Eine Informationssicherheitsrichtlinie legt fest, welche Sicherheitsregeln in einer Organisation gelten, wer sie umsetzt und wie Abweichungen entschieden werden. Sie ist dann brauchbar, wenn ein Fachbereich daraus eine konkrete Handlung ableiten kann: Wer genehmigt einen Zugriff, wohin wird ein Vorfall gemeldet und welche Voraussetzung muss vor dem Einsatz eines neuen Systems erfüllt sein?
Dieser Leitfaden führt von Geltungsbereich und Risikoanalyse über die Formulierung der Regeln bis zur Freigabe und Wirksamkeitskontrolle. Das Ergebnis ist eine Richtlinie mit nachvollziehbaren Verweisen auf die tatsächlich vorhandenen Verfahren. Ein ausgefülltes Beispiel zeigt, wie eine allgemeine Sicherheitsforderung zu einer überprüfbaren Arbeitsregel wird.
Leitlinie, Richtlinie und Verfahren auseinanderhalten
Eine strategische Leitlinie beschreibt Ziele, Verantwortung und das Mandat der Leitung. Fachliche Richtlinien konkretisieren diese Vorgaben, etwa für Zugriffe, Verschlüsselung oder Sicherungskopien. Ein Verfahren erklärt anschließend, wie die zuständigen Personen eine Aufgabe im jeweiligen System erledigen. Diese Ebenen können bei kleinen Organisationen in wenigen Dokumenten zusammengefasst werden, ihre Funktionen sollten aber erkennbar bleiben.
Der Satz „Wir schützen vertrauliche Informationen“ gehört auf die Zielebene. „Externe Zugriffe benötigen eine benannte verantwortliche Person und ein Ablaufdatum“ ist eine umsetzbare Regel. Die Anleitung, wie ein Gastkonto in einem bestimmten Dienst eingerichtet wird, gehört in das zugehörige Verfahren. Wenn sich die Bedienoberfläche ändert, muss nicht die gesamte Sicherheitsrichtlinie neu beschlossen werden.
Für die organisatorische Einordnung hilft der Überblick zum Informationssicherheitsmanagement nach BSI 200-1. Die Richtlinie ist ein Bestandteil dieses Managements. Sie ersetzt weder die Ermittlung tatsächlicher Risiken noch die technischen Maßnahmen und deren Überprüfung.
Welche rechtlichen Anforderungen fließen ein?
Bei personenbezogenen Daten verlangen insbesondere Artikel 24 und 32 der DSGVO geeignete technische und organisatorische Maßnahmen, deren Auswahl dem jeweiligen Risiko entspricht. Artikel 32 nennt auch ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung ihrer Wirksamkeit. Die Verordnung schreibt dafür nicht allen Organisationen ein Dokument mit identischem Titel, fester Seitenzahl oder universeller Standardgliederung vor.
Für besonders wichtige und wichtige Einrichtungen sieht § 30 BSIG zusätzliche Risikomanagementmaßnahmen und deren Dokumentation vor. Dazu zählen unter anderem Sicherheitskonzepte, Vorfallsbewältigung, Betriebsaufrechterhaltung und Verfahren zur Wirksamkeitsbewertung. Ob eine Organisation erfasst ist, muss gesondert geprüft werden; die Verarbeitung personenbezogener Daten allein macht sie nicht zu einer solchen Einrichtung.
Weitere Anforderungen können aus Branchenrecht, vertraglichen Zusagen oder verbindlichen Vorgaben für den jeweiligen Bereich folgen. Erfassen Sie diese in einer Anforderungsliste mit Quelle und Geltungsbereich. Eine freiwillig gewählte Methode ist dabei von einer gesetzlichen Pflicht zu unterscheiden. Eine Richtlinie kann mehrere Anforderungen organisatorisch verbinden, ohne dadurch automatisch jede davon vollständig zu erfüllen. Für Finanzunternehmen hilft die Abgrenzung von DORA und NIS2, sektorale Anforderungen und verbleibende nationale Pflichten dem richtigen Rechtsträger zuzuordnen.
1. Geltungsbereich und Schutzziele festlegen
Benennen Sie die erfassten Organisationseinheiten, Standorte, Informationen und Systeme. Berücksichtigen Sie auch mobile Arbeit, ausgelagerte Dienste und Personen, die zeitweise mitarbeiten. „Gilt für die IT“ lässt offen, ob ein Fachbereich eine eigenständig beschaffte Cloud-Anwendung oder eine externe Projektkraft einbeziehen muss.
Ordnen Sie den wichtigsten Geschäftsleistungen konkrete Schutzziele zu. Bei einer Terminverwaltung kann die Verfügbarkeit besonders relevant sein, bei einer vertraulichen Beratungsakte die Vertraulichkeit und bei Zahlungsanweisungen die Integrität. In allen Fällen können mehrere Ziele gleichzeitig betroffen sein. Beschreiben Sie die Folgen für Menschen und Betrieb, bevor Sie technische Produkte als Lösung festlegen.
Eine Karte der IT-Systemlandschaft hilft, die Grenzen praktisch zu überprüfen. Wenn ein kritischer Dienst von einem externen Identitätsanbieter abhängt, darf dieser nicht aus dem Regelungsbereich verschwinden, weil er nicht auf einem eigenen Server läuft. Verantwortliche und Schnittstellen gehören in die Bestandsaufnahme.
2. Risiken und vorhandene Maßnahmen abgleichen
Prüfen Sie, welche Gefährdungen die Schutzziele tatsächlich beeinträchtigen können und welche Maßnahmen bereits wirken. Ein Risikoszenario könnte lauten: „Nach einem Personalwechsel bleibt ein privilegiertes Konto aktiv und ermöglicht unberechtigten Zugriff auf Kundendaten.“ Daraus ergeben sich Anforderungen an die Meldung des Austritts, die Kontosperrung und deren Nachweis.
Unterscheiden Sie fehlende Regeln von fehlender Umsetzung. Vielleicht verlangt eine bestehende Vorgabe bereits eine Kontosperrung, aber der IT-Betrieb erfährt den Austritt zu spät. Eine noch strengere Formulierung behebt dann das Problem nicht. Benötigt wird ein verlässlicher Übergabeweg zwischen Personalstelle und Administration.
Nutzen Sie vorhandene Risikoanalysen und Datenschutzaudits, ohne jede historische Feststellung ungeprüft in die Richtlinie zu übernehmen. Vermerken Sie, welche Schwachstellen noch offen sind, wer darüber entscheidet und welche Zwischenmaßnahmen gelten. Der freigegebene Text darf keinen bereits erreichten Schutz behaupten, wenn seine Einführung erst geplant ist.
3. Verantwortlichkeiten und Entscheidungen zuordnen
Die Leitung beschließt die wesentlichen Ziele und stellt die erforderlichen Mittel bereit. Eine benannte Sicherheitsfunktion koordiniert die Regeln und deren Überprüfung. System- und Prozessverantwortliche erläutern den Schutzbedarf ihrer Aufgaben; die Administration setzt die vereinbarten technischen Maßnahmen um. Diese Rollen können organisatorisch unterschiedlich besetzt sein, müssen aber eindeutig zugeordnet werden.
Der Datenschutzbeauftragte berät und überwacht im Rahmen seiner Aufgaben. Er übernimmt nicht allein dadurch die Verantwortung des Unternehmens für jede Sicherheitsentscheidung. Klären Sie auch mögliche Interessenkonflikte, wenn dieselbe Person mehrere Funktionen ausübt. Eine bloße Unterschriftszeile „DSB genehmigt“ ersetzt diese Einordnung nicht.
Wird die Rolle intern besetzt, müssen auch Zeitbudget, Qualifikationsaufbau und Personalkosten des Datenschutzbeauftragten zur vorgesehenen Aufgabe passen.
Legen Sie fest, wer eine risikorelevante Ausnahme entscheiden darf. Die Person, die eine Erleichterung beantragt, sollte nicht ohne weitere Prüfung selbst feststellen, dass deren Risiko hinnehmbar ist. Fachliche Prüfung, Entscheidung und technische Umsetzung sind im Ausnahmeverfahren nachvollziehbar zu dokumentieren.
4. Regeln mit Verfahren und Nachweisen verbinden
Jede zentrale Regel sollte vier Fragen beantworten: Für wen gilt sie, was wird verlangt, wer setzt sie um und woran wird die Umsetzung erkennbar? Verweise auf weitere Dokumente sind hilfreich, wenn diese erreichbar, aktuell und für die zuständige Person verständlich sind.
| Regelungsbereich | Konkrete Vorgabe im Beispiel | Zugehöriger Nachweis |
|---|---|---|
| Zugriffsrechte | Rechte werden auf einen bestätigten Arbeitsbedarf begrenzt | Freigabe und dokumentierte Überprüfung |
| Authentisierung | Privilegierte Konten nutzen die festgelegte zusätzliche Absicherung | Prüfung der tatsächlichen Kontokonfiguration |
| Protokollierung | Relevante Sicherheitsereignisse haben einen benannten Auswertungsverantwortlichen | Bearbeitetes Alarmereignis und Eskalationsweg |
| Sicherung | Kritische Daten können innerhalb des vereinbarten Ziels wiederhergestellt werden | Ergebnis einer passenden Wiederherstellungsübung |
| Änderungen | Sicherheitsrelevante Änderungen werden vor Einsatz bewertet | Änderungsentscheidung mit Rückfallplan |
Die Details der Anmeldung gehören in die Passwortrichtlinie und Authentisierungsregeln. Für die Erkennung von Auffälligkeiten verweist die Richtlinie auf das Logkonzept. So bleibt das Hauptdokument lesbar, während die einzelnen Teams ausreichend präzise Anweisungen erhalten.
5. Ausgefülltes Beispiel: externe Projektzugriffe
Das folgende Beispiel betrifft das fiktive Unternehmen Westufer Service. Externe Projektkräfte arbeiten in einer abgegrenzten Dokumentenablage. Das Unternehmen möchte verhindern, dass Zugriffe nach Projektende unbemerkt fortbestehen. Die Regel ist eine organisatorische Musterentscheidung und keine für alle Unternehmen gesetzlich vorgeschriebene Zeitvorgabe.
Geltung: Die Regel erfasst externe Projektkonten in der gemeinsamen Projektablage. Vor der Anlage benennt der Projektverantwortliche die benötigten Bereiche, den Verwendungszweck und das vorgesehene Enddatum. Allgemeine Sammelkonten werden für diese Zusammenarbeit nicht verwendet.
Umsetzung: Die Administration richtet den Zugriff nur auf die freigegebenen Bereiche ein und übernimmt das Enddatum in die Kontoverwaltung. Der Projektverantwortliche bestätigt vor einer Verlängerung, dass der Arbeitsbedarf fortbesteht. Ein neuer Projektauftrag führt nicht automatisch zur Verlängerung sämtlicher früherer Rechte.
Abschluss: Bei Projektende wird das Konto gesperrt. Der Verantwortliche prüft gemeinsam mit der Administration, ob Freigabelinks, weitere Gruppenmitgliedschaften oder alternative Zugänge fortbestehen. Fachlich erforderliche Projektdokumente werden vor einer späteren Kontolöschung einer zuständigen internen Person zugeordnet.
Kontrolle: Die Sicherheitsfunktion prüft in einer ausgewählten abgeschlossenen Zusammenarbeit, ob die Sperrung wirksam war und ob zusätzliche Zugriffswege zurückblieben. Ein fehlendes Ablaufdatum wird als Abweichung bearbeitet. Der Kontrollvermerk enthält Projektkennung, Ergebnis, Verantwortliche und Korrektur, ohne die Projektdokumente selbst in das Kontrollregister zu kopieren.
6. Vorfälle und Wiederherstellung vorbereiten
Die Richtlinie muss einen nutzbaren Meldeweg vorsehen. Beschäftigte sollen einen Verdacht melden können, ohne zunächst entscheiden zu müssen, ob die Voraussetzungen einer gesetzlichen Behördenmeldung vorliegen. Benennen Sie eine erreichbare Stelle und eine Vertretung sowie den Umgang mit Situationen außerhalb üblicher Arbeitszeiten.
Definieren Sie außerdem, wer bei einem Vorfall Systeme begrenzen, externe Unterstützung beauftragen und die Wiederaufnahme des Betriebs freigeben darf. Verbinden Sie die Richtlinie mit dem Business-Continuity-Plan und den technischen Wiederherstellungsverfahren. Eine Sicherheitsregel ist unvollständig, wenn sie zwar das Abschalten erlaubt, aber niemand über eine kontrollierte Rückkehr entscheiden kann.
Ein Übungsszenario kann einen ausgefallenen Identitätsdienst betreffen. Prüfen Sie, wie berechtigte Personen auf Notfallkontakte und Anleitungen zugreifen, wenn die normale Anmeldung nicht funktioniert. Die Richtlinie sollte die nötigen Schutzanforderungen für solche Notfallzugänge bestimmen; konkrete Zugangsdaten gehören in eine gesondert geschützte Ablage.
7. Freigabe, Ausnahmen und Überprüfung organisieren
Legen Sie der Leitung die Richtlinie zusammen mit offenen Entscheidungen und dem Umsetzungsstand vor. Eine Freigabe sollte erkennen lassen, welche Anforderungen sofort gelten und welche Maßnahmen noch mit Verantwortung und Termin eingeführt werden müssen. Schulungsbedarf und betroffene bestehende Verträge gehören ebenfalls in die Einführung.
Ein Ausnahmevermerk kann beispielsweise einen Altdienst betreffen, dessen zusätzliche Anmeldung vor einer Ablösung technisch nicht verfügbar ist. Dokumentieren Sie den betroffenen Umfang, das Risiko, vorübergehende Schutzmaßnahmen, die entscheidende Person und einen erneuten Prüftermin. Eine Ausnahme darf weder eine gesetzliche Pflicht abbedingen noch eine unbefristete Gewohnheit ohne Verantwortlichen werden.
Vermitteln Sie Änderungen anhand der tatsächlichen Arbeit. Die Datenschutzschulung für Beschäftigte kann passende Beispiele aufnehmen; administrative Spezialregeln benötigen eigene Einweisungen. Eine Empfangsbestätigung zeigt, dass ein Dokument übermittelt wurde, aber noch nicht, dass eine Person den Ablauf sicher anwenden kann.
Bei der Überprüfung zählen konkrete Ergebnisse: Sind Konten tatsächlich gesperrt, Alarme bearbeitet und Daten wiederhergestellt worden? Stimmen die Regeln mit neuen Systemen, Dienstleistern und Arbeitsabläufen überein? Legen Sie einen begründeten Überprüfungsrhythmus und zusätzliche Auslöser wie erhebliche Vorfälle oder organisatorische Veränderungen fest. Version, Freigabe und Änderungsgrund helfen später zu erkennen, welche Regel zu welchem Zeitpunkt galt.