Die verwundbaren ersten Monate

Phishing ist ein großes und hartnäckiges Risiko, und es ist berechtigt, dass ihm viel Aufmerksamkeit zukommt. In einem früheren Bericht dieser Reihe, Das Aufmerksamkeitsproblem, haben wir gezeigt, was die Wissenschaft über Phishing-Simulationen und den dazu passenden Ansatz sagt. Sicherheitsbewusstsein ist jedoch breiter als E-Mail allein, und nirgends bündelt sich diese Breite so sehr wie in der ersten Zeit nach dem Eintritt.

Neue Mitarbeitende richten in kurzer Zeit Konten und Geräte ein, lernen, welche Daten sensibel sind, nutzen zum ersten Mal die Systeme der Organisation und müssen unterdessen einschätzen, welche Nachrichten und Anfragen normal sind. All das geschieht, während diese Person die Menschen, die Prozesse und die Art und Weise, wie man etwas meldet, noch nicht kennt. Der Abstand zwischen dem Eintrittsdatum und dem Moment, in dem sich jemand wirklich heimisch fühlt, bildet eine Phase, in der das Risiko höher liegt als danach. Dieser Bericht stellt zusammen, was die wissenschaftliche Forschung über diese Phase zeigt und welche Lehren sich daraus für den Zeitpunkt und die Form der ersten Schulung ergeben.

01 · RAHMENBewusstsein ist breiter als Phishing

Wer an Sicherheitsbewusstsein denkt, denkt schnell an das Erkennen einer verdächtigen E-Mail. Das ist verständlich, denn Phishing ist ein reales und häufiges Risiko. Es ist jedoch nur ein Bestandteil eines größeren Ganzen. Mitarbeitende treffen täglich viele kleine Entscheidungen, die mit Sicherheit zu tun haben, und diese reichen über das Postfach hinaus.

Das am häufigsten verwendete wissenschaftlich validierte Messinstrument in diesem Bereich, der Human Aspects of Information Security Questionnaire (HAIS-Q), ordnet dieses größere Ganze sieben Bereichen zu: die Verwaltung von Passwörtern, die Nutzung von E-Mail, die Nutzung des Internets, die Nutzung sozialer Medien, mobiles Arbeiten, der Umgang mit Informationen und die Meldung von Vorfällen (Parsons et al., 2014). Phishing fällt in den Bereich der E-Mail-Nutzung und ist damit einer von sieben, nicht die Summe. Der Wert dieses Rahmens liegt darin, dass er Bewusstsein über die gesamte Breite messbar macht, und das funktioniert nachweislich: Wer im HAIS-Q höher abschneidet, schneidet auch in einem experimentellen Phishing-Test besser ab (Parsons et al., 2017).

02 · BEFUNDDie ersten Monate sind eine Anpassungsphase

Dass der Beginn eines Beschäftigungsverhältnisses besonders ist, ist in der Organisationspsychologie gut belegt. Forschung dazu, wie neue Mitarbeitende eingearbeitet werden und sich zurechtfinden, zeigt, dass Aspekte wie zu wissen, was von einem erwartet wird, Vertrauen in das eigene Handeln und von Kollegen akzeptiert zu werden nicht sofort vorhanden sind, sondern sich über die ersten Monate des Beschäftigungsverhältnisses aufbauen (Bauer und Erdogan, 2011). Eine umfangreiche Übersichtsstudie, die viele Untersuchungen zusammenfasst, bestätigt dieses Bild und betont, dass gerade die frühen Erfahrungen ausschlaggebend dafür sind, wie gut sich jemand letztlich anpasst (Bauer et al., 2025).

Für die Sicherheit ist vor allem diese anfängliche Phase der Unvertrautheit relevant. Mitarbeitende, die noch nicht wissen, was in der Organisation üblich ist, fehlt der Anhaltspunkt, um zu bemerken, dass etwas von dem abweicht, was normal sein sollte. Derselbe Mechanismus spielt bei der Einhaltung von Sicherheitsrichtlinien eine Rolle: Mitarbeitende, die besser eingearbeitet sind und sich stärker mit der Organisation verbunden fühlen, halten sich nachweislich besser an die Regeln (Ifinedo, 2014). Die ersten Monate sind mit anderen Worten nicht nur eine Lernphase für die Funktion selbst, sondern auch für das sichere Handeln darin.

03 · ERKLÄRUNGWarum Unvertrautheit ein Risiko ist

Die Unvertrautheit der ersten Monate ist genau das, was ein Angreifer ausnutzen kann. Wer die übliche Arbeitsweise noch nicht kennt, kann schwerer beurteilen, ob eine Anfrage stimmig ist. Neue Mitarbeitende wissen oft noch nicht, wer befugt ist, eine Zahlung freizugeben, wie Anmeldedaten geteilt werden sollen oder wie eine Nachricht der Leitung normalerweise aussieht. Zählt man dazu, dass Neueinsteiger gerne einen guten Eindruck machen möchten und deshalb schnell und hilfsbereit reagieren, wird deutlich, warum Täuschung in dieser Zeit mehr Aussicht auf Erfolg hat.

Dabei geht es um mehr als nur E-Mail. Täuschung kann ebenso gut per Telefon, über eine Nachricht oder persönlich erfolgen und betrifft mehrere der sieben Aufmerksamkeitsbereiche zugleich. Das unsichere Teilen eines Passworts bei der ersten Anmeldung betrifft die Verwaltung von Zugängen, die Fehleinschätzung einer Anfrage nach Daten betrifft den Umgang mit Informationen, und nicht zu wissen, wo man etwas Verdächtiges meldet, betrifft die Meldung von Vorfällen. Forschung zur Widerstandsfähigkeit gegen soziale Manipulation zeigt, dass ein höheres Sicherheitsbewusstsein mit einer größeren Wahrscheinlichkeit zusammenhängt, dass jemand einem solchen Versuch widersteht (Grassegger und Nedbal, 2021). Für jemanden, der gerade erst eingetreten ist, befindet sich dieses Bewusstsein über die volle Breite noch im Aufbau.

04 · ERKLÄRUNGWissen genügt nicht, gerade nicht zu Beginn

Es liegt nahe, diese Verwundbarkeit zu bekämpfen, indem man so früh wie möglich so viel Wissen wie möglich vermittelt. Die Wissenschaft relativiert das. Eine Übersichtsstudie, die die Ergebnisse vieler Untersuchungen zusammenfasst, zeigt, dass die Wirkung von Schulungen auf Wissen und Einstellung groß ist, dass aber die durchschnittliche Wirkung auf das tatsächliche Verhalten gering bleibt (Prümmer, van Steen und van den Berg, 2024). Dieser Unterschied ist kein Zufall. Ein bekanntes Modell für Verhaltensänderung, das Behaviour Change Wheel, beschreibt, dass sich Verhalten erst dann ändert, wenn Wissen und Fähigkeit, Motivation und die Gelegenheit, das Richtige zu tun, zusammenkommen (Michie, van Stralen und West, 2011).

Gerade diese letzte Voraussetzung, die Gelegenheit, fehlt bei neuen Mitarbeitenden. Jemand kann wissen, dass ein Passwort niemals telefonisch erfragt werden sollte, aber ohne Kenntnis der üblichen Prozesse ist es schwer einzuschätzen, ob eine konkrete Anfrage verdächtig ist. Ein Onboarding, das nur Wissen vermittelt, erfüllt also nur eine der drei Voraussetzungen. Passive Aufklärung, bei der lediglich Informationen verbreitet werden, verändert das Verhalten denn auch kaum (Bada, Sasse und Nurse, 2015), während aktive, wiederholte und auf den Kontext abgestimmte Formen sehr wohl Wirkung zeigen (Prümmer, van Steen und van den Berg, 2024).

Hinzu kommt der Faktor Zeit. Wissen, das auf einmal vermittelt wird, verblasst schnell: Die Vergessenskurve, 1885 von dem deutschen Psychologen Hermann Ebbinghaus beschrieben und in wiederholten Untersuchungen bestätigt (Murre und Dros, 2015), zeigt, dass ein großer Teil neu gelernten Stoffs schon innerhalb von Tagen bis Wochen ohne Wiederholung verblasst. Eine einzige Schulung am ersten Arbeitstag genügt daher nicht, so gut gemeint sie auch sein mag. Was die Literatur nahelegt, ist eine Schulung, die früh beginnt, kurz und wiederholt ist und die nicht nur Wissen vermittelt, sondern auch hilft, die Arbeitsweise der Organisation kennenzulernen und zu wissen, wo man etwas melden kann.

05 · FAZITFrüh, breit und auf Verhalten ausgerichtet

Die Onboarding-Phase lässt sich gut erklären. Die ersten Monate sind eine Anpassungsphase, in der Mitarbeitende die Organisation noch nicht kennen, und diese Unvertrautheit ist über die volle Breite des Sicherheitsbewusstseins eine Verwundbarkeit, die Angreifer ausnutzen können. Die Literatur verweist nicht auf mehr Wissensvermittlung allein, sondern auf eine Schulung, die früh beginnt, die über die volle Breite geht statt nur über Phishing und die auf Verhalten ausgerichtet ist, indem sie kurz, wiederholt und im Kontext der Arbeit erfolgt. Ebenso wichtig ist, dass eine Organisation Neueinsteigern die Gelegenheit gibt, sicher zu handeln, indem sie die Arbeitsweise, die Befugnisse und die Art und Weise, wie man etwas meldet, von Anfang an deutlich macht.

Zugleich ist Bescheidenheit angebracht. Die Begründung für diese Phase stammt größtenteils aus verwandter Forschung, zur Einarbeitung neuer Mitarbeitender, zu Verhalten und zum Verblassen von Wissen, und weit weniger aus Studien, die das Cyberrisiko gerade der ersten Wochen unmittelbar und über längere Zeit gemessen haben. Die feststehenden Zahlen, die hierzu in Fachpublikationen kursieren, lassen sich kaum auf überprüfbare Forschung zurückführen. Hier liegt eine deutliche Lücke, die geschlossen werden könnte, indem man neue Mitarbeitende ab ihrem ersten Arbeitstag über längere Zeit mit anonymisierten Verhaltensdaten verfolgt.