IT-Sicherheitsrichtlinie für Mitarbeitende

Grundlage im IT-Grundschutz

Der Baustein ORP.1 Organisation enthält die Standard-Anforderung ORP.1.A16 Richtlinie zur sicheren IT-Nutzung. Danach soll eine Richtlinie erstellt werden, die allen Mitarbeitenden transparent beschreibt, welche Rahmenbedingungen bei der IT-Nutzung gelten und welche Sicherheitsmaßnahmen zu ergreifen sind. Sie soll mindestens abdecken:

• Sicherheitsziele der Institution,
• wichtige Begriffe,
• Aufgaben und Rollen mit Bezug zur Informationssicherheit,
• Ansprechperson zu Fragen der Informationssicherheit,
• von den Mitarbeitenden umzusetzende und einzuhaltende Sicherheitsmaßnahmen.

Jeder neue Benutzende soll die Kenntnisnahme und Beachtung schriftlich bestätigen, bevor er die IT nutzen darf. Die Bestätigung soll regelmäßig oder nach größeren Änderungen erneuert werden. Die Richtlinie soll für alle frei zugänglich abgelegt sein, etwa im Intranet.

Ergänzend verlangt ORP.3.A3 als Basis-Anforderung, dass alle Mitarbeitenden und externen Benutzenden in den sicheren Umgang mit IT eingewiesen werden und dafür verbindliche, verständliche und aktuelle Richtlinien zur Verfügung stehen. Bei erhöhtem Schutzbedarf sieht ISMS.1.A16 zusätzlich zielgruppengerechte Richtlinien vor, etwa für Administration, Entwicklung oder Führungskräfte.

Abgrenzung zu Leitlinie und Konzept

• Die Leitlinie formuliert Ziele und Strategie der Geschäftsführung.
• Das Sicherheitskonzept leitet daraus Maßnahmen ab.
• Die IT-Sicherheitsrichtlinie sagt den Mitarbeitenden, was sie konkret tun und lassen sollen.

Nach BSI-Standard 200-2 müssen Richtlinien und Handlungsanweisungen für Mitarbeitende besonders klar und verständlich sein. Für viele Bereiche reichen einfache Checklisten.

Themen einer IT-Sicherheitsrichtlinie

Welche Themen nötig sind, ergibt sich aus Ihrem Sicherheitskonzept. In kleinen Betrieben sind typischerweise relevant:

Anmeldung und Passwörter

• Passwörter sind persönlich und werden nicht weitergegeben.
• Wo verfügbar, wird Zwei-Faktor-Authentifizierung genutzt.
• Für jeden Dienst ein eigenes Passwort, zum Beispiel über den betrieblichen Passwortmanager.

Die konkreten Vorgaben an Passwortqualität regelt die Passwortrichtlinie.

E-Mail und Kommunikation

• Links und Anhänge in unerwarteten Nachrichten nicht öffnen, im Zweifel über einen bekannten Weg nachfragen.
• Zahlungsaufforderungen und geänderte Bankverbindungen immer telefonisch über bekannte Nummern prüfen.
• Vertrauliche Informationen nur über freigegebene Wege versenden.

Programme, Cloud- und KI-Dienste

• Programme und Erweiterungen nur nach Freigabe installieren.
• Betriebliche Daten nur in freigegebenen Cloud-Diensten speichern.
• Keine vertraulichen oder personenbezogenen Daten in nicht freigegebene Online-Dienste eingeben, auch nicht in KI-Werkzeuge.

Geräte, Datenträger und mobiles Arbeiten

• Bildschirm beim Verlassen des Platzes sperren.
• Unbekannte USB-Sticks nicht anschließen.
• Laptops und Smartphones unterwegs nicht unbeaufsichtigt lassen, Verlust sofort melden.
• Im Homeoffice dafür sorgen, dass Unbefugte nicht mitlesen oder mithören.

Unterlagen und Arbeitsplatz

• Vertrauliche Unterlagen nicht offen liegen lassen, Ausdrucke sofort vom Drucker holen.
• Datenträger und Papier mit vertraulichem Inhalt sicher entsorgen.

Private Nutzung

Ob und in welchem Umfang private Nutzung von Internet und E-Mail erlaubt ist, sollte ausdrücklich geregelt werden. Die Entscheidung hat arbeits- und datenschutzrechtliche Folgen und sollte im Einzelfall rechtlich geprüft werden.

Vorfälle melden

• An wen, auf welchem Weg und wie schnell Auffälligkeiten gemeldet werden.
• Grundsatz: Melden ist erwünscht, auch bei eigenen Fehlern.

Gestaltung, die gelesen wird

• Kurz: Lieber zwei bis vier Seiten Kernregeln und weitere Details in Anhängen.
• Konkret: «Bildschirm sperren mit Windows-Taste und L» statt «geeignete Maßnahmen ergreifen».
• Begründet: Ein Satz zum Warum erhöht die Akzeptanz.
• Einheitlich: Gleiche Begriffe wie in Leitlinie und Schulungen.
• Gekennzeichnet: Version, Datum, Freigabe und nächste Überprüfung, wie es 200-2 für Sicherheitsdokumente vorsieht.

Einführung und Mitbestimmung

Die Richtlinie wird von der Geschäftsführung freigegeben. Besteht ein Betriebsrat, sind seine Beteiligungsrechte zu beachten, insbesondere wenn Regeln das Verhalten der Mitarbeitenden betreffen oder Kontrollen vorsehen. Das sollte vor der Einführung arbeitsrechtlich geklärt werden.

Bewährter Ablauf:

1. Entwurf durch den ISB, Abstimmung mit IT, Datenschutz und gegebenenfalls Betriebsrat,
2. Freigabe durch die Geschäftsführung,
3. Vorstellung im Team, Bestätigung durch alle Mitarbeitenden,
4. Aufnahme in die Einarbeitung neuer Mitarbeitender,
5. Überprüfung mindestens jährlich und nach größeren Änderungen, erneute Bestätigung.

Beispiel für zehn Kernregeln

Als Anregung für einen kleinen Betrieb, anzupassen an die eigenen Systeme:

1. Mein Passwort gehört nur mir, und ich nutze überall, wo es geht, den zweiten Faktor.
2. Ich sperre den Bildschirm, wenn ich meinen Platz verlasse.
3. Ich öffne keine unerwarteten Anhänge und Links und frage im Zweifel nach.
4. Zahlungen und geänderte Bankdaten prüfe ich immer telefonisch über eine bekannte Nummer.
5. Ich installiere keine Programme ohne Freigabe.
6. Betriebliche Daten speichere ich nur in den freigegebenen Ablagen.
7. Ich gebe keine vertraulichen Daten in nicht freigegebene Online- oder KI-Dienste ein.
8. Fremde USB-Sticks schließe ich nicht an.
9. Geräteverlust und Auffälligkeiten melde ich sofort, auch eigene Fehler.
10. Ich kenne die Ansprechperson für Informationssicherheit und ihre Erreichbarkeit.

Externe und Dienstleister

Auch Fremdpersonal, Aushilfen und Dienstleister mit Zugang zu Ihren Systemen sollten die für sie relevanten Regeln kennen und bestätigen. ORP.2 enthält dazu Anforderungen an den Einsatz von Fremdpersonal.