutlich war der Rückgang in den vorher kritischsten Bereichen: In Buchhaltung und Filialmanagement halbierte sich die Klickrate bereits nach dem zweiten Quartal. Die Zahl der real bestätigten Phishing-Vorfälle ging im Vergleich zum Vorjahreszeitraum von 41 auf 14 zurück.
Auch operativ verbesserten sich die Abläufe. Die durchschnittliche Zeit bis zur Meldung eines verdächtigen Vorfalls reduzierte sich von 14 Stunden auf 1,9 Stunden. Dadurch konnten Accounts schneller gesperrt und kompromittierte Nachrichtenketten früher unterbrochen werden. Der geschätzte Aufwand für Incident Response und Passwort-Resets sank um rund 38 % gegenüber dem Vorjahr. Bei konservativer Rechnung ergab sich daraus ein positiver ROI innerhalb von acht Monaten, vor allem durch vermiedene Ausfallzeiten und deutlich geringeren Supportaufwand.
Lessons Learned
Erstens: Security Awareness wirkt nur dann nachhaltig, wenn sie an reale Arbeitssituationen gekoppelt ist. Allgemeine Pflichtschulungen reichen nicht aus, wenn Phishing im Tagesgeschäft konkrete Formen annimmt.
Zweitens: Messung ist entscheidend. Ohne Baseline, wiederkehrende Simulationen und klare KPIs bleiben Programme schwer steuerbar und ihr Nutzen bleibt unklar.
Drittens: Human Risk Management funktioniert besser, wenn IT, HR und Compliance gemeinsam handeln. So werden Schulungen, Kommunikation und Sanktionen konsistent umgesetzt.
Viertens: Positives Meldeverhalten ist wichtiger als reines Erkennen. Wer verdächtige Mails schnell meldet, reduziert das Risiko für das gesamte Unternehmen.
Zusammenfassung
Der Handelskonzern reduzierte sein Phishing-Risiko durch ein strukturiertes Human-Risk-Management-Programm mit zielgruppenspezifischem Training, Simulationen und klaren Meldewegen. Entscheidend war die Kombination aus Verhaltensanalyse, operativer Einbindung und kontinuierlicher Nachsteuerung. Nach sechs Monaten sanken Klickrate und Incident-Volumen deutlich, während die Meldequote spürbar anstieg.
Weitere Case Studies
Weiterführende Inhalte:
