Ausgangssituation
Die Mahr & Sohn International GmbH ist ein mittelständischer Industriezulieferer mit Hauptsitz in Süddeutschland und 14 Niederlassungen in Europa, Nordamerika und Asien. Rund 2.400 Mitarbeitende arbeiten in Produktion, Vertrieb, Engineering und Shared Services; etwa 1.100 davon haben regelmäßig Zugriff auf interne Fachanwendungen, Kundenportale oder ERP-nahe Prozesse. Vor der Einführung von tutoolio waren Security-Awareness-Maßnahmen dezentral organisiert: einzelne E-Learnings, punktuelle Phishing-Tests und manuelle Excel-Listen für Nachweise. Für den Jahresbericht der Compliance-Abteilung mussten Informationen aus HR, IT und lokalen Standorten per E-Mail zusammengetragen werden.
Der Anlass für eine Neuausrichtung war nicht ein einzelner Vorfall, sondern die Häufung mehrerer Risiken: eine erfolgreich umgeleitete Rechnung im sechsstelligen Bereich, wiederholte Unsicherheiten bei der Nutzung mobiler Endgeräte im Außendienst und inkonsistente Nachweise für Awareness-Trainings in Audit-Vorbereitungen. Zusätzlich stieg der Druck durch internationale Anforderungen an Datenschutz, Lieferkettensicherheit und interne Kontrollsysteme. Ziel war es, aus fragmentierten Maßnahmen eine Risikodiagnostik und Security Awareness Management überführte, belastbare Steuerung zu machen, die standortübergreifend vergleichbar ist.
Herausforderung
Das Kernproblem war nicht fehlendes Training, sondern fehlende Wirksamkeitssicht. Die Organisation konnte zwar Schulungsquoten berichten, aber nicht beantworten, ob Mitarbeitende risikorelevante Verhaltensweisen tatsächlich änderten. Besonders kritisch war das bei Standorten mit hoher Fluktuation und unterschiedlichen Sprachen. In einigen Ländern lag die Abschlussquote für Pflichttrainings bei über 90 %, gleichzeitig blieb die Klickrate auf simulierte Phishing-Mails in den ersten Tests bei 24 bis 31 %. Für das Management war das ein klares Signal: formale Teilnahme ersetzt keine operative Resilienz.
Hinzu kam die regulatorische Komplexität. Audit-Anforderungen mussten lokal nachgewiesen werden, gleichzeitig wollte das Unternehmen eine einheitliche Governance-Struktur etablieren. Ohne konsistente Daten fehlten der Compliance-Abteilung verlässliche Kennzahlen für Risiko-Berichte, und die IT-Security konnte standortbezogene Schwachstellen nur reaktiv adressieren. Die Folge waren hoher manueller Aufwand, lange Abstimmungszyklen und keine belastbare Priorisierung der Maßnahmen.
Lösungsansatz
Das Unternehmen entschied sich für tutoolio als Security Awareness Plattform mit geschlossenem, KI-gestütztem Wirkungskreislauf. Ausschlaggebend war, dass die Plattform nicht nur Inhalte bereitstellt, sondern Risikodiagnostik, Verhaltensvalidierung und audit-ready Governance in einem System verbindet. Damit ließ sich die Frage „Wer hat teilgenommen?“ durch „Welche Risiken wurden reduziert?“ ergänzen.
Die Implementierung erfolgte in vier Schritten. Zunächst wurde eine Baseline-Risikodiagnostik für alle Standorte durchgeführt. Dabei wurden Rollen, Standorte, Sprachen, Vorwissen und Risikogruppen segmentiert, um nicht mit einem generischen Trainingsmodell zu arbeiten. Anschließend definierte das Projektteam aus IT-Security, HR/L&D und Compliance risikobasierte Lernpfade für vier Kernbereiche: Phishing, sichere Datennutzung, mobile Arbeit und Meldedisziplin bei Sicherheitsvorfällen. Die KI-gestützte Content-Erstellung in tutoolio beschleunigte die Lokalisierung in sechs Sprachen und erlaubte eine einheitliche inhaltliche Steuerung.
Im zweiten Schritt wurden simulationsbasierte Verhaltensvalidierungen eingeführt: standortspezifische Phishing-Szenarien, kurze Mikro-Interaktionen und rollenbezogene Prüfungen. Die Ergebnisse flossen in die Plattform ein und wurden für die Nachsteuerung genutzt. Drittens wurden Governance-Funktionen aktiviert, um Nachweise, Maßnahmen und Fristen zentral zu dokumentieren. Für das Audit-Team waren Berichte nun jederzeit exportierbar und revisionssicher nachvollziehbar. Viertens wurden Führungskräfte und Standortverantwortliche über Dashboards eingebunden, damit Risikolagen nicht nur zentral sichtbar sind, sondern auch lokal adressiert werden. Genau an dieser Stelle zeigte sich der Mehrwert der AI-native Architektur: Erstellung, Analyse und Nachweisführung liefen in einem konsistenten Prozess statt in getrennten Tools.
Ergebnisse
Nach sechs Monaten zeigte sich ein deutlicher Unterschied zwischen Teilnahme und Wirkung. Die Abschlussquote für verpflichtende Awareness-Maßnahmen lag weiterhin hoch bei 96 %, aber entscheidend war der Rückgang des risikorelevanten Verhaltens: Die Klickrate auf simulierte Phishing-Mails sank standortübergreifend von 27 % auf 9 %. In den besonders exponierten Gruppen aus Finance und Einkauf fiel sie von 31 % auf 7 %. Gleichzeitig stieg die Quote korrekt gemeldeter verdächtiger E-Mails von 18 % auf 61 %.
Auch organisatorisch waren die Effekte messbar. Der Aufwand für Audit-Vorbereitung in Compliance und HR sank von durchschnittlich 14 Personentagen pro Quartal auf 4 Personentage. Die Zeit bis zur Auswertung standortbezogener Risiken verkürzte sich von mehreren Wochen auf wenige Stunden. Für die Geschäftsleitung war vor allem relevant, dass erstmals eine belastbare Brücke zwischen Awareness-Maßnahme und Risikominderung entstand. Auf Basis der vermiedenen manuellen Aufwände und eines reduzierten Incident-Volumens errechnete das Unternehmen einen positiven ROI innerhalb von neun Monaten.
Lessons Learned
- Schulungsquoten sind kein Risikomaß. Erst Verhaltensdaten zeigen, ob Awareness tatsächlich wirksam ist.
- Internationale Organisationen brauchen segmentierte Risikodiagnostik. Ein globales Standardtraining erzeugt keine vergleichbare Lageübersicht.
- Governance ist Teil der Wirkung, nicht nur ein Reporting-Anhang. Nachweise, Fristen und Verantwortlichkeiten müssen in derselben Plattform sichtbar sein.
- KI ist im Awareness-Kontext dann relevant, wenn sie operative Arbeit reduziert: bei Lokalisierung, Analyse und Nachweisführung.
- Die Einbindung von Standortverantwortlichen verbessert die Umsetzung deutlich, weil Risiken lokal schneller erkannt und adressiert werden.
Zusammenfassung
Mit tutoolio konnte Mahr & Sohn International eine fragmentierte Awareness-Landschaft in einen messbaren, standortübergreifenden Steuerungsprozess überführen. Entscheidend war nicht die Anzahl geschulter Personen, sondern der nachweisbare Rückgang risikobehafteten Verhaltens und die deutlich schnellere Audit-Fähigkeit. Die Case Study zeigt, dass eine Security Awareness Plattform nur dann strategischen Wert erzeugt, wenn sie Diagnostik, Verhaltensvalidierung und Governance zusammenführt.
Weitere Case Studies
Weiterführende Inhalte: – Risikodiagnostik und Security Awareness Management