Ausgangssituation
Die Krones Packaging Group ist ein fiktives, mittelständisch geprägtes Industrieunternehmen mit globaler Fertigung und Vertrieb in 14 Ländern. An den Standorten in Deutschland, Polen, Mexiko, Brasilien, Singapur und den USA arbeiten rund 4.800 Mitarbeitende, davon etwa 1.200 in administrativen Funktionen mit direktem Zugriff auf ERP-, HR- und Lieferketten-Systeme. Vor dem Projekt wurden E-Mail-basierte Sicherheitsvorfälle zwar zentral erfasst, die Prävention war jedoch überwiegend lokal organisiert. Schulungen fanden unregelmäßig statt, häufig nur als Pflichtunterweisung zum Jahresanfang.
Die IT-Sicherheitsverantwortlichen sahen ein wachsendes Risiko: Der Anteil an erfolgreich zugestellten Phishing-Mails nahm zu, zugleich stieg die Zahl der Remote-Arbeitsplätze und der mobilen Zugriffe. In einer internen Auswertung über sechs Monate wurden 38 verdächtige Klicks auf simulierte oder gemeldete Phishing-Nachrichten dokumentiert, davon 11 mit wiederholtem Fehlverhalten. Besonders kritisch war die Heterogenität zwischen den Standorten: Während Deutschland und die USA bereits über etablierte Awareness-Prozesse verfügten, gab es an kleineren Niederlassungen kaum strukturierte Maßnahmen. Die Geschäftsführung forderte daher eine skalierbare Lösung, die global ausrollbar ist, lokale Unterschiede berücksichtigt und messbare Verbesserungen liefert.
Herausforderung
Das zentrale Problem war nicht nur das menschliche Fehlverhalten, sondern die fehlende Konsistenz im Umgang mit Security Awareness. Mitarbeitende erhielten unterschiedliche Inhalte, die Trainingsfrequenz variierte stark, und Rückmeldungen aus Vorfällen wurden nicht systematisch in die Schulungsplanung zurückgespielt. Dadurch blieben Risikogruppen erkennbar, aber unbehandelt. Für die IT bedeutete das hohen manuellen Aufwand: Kampagnen, Auswertungen und Nachverfolgungen wurden in Tabellen gepflegt, lokale HR-Teams arbeiteten mit eigenen Listen.
Hinzu kam ein Management-Problem: Der Nutzen vorhandener Awareness-Maßnahmen ließ sich kaum in Kennzahlen übersetzen. Die Frage nach Wirksamkeit blieb oft unbeantwortet. Gerade für die Belegschaft in Produktion, Logistik und internationalem Vertrieb waren standardisierte Pflichtschulungen zu abstrakt und hatten wenig Verhaltenswirkung. Das Unternehmen benötigte deshalb eine Lösung, die Security Awareness Platform & Automatisierung mit lokalisierbaren Lerninhalten, gezielten Phishing-Simulationen und belastbarem Reporting verbindet. Ziel war es, wiederholbare Prozesse zu schaffen und Sicherheitsrisiken standortübergreifend sichtbar zu machen.
Lösungsansatz
Entschieden wurde sich für eine Security-Awareness-Plattform mit integriertem Phishing-Simulation-Modul, zentralem Kampagnenmanagement und rollenbasiertem Reporting. Die Auswahl erfolgte nach vier Kriterien: Mehrsprachigkeit, SSO-Integration, Segmentierung nach Standorten und Funktionen sowie die Möglichkeit, Trainings- und Simulationsdaten in bestehende Governance-Prozesse zu übernehmen. Ausschlaggebend war außerdem, dass die Lösung nicht nur Inhalte ausliefert, sondern Verhalten misst und daraus automatisierte Folgemaßnahmen ableiten kann.
Die Implementierung erfolgte in drei Phasen. Zunächst wurde eine Baseline erhoben: Über vier Wochen liefen passive Messungen und eine erste Simulationskampagne für 650 Mitarbeitende aus Finance, Einkauf und Vertrieb. Dabei wurden Klickrate, Melderate und Wiederholungsquote je Standort erfasst. Anschließend wurden E-Mail-Vorlagen, Landingpages und Trainingsinhalte lokalisiert — auf Deutsch, Englisch, Spanisch und Polnisch. Für Führungskräfte und Risikogruppen wurden spezifische Szenarien definiert, etwa Rechnungsbetrug, Passwort-Diebstahl und CEO-Fraud.
In der zweiten Phase wurden monatliche Phishing-Simulation mit Reporting für das Management und kurze, anlassbezogene Microtrainings eingeführt. Wer auf eine Simulation klickte, erhielt unmittelbar ein kurzes Erklärmodul; wer mehrfach auffiel, wurde automatisch einer vertiefenden Schulung zugewiesen. Parallel erhielten Standortleitungen und HR monatliche Dashboards mit aggregierten Kennzahlen, ohne personenbezogene Details breit zu streuen. Das erhöhte die Akzeptanz und vereinfachte die Compliance-Abstimmung.
In der dritten Phase wurde die Plattform in das bestehende Identity- und Ticketing-Umfeld eingebunden. Neue Mitarbeitende wurden automatisch in einen Awareness-Onboarding-Flow aufgenommen, und Vorfälle aus dem SOC konnten als Trigger für zusätzliche Kampagnen dienen. Nach sechs Monaten war der Prozess weitgehend standardisiert: zentrale Steuerung, lokale Anpassung und klare Eskalationsregeln.
Ergebnisse
Bereits nach drei Monaten zeigte sich eine deutliche Verbesserung. Die Klickrate in den simulierten Phishing-Kampagnen sank von 18,4 % auf 7,1 %. Nach sechs Monaten lag sie bei 4,9 %. Gleichzeitig stieg die Melderate verdächtiger E-Mails von 21 % auf 58 %. Besonders wichtig: Die Wiederholungsquote bei Mitarbeitenden mit initialem Fehlverhalten sank von 62 % auf 19 %.
Im Vorher/Nachher-Vergleich zeigte sich auch organisatorisch ein klarer Effekt. Der manuelle Aufwand für Kampagnensteuerung und Reporting reduzierte sich von durchschnittlich 28 Stunden pro Monat auf 9 Stunden pro Monat. Die internen Awareness-Verantwortlichen nutzten statt Tabellen nun standardisierte Auswertungen und automatische Zielgruppenlogik. Dadurch konnten pro Quartal drei zusätzliche Kampagnen ohne zusätzlichen Personalaufwand durchgeführt werden.
Aus Managementsicht war vor allem die Transparenz relevant: Erstmals lagen standortbezogene Kennzahlen zu Klickverhalten, Meldequote und Trainingsfortschritt vor. Daraus wurde ein ROI-Modell abgeleitet. Unter Einbezug eingesparter Arbeitszeit, vermiedener Eskalationen und reduzierter externer Supportkosten wurde der Break-even nach etwa 11 Monaten erreicht. Zusätzlich sank die Zahl der sicherheitsrelevanten Helpdesk-Tickets im Zusammenhang mit verdächtigen E-Mails um 34 %.
Lessons Learned
- Globale Awareness funktioniert nur mit lokalisierter Ansprache. Standardinhalte reichen nicht aus, wenn Standorte sprachlich und kulturell unterschiedlich arbeiten.
- Phishing-Simulationen sind am wirksamsten, wenn sie direkt mit kurzen Lernimpulsen verknüpft werden. Reine Tests erzeugen wenig nachhaltiges Verhalten.
- Reporting ist kein Nebenprodukt, sondern ein Steuerungsinstrument. Ohne klare KPIs bleibt Awareness schwer priorisierbar.
- Automatisierung reduziert nicht nur Aufwand, sondern erhöht auch die Konsistenz zwischen Standorten und Zielgruppen.
- Die Einbindung von HR und Standortleitungen verbessert die Akzeptanz deutlich, weil Awareness damit als Organisationsprozess und nicht als rein technisches IT-Thema wahrgenommen wird.
Zusammenfassung
Das Unternehmen führte eine zentral gesteuerte Security-Awareness-Plattform mit Phishing-Simulationen für globale Standorte ein und reduzierte damit messbar die Klickrate auf Phishing-Mails. Durch lokalisierte Inhalte, automatisierte Trainings und Management-Reporting wurden sowohl Verhalten als auch operativer Aufwand verbessert. Nach sechs Monaten zeigte sich ein klarer Effekt auf Risikoreduktion, Transparenz und Effizienz.
Weitere Case Studies
Weiterführende Inhalte:
