Richtlinie für Mitarbeitende

Die Richtlinie für Mitarbeitende ist das Dokument mit der größten Reichweite und der geringsten Leserschaft. Sie liegt in fast jedem Unternehmen vor, hat zwanzig Seiten, wurde einmal per E-Mail verteilt und ist im Alltag ohne Wirkung. Dabei entscheidet gerade sie darüber, ob Sicherheit im Betrieb ankommt – die technischen Maßnahmen greifen nur dort, wo Menschen sie nicht umgehen.

Der Zweck ist doppelt

Verhalten steuern. Die Beschäftigten sollen wissen, was von ihnen erwartet wird – vor allem in den Momenten, in denen sie es nicht nachschlagen können.

Nachweisen. Bei einem Vorfall ist die Frage, ob die Organisation zumutbare Vorkehrungen getroffen hat, mitentscheidend – für die Bemessung eines Bußgeldes ebenso wie für arbeitsrechtliche Konsequenzen. Eine bekannt gemachte Richtlinie ist das Gegenstück zum Fahrlässigkeitsvorwurf.

Beide Zwecke verlangen dasselbe: kurz, verständlich, nachweislich zugegangen.

Was hineingehört

Sechs Themen genügen für den überwiegenden Teil der Fälle.

Umgang mit Informationen. Welche Stufen es gibt und was je Stufe gilt – siehe Datenklassifizierung. Das ist der inhaltliche Kern; alles Weitere hängt daran.

Zugangsdaten. Keine Weitergabe, keine Mehrfachverwendung, mehrstufige Anmeldung wo verfügbar, Verwendung des bereitgestellten Passwortverwalters. Und der Satz, der wirkt: Wer den Verdacht hat, ein Zugang sei kompromittiert, meldet das sofort und muss keine Konsequenzen fürchten.

E-Mail und Nachrichten. Woran ein Phishing-Versuch zu erkennen ist, was bei Zweifeln zu tun ist – und dass eine Rückfrage über einen zweiten Kanal bei Zahlungsanweisungen Pflicht ist. Vertieft wird das über Phishing-Awareness und eine Phishing-Simulation.

Geräte und Arbeitsplatz. Bildschirmsperre, Umgang mit mobilen Geräten und Datenträgern, Verhalten unterwegs, aufgeräumter Schreibtisch, Umgang mit Ausdrucken. Wo private Geräte im Spiel sind, siehe BYOD.

Software und Dienste. Was installiert und genutzt werden darf, und wie eine Freigabe zu bekommen ist. Der zweite Teil ist wichtiger als der erste: Ein Verbot ohne gangbaren Weg erzeugt Schatten-IT.

Vorfälle melden. An wen, wie schnell, mit welchen Angaben. Dieser Abschnitt gehört nach vorn und nicht ans Ende.

Was nicht hineingehört

Gesetzestexte. Niemand liest den Wortlaut von Art. 32 DSGVO in einer Richtlinie. Wer die Grundlage sucht, findet sie im Verzeichnis.

Technische Konfigurationen. Sie gehören in Betriebsdokumentation, nicht in ein Dokument für alle.

Was niemand einhalten kann. Jede Regel, die den Arbeitsalltag unmöglich macht, wird umgangen – und beschädigt die Glaubwürdigkeit der übrigen. Prüfen Sie jede Vorgabe daran, ob Sie selbst sie an einem vollen Tag befolgen würden.

Alles auf einmal. Datenschutz, Informationssicherheit, KI-Nutzung, Arbeitssicherheit in einem Dokument – das liest niemand. Getrennte, kurze Dokumente sind besser als ein vollständiges.

Zugang und Nachweis

Verteilen genügt nicht. Nachweisbar ist die Kenntnisnahme nur, wenn sie erfasst wird – über eine Bestätigung im Lernsystem, eine Unterschrift oder eine dokumentierte Unterweisung.

Dazu gehört die Verpflichtung auf Vertraulichkeit nach Art. 32 Abs. 4 DSGVO: Beschäftigte dürfen personenbezogene Daten nur auf Weisung verarbeiten. Diese Verpflichtung wird üblicherweise beim Eintritt erklärt und ist Teil der Personalakte.

Praktisch am zuverlässigsten läuft beides über das Lernmanagementsystem: zuweisen, erinnern, bestätigen lassen, Nachweis erzeugen. Wer es per E-Mail versucht, sucht die Bestätigungen im Jahr darauf einzeln zusammen.

Zwei organisatorische Punkte noch: Wo ein Betriebsrat besteht, ist er zu beteiligen, soweit Verhaltens- oder Leistungskontrolle berührt ist. Und die Richtlinie braucht ein Datum, eine Version und eine Wiedervorlage – ein Dokument aus dem Jahr der Einführung überzeugt niemanden.

Kontakt

Sie haben eine Richtlinie, die niemand liest? Meist genügt eine Kürzung auf das, was tatsächlich gebraucht wird.