Hoe 3 minuten SoSafe Awareness Training per week Freudenberg hielp te reageren op een fraudepoging van bijna €2 miljoen

Freudenberg Home and Cleaning Solutions GmbH maakte beveiligingsbewustzijn onderdeel van de bedrijfscultuur door medewerkers vanuit hun mailbox te laten leren.

Klikpercentage:

82,5% daling (in 18 maanden)

Medewerkerbeoordeling van SoSafe:

4,8/5

Implementatietijd:

2 dagen

Oplossingen:

• Gepersonaliseerd Microleren
• Phishing Simulaties & Phishing Report Button

Vraag een demo aan

Freudenberg Home and Cleaning Solutions GmbH, onderdeel van het familiebedrijf Freudenberg Group, is vooral bekend van merken zoals Vileda®. Met een geschiedenis van 170 jaar die begon als leerlooierij in Weinheim, is de groep uitgegroeid tot een wereldwijde technologiepartner, actief in 40 markten. SoSafe werkte samen met Martin Schmidt, Global Director of Digital Advisory, om cybersecurity bewustzijn binnen de organisatie van Freudenberg te ontwikkelen.

Tijdens HuFiCon 2022 deelde Martin het verhaal van Freudenberg. De multinational die een veerkrachtige cybersecurity cultuur ontwikkelde, sterk gericht op samenwerking. Drie jaar later zijn de mensen van Freudenberg zelf de ‘human firewall’. Het geheim? Microleren, gezonde competitie en een mensgerichte aanpak.

Cyberdreigingen persoonlijk? Laat leren dat dan ook zijn

In 2018 was Freudenberg bijna €2 miljoen kwijt door een klassieke CEO-fraude. Ze kregen een valse e-mail over een ‘vertrouwelijke overname’, opdringerige telefoontjes en een vervalste factuur – binnen drie uur tijd.

Dit incident was aanleiding om hun aanpak onder de loep te nemen. Freudenberg’s IT-infrastructuur was op orde, maar een menselijke factor maakte de aanval mogelijk. Mensen kunnen rode vlaggen herkennen, maar soms is een klein moment van twijfel genoeg voor een succesvolle cyberaanval. Dáár zat het echte gat.

Dat gat dichten begint bij bewustwording. Laat mensen zien en begrijpen hoe dreigingen eruitzien, hoe je ze herkent, hoe je ze voorblijft – en wat je doet als er tóch iets misgaat.

Martin’s missie is om medewerkers niet alleen digitale tools aan te reiken, maar ook gedragsmatige vaardigheden bij te brengen. Daarom werd dit incident aangepakt met de mens als uitgangspunt.

Martin had zelf ervaren dat traditionele klassikale trainingen en vrijwillige sessies slecht werden bezocht. Mensen fysiek bijeenbrengen, managers meekrijgen, aanmeldingen en opvolging bijhouden – het werkte gewoon niet. Maar zijn medewerkers dan per definitie trainingsmoe? Niet per se – zeker niet als je het leren naar hén toe brengt, dacht Martin. “De uitdaging naar de gebruikers brengen – in hun mailbox, in hun dagelijks leven – is volgens mij de enige manier om volledige deelname te realiseren.”

Martin en zijn team zagen iets wat we allemaal ervaren: een beperkte motivatie en leercapaciteit door informatie-overload. Zoals Martin opmerkte: “…het is belangrijk dat je een goed concept hebt voor hoe je kennis op mensen overbrengt – op een manier zodat ze die echt internaliseren.” In een constante stroom aan content is het makkelijk om dingen te negeren die niet dringend lijken. Maar vaak is er een fout nodig om ons wakker te schudden voor de gevolgen van die gewoonte – zoals die frauduleuze oproep waar we bijna in trapten.

Martins advies: “Reserveer echt ruimte om te leren. Hak het leerproces op in kleine stukjes – microleren – en bied het bijvoorbeeld aan op het moment dat er iets misgaat. Dan is de motivatie om te leren het grootst. Fouten zorgen ervoor dat mensen gemotiveerd zijn om te leren – iedereen wil leren van zijn fouten. Deel de informatie op in blokjes van vijf minuten, dan past het zelfs in de drukste werkdag.”

SoSafe’s Gepersonaliseerde Microleren is gebaseerd op gedragswetenschap en flexibel. De training biedt kant-en-klare cybersecurity modules die moeiteloos passen in het dagelijkse werk.

Elke gebruiker ontvangt een persoonlijk leerpad waardoor de content relevant en aantrekkelijk is. Gamification voegt uitdaging, erkenning en voortgang toe – dat maakt leren minder een verplichting en meer een vooruitgang. Het resultaat? Bewustwording die blijft hangen, compliance die meegaat met de tijd en teams die cyberdreigingen voorblijven.

Martin: “Continu leren staat centraal in mijn werk… leervermogen is de kern van wat het betekent om een digital native én een succesvolle professional te zijn in de 21e eeuw.”

Die e-mail heeft mij ook misleid

Martin en zijn team maakten de overstap van klassikale training naar gepersonaliseerd microleren en moesten ervoor zorgen dat het werkte én dat het effect blijvend was.

Freudenberg lanceerde een phishing campagne om gebruikers te trainen in het herkennen van dreigingen in realtime. Binnen 18 maanden verminderde ze het klikpercentage – percentage gebruikers dat op een gesimuleerde phishing link klikte – van meer dan 20% naar slechts 3,5%.

Martin’s team en SoSafe bereikte deze resultaten dankzij een duidelijke strategie en nauwe samenwerking – van onboarding tot de uitrol van phishing simulaties en daarna.

Martin: “De Customer Success Manager hielp ons enorm met de onboarding en zorgde ervoor dat we het programma in slechts enkele weken konden uitrollen – dat was zonder advies nooit gelukt.”

Uit deze samenwerking zijn veel waardevolle inzichten gekomen.

De phishing templates moesten aansluiten op actuele dreigingen om effectief te blijven. Dus toen Freudenberg het klikpercentage terugbracht naar 3,5%, stopten ze daar niet. In plaats van te streven naar nul klikken, verhoogden ze juist de moeilijkheidsgraad met overtuigende en geloofwaardige templates die realistischer waren en dus nog moeilijker te doorzien.

“Onze score gaat waarschijnlijk slechter worden,” zei Martin, “maar als organisatie worden we er beter van.”

Freudenberg zette ook sterk in op positieve bekrachtiging. Met SoSafe’s Phishing Reporting Button werden gebruikers aangemoedigd om ze actief te melden. De plug-in bevestigde of de melding terecht was en gaf aanvullende tips en uitleg.

Martin: “Het aantal tickets naar aanleiding van de phishing simulaties is ook gedaald, omdat dat allemaal wordt afgehandeld – en we kregen juist méér meldingen van echte phishing.”

Martin’s team maakte slim gebruik van SoSafe’s analytics dashboard. Gedetailleerde inzichten in aanmeldingen, klikken, voltooiingspercentages en gebruikersspecifieke data gaven inzicht in de betrokkenheid en waar extra ondersteuning of herhaling nodig was. Dat verbeterde uiteindelijk de effectiviteit van zowel de e-learning als de phishing simulaties zelf.

Met privacy-by-design als kernprincipe werd de ondernemingsraad er al vroeg bij betrokken. Alle simulatiedata werd geanonimiseerd en dankzij SoSafe’s goede naleving van de AVG kregen medewerkers het vertrouwen dat hun gegevens veilig waren.

Om het leerproces beheersbaar én consistent te houden, koos het team voor één challenge per maand. Dat was genoeg om het leerproces gaande te houden en zo bleef cybersecurity top of mind.

Een van de meest creatieve stappen van Freudenberg? Ze gamificeerden het proces. Het doel was weerbaarheid versterken, maar ook mensen nieuwsgierig, gemotiveerd en betrokken te houden. Hoe? Door in te spelen op gezonde competitie. Elk kwartaal deelden ze updates en werden winnaars van phishing challenges in het zonnetje gezet. Cyberveiligheid werd een teamsport – en onderdeel van het dagelijkse gesprek op de werkvloer.

Het mooiste? Mensen wilden er echt beter in worden. Uit zichzelf.

SoSafe’s Gepersonaliseerde Phishing Simulaties vergroten het bewustzijn in de praktijk via realistische, rolgebaseerde scenario’s. Elke simulatie past zich aan op gedrag, zodat elke test relevant is. Medewerkers leren dreigingen te herkennen daar waar ze echt plaatsvinden.

Freudenbergs gatenkaas-firewall

Martin en zijn team wisten om te gaan met cultuurverschillen tussen regio’s en gaven wereldwijd advies op maat aan medewerkers.

Om de rol van mensen in beveiliging uit te leggen, gebruikt Martin een herkenbare metafoor: gatenkaas.

De lagen van elke technische verdediging heeft gaten, net als een gatenkaas. Maar leg die lagen op elkaar – en voeg een menselijke firewall toe – dan vallen die gaten niet meer op één lijn en zijn ze samen een sterke verdedigingslinie.

Martin waardeerde SoSafe’s aanpak –vanuit technisch oogpunt, maar juist ook vanwege het menselijke aspect.

Zoals hij het verwoordde: “Ik denk dat jullie een van de eerste bedrijven waren die dit onderwerp niet alleen technisch benaderden, maar ook psychologisch. En dat is volgens mij essentieel – want we hebben het hier over menselijk gedrag, niet over het opzetten van nóg een infrastructuursysteem.”

Wat Martin ook opviel, was het serviceniveau: “Het is een grote stap van een doe-het-zelftoolbox naar een volledig servicegerichte aanpak. En voor mij als klant was dat doorslaggevend, net als voor anderen denk ik.”

Het verhaal van Freudenberg laat zien: als je mensen aanspreekt op hun niveau, leren praktisch maakt en ondersteunt met data en begeleiding, dan verandert gedrag echt. Dáár begint echte veiligheid.

Met SoSafe is cybersecurity bewustzijn niet iets is wat je één keer per jaar afvinkt. Het wordt onderdeel van hoe je teams werken, denken en reageren – elke dag opnieuw.