Kein Paket, das Sie kaufen.Ein Programm, das wir führen.
Der menschliche Risikofaktor ist keine Schulungsaufgabe. Er gehört ins Management. Wir übernehmen ihn für Sie, mit einem festen Verantwortlichen und mit Zahlen, die etwas aussagen.
Eine Kampagne hat ein Enddatum. Ihr Risiko nicht.
Der Markt verkauft Awareness in Kampagnen. Ein Kick-off, eine Simulationsrunde, ein Schulungspaket, ein Abschlussbericht. Danach ist das Budget verbraucht und die Organisation kehrt in den Zustand davor zurück. Was bleibt, sind Aktivitätszahlen.
Teilnahmequoten, Abschlussquoten, die Klickrate der letzten Runde. Diese Zahlen belegen Aufwand. Sie beantworten die Frage nicht, die Ihre Geschäftsführung stellt: Sind wir sicherer als vor einem Jahr, und woher wissen wir das?
Eine Klickrate von 12 Prozent sagt wenig, solange unklar bleibt, gegen welche Art von Angriff gemessen wurde. Die Klickrate misst vor allem, wie schwierig der Test war.
Phishing beim Dienstleister, Trainings im Lernsystem, physische Tests im Prüfbericht, Richtlinien im Intranet. Das Gesamtbild sieht niemand.
Viele Organisationen sind bei E-Mail solide und bei Anrufen, Besuchern und Lieferanten völlig ungeschützt. Angreifer wissen das.
Awareness ist meistens die halbe Stelle von jemandem, der eigentlich etwas anderes tut. Ohne Verantwortlichen wird aus einem Programm eine Reihe von Einzelmaßnahmen.
Wer denkt, sein Unternehmen sei sicher, ohne es getestet zu haben, irrt. Die Frage ist nicht, ob Ihr Unternehmen ins Visier gerät, sondern wann.
Kein Paket, das Sie kaufen. Ein Programm, das wir führen.
Human Risk Management ist unsere Antwort auf die Awareness-Kampagne. Wir übernehmen den menschlichen Risikofaktor Ihres Unternehmens als laufende Aufgabe: mit einem festen Human Risk Manager, mit Leistungen, die Sie selbst zusammenstellen, und mit einer Messebene, an der sich ablesen lässt, ob das Ganze wirkt.
Ein Verantwortlicher
Sie bekommen nicht einfach einen Portalzugang, sondern eine Person mit Namen. Sie plant Ihr Programm, führt es durch, wertet es aus und ist für Sie erreichbar.
Alle Angriffsvektoren
E-Mail, Telefon, physischer Zutritt und Ihre kritischen Prozesse. Wir messen dort, wo Ihr Risiko sitzt, und nicht dort, wo das Messen am einfachsten ist.
Beweglich im Jahresverlauf
Ihr Bedarf ändert sich, Ihr Programm ändert sich mit. Betreuungsvolumen, das nicht gebraucht wird, fließt in Leistungen, die Sie stattdessen brauchen.
Nachweisbar statt behauptet
Jede Maßnahme zahlt auf Kennzahlen ein, die bis zum einzelnen Messwert nachvollziehbar bleiben. Für Ihr Reporting, für Audits, für NIS2, DORA, ISO 27001 und TISAX.
Eine Lizenz zur Selbstbedienung, einen E-Learning-Katalog oder ein Dashboard, das nach drei Monaten leer bleibt. Sie müssen nichts befüllen, nichts konfigurieren und nichts auswerten.
Die Klickrate auf null zu senken, ist kein erreichbares Ziel.
Über einen ausreichend langen Zeitraum klickt jeder Mensch irgendwann, auch Sicherheitsfachleute. Große unabhängige Studien der letzten Jahre zeigen entsprechend nur geringe Effekte klassischer Awareness-Schulungen auf das tatsächliche Verhalten.
Wir arbeiten deshalb mit einer anderen Leitfrage. Daraus folgt eine klare Reihenfolge der Maßnahmen, und die gilt auch dann, wenn sie für uns das kleinere Geschäft bedeutet.
- Nicht:
- Wie verhindern wir jeden Klick?
- Sondern:
- Wie sorgen wir dafür, dass ein Fehler folgenlos bleibt und innerhalb von Minuten gemeldet wird?
Technik
Technik, die gestohlene Zugangsdaten wertlos macht, wirkt stärker als jedes Training.
Prozess
Prozesse, die eine Fehlentscheidung auffangen, wirken stärker als individuelle Wachsamkeit.
Training
Wirkt dort, wo Menschen die letzte Instanz sind. Dann muss es realistisch, kurz und regelmäßig sein. Nicht als Ersatz für die beiden Stufen darüber.
Es kann sein, dass wir Ihnen weniger Training empfehlen, als Sie erwartet haben. Wenn im Lagebild sichtbar wird, dass Ihr größtes Risiko ein ungeschützter Helpdesk-Prozess ist, sagen wir das, auch wenn eine Schulungslizenz für uns das einfachere Geschäft wäre.
Ein Programm braucht jemanden, der es führt.
Der Human Risk Manager macht den Unterschied zwischen einem Leistungskatalog und einem Programm. Wir stellen ihn, Sie buchen ein Zeitkontingent in der Größe, die zu Ihrer Organisation passt. Er bleibt Ihr Ansprechpartner über die gesamte Laufzeit.
Was wir von Ihnen brauchen
- Eine sichtbare Sponsorin oder einen Sponsor aus der Geschäftsleitung. Meldekultur entsteht nicht in der IT-Abteilung.
- Eine feste Ansprechperson in IT und Security.
- Zugang zu den Verantwortlichen der kritischen Prozesse für die Bestandsaufnahme.
- Die Bereitschaft, Prozesse zu ändern und nicht nur Menschen zu schulen.
Das gebuchte Zeitvolumen ist keine Verwaltungspauschale, sondern Ihr Budget. Was für die Steuerung nicht gebraucht wird, fließt in Leistungen, die Sie stattdessen brauchen.
Elf Bausteine. Ihre Kombination.
Ihre Angriffsfläche ergibt sich aus Ihrer Branche, Ihren Zahlungsprozessen, Ihrer Tool-Landschaft und Ihren Rollen. Eine Bank mit Massenzahlungsverkehr, ein Versicherer mit Gesundheitsdaten und ein Betreiber kritischer Infrastruktur mit OT-Fernzugängen brauchen unterschiedliche Schwerpunkte. Deshalb gibt es bei uns kein Standardpaket, sondern eine Zusammenstellung.
Wir messen Verhalten, nicht Wissen.
Kontinuierliche Phishing-SimulationRealistische Mail-Simulationen mit steigender Schwierigkeit, vollständigem Tracking und angebundenem Meldeweg.je Teilnehmer
Wir bringen die komplette Kampagnen-Suite mit und übernehmen die Umsetzung vom Entwurf bis zum Reporting. Sie installieren, konfigurieren und betreiben nichts, lediglich das Whitelisting in Ihrer Filterlandschaft richten Sie einmalig selbst ein. Gemessen wird die vollständige Angriffskette mit Zeitstempel: gesendet, geöffnet, Klick, Besuch, Eingabe, Download, gemeldet. Wer klickt, aber nichts eingibt, hat richtig reagiert, und das machen wir sichtbar. Passwörter speichern wir dabei nie, sie werden vor jeder Übertragung durch einen Marker ersetzt. Auf Wunsch kommt ein Alert-Center dazu, das echte Meldungen Ihrer Mitarbeitenden in verwertbare Bedrohungsinformation verwandelt.
Kontinuierliche Vishing Awareness KampagneTelefonangriffe mit direkt anschließendem Trainingsgespräch, über 50 Trainingswochen verteilt.je Teilnehmer
Über 50 Trainingswochen rufen unsere Spezialisten Ihre Mitarbeitenden an und simulieren einen realistischen Angriff, gleichmäßig über das Jahr verteilt. Jeder Anruf endet im selben Telefonat mit einem individuellen Trainingsgespräch. Ein Anruf lässt sich nicht wegklicken, 98 Prozent der Mitarbeitenden nehmen aktiv teil.
Digitale Verhaltens-AssessmentsUmgang mit Phishing, USB-Geräten, Homeoffice, Passwörtern, Besuchern und Datenschutz.je Teilnehmer
Kurze, wiederkehrende Erhebungen zu konkreten Situationen. Wie gehen Ihre Mitarbeitenden mit einem gefundenen USB-Stick um, mit einem unbekannten Besucher, mit vertraulichen Unterlagen im Homeoffice, mit einer Freigabeanfrage unter Zeitdruck? Sie erhalten einen Score je Themengebiet, aufgeschlüsselt nach Standort und Abteilung.
Ad-hoc Physical PentestingPhysischer Social Engineering Pentest für einzelne Standorte, vom Zutritt bis zur Eskalation.nach Bedarf
93 Prozent unserer Pentester gelangten unbemerkt ins Gebäude, 82 Prozent erreichten sicherheitskritische Bereiche. Im Programm buchen Sie einzelne Standorte gezielt dann, wenn die Daten dorthin zeigen. Nach dem Zutritt zeigen wir, welchen Schaden ein Angreifer tatsächlich hätte anrichten können.
SicherheitsanalysenPrüfung der schadensrelevanten Prozesse und des technischen Status.nach Bedarf
Wir prüfen die Prozesse, an denen Schaden real entsteht, dazu den technischen Status: Authentifizierungsverfahren, E-Mail-Authentifizierung, Filterlandschaft und den vorhandenen Meldeweg.
- Zahlungsfreigabe
- Änderung von Bankverbindungen
- Passwort- und MFA-Reset
- On- und Offboarding
- Besucher- und Lieferantenmanagement
Befähigen heißt üben, nicht belehren.
Kontinuierliche E-LearningsAlle relevanten Cyber-Themen in kurzen Einheiten, in festem Rhythmus.je Teilnehmer
Kurze Bausteine in festem Rhythmus statt einer Jahrespflichtschulung. Alle relevanten Themen in Einheiten von wenigen Minuten, unterhaltsam erzählt und sofort anwendbar. Dazu Rollenpfade für Buchhaltung, IT-Support, Assistenz, Entwicklung und Geschäftsleitung.
Vor-Ort-WorkshopsPräsenztrainings, Rollentraining für kritische Funktionen, Tabletop-Übungen für Führung und IT.nach Bedarf
Präsenz wirkt dort, wo diskutiert werden muss. Wir bieten Awareness Live Trainings für die Belegschaft, Rollentraining für kritische Funktionen und die Tabletop-Übung für Führung und IT. Letztere beantwortet die Frage, was in den ersten 60 Minuten nach einer Meldung eigentlich passiert.
Flyer und AushängePhysische Kommunikationsmittel für Standorte, Empfang und Produktion.nach Bedarf
Nicht jede Botschaft gehört in eine E-Mail. Für Empfang, Produktion, Werkstatt und alle Bereiche ohne festen Arbeitsplatz produzieren wir physische Kommunikationsmittel in Ihrer Gestaltung: Verhaltenskarten am Empfang, Aushänge zur Besucherregelung, Kurzanleitungen für den Meldeweg.
Unternehmensspezifischer ContentSzenarien, Beispiele und Materialien, die aussehen wie Ihr Arbeitsalltag.nach Bedarf
Szenarien müssen aussehen wie Ihr Arbeitsalltag, an allen Standorten und in allen Sprachen. Wir bauen Ihre Tool-Landschaft, Ihre Absender, Ihre Prozesse und Ihre realen Vorfälle in die Inhalte ein, auf Wunsch bis hin zu eigenen Videoformaten.
Richtlinien aufarbeitenAus einem 40-Seiten-Dokument wird eine Regel, die im Alltag anwendbar ist.nach Bedarf
Eine Richtlinie, die niemand liest, schützt niemanden. Wir übersetzen Ihre Regelwerke in kurze, verbindliche Arbeitsanweisungen und bringen sie dorthin, wo die Entscheidung fällt.
- Rückrufpflicht bei jeder Änderung von Bankverbindungen, über eine selbst recherchierte Nummer.
- Vier-Augen-Prinzip ab definierten Schwellenwerten.
- Identitätsprüfung im IT-Support vor Passwort- und MFA-Resets.
- Ein klarer Eskalationspfad für den Verdachtsfall.
Prozesse etablieren und spezifisch trainieren: Zuerst der Prozess, der eine Fehlentscheidung auffängt, dann das Training darauf: eine realistische Situation aus Ihrem Alltag, eine Entscheidung unter Zeitdruck, sofortige Auflösung. Etwa ein Drittel legitime Beispiele, sonst trainieren Sie reflexhaftes Misstrauen statt Urteilsfähigkeit. So wird der Schutz vor Phishing zuerst technisch und prozessual verankert und anschließend realistisch geübt.
Die meisten Programme starten mit zwei bis vier Bausteinen plus Steuerung und wachsen entlang der Daten.
Die teuren Vorfälle sind fast nie ein Klick. Es ist eine Überweisung. Oder eine Verschlüsselung.
Rechtschreibfehler sind seit KI-generierten Nachrichten kein Indikator mehr. Wir vermitteln stattdessen die Struktur dahinter und eine Regel: über einen zweiten, selbst gewählten Kanal rückfragen.
Ihr Dashboard.
Das visuelle Herzstück des Programms.
Der menschliche Risikofaktor Ihres Unternehmens: gemessen, eingeordnet und in einer Kennzahl abgebildet, der Sie trauen können.
Vier Kennzahlen aus einer gemeinsamen Datenbasis.
Sieben Datenquellen laufen in die Plattform. Daraus leiten sich vier Kennzahlen ab, und darunter bleibt jeder einzelne Messwert einsehbar.
Demo-Mockup zur Veranschaulichung des Aufbaus. Alle Werte sind Beispiele, das tatsächliche Dashboard weicht in Aufbau und Werten ab.
Vier Zahlen für die Geschäftsführung, alles darunter für Ihr Sicherheitsteam. Jede Kennzahl lässt sich bis zum Rohwert zurückverfolgen, damit die Aussage jederzeit überprüfbar bleibt.
Sieben Datenquellen für ein Gesamtbild.
Der menschliche Risikofaktor zeigt sich nicht an einer einzigen Stelle. Deshalb misst die Plattform ihn an sieben.
Der Drill-down
Unter den vier Kennzahlen liegt der vollständige KPI-Katalog, kategorisiert nach Aktivität, Konversion, Zeit und Segmentierung. Sie sehen nicht nur, dass sich ein Wert verändert hat, sondern wo: nach Standort, nach Abteilung, nach Erhebungszeitraum.
Welche Bereiche erreichen Ihre Maßnahmen, und welche brauchen eine andere Ansprache?
Jede Kennzahl lässt sich bis auf den einzelnen Messwert zurückverfolgen.
Der Resilience-Score misst Verhalten, nicht Wissen.
Der Resilience-Score bildet ausschließlich echtes, gemessenes Risiko ab: was Ihre Mitarbeitenden getan haben, als sie einem realen Angriffsversuch gegenüberstanden, und nicht, was sie darüber wissen.
- Verdeckt durchgeführte Angriffssimulationen
- Tatsächlich preisgegebene Zugangsdaten
- Tatsächlich gewährter Zutritt
- Tatsächlich ausgeführte Handlungen
- Quiz- und Testergebnisse
- Selbsteinschätzungen der Belegschaft
- Schulungs- und Teilnahmequoten
- Dokumentierte Absichtserklärungen
Von der Zahl zur Konsequenz
Ein Score allein bleibt abstrakt. Die Plattform übersetzt ihn deshalb in seine praktische Bedeutung: Wie erfolgreich wäre ein realer Angriff bei diesem gemessenen Verhalten gewesen, und wozu hätte der Angreifer damit Zugang gehabt?
Von 1.860 versendeten Nachrichten führten 391 zu einem Klick und 71 zur Eingabe von Zugangsdaten. Bei identischem Verhalten in einem realen Angriff hätte der Angreifer 71 gültige Zugänge erhalten, darunter Postfächer mit Zugriff auf Rechnungs- und Freigabeprozesse. Parallel gewährten 19 von 48 Zutrittsversuchen physischen Zugang zu Büroetagen.
Darstellung auf Basis eines beispielhaften Erhebungszeitraums. Die konkrete Ableitung erfolgt anhand Ihrer eigenen Messwerte und Ihrer Systemlandschaft.
Drei Kennzahlen, die den Score einordnen.
Eine einzelne Zahl kann in die Irre führen. Deshalb steht der Resilience-Score nie allein.
Risiko-Indikator
Wohin entwickelt es sich?Der Score bildet ab, was bereits geschehen ist. Der Risiko-Indikator greift die Frühindikatoren ab: Wie schnell werden verdächtige Vorgänge gemeldet? Wie viele Personen melden überhaupt? Wie unterscheiden sich Standorte und Abteilungen? Diese Werte kippen früher als der Score und geben Ihnen Vorlauf, bevor aus einer Tendenz ein Vorfall wird.
Programmreife
Wie gut sind wir aufgestellt?Bewertet nach dem SANS-Reifegradmodell in fünf Stufen. Hier zählen nicht die Messwerte, sondern die Reife Ihrer Maßnahmen und Prozesse: Gibt es ein verbindliches Programm? Wer verantwortet es? Werden Vorfälle systematisch nachverfolgt? Ein guter Score bei niedriger Programmreife ist ein Zufallsergebnis und kein belastbarer Zustand.
Messreife
Wie belastbar sind die Daten?Nicht jede Zahl verdient dasselbe Vertrauen. Die Messreife bewertet, wie realistisch erhoben wurde, von der Selbstauskunft bis zur verdeckten realen Simulation, und wie aktuell und breit die Datenbasis ist. Sie gewichtet den Resilience-Score und macht transparent, wann Sie ihm folgen sollten.
Score: es ist passiert. · Indikator: es kündigt sich an. · Reife: wie sehr wir den Zahlen trauen.
Drei Perspektiven auf dieselbe Datenbasis.
Geschäftsführung und Vorstand
Eine belastbare Aussage zum menschlichen Risikofaktor, die sich berichten lässt: wo Sie stehen, wohin es sich entwickelt und was ein realer Angriff bei diesem Verhalten bedeuten würde. Die Entwicklung gegenüber der Vorperiode ist enthalten.
Informationssicherheit und IT
Ein Steuerungsinstrument statt einer Sammlung von Einzelberichten. Sie erkennen, welche Bereiche Aufmerksamkeit brauchen, welche Maßnahmen gewirkt haben und wo sich Vorfälle wiederholen, segmentiert nach Standort, Abteilung und Zeitraum.
Datenschutz und Mitbestimmung
Die Plattform ist als Steuerungsinstrument für die Organisation ausgelegt und nicht als Bewertungsinstrument für einzelne Personen. Auswertungen erfolgen aggregiert, Segmentierungen sind an Mindestgruppengrößen gebunden. Der Zuschnitt wird vor Projektstart gemeinsam mit Ihrem Datenschutz und der Arbeitnehmervertretung festgelegt und dokumentiert.
Sie ersetzt keine Schulung und kein Trainingsprogramm. Sie ist die Messebene darüber und zeigt, ob Ihre Maßnahmen wirken. Damit haben Sie die Grundlage, Budget dorthin zu lenken, wo es nachweislich etwas verändert.
Betreut statt selbst befüllt.
Die Plattform wird von uns gepflegt. Wir binden Ihre bestehenden Datenquellen an, halten die Kennzahlen aktuell und ordnen die Entwicklung für Sie ein. Sie erhalten ein betreutes Programm und kein Dashboard, das nach drei Monaten leer bleibt.
Ein Budget, das dorthin wandert, wo es wirkt.
Das Programm besteht aus drei Teilen. Zwei davon lassen sich vorab kalkulieren, der dritte bleibt beweglich, weil sich Ihr Bedarf im Jahresverlauf ändert.
Pauschale je Teilnehmer
Alles, was mit der Kopfzahl skaliert, rechnen wir pro Teilnehmer und Jahr ab: Phishing-Simulation, Vishing Awareness Kampagne, E-Learnings, digitale Verhaltens-Assessments und der Zugang zur Plattform. Lizenzkosten, Durchführung, Auswertung und Reporting sind darin enthalten.
Zeitkontingent Human Risk Manager
Ein festes monatliches Volumen für Steuerung, Auswertung, Einordnung und Ihre Rückfragen. Wie groß es sein muss, hängt von Ihrer Größe, der Zahl Ihrer Standorte und Ihrem Reifegrad ab.
Individuell kalkulierte Leistungen
Was nicht pro Kopf funktioniert, stimmen wir vorab ab und rechnen je Einsatz ab: physische Pentests, Vor-Ort-Workshops, Sicherheitsanalysen, Richtlinienarbeit und aufwändigere Content-Produktion.
Nicht verbrauchtes Kontingent verfällt nicht.
Ihr Zeitkontingent ist kein Verwaltungsposten, sondern Ihr Budget. Wird es für die laufende Steuerung nicht vollständig gebraucht, entscheiden Sie gemeinsam mit Ihrem Human Risk Manager, wohin es stattdessen geht.
Ihr Programm läuft stabil, für die reine Steuerung bleiben im Quartal 2.600 Euro übrig. Statt diesen Betrag abzurechnen, stecken Sie ihn in zusätzliche Vishing-Anrufe für den Empfang an drei Standorten, in eine Flyer-Serie zur neuen Besucherregelung oder in einen Workshop für die Buchhaltung. Sie entscheiden, wir setzen um.
Umgekehrt gilt das genauso: Zeigt das Lagebild akuten Bedarf, stocken Sie das Kontingent auf, ohne neuen Vertrag und ohne neue Beschaffungsrunde.
Ihr erstes Programmjahr
Nach der Bestandsaufnahme läuft das Programm ohne Ihr Zutun. Sie benennen Ansprechpartner, geben Geltungsbereich und Szenarien frei und nehmen am Quartalsreview teil. Alles andere übernehmen wir. Wir bauen Fähigkeit auf, keine Abhängigkeit.
Die Spielregeln stehen vorher fest.
Mitbestimmung ist kein Formalismus. Programme, die diesen Punkt überspringen, verlieren das Vertrauen der Belegschaft und damit die Meldequote, auf der alles aufbaut. Wir binden Datenschutz und Arbeitnehmervertretung vor dem Start ein und stellen die Vorlagen für Information und Beteiligung bereit.
Aggregiert statt personenbezogen
Standardauswertungen an die Leitung sind aggregiert, Segmentierungen an Mindestgruppengrößen gebunden. Eine namentliche Bewertung einzelner Mitarbeitender gibt es nicht.
Kein Leistungscontrolling
Wir sagen schriftlich zu, dass diese Daten nicht in Leistungsbeurteilungen oder arbeitsrechtliche Maßnahmen einfließen. Das Programm ist ein Lernangebot und kein Verhaltenscontrolling.
Datensparsam von Anfang an
Passwörter werden nie gespeichert, sondern vor jeder Übertragung durch einen Marker ersetzt. Erfasste Daten sind AES-256-GCM verschlüsselt. Vishing-Gespräche zeichnen wir nicht auf. Grundlage ist ein Auftragsverarbeitungsvertrag nach DSGVO.
Keine Gefährdung von Personen
Jeden Einsatz analysieren wir im Vorfeld, Risiken werden identifiziert und minimiert. Eingesetzte Hardware ist funktionslos. Kundensysteme und sensible Daten bleiben unangetastet.
Klickraten-Ranglisten zwischen Abteilungen, Naming-and-Shaming, Weitergabe individueller Ergebnisse an Führungskräfte als Leistungsindikator.
In fast jeder Organisation sitzt ein großer Teil des Restrisikos bei einer kleinen Gruppe. Diese Personen bekommen bei uns mehr Schutz und nicht weniger Vertrauen: passgenaue Mikro-Einheiten, ein kurzes persönliches Gespräch über die Ursache und technische Zusatzmaßnahmen für die Rolle. Wir suchen die Stelle, an der Technik oder Prozess die Person im Stich lässt, nicht den Fehler im Menschen.
Wir sind sehr zufrieden mit unserer laufenden Awareness Kampagne. [...] Mariani hat uns auch außerhalb des eigentlichen Auftragsrahmens unterstützt. [...] Wir sind gespannt auf die weitere Entwicklung der KPIs.
We thought we had it covered. Posters, e-learning, mandatory phishing modules — the whole catalogue. Now we know better. [...] Thank you, Mike & Team.
Was mich überrascht hat, war nicht das Ergebnis. Sondern wie meine Leute danach reagiert haben. Eine Buchhalterin meinte: ‚Ich hab eine Woche lang jeden Anruf zweimal überprüft.' [...] Genau das wollte ich. Kein Reglement. Sondern dass die Leute mitdenken, wenn keiner zuschaut.
Robuste Sicherheit für Ihre Unternehmenssicherheit
Häufig gestellte Fragen
Warum nennen Sie das nicht Awareness-Kampagne?
Weil eine Kampagne ein Enddatum hat und Ihr Risiko nicht. Awareness beschreibt außerdem, was Menschen wissen sollen. Human Risk Management beschreibt, was Sie steuern: einen Risikofaktor mit Kennzahlen, Verantwortlichem und Budget, wie jeden anderen auch.
Wir haben bereits ein E-Learning-Tool. Ersetzen Sie das?
Nicht zwingend. Wenn Ihre bestehende Lösung inhaltlich trägt, binden wir sie als Datenquelle an und ergänzen, was ihr fehlt. Wir verkaufen Ihnen keine Lizenz, die Sie schon haben.
Müssen wir alle elf Bausteine buchen?
Nein. Die meisten Programme starten mit zwei bis vier Bausteinen plus Steuerung und wachsen dann entlang der Daten. Ihr Human Risk Manager sagt Ihnen, welcher Baustein als nächstes am meisten bringt.
Was passiert mit dem Kontingent, wenn wir es nicht brauchen?
Es wird umgewidmet. Im Quartalsreview entscheiden Sie, in welche Leistung das verbleibende Volumen fließt. Es verfällt nicht und wird nicht stillschweigend abgerechnet.
Wie schnell sehen wir Ergebnisse?
Das erste belastbare Lagebild liegt nach der Baseline vor, meistens sechs bis acht Wochen nach Start. Verhaltensänderung braucht länger. In der Erfolgskontrolle nach dem ersten Vishing-Training sinkt das Kompromittierungsrisiko um bis zu 70 Prozent, ein stabiler Trend über alle Kanäle zeigt sich ab dem zweiten Quartal.
Reicht das für NIS2, DORA, ISO 27001 oder TISAX?
Branche und Regulatorik bestimmen Nachweispflichten und Dokumentationstiefe. Wir richten Erhebung und Dokumentation von Beginn an daran aus. Ihre Nachweise entstehen dann im laufenden Programm und nicht kurz vor dem Audit.
Funktioniert das auch für kleine Unternehmen?
Ja. Unser Human Risk Management skaliert von 50 bis 50.000 Mitarbeitenden. Der Festpreis pro Mitarbeitenden macht die Kosten planbar — unabhängig von der Unternehmensgröße.
So geht es los
In einem Erstgespräch klären wir Ihre Ausgangslage, den sinnvollen Zuschnitt und die passende Größe Ihres Programms. Unverbindlich und ohne Vorbereitung Ihrerseits. Ein erstes Gespräch, um sich kennenzulernen, Fragen zu klären und einen Eindruck zu gewinnen.
- Schritt 01 Erstgespräch Ausgangslage, Ziele und Zuschnitt klären.
- Schritt 02 Angebot Mit Bausteinen, Kontingent und Laufzeit.
- Schritt 03 Bestandsaufnahme Und Abstimmung mit Datenschutz und Mitbestimmung.
- Schritt 04 Baseline Und Programmstart.
- Schritt 05 Quartalsreview Mit Kennzahlen und Maßnahmen.
Persönlich beraten lassen
Ein erstes Gespräch — unverbindlich, vertraulich, und auf Augenhöhe. Wir klären gemeinsam, wo Ihre größten Risiken liegen.