Monster Energys CSO-Award-prämierter Security-Kulturwandel: Von Compliance-Pflicht zu sportlicher Höchstleistung

Das Geschäftsproblem neu gedacht: von GSD schnell zu GSD richtig

Monster Energy basiert auf einer kompetitiven Hochgeschwindigkeits-Kultur, geprägt von einem Mantra: Get S$!t Done (GSD). Diese Mentalität treibt Innovation und Wachstum, aber sie schafft auch Cyber-Risiken, wenn Angreifer Dringlichkeit, Vertrauen und Tempo ausnutzen.

Trotz starker technischer Kontrollen und klassischer Awareness-Maßnahmen blieb Phishing ein Human-Risk-Problem. Mitarbeitende klickten weiterhin auf schädliche Links und gaben Zugangsdaten preis. Anstatt das Unternehmen auszubremsen, wählte Monster einen anderen Ansatz: das Bild vom Gewinnen neu definieren.

Das Ergebnis: das mit dem CSO Award ausgezeichnete Get S$!t Done Right Programm – ein Cyber-Mindset-Kulturwandel, der Wachsamkeit zum festen Teil der täglichen Arbeit bei Monster macht, statt zur Bremse.

„Training allein löst das Problem nicht. Es braucht ein Security-First-Mindset – oder wie wir es nennen: den 'Cyber Mindset'. Mit den Möglichkeiten von Hoxhunt konnten wir genau das schnell aufbauen und skalieren." — John Strait--SVP, Global Information Technology Infrastructure

Dieser Perspektivwechsel war entscheidend: Monster behandelte Human Risk nicht als Trainings- oder Compliance-Thema, sondern als Mindset- und Performance-Problem. Die Frage: Wie können Mitarbeitende schnell und gleichzeitig sicher handeln – mit dem Moment des Innehaltens, um zu hinterfragen, zu melden und das Unternehmen zu schützen?

Ein CSO-Award-prämiertes Programm bauen, das sich unverwechselbar nach Monster anfühlt

Die Innovation, die von den CSO Awards ausgezeichnet wurde, drehte sich um eines: Gamification zum Bestandteil der Kulturgestaltung machen.

Gemeinsam mit Hoxhunt baute Monster Energy eine Multi-Plattform-Cyber-Mindset-Engine, die Folgendes kombiniert:

• KI-gestützte adaptive Phishing-Simulationen
• Personalisierte Micro-Trainings
• Leaderboards und Wettbewerbe
• Executive Storytelling und interne Medien über GSD TV
• Saisonale Kampagnen wie die 12 Days of Phishmas im Dezember – gemeinsam mit Hoxhunt
• Kreative Engagement-Features wie Phish-a-Friend
• Den Cyber Mindset Championship Belt – inspiriert von den UFC-Titelgürteln

Monster entschied sich für Hoxhunt, weil die Plattform die kompetitive Natur des Unternehmens unterstützen und gleichzeitig die richtigen Verhaltensergebnisse erzielen kann. Dann stellte das Team eine andere Frage: Nicht nur, wie man eine Plattform ausrollt, sondern wie man sie zu einer echten Monster-Plattform macht.

Der Belt wurde zum stärksten Symbol dieser Transformation. Mehr als nur dekoratives Beiwerk – er stand für Ambition, Meisterschaft und Identität. Getrennte Belts für Endnutzende und IT förderten sowohl individuelle Spitzenleistung als auch Team-Verantwortung. Zum Gewinnen reichten Leaderboard-Punkte allein nicht – es zählten auch erfolgreich erkannte Phishing-Versuche, Meldeverhalten, proaktive Spam-Eskalation und kontinuierliches Engagement.

“„Wir haben uns Hoxhunt angeschaut und gesagt: Okay, wie machen wir daraus etwas Monster-Eigenes? Hoxhunt hat uns geholfen, drei Ziele zu erreichen: weniger Klicks auf Phishing-Angriffe, mehr Cyber-Bildung und am Ende einen Wettbewerbsvorteil bei unseren Mitarbeitenden. Alles fiel zusammen, als ich einen unserer UFC-Belts sah und zu meinem CIO sagte: 'Lass uns das zum ultimativen Monster-Symbol für Cyber Mindset machen.'"
— John Strait

Indem Cyber Excellence öffentlich, greifbar und kompetitiv wurde, machte Monster aus Sicherheit etwas, worüber Mitarbeitende reden, in dem sie besser werden – und das sie gewinnen wollen.

‍

Vorsicht vermitteln, ohne das Tempo zu drosseln

Die größte Herausforderung war kulturell. Das Geschäft von Monster lebt von aggressivem Tempo, entschlossenem Handeln und konsequenter Umsetzung. Klassisches Security Training verlangt von Mitarbeitenden oft, langsamer zu werden und gerät damit in Konflikt mit diesem Operating Model.

Monster versuchte nicht, diese Kultur durch Unterdrückung zu „lösen". Stattdessen hat das Team sie neu gerahmt. Das Ziel war nicht, Tempo zu eliminieren – sondern bewusste Pausen in riskante Momente einzubauen und Spitzenleistung neu zu definieren als smarte, wachsame Umsetzung. Nicht einfach nur schnelles Handeln.

Mitarbeitende wurden für Fehler nicht bestraft. Sie bekamen sofortiges Feedback über adaptive Simulationen und Micro-Learnings. Falsch zu liegen wurde Teil des Lernens – nicht ein Zeichen von Versagen. Die Teilnahme der Führungsetage machte den Wandel glaubwürdig: Führungskräfte konkurrierten öffentlich, ließen sich auf Phishing-Simulationen ein und normalisierten sichtbares Lernen.

„Die kompetitive Natur des Hoxhunt-Trainings sorgt dafür, dass sie auf Details achten – auf die Micro-Trainings. Und das gibt ihnen die eine zusätzliche Sekunde, um innezuhalten und nachzudenken."
— John Strait

Dieser Mindset-Wandel zeigte sich darin, wie Mitarbeitende sich einbrachten. Cybersecurity wurde zum Gesprächsthema – bei der Arbeit, teamübergreifend und weit über formale Trainingsmomente hinaus. Genau das war das Ziel: Cyber aus dem Hintergrund-Compliance-Bereich in die tägliche Identität und das tägliche Verhalten holen.

Vor Kurzem wurde eine Führungskraft von Monster im Kino von einer Mitarbeiterin angesprochen. Sie hatte das Markenlogo auf der Jacke eines Familienmitglieds erkannt, und als sie erfuhr, dass es sich um eine IT-Führungskraft handelte, fragte sie mit einem Lächeln: „Sind Sie der oder die Verantwortliche für all diese Hoxhunt-Phishing-Tests?" Es entwickelte sich ein angeregtes Gespräch über das Phishing Training.

Als John von dieser Begegnung hörte, war ihm klar: Cybersecurity hatte den Schritt vom Training in die alltägliche Wahrnehmung und Konversation geschafft.

„Solche Momente sind mir jederzeit lieber als zwei Punkte mehr in einer Statistik." — John Strait

John merkte an, dass die technische Implementierung von Hoxhunt „so einfach war, wie es nur sein kann. Wir haben die Lizenzen bekommen und buchstäblich innerhalb von 24 Stunden Phishing-Tests verschickt."

Das ermöglichte dem Team, sich voll auf den Wandel des Monster-Cyber-Mindsets mit strategischen Kampagnen zu konzentrieren. Eine besonders wirkungsstarke Kampagne war die „12 Days of Phishmas" gemeinsam mit Hoxhunt, die die wachsende Bedrohung durch Deepfakes und andere KI-generierte Angriffe in den Mittelpunkt rückte. Die Ergebnisse waren bemerkenswert:

• 27.000 Impressions
• 2 % Fehlerrate (bei besonders anspruchsvollen Simulationen)
• Die Hälfte der allgemeinen Fehlerquote von 4 %
• Anschließend strategischer Rollout von AI Spear Phishing Simulationen für besonders gefährdete Zielgruppen

Diese Kampagne war doppelt wichtig, weil parallel dazu ein deutlicher Anstieg hochentwickelter KI-generierter Phishing-Angriffe vom SOC registriert wurde. Diese Bedrohungen sind keine einfachen Social-Engineering-Phishings mehr – es sind komplexe, hierarchische Konversations-E-Mails, die Dritte einbinden, welche dann mit echten Mitarbeitenden interagieren.

MEHR ZUR 14× ZUGENOMMENEN MENGE AN KI-GENERIERTEN PHISHINGS IM HOXHUNT PHISHING TRENDS REPORT

Ergebnisse: messbare Risikoreduktion und sichtbare Verhaltensänderung

Das Programm lieferte messbare Geschäftsergebnisse über mehrere menschlich verursachte Cyber-Risiken hinweg – verbesserte gleichzeitig die operative Effizienz und festigte langfristige Verhaltensänderung.

Die wichtigsten Ergebnisse im Überblick:

• 91 % weniger durch Mitarbeitende verursachte Security-Incidents: von rund fünf pro Tag auf weniger als drei pro Woche
• 4× geringere Fehlerquoten
• Fehlerraten gesenkt von 16–18 % mit klassischem SAT auf 4 % mit Hoxhunt
• Credential-Harvesting-Simulationen: nur noch rund 4 % Eingabequote bei Zugangsdaten
• Die Dezember-Kampagne 12 Days of Phishmas erreichte eine Fehlerquote von 2,1 % – unter Monster Energy's Jahresdurchschnitt
• Meldungen schädlicher Websites um rund 15 % gestiegen
• Sprunghafter Anstieg der Bedrohungsmeldungen ans SOC
• Account-Lockouts um 30–40 % zurückgegangen
• Helpdesk-Tickets zu Phishing und Passwort-Resets rückläufig
• Bessere SOC-Effektivität durch weniger Eskalationen und schnellere Bearbeitung

„Wir schauen auf die kumulierten Gesamtwerte. Was sehen wir? Gehen die Tickets beim Helpdesk zurück? Ja. Gehen die Account-Lockout-Meldungen zurück? Ja. Sehen wir weniger User-Aktivität, Lockouts und Events in unseren Cloud-Umgebungen? Ja, das tun wir. Das sind Kennzahlen, die wir sinken sehen. Und wir sehen die Vorteile auch aus einer übergeordneten SOC-Perspektive." — John Strait

Genauso wichtig: Auch qualitative Signale untermauerten die Zahlen. Mitarbeitende sprachen über Phishing-Tests auf Parkplätzen, im Kino und in Team-Meetings. Führungskräfte kämpften um Leaderboard-Plätze und Championship Belts. Abteilungsleitungen forderten schwierigere Simulationen, inklusive KI-Phishing und „Spicy Mode", statt nach weniger Tests zu verlangen.

„Die spontanen Gespräche, die Menschen über Cybersecurity führen, sind genauso wichtig wie die Microlearnings selbst." — John Strait

Das Monster-Team beobachtete außerdem einen drastischen Anstieg komplexerer KI-generierter Phishing- und Konversations-Angriffe. Weil das Programm adaptiv und kontinuierlich war, konnte die Organisation mit den sich entwickelnden Bedrohungen Schritt halten – statt sich auf statische Inhalte zu verlassen.

„Get S$!t Done ist ein großartiges Konzept. Get S$!t Done Right ist noch besser. Hoxhunt hat uns geholfen, unsere Cyber-Kultur auf Weltklasse-Niveau zu bringen ohne dabei die DNA unserer Monster-Unternehmenskultur zu verlieren."— John Strait

‍

‍