A.6 Personenbezogene Maßnahmen
Verantwortlichkeiten bei Beendigung oder Wechsel
Informationssicherheitspflichten, die nach Beendigung oder Wechsel des Beschäftigungsverhältnisses fortbestehen, müssen definiert, kommuniziert und durchgesetzt werden.
Was fordert dieses Control?
Informationssicherheitspflichten, die nach Beendigung oder Wechsel des Beschäftigungsverhältnisses fortbestehen, müssen definiert, kommuniziert und durchgesetzt werden.
Warum ist das wichtig?
Austritte sind ein kritischer Moment: Zugänge, Werte und Wissen müssen kontrolliert übergeben werden. Versäumnisse führen zu verwaisten Konten und Datenabfluss.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| TISAX | 1.3.4 | Direkt |
| BSI | ORP.2.A2 | Direkt |
Was der Auditor erwartet
- 1Offboarding-Prozess mit Rückgabe und Entzug von Zugängen
- 2Definierte, fortbestehende Pflichten (z.B. Geheimhaltung)
- 3Nachweis der zeitnahen Durchführung bei Austritten
Audit-Checkliste
Dokumente
Offboarding-Checkliste
Schritte für Zugangsentzug, Rückgabe und Wissensübergabe
Nachweise
Durchgeführte Offboardings
Zeitpunkt von Account-Deaktivierung und Asset-Rückgabe
Interviews
HR und IT
Zusammenspiel bei Austritt und Eskalation bei Verzögerung
Technisch
Account-Status ehemaliger Mitarbeiter
Stichprobe zeigt deaktivierte oder gelöschte Konten
Praxis-Tipps zur Umsetzung
HR und IT koppeln
Eine Austrittsmeldung sollte automatisch den IT-Entzugsprozess auslösen.
Fristen setzen
Zugänge spätestens am letzten Arbeitstag deaktivieren, bei Freistellung sofort.
Wissen sichern
Kritisches Wissen und Zugangsdaten vor Austritt geordnet übergeben.
Häufige Fehler
Verwaiste Konten
Accounts bleiben nach Austritt aktiv und werden zum Sicherheitsrisiko.
Keine Asset-Rückgabe
Notebooks, Token oder Schlüssel werden nicht systematisch zurückgefordert.
Häufig gestellte Fragen
Wann müssen Zugänge entzogen werden?
Spätestens zum Ende des Arbeitsverhältnisses, bei Freistellung oder Risiko sofort.
Was passiert mit den Daten des Mitarbeiters?
Geschäftsrelevante Daten werden übergeben, personenbezogene Daten nach Fristen DSGVO-konform gelöscht.
Gilt das auch bei internem Wechsel?
Ja, alte Berechtigungen müssen entzogen werden, sonst sammeln sich Rechte an (Privilege Creep).
So hilft CompliantDesk bei A.6.5
Offboarding-Workflows verknüpfen Mitarbeiteraustritte mit Asset-Rückgabe und Berechtigungsentzug und dokumentieren jeden Schritt prüfsicher.