Physische Sicherheit

Informationssicherheit wird als IT-Thema behandelt, und dann steht der Serverschrank im Flur neben dem Kopierer. Physische Sicherheit ist der Teil, der sich nicht konfigurieren lässt – und derjenige, bei dem eine Begehung in zwanzig Minuten mehr Befunde liefert als ein Schwachstellenscan.

Denken in Zonen

Der tragfähige Ansatz ist nicht die Einzelmaßnahme, sondern die Abstufung. Legen Sie fest, welche Bereiche es gibt und wer sie betreten darf:

Diese Einteilung ist der Kern. Sie beantwortet die Frage, wie viel Aufwand wo angemessen ist – und sie verhindert die beiden häufigen Fehler: alles gleich zu behandeln, oder nur den Serverraum zu betrachten.

Die Zuordnung folgt der Datenklassifizierung: Wo vertrauliche Informationen verarbeitet werden, gilt eine höhere Zone.

Zutritt regeln

Wer hat einen Schlüssel oder eine Karte – und warum? Führen Sie eine Liste. In den meisten Betrieben ist sie älter als der letzte Umbau, und es existieren Schlüssel, die niemandem zugeordnet sind.

Ausgeschiedene Personen. Karte einziehen und im System sperren; bei mechanischen Schlössern die Frage stellen, ob umgeschlossen werden muss. Das gehört auf die Austrittsliste – siehe personelle Sicherheit.

Protokollierung. Zutrittsprotokolle sind Verhaltensdaten von Beschäftigten. Sie sind zulässig, aber begründungsbedürftig, unterliegen einer Löschfrist und – wo ein Betriebsrat besteht – der Mitbestimmung.

Besucher, Handwerker, Lieferungen

Der Weg, der am zuverlässigsten übersehen wird. Wer im Blaumann mit einer Leiter durch die Tür geht, wird selten angesprochen.

Praktikabel sind vier Regeln: Besucher werden angemeldet und abgeholt, in geschützten Bereichen begleitet, sie sind als Besucher erkennbar, und die Anwesenheit wird festgehalten. Externe Dienstleister mit regelmäßigem Zugang – Reinigung, Wartung, IT – brauchen eine schriftliche Regelung und eine Verpflichtung auf Vertraulichkeit; siehe Lieferantenaudit.

Anlieferung und Warenannahme gehören nach Möglichkeit von den internen Bereichen getrennt. Ein Paketbote, der bis ins Büro läuft, hat mehr gesehen als beabsichtigt.

Der Serverraum

Wo eigene Technik betrieben wird, gelten eigene Anforderungen: verschlossener Raum ohne Durchgangsverkehr, keine Fenster zu allgemein zugänglichen Bereichen, Brandmeldung und geeignete Löschtechnik, Temperatur- und Feuchteüberwachung, unterbrechungsfreie Stromversorgung, keine Lagerung von brennbarem Material.

Ein häufiger Befund: Der Raum dient zugleich als Abstellkammer. Damit ist er kein Serverraum mehr, sondern ein Lager mit Servern – und die Zutrittsbeschränkung wird täglich durchbrochen.

Verlagern Sie den Betrieb in ein Rechenzentrum, verschiebt sich die Frage auf den Anbieter. Prüfen lässt sich das über ein C5-Testat oder ein Zertifikat mit passendem Geltungsbereich.

Papier, Bildschirme und Datenträger

Aufgeräumter Arbeitsplatz und gesperrter Bildschirm. Die banalste Maßnahme und diejenige mit der besten Wirkung pro Aufwand.

Drucker. Ausdrucke, die im Ausgabefach liegen bleiben, sind der klassische Befund jeder Begehung. Vertrauliche Ausdrucke gehören hinter eine Freigabe am Gerät.

Entsorgung. Papier mit personenbezogenen oder vertraulichen Inhalten gehört in den Aktenvernichter mit passender Sicherheitsstufe oder in verschlossene Sammelbehälter eines Dienstleisters – nicht in den Papierkorb. Für Datenträger gilt dasselbe: Festplatten, USB-Sticks und Mobiltelefone sind vor der Entsorgung sicher zu löschen oder zu vernichten, mit Nachweis.

Der teuerste Fehler in diesem Bereich ist das ausgemusterte Gerät, das über den Gebrauchtmarkt weitergegeben wird, ohne dass jemand die Löschung geprüft hat.

Wer Geräte mietet statt kauft, verlagert diesen Schritt an das Ende der Laufzeit und in einen geregelten Ablauf – die Frage, wer die Löschung nachweist, muss aber auch dann vor der Rückgabe beantwortet sein.

Homeoffice und unterwegs

Die Zonen enden nicht am Werkstor. Zu regeln sind: Sichtschutz bei Videokonferenzen, keine vertraulichen Gespräche in Bahn und Café, Blickschutzfolie auf Reisen, Aufbewahrung von Unterlagen zu Hause, Umgang mit Ausdrucken und deren Vernichtung. Vieles davon lässt sich in wenigen Sätzen in der Richtlinie für Mitarbeitende regeln.

Kontakt

Eine Begehung liefert in kurzer Zeit eine belastbare Liste. Wir gehen mit Ihnen durch – und sagen Ihnen, was davon wirklich dringend ist.

• Telefon: +49 6188 99 04 36
• E-Mail: office@dsb-datenschutz.de
• Kontaktformular: Anfrage senden
• Zur Informationssicherheit