In vielen KMU gibt es IT-Regeln, aber nur im Kopf der Geschäftsleitung. Jeder errät mehr oder weniger, was erlaubt ist und was nicht. Solange nichts aus dem Ruder läuft, funktioniert das.
Das Problem zeigt sich an dem Tag, an dem ein Mitarbeitender eine kostenlose Software installiert, die eine Sicherheitslücke öffnet, eine Kundendatei an seine private Adresse schickt oder mit einer Kopie der Datenbank das Unternehmen verlässt. Die Frage lautet dann: Was genau hatten Sie ihm verboten, und können Sie das belegen?
Genau dafür ist eine IT-Nutzungsrichtlinie da.
Wozu dient eine IT-Nutzungsrichtlinie wirklich?
Eine IT-Nutzungsrichtlinie ist ein internes Dokument, das die erwartete Nutzung der Firmenmittel beschreibt: Computer, Telefone, E-Mail, Fernzugriffe, Speicherbereiche. Sie erfüllt zwei unterschiedliche Funktionen, und beide zählen.
Sie gibt den Mitarbeitenden einen klaren Rahmen. Die meisten Verstösse sind nicht böswillig, sie entstehen aus Unwissenheit. Niemand hat Ihrer Buchhalterin je gesagt, dass sie eine Lohndatei nicht an ihre private E-Mail-Adresse weiterleiten soll, um sie am Wochenende fertigzustellen. Sie glaubt, richtig zu handeln, sie arbeitet. Eine schriftliche Regel beseitigt diese Grauzone.
Sie ermöglicht es dem Arbeitgeber, bei einem Verstoss zu handeln. Das ist der Punkt, den Geschäftsleitungen unterschätzen. Jemandem einen Regelverstoss vorzuwerfen setzt voraus, dass diese Regel existierte, dass sie formuliert war und dass die Person davon wusste. Ohne schriftliche Unterlage, die den Mitarbeitenden bekannt gemacht wurde, wird die Diskussion schnell zum Missverständnis, und die Position des Unternehmens ist schwach.
Typisches Szenario: Ein Mitarbeitender verlässt das Unternehmen und nimmt die Datei mit seinen Geschäftskontakten mit, «wie es hier alle machen». Kein Dokument hatte dies je verboten, und die bis dahin geduldete Praxis spricht gegen den Arbeitgeber. Der richtige Zeitpunkt, Regeln festzulegen, ist nicht der, an dem das Problem auftritt.
Was enthält eine Richtlinie in der Praxis?
Eine Richtlinie für ein KMU muss nicht lang sein. Sie muss die Situationen abdecken, mit denen Ihre Mitarbeitenden tatsächlich konfrontiert sind.
| Thema | Was die Richtlinie festlegt |
|---|---|
| Private Nutzung der Mittel | Ob eine angemessene private Nutzung geduldet wird, und in welchem Rahmen |
| Passwörter | Verbot, Zugangsdaten weiterzugeben, Nutzung des firmeneigenen Passwort-Tools |
| Private Geräte | Ob das private Telefon oder der private Computer auf geschäftliche Daten zugreifen darf |
| Homeoffice | Genutztes Netzwerk, Bildschirmsperre, Papierdokumente, Verbindungsbedingungen |
| Softwareinstallation | Wer was installieren darf, und über welches Verfahren ein Tool angefragt wird |
| Cloud-Speicher | Die zugelassenen Dienste, und das Verbot privater Konten für Firmendaten |
| Soziale Medien | Was über das Unternehmen, seine Kunden und seine Projekte gesagt werden darf |
| Austritt von Mitarbeitenden | Rückgabe von Geräten, Zugängen und Daten, Löschung der Konten |
| Meldung eines Vorfalls | An wen man sich wendet, innerhalb welcher Frist, und die Zusicherung, für die Meldung nicht bestraft zu werden |
Zwei Punkte dieser Liste verdienen besondere Aufmerksamkeit.
Privater Cloud-Speicher ist zum banalsten Umgehungsweg geworden. Ein Mitarbeitender in Eile legt einen Ordner in seinem eigenen Datei-Sharing-Konto ab, um von zu Hause darauf zuzugreifen. Die Firmendaten entgleiten damit jeder Kontrolle, und niemand weiss es. Erlauben Sie ausdrücklich eine nutzbare Lösung, sonst finden die Teams selbst eine. Die gleiche Überlegung gilt inzwischen auch für Werkzeuge der künstlichen Intelligenz, die wir in darf ich ChatGPT mit den Daten meines Unternehmens nutzen behandeln.
Die Meldung eines Vorfalls ist die lohnendste Klausel der ganzen Richtlinie. Ein Mitarbeitender, der auf einen Phishing-Link geklickt hat und eine Sanktion befürchtet, wartet manchmal mehrere Tage. Genau diese Verzögerung braucht ein Angreifer. Schreiben Sie schwarz auf weiss, dass die rasche Meldung eines Fehlers keine Sanktion nach sich zieht.
Der Ton: realistisch, oder umgangen
Eine Richtlinie, die alles verbietet, wird nicht befolgt, sie wird ignoriert. Jede private Nutzung, jedes private Gerät, jedes nicht freigegebene Tool zu verbieten, erzeugt ein Dokument, das niemand einhält, und eine Regel, die niemand einhält, schützt gar nichts mehr. Schlimmer noch: Sie untergräbt die Glaubwürdigkeit der wichtigen Regeln, die dann mit den übrigen untergehen.
Erklären Sie konsequent das Warum. «Verwenden Sie Ihr Geschäftspasswort nicht auf privaten Seiten» reicht allein nicht aus. Fügen Sie den Grund hinzu: Wird eine Drittanbieter-Seite gehackt, werden gestohlene Zugangsdaten anderswo ausprobiert, auch bei Ihrer geschäftlichen E-Mail. Eine verstandene Regel wird befolgt, eine aufgezwungene Regel wird umgangen.
Zielen Sie auf das Prinzip statt auf die Aufzählung. «Firmendaten verlassen nicht die von der Firma bereitgestellten Werkzeuge» deckt mehr Situationen ab und altert besser als eine Liste verbotener Dienste, die Sie alle sechs Monate ergänzen müssten.
Wie erreichen Sie die Akzeptanz?
Eine Richtlinie, die verfasst und dann auf dem gemeinsamen Server vergessen wird, erfüllt weder ihre pädagogische Funktion noch ihre Beweisfunktion. Drei einfache Massnahmen machen den Unterschied.
Lassen Sie sie formell akzeptieren. Unterschrift auf Papier, elektronische Unterschrift oder Bestätigung über ein internes Tool: Das Mittel spielt keine Rolle, solange ein datierter Nachweis bleibt. Dieser Nachweis belegt, dass die Regel bekannt war.
Übergeben Sie sie beim Eintritt. Nehmen Sie sie in die Eintrittsunterlagen auf, gleichrangig mit dem Vertrag und dem Zugang zu den Geräten. Ein neuer Mitarbeitender, der die Richtlinie am ersten Tag erhält, versteht, dass sie zum Alltag des Unternehmens gehört, und nicht, dass sie eine nachträglich aufgezwungene Einschränkung ist.
Rufen Sie sie in Erinnerung. Einmal im Jahr, in zehn Minuten einer Teamsitzung, greifen Sie zwei oder drei Punkte wieder auf. Nutzen Sie die Gelegenheit, um über Änderungen zu informieren. Das ist auch der Anlass, über aktuelle Bedrohungen wie den CEO-Betrug zu sprechen, der vollständig auf der Umgehung interner Abläufe beruht.
Bevor Sie Ihre Richtlinie verteilen, lesen Sie sie zwei Mitarbeitenden, die sie nicht verfasst haben, laut vor. Jedes Mal, wenn ein Satz ein «ja, aber wie macht man das konkret?» hervorruft, halten Sie eine nicht umsetzbare Regel in der Hand. Korrigieren Sie sie vor der Verteilung, nicht nach dem ersten Vorfall.
Kontrolle: ein Bereich, den man mit Vorsicht behandeln muss
Viele Geschäftsleitungen sehen in der Richtlinie ein Mittel, um die Überwachung der Mitarbeitenden zu erlauben. Das ist ein Denkfehler, und er kann teuer werden.
In der Schweiz wird die Überwachung von Mitarbeitenden sowohl durch das Arbeitsrecht als auch durch das Datenschutzrecht geregelt. Diese Rahmenbedingungen setzen Grenzen, die ein internes Dokument nicht aufheben kann: Eine Richtlinie macht eine Kontrolle nicht deshalb zulässig, weil sie diese ankündigt. Umgekehrt setzen bestimmte normale technische Vorrichtungen, wie die Protokollierung von Zugriffen oder die Filterung von Nachrichten, voraus, dass die betroffenen Personen über deren Existenz und Zweck informiert werden.
Merken Sie sich zwei Grundgedanken, und gehen Sie ohne Beratung nicht weiter. Erstens: Informieren ist grundsätzlich notwendig, aber Informieren macht nicht alles möglich. Zweitens: Die Grenze zwischen einer legitimen technischen Kontrolle zur Sicherheit des Systems und einer Überwachung des Verhaltens von Personen ist genau der heikle Punkt.
Die Klausel, die beschreibt, was das Unternehmen einsieht, aufzeichnet oder auswertet, ist der heikelste Teil der ganzen Richtlinie. Eine ungenaue Formulierung setzt den Arbeitgeber einem Risiko aus, statt ihn zu schützen. Lassen Sie diesen Abschnitt von einer Juristin oder einem auf Arbeitsrecht spezialisierten Anwalt prüfen, und beschreiben Sie dabei genau, über welche technischen Werkzeuge Sie verfügen.
Warum eine Vorlage aus dem Internet nicht reicht
Eine aus dem Internet heruntergeladene Vorlage wurde für ein anderes Unternehmen geschrieben. Sie kennt weder Ihre Werkzeuge, noch Ihre Organisation, noch Ihre Arbeitsverträge.
Sie wird Regeln für einen Server erwähnen, den Sie nicht haben, zum Kollaborationstool schweigen, das Ihr ganzes Team täglich nutzt, oder ein Freigabeverfahren vorschreiben, das eine bei Ihnen nicht existierende interne IT-Abteilung voraussetzt. Sie kann auch Ihren Arbeitsverträgen oder einem bereits geltenden Betriebsreglement widersprechen.
Eine unpassende Richtlinie ist bestenfalls nutzlos, weil sich niemand darin wiedererkennt. Schlimmstenfalls ist sie unanwendbar, und dann schwächt das Dokument selbst Ihre Position: Sich auf eine Regel zu berufen, die offensichtlich nicht zur tatsächlichen Arbeitsweise des Unternehmens passt, fällt leicht auf denjenigen zurück, der sich darauf beruft.
Die eigentliche Arbeit ist also nicht das Verfassen, sondern die Anpassung. Gehen Sie von der Bestandsaufnahme Ihrer tatsächlichen Werkzeuge und der tatsächlichen Praktiken Ihrer Teams aus, einschliesslich derer, die Sie nicht offiziell freigeben. Schreiben Sie dann die Regeln, die zu diesem Bild passen, und zu diesem allein.
Diese dokumentarische Grundlage wirkt zusammen mit den technischen Massnahmen, die in den 10 wichtigsten Massnahmen beschrieben sind, sowie mit der Zwei-Faktor-Authentifizierung. Um Ihr Gesamtniveau einzuordnen, gibt der Cyber-Check-up einen schnellen Überblick, und die Gesamtheit der vorrangigen Massnahmen ist im Themenbereich Bewährte Praktiken zusammengefasst.
Diese Massnahmen bilden eine Grundlage, sie ersetzen keine Analyse Ihrer eigenen Situation. Eine Richtlinie, die mit Ihren Verträgen, Ihren branchenspezifischen Pflichten und Ihren tatsächlichen Werkzeugen übereinstimmt, erfordert einen Blick, der sowohl Ihre Organisation als auch den geltenden Rechtsrahmen kennt.