Informationssicherheit & ISMS im Corporate Learning: Ein Technologieanbieter entwickelt mit KAIA Trainings für sichere Organisationen
Die fiktive NexaTech GmbH ist ein mittelständischer Technologieanbieter mit rund 1.200 Mitarbeitenden in DACH und den Benelux-Ländern. Das Unternehmen entwickelt Software für Kunden aus Healthcare, F…
Ausgangssituation
Die fiktive NexaTech GmbH ist ein mittelständischer Technologieanbieter mit rund 1.200 Mitarbeitenden in DACH und den Benelux-Ländern. Das Unternehmen entwickelt Software für Kunden aus Healthcare, Fertigung und Finanzdienstleistung und unterliegt damit hohen Anforderungen an Informationssicherheit, Datenschutz und Nachweisbarkeit von Schulungsmaßnahmen. Im Zuge der ISO-27001-Vorbereitung stellte das L&D-Team fest, dass die jährlichen Pflichttrainings zu Informationssicherheit, ISMS, Datenschutz und sicherem Umgang mit Kunden- und Produktdaten zu langsam erstellt und zu wenig zielgruppenspezifisch waren.
Bis dahin wurden Inhalte überwiegend manuell in PowerPoint und separaten Autorentools gebaut, anschließend in das LMS übertragen und dort nachbearbeitet. Für ein vollständiges Basistraining benötigte das Team im Schnitt 6 bis 8 Wochen, inklusive Fachfreigaben, Rechtsprüfung und Tests. Bei Richtlinienänderungen dauerte die Aktualisierung oft länger als drei Wochen. Gleichzeitig lagen Abschlussquoten bei den sicherheitsrelevanten Pflichtkursen nur bei 71 %, und die Durchfallquote in den Wissenschecks war in einzelnen Bereichen auffällig hoch. Das Unternehmen suchte daher nach einer Lösung für compliance-konforme KI im Corporate Learning, die didaktische Qualität, Governance und LMS-Integration zusammenführt.
Herausforderung
Das Kernproblem lag nicht im fehlenden Fachwissen, sondern in der Skalierung. Die Sicherheitsabteilung lieferte Inhalte in Form von Richtlinien, Prozessdokumenten und Audit-Anforderungen, doch diese Materialien waren für Lernende zu dicht, zu technisch und zu wenig handlungsorientiert. Gleichzeitig mussten die Trainings verschiedene Rollen abdecken: Verwaltung, Entwicklung, Vertrieb, Management und externe Dienstleister. Ein einheitlicher Kurs führte zu Überforderung bei Einsteigergruppen und zu Friktion bei Fachzielgruppen.
Hinzu kam die regulatorische Perspektive. NexaTech benötigte revisionssichere Prozesse, klare Verantwortlichkeiten und nachvollziehbare Freigaben. Jede KI-gestützte Erstellung musste dokumentiert, kontrolliert und fachlich überprüft werden. Für das Unternehmen war deshalb entscheidend, dass die Lösung nicht nur Inhalte produziert, sondern auch Qualitätssicherung für compliance-konforme KI im Corporate Learning: Verantwortlichkeiten und Prüfschritte sauber abbildet. Ohne diese Governance wäre der Einsatz in einem regulierten Umfeld nicht freigegeben worden.
Lösungsansatz
NexaTech entschied sich für KAIA als integriertes KI-Autorentool direkt im LMS. Ausschlaggebend war, dass KAIA nicht nur Texte generiert, sondern Lernarchitekturen erzeugt: Lernziele, Narrative, Modulstrukturen, Interaktionen, Wissensprüfungen und vollständige Lernpfade. Für das ISMS-Training wurden zunächst die relevanten Quellen eingebunden: Informationssicherheitsrichtlinie, Passwortrichtlinie, Incident-Response-Prozess, Rollenbeschreibung für Security Champions, DSGVO-Leitfaden und Auszüge aus dem ISMS-Handbuch. KAIA analysierte die Dokumente und strukturierte sie in eine didaktisch tragfähige Kursarchitektur.
Die Umsetzung erfolgte in vier Schritten. Erstens definierte das Fachteam Zielgruppen und Lernziele je Rolle. Zweitens generierte KAIA auf Basis dieser Vorgaben eine modulare Grundstruktur mit kurzen Lerneinheiten, Fallbeispielen und rollenbezogenen Wissenschecks. Drittens prüften Informationssicherheit, Datenschutz und Compliance die Inhalte im Human-in-the-Loop-Verfahren; Änderungen konnten direkt im LMS nachvollziehbar nachgeführt werden. Viertens wurden die Kurse mit Zertifikat, Tracking, Freigabeprozess und SCORM/xAPI-Ausgabe veröffentlicht.
Wichtig war dabei die klare Trennung zwischen KI-Vorschlag und menschlicher Entscheidung. Das Projektteam nutzte bewusst das Prinzip aus Human-in-the-Loop & Qualitätssicherung: KAIA beschleunigte die Erstellung, die Verantwortung für Fachlichkeit und Freigabe blieb jedoch bei den jeweiligen Rolleninhabern. Für die Sensibilisierungstrainings wurde zudem ein Mehrstufenmodell genutzt: ein kompaktes Basismodul für alle Mitarbeitenden, ein vertiefendes Modul für Führungskräfte und ein spezialisiertes Modul für IT- und Produktteams. Damit entstand kein generischer Pflichtkurs, sondern eine differenzierte Lernarchitektur, die Sicherheitsverhalten im Alltag adressiert.
Ein weiterer Vorteil war die konsistente Nutzung im LMS ohne Medienbruch. Statt Inhalte zwischen mehreren Werkzeugen zu kopieren, konnten Änderungen an Richtlinien direkt in KAIA überarbeitet, neu generiert und zur Prüfung freigegeben werden. Das reduzierte Fehlerquellen und machte die Lösung auch für spätere Audits belastbar. Im Evaluationsvergleich mit einer alternativen, externen Autorensoftware bestätigte das Team, dass die tiefere LMS-Integration und die DSGVO-konforme Betriebslogik von KAIA für das Compliance-Setting besser geeignet waren als ein werkzeugübergreifender Ansatz. Eine ähnliche Einordnung findet sich auch in Corporate Learning mit DSGVO-konformer KI: KAIA vs. Coursebox.
Ergebnisse
Bereits im ersten Rollout-Zyklus sank die Produktionszeit für das Basistraining von durchschnittlich 6–8 Wochen auf 9 Arbeitstage. Die Überarbeitungszeit nach Richtlinienänderungen reduzierte sich von über 3 Wochen auf 2 bis 4 Tage. Dadurch konnte NexaTech das ISMS-Training noch vor dem externen Audit vollständig aktualisieren und versioniert freigeben.
Auch auf Lernseite zeigten sich messbare Effekte. Die Abschlussquote der Pflichttrainings stieg innerhalb von drei Monaten von 71 % auf 94 %. Die Bestehensquote im ersten Wissenscheck erhöhte sich von 78 % auf 91 %, weil die Module stärker auf Rollen und Anwendungssituationen ausgerichtet waren. Besonders deutlich war der Effekt bei den IT-nahen Zielgruppen: Dort halbierte sich die Nachschulungsquote.
Finanziell ergab sich ein klarer ROI: Durch den Wegfall externer Autorendienstleistungen, geringere interne Abstimmungsaufwände und schnellere Aktualisierungen sparte das Unternehmen im ersten Jahr rund 68.000 Euro. Zusätzlich reduzierte sich das Audit-Risiko, da Änderungen an sicherheitsrelevanten Inhalten schneller dokumentiert und freigegeben wurden. Für NexaTech war der wichtigste Gewinn jedoch nicht die reine Effizienz, sondern die Kombination aus Compliance, didaktischer Qualität und operativer Skalierbarkeit.
Lessons Learned
- Compliance braucht Struktur, nicht nur Content. In regulierten Umgebungen reicht es nicht, Richtlinien in Lernmodule zu überführen. Entscheidend ist eine nachvollziehbare Lernarchitektur mit klaren Prüf- und Freigabepunkten.
- Rollenbasierte Lernpfade erhöhen Wirksamkeit. Ein einheitlicher Pflichtkurs ist meist zu grob. Unterschiedliche Zielgruppen brauchen unterschiedliche Narrative, Beispiele und Wissenschecks.
- Human-in-the-Loop ist kein Zusatz, sondern Pflicht. KI kann die Erstellung beschleunigen, aber fachliche und didaktische Verantwortung müssen dokumentiert beim Menschen bleiben.
- LMS-Integration spart nicht nur Zeit, sondern reduziert Risiken. Wenn Autorentool und LMS als ein System arbeiten, sinken Medienbrüche, Versionierungsfehler und Freigaberisiken.
Zusammenfassung
NexaTech nutzte KAIA, um ISMS- und Informationssicherheitstrainings schneller, konsistenter und auditfähig im LMS zu entwickeln. Die Kombination aus didaktischer KI, Human-in-the-Loop-Governance und DSGVO-konformer Infrastruktur verkürzte die Erstellungszeit deutlich und verbesserte die Lernwirkung. Für regulierte Unternehmen zeigt der Fall, dass compliance-konforme KI im Corporate Learning nicht nur Effizienz, sondern vor allem Nachweisbarkeit und Qualität stärken kann.
Weitere Case Studies
Weiterführende Inhalte: