IT-Sicherheitsrichtlinie für Mitarbeiter: Wichtige Themen + Muster

Bevor eine IT-Sicherheitsrichtlinie für Mitarbeiter erstellt wird, sollte analysiert werden, in welchen Bereichen Regelungsbedarf besteht. Es gilt zu klären, welche nicht geregelten Bereiche in der Unternehmens-IT zu Sicherheitsproblemen führen könnten. Eine allgemeine Sicherheitsleitlinie hilft, konkrete Bereiche zu identifizieren, die geregelt werden sollten.

Die Erstellung einer Richtlinie hängt nicht nur davon ab, wie umfangreich die technische Infrastruktur eines Unternehmens ist. Auch dessen Größe ist entscheidend. Je komplexer die Strukturen sind, desto mehr Beteiligte müssen in die Erstellung der Richtlinien eingebunden werden: Geschäftsführung, Betriebsrat, Datenschutz- und IT-Sicherheitsbeauftragter, Administratoren und weitere Mitarbeiter sollten sich einbringen. Um das Projekt auf eine solide Basis zu stellen und alle organisatorischen Gegebenheiten zu berücksichtigen.

In kleineren Unternehmen gibt es häufig keinen Mitarbeiter, der sich ausschließlich um die IT-Sicherheit kümmert. Ein Mitarbeiter übernimmt hier häufig verschiedene Funktionen. Das macht es schwierig, funktionsspezifische Mitarbeiterrichtlinien zu erstellen. Deshalb gibt es in kleinen Unternehmen häufig gar keine schriftlich fixierten Richtlinien. Und wenn solche vorhanden sind, sind sie oft so uneindeutig, dass sie zu Konflikten und rechtlichen Auseinandersetzungen führen können. Diese Konflikte lassen sich jedoch vermeiden, wenn man von den Mitarbeitern eine kurze schriftliche Zusammenfassung der wichtigsten Richtlinien unterschreiben lässt.

Vertrauen ist gut, Kontrolle besser!

Richtlinien unterstützen die IT-Sicherheit nur, wenn sie von allen Mitarbeitenden eingehalten werden. Dies können die verantwortlichen Führungskräfte aber nur durch Kontrollen feststellen. Auch hier gibt es Unterschiede zwischen kleinen und großen Unternehmen. In größeren Unternehmen sind mehrere Personen an der Kontrolle beteiligt. In Kleinbetrieben übernimmt diese Funktion allein der Geschäftsführer bzw. Inhaber. Bei wiederholten Verstößen gegen die Richtlinien kann auf die schriftliche Fixierung der Richtlinien verwiesen werden. Diese helfen bei arbeitsrechtlichen Konsequenzen und deren Durchsetzung.

Wichtige Themen einer IT-Sicherheitsleitlinie

Bei der Erstellung einer IT-Sicherheitsleitlinie sind die folgenden Themen wichtig:

Die Nutzung privater Software im Unternehmen

Die Installation privater Software kann die Funktion einzelner Arbeitsplatz-PCs oder des gesamten lokalen Netzwerks gefährden. Ist ein von Mitarbeitern installiertes Programm mit Schadsoftware verseucht, können einzelne oder alle PCs infiziert werden. Das gilt insbesondere, wenn die Software aus dem Internet heruntergeladen wurde. Hinzu kommen mögliche Urheberrechtsprobleme, wenn diese Programme nicht für den kommerziellen Einsatz lizenziert oder sogar illegal kopiert wurden.

Empfehlung: Untersagen Sie die Installation nicht betrieblicher Software auf allen Firmenrechnern. Für Ausnahmen und Tests können speziell dafür vorgesehene und von einem Administrator betreute Rechner genutzt werden.

Die Nutzung privater Hardware im Unternehmen

Externe Festplatten mit USB-Anschluss, Bluetooth- oder WLAN-Adapter sowie private Laptops finden sich zahlreich bei Mitarbeitern zu Hause. Werden diese Komponenten ins Unternehmen mitgebracht und an den Firmen-PCs verwendet, kann es zu Fehlfunktionen am eigenen Arbeitsplatz-PC oder auch auf anderen PCs im Netzwerk führen. Die IT-Sicherheit des Firmennetzes kann mit falsch installierten WLAN- und Bluetooth-Adaptern ausgehebelt werden. Mit externen Festplatten können sogar große Datenmengen unbemerkt das Firmengelände verlassen.

Empfehlung: Private Hardware sollte wegen der möglichen Gefährdungen nicht im Unternehmen genutzt werden. Damit werden Verfügbarkeitsprobleme, die durch inkompatible Hardware entstehen, eingeschränkt und Sicherheitsverletzungen und Datendiebstahl unterbunden.

Die Qualität verwendeter Passwörter

Passwörter schützen den Zugang zu wichtigen Unternehmensdaten und Anwendungen. Bei der Vielzahl von Passwörtern, mit denen manche Nutzer umgehen müssen, wird schnell ein einfacher Weg gesucht: Trivialpasswörter aus wenigen Zeichen, der eigene Name des Nutzers oder voreingestellte Passwörter wie „test“ oder „12345“ stellen keinen Schutz vor unerlaubten Zugriffen auf Unternehmensdaten dar. Oft werden sich die Benutzer der Konsequenzen erst bewusst, wenn Schäden durch Missbrauch entstehen. Um den Nutzern Sicherheit zu geben und ein einheitliches Schutzniveau zu gewährleisten, sollten klare Regelungen für die Qualität und den Umgang mit Passwörtern aufgestellt werden. Viele Systeme unterstützen diese Regelungen: Sie erzwingen nach einer entsprechenden Konfiguration eine Mindestqualität und geben Wechselintervalle vor.

Empfehlung: Erstellen Sie eine durchgängige Regelung für Passwörter. Damit werden Sicherheitslücken vermieden und ein einheitliches Sicherheitsniveau vorgegeben. Geregelt werden sollten:

• Die Mindestlänge.
• Die Zusammensetzung (Buchstaben, Ziffern, Sonderzeichen).
• Die Verwendung nutzerspezifischer, leicht erratbarer Passwörter (z. B. Nutzernamen oder Geburtstag als Passwort). 
• Ein Verbot für die Weitergabe von Passwörtern.
• Unverzichtbar sind auch Regelungen für eine sichere Hinterlegung von Passwörtern in Not- und Vertretungsfällen.

Die dienstliche und private Nutzung von E-Mail und Internet

E-Mail-Nutzung und Internetzugang sind an vielen Arbeitsplätzen zum Standard geworden. Die Abgrenzung zwischen privater und dienstlicher Nutzung ist im Arbeitsalltag nicht einfach. Reisebuchungen, Bestellungen, Recherchen und das Herunterladen von Informationen können sowohl dienstlich als auch privat genutzt werden. In vielen Unternehmen wird die private Nutzung stillschweigend geduldet. Probleme können jedoch entstehen, wenn Mitarbeiter über den dienstlichen Internetzugang auf illegale Inhalte zugreifen. Oder Bestellungen über die E-Mail-Adresse des Unternehmens abwickeln. Neben dem Imageschaden für das Unternehmen kann es auch zu Haftungsansprüchen gegen die Verantwortlichen kommen. Kommt es in der Folge zu Streitigkeiten, müssen diese meist im Einzelfall aufwändig gerichtlich geklärt werden. Um diese Unsicherheit zu beseitigen und Klarheit für Mitarbeiter und Führungskräfte zu schaffen, bietet sich eine Regelung zur dienstlichen und privaten Nutzung von E-Mail und Internet als Anlage zum Arbeitsvertrag an.

Empfehlung: Regeln Sie die dienstliche und private Nutzung von E-Mail und Internet für alle Mitarbeitenden klar und schriftlich. Lassen Sie sich die Zustimmung durch Unterschrift bestätigen. In welchem Umfang die private Nutzung erlaubt ist, muss jedes Unternehmen für sich festlegen. Es muss aber klar sein, dass eine unzulässige Nutzung Konsequenzen für den betroffenen Mitarbeiter hat: Eventuell die Kündigung und – je nach Inhalt – auch strafrechtliche Konsequenzen. Dies schafft Klarheit im Umgang mit dem Thema und Sicherheit für Mitarbeiter und Management.

Die Vertretung von Mitarbeitern

Wenn Mitarbeiter im Urlaub oder auf Dienstreise sind, kommt es oft zu Störungen und Unterbrechungen der sonst üblichen Abläufe im Unternehmen. Es fehlen wichtige Informationen, die als E-Mail, in einer Datenbank oder als ausgearbeitetes Dokument auf den Servern vorliegen – aber niemand hat Zugriff darauf. Im Notfall werden dann diese Mitarbeiter angerufen, um Ihre Passwörter durchzugeben und den Zugriff auf die benötigten Daten zu ermöglichen. Oder die Zugangsdaten werden bereits im Vorfeld einer Reise einem Kollegen gegeben, der dann vollständigen Zugriff auf alle Benutzerdaten erhält.

Kommt es in solchen Fällen zu Problemen wegen fehlender oder verfälschter Daten, tauchen problematische E-Mails unter dem Absender des verreisten Kollegen auf oder werden rechtsverbindliche finanzielle Transaktionen mit weitergegebenen Zugangsdaten durchgeführt, kann der abwesende Mitarbeiter für die entstandenen Schäden wegen grober Fahrlässigkeit mit zur Verantwortung gezogen werden.

Empfehlung: Regeln Sie für die geplante und ungeplante Abwesenheit von Mitarbeitern die Zugriffe auf die Datenbestände. Beispielsweise können E-Mails automatisch an Stellvertreter weitergeleitet werden. Sollen beispielsweise Zugriffe auf Konten oder andere rechtsverbindliche Vorgänge durch Vertreter ermöglicht werden, müssen diese für die Zeit der Vertretung eine eigene Zugangskennung erhalten, damit durchgeführte Transaktionen eindeutig zugeordnet werden können. Um auch für ungeplante Abwesenheit vorgesorgt zu haben, können besonders wichtige Zugangsdaten in versiegelten Umschlägen an einer vertrauenswürdigen Stelle hinterlegt werden.

Viele der beschriebenen Probleme lassen sich im Vorfeld durch eine Kombination technischer und organisatorischer Maßnahmen lösen.

Die Nutzung dienstlicher Hard- und Software

Für mobile Mitarbeiter sind Laptops und Mobiltelefone selbstverständlich. Smartphones und handliche Massenspeicher wie USB-Sticks werden bei Einsätzen vor Ort immer beliebter. Ein PC mit Zugriff auf das Firmennetz und Internet ist eine übliche Lösung für einen Heimarbeitsplatz. Sollten die Mitarbeiter diese Hardware und darauf installierte Software auch privat nutzen können?

Hierbei kann es leicht zu Sicherheitsproblemen kommen, wenn z. B. Software aus dem Internet geladen und auf diesen Geräten installiert wird. Bei der nächsten Verbindung zum Firmennetz kann es dann zu Störungen oder dem Eindringen von Viren ins Unternehmensnetz kommen. Nicht immer lassen sich auf mobil genutzten Geräten rechtzeitig Aktualisierungen für Virenschutzprogramme durchführen, das gilt besonders bei Arbeitsunterbrechungen durch Urlaub.

Werden Heimarbeitsplätze auch privat und dann auch von Familienmitgliedern genutzt, erfolgt das meistens unter der Kennung des Heimarbeits-Nutzers. Die Familienmitglieder haben dann vollen Zugriff auf die Firmendaten und Zugang zum Firmennetz – mit kaum absehbaren Folgen für schützenswerte Unternehmensdaten.

Haben Nutzer Zugang zu Firmensoftware und installieren diese zusätzlich auf privaten Rechnern, werden damit oft Lizenzbestimmungen verletzt, deren Konsequenzen das Unternehmen zu tragen hat.

Empfehlung: Um für diese Fälle Klarheit zu schaffen, hilft eine Richtlinie, die die private Nutzung der überlassenen Hard- und Software eindeutig regelt. Aus Sicherheitsgründen wird man in den meisten Fällen einen privaten Gebrauch einschränken oder ganz untersagen. Damit werden auch die rechtlichen Folgen und mögliche Haftungsansprüche bei Verstößen geregelt.

Den Umgang mit vertraulichen Informationen

Zu den vertraulichen Informationen gehören neben den internen Unternehmensdaten auch Kundendaten und alle dem Datenschutz unterliegenden Personendaten. Da hier nicht nur technische Maßnahmen schützen können, kommt es hier besonders auf die Mitarbeiter an. Von der sicheren Übermittlung (Verschlüsselung) per E-Mail über die vollständige Löschung auf Datenträgern mit spezieller Software bis zur Entsorgung von Ausdrucken (Shredder, Sammelbox) gibt es hier eine Vielzahl von Maßnahmen. Alle Maßnahmen sollten den Mitarbeitern vermittelt und schriftlich dokumentiert werden.

Empfehlung: Fassen Sie alle Maßnahmen und Verhaltensregeln im täglichen Umgang mit vertraulichen Daten zusammen. Informieren und schulen Sie die damit befassten Mitarbeiter, um das gewünschte IT-Sicherheitsniveau im Unternehmen zu erreichen.

Den Umgang mit Konfigurationseinstellungen

In Richtlinien zur Konfiguration der Arbeitsplatz- und mobilen Rechner werden die Einstellungen für einen sicheren Betrieb festgelegt. Um diese Maßnahme wirksam werden zu lassen, dürfen die Benutzer die Einstellungen nicht wieder eigenmächtig rückgängig machen. Beispielsweise können durch Abschalten von Virenscannern oder die Lockerung des Zugriffsschutzes auf geschützte Dateien Störungen und Verfügbarkeitsprobleme entstehen. Diese können sich über den eigenen Arbeitsplatz-PC hinaus auf das Firmennetz auswirken. Hier helfen technische Maßnahmen, die solche Änderungen der Konfiguration unterbinden, ganz ausschließen lassen sie sich jedoch oft nicht.

Empfehlung: Vorgaben zur Konfiguration und die Festlegung, wer welche Änderungen daran vornehmen darf, helfen die Verfügbarkeit der Unternehmensrechner und des lokalen Netzes zu sichern.

Muster – Beispiel-Mitarbeiterrichtlinie

Die nachfolgende Mitarbeiterrichtlinie kann auch als PDF-Datei oder Word-Datei heruntergeladen werden.