Ausgangssituation
Die fiktive Hagedorn Maschinenbau GmbH ist ein mittelständischer Sondermaschinenbauer mit 820 Mitarbeitenden, drei Standorten in Deutschland und einem Jahresumsatz von rund 145 Mio. Euro. Die IT-Abteilung bestand aus 14 Personen, darunter ein kleines Security-Team mit zwei Verantwortlichen für Endpoint-, Mail- und Identitätsschutz. Die Belegschaft arbeitete überwiegend hybrid; zusätzlich gab es Vertriebs- und Service-Teams mit hohem E-Mail-Aufkommen sowie eine Personalabteilung, die regelmäßig mit Bewerbungen, Gehaltsdaten und Vertragsunterlagen arbeitete. Genau diese Mischung machte das Unternehmen anfällig für Social Engineering & Phishing-Angriffe.
Im Vorjahr hatte Hagedorn drei sicherheitsrelevante Vorfälle im Zusammenhang mit E-Mails registriert: eine gefälschte Rechnung, ein kompromittierter Login-Versuch über ein manipuliertes Microsoft-365-Portal und ein Vorfall, bei dem eine Mitarbeiterin einen angeblichen HR-Anhang öffnete. Ein tatsächlicher Schaden entstand nicht, aber die interne Auswertung zeigte Defizite bei Erkennung, Meldung und Eskalation. Gleichzeitig stiegen die Anforderungen aus ISO-27001-Audits und von mehreren Großkunden, die belastbare Nachweise für Awareness-Maßnahmen verlangten. Das Management entschied daher, eine strukturierte Phishing-Simulation & Phishing Test einzuführen, um das reale Risikoniveau messbar zu machen.
Herausforderung
Das Kernproblem war nicht fehlendes Sicherheitsbewusstsein im Allgemeinen, sondern eine ungleichmäßige Verteilung von Wissen und Reaktionsfähigkeit. Technische Abwehrmaßnahmen wie Spam-Filter und MFA waren vorhanden, reduzierten aber vor allem bekannte Massenangriffe. Individuell zugeschnittene Phishing-Mails, die Kontext, Rollen und interne Prozesse ausnutzten, wurden weiterhin als Risiko betrachtet. Besonders kritisch waren Mitarbeitende mit Zugriff auf Zahlungsfreigaben, Personalakten und Kundendaten.
Hinzu kam: Frühere Awareness-Schulungen waren einmalig, eher theoretisch und nicht messbar. Es gab keine belastbaren Kennzahlen zu Klickrate, Melderate oder Time-to-Report. Damit fehlte dem CISO eine Grundlage, um Fortschritte gegenüber Geschäftsführung und Revision zu belegen. Auch die HR-Abteilung wollte keine pauschale „Schuldfrage“, sondern einen Ansatz, der Lernverhalten verbessert, ohne Vertrauen zu beschädigen. Gesucht war daher ein Programm, das realistische Szenarien, nachvollziehbare Auswertung und eine saubere Kommunikation mit dem Betriebsrat verbindet.
Lösungsansatz
Hagedorn entschied sich für ein mehrstufiges Programm mit monatlichen Phishing-Kampagnen über sechs Monate. Ziel war nicht „Erwischtwerden“, sondern ein kontrollierter Lernprozess mit klaren Messpunkten. Die Auswahl fiel auf eine cloudbasierte Lösung, weil sich damit Vorlagen, Zielgruppen und Auswertungen zentral verwalten ließen und gleichzeitig ein belastbarer Phishing-Simulation & Phishing Test in bestehende Awareness-Prozesse integriert werden konnte.
In einem ersten Schritt wurden mit IT, HR und Betriebsrat die rechtlichen und organisatorischen Leitplanken definiert: keine personenbezogene Bloßstellung, keine Auswertung auf Führungsebene mit Namensnennung, transparente Kommunikation über Ziel und Zweck der Maßnahme sowie definierte Eskalationswege bei echten Verdachtsfällen. Danach wurden vier Zielgruppen gebildet: Verwaltung, Produktion, Vertrieb/Service und Führungskräfte. Jede Gruppe erhielt andere Szenarien mit Bezug zu ihrer täglichen Arbeit. Für die Verwaltung wurden Rechnungs- und Freigabeprozesse simuliert, für HR Bewerbungsunterlagen und Gehaltsdokumente, für den Vertrieb ein vermeintlicher Kundenrückruf und für Führungskräfte vertrauliche Dokumentfreigaben.
Parallel wurde ein Meldebutton im E-Mail-Client eingeführt und eine kurze, verpflichtende Mikro-Schulung nach jeder Kampagne eingebaut. Wer auf eine Simulation klickte, erhielt unmittelbar eine sachliche Rückmeldung mit Hinweisen zum Erkennen verdächtiger Merkmale. Wer meldete, bekam positives Feedback. Nach drei Monaten wurden die Szenarien verschärft: statt offensichtlicher Tippfehler kamen Domains mit Lookalike-Charakter, präzise Signaturen und operative Bezüge zum Einsatz. Das Security-Team nutzte die Daten zudem, um technische Kontrollen nachzuschärfen, etwa beim Domain-Monitoring und bei Freigaberegeln für externe Links. Für das Grundlagenverständnis wurde ergänzend auf interne Lerninhalte zu Social Engineering & Phishing-Angriffe verwiesen.
Ergebnisse
Nach sechs Monaten zeigte sich eine deutliche Verbesserung. Die Klickrate auf simulierte Phishing-Mails sank von 28 % in der ersten Kampagne auf 9 % in der letzten Kampagne. Noch wichtiger: Die Melderate stieg von 17 % auf 61 %. Die durchschnittliche Zeit bis zur Meldung eines verdächtigen E-Mails reduzierte sich von 19 Minuten auf unter 6 Minuten. Besonders in den Abteilungen mit hohem E-Mail-Aufkommen verbesserte sich das Verhalten messbar.
Auch auf Management-Ebene wurden die Ergebnisse sichtbar. Vor der Einführung gab es keine belastbaren Awareness-KPIs; danach lagen monatliche Berichte zu Klicks, Meldungen, Wiederholungsquote und Risikosegmenten vor. Die Zahl der Mitarbeitenden mit wiederholtem Fehlverhalten sank innerhalb von zwei Quartalen um 64 %. Aus Sicht des Unternehmens war die Maßnahme wirtschaftlich sinnvoll: Nach interner Berechnung lag der Aufwand für Plattform, Schulungen und Betreuung bei rund 18.000 Euro pro Jahr. Demgegenüber stand ein vermiedener Schaden durch frühere Meldungen und reduzierte Incident-Response-Aufwände, konservativ geschätzt im mittleren fünfstelligen Bereich. Der ROI war damit bereits im ersten Jahr positiv.
Lessons Learned
- Phishing-Simulation wirkt nur dann nachhaltig, wenn sie regelmäßig und zielgruppenspezifisch durchgeführt wird. Eine Einmalaktion erzeugt Aufmerksamkeit, aber kein belastbares Verhalten.
- Der Erfolg hängt nicht nur an der Technik, sondern an der Einbettung in Prozesse. Meldewege, Feedback und Follow-up-Schulungen sind entscheidend.
- Transparenz mit HR, Betriebsrat und Führungskräften reduziert Widerstand und erhöht die Akzeptanz.
- Die wichtigsten Kennzahlen sind nicht nur Klicks, sondern vor allem Meldequote, Reaktionszeit und Wiederholungsrate.
- Technische und organisatorische Maßnahmen müssen zusammen gedacht werden; Awareness ersetzt keine Mail-Security, ergänzt sie aber wirksam.
Zusammenfassung
Die Hagedorn Maschinenbau GmbH hat mit einer strukturierten Phishing-Simulation ihre E-Mail-Sicherheitslage messbar verbessert. Innerhalb von sechs Monaten sanken Klickrate und Wiederholungsfehler deutlich, während Meldequote und Reaktionsgeschwindigkeit stark zunahmen. Entscheidend waren realistische Szenarien, klare Governance und die Verbindung von Awareness mit technischen Kontrollen.
Weitere Case Studies
Weiterführende Inhalte:
