Ausgangssituation
Ein mittelständischer Finanzdienstleister mit 1.200 Mitarbeitenden und drei Standorten in Deutschland verarbeitete täglich sensible Kunden- und Zahlungsdaten. Das Unternehmen betrieb ein zentrales ERP-System, interne Fachanwendungen sowie eine hybride Microsoft-365-Umgebung. Der IT-Betrieb war professionell aufgestellt, dennoch zeigte das interne Risikoregister eine wachsende Lücke: Technische Schutzmaßnahmen waren weitgehend etabliert, aber der Faktor Mensch blieb ein wiederkehrender Einfallspunkt für Angriffe.
Auslöser für das Projekt war eine Serie gezielter Social-Engineering-Vorfälle im Zeitraum von sechs Monaten. Dabei gingen bei der Buchhaltung drei manipulative E-Mail-Anfragen ein, die auf eine Umleitung von Zahlungsdaten abzielten. Zwei Mitarbeitende meldeten verdächtige LinkedIn-Kontakte mit Bezug zur Personalabteilung, und eine gefälschte Login-Seite wurde intern erst nach mehreren Anmeldungen entdeckt. In der Folge stiegen die Meldungen an den Service Desk zwar an, gleichzeitig wurden jedoch Unsicherheiten im Umgang mit verdächtigen Nachrichten deutlich.
Die Geschäftsleitung beauftragte IT-Security und HR gemeinsam mit der Einführung eines strukturierten Security Awareness: Stakeholder, Rollen und Verantwortungen Programms. Ziel war, Social Engineering messbar zu reduzieren, Meldeverhalten zu verbessern und regulatorische Anforderungen im Finanzumfeld besser zu erfüllen.
Herausforderung
Das Kernproblem war nicht ein einzelner Angriff, sondern die Kombination aus hoher Angriffsrelevanz, unterschiedlichen Wissensständen und fehlender Standardisierung im Verhalten. Besonders in Buchhaltung, Vertrieb und HR war die Kontaktaufnahme über E-Mail, Telefon und soziale Netzwerke häufig zeitkritisch und routiniert. Genau diese Abläufe nutzten Angreifer aus.
Hinzu kam: Es gab zwar Schulungen, diese bestanden jedoch aus jährlichen Pflichtunterweisungen ohne Bezug zu realen Angriffsmustern. Die Mitarbeitenden konnten Phishing meist theoretisch erklären, aber nicht sicher reagieren, wenn Dringlichkeit, Autorität oder Vertraulichkeit ins Spiel kamen. Für IT und Compliance ergab sich daraus ein doppelt negatives Bild: steigendes Risiko für Betrug und zugleich eine schwache Nachweisbarkeit von Präventionsmaßnahmen gegenüber Audit und Revision.
Die Folgen waren konkret: höhere Ticketlast im Service Desk, ein Reputationsrisiko gegenüber Kunden sowie ein potenziell finanzieller Schaden durch manipulierte Zahlungsprozesse. Für den CISO war klar, dass klassische E-Learning-Formate allein nicht ausreichen. Benötigt wurde ein Programm, das Verhalten ändert, Wiederholung erzeugt und den Erfolg über Kennzahlen sichtbar macht. Grundlage dafür bildete auch eine Phishing-Simulation und Social Engineering-Komponente mit realistischen Angriffsszenarien.
Lösungsansatz
Statt einer einmaligen Schulung entschied sich das Unternehmen für ein mehrstufiges Security-Awareness-Programm mit Fokus auf Social Engineering. Die Lösung wurde gemeinsam von IT-Security, HR, Compliance und Kommunikation geplant, um technische, organisatorische und kulturelle Aspekte abzudecken. Zunächst wurde eine Baseline erhoben: Klicken auf Test-Phishing, Meldequote, Zeit bis zur Meldung und bekannte Schwachstellen in den Fachbereichen.
Die Umsetzung erfolgte in vier Schritten. Erstens wurden zielgruppenspezifische Lernmodule eingeführt: für Finanzprozesse, HR, Führungskräfte und allgemeine Büroarbeitsplätze. Die Inhalte konzentrierten sich auf typische Angriffsszenarien wie CEO-Fraud, Rechnungsbetrug, MFA-Umgehung, Fake-Bewerbungen und Vishing. Zweitens liefen monatliche Phishing-Simulationen mit wechselnden Themen und Schwierigkeitsgraden. Dabei wurden nicht nur E-Mails getestet, sondern auch QR-Codes, gefälschte Freigabeanfragen und telefonische Rückfragen.
Drittens etablierte das Unternehmen einen klaren Meldeprozess mit einem einzigen Einstiegspunkt im E-Mail-Client und über den Service Desk. Jede Meldung wurde automatisiert klassifiziert und an Security weitergeleitet. Viertens wurden Führungskräfte und Bereichsverantwortliche aktiv eingebunden. Sie erhielten quartalsweise Auswertungen, damit Awareness nicht als IT-Thema, sondern als Führungsaufgabe verstanden wurde. Ergänzend definierte das Projektteam Rollen, Eskalationswege und Verantwortlichkeiten im Sinne eines dauerhaften Betriebsmodells. Das war entscheidend, um aus einer Schulungsmaßnahme ein belastbares Präventionssystem zu machen.
Ergebnisse
Bereits nach sechs Monaten zeigte sich eine deutliche Verbesserung. Die Klickrate auf simulierte Phishing-Mails sank von 28 Prozent auf 9 Prozent. Noch wichtiger: Die Meldequote verdächtiger Nachrichten stieg von 14 Prozent auf 61 Prozent. Die durchschnittliche Zeit bis zur Meldung verkürzte sich von 19 Stunden auf 2,8 Stunden. Dadurch konnten verdächtige Kampagnen früher identifiziert und im Posteingang weiterer Mitarbeitender blockiert werden.
Im Bereich Finance gingen die manuellen Rückfragen zu Zahlungsfreigaben um 37 Prozent zurück, weil Freigabeprozesse klarer dokumentiert und überprüfbar wurden. Gleichzeitig reduzierte sich die Zahl der Tickets mit Bezug zu Social-Engineering-Verdachtsfällen um 42 Prozent, obwohl die Gesamtzahl der Meldungen zunächst anstieg. Das war ein gewollter Effekt: mehr Aufmerksamkeit, bessere Erkennung, weniger unklare Zwischenfälle.
Finanziell rechnete sich das Programm ebenfalls. Im ersten Jahr lagen die Kosten für Plattform, Inhalte und interne Umsetzung bei rund 68.000 Euro. Dem gegenüber stand ein vermiedener Schaden von geschätzt 180.000 bis 240.000 Euro durch unterbundene Manipulationsversuche, reduzierte Bearbeitungsaufwände und geringere Ausfallzeiten. Der ROI lag damit, konservativ gerechnet, deutlich im positiven Bereich. Für Compliance war zusätzlich relevant, dass die Nachweise zu Security Awareness: Stakeholder, Rollen und Verantwortungen und Schulungsaktivitäten auditfähig dokumentiert wurden.
Lessons Learned
Erstens: Security Awareness wirkt nur dann nachhaltig, wenn sie regelmäßig und szenarienbasiert erfolgt. Einmalige Pflichtschulungen verbessern Wissen, aber selten Verhalten.
Zweitens: Social Engineering muss fachbereichsspezifisch adressiert werden. Die Risiken für Finance, HR und Führungskräfte unterscheiden sich deutlich; ein einheitlicher Standard reicht nicht aus.
Drittens: Melden ist wichtiger als „nicht klicken“. Eine hohe Meldequote verkürzt die Reaktionszeit und erhöht die Chance, Angriffe früh zu stoppen.
Viertens: Ohne klare Rollen zwischen IT, Compliance, HR und Führung bleibt Awareness ein Nebenprojekt. Erst ein definierter Betriebsprozess macht daraus ein steuerbares Kontrollsystem.
Zusammenfassung
Das Projekt zeigte, dass Security Awareness im Finanzumfeld messbar zur Risikoreduktion beiträgt, wenn Inhalte, Prozesse und Verantwortlichkeiten zusammengeführt werden. Besonders wirksam waren realistische Phishing-Simulationen, klare Meldewege und die Einbindung von Führungskräften. Für den Mittelstand ebenso wie für Enterprise-Organisationen ist Social Engineering damit kein reines Schulungsthema, sondern ein operativer Bestandteil der Sicherheitsarchitektur.
Weitere Case Studies
Weiterführende Inhalte:
