Grundschutz++ Personal: Sicherheit von der Einstellung bis zum Weggang (PERS)
Grundschutz++ Personal: was die Praktik PERS zu Rollen, Einstellung, Schulung, Innentätern und Weggang verlangt und wie kleine Betriebe einsteigen.
Bei Grundschutz++ Personal geht es um die Menschen in Ihrem Betrieb: wer welche Aufgaben hat, wie neue Mitarbeitende ausgewählt und eingearbeitet werden, wie sie sich weiterbilden und was beim Ausscheiden passiert. Die Praktik «Personal» (Kürzel PERS) im neuen IT-Grundschutz des BSI begleitet den gesamten Beschäftigungszyklus, auch bei externen Partnern.
Warum das wichtig ist
Viele Sicherheitsvorfälle haben eine menschliche Ursache: unklare Zuständigkeiten, fehlende Einarbeitung, ein ehemaliger Mitarbeiter, dessen Zugang noch funktioniert. Wer Personalprozesse mit Blick auf Informationssicherheit gestaltet, schließt diese Lücken, ohne dafür teure Technik zu brauchen.
Was verbindlich ist
Verpflichtend sind die Grundlagen: Ihr Betrieb braucht festgelegte Abläufe für das Personalmanagement, die aufgeschrieben, Zuständigen zugewiesen, bekannt gemacht und regelmäßig überprüft werden. Empfohlen sind unter anderem klare Rollen mit Trennung unvereinbarer Aufgaben, Vertraulichkeitsregeln im Arbeitsvertrag, die Prüfung von Bewerbungen, eine Einarbeitung, regelmäßige Schulungen und der sofortige Entzug aller Zugänge beim Weggang.
Der erste Schritt
Erstellen Sie zwei kurze Checklisten: eine für den ersten Arbeitstag mit Einweisung in die Sicherheitsregeln und eine für den letzten Arbeitstag mit Rückgabe von Schlüsseln und Geräten und der Sperrung aller Konten. Legen Sie fest, wer diese Listen abarbeitet und abzeichnet.
Die Praktik «Personal» (PERS) ist eine organisatorische Praktik im Anwenderkatalog Grundschutz++. Dieser Artikel erklärt Grundschutz++ Personal anhand des Katalogstands vom 22. Oktober 2026: Ziel, Gruppen, Anforderungen, Nachweise und einen praxistauglichen Einstieg.
Ziel der Praktik
Laut Katalog integriert die Praktik Sicherheitsanforderungen über den gesamten Beschäftigungs- oder Vertragszyklus von Mitarbeitenden und externen Partnern. Ziel ist ein sicherer Umgang mit Informationen während der gesamten Dauer der Beschäftigung oder Zusammenarbeit. Die Praktik konzentriert sich auf den Umgang mit Personen. Den systemseitigen Zugriff regeln andere Praktiken wie Berechtigung, die Schulungsinhalte die Praktik Sensibilisierung.
Aufbau: sechs Gruppen, 30 Anforderungen
| Gruppe | Inhalt |
|---|---|
| PERS.1 Grundlagen | Verfahren und Regelungen zum Personalmanagement, Dokumentation, Zuständigkeiten, Bekanntgabe, Überprüfung |
| PERS.2 Aufgaben, Rollen, Zuständigkeiten | Aufgaben und Rollen verankern, Rollentrennung, Zuständigkeiten zuweisen |
| PERS.3 Personalzugang | Vertraulichkeit im Arbeitsvertrag, Anweisungen bei Neuzugang, Stellenbeschreibungen, Prüfung von Bewerbenden, Einarbeitung |
| PERS.4 Personalentwicklung | Qualifikationsbedarf, rollen- und produktspezifische Schulungen |
| PERS.5 Personalbetreuung | Maßregelung, Umgang mit potenziellen Innentätern, Vertrauens-Check für sicherheitskritische Rollen |
| PERS.6 Weggang von Mitarbeitenden | Vorgehensweise für den Weggang, Entzug von Berechtigungen, Neubesetzung von Zuständigkeiten |
Die MUSS-Anforderungen
Die fünf MUSS-Anforderungen stehen in PERS.1:
PERS.1.1 «Personal MUSS Verfahren und Regelungen zum Personalmanagement verankern.»
PERS.1.1.1 «Personal MUSS die Verfahren und Regelungen dokumentieren.»
PERS.1.1.2 «Personal MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»
PERS.1.1.3 «Personal MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»
PERS.1.2 «Personal MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen.»
Nach der Erläuterung zu PERS.1.1 stellt der Prozess sicher, dass qualifiziertes und zuverlässiges Personal für alle Aufgaben zur Verfügung steht und alle Beteiligten ihre Aufgaben und Zuständigkeiten kennen. Zu berücksichtigen sind Einstellung, Einarbeitung, Weiterbildung und Austritt. Eine anlassbezogene Überprüfung wird laut Erläuterung zu PERS.1.2 etwa durch einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen ausgelöst.
Wichtige SOLLTE-Anforderungen
24 Anforderungen sind als SOLLTE formuliert. Davon dürfen Sie nach der Definition der Bibliothek nur nach sorgfältiger Abwägung und mit stichhaltiger Begründung abweichen.
Rollen und Rollentrennung
PERS.2.2 «Personal SOLLTE für alle Tätigkeiten im Geltungsbereich Rollen mit Zielen, Aufgaben, erforderlichen Kompetenzen und Qualifikationen verankern.»
PERS.2.3 «Personal SOLLTE für unvereinbare Aufgaben eine Rollentrennung verankern.»
PERS.2.3.3 «Personal SOLLTE zwischen Implementierung von Sicherheitsanforderungen und deren Überprüfung eine Rollentrennung verankern.»
Weitere Rollentrennungen nennt der Katalog für die Administration von Verzeichnisdiensten und die Pflege der verwalteten Daten (PERS.2.3.1), für virtuelle Systeme und Virtualisierungslösungen (PERS.2.3.2) sowie zwischen Implementierung und Test (PERS.2.3.4).
Einstellung
PERS.3.1 «Personal für Mitarbeitende SOLLTE die vertrauliche Behandlung von Betriebs- und Geschäftsgeheimnissen vereinbaren.»
PERS.3.6 «Personal SOLLTE die Vertrauenswürdigkeit von Bewerbenden vor der Besetzung von Stellen testen.»
PERS.3.7 «Personal für Mitarbeitende SOLLTE eine Einarbeitung bei Neuzugang ausführen.»
Zur Vertrauenswürdigkeit nach PERS.3.6 sind laut Erläuterung Identität und Qualifikation anhand von Nachweisen zu verifizieren und der Lebenslauf auf Korrektheit, Plausibilität und Vollständigkeit zu prüfen.
Weiterbildung, Innentäter und Weggang
PERS.4.2 «Personal für Nutzende SOLLTE rollenspezifische Schulungen und Sensibilisierungen im Einklang mit den Anforderungen der Praktik Sensibilisierung bei Neuzugang und regelmäßig ausführen.»
PERS.5.2 «Personal SOLLTE ein interdisziplinäres Verfahren zum Umgang mit potenziellen Innentätern verankern.»
PERS.6.1.1 «Personal für Nutzende SOLLTE bei Weggang den unverzüglichen Entzug aller Zugriffsrechte im Einklang mit den Regelungen und Verfahren zum Berechtigungs- und Identitätsmanagement verankern.»
Unverzüglicher Entzug bedeutet laut Erläuterung die sofortige und vollständige Deaktivierung aller Zugriffsrechte, physisch wie logisch: Schlüssel, Zugangskarten und Codes ebenso wie Benutzerkonten in E-Mail-Diensten, ERP-Systemen oder Cloud-Speichern.
Normale und erhöhte Sicherheitsstufe
29 der 30 Anforderungen gehören zum Niveau normal (Stand der Technik). Nur eine Anforderung gehört zum Niveau erhöht und ist als KANN formuliert:
PERS.3.6.1 «Personal KANN eine Sicherheitsüberprüfung vor der Besetzung von sicherheitsrelevanten Stellen ausführen.»
Für die meisten Betriebe ist damit die normale Stufe maßgeblich. Eine Sicherheitsüberprüfung ist eine Option für sicherheitsrelevante Stellen, je nach Situation und Risikoanalyse.
Typische Nachweise
Am häufigsten nennt der Katalog den Prozess Personalmanagement (12 Anforderungen) und den Geschäftsverteilungsplan (9). Dazu kommen der Schulungsplan für Qualifikationsbedarf und Schulungen, das IT-Betriebskonzept für Dokumentation und Bekanntgabe, die Arbeitsanweisung für Anweisungen bei Neuzugang, der Arbeitsvertrag für die Vertraulichkeitsvereinbarung und der Übungs- und Prüfplan für die regelmäßige Überprüfung.
Betroffene Zielobjekte
20 der 30 Anforderungen haben keine Zielobjektkategorie und gelten einmal für den Geltungsbereich. Zehn Anforderungen beziehen sich auf Mitarbeitende (6), Nutzende (3) und Administrierende (1). Über die Vererbung gelten Anforderungen für Nutzende auch für Mitarbeitende, und Anforderungen für Mitarbeitende auch für Administrierende, Führungskräfte und die Institutionsleitung.
Vergleich mit dem Kompendium Edition 2023
Im bisherigen IT-Grundschutz lagen diese Inhalte vor allem im Baustein ORP.2 Personal, Fragen der Rollen auch in ORP.1 Organisation. Grundschutz++ gliedert die Themen entlang des Beschäftigungszyklus und nennt ausdrücklich den Umgang mit potenziellen Innentätern und regelmäßige Vertrauens-Checks für sicherheitskritische Rollen (PERS.5.3).
Umsetzungstipps für kleine und mittlere Unternehmen
- Rollen auf einer Seite: Eine Übersicht, wer welche Aufgaben und Vertretungen hat, ist der Kern des Geschäftsverteilungsplans.
- Rollentrennung mit Augenmaß: In kleinen Teams lässt sich nicht jede Trennung umsetzen. Wo das nicht geht, dokumentieren Sie die Abweichung mit Begründung, etwa durch ein Vier-Augen-Prinzip als Ausgleich.
- Vertraulichkeit vertraglich regeln: Prüfen Sie, ob Ihre Arbeitsverträge die vertrauliche Behandlung von Betriebs- und Geschäftsgeheimnissen enthalten.
- Austritt mit IT verzahnen: Die Personalabteilung meldet jeden Austritt rechtzeitig an die IT, damit Zugänge am letzten Tag gesperrt werden.
- Schulungsplan führen: Halten Sie fest, wer wann welche Schulung erhalten hat, und planen Sie Auffrischungen ein.
Häufige Fragen
Gelten die Anforderungen auch für Externe?
Die Praktik bezieht laut Katalog externe Partner über den Vertragszyklus ein. Einzelne Anforderungen richten sich an die Zielobjektkategorie Nutzende, zu der laut Definition auch Externe gehören, die regelmäßig Assets im Informationsverbund nutzen.
Muss ich Bewerbende einer Sicherheitsüberprüfung unterziehen?
Nein, nicht generell. PERS.3.6 empfiehlt als SOLLTE, die Vertrauenswürdigkeit vor der Besetzung zu testen. Eine Sicherheitsüberprüfung für sicherheitsrelevante Stellen ist mit PERS.3.6.1 eine KANN-Anforderung der erhöhten Stufe.
Wie schnell müssen Zugänge beim Weggang gesperrt werden?
Unverzüglich. PERS.6.1.1 verlangt den unverzüglichen Entzug aller Zugriffsrechte im Einklang mit den Regeln zum Berechtigungs- und Identitätsmanagement. Laut Erläuterung umfasst das physische und logische Zugriffsrechte.
Was hat Personal mit Sensibilisierung zu tun?
PERS.4.2 verlangt rollenspezifische Schulungen und Sensibilisierungen bei Neuzugang und regelmäßig, im Einklang mit der Praktik Sensibilisierung. Die Inhalte regelt die Praktik Sensibilisierung, PERS sorgt für die Einbindung in den Beschäftigungszyklus.