Phishing-Schulung für neue Mitarbeiter: Wie man sichere Simulationen in die Einarbeitung neuer Mitarbeiter integriert

Bei Phishing-Schulungen für neue Mitarbeiter sollte vor allem eine Gewohnheit vermittelt werden: Wenn eine Nachricht ungewöhnlich wirkt, halte inne, überprüfe sie über einen vertrauenswürdigen Kanal und melde sie. Ein neuer Mitarbeiter braucht in der ersten Woche keinen harten Phishing-Test. Er braucht einen klaren Meldeweg, realistische Beispiele für Unternehmensabläufe und eine sichere erste Simulation, die misst, ob das Onboarding ihn tatsächlich vorbereitet hat.

Das ist wichtig für Sicherheitsingenieure, IT-Administratoren, CISOs und Compliance-Teams, denn beim Onboarding entstehen oft unbemerkt Sicherheitslücken in vielen Sensibilisierungsprogrammen. Neue Mitarbeiter lernen noch interne Tools, Namen, Genehmigungswege, HR-Systeme, Ticket-Workflows und Kommunikationsnormen kennen. Wenn Phishing-Simulationen nur vierteljährlich stattfinden, kann es Monate dauern, bis ein neuer Mitarbeiter im Unternehmen eine sinnvolle Übung erlebt.

Dieser Leitfaden erklärt, wie man Phishing-Simulationen sicher in das Mitarbeiter-Onboarding integriert. Er dient ausschließlich der Abwehr. Er enthält keine Phishing-Vorlagen, Taktiken zum Sammeln von Zugangsdaten, Umgehungsmethoden für die Zustellung oder Anleitungen zur Durchführung echter Angriffe.

Warum neue Mitarbeiter einen anderen Phishing-Schulungsweg brauchen

Neue Mitarbeiter sind nicht einfach nur „normale Nutzer mit weniger Schulung“. Sie befinden sich in einer Übergangsphase, in der ihnen die üblichen Abläufe im Unternehmen noch ungewohnt sind.

In den ersten Wochen erhalten sie möglicherweise:

• Anfragen nach Personalunterlagen
• Nachrichten zur Gehaltsabrechnung und zu Sozialleistungen
• Benachrichtigungen zur Kontoeinrichtung
• Aufforderungen zum Passwort-Reset oder zur MFA-Registrierung
• Einladungen zu Chat-, Projekt- und Dateifreigabe-Tools
• Vorstellungsrunden mit Vorgesetzten und Aufgaben zur Teameingliederung
• Mitteilungen zu Ausrüstung, Versand und Support

Diese Abläufe sind legitim, sorgen aber auch für Verwirrung. Ein allgemeiner jährlicher Sicherheitskurs vermittelt selten die konkrete Frage, die sich ein neuer Mitarbeiter stellen muss: „Wird ich von unserem Unternehmen normalerweise so dazu aufgefordert, das zu tun?“

Ein sichereres Einarbeitungsprogramm macht den erwarteten Ablauf klar, bevor Simulationen durchgeführt werden. Zeige, wo verdächtige Nachrichten gemeldet werden müssen, wie die IT-Abteilung Kontoänderungen mitteilt, wie die Personalabteilung Dokumente versendet und wie Mitarbeiter ungewöhnliche Anfragen überprüfen sollten. Nutze dann eine kontrollierte Simulation, um sicherzustellen, dass der Prozess verständlich ist.

Beginne mit dem Melden, nicht mit dem Klicken

Die Klickrate ist in der ersten Woche ein schwacher Indikator. Ein neuer Mitarbeiter klickt vielleicht, weil er das Onboarding schnell abschließen will, nicht weil er unachtsam ist. Das Meldeverhalten ist in der Regel aussagekräftiger.

Das erste Ziel sollte lauten:

• Wissen neue Mitarbeiter, wo sich der Melde-Button, das Postfach, die Ticketkategorie oder der Sicherheitskanal befinden?
• Verstehen sie, dass das Melden erwünscht ist, auch wenn sie sich unsicher sind?
• Wissen sie, was nach einer Meldung passiert?
• Können sie eine normale Onboarding-Nachricht von einer ungewöhnlichen Anfrage unterscheiden?
• Können die IT- oder Sicherheitsabteilung die Meldungen neuer Mitarbeiter zuverlässig einsehen und priorisieren?

Der Leitfaden von AutoPhish zu Funktionen für die Berichterstattung bei Phishing-Simulationen ist hier ein nützlicher Maßstab. Gute Berichterstattung sollte Entscheidungen unterstützen und nicht nur eine Punktetabelle liefern.

Was öffentliche Leitlinien zur Abwehr angeht, betonen auch die CISA-Leitlinien zur Phishing-Sensibilisierung Vorsicht, Überprüfung und die Meldung verdächtiger Aktivitäten über vertrauenswürdige Kanäle.

Erstelle eine Sensibilisierungsreihe für die erste Woche

Phishing-Schulungen für neue Mitarbeiter funktionieren am besten als kurze Reihe und nicht als einzelner Überraschungstest.

Tag 1: Lege die erwarteten Kanäle fest

Mache die üblichen Kommunikationswege sichtbar:

• woher Nachrichten der Personalabteilung kommen
• woher Benachrichtigungen der IT-Abteilung zu Konten kommen
• wie Passwort-Zurücksetzungen und die Einrichtung der MFA abgewickelt werden
• wo Mitarbeiter verdächtige Nachrichten melden können
• was Mitarbeiter tun sollten, wenn sie auf etwas Fragwürdiges geklickt haben
• welche Kanäle niemals für dringende Anfragen nach Zugangsdaten, Zahlungen oder persönlichen Daten genutzt werden

Das sollte praxisnah und konkret sein. „Sei vorsichtig bei verdächtigen E-Mails“ reicht nicht aus. Neue Mitarbeiter müssen den tatsächlichen Meldeweg und den vertrauenswürdigen Überprüfungsweg kennen.

Tage 2–5: Vermittele sichere Entscheidungspunkte

Verwende kurze Beispiele, die sich auf Entscheidungen konzentrieren, nicht auf Angreifertechniken:

• Eine Benachrichtigung zur Dateifreigabe fordert zum Handeln auf: Soll der Mitarbeiter sie öffnen, überprüfen oder melden? – Eine Nachricht fordert zur Zurücksetzung der MFA auf: Soll der Mitarbeiter den Link nutzen, die IT kontaktieren oder die Nachricht ignorieren? – Eine Anfrage im Stil eines Vorgesetzten suggeriert Dringlichkeit: Soll der Mitarbeiter dies über einen bekannten Kanal überprüfen? – Eine Aktualisierung der Gehaltsabrechnung erscheint: Soll der Mitarbeiter direkt im HR-Portal nachsehen?

Achte darauf, dass die Beispiele markensicher sind. Verwende keine echten Namen von Mitarbeitern, Kundennamen, Lieferantendaten, Zahlungsanweisungen, persönliche Krisen oder sensible Personalthemen, es sei denn, diese wurden geprüft und genehmigt.

Woche 2 oder 3: Führe eine kleine Onboarding-Simulation durch

Nachdem die Mitarbeiter den Meldeweg kennengelernt haben, führe eine sichere Simulation durch, die das von dir vermittelte Verhalten testet. Das Szenario sollte für das Onboarding relevant sein, aber nicht emotional manipulativ wirken.

Eine gute erste Simulation sollte:

• das Erfassen von Zugangsdaten, MFA-Codes, Tokens oder persönlichen Daten vermeiden
• Themen wie vorgetäuschte Kündigung, Panik wegen der Gehaltsabrechnung, medizinische Probleme, Einwanderung oder rechtlichen Druck vermeiden
• sofortiges konstruktives Feedback geben
• korrektes Melden belohnen
• aufzeichnen, ob der Melde-Workflow funktioniert hat
• die Sichtbarkeit auf individueller Ebene auf die Personen beschränken, die sie benötigen
• öffentliche Ranglisten oder das Bloßstellen von Vorgesetzten vermeiden

Wenn dein Unternehmen bereits einen umfassenderen Rhythmus für Phishing-Simulationen hat, sollte die Onboarding-Simulation in diesen normalen Zyklus eingebunden werden, anstatt einen separaten, permanenten Zweig zu schaffen.

Entscheide, welche Kennzahlen für neue Mitarbeiter tatsächlich nützlich sind

Die Berichterstattung über neue Mitarbeiter sollte dazu beitragen, das Onboarding sicherheitstechnisch zu verbessern, und nicht dazu dienen, Leute bereits am zehnten Tag als risikobehaftet abzustempeln.

Nützliche Kennzahlen sind unter anderem:

• Onboarding-Abdeckung
• Melderate
• Zeit bis zur ersten Meldung
• ob Mitarbeiter den erwarteten Meldeweg genutzt haben
• Abschluss des Feedbacks
• Umfang der Nachverfolgung unklarer Meldungen
• Verbesserung auf Kohortenebene über verschiedene Einstellungswellen hinweg
• Trends bei Wiederholungsrisiken, nachdem der Mitarbeiter in den normalen Kampagnenrhythmus eingestiegen ist

Sei vorsichtig mit individuellen Risikobewertungen während des Onboardings. Neue Mitarbeiter lernen den internen Kontext erst noch kennen, und frühe Fehler können auf eine unklare Prozessgestaltung hindeuten. Wenn viele neue Mitarbeiter dasselbe Signal übersehen, lautet die bessere Frage oft: „Was hat unser Onboarding nicht ausreichend erklärt?“

Für einen umfassenderen Überblick über die Kadenz erklärt der Leitfaden von AutoPhish zum Thema Wie oft sollten Phishing-Simulationen durchgeführt werden?, wie das Onboarding mit vierteljährlichen, monatlichen und rollenbasierten Kampagnen verknüpft werden sollte.

Datenschutz und das Vertrauen der Mitarbeiter im Blick behalten

Phishing-Simulationen berühren das Verhalten der Mitarbeiter, daher sind Datenschutzanforderungen auch während des Onboardings wichtig. Das gilt besonders für Unternehmen mit vielen EU-Mitarbeitern, in gewerkschaftlich organisierten Umgebungen oder in Firmen mit Betriebsräten.

Ein klares Onboarding-Modell sollte Folgendes definieren:

• welche Daten erfasst werden
• wer die individuellen Ergebnisse einsehen darf
• ob Führungskräfte Zusammenfassungen auf Einzel- oder Gruppenebene erhalten
• wie lange die Simulationsdaten von neuen Mitarbeitern aufbewahrt werden
• wie das Coaching zugewiesen wird
• wie Mitarbeiter Fragen stellen können
• ob Ergebnisse für Disziplinarmaßnahmen genutzt werden
• wie Ausnahmen bei Auftragnehmern, Praktikanten oder Zeitarbeitskräften gehandhabt werden

In den meisten Umgebungen sollten Onboarding-Simulationen als Schulung und Prozessvalidierung konzipiert werden. Wenn Ergebnisse für andere Zwecke als Coaching und Programmverbesserung genutzt werden, sollten vor dem Start die Verantwortlichen aus den Bereichen Recht, Personalwesen, Datenschutz und Arbeitnehmervertretung einbezogen werden.

Der Leitfaden von AutoPhish zu datenschutzkonformen Phishing-Schulungen behandelt das Vertrauensmodell ausführlicher.

Konkretisiere die Anforderungen an die Plattform

Wenn du Phishing-Simulationsplattformen für das Onboarding vergleichst, lass dich nicht von der Anzahl der Vorlagen ablenken. Programme für neue Mitarbeiter brauchen eher operative Passgenauigkeit als dramatische Szenarien.

Achte auf:

• einfache Benutzer- und Gruppensynchronisierung für Neueinstellungen, Versetzungen und Austritte
• Onboarding-Kohorten, die automatisch in den normalen Kampagnenrhythmus eingebunden werden können
• rollenbasierte Zielausrichtung ohne aufdringliche Profilerstellung
• Unterstützung für „Meldungs“-Buttons oder Mailbox-Workflows
• kurze Feedback-Seiten, die den Entscheidungspunkt erklären
• sichere Landingpages, die keine vertraulichen Daten erfassen
• Datenschutzkontrollen für individuelle und aggregierte Berichte
• auditfähige Exporte für Sensibilisierungsmaßnahmen
• Lokalisierungsunterstützung, falls das Onboarding mehrere Sprachen oder Regionen umfasst
• Admin-Workflows, die auch kleine IT-Teams verwalten können

Der Praxistest besteht darin, ob das Programm auch dann noch einwandfrei läuft, wenn die Personalabteilung viel zu tun hat, die IT unter Druck steht und die Sicherheitsabteilung keine Zeit hat, jede Woche manuell eine Kampagne neu aufzubauen.

Häufige Fehler, die du vermeiden solltest

Der schnellste Weg, das Vertrauen neuer Mitarbeiter zu zerstören, ist, das Onboarding wie eine Falle zu behandeln.

Vermeide diese Fehler:

• Eine Simulation durchführen, bevor die Mitarbeiter wissen, wie sie Meldungen machen sollen
• In der ersten Woche emotional aufgeladene Themen verwenden
• Die Klickrate messen, ohne zu prüfen, ob die Onboarding-Anweisungen klar waren
• Einzelne Ergebnisse zu breit streuen
• Formulierungen wie „Test nicht bestanden“ statt ermutigender Sprache verwenden
• Nachrichten versenden, die echten Stress aus der Personal- oder Lohnbuchhaltung vortäuschen
• Leih- und Zeitarbeitskräfte vom Sensibilisierungsprozess auszuschließen
• den Helpdesk erst dann von der Kampagne in Kenntnis zu setzen, wenn die ersten Meldungen eintreffen

Der bessere Ansatz ist langweilig und wiederholbar: Erkläre den normalen Ablauf, übe die Entscheidungsfindung, belohne das Melden, coache schnell und überprüfe, was am Onboarding-Prozess verbessert werden muss.

Ein einfacher Onboarding-Ablauf

Für die meisten Sicherheitsteams sieht ein praktikables Modell so aus:

1. Füge Anweisungen zur Meldung in das Sicherheits-Onboarding ein.
2. Erkläre die üblichen Kommunikationsmuster in der Personalabteilung, der IT und bei den Vorgesetzten.
3. Zeige zwei oder drei sichere Beispiele für verdächtige Entscheidungspunkte.
4. Führe eine kontrollierte Simulation durch, nachdem der Mitarbeiter den Kontext verstanden hat.
5. Gib sofortiges Feedback und ermutige zur Meldung.
6. Überprüfe die Ergebnisse auf Kohortenebene.
7. Integriere den Mitarbeiter in den normalen Rhythmus der Phishing-Simulationen.

So bleibt die Einarbeitungsschulung auf das Haupt-Sensibilisierungsprogramm abgestimmt. Außerdem erhalten CISOs und Compliance-Verantwortliche einen klareren Nachweis: Neue Mitarbeiter wurden geschult, das Meldeverhalten wurde geübt und das Programm hat überprüft, ob der Prozess funktioniert hat.

FAQ

Sollten neue Mitarbeiter in ihrer ersten Woche eine Phishing-Simulation absolvieren?

Normalerweise nicht als Überraschungstest. In der ersten Woche sollten der Meldeweg, vertrauenswürdige Kommunikationskanäle und sichere Überprüfungsgewohnheiten erklärt werden. Eine kleine Simulation ist oft besser in der zweiten oder dritten Woche, sobald die Mitarbeiter genug Kontext haben, um eine fundierte Entscheidung zu treffen.

Was ist die beste Kennzahl für Phishing-Schulungen bei neuen Mitarbeitern?

Die Melderate ist oft aussagekräftiger als die Klickrate. Sie zeigt, ob neue Mitarbeiter wissen, was zu tun ist, wenn ihnen etwas verdächtig vorkommt. Auch die Abdeckung, die Zeit bis zur Meldung, das Ausfüllen des Feedbacks und Verbesserungen auf Kohortenebene sind nützliche Kennzahlen.

Sollten Führungskräfte die individuellen Ergebnisse neuer Mitarbeiter einsehen können?

Nur, wenn ein klarer Bedarf besteht und das Datenschutzmodell dies zulässt. Viele Unternehmen sollten zunächst mit aggregierten Onboarding-Trends beginnen, den Einblick in individuelle Ergebnisse für Coaching-Zwecke einschränken und auf öffentliche Bloßstellung verzichten.

Können Phishing-Simulationen Teil des Compliance-Onboardings sein?

Ja, aber übertreibe es nicht. Simulationen können als Nachweis dafür dienen, dass Schulungen zum Sicherheitsbewusstsein regelmäßig stattfinden, überprüft werden und mit dem Verhalten der Mitarbeiter verknüpft sind. Sie allein machen ein Unternehmen noch nicht konform.

Wie sollte mit Auftragnehmern und Zeitarbeitskräften umgegangen werden?

Wenn sie Unternehmenssysteme nutzen, interne Nachrichten erhalten oder mit sensiblen Arbeitsabläufen umgehen, sollten sie in der Regel eine angemessene Version der Onboarding-Schulung zum Sicherheitsbewusstsein erhalten. Auch für sie sollten die Meldewege und die Regeln zur Datenaufbewahrung klar sein.

Schaffe ein sichereres Onboarding vom ersten Bericht an

Phishing-Schulungen für neue Mitarbeiter funktionieren, wenn sie den Mitarbeitern vermitteln, wie das Unternehmen den Umgang mit verdächtigen Nachrichten erwartet. Es geht nicht darum, Leute frühzeitig zu erwischen. Es geht darum, das Melden zur Normalität zu machen, bevor sich riskante Gewohnheiten einschleichen.

AutoPhish hilft Sicherheits- und IT-Teams dabei, sichere Phishing-Simulationen durchzuführen, Nachschulungen zu automatisieren und die Meldungen für Führungskräfte und Compliance-Prüfungen nutzbar zu halten. Wenn du die Sensibilisierungsmaßnahmen im Onboarding mit deinem wiederkehrenden Phishing-Simulationsprogramm verknüpfen möchtest, melde dich an.