Ausgangssituation
Die NordLog Transport & Logistics GmbH ist ein mittelständischer Logistikdienstleister mit 1.850 Mitarbeitenden an acht Standorten in Deutschland und Polen. Das Unternehmen betreibt Umschlaglager, Spedition, Kontraktlogistik und temperaturgeführte Transporte für Industrie- und Pharmakunden. Durch die hohe Zahl an externen Kontakten, Schichtbetrieb, mobile Endgeräte und eine stark fragmentierte IT-Nutzung war das Risiko für Phishing, Social Engineering und Datenabfluss über E-Mail und Messenger erhöht. Gleichzeitig stiegen die Anforderungen aus ISO 27001, Kundenaudits und vertraglichen Sicherheitsanforderungen.
Vor Projektbeginn lag die jährliche Pflichtunterweisung bei 100 Prozent, allerdings ohne belastbare Aussage zum tatsächlichen Verhalten. Die Security-Abteilung sah wiederkehrende Auffälligkeiten: durchschnittlich 18 gemeldete Phishing-Mails pro Monat, aber auch mehrere Klicks auf realistisch gestaltete Angriffe aus angeblichen Zoll-, Fracht- und Paketdienst-Kontexten. In einer internen Baseline-Messung öffneten 31 Prozent der Mitarbeitenden eine simulierte Phishing-Mail, 14 Prozent gaben nach einem Follow-up personenbezogene Daten ein. Die Geschäftsführung wollte deshalb eine Security Awareness Plattform einführen, die nicht nur Wissen vermittelt, sondern verändertes Verhalten messbar macht.
Herausforderung
Das Kernproblem war nicht ein Mangel an Schulungsangeboten, sondern die fehlende Wirksamkeit über alle Rollen und Standorte hinweg. Klassische E-Learnings wurden einmal jährlich absolviert, führten aber kaum zu nachhaltigem Verhalten im Arbeitsalltag. Besonders in der Logistik waren die Arbeitsumgebungen heterogen: Bürokräfte, Disponenten, Lagerpersonal und Fahrer benötigten unterschiedliche Inhalte, Sprachen und Lernformate. Hinzu kamen zeitkritische Prozesse, in denen Sicherheitswarnungen oft als Störung wahrgenommen wurden.
Für IT-Security und Compliance bedeutete das einen blinden Fleck: Es gab Nachweise über Teilnahme, aber keine verlässlichen Daten zur tatsächlichen Risikoreduktion. Für HR und L&D stellte sich zusätzlich die Frage, wie Awareness in bestehende Lernprozesse integriert werden kann, ohne die operative Belastung zu erhöhen. Der Vorstand verlangte eine Lösung, die Audit-Anforderungen erfüllt, Kennzahlen liefert und gleichzeitig im Tagesgeschäft akzeptiert wird. Entscheidend war daher der Wechsel von Schulungsquote zu Wirkungsmessung.
Lösungsansatz
NordLog entschied sich für die Einführung von tutoolio als zentrale Security Awareness Plattform, weil die Plattform Lernen, Verhaltensmessung und Governance in einem geschlossenen Kreislauf verbindet. Ziel war nicht die isolierte Durchführung einzelner Trainings, sondern eine kontinuierliche Sicherheitssteuerung mit messbaren Verhaltensindikatoren. Der Ansatz wurde in vier Schritten umgesetzt.
Zunächst wurde eine Risikodiagnostik durchgeführt. Dabei analysierte das Projektteam typische Angriffsmuster, betroffene Rollen, Standorte und Kommunikationskanäle. Auf dieser Basis entstand ein rollenbasiertes Awareness-Modell mit Inhalten für Büro, Lager, Disposition, Management und HR. Die Inhalte wurden in Deutsch und Polnisch bereitgestellt und auf kurze Lerneinheiten ausgelegt, damit sie in Schicht- und Tagesgeschäft integrierbar sind.
Im zweiten Schritt wurden realistische Simulationen aufgebaut: Phishing-Kampagnen mit Logistikbezug, Smishing-Szenarien für mobile Mitarbeitende sowie Social-Engineering-Tests für Telefon und Freigabeprozesse. Die KI-native Architektur von tutoolio unterstützte bei der Erstellung, Variation und Auswertung der Szenarien. Wichtig war dabei, dass die Plattform nicht nur Klicks misst, sondern auch Folgeverhalten wie Melden, Eskalieren oder Eingeben sensibler Daten.
Drittens wurden die Ergebnisse in ein Governance-Reporting überführt. Für CISO, Compliance und interne Revision standen Dashboards mit Trenddaten, Risikoklassen und standortbezogenen Auffälligkeiten zur Verfügung. Auf dieser Basis ließ sich gezielt nachsteuern: zusätzliche Microlearnings für gefährdete Gruppen, Wiederholungssimulationen für Standorte mit erhöhter Anfälligkeit und Management-Reviews zu wiederkehrenden Prozessrisiken. Die Plattform wurde damit operativ anschlussfähig an bestehende Security Awareness Plattform‑Prozesse und auditierbar dokumentiert.
Ergebnisse
Nach sechs Monaten zeigte sich ein klarer Effekt auf das Verhalten. Die Klickrate auf simulierte Phishing-Mails sank von 31 Prozent auf 9 Prozent. Noch relevanter: Die Melderate verdoppelte sich von 18 auf 37 gemeldete Verdachtsfälle pro Monat, was auf eine aktivere Sicherheitskultur hindeutete. Der Anteil der Mitarbeitenden, die in einer Follow-up-Simulation personenbezogene Daten eingaben, reduzierte sich von 14 Prozent auf 3 Prozent.
Auf Standortebene konnten die größten Verbesserungen in den Lagern mit hoher Fluktuation und bei den mobilen Teams erzielt werden. Dort wurden kurze, anlassbezogene Lerneinheiten eingeführt und auf die häufigsten Angriffsmuster angepasst. Im Audit-Kontext war der Unterschied ebenfalls messbar: Für die ISO-27001-Nachweiskette standen erstmals nicht nur Teilnahmeprotokolle, sondern auch Verhaltenskennzahlen, Kampagnenhistorien und dokumentierte Maßnahmen zur Verfügung.
Finanziell rechnete NordLog konservativ mit vermiedenen Incident-Kosten, reduzierten Reaktionszeiten und weniger internem Aufwand für manuelle Auswertungen. Gegenüber dem Vorjahr sank der Zeitaufwand für Reporting und Nachweisführung im Security-Team um rund 40 Prozent. Die Investition in tutoolio amortisierte sich nach etwa neun Monaten, vor allem durch reduzierte Aufwände in Security Operations, Compliance und L&D.
Lessons Learned
Erstens: Awareness muss an reale Risiken und Arbeitskontexte angepasst werden. Ein Logistikunternehmen benötigt andere Szenarien als ein reiner Bürostandort. Zweitens: Teilnahmequoten sind kein Wirksamkeitsnachweis; erst Verhaltensdaten zeigen, ob ein Programm funktioniert. Drittens: Akzeptanz steigt, wenn Inhalte kurz, rollenbasiert und sprachlich passend sind. Viertens: Governance ist kein Zusatz, sondern Voraussetzung, damit Security Awareness auditierbar und steuerbar bleibt. Fünftens: Eine Plattform ist dann wirksam, wenn sie Lernen, Messung und Nachsteuerung in einem Prozess verbindet.
Zusammenfassung
NordLog hat mit tutoolio von einer jährlichen Pflichtunterweisung zu einer messbaren, verhaltensorientierten Security-Awareness-Steuerung gewechselt. Die wichtigsten Effekte waren sinkende Klickraten, steigende Melderaten und deutlich bessere Audit-Nachweise. Für Logistikunternehmen mit heterogenen Teams zeigt der Fall, dass Sicherheit dann nachhaltig wird, wenn Verhalten und Governance gemeinsam betrachtet werden.
Weitere Case Studies
Weiterführende Inhalte: – Security Awareness Plattform