ISO 27001:2022 · A.6.5 · A.6 Personenbezogene Maßnahmen
Verantwortlichkeiten bei Beendigung oder Wechsel
Informationssicherheitspflichten, die nach Beendigung oder Wechsel des Beschäftigungsverhältnisses fortbestehen, müssen definiert, kommuniziert und durchgesetzt werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Informationssicherheitspflichten, die nach Beendigung oder Wechsel des Beschäftigungsverhältnisses fortbestehen, müssen definiert, kommuniziert und durchgesetzt werden.
Warum ist das wichtig?
Austritte sind ein kritischer Moment: Zugänge, Werte und Wissen müssen kontrolliert übergeben werden. Versäumnisse führen zu verwaisten Konten und Datenabfluss.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.3.4 | Beendigung des Arbeitsverhältnisses | Direkt |
| BSI | ORP.2.A2 | Geregelte Beendigung | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 9 BSIG | Zugriffskontrolle & Assets | Direkt |
Was der Auditor erwartet
- Offboarding-Prozess mit Rückgabe und Entzug von Zugängen
- Definierte, fortbestehende Pflichten (z.B. Geheimhaltung)
- Nachweis der zeitnahen Durchführung bei Austritten
Audit-Checkliste
Dokumente
Offboarding-ChecklisteSchritte für Zugangsentzug, Rückgabe und Wissensübergabe
Nachweise
Durchgeführte OffboardingsZeitpunkt von Account-Deaktivierung und Asset-Rückgabe
Fortgeltungserklärung VertraulichkeitUnterschriebene Belehrung über nachvertragliche Pflichten
Berechtigungsanpassung bei RollenwechselEntzug alter Rechte im Ticketsystem dokumentiert
Interviews
HR und ITZusammenspiel bei Austritt und Eskalation bei Verzögerung
Technisch
Account-Status ehemaliger MitarbeiterStichprobe zeigt deaktivierte oder gelöschte Konten
Praxis-Tipps zur Umsetzung
HR und IT koppelnEine Austrittsmeldung sollte automatisch den IT-Entzugsprozess auslösen.
Fristen setzenZugänge spätestens am letzten Arbeitstag deaktivieren, bei Freistellung sofort.
Wissen sichernKritisches Wissen und Zugangsdaten vor Austritt geordnet übergeben.
Alte Rechte entziehenBei internem Wechsel Berechtigungen der alten Rolle aktiv entziehen, nicht nur neue hinzufügen.
Häufige Fehler
Verwaiste KontenAccounts bleiben nach Austritt aktiv und werden zum Sicherheitsrisiko.
Keine Asset-RückgabeNotebooks, Token oder Schlüssel werden nicht systematisch zurückgefordert.
Häufig gestellte Fragen
Wann müssen Zugänge entzogen werden?
Spätestens zum Ende des Arbeitsverhältnisses, bei Freistellung oder Risiko sofort.
Was passiert mit den Daten des Mitarbeiters?
Geschäftsrelevante Daten werden übergeben, personenbezogene Daten nach Fristen DSGVO-konform gelöscht.
Gilt das auch bei internem Wechsel?
Ja, alte Berechtigungen müssen entzogen werden, sonst sammeln sich Rechte an (Privilege Creep).
So hilft CompliantDesk bei A.6.5
Offboarding-Workflows verknüpfen Mitarbeiteraustritte mit Asset-Rückgabe und Berechtigungsentzug und dokumentieren jeden Schritt prüfsicher.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten