Wie Bühler die Phishing-Fehlerrate um das Zehnfache senkte und das nahezu ohne Betriebsaufwand

Ein global tätiger Industriekonzern trifft auf Phishing in Maschinengeschwindigkeit

Bühler-Technologie prägt den Alltag in bemerkenswertem Umfang: Zwei Milliarden Menschen nehmen Lebensmittel zu sich, die mit Bühler-Verfahren hergestellt werden, und die Hälfte aller neuen Autos weltweit enthält Druckgussteile, die mit Bühler-Technologie gefertigt wurden. Hinter dieser Reichweite stehen 12.090 Mitarbeitende in über 140 Ländern, darunter Fachkräfte aus Entwicklung, Fertigung und IT sowie Auszubildende.

Diese Größenordnung schafft eine breite Angriffsfläche. Der Verizon Data Breach Investigations Report 2026 verzeichnete 2.713 bestätigte Sicherheitsvorfälle in der Fertigungsbranche. In 56 % war der Faktor Mensch beteiligt, in 13 % verschaffte Phishing den initialen Zugang. Die IBM-Untersuchung 2026 beziffert die durchschnittlichen Kosten einer Datenpanne im Industriesektor auf 5,5 Millionen US-Dollar – ein Anstieg um 10 % innerhalb eines Jahres.

Patrick Zimmermann hat beobachtet, wie Phishing mit dem Aufkommen von KI besser formuliert, professioneller gestaltet und gezielter geworden ist. Bühler-Mitarbeitende erhielten sogar Phishing-E-Mails auf Schweizerdeutsch – eine Sprache, die im persönlichen Gespräch verbreitet ist, in der offiziellen Geschäftskommunikation aber selten vorkommt.

„Heute haben die Szenarien perfektes Design und perfekte Sprache. Wir erhalten sogar Phishing-E-Mails auf Schweizerdeutsch – höchstwahrscheinlich, weil die angreifende Person ein KI-Tool einfach entsprechend angewiesen hat. Ein klassischer Ansatz im Phishing-Training reicht nicht aus, um Menschen gegen diese Bedrohung zu wappnen."

— Patrick Zimmermann

Das bisherige Programm war an seiner Kapazitätsgrenze

Bühlers Sicherheitsteam erstellte bisher mit einem klassischen Phishing-Training-Tool drei bis vier Kampagnen pro Jahr. Wer klickte, landete auf einer statischen Webseite, die die übersehenen Warnzeichen erklärte. Die Fehlerrate sank zunächst von einem anfänglich zweistelligen Prozentwert, stagnierte dann jedoch.

Das Nutzungserlebnis war weder interessant noch motivierend. Das Team war überzeugt, dass häufigeres Üben die Verbesserung wieder in Gang bringen könnte, doch jede Kampagne erforderte rund drei Arbeitstage für Aufbau, Betreuung und Auswertung. Vier Kampagnen pro Jahr banden damit rund 12 Arbeitstage. Die Frequenz von Hoxhunt manuell zu erreichen – etwa drei Lernerlebnisse pro Monat – hätte rund 108 Arbeitstage pro Jahr erfordert.

Bühler musste Frequenz und Realitätsnähe des Trainings erhöhen, ohne den Aufwand zu vervielfachen.

„Wir steckten bei einer reduzierten, aber immer noch hohen Klickrate fest. Uns war klar: Um sie weiter zu senken, mussten wir die Intensität des Trainings erhöhen und die Inhalte attraktiver machen. Mit der alten Lösung hätte das 20-mal im Jahr den Aufwand über jedes praktikable Maß hinaus vervielfacht."

— Patrick Zimmermann

Hoxhunt bringt kontinuierliches Üben auf Autopilot

Bühler wollte ein modernes, motivierendes Erlebnis mit möglichst geringem Wartungsaufwand. Das Team testete Hoxhunt mit rund 120 Mitarbeitenden aus dem gesamten Unternehmen. Die Rückmeldungen waren durchweg positiv und räumten alle Bedenken aus, Gamification könnte kindisch wirken oder den Ernst des Themas Sicherheit schwächen.

Der Rollout verlief reibungslos. Bühler brachte den Hoxhunt-Meldebutton raus, stellte Anleitungen im globalen Intranet bereit und überließ den Rest dem automatisierten Onboarding. Die Mitarbeitenden wurden über Microsoft Entra ID synchronisiert, und neue Nutzende starteten das Training automatisch.

Der wiederkehrende Betrieb ist heute so gering, dass er sich kaum noch messen lässt. Bei Bedarf werden Daten zu Akzeptanz, Simulationen und Management gesichtet; Hoxhunt übernimmt Nutzersynchronisation, Onboarding, Auslieferung der Simulationen und das laufende Training. Und erstellt zusätzlich die Berichte.

„Die Implementierung verlief so reibungslos wie nur möglich. Wir haben den Button ausgerollt, Hoxhunt im globalen Intranet angekündigt und der Rest lief mehr oder weniger automatisch."

— Patrick Zimmermann

Das Leistungsplateau durchbrechen

Die Veränderung zeigte sich zuerst in Gesprächen. Mitarbeitende gingen auf das Sicherheitsteam zu und sagten, dass ihnen Hoxhunt gefällt. An der Kaffeemaschine wurden Simulationen und Sterne verglichen. Manche sorgten sich sogar, ein längerer Urlaub könnte dazu führen, eine Übung zu verpassen.

Diese positive Dynamik übertrug Bühler in das Management-Reporting. Monatliche Berichte heben die Standorte mit der besten Leistung hervor, was Verantwortliche an schwächer platzierten Standorten dazu bewegt, nachzufragen, wie sie in die Top 20 gelangen. Die Verbesserung der Sicherheit wurde zu einem Ziel, das Teams aktiv verfolgen.

Entscheidender noch: Die Fehlerrate sank auf rund ein Zwanzigstel ihres anfänglichen Höchstwerts und lag damit um das Zehnfache unter dem Plateau des vorherigen Programms. Als Bühler schwierigere Simulationen im Kollegenkontext einführte, ging die Leistung kurzzeitig zurück, erholte sich aber rasch. Die Mitarbeitenden lernten, mit realistischerem Social Engineering umzugehen, statt nur einfache Tests zu bestehen.

„Mit unserem vorherigen Tool steckten wir auf einem Plateau fest, mit Hoxhunt sahen wir sofort eine Verbesserung – etwa um das Zehnfache. Eine ähnliche Verbesserung sahen wir bei unserer Melderate in Simulationen und bei den echten Bedrohungsmeldungen. All das zeigt, dass es funktioniert! Die Zahlen belegen es."

— Patrick Zimmermann

Eine gute Entscheidung kann 50 Postfächer schützen

Der Hoxhunt-Button machte das Melden verdächtiger Nachrichten einfach. Diese Meldungen brachten auch Bedrohungen zum Vorschein, die die bestehenden E-Mail-Kontrollen passiert hatten und machten das Verhalten der Mitarbeitenden zu einer Quelle für Security-Intelligence. Der Einblick in die eigene Bedrohungslage ermöglichte es Bühler, gezielt in den eigenen Security-Stack zu investieren.

Bühler leitet Hoxhunt-Meldungen inzwischen in eine zusätzliche E-Mail-Sicherheitsebene. Meldet eine Person eine Nachricht, kann das System alle weiteren Empfangenden identifizieren. Ist die Nachricht schädlich, lässt sie sich aus jedem betroffenen Postfach entfernen und die meldende Person erfährt, dass ihre Meldung geholfen hat, andere zu schützen.

Zimmermann schilderte eine schädliche E-Mail, die 50 Personen erreichte. Früher hätte das Team die Meldung untersucht, eine E-Discovery-Suche durchgeführt und die Nachricht manuell entfernt. Ein Vorgang, der Stunden dauern konnte. Heute läuft der Ablauf weitgehend automatisiert und ist in wenigen Sekunden abgeschlossen.

„Es wäre sehr schlecht, kompromittiert zu werden, weil jemand auf eine E-Mail geklickt hat, die eine andere Person bereits gemeldet hatte – obwohl man die Möglichkeit hat, die gesamte Kampagne automatisch zu entfernen. Man muss diese Information nutzen, um die Bedrohung zu beseitigen."

— Patrick Zimmermann

Automatisierung schafft Raum für sinnvolle Arbeit

Automatisierung erlaubt es Bühler, die menschliche Aufmerksamkeit für die Menschen und Situationen zu reservieren, die sie wirklich brauchen. Wer innerhalb eines definierten Zeitraums wiederholt scheitert, erhält automatisch zusätzliches Phishing-Training. Das Team kann zudem kontextspezifische Kampagnen erstellen. Vor dem Präsenztraining zur Sicherheit für Auszubildende etwa versendet Bühler ansprechende Simulationen an die Zielgruppe und nutzt die Ergebnisse anschließend.

Nach drei Jahren entwickelt sich das Programm ständig weiter. Bühler arbeitet daran, die Melderate in Regionen zu erhöhen, in denen Mitarbeitende verdächtige Nachrichten zwar erkennen, sie aber löschen statt zu melden. Das zentrale Ergebnis steht jedoch fest: kontinuierliches Üben, stärkere Leistung, nützliche Bedrohungsmeldungen und nahezu kein wiederkehrender Verwaltungsaufwand.

„Ich würde Hoxhunt ohne jede Einschränkung, jeden Zweifel und ohne jedes ‚Ja, aber' empfehlen. Für mich gibt es kein ‚Aber'. Es ist schlicht gut und einfach."

— Patrick Zimmermann

‍