Ausgangssituation
Ein international tätiger Maschinenbaukonzern mit rund 8.500 Mitarbeitenden an 14 Standorten in Europa, Nordamerika und Asien stand vor einer typischen, aber folgenschweren Herausforderung: Die technische Sicherheitsarchitektur war weitgehend etabliert, die menschliche Seite der Informationssicherheit jedoch nicht. In den Vorjahren hatte das Unternehmen mehrfach Phishing-Vorfälle, unsichere Passwortnutzung und Verzögerungen bei der Meldung verdächtiger E-Mails registriert. Besonders kritisch: Der Konzern verarbeitete Entwicklungsdaten, Lieferanteninformationen und personenbezogene Daten aus HR- und Kundensystemen in unterschiedlichen Ländergesellschaften.
Die interne Analyse zeigte, dass Security Awareness zwar als Pflichtschulung existierte, aber weder in der Breite wirksam noch organisatorisch verankert war. Die jährliche Teilnahmequote lag bei 82 Prozent, die Abschlussquote der Phishing-Schulungen bei 67 Prozent. Gleichzeitig wurden monatlich durchschnittlich 38 verdächtige E-Mails gemeldet, davon nur 11 Prozent innerhalb der ersten Stunde nach Zustellung. Für die IT-Security bedeutete das: hohe Reaktionszeiten, unnötige Eskalationen und ein erhöhtes Risiko für Kontenübernahmen. Für HR und Compliance entstand zusätzlicher Aufwand durch Nachschulungen, dokumentationspflichtige Einzelfälle und die Frage, wie Verhaltensänderung messbar gemacht werden kann.
Herausforderung
Das eigentliche Problem war nicht fehlendes Wissen, sondern fehlendes Verhalten. Viele Mitarbeitende kannten die Sicherheitsregeln, handelten im Alltag jedoch inkonsistent. In den Fachbereichen dominierten Zeitdruck, Medienbrüche und ein „Das hat bisher immer funktioniert“-Denken. Hinzu kam ein heterogenes Standort- und Sprachumfeld mit unterschiedlichen Rollenprofilen: Produktionsmitarbeitende, kaufmännische Teams, Führungskräfte und IT-Personal hatten jeweils andere Risiken und anderes Nutzungsverhalten.
Die Folgen waren messbar. Zwischen Q1 und Q3 eines Jahres wurden 14 potenzielle Sicherheitsvorfälle auf Social Engineering zurückgeführt, darunter drei kompromittierte Postfächer mit Zugriffsversuchen auf Lieferantenkommunikation. In Audits fiel zudem auf, dass Nachweise zur Sensibilisierung zwar vorhanden, aber nicht belastbar genug mit Rollen, Lernfortschritt und Verhaltensindikatoren verknüpft waren. Für das Management wurde klar: Security Awareness musste von einer punktuellen Pflichtmaßnahme zu einer steuerbaren Compliance-, Governance- und IT-Sicherheitskultur weiterentwickelt werden.
Lösungsansatz
Der Konzern entschied sich für ein mehrstufiges Awareness-Programm mit klarer Governance, rollenspezifischen Inhalten und messbaren Verhaltenszielen. Ausgangspunkt war eine Reifegradanalyse über alle Ländergesellschaften hinweg. Dabei wurden Vorfallstatistiken, Schulungsquoten, Phishing-Resistenz und Meldeverhalten ausgewertet. Daraus entstand ein Zielbild mit drei Ebenen: Basissensibilisierung für alle Mitarbeitenden, vertiefende Module für risikoreiche Zielgruppen und Führungsverantwortung als expliziter Kulturhebel.
Die Umsetzung erfolgte in vier Schritten. Erstens wurden die Pflichtinhalte neu strukturiert: kürzere Lerneinheiten, mehr Fallbeispiele aus dem Unternehmensalltag und verpflichtende Abschlusstests mit Mindestscore. Zweitens führte das Team quartalsweise Phishing-Simulationen ein, differenziert nach Region und Funktion. Die Inhalte wurden an reale Angriffsmuster angepasst, etwa Rechnungsbetrug, Passwort-Reset-Fallen und Dateifreigabe-Missbrauch. Drittens wurden Meldewege vereinfacht: Ein Browser-Add-in und eine mobile Option reduzierten den Aufwand für die Meldung verdächtiger Nachrichten erheblich. Viertens wurden Führungskräfte eingebunden. Jede Bereichsleitung erhielt ein Dashboard mit Teilnahmequote, Meldequote und offenen Wiederholungsfällen.
Wichtig war außerdem die enge Abstimmung mit HR, Compliance und Betriebsrat. Die Kommunikationslinie stellte nicht Sanktionierung, sondern Risikoreduktion und Schutz der Geschäftsprozesse in den Vordergrund. Ergänzend wurden Hinweise aus dem Rahmenwerk zu Compliance, Governance und IT-Sicherheitskultur in die interne Richtlinie übernommen. So entstand ein Programm, das nicht isoliert als E-Learning lief, sondern organisatorisch verankert war. Die technische Plattform wurde innerhalb von zehn Wochen ausgerollt, die erste konzernweite Awareness-Kampagne startete acht Wochen später in sechs Sprachen.
Ergebnisse
Bereits nach sechs Monaten zeigte sich ein deutlicher Effekt. Die jährliche Teilnahmequote stieg von 82 auf 96 Prozent, die Abschlussquote der Pflichtmodule von 67 auf 91 Prozent. Noch relevanter waren die Verhaltenskennzahlen: Die Zahl der monatlichen Meldungen verdächtiger E-Mails erhöhte sich von durchschnittlich 38 auf 121. Gleichzeitig sank die mittlere Reaktionszeit auf Meldungen von 6,4 Stunden auf 1,8 Stunden. In den Phishing-Simulationen fiel die Klickrate von 18,7 Prozent auf 6,2 Prozent, die Eingabe sensibler Daten in Testkampagnen sogar von 9,1 Prozent auf 2,4 Prozent.
Im Zeitraum von zwölf Monaten gingen die sicherheitsrelevanten Vorfälle mit Social-Engineering-Bezug von 14 auf 5 zurück. Zwei potenzielle Kontoübernahmen konnten durch frühe Meldung verhindert werden. Aus finanzieller Sicht ergab sich ein positiver Business Case: Die eingesparten Aufwände für Incident-Handling, Nachschulungen und Eskalationskoordination wurden konservativ auf rund 180.000 Euro pro Jahr geschätzt, bei Programmkosten von 72.000 Euro. Der Return on Investment lag damit bei etwa 150 Prozent innerhalb des ersten Jahres. Zusätzlich verbesserte sich die Audit-Lage: Nachweise zu Schulung, Wiederholung und Wirksamkeit waren standortübergreifend konsistent dokumentiert.
Lessons Learned
Erstens: Security Awareness wirkt nur dann nachhaltig, wenn sie als Führungs- und Governance-Thema behandelt wird, nicht als reine IT-Aufgabe. Zweitens: Verhaltensänderung braucht messbare Kennzahlen; Teilnahmequoten allein sind kein ausreichender Erfolgsindikator. Drittens: Rollenspezifische Inhalte sind entscheidend, weil die Risiken in Produktion, Verwaltung und Management unterschiedlich sind. Viertens: Ein einfacher Meldeweg erhöht die Wirksamkeit stärker als zusätzliche Warnhinweise. Fünftens: Die Einbindung von HR, Compliance und Betriebsrat reduziert Reibungsverluste und erhöht die Akzeptanz im gesamten Unternehmen.
Zusammenfassung
Der Konzern konnte Security Awareness von einer formalen Pflichtschulung zu einem wirksamen Steuerungsinstrument für IT-Sicherheitskultur entwickeln. Durch Governance, rollenspezifische Inhalte und messbare Verhaltensziele verbesserten sich Teilnahme, Meldedisziplin und Phishing-Resistenz deutlich. Das Beispiel zeigt: Nachhaltige Sicherheit entsteht dort, wo Technik, Prozesse und Verhalten gemeinsam gesteuert werden.
Weitere Case Studies
Weiterführende Inhalte:
