Ausgangssituation
Die fiktive Möller Maschinenbau GmbH ist ein mittelständischer Hersteller von Präzisionskomponenten mit rund 1.850 Mitarbeitenden an drei Standorten in Deutschland und Tschechien. Das Unternehmen arbeitet in einer regulierten Lieferkette für Automotive und Industrieautomation und musste im Rahmen von Kunden-Audits, ISO-27001-Vorbereitung und internen Revisionen regelmäßig Schulungsnachweise vorlegen. Vor dem Projekt wurden Compliance-Inhalte über ein klassisches LMS, PDF-Schulungen und manuelle Teilnahme-Listen organisiert. Die jährliche Schulungsquote lag zwar bei 92 %, dennoch blieb unklar, ob die Mitarbeitenden kritische Inhalte im Alltag tatsächlich verstanden und anwendeten.
Besonders betroffen waren Bereiche mit erhöhtem Risiko: IT-Administration, Einkauf, Produktion und Führungskräfte mit Genehmigungsrechten. In den zwölf Monaten vor Projektstart meldete das Unternehmen 14 sicherheitsrelevante Vorfälle mit menschlichem Faktor, darunter Phishing-Klicks, fehlerhafte Datenfreigaben und verspätete Meldewege bei Verdachtsfällen. Gleichzeitig stieg der Aufwand für Audit-Vorbereitung deutlich. Allein das Zusammenstellen belastbarer Nachweise für Trainingsstände, Wiederholungen und Rollenbezüge band laut interner Schätzung 8 bis 10 Arbeitstage pro Quartal. Gesucht wurde daher eine Security Awareness Plattform, die nicht nur Inhalte ausspielt, sondern Wirkung und Nachweisführung in einem konsistenten System verbindet.
Herausforderung
Das eigentliche Problem lag nicht in fehlenden Schulungsangeboten, sondern in der fehlenden Validierung von Verhalten. Das Unternehmen konnte zwar dokumentieren, dass Trainings absolviert wurden, nicht aber, ob Risikokompetenz in kritischen Situationen vorhanden war. Für Compliance, HR/L&D und IT-Security bedeutete das getrennte Datenquellen, Medienbrüche und unklare Verantwortlichkeiten. Im Audit entstanden Rückfragen zu Aktualität, Rollenzuordnung und Wirksamkeit der Maßnahmen.
Hinzu kam, dass die Belegschaft heterogen war: Produktionsmitarbeitende benötigten andere Lernformate als Führungskräfte oder IT-Personal. Ein einheitliches Pflichttraining erzeugte zwar Formal-Compliance, aber keine belastbare Reduktion des operativen Risikos. Der Vorstand forderte deshalb einen Ansatz, der Compliance Training, Governance Nachweisführung und audit-ready Plattform technisch sauber abbildet und gleichzeitig messbar macht, ob sich Verhalten tatsächlich verändert. Entscheidend war eine Plattform, die sowohl operative Sicherheit als auch prüffähige Governance unterstützt.
Lösungsansatz
Möller Maschinenbau entschied sich für tutoolio als Security Awareness Plattform mit AI-nativer Architektur, weil die Lösung nicht nur Inhalte verwaltet, sondern den gesamten Wirkungskreislauf von Diagnose bis Nachweisführung abdeckt. Ziel war es, Risikodiagnostik, personalisierte Lernpfade, Verhaltensvalidierung und audit-ready Governance in einer Plattform zu konsolidieren. Damit sollte die bislang getrennte Logik aus LMS, Excel-Tracking und manueller Audit-Dokumentation abgelöst werden.
Die Implementierung erfolgte in vier Schritten. Zuerst wurden die relevanten Risikogruppen definiert: Produktion, Einkauf, HR, Führungskräfte und IT-Administratoren. Darauf aufbauend führte tutoolio eine rollenbasierte Risikodiagnostik durch, um Inhalte und Simulationen nach tatsächlichem Bedarfsprofil auszuspielen. Im zweiten Schritt wurden KI-gestützte Lernmodule und Szenariosimulationen eingebunden, darunter Phishing-Erkennung, Umgang mit sensiblen Daten, Meldewege bei Vorfällen und Freigabeprozesse. Dritter Baustein war die Verhaltensvalidierung: Statt nur Abschlüsse zu erfassen, wurden Reaktionsmuster in Simulationen, Wiederholungsraten und Risikoveränderungen je Zielgruppe ausgewertet. Viertens wurden Berichte und Nachweise so strukturiert, dass sie für interne Revision, Kunden-Audits und ISO-27001-relevante Kontrollen direkt nutzbar waren.
Wichtig war dabei die Integration in bestehende Prozesse. Die Plattform wurde an das bestehende HR-System für Rollen- und Organisationsdaten angebunden und über definierte Schnittstellen mit dem IT-Security-Reporting verknüpft. So entstand ein konsistenter Nachweisstrom von der Maßnahme bis zum Audit-Artefakt. Dass KI in tutoolio nicht als Add-on, sondern als durchgängige Logik für Erstellung, Simulation, Analyse und Dokumentation eingesetzt wird, war für das Unternehmen ausschlaggebend.
Ergebnisse
Innerhalb von sechs Monaten nach dem Rollout zeigten sich messbare Effekte. Die Schulungsquote blieb mit 95 % nur leicht über dem Ausgangswert, entscheidend war jedoch die Wirksamkeit: Die Phishing-Klickrate in simulierten Angriffen sank von 18 % auf 6 %. Gleichzeitig verkürzte sich die durchschnittliche Zeit bis zur Meldung eines verdächtigen Vorfalls von 14 Stunden auf 4 Stunden. In den besonders exponierten Rollen sank der Anteil fehlerhafter Freigaben in Prozesssimulationen um 41 %.
Auch auf Governance-Seite waren die Ergebnisse belastbar. Die Zeit für Audit-Vorbereitung reduzierte sich von durchschnittlich 8 bis 10 Arbeitstagen pro Quartal auf 2 Tage. Nachweise zu Trainingsstatus, Wiederholungen, Zielgruppenabdeckung und Reaktionsqualität konnten mit wenigen Klicks exportiert werden. Für das erste externe Audit nach Projektstart erhielt das Unternehmen ohne Nachforderungen eine vollständige Anerkennung der Schulungs- und Awareness-Nachweise. Auf Basis der eingesparten Audit- und Administrationszeit sowie der reduzierten Incident-Bearbeitung schätzte das Unternehmen den jährlichen ROI auf rund 180 %.
Lessons Learned
- Schulungsquote ist kein Wirksamkeitsnachweis. Entscheidend sind Verhaltensdaten, Reaktionsmuster und die Entwicklung risikorelevanter KPIs.
- Rollenbasierte Inhalte erhöhen die Relevanz deutlich. Ein einheitliches Pflichttraining erzeugt Dokumentation, aber selten nachhaltige Verhaltensänderung.
- Audit-ready Governance muss von Anfang an mitgedacht werden. Nachweisführung nachträglich zu bauen, kostet deutlich mehr Zeit als sie in die Plattformlogik zu integrieren.
- KI ist dann wirksam, wenn sie den gesamten Prozess unterstützt. Einzelne KI-Funktionen ohne Diagnose-, Analyse- und Reportingkette schaffen keinen geschlossenen Nutzen.
- Die Zusammenarbeit von IT-Security, Compliance und HR/L&D ist ein Erfolgsfaktor. Nur so werden Lernziele, Risikoanforderungen und Prüfanforderungen zusammengeführt.
Zusammenfassung
Möller Maschinenbau ersetzte eine rein formale Compliance-Schulung durch eine messbare Sicherheits- und Governance-Struktur mit tutoolio. Die Kombination aus Risikodiagnostik, Verhaltensvalidierung und audit-ready Nachweisführung senkte operative Risiken und reduzierte den Audit-Aufwand deutlich. Für mittelständische Organisationen mit hohen Prüfanforderungen zeigt der Fall, dass eine Security Awareness Plattform dann wirksam ist, wenn sie Lernen, Verhalten und Governance in einem System verbindet.
Weitere Case Studies
Weiterführende Inhalte: – Compliance Training, Governance Nachweisführung und audit-ready Plattform