Ausgangssituation
Die Mertens Präzisionstechnik GmbH ist ein mittelständischer Zulieferer für die Automobil- und Maschinenbauindustrie mit 840 Mitarbeitenden an drei Standorten in Deutschland. In der Produktion arbeiten rund 520 Beschäftigte im Schichtbetrieb, ergänzt durch Instandhaltung, Qualitätssicherung und technische Verwaltung. Das Unternehmen verarbeitet regelmäßig Kundendaten, Konstruktionszeichnungen und sicherheitsrelevante Fertigungsinformationen. Nach einem internen Audit und mehreren Kundenanforderungen wurde deutlich, dass die bisherige Security-Schulung nicht mehr ausreichte: Die jährliche Pflichtunterweisung erreichte zwar formal 94 % der Belegschaft, aber Nachweise waren uneinheitlich, Inhalte wurden nicht an Rollen angepasst, und bei den Produktionsmitarbeitenden lag die Abschlussquote bei nur 71 % innerhalb der Frist.
Hinzu kam ein konkreter Vorfall: Eine interne Prüfung stellte fest, dass ein Mitarbeiter einen manipulierten USB-Stick an einem Linien-PC verwendet hatte. Es entstand kein nachweisbarer Schaden, aber der Fall machte sichtbar, dass grundlegende Verhaltensregeln im Alltag nicht sicher verankert waren. Gleichzeitig verlangten zwei Großkunden belastbare Nachweise zur Compliance-Schulung & Verhaltensrichtlinien, insbesondere für Zugriffsrechte, Umgang mit mobilen Datenträgern und Meldewege bei Sicherheitsvorfällen. Die Geschäftsführung beauftragte deshalb ein strukturiertes Programm zur Stärkung der Awareness-Compliance mit Fokus auf Produktion und angrenzende Funktionsbereiche.
Herausforderung
Das Kernproblem lag nicht in fehlenden Schulungsinhalten, sondern in deren Wirksamkeit und Nachweisbarkeit. Die bisherige Unterweisung bestand aus einem einheitlichen E-Learning-Modul mit anschließendem Unterschriftennachweis. Für Mitarbeitende ohne festen Büroarbeitsplatz war das Format wenig praxisnah, für Schichtteams schwer planbar und für Führungskräfte kaum steuerbar. Dadurch entstanden Lücken bei Teilnahme, Wiederholung und Dokumentation.
Die Folgen waren spürbar: Rückfragen bei Audits, hoher Abstimmungsaufwand zwischen HR, IT-Security und Betriebsrat sowie Unsicherheit in der Produktion, wie mit verdächtigen E-Mails, USB-Medien oder Besuchern am Shopfloor umzugehen ist. Zudem fehlten verlässliche Kennzahlen, um die Wirksamkeit der Schulung zu bewerten. Das Risiko war nicht nur regulatorischer Natur. Ein unzureichender Umgang mit Sicherheitsregeln hätte zu Produktionsausfällen, Datenabfluss oder Kundenverlust führen können. Für ein Unternehmen mit engen Lieferketten und kurzen Reaktionszeiten war das ein relevantes Geschäftsrisiko.
Lösungsansatz
Das Unternehmen entschied sich für ein mehrstufiges Awareness-Programm mit klaren Rollen, messbaren Zielen und auditfähiger Dokumentation. Im ersten Schritt wurde eine Risikoanalyse pro Bereich erstellt. Produktion, Instandhaltung, Qualitätsmanagement und Versand erhielten jeweils eigene Risikoprofile, damit Schulungsinhalte direkt an typische Alltagssituationen anknüpfen konnten. Der Fokus lag auf Phishing, Fremdgeräte, Clean-Desk, Besucherregelungen, Meldepflichten und dem Umgang mit sensiblen Fertigungsdaten.
Anschließend wurde die Schulung in kurze Lerneinheiten von 5 bis 8 Minuten zerlegt. Diese konnten über Desktop, Tablet und Kiosk-Terminals an der Linie absolviert werden. Für Schichtmitarbeitende wurden feste Zeitfenster mit den Teamleitungen abgestimmt. Ergänzend gab es Micro-Learnings und kurze Präsenzimpulse durch Multiplikatoren aus den Bereichen Produktion und Qualität. Die Inhalte wurden in Zusammenarbeit mit HR und Datenschutz auf interne Richtlinien abgestimmt und in die Onboarding- und Wiederholungsschulungen integriert.
Wichtig war zudem die Nachweisführung. Die Dokumentation wurde so aufgebaut, dass Teilnahme, Abschluss, Wiederholung und Eskalation zentral nachvollziehbar sind. Damit konnte das Unternehmen die Anforderungen aus internen und externen Audits besser erfüllen; zu diesem Thema war auch der Ansatz aus Security Awareness Training: Nachweise systematisch sichern hilfreich. Führungskräfte erhielten ein Dashboard mit Abschlussquoten je Team und Standort. Nicht absolvierte Module wurden nach definierten Fristen automatisch erinnert und bei Bedarf an die Linienverantwortlichen eskaliert. Für besonders relevante Inhalte, etwa USB-Nutzung oder Meldung verdächtiger E-Mails, wurden kurze Verständnisfragen eingebaut, um nicht nur Anwesenheit, sondern tatsächliches Verstehen zu prüfen.
Die Einführung erfolgte in drei Phasen über vier Monate: Pilot in einer Produktionslinie, Rollout auf die gesamte Produktion, anschließend Einbindung von Verwaltung und Logistik. Parallel wurden Betriebsrat und Datenschutzbeauftragte früh einbezogen, um Akzeptanz und Rechtskonformität sicherzustellen.
Ergebnisse
Nach sechs Monaten zeigte das Programm deutliche Effekte. Die fristgerechte Abschlussquote in der Produktion stieg von 71 % auf 98 %. Die durchschnittliche Bearbeitungszeit pro Schulungseinheit sank von 42 auf 18 Minuten, weil die Inhalte kürzer und arbeitsnaher gestaltet waren. Bei einem internen Wissenstest verbesserten sich die richtigen Antworten zu Sicherheitsverhalten von 63 % auf 89 %.
Auch operativ wurden Verbesserungen sichtbar: Die Zahl der gemeldeten verdächtigen E-Mails stieg im gleichen Zeitraum um 54 %, was auf eine höhere Sensibilisierung hindeutet. Gleichzeitig sank die Zahl der nicht autorisierten USB-Nutzungen in der Produktion von 11 auf 2 dokumentierte Fälle pro Quartal. Bei den Audits konnten die Verantwortlichen vollständige Nachweise innerhalb eines Tages bereitstellen statt wie zuvor in mehreren Tagen. Das reduzierte den administrativen Aufwand erheblich.
Der ROI war ebenfalls belastbar: Durch eingesparte Koordinationszeit, weniger Nacharbeit und geringeren Auditaufwand wurde das Programm nach acht Monaten amortisiert. Für das Management war entscheidend, dass Awareness-Compliance nicht mehr als reine Pflichtübung, sondern als steuerbarer Kontrollprozess sichtbar wurde.
Lessons Learned
Erstens: In der Produktion funktioniert Security Awareness nur dann, wenn Inhalte direkt an reale Arbeitsabläufe anknüpfen. Abstrakte IT-Beispiele reichen nicht aus.
Zweitens: Kurze, planbare Lerneinheiten erhöhen die Abschlussquote deutlich, besonders im Schichtbetrieb.
Drittens: Ohne saubere Dokumentation bleibt jede Schulung im Audit angreifbar; der Nachweis ist Teil der Maßnahme, nicht deren Anhängsel.
Viertens: Führungskräfte sind ein zentraler Hebel. Wenn Teamleitungen Schulungen aktiv steuern, steigt sowohl Teilnahme als auch Verbindlichkeit.
Fünftens: Messbare Kennzahlen wie Abschlussquote, Wiederholungsrate und Meldeverhalten sind notwendig, um Awareness-Compliance zu bewerten und zu verbessern.
Zusammenfassung
Die Mertens Präzisionstechnik GmbH hat mit einem rollenbasierten Awareness-Programm die Security-Schulung in der Produktion grundlegend verbessert. Durch praxisnahe Inhalte, kurze Lerneinheiten und systematische Nachweise stiegen Abschlussquoten und Sicherheitsverhalten deutlich. Das Projekt zeigt, dass Awareness-Compliance besonders im industriellen Umfeld wirksam ist, wenn sie operativ steuerbar und auditfähig umgesetzt wird.
Weitere Case Studies
Weiterführende Inhalte:
