Es gibt einen Moment im Leben eines Unternehmens, in dem eine Sicherheitsregel fast nichts kostet zu vermitteln: der erste Arbeitstag eines neuen Mitarbeitenden.
An diesem Tag hört die Person zu. Sie entdeckt die Werkzeuge, die Gewohnheiten des Hauses, die Kaffeemaschine und die Ablage der Unterlagen. Sie hat noch keine eigene Methode erfunden, um das zu umgehen, was sie stört. Alles, was man ihr sagt, setzt sich als die normale Art zu arbeiten fest.
Sechs Monate später wird dieselbe Vorgabe zur Zurechtweisung. Sie kommt nachträglich, betrifft eine bereits eingespielte Gewohnheit und wird als Vorwurf empfunden. Der Inhalt ist derselbe, die Wirkung nicht.
Warum ist der erste Tag so wirksam?
Ein neuer Mitarbeitender hat keinen Grund, sich zu widersetzen. Er hat kein Dienstalter zu verteidigen, kein Verfahren, das er vorher praktischer fand, kein Passwort, das er seit vier Jahren für genau dieses Tool wiederverwendet.
Er beobachtet vor allem eines: was das Team tut. Wird ihm am ersten Tag ein Passwort-Manager eingerichtet und erklärt, warum, versteht er, dass so hier gearbeitet wird. Erhält er stattdessen ein gemeinsames Passwort auf einem Zettel mit dem Hinweis, das sei “vorläufig einfacher”, versteht er das ebenso gut.
Der Onboarding-Prozess vermittelt nicht nur Anweisungen. Er vermittelt den Anspruch des Unternehmens. Das ist die direkte Fortsetzung dessen, was wir in unserem Artikel darüber beschreiben, warum man seine Mitarbeitenden sensibilisieren sollte: Die Sensibilisierung beginnt nicht mit der ersten Schulung, sie beginnt mit der Übergabe des Badges.
Was muss am ersten Tag geregelt werden?
Fünf Punkte reichen aus. Sie passen in eine halbe Stunde, wenn der technische Teil vor der Ankunft vorbereitet wurde.
Konten, die mit den richtigen Rechten erstellt werden, und nicht mehr. Jede Person verfügt über ein persönliches Konto, niemals über ein gemeinsam genutztes, und hat nur Zugriff auf das, was ihre Funktion erfordert. Eine Buchhalterin muss keine Personalakten öffnen können, ein Vertriebsmitarbeiter braucht keine Administratorrechte auf dem Server. Dieses Prinzip trägt einen Namen, das Prinzip der minimalen Rechte, und wird in unserem Artikel zur Zugriffsverwaltung ausführlich behandelt.
Die Zwei-Faktor-Authentifizierung wird sofort aktiviert. Dabei handelt es sich um die zweite Identitätsprüfung, meist einen Code auf dem Telefon, der zusätzlich zum Passwort verlangt wird. Am ersten Tag aktiviert, wirkt sie selbstverständlich. Ein Jahr später eingeführt, wirkt sie wie ein neuer Zwang. Es ist die Massnahme, die die grösste Zahl automatisierter Angriffe blockiert, und wir widmen ihr einen vollständigen Artikel zur Zwei-Faktor-Authentifizierung.
Der Passwort-Manager wird installiert und erklärt. Das ist ein digitaler Tresor, der die Passwörter anstelle der Nutzerin oder des Nutzers speichert. Am ersten Tag installiert, verhindert er, dass sich die Person daran gewöhnt, ihr privates Passwort für die Werkzeuge des Unternehmens wiederzuverwenden. Ist diese Gewohnheit einmal eingespielt, lässt sie sich nur noch schwer ändern.
Die IT-Richtlinie wird übergeben und erklärt. Nicht nur unterschrieben. Drei Minuten reichen aus, um zu erklären, was auf dem Firmenmaterial erlaubt ist, was nicht, und vor allem warum. Unser Artikel zur IT-Richtlinie beschreibt im Detail, was sie enthalten muss.
Wen man im Zweifel informiert. Ein Name, eine Nummer, ein Satz. “Wenn Ihnen eine Nachricht komisch vorkommt, rufen Sie mich an, auch wenn Sie sich irren, sogar an einem Sonntag.” Das ist der kürzeste Punkt der Liste und der lohnendste. Ein Mitarbeitender, der weiss, an wen er sich wenden kann, meldet sich innerhalb von zehn Minuten, ein zögernder meldet sich erst am nächsten Tag, oder gar nicht.
Der teuerste Fehler
Er zeigt sich nicht an dem Tag, an dem er gemacht wird.
Am Ankunftstag weiss niemand genau, was die Person brauchen wird. Um sie nicht auszubremsen, öffnet man ihr grosszügig Zugänge: Zugriff auf alle gemeinsamen Ordner, Administratorrechte auf ihrem Rechner, manchmal ein bereits bestehendes Konto, das man ihr überlässt. Man sagt sich, man werde das später einschränken. Dieses Später kommt nie. Drei Jahre danach verfügt die Person immer noch über Rechte, die sie nie genutzt hat, und die zum Problem werden, sobald ihr Konto kompromittiert wird.
Die umgekehrte Logik kostet weniger. Öffnen Sie wenig und ergänzen Sie auf Anfrage. Ein Mitarbeitender, der einen fehlenden Zugriff einfordern muss, kostet Sie zehn Minuten. Ein zu weit gefasstes Konto, das gehackt wird, kostet Sie deutlich mehr, weil der Angreifer alles erbt, worauf die Person Zugriff hatte, auch das, was sie nie genutzt hat.
Sollten Praktikantinnen und Praktikanten sowie Temporärmitarbeitende anders behandelt werden?
Das ist der häufigste blinde Fleck in KMU.
Eine Person kommt für drei Monate. Ein eigenes Konto anzulegen, die Zwei-Faktor-Authentifizierung einzurichten und genaue Rechte festzulegen, erscheint für eine so kurze Dauer unverhältnismässig. Also leiht man ein bestehendes Konto aus oder öffnet einen allgemeinen Zugang, den drei aufeinanderfolgende Praktikantinnen und Praktikanten nacheinander übernehmen.
Daraus ergeben sich zwei Folgen. Erstens erhält die am wenigsten geschulte Person im Unternehmen die Rechte einer anderen Person, oft weiter gefasst als die eigenen. Zweitens ist nichts mehr nachvollziehbar: Wird ein Dokument gelöscht oder eine Rechnung an die falsche Adresse geschickt, kann niemand sagen, wer was getan hat.
Ein KMU nimmt für den Sommer eine Praktikantin auf. Aus Zeitmangel überlässt man ihr den Zugang einer Mitarbeiterin im Mutterschaftsurlaub. Das Praktikum endet, niemand denkt daran, das Passwort zu ändern. Achtzehn Monate später taucht dieses Passwort in einem Datenleck einer Website auf, die nichts mit dem Unternehmen zu tun hat, wo es wiederverwendet worden war. Der Zugang funktioniert immer noch. Dieses Szenario ist illustrativ, beschreibt aber einen banalen Ablauf: Ein schlecht geschlossener temporärer Zugang bleibt sehr lange ausnutzbar.
Die Regel ist einfach: Jeder temporäre Zugang ist personengebunden und trägt ein Enddatum. Dieselben Vorsichtsmassnahmen gelten für externe Dienstleister, ein Thema, das wir in unserem Artikel zu Angriffen über Lieferanten behandeln.
Der Austritt ist dieselbe Liste, nur umgekehrt
Eine gut vorbereitete Ankunft nützt nichts, wenn der Austritt nachlässig verläuft. Der Austritt findet jedoch fast immer unter ungünstigen Bedingungen statt: ein hektischer letzter Tag, eine Übergabe, die noch erledigt werden muss, manchmal eine angespannte Trennung.
Das Prinzip lässt sich in einem Satz zusammenfassen. Alles, was am ersten Tag geöffnet wurde, wird am letzten Tag geschlossen, nicht in der folgenden Woche. Ein am Freitagabend deaktiviertes Konto ist kein übertriebenes Misstrauen, sondern grundlegende Hygiene, und das gilt auch für die einvernehmlichsten Trennungen.
| Schritt | Bei der Ankunft | Beim Austritt | Wann |
|---|---|---|---|
| Konten | Persönliches Konto anlegen, Rechte auf die Funktion beschränkt | Alle Konten deaktivieren, auch Online-Tools | Tag 1 / letzter Tag |
| Authentifizierung | Zwei-Faktor-Authentifizierung aktivieren | Vertrauenswürdiges Gerät entfernen, Sitzungen widerrufen | Tag 1 / letzter Tag |
| Passwörter | Passwort-Manager installieren, Nutzung erklären | Gemeinsame Passwörter ändern, die die Person kannte | Tag 1 / letzter Tag |
| Ausstattung | Rechner und Telefon übergeben, Seriennummern notieren | Ausstattung zurücknehmen, berufliche Zugänge löschen | Tag 1 / letzter Tag |
| Regeln | IT-Richtlinie und Meldeweg erklären | An die nach Vertragsende fortbestehende Vertraulichkeit erinnern | Tag 1 / letzter Tag |
Diese Vorlage lässt sich unverändert wiederverwenden. Drucken Sie sie aus, haken Sie sie ab, datieren Sie sie, und bewahren Sie sie in der Personalakte auf. Das Abhaken ist keine reine Formalität: Es ermöglicht, sechs Monate später zu wissen, ob der Schritt tatsächlich erfolgt ist oder nur als erfolgt angenommen wurde.
Wo die Checkliste nicht mehr ausreicht
Eine Onboarding-Vorlage lässt sich intern erstellen. Sie brauchen niemanden, um zu entscheiden, dass ein neuer Mitarbeitender ein persönliches Konto erhält und dass sein Konto am Tag seines Austritts geschlossen wird.
Der schwierige Punkt liegt anderswo und taucht in der Tabelle nicht auf. Zu entscheiden, welche Rechte welcher Funktion zustehen, setzt voraus zu wissen, was im Unternehmen existiert und was dort sensibel ist. Wie viele Online-Tools werden tatsächlich genutzt, einschliesslich jener, die eine Abteilung direkt abonniert hat, ohne die Geschäftsleitung einzubeziehen? Welche Ordner enthalten Daten, deren Offenlegung ein echtes Problem darstellen würde? Welche Zugänge besitzt ein Dienstleister heute noch?
Wenige KMU können diese Fragen aus dem Gedächtnis beantworten. Das ist kein Organisationsmangel, sondern die normale Folge von zehn Jahren Tätigkeit, von Werkzeugen, die je nach Bedarf hinzugekommen sind, und von Personen, die gekommen und gegangen sind. Eine Bestandsaufnahme der Zugänge birgt fast immer Überraschungen, und sie gelingt besser mit einem externen Blick, weil dieser nicht davon ausgeht, bereits zu wissen, was dort sein sollte.
Diese Massnahmen bilden eine solide Grundlage, sie ersetzen jedoch keine Prüfung Ihrer tatsächlichen Situation. Um Ihr aktuelles Niveau einzuordnen, widmet der Cyber-Check-up mehrere Fragen der Konten- und Austrittsverwaltung. Die weiteren Sensibilisierungsthemen sind im Themenbereich Schulung zusammengefasst.