Meldewege bei Sicherheitsvorf\u00e4llen<\/li>\n<\/ul>\nNeue Mitarbeitende m\u00fcssen wissen, an wen sie sich bei einer verd\u00e4chtigen E-Mail, einem verlorenen Ger\u00e4t oder einem m\u00f6glichen Datenschutzvorfall wenden k\u00f6nnen. Die Sensibilisierung sollte nach dem Onboarding regelm\u00e4\u00dfig aufgefrischt werden.<\/p>\n
Mitarbeiter-Onboarding und -Offboarding bei einem Stellenwechsel<\/h2>\n
Auch ein interner Stellen- oder Abteilungswechsel geh\u00f6rt in den Prozess. \u00c4ndert sich die T\u00e4tigkeit einer Person, k\u00f6nnen bisherige Berechtigungen \u00fcberfl\u00fcssig werden oder ein Sicherheitsrisiko darstellen.<\/p>\n
Deshalb sollten die vorhandenen Zugriffsrechte systematisch \u00fcberpr\u00fcft werden. Nicht mehr ben\u00f6tigte Rechte sind zu entfernen, bevor oder sobald die neuen Berechtigungen erteilt werden. Besonders wichtig ist die Kontrolle von administrativen Rechten, Gruppenmitgliedschaften, Cloud-Rollen, Verteilerlisten und Zug\u00e4ngen zu vertraulichen Informationen.<\/p>\n
Ein Stellenwechsel sollte nicht dazu f\u00fchren, dass sich im Laufe der Zeit immer mehr Berechtigungen ansammeln. Auch die durchgef\u00fchrten \u00c4nderungen m\u00fcssen dokumentiert und von der zust\u00e4ndigen Stelle best\u00e4tigt werden.<\/p>\n
Mitarbeiter-Offboarding: Zug\u00e4nge konsequent entziehen<\/h2>\n
Beim Mitarbeiter-Offboarding m\u00fcssen s\u00e4mtliche Benutzerkonten, Berechtigungen und Authentisierungsmittel ber\u00fccksichtigt werden. Neben dem zentralen Unternehmensaccount k\u00f6nnen beispielsweise Zug\u00e4nge zu E-Mail, VPN, Cloud-Diensten, Fachanwendungen oder externen Plattformen bestehen.<\/p>\n
Zug\u00e4nge m\u00fcssen zu dem verbindlich festgelegten Zeitpunkt entzogen werden, ab dem die Person sie nicht mehr ben\u00f6tigt. Dieser Zeitpunkt entspricht nicht zwangsl\u00e4ufig dem formalen Ende des Arbeitsverh\u00e4ltnisses. Bei einer Freistellung oder einem sicherheitskritischen Austritt kann eine sofortige Sperrung erforderlich sein.<\/p>\n
Die Personalabteilung, die F\u00fchrungskraft und die IT sollten den Zeitpunkt deshalb im Voraus eindeutig abstimmen.<\/p>\n
Konten, Sitzungen und Tokens widerrufen<\/h3>\n
Das Deaktivieren des zentralen Benutzerkontos ist ein wichtiger Schritt, reicht jedoch nicht aus. Je nach IT-Umgebung m\u00fcssen zus\u00e4tzlich aktive SSO- und Cloud-Sitzungen, OAuth- und Refresh-Tokens, API- und Zugriffsschl\u00fcssel, SSH-Schl\u00fcssel, App-Passw\u00f6rter, Wiederherstellungscodes, Passkeys, Security Keys, MFA-Ger\u00e4te, Smartcards, Zertifikate sowie VPN- und E-Mail-Profile widerrufen oder beendet werden. Gemeinsame Konten und Passw\u00f6rter sollten vermieden und bei Kenntnis durch die ausscheidende Person ge\u00e4ndert werden. Eine PKI- oder Zertifikatsverwaltung unterst\u00fctzt den kontrollierten Lebenszyklus von Zertifikaten. Konten werden zun\u00e4chst gesperrt und erst nach Ablauf der Aufbewahrungsfristen gel\u00f6scht; der gesamte Prozess muss dokumentiert und kontrolliert werden.<\/p>\n
Ger\u00e4te und Arbeitsmittel zur\u00fcckfordern<\/h3>\n
Alle Arbeitsmittel sind sp\u00e4testens zum Austrittszeitpunkt zur\u00fcckzugeben, darunter Notebooks, Smartphones, Tablets, Speichermedien, Tokens, Smartcards, Schl\u00fcssel, Ausweise und weitere Ger\u00e4te. Nach R\u00fcckgabe m\u00fcssen sie inventarisiert und gepr\u00fcft werden. Vor Wiederverwendung oder Entsorgung sind Unternehmensdaten sicher zu entfernen oder zu sichern.<\/p>\n
Unternehmensdaten und Verantwortlichkeiten \u00fcbergeben<\/h3>\n
Gesch\u00e4ftliche Daten m\u00fcssen im Unternehmen verbleiben und rechtzeitig an Nachfolge oder zust\u00e4ndige Teams \u00fcbergeben werden. Informationen d\u00fcrfen nicht nur lokal oder in pers\u00f6nlichen Postf\u00e4chern liegen, sondern m\u00fcssen zentral gespeichert und klar zugeordnet sein. Dabei ist festzuhalten, welche Aufgaben offen sind, wo Dokumente liegen, wer Verantwortung \u00fcbernimmt, welche externen Kontakte betroffen sind und wie mit gemeinsamen Ressourcen, Verteilerlisten und Funktionskonten umzugehen ist.<\/p>\n
Private Daten und E-Mail-Postf\u00e4cher ber\u00fccksichtigen<\/h3>\n
Ist private Nutzung erlaubt, muss der Umgang mit privaten Daten vor dem Austritt geregelt sein. Dazu geh\u00f6ren Vorgaben, ob private Inhalte entfernt werden d\u00fcrfen, wie gesch\u00e4ftliche Kommunikation \u00fcbergeben wird, wer Zugriff erh\u00e4lt, wie lange Daten gespeichert werden und wann Konten gel\u00f6scht werden. Ein vollst\u00e4ndiger Postfachzugriff ist zu vermeiden und muss auf das notwendige Ma\u00df beschr\u00e4nkt, begr\u00fcndet und dokumentiert sein. Dabei gelten die Grunds\u00e4tze der DSGVO, insbesondere Datenminimierung und Speicherbegrenzung. Die Regelung ist mit Datenschutz, HR und gegebenenfalls Recht abzustimmen.<\/p>\n
Verschwiegenheitspflichten bleiben bestehen<\/h3>\n
Beim Austritt ist erneut auf fortgeltende Verschwiegenheits-, Geheimhaltungs- und Datenschutzpflichten hinzuweisen, die auch nach dem Ende des Arbeitsverh\u00e4ltnisses bestehen und vertragliche sowie gesetzliche Vorgaben zum Schutz von Gesch\u00e4fts- und personenbezogenen Daten umfassen.<\/p>\n
Checkliste: Mitarbeiter-Onboarding und -Offboarding<\/h2>\n
Die folgenden Punkte k\u00f6nnen als Grundlage f\u00fcr eine unternehmensspezifische Checkliste verwendet werden.<\/p>\n
Checkliste f\u00fcr das Mitarbeiter-Onboarding<\/h4>\n\n- Eintrittstermin und Verantwortlichkeiten festlegen<\/li>\n
- ben\u00f6tigte Benutzerkonten und Zugriffsrechte bestimmen<\/li>\n
- Berechtigungen durch die F\u00fchrungskraft freigeben lassen<\/li>\n
- pers\u00f6nliche Benutzerkonten einrichten<\/li>\n
- MFA beziehungsweise phishing-resistente Anmeldeverfahren aktivieren<\/li>\n
- Passkeys, Security Keys oder andere Authentisierungsmittel registrieren<\/li>\n
- Arbeitsger\u00e4te sicher konfigurieren und aktualisieren<\/li>\n
- Verschl\u00fcsselung, Bildschirmsperre und Endpoint-Schutz aktivieren<\/li>\n
- Ger\u00e4te in MDM beziehungsweise UEM aufnehmen<\/li>\n
- sichere Nutzung von Passwortmanager und Cloud-Diensten erkl\u00e4ren<\/li>\n
- in IT-Systeme und Sicherheitsrichtlinien einweisen<\/li>\n
- zu Phishing, Social Engineering und Datenschutz sensibilisieren<\/li>\n
- Regeln f\u00fcr Homeoffice und mobile Arbeit vermitteln<\/li>\n
- Ansprechpartner und Meldewege f\u00fcr Sicherheitsvorf\u00e4lle erkl\u00e4ren<\/li>\n
- ausgegebene Ger\u00e4te und Zugangsmittel dokumentieren<\/li>\n
- Abschluss des Onboardings best\u00e4tigen<\/li>\n<\/ul>\n
Checkliste f\u00fcr einen Stellen- oder Abteilungswechsel<\/h4>\n\n- neue Rolle und ben\u00f6tigte Berechtigungen festlegen<\/li>\n
- bisherige Zugriffsrechte vollst\u00e4ndig \u00fcberpr\u00fcfen<\/li>\n
- nicht mehr ben\u00f6tigte Rechte und Gruppenmitgliedschaften entfernen<\/li>\n
- administrative Berechtigungen gesondert kontrollieren<\/li>\n
- neue Berechtigungen genehmigen und einrichten<\/li>\n
- Cloud-Rollen, Verteiler und externe Plattformen aktualisieren<\/li>\n
- Ger\u00e4te, Zertifikate und Tokens bei Bedarf anpassen<\/li>\n
- \u00c4nderungen dokumentieren und best\u00e4tigen lassen<\/li>\n<\/ul>\n
Checkliste f\u00fcr das Mitarbeiter-Offboarding<\/h4>\n\n- Austritts- beziehungsweise Sperrzeitpunkt verbindlich festlegen<\/li>\n
- zentrale Benutzerkonten deaktivieren<\/li>\n
- E-Mail-, Cloud-, VPN- und externe Zug\u00e4nge sperren<\/li>\n
- aktive Sitzungen beenden<\/li>\n
- OAuth-Tokens, API-Schl\u00fcssel und pers\u00f6nliche Zugriffstokens widerrufen<\/li>\n
- Passkeys, Security Keys, MFA-Token und Wiederherstellungscodes entfernen<\/li>\n
- Smartcards sowie Benutzer- und Ger\u00e4tezertifikate widerrufen<\/li>\n
- gemeinsam verwendete Zugangsdaten \u00e4ndern<\/li>\n
- administrative und privilegierte Zug\u00e4nge gesondert kontrollieren<\/li>\n
- Ger\u00e4te, Speichermedien, Schl\u00fcssel und Firmenausweise zur\u00fcckfordern<\/li>\n
- Zutrittsberechtigungen deaktivieren<\/li>\n
- gesch\u00e4ftliche Daten und Dokumentationen \u00fcbergeben<\/li>\n
- offene Projekte und Verantwortlichkeiten \u00fcbertragen<\/li>\n
- Umgang mit E-Mail-Postfach und privaten Daten kl\u00e4ren<\/li>\n
- Aufbewahrungs- und L\u00f6schfristen ber\u00fccksichtigen<\/li>\n
- auf weiterhin geltende Verschwiegenheitspflichten hinweisen<\/li>\n
- Umsetzung dokumentieren und abschlie\u00dfend kontrollieren<\/li>\n<\/ul>\n
Die Prozesse sollten nicht nur f\u00fcr fest angestellte Mitarbeitende gelten. Auch Praktikanten, Auszubildende, Zeitarbeitskr\u00e4fte, freie Mitarbeitende und externe Dienstleister ben\u00f6tigen ein geregeltes Onboarding, eine regelm\u00e4\u00dfige \u00dcberpr\u00fcfung ihrer Berechtigungen und ein vollst\u00e4ndiges Offboarding.<\/p>\n
Mitarbeiter-Onboarding und -Offboarding sicher gestalten<\/h3>\n
Ein strukturiertes Mitarbeiter-Onboarding und -Offboarding ist ein wesentlicher Bestandteil einer modernen IT-Sicherheitsstrategie. Beim Onboarding stehen sichere Arbeitsger\u00e4te, angemessene Berechtigungen, zuverl\u00e4ssige Authentisierungsverfahren und die Sensibilisierung der neuen Mitarbeitenden im Mittelpunkt.<\/p>\n
Bei einem internen Wechsel m\u00fcssen alte Berechtigungen konsequent entfernt und neue Rechte gezielt vergeben werden. Beim Offboarding sind neben Benutzerkonten und Ger\u00e4ten auch aktive Sitzungen, Tokens, Zertifikate, externe Anwendungen und Unternehmensdaten zu ber\u00fccksichtigen.<\/p>\n
Klare Verantwortlichkeiten, verbindliche Zeitpunkte und dokumentierte Kontrollen helfen Unternehmen dabei, den gesamten Identit\u00e4tslebenszyklus sicher zu gestalten und unn\u00f6tige Sicherheitsrisiken zu vermeiden.<\/p>\n","protected":false},"excerpt":{"rendered":"
Ein sicheres Mitarbeiter-Onboarding und -Offboarding geh\u00f6rt zu den wichtigsten organisatorischen Ma\u00dfnahmen der IT-Sicherheit. Neue Mitarbeitende ben\u00f6tigen rechtzeitig funktionierende Arbeitsger\u00e4te, Benutzerkonten und Zugriffsrechte. Verl\u00e4sst eine Person das Unternehmen, m\u00fcssen diese Zug\u00e4nge zuverl\u00e4ssig entzogen, Arbeitsmittel zur\u00fcckgegeben und Unternehmensdaten gesch\u00fctzt werden. Cloud-Dienste, Homeoffice, mobile Endger\u00e4te und zahlreiche Software-as-a-Service-Anwendungen machen diese Prozesse zunehmend komplex. Ein deaktiviertes Benutzerkonto allein reicht<\/p>\n","protected":false},"author":14,"featured_media":2830,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-2827","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein"],"_links":{"self":[{"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/posts\/2827","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/users\/14"}],"replies":[{"embeddable":true,"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/comments?post=2827"}],"version-history":[{"count":2,"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/posts\/2827\/revisions"}],"predecessor-version":[{"id":2829,"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/posts\/2827\/revisions\/2829"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/media\/2830"}],"wp:attachment":[{"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/media?parent=2827"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/categories?post=2827"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.psw-training.de\/blog\/wp-json\/wp\/v2\/tags?post=2827"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}