Personelle Sicherheit im ISMS

Die meisten Sicherheitsvorfälle beginnen nicht mit einer technischen Schwachstelle, sondern mit einer Person – meist ohne böse Absicht. Personelle Sicherheit ist deshalb ein eigener Baustein jedes Managementsystems, und sie umfasst deutlich mehr als die jährliche Schulung. Sie begleitet das Beschäftigungsverhältnis von der Bewerbung bis über sein Ende hinaus.

Vor der Einstellung

Angemessene Überprüfung. Je nach Rolle und Zugang kann eine Prüfung angebracht sein: Vollständigkeit der Angaben, Bestätigung von Qualifikationen, bei besonders exponierten Positionen ein Führungszeugnis. Die Betonung liegt auf angemessen – eine Überprüfung, die über das für die Stelle Erforderliche hinausgeht, ist datenschutzrechtlich unzulässig. Der Maßstab ist der Zugang, den die Person erhält, nicht die Neugier des Unternehmens.

Klarheit über die Anforderungen. Wer Zugang zu vertraulichen Informationen bekommt, sollte das aus der Stellenbeschreibung erfahren, nicht am ersten Arbeitstag.

Was bei Bewerbungsunterlagen datenschutzrechtlich gilt, steht unter Beschäftigtendatenschutz.

Beim Eintritt

Die Verpflichtung auf Vertraulichkeit. Sie folgt aus Art. 32 Abs. 4 DSGVO: Beschäftigte dürfen personenbezogene Daten nur auf Weisung verarbeiten. Die Erklärung gehört in die Personalakte – und sie sollte nachvertragliche Wirkung haben, denn die Vertraulichkeit endet nicht mit dem Arbeitsverhältnis.

Die Regelungen aushändigen und bestätigen lassen. Nicht per E-Mail verteilen, sondern mit Nachweis – siehe Richtlinie für Mitarbeitende.

Rechte nach dem Bedarf vergeben, nicht nach dem Vorbild eines Kollegen. Die Praxis, ein bestehendes Konto zu kopieren, ist der Hauptgrund für über Jahre gewachsene Berechtigungen.

Eine Einführung, die den Namen verdient. Die ersten Wochen sind der beste Zeitpunkt für Sicherheitsthemen – später konkurriert die Schulung mit dem Tagesgeschäft.

Während des Verhältnisses

Wiederkehrende Sensibilisierung. Einmal genügt nicht; die Bedrohungslage ändert sich. Wirksam ist die Kombination aus kurzen Auffrischungen und praktischer Prüfung – etwa einer Phishing-Simulation, ergänzt um Security Awareness.

Der Rollenwechsel ist der unterschätzte Moment. Wer innerhalb des Unternehmens die Abteilung wechselt, behält in aller Regel die alten Rechte und bekommt die neuen dazu. Nach einigen Jahren und drei Wechseln entsteht so ein Konto mit Zugriff auf fast alles. Prüfen Sie Berechtigungen bei jedem Wechsel – nicht nur beim Austritt.

Ein Verfahren für Verstöße. Es muss nicht scharf sein, aber es muss existieren und bekannt sein. Ohne benannte Konsequenz bleibt jede Regel unverbindlich.

Eine Kultur, die Meldungen belohnt. Wer auf eine Phishing-Mail hereingefallen ist, muss das ohne Angst melden können. Die Minuten zwischen Klick und Meldung entscheiden über den Schaden – und wer eine Rüge fürchtet, schweigt.

Beim Austritt

Der Teil, der am häufigsten unvollständig bleibt. Eine Liste hilft, weil sie mehrere Bereiche betrifft:

  • Zugänge sperren – zum letzten Arbeitstag, nicht wenn es auffällt. Das betrifft auch Fremdsysteme: Cloudanwendungen, Portale von Lieferanten, Verwaltungszugänge zu Websites und sozialen Auftritten.
  • Geräte und Datenträger zurücknehmen, dokumentiert. Bei privaten Geräten den betrieblichen Bereich löschen – siehe BYOD.
  • Schlüssel, Karten und Ausweise einziehen.
  • Das Postfach regeln – befristet stilllegen statt dauerhaft weiterleiten, siehe private E-Mail-Nutzung.
  • Übergabe der laufenden Vorgänge, solange die Person noch da ist.
  • An die nachvertragliche Vertraulichkeit erinnern, schriftlich.

Bei einer Trennung im Streit gehört die Sperrung der Zugänge vor das Gespräch, nicht danach. Das klingt hart und ist die einzige Reihenfolge, die trägt.

Warum das ins Managementsystem gehört

Die Norm behandelt diese Punkte als eigene Maßnahmengruppe, weil sie sich weder rein technisch noch rein arbeitsrechtlich lösen lassen. Sie verbinden IT, Personalwesen und Führung – und genau deshalb fallen sie durch, wenn niemand die Zuständigkeit hat. Wie das im ISMS verankert wird, steht dort; die Bewertung des Risikos unter Risikomanagement.

Kontakt

Sie wissen nicht, wie viele aktive Konten ausgeschiedener Personen bei Ihnen noch existieren? Das ist die erste Frage, die wir stellen.