Sicherheit bei Ein- und Austritt von Mitarbeitenden

Grundlagen im IT-Grundschutz

Der Baustein ORP.2 Personal enthält für Eintritt und Austritt eigene Basis-Anforderungen:

• ORP.2.A1 Geregelte Einarbeitung: Personalabteilung und Vorgesetzte müssen dafür sorgen, dass neue Mitarbeitende eingearbeitet und über bestehende Regelungen, Handlungsanweisungen und Verfahrensweisen informiert werden. Eine Checkliste und eine feste Ansprechperson («Pate oder Patin») sollen etabliert werden.
• ORP.2.A2 Geregelte Verfahrensweise beim Weggang: Nachfolgende müssen rechtzeitig eingewiesen werden, idealerweise durch die ausscheidende Person; ist das nicht möglich, ist eine ausführliche Dokumentation anzufertigen. Alle Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittsberechtigungen müssen eingezogen werden. Vor der Verabschiedung muss auf Verschwiegenheitspflichten hingewiesen werden. Notfall- und Ablaufpläne sind zu aktualisieren, alle betroffenen Stellen wie IT oder Sicherheitspersonal zu informieren. Auch hier soll eine Checkliste genutzt werden.
• ORP.2.A3 Vertretungsregelungen: Für alle wesentlichen Aufgaben muss es praktikable Vertretungen mit dem nötigen Wissen geben.
• ORP.2.A14 Aufgaben und Zuständigkeiten: Mitarbeitende müssen zur Einhaltung von Gesetzen und internen Regeln verpflichtet werden, ihre Aufgaben müssen dokumentiert sein, und sie müssen wissen, dass dienstliche Informationen nur für den internen Gebrauch bestimmt sind.

Der Baustein ORP.4 ergänzt, dass bei personellen Veränderungen nicht mehr benötigte Kennungen und Berechtigungen entfernt werden müssen (ORP.4.A2). ORP.3.A3 verlangt die Einweisung in den sicheren Umgang mit IT.

Onboarding: der sichere Start

Vor dem ersten Tag

• Rolle und Rechteprofil festlegen, entsprechend der Rollenmatrix aus dem Berechtigungsmanagement,
• Konten anlegen, aber erst zum Arbeitsbeginn aktivieren,
• Gerät vorbereiten: aktuelle Updates, Verschlüsselung, Virenschutz, keine lokalen Administrationsrechte,
• Zutrittsmittel vorbereiten und die Ausgabe dokumentieren.

Am ersten Tag

• Leitlinie und IT-Sicherheitsrichtlinie erklären und Kenntnisnahme bestätigen lassen; ORP.1.A16 sieht die schriftliche Bestätigung vor der IT-Nutzung vor,
• Verschwiegenheits- oder Vertraulichkeitsverpflichtung unterschreiben lassen, bei personenbezogenen Daten einschließlich Datenschutz,
• Zwei-Faktor-Authentifizierung gemeinsam einrichten, Startpasswort sofort ändern lassen,
• Ansprechperson für Informationssicherheit und Meldeweg für Vorfälle vorstellen.

In den ersten Wochen

• Teilnahme an der nächsten regulären Sensibilisierung einplanen,
• nach einigen Wochen prüfen, ob die Rechte passen oder ob zu viel vergeben wurde.

Wechsel innerhalb des Betriebs

Ein Abteilungs- oder Aufgabenwechsel ist sicherheitstechnisch oft heikler als ein Austritt, weil er seltener als Anlass erkannt wird. Es gilt: neue Rolle zuweisen, alte Rechte entziehen, Übergabe regeln. Eine Übergangszeit mit beiden Rollen sollte befristet und dokumentiert sein.

Offboarding IT-seitig vollständig umsetzen

Information

Der wichtigste Schritt ist organisatorisch: Die IT oder der IT-Dienstleister muss rechtzeitig vom Austritt erfahren. Legen Sie fest, wer informiert, wann und auf welchem Weg. Bei Kündigungen mit sofortiger Freistellung muss die Sperre zeitgleich mit dem Gespräch erfolgen.

Checkliste für den Austritt

Konten und Zugänge

• Anmeldung am Netz und an allen Anwendungen sperren,
• Cloud-Dienste, E-Mail, Collaboration-Tools, Online-Banking, Shop- und Händlerportale, Social-Media-Konten des Betriebs,
• VPN- und Fernzugänge, Zertifikate, Token und Authenticator-Registrierungen,
• persönliche Freigaben und geteilte Links prüfen,
• gemeinsam genutzte Passwörter und Zugangscodes ändern, etwa Alarmanlage, WLAN-Gäste, Lieferantenportale.

Geräte und Material

• Laptop, Smartphone, Tablet, Datenträger, Token zurücknehmen,
• Schlüssel, Chipkarten, Ausweise einziehen und Ausgabe-Dokumentation aktualisieren,
• Papierunterlagen zurückgeben lassen,
• dienstliche Daten auf privaten Geräten löschen lassen, sofern private Geräte genutzt wurden.

Daten und Übergabe

• Übergabe der Aufgaben und Dokumentation an die Nachfolge,
• Postfach: Weiterleitung oder Abwesenheitsnotiz für einen festgelegten Zeitraum, Umgang mit privaten Inhalten nach den betrieblichen Regeln,
• Aufbewahrung und Löschung der Daten nach den gesetzlichen Fristen.

Abschluss

• Hinweis auf fortbestehende Verschwiegenheit,
• Notfall- und Kontaktlisten aktualisieren,
• Abschluss der Checkliste mit Datum und Unterschrift.

Kontrolle

Nach einigen Tagen sollte geprüft werden, ob tatsächlich alle Zugänge gesperrt sind und keine Anmeldungen mehr erfolgen. Zusätzlich gehört der Abgleich der aktiven Konten mit der Personalliste in die regelmäßige Berechtigungsprüfung. Fällt dabei ein vergessenes Konto auf, sollte nicht nur gesperrt, sondern auch geprüft werden, ob es nach dem Austritt noch genutzt wurde, und die Checkliste entsprechend ergänzt werden.

Fremdpersonal, Aushilfen und Praktikanten

Für externes Personal gelten nach ORP.2.A4 dieselben Regeln: Verpflichtung auf die internen Regelungen, Einweisung bei längerem Einsatz, Beaufsichtigung bei kurzfristigem Einsatz in sicherheitsrelevanten Bereichen und geregelte Rückgabe von Zugangsberechtigungen und Arbeitsergebnissen. Vor Zugang zu vertraulichen Informationen ist eine schriftliche Vertraulichkeitsvereinbarung nötig (ORP.2.A5). Gerade bei Aushilfen und Praktikanten werden Konten oft vergessen, weil der Einsatz kurz ist.

Rechtliche Fragen

Fragen zur Behandlung privater E-Mails im dienstlichen Postfach, zur Löschung von Daten auf privaten Geräten und zu Konkurrenzverboten sind arbeits- und datenschutzrechtlich zu klären. Der IT-Grundschutz empfiehlt, nach einem Stellenwechsel Interessenkonflikte zu vermeiden, etwa durch Konkurrenzverbote und Karenzzeiten. Die konkrete Ausgestaltung gehört in die Hände der Personalabteilung und gegebenenfalls einer rechtlichen Beratung.