Ausgangssituation
Die L&K Handelsgruppe ist ein mittelständischer Handelsverbund mit 14 Standorten in Deutschland und Österreich, rund 1.800 Mitarbeitenden sowie einem zentralen Shared-Service-Center für Einkauf, Logistik und Finanzprozesse. Durch die zunehmende Digitalisierung von Kassensystemen, Lieferantenportalen und HR-Workflows stieg die Angriffsfläche deutlich an. Gleichzeitig erhöhte sich der regulatorische Druck durch NIS2-Vorbereitung, interne Audit-Anforderungen und verschärfte Vorgaben zur Nachweisführung im Bereich Informationssicherheit.
Vor Projektstart war die Sicherheitskommunikation heterogen organisiert: Pflichtunterweisungen wurden einmal jährlich durchgeführt, aber ohne belastbare Aussage über Verhaltensänderung. Die Abschlussquote lag bei 96 %, dennoch zeigten interne Tests und Incident-Daten ein anderes Bild. In den zwölf Monaten vor Projektbeginn wurden 27 Phishing-Vorfälle registriert, davon 8 mit Klick auf schädliche Links und 3 mit anschließender Eingabe von Zugangsdaten. Besonders betroffen waren Filialmitarbeitende, das Backoffice und die Personalabteilung. Hinzu kam, dass Sicherheitsschulungen zwar dokumentiert, aber kaum mit Risikoprofilen, Rollen oder tatsächlichem Verhalten verknüpft waren. Die Organisation benötigte daher eine Security Awareness Training und Mitarbeiter Sensibilisierung mit messbarer Wirkung statt reiner Teilnahmebestätigung.
Herausforderung
Das Kernproblem war nicht fehlendes Wissen auf Führungsebene, sondern fehlende Validierung auf Verhaltensebene. Die bisherigen Maßnahmen erzeugten Formalkonformität, aber keine belastbare Risikoreduktion. Mitarbeitende in filialnahen Rollen arbeiteten unter Zeitdruck, wechselten häufig zwischen Systemen und reagierten besonders anfällig auf betrügerische Mails, Rechnungsmanipulationen und Passwort-Abfragen. Gleichzeitig konnten Audit- und Compliance-Teams nicht belegen, welche Zielgruppen tatsächlich risikoärmer agierten.
Hinzu kam die organisatorische Fragmentierung: HR verwaltete Trainings, IT-Security prüfte Vorfälle, Compliance dokumentierte Nachweise, und die Fachbereiche hatten keine einheitliche Sicht auf den Status. Dadurch blieben Maßnahmen reaktiv. Das Unternehmen brauchte einen Ansatz, der Risikodiagnostik, Sensibilisierung, Simulation und Governance in einem kontrollierbaren Prozess verbindet. Entscheidend war die Frage, ob sich Verhalten im Zeitverlauf messbar verbessert und ob sich daraus ein belastbarer Audit-Nachweis ableiten lässt.
Lösungsansatz
Die L&K Handelsgruppe entschied sich für tutoolio als Security Awareness Plattform, weil die Plattform nicht nur Inhalte bereitstellt, sondern einen geschlossenen, KI-gestützten Wirkungskreislauf abbildet: von der Risikodiagnostik über Verhaltensvalidierung bis zur audit-ready Governance. Die Entscheidung fiel gegen ein isoliertes Schulungstool und für eine Plattform, die Lernen, Simulation und Nachweisführung zusammenführt.
Zu Beginn wurde eine Risikodiagnostik über alle relevanten Zielgruppen aufgesetzt: Filialen, Einkauf, Finance, HR und IT-nahe Rollen. Dabei wurden Rollenprofile, Vorfallhistorie, organisatorische Besonderheiten und das Nutzungsverhalten der Teams berücksichtigt. Auf dieser Basis entstanden segmentierte Awareness-Profile mit unterschiedlichen Risikostufen. Parallel wurden KI-gestützte Kampagneninhalte erzeugt, die nicht generisch waren, sondern auf typische Bedrohungsszenarien im Handel zielten: Rechnungsbetrug, Lieferanten-Manipulation, Social Engineering im HR-Kontext und kompromittierte Login-Seiten.
Im zweiten Schritt wurden Simulationen eingeführt, um Verhalten nicht nur abzufragen, sondern zu validieren. Dazu gehörten Phishing-Tests, rollenbezogene Mini-Lernmodule und situative Follow-ups nach Fehlklicks. Die Plattform verband diese Maßnahmen mit automatisierter Analyse: Wer reagierte wie? In welchen Gruppen häuften sich Risiken? Welche Inhalte führten tatsächlich zu Verhaltensänderung? Genau hier wurde der Vorteil von tutoolio sichtbar, weil Security Awareness Training und Mitarbeiter Sensibilisierung nicht als isolierte Maßnahme, sondern als messbarer Prozess umgesetzt werden konnten.
Im dritten Schritt wurde Governance aufgebaut. Für Compliance und Revision wurden Nachweise automatisiert exportiert: Teilnahme, Reaktionsquoten, Risikoentwicklung, Maßnahmenstatus und Wiederholungstraining. Das reduzierte manuellen Aufwand in HR und Security und schuf eine einheitliche Berichtslinie für Management und Audit. Die Implementierung erfolgte innerhalb von sechs Wochen, zunächst als Pilot in drei Gesellschaften und anschließend als gestaffelter Rollout auf alle Standorte. Besondere Aufmerksamkeit erhielt die Einbindung der Führungskräfte, damit Awareness nicht als IT-Thema, sondern als Führungs- und Risikothema verankert wurde.
Ergebnisse
Nach sechs Monaten zeigte sich ein klarer Vorher/Nachher-Effekt. Die Klickrate in simulierten Phishing-Kampagnen sank von 21 % auf 7 %. Die Rate der Zugangsdaten-Eingaben ging von 6 % auf 1,5 % zurück. Gleichzeitig erhöhte sich die Melderate verdächtiger E-Mails von 18 % auf 43 %, was auf ein deutlich verbessertes Risikobewusstsein hindeutet.
Im operativen Bereich reduzierten sich die bestätigten Phishing-Vorfälle im Vergleich zum Vorjahreszeitraum von 27 auf 11. Besonders relevant war die Entwicklung in den stark exponierten Bereichen: In den Filialteams halbierte sich die Fehlreaktionsrate nach drei zielgruppenspezifischen Maßnahmenzyklen. Für Audit und Compliance verkürzte sich die Nachweisaufbereitung von durchschnittlich 12 Stunden auf unter 2 Stunden pro Quartal. Der geschätzte interne Aufwand für manuelle Dokumentation sank damit um rund 80 %.
Der ROI war aus Sicht des Unternehmens vor allem durch vermiedene Incident-Kosten und reduzierten Koordinationsaufwand begründbar. Auf Basis konservativer Annahmen lag der Break-even nach etwa neun Monaten. Zusätzlich verbesserte sich die Transparenz für Management und Revision, weil nicht mehr nur Schulungsquoten, sondern belastbare Verhaltens- und Risikokennzahlen vorlagen. Die Organisation konnte erstmals zeigen, dass Sensibilisierung nicht nur durchgeführt, sondern wirksam umgesetzt wurde.
Lessons Learned
Erstens: Hohe Teilnahmequoten sind kein Nachweis für Resilienz. Entscheidend ist, ob sich reales Verhalten in Risikosituationen verbessert. Zweitens: Awareness muss rollenbasiert sein. Filialpersonal, HR und Finance benötigen andere Szenarien als zentrale IT-Teams. Drittens: Ohne Governance bleibt Sensibilisierung schwer auditierbar. Nachweise müssen automatisiert, konsistent und revisionsfähig verfügbar sein. Viertens: KI bringt nur dann Mehrwert, wenn sie in Diagnostik, Simulation und Auswertung integriert ist. Fünftens: Der größte Effekt entsteht, wenn Security, HR und Compliance gemeinsam auf ein Wirkungsmodell zugreifen.
Zusammenfassung
Die Case Study zeigt, dass eine Security Awareness Plattform dann wirksam ist, wenn sie Risikodiagnostik, Verhaltensvalidierung und Governance in einem Prozess verbindet. Mit tutoolio konnte die L&K Handelsgruppe ihre Click- und Credential-Raten senken, die Meldequote erhöhen und Audit-Aufwände deutlich reduzieren. Der wichtigste Effekt war nicht die Durchführung von Schulungen, sondern der Nachweis messbarer Verhaltensänderung.
Weitere Case Studies
Weiterführende Inhalte: – Security Awareness Training und Mitarbeiter Sensibilisierung