Security Awareness im Onboarding: Vor dem ersten kritischen Arbeitsschritt ansetzen

Der erste Arbeitstag ist auch ein Sicherheitsübergang. Neue Mitarbeitende erhalten Zugänge, Geräte und Informationen, während ihnen interne Freigaben, Ausnahmen und Ansprechpartner noch nicht vertraut sind. Genau in dieser Phase entscheidet sich, ob Sicherheitsvorgaben als nutzbarer Arbeitsweg oder nur als zusätzliche Theorie wahrgenommen werden.

Für CISOs und Awareness-Verantwortliche folgt daraus eine klare Leitthese: Security Awareness im Onboarding sollte nicht am absolvierten Kurs gemessen werden, sondern an der Vorbereitung auf den ersten sicherheitskritischen Arbeitsschritt. Wer einen Zugang erstmals nutzt, sensible Informationen teilt oder eine ungewöhnliche Anfrage beurteilen muss, braucht vorher verständliche Regeln, einen funktionierenden Prozess und einen erreichbaren Rückkanal.

Der erste Zugriff ist der richtige Planungszeitpunkt

Ein allgemeines Basismodul kann gemeinsame Orientierung schaffen. Es beantwortet aber nicht automatisch, welche Entscheidungen eine Person in ihrer konkreten Rolle treffen muss. Für das Onboarding ist deshalb der Zeitpunkt entscheidend, an dem eine Berechtigung oder Tätigkeit erstmals eigenständig genutzt wird. Eine Einweisung nach diesem Moment kommt für die betreffende Entscheidung zu spät.

Der BSI-Baustein ORP.3 fordert, Mitarbeitende und externe Nutzende in den sicheren Umgang mit IT-, ICS- und IoT-Komponenten einzuweisen, soweit dies für ihre Arbeitszusammenhänge relevant ist. Verbindliche, verständliche und aktuelle Richtlinien sollen dafür verfügbar sein. Der Baustein verbindet die Einweisung ausdrücklich mit Aufgaben und Verantwortlichkeiten, statt für alle Beschäftigten denselben Informationsumfang vorauszusetzen.

Auch die ENISA Technical Implementation Guidance stellt Onboarding und fortlaufende Weiterbildung in einen gemeinsamen Zusammenhang. Sie empfiehlt Security Awareness und rollenspezifisches Training entlang unterschiedlicher Risikoexpositionen. Die Guidance richtet sich in ihrem regulatorischen Kontext an bestimmte digitale Dienste und Anbieter. Als fachliche Orientierung ist ihr Grundgedanke dennoch nützlich: Verantwortlichkeiten, Zugriff und Qualifizierung müssen zusammenpassen.

Nicht mit Themenlisten, sondern mit kritischen Tätigkeiten beginnen

Eine Themenliste wie Phishing, Passwörter, Datenschutz und Social Engineering ist leicht zu erstellen. Für die betriebliche Steuerung bleibt sie jedoch zu abstrakt. Besser ist ein Inventar der Tätigkeiten, bei denen eine Fehlentscheidung relevante Folgen hätte. Dazu können die erstmalige Nutzung privilegierter Zugänge, die Weitergabe schutzbedürftiger Informationen, Änderungen an Stamm- oder Zahlungsdaten, Veröffentlichungen im Namen des Unternehmens oder die Bearbeitung externer Anfragen gehören.

Aus jeder kritischen Tätigkeit lassen sich vier Prüfpunkte ableiten: Welche Entscheidung darf die Person selbst treffen? Welche Freigabe ist erforderlich? Welcher sichere Arbeitsweg steht tatsächlich zur Verfügung? Und wohin wird eine Unsicherheit oder Auffälligkeit übergeben? Diese Fragen liefern ein belastbares Lernziel, ohne ein universelles Trainingsszenario zu erfinden.

Die fachliche Einordnung in ein dauerhaftes Programm beschreibt der Themenbereich Cybersecurity Awareness im Unternehmen. Entscheidend bleibt jedoch die Verbindung mit den eigenen Rollen, Systemen und Prozessen.

Awareness kann einen fehlenden Arbeitsweg nicht ersetzen

Ein sicherer Prozess muss nutzbar sein, bevor er geschult wird. Wer noch keinen Zugriff auf die freigegebene Dateiablage besitzt, benötigt eine organisatorische Lösung statt lediglich einer Warnung vor privaten Cloud-Diensten. Wer Auffälligkeiten melden soll, braucht einen erreichbaren Kanal. Und wer eine Freigabe einholen muss, muss wissen, welche Stelle zuständig ist und was bei Abwesenheit gilt.

Für den Onboarding-Prozess bedeutet das: Informationssicherheit, IT, Personalbereich und Fachverantwortliche sollten ihre Übergabepunkte abstimmen. Die IT stellt Identitäten, Geräte und Berechtigungen bereit. Der Fachbereich beschreibt die tatsächlich kritischen Tätigkeiten. Informationssicherheit definiert Regeln, Meldewege und Eskalationsgrenzen. HR sorgt dafür, dass die erforderlichen Schritte zum richtigen Zeitpunkt in den Eintrittsprozess eingebunden werden.

Wenn neue Mitarbeitende trotz Schulung improvisieren müssen, liegt nicht zwingend ein Wissensproblem vor. Häufig fehlen eine zugängliche Anleitung, ein freigeschaltetes Werkzeug oder eine klare Zuständigkeit. Solche Prozesslücken gehören in die Auswertung des Onboardings und nicht ausschließlich in eine weitere Lerneinheit.

Rollenbezogene Lernziele müssen beobachtbar sein

„Phishing verstehen“ oder „Datenschutz kennen“ sind keine belastbaren Lernziele. Sie sagen wenig darüber aus, ob eine Person im eigenen Arbeitskontext den nächsten Schritt findet. Beobachtbar wird ein Ziel, wenn die erwartete Entscheidung, der zulässige Arbeitsweg und die Grenze der eigenen Rolle beschrieben sind.

Dabei muss nicht jede Person technische Ursachen diagnostizieren können. Mitarbeitende sollten erkennen, wann eine Abweichung relevant ist, welche eigenen Handlungen sie offen angeben müssen und wie die Übergabe an die zuständige Stelle erfolgt. Analyse, Eindämmung und Wiederherstellung bleiben Aufgaben der dafür vorgesehenen Fachfunktionen.

Diese Trennung verhindert zwei typische Fehlentwicklungen: Einerseits wird Awareness nicht mit vollständiger Incident Response verwechselt. Andererseits bleibt die Rolle der Beschäftigten konkret. Sie sollen nicht sämtliche Angriffe sicher klassifizieren, sondern den definierten Übergabepunkt zuverlässig nutzen.

Die ersten 30 Tage als Beobachtungsfenster nutzen

Ein Zeitraum von 30 Tagen ist keine gesetzliche oder fachlich zwingende Frist. Er kann aber als internes Beobachtungsfenster dienen, weil in dieser Phase häufig weitere Berechtigungen, Systeme und Aufgaben hinzukommen. Statt alle Inhalte am ersten Tag zu bündeln, lässt sich prüfen, welche neuen sicherheitskritischen Tätigkeiten tatsächlich aufgenommen wurden und ob dafür die nötige Orientierung vorhanden ist.

Ein solcher Rückblick sollte nicht nur nach abgeschlossenen Modulen fragen. Relevant sind auch wiederkehrende Rückfragen, unklare Zuständigkeiten, fehlende Zugänge und Prozessabweichungen. Daraus können Verantwortliche ableiten, ob die Anleitung, der Arbeitsweg oder die Reihenfolge der Einweisung angepasst werden muss.

Der Ansatz bleibt risikoorientiert: Eine Person mit administrativen Rechten, Zahlungsfreigaben oder Zugriff auf besonders schutzbedürftige Daten benötigt eine andere Tiefe und einen anderen Zeitpunkt als eine Rolle mit begrenzten Systemrechten. Das BSI fordert entsprechend zielgruppenorientierte Programme und eine Schulung gemäß Aufgaben und Verantwortlichkeiten.

Teilnahme, Verständnis und Prozessqualität getrennt bewerten

Eine dokumentierte Teilnahme beantwortet zunächst nur, ob eine vorgesehene Maßnahme stattgefunden hat. Für die Steuerung des Onboardings sind mindestens zwei weitere Ebenen wichtig: Versteht die Person die für ihre Rolle relevanten Handlungswege? Und funktionieren die betrieblichen Voraussetzungen, die diese Handlungswege ermöglichen?

Der BSI-Baustein ORP.3 sieht eine zielgruppenbezogene Messung und Auswertung des Lernerfolgs vor und nennt quantitative sowie qualitative Aspekte. Für die Praxis folgt daraus keine einzelne Universalmetrik. Teilnahme, Verständnis, tatsächliche Prozessnutzung und erkannte organisatorische Lücken sollten separat betrachtet werden.

Auch Spielergebnisse oder Teilnahmezertifikate sind daher nicht mit einem Nachweis dauerhaft sicheren Verhaltens gleichzusetzen. Sie können dokumentieren, dass eine Maßnahme durchgeführt wurde und Hinweise auf unterschiedliche Einschätzungen liefern. Ob der interne Meldeweg schneller gefunden oder eine Freigabe konsequenter eingehalten wird, muss anhand der eigenen Prozesse geprüft werden.

Gemeinsame Formate gezielt anschließen

Nach der betriebsspezifischen Einweisung kann ein gemeinsames Format unterschiedliche Sichtweisen sichtbar machen und den Austausch über Sicherheitsentscheidungen unterstützen. Informationen zu wiederkehrenden Formaten finden Sie auf der Seite zur Security-Awareness-Plattform. Für einen moderierten gemeinsamen Anlass gibt es ergänzend Informationen zum Awareness-Teamevent.

Der Produktbezug ersetzt dabei nicht die interne Prozessklärung. Ein externes oder spielerisches Format kann fachliche Auseinandersetzung anstoßen. Welche Freigaben, Kanäle und Zuständigkeiten im Unternehmen gelten, muss die Organisation selbst eindeutig festlegen.

Fazit: Den ersten eigenständigen Arbeitsschritt absichern

Gutes Security-Awareness-Onboarding verbindet Rolle, Berechtigung, Arbeitsprozess und Lernziel. Die zentrale Prüffrage lautet nicht nur, ob eine Schulung abgeschlossen wurde. Entscheidend ist, ob neue Mitarbeitende ihre ersten sicherheitsrelevanten Aufgaben vorbereitet übernehmen, Unterstützung finden und Auffälligkeiten an die richtige Stelle übergeben können.

Wer vom ersten kritischen Arbeitsschritt rückwärts plant, erkennt außerdem, wo Schulung allein nicht genügt: bei fehlenden Zugängen, unklaren Freigaben, nicht erreichbaren Meldewegen oder widersprüchlichen Zuständigkeiten. Genau diese Verbindung aus Qualifizierung und funktionierendem Prozess macht Onboarding zu einem belastbaren Baustein der Informationssicherheit.

Quellen und weiterführende Informationen

ENISA: NIS2 Technical Implementation Guidance, veröffentlicht am 26. Juni 2025. Verwendet für die Einordnung von Onboarding, kontinuierlicher Weiterbildung, rollenbezogenem Training und dokumentierten Verantwortlichkeiten im spezifischen Anwendungsbereich der Guidance.

BSI: ORP.3 Sensibilisierung und Schulung zur Informationssicherheit, Edition 2023. Verwendet für rollenbezogene Einweisung, verständliche und aktuelle Richtlinien, zielgruppenorientierte Programme sowie Messung und Auswertung des Lernerfolgs.