Ausgangssituation
Die Möller Maschinenbau GmbH ist ein familiengeführter Mittelständler mit 840 Mitarbeitenden, drei Produktionsstandorten in Deutschland und einem jährlichen Umsatz von rund 210 Mio. Euro. Das Unternehmen entwickelt und fertigt Komponenten für die Automatisierungs- und Verpackungsindustrie. Wie in vielen Betrieben mit gewachsener IT-Landschaft arbeiteten Office-IT, Produktionsnetzwerk und externe Dienstleister über mehrere Schnittstellen zusammen. Dadurch stieg nicht nur die Komplexität der Zugriffsmodelle, sondern auch die Angriffsfläche durch E-Mail, mobile Endgeräte und Partnerzugänge.
Im Jahr vor Projektbeginn verzeichnete das Unternehmen 19 sicherheitsrelevante Vorfälle mit menschlichem Auslöser, darunter 7 bestätigte Phishing-Fälle, 5 unbeabsichtigte Datenfreigaben und mehrere verdächtige Login-Versuche nach Passwort-Reset-Anfragen. Eine interne Risikoanalyse ergab, dass 68 % der Mitarbeitenden grundlegende Warnsignale in E-Mails nicht sicher erkennen konnten. Gleichzeitig fehlte ein einheitliches Awareness-Programm; Schulungen fanden punktuell und meist anlassbezogen statt. Für IT, Compliance und HR wurde damit deutlich: Security Awareness war kein reines IT-Thema, sondern ein organisatorisches Kontrollthema mit Auswirkungen auf Betrieb, Datenschutz und Audit-Fähigkeit.
Herausforderung
Das zentrale Problem war nicht fehlendes Wissen im Einzelfall, sondern die fehlende Verstetigung von sicherheitsbewusstem Verhalten im Arbeitsalltag. Sicherheitsregeln waren zwar dokumentiert, wurden aber in der Praxis unterschiedlich interpretiert. Besonders betroffen waren Vertrieb, Einkauf und Personalabteilung, also Bereiche mit hohem E-Mail-Aufkommen und Zugang zu sensiblen Daten.
Die Folgen waren messbar: Der IT-Support bearbeitete pro Monat durchschnittlich 24 Anfragen zu verdächtigen Nachrichten, Passwortproblemen und Zugriffsunsicherheiten. Bei der letzten internen Revision wurden zudem 11 Abweichungen im Bereich Berechtigungs- und Schulungsnachweis festgestellt. Das Management befürchtete, dass ein erfolgreicher Social-Engineering-Angriff zu Produktionsstillstand, Datenschutzvorfall oder Reputationsschaden führen könnte. Hinzu kam ein Compliance-Druck durch Kundenanforderungen und die Vorbereitung auf ein externes Audit. Das Unternehmen brauchte daher einen Ansatz, der nicht nur Wissen vermittelt, sondern Verhalten verändert und nachweisbar macht.
Lösungsansatz
Möller Maschinenbau entschied sich für ein mehrstufiges Security-Awareness-Programm mit klaren Zielgruppen, messbaren Kennzahlen und enger Einbindung von IT, HR und Compliance. Grundlage war eine kurze Reifegradanalyse, die Wissenslücken, Risikogruppen und Kommunikationskanäle identifizierte. Darauf aufbauend wurde das Programm in drei Bausteine gegliedert: Basisschulungen für alle Mitarbeitenden, rollenbezogene Vertiefungen für besonders exponierte Abteilungen und wiederkehrende Verhaltensimpulse im Arbeitsalltag.
Die Basisschulung deckte Passwortsicherheit, Multi-Faktor-Authentifizierung, Meldewege bei Vorfällen und den Umgang mit verdächtigen Anhängen ab. Für Führungskräfte und administrative Rollen kamen Module zu Freigabeprozessen, Identitätsprüfung und Datenklassifizierung hinzu. Inhaltlich orientierte sich das Unternehmen an etablierten Security Awareness Grundlagen und verknüpfte diese mit internen Richtlinien. Damit die Maßnahmen nicht als isolierte Pflichtübung wahrgenommen wurden, setzte die HR-Abteilung die Schulungen in den Onboarding-Prozess und in den jährlichen Fortbildungszyklus ein.
Ergänzend wurden über sechs Monate vier kontrollierte Phishing-Simulationen durchgeführt. Die Auswahl der Szenarien basierte auf realen Angriffsmustern, die in der Branche häufig vorkommen, etwa Rechnungsbetrug, Cloud-Freigaben und Paketbenachrichtigungen. Ergebnisse der Simulationen flossen anonymisiert in Team-Reports ein. Bei wiederkehrenden Fehlreaktionen erhielten die betroffenen Bereiche kurze Nachschulungen. Parallel etablierte das Unternehmen einen einfachen Meldemechanismus über Outlook-Add-in und Hotline, damit Mitarbeitende verdächtige Mails ohne Hürden melden konnten. Für die organisatorische Verankerung sorgte ein gemeinsames Steuerungsgremium aus IT, Compliance und HR, das monatlich KPIs, Vorfälle und Maßnahmen bewertete. So wurde Security Awareness zu einem festen Bestandteil von Compliance, Governance und IT-Sicherheitskultur.
Ergebnisse
Bereits nach neun Monaten zeigten sich klare Effekte. Die Klickrate in Phishing-Simulationen sank von 31 % auf 8 %. Der Anteil der Mitarbeitenden, die verdächtige E-Mails aktiv meldeten, stieg im gleichen Zeitraum von 14 % auf 62 %. Auch die Zahl der Supportanfragen zu unsicheren Nachrichten nahm ab: von durchschnittlich 24 auf 11 pro Monat. Gleichzeitig reduzierten sich die dokumentierten menschlich verursachten Sicherheitsvorfälle von 19 auf 6 innerhalb von zwölf Monaten.
Besonders relevant für das Management war der Vorher/Nachher-Vergleich in den Risikobereichen. Im Einkauf sank die Fehlreaktionsquote bei simulierten Rechnungsangriffen von 38 % auf 9 %, im Personalbereich von 29 % auf 7 %. Die Schulungsquote lag nach Einführung des verpflichtenden Rollouts bei 98,4 %. Für das externe Audit konnte das Unternehmen erstmals vollständige Nachweise über Teilnahme, Wiederholungszyklen und Eskalationswege vorlegen; die Zahl der Audit-Abweichungen im Bereich Awareness und Schulungsdokumentation fiel von 11 auf 2.
Auch wirtschaftlich war der Effekt nachvollziehbar. Die IT schätzte den eingesparten Supportaufwand auf rund 180 Stunden pro Jahr. Unter Einbezug vermiedener Vorfälle und vermiedener Audit-Nacharbeiten ergab sich eine konservative Amortisation innerhalb von zehn Monaten. Der wichtigste Wert blieb jedoch strategisch: Security Awareness wurde im Unternehmen als messbarer Bestandteil der Ransomware Prävention und Human Firewall etabliert.
Lessons Learned
Erstens: Security Awareness wirkt nur dann nachhaltig, wenn sie regelmäßig statt punktuell stattfindet. Ein einmaliges Training erzeugt Wissen, aber kein dauerhaftes Verhalten.
Zweitens: Die stärksten Risiken liegen meist nicht im gesamten Unternehmen gleich verteilt. Rollenbezogene Inhalte für Einkauf, HR, Finance und Führungskräfte erhöhen die Relevanz deutlich.
Drittens: Messbarkeit ist entscheidend. Klickrate, Meldequote, Schulungsquote und Vorfallzahlen machen den Fortschritt sichtbar und schaffen Akzeptanz bei Management und Revision.
Viertens: Awareness ist eine gemeinsame Aufgabe von IT, HR und Compliance. Nur wenn Inhalte, Prozesse und Nachweise zusammengeführt werden, entsteht eine belastbare Sicherheitskultur.
Zusammenfassung
Möller Maschinenbau hat Security Awareness von einer punktuellen Schulungsmaßnahme zu einem gesteuerten Sicherheitsprogramm entwickelt. Durch rollenbasierte Inhalte, Phishing-Simulationen und klare Meldewege sank die Zahl der Vorfälle deutlich und die Reaktionsfähigkeit der Mitarbeitenden stieg messbar. Für Mittelstand und Enterprise zeigt der Fall: Die Human Firewall ist kein Schlagwort, sondern ein organisierbares und überprüfbares Kontrollsystem.
Weitere Case Studies
Weiterführende Inhalte:
