Zum Hauptinhalt springen
CENEDRIL WIKI
EN
Starter Kit · Richtlinie

Richtlinie zur akzeptablen Nutzung

Aktualisiert am 7 Min. Geprüft von: Cenedril-Redaktion
A.5.10 ISO 27001NIS2 Art. 21(2)(i)BSI ORP.4

Die Acceptable Use Policy (kurz AUP, auf Deutsch: Richtlinie zur akzeptablen Nutzung) ist vermutlich das meistgelesene Dokument in deinem ganzen ISMS. Jede Diskussion über Passwort-Weitergabe, private Cloud-Nutzung, KI-Tools am Arbeitsplatz oder den USB-Stick in der Schublade landet am Ende hier. Und genau das ist ihre Stärke: Sie gibt deinen Mitarbeitenden klare, verständliche Regeln — und deiner Organisation eine rechtliche Grundlage, wenn jemand diese Regeln bricht.

ISO 27001 verlangt sie (Annex A 5.10), NIS2 verlangt sie (Art. 21(2)(i)), BSI-Grundschutz greift sie auf (ORP.4). Weiter unten auf dieser Seite findest du die komplette Vorlage in Deutsch und Englisch — Copy-Button drücken und in Notion, Confluence oder dein DMS einfügen.

Was genau ist eine AUP?

Im Kern ist die AUP ein Vertrag zwischen deiner Organisation und den Menschen, die in ihr arbeiten. Sie sagt in alltagsnaher Sprache: Das darfst du. Das darfst du nicht. Und wenn du es trotzdem tust, passiert das. Nicht mehr und nicht weniger.

Das klingt simpel — und genau das ist der Punkt. Die AUP ist kein technisches Dokument. Passwort-Richtlinien, Endpoint-Konfigurationen, Datenklassifizierungsschemata — all das gehört in Spezialdokumente, die aus der AUP heraus verlinkt werden. Die AUP selbst soll jemand lesen können, der kein IT-Hintergrundwissen hat, und danach wissen, was von ihm erwartet wird.

Was sie aber auszeichnet, ist ihr rechtlicher Charakter: Ohne eine klar kommunizierte, nachweislich bestätigte AUP fehlt deiner Organisation die Grundlage, um bei Fehlverhalten disziplinarisch zu handeln. Die IT-Abteilung erwischt jemanden, der Kundendaten an sein privates Gmail schickt — und was dann? Ohne AUP wird es vor dem Arbeitsgericht schwierig. Mit AUP ist klar: Die Regel war bekannt, die Bestätigung liegt vor, der Verstoß ist dokumentiert.

Warum brauchst du sie?

Drei Gründe, und der dritte ist eigentlich der wichtigste — auch wenn die ersten beiden auf dem Papier lauter sind.

1. Regulatorische Pflicht. ISO 27001, Annex A 5.10: akzeptable Nutzungsregeln müssen „identifiziert, dokumentiert und umgesetzt” sein. NIS2 Art. 21(2)(i): „Regelungen für Personalsicherheit, Zugangskontrolle und Verwaltung von Werten”. Auditoren erwarten dieses Dokument. Fehlt es, ist das ein garantiertes Audit-Finding.

2. Rechtliche Absicherung. Jede disziplinarische Maßnahme ist angreifbar, wenn du nicht belegen kannst, dass die Regeln kommuniziert und bestätigt waren. Kündigungen wegen unerlaubter Cloud-Nutzung oder Datenexfiltration scheitern vor Arbeitsgerichten regelmäßig an genau diesem Punkt.

3. Orientierung für echte Menschen. Das ist der Grund, der in der Praxis den größten Unterschied macht. Die meisten Mitarbeitenden wollen sich richtig verhalten — sie wissen nur nicht, was „richtig” konkret bedeutet. Darf ich ChatGPT mit internem Material füttern? Darf ich den Vertragsentwurf über WeTransfer an den Kunden schicken, weil das SharePoint-Share gerade hakt? Darf ich mein privates iPhone als Hotspot nutzen, wenn das Büro-WLAN ausfällt? Die AUP gibt Antworten auf genau diese Fragen. Und damit nimmt sie Unsicherheit — nicht nur für die Mitarbeitenden, sondern auch für die Führungskräfte, die sonst bei jedem Graubereich improvisieren müssen.

So führst du die AUP ein

Die eigentliche Arbeit ist der Rollout. Den Text bekommst du hier. Ein Dokument, das auf SharePoint versauert und niemand bestätigt hat, ist wertlos — egal wie gut es geschrieben ist.

  1. 01

    Scope klären

    Für wen gilt die AUP? Nur Festangestellte? Oder auch externe Berater, Praktikanten, Leiharbeitskräfte? Und für welche Standorte? Eine Organisation mit Niederlassungen in mehreren Ländern braucht möglicherweise regional angepasste Varianten — Arbeits- und Datenschutzrecht unterscheiden sich. Dokumentiere den Scope im Kopf der Richtlinie, damit es keine Zuständigkeitslücken gibt.

  2. 02

    Betriebsrat und Rechtsabteilung früh einbinden

    Beziehe beide ein, bevor du veröffentlichst. In Deutschland ist der Abschnitt zur Sicherheitsüberwachung mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Kapitel 4 unserer Vorlage betrifft genau diesen Bereich. Die Rechtsabteilung prüft die Sanktionsklausel, die KI-Tool-Regelungen und die BYOD-Abschnitte. Wenn der Betriebsrat erst durch eine Mitarbeiterbeschwerde von der AUP erfährt, hast du ein rechtliches und ein Vertrauensproblem gleichzeitig.

  3. 03

    Vorlage anpassen

    Unsere Vorlage hat Platzhalter wie [IHR_ORGANISATIONSNAME] und [POLICY_OWNER_ROLLE]. Ersetze sie. Aber lösche auch Abschnitte, die nicht zu euch passen: keine BYOD-Regelung? Raus damit. Keine Drucker? Raus. Was drin bleibt, sollte eure Realität widerspiegeln. Die AUP gewinnt durch Spezifität.

  4. 04

    Aktiv kommunizieren

    Veröffentlichen allein reicht nicht. Kündige die AUP per E-Mail an alle an, weise in einer All-Hands-Session oder einem kurzen Video auf die wichtigsten Punkte hin, und setze eine klare Frist — typischerweise zwei Wochen — bis wann jede Person gelesen und bestätigt haben muss. Eine AUP, die nur auf SharePoint liegt und nie aktiv kommuniziert wurde, existiert faktisch nicht.

  5. 05

    Bestätigung einholen und tracken

    Das ist der Schritt, an dem es am häufigsten scheitert. Du brauchst einen belastbaren Nachweis — ob über dein LMS, dein HR-Tool oder ein unterschriebenes PDF. Ohne Bestätigung gibt es keinen Audit-Nachweis und keine disziplinarische Grundlage. Externe bestätigen zum Projektstart. Und: lege sofort einen jährlichen Review-Termin in deinen ISMS-Kalender. Die AUP ist kein One-Shot.

Was gehört rein?

Eine gute AUP deckt die folgenden Themen ab. Die Reihenfolge kann variieren, die Gewichtung hängt von eurer Organisation ab — aber jedes Thema sollte mindestens einen Absatz bekommen:

  • Zweck und Geltungsbereich — wer und was erfasst wird
  • Verhaltenserwartungen — was grundsätzlich von jeder Person erwartet wird
  • Verbotene Handlungen — klare rote Linien, keine Graubereiche
  • Internet-Nutzung — Browsing, Downloads, Streaming, was darf privat sein
  • E-Mail-Nutzung — Anhänge, Weiterleitung, Klassifizierungsregeln
  • Soziale Medien — wann und wie über die Arbeit geredet werden darf
  • KI-Werkzeuge und Cloud-Dienste — das Thema, das 2026 in jeder AUP stehen muss: was darf in ChatGPT, Copilot, Gemini rein und was nicht
  • Software-Installation — was ohne IT-Freigabe geht (spoiler: wenig)
  • Wechselmedien und BYOD — USB, private Smartphones, Laptops
  • Drucken und Papier — Clean Desk, sichere Entsorgung
  • Sicherheitsüberwachung und Transparenz — was geloggt wird und was nicht (der mitbestimmungspflichtige Teil)
  • Sanktionen — Verweis auf den Disziplinarprozess in der HR-Richtlinie
  • Meldewege — wohin sich Mitarbeitende wenden, wenn sie unsicher sind

Wo es in der Praxis schiefgeht

Aus Audit-Erfahrung, sortiert nach Häufigkeit:

1. Keine Bestätigung. Die Richtlinie wurde veröffentlicht, aber niemand kann nachweisen, dass die Mitarbeitenden sie gelesen und bestätigt haben. Der häufigste Fehler und das einfachste Audit-Finding.

2. Überladung. Die AUP enthält dreiseitige Passwort-Regeln, Browser-Konfigurationsdetails und eine vollständige Software-Allowlist. Resultat: 18 Seiten, die niemand liest. Und wenn sie niemand liest, ist sie wertlos — egal wie technisch korrekt sie ist.

3. Veraltete Inhalte. Die AUP stammt aus 2021 und erwähnt weder Microsoft Teams noch KI-Tools. In der Praxis interpretieren die Mitarbeitenden dann selbst, was erlaubt ist. Das ist das Gegenteil von dem, was du willst.

4. Betriebsrat nicht einbezogen. Die Überwachungsklauseln werden veröffentlicht, der Betriebsrat erfährt davon durch eine Mitarbeiterbeschwerde. Die Regelung wird gerichtlich gekippt — und mit ihr das Vertrauen ins gesamte ISMS.

5. „Verboten ist alles, was nicht erlaubt ist.” Totalregelungen funktionieren nicht. Entweder werden sie ignoriert (weil Arbeiten sonst unmöglich wäre) oder sie führen dazu, dass Mitarbeitende bei jeder Kleinigkeit nachfragen müssen. Besserer Ansatz: klare rote Linien, explizite Erlaubnisse für den Alltag und ein definierter Weg für Graubereiche.

6. Kein Link zum Disziplinarprozess. Die AUP listet Verbote auf, verweist aber nicht auf den HR-Prozess. Im Ernstfall ist dann unklar, wer entscheidet, wie eskaliert wird und welche Konsequenzen drohen. Das macht die Durchsetzung angreifbar.

Vorlage: Richtlinie zur akzeptablen Nutzung

Vollständige Richtlinie

Richtlinie zur akzeptablen Nutzung von Informationen und Assets

.md · DE.md · EN

Dokumentenkontrolle
Eigentümer: [RICHTLINIEN_EIGENTÜMER_ROLLE, z. B. Informationssicherheitsbeauftragte/r]
Genehmigt von: [GENEHMIGER_NAME_UND_ROLLE]
Version: [VERSION]
Gültig ab: [GÜLTIGKEITSDATUM]
Nächste Überprüfung: [NÄCHSTES_ÜBERPRÜFUNGSDATUM]

1. Rechtliche/Regulatorische Grundlage

ISO/IEC 27001:2022 / ISO/IEC 27002:2022, Anhang A — Organisatorische Maßnahmen:

  • A 5.10 — Akzeptable Nutzung von Informationen und anderen zugehörigen Assets

BSI IT-Grundschutz:

  • ISMS.1.A2 (Festlegung der Sicherheitsziele und -strategie)
  • ORP.3.A3 (Einweisung des Personals in den sicheren Umgang mit IT)
  • CON.9 (Informationsaustausch)
  • CON.7.A2 (Sensibilisierung der Mitarbeiter zur Informationssicherheit)

Weitere jurisdiktionsspezifische Gesetze und Vorschriften — insbesondere aus den Bereichen Datenschutz, Telekommunikation und Arbeitsrecht — sind im Rechtsregister aufgeführt und werden durch Verweis einbezogen.

2. Zweck & Geltungsbereich

Diese Richtlinie legt verbindliche Regeln für die Nutzung von Informationen, IT-Systemen und anderen zugehörigen Assets bei [IHR_ORGANISATIONSNAME] fest. Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen der Organisation zu schützen und gleichzeitig eine produktive Arbeitsumgebung zu gewährleisten.

Diese Richtlinie gilt für:

  • Alle Beschäftigten (unbefristet, befristet, Teilzeit, Auszubildende)
  • Externes Personal (Auftragnehmer, Berater, Leiharbeitskräfte)
  • Dritte mit Zugang zu Informationen, Systemen oder Räumlichkeiten der Organisation

Erfasste Assets umfassen insbesondere:

  • Firmeneigene und persönliche Endgeräte, die für die Arbeit genutzt werden (Laptops, Mobiltelefone, Tablets)
  • Netzwerkinfrastruktur, Internet- und E-Mail-Dienste
  • Cloud-Dienste, Kollaborationsplattformen und Softwareanwendungen
  • Wechselmedien (USB-Sticks, externe Festplatten, optische Medien)
  • Papierdokumente und physische Informationsträger
  • Gesprochene Informationen in Besprechungen, Telefonaten und Videokonferenzen

Beschäftigte sind verpflichtet, sich mit dieser Richtlinie vertraut zu machen, diese schriftlich zu bestätigen und ihre Vorgaben einzuhalten. Verstöße können zu disziplinarischen Maßnahmen gemäß der Richtlinie zur Personalsicherheit führen.

3. Verhaltenserwartungen & Verbotene Handlungen

Alle Personen, die Informationen und Assets von [IHR_ORGANISATIONSNAME] nutzen, sind verpflichtet, diese verantwortungsvoll, sicher und im Einklang mit den geschäftlichen Zwecken der Organisation einzusetzen. Die folgenden Abschnitte konkretisieren die erwarteten Verhaltensstandards und ausdrücklich untersagte Handlungen.

3.1 Erwartete Verhaltensstandards

Folgende Grundsätze gelten für den Umgang mit allen Informationen und Assets:

  • Informationen und IT-Systeme werden ausschließlich für autorisierte geschäftliche Zwecke genutzt. Eine geringfügige private Nutzung ist zulässig, sofern sie die Arbeitsleistung nicht beeinträchtigt, keine Sicherheitsrisiken erzeugt und keine zusätzlichen Kosten verursacht.
  • Passwörter und Zugangsdaten werden niemals weitergegeben — auch nicht an Kolleginnen und Kollegen, Vorgesetzte oder IT-Personal. Jede Person verwendet ausschließlich ihre eigenen Zugangsdaten.
  • Bildschirme werden beim Verlassen des Arbeitsplatzes gesperrt (Windows: Win+L, macOS: Ctrl+Cmd+Q). Vertrauliche Dokumente werden nicht offen auf dem Schreibtisch zurückgelassen (Clean-Desk-Prinzip).
  • Vertrauliche Gespräche werden nicht in öffentlich zugänglichen Bereichen, im öffentlichen Nahverkehr oder an Orten geführt, an denen Dritte mithören können.
  • Sicherheitsvorfälle und verdächtige Aktivitäten werden unverzüglich über den etablierten Meldekanal gemeldet.

3.2 Ausdrücklich verbotene Handlungen

Die folgenden Handlungen sind untersagt und können disziplinarische Maßnahmen nach sich ziehen:

  • Versuch, unbefugt auf Systeme, Daten, Konten oder Netzwerke zuzugreifen, die nicht für die eigene Rolle freigegeben sind.
  • Umgehung oder Deaktivierung von Sicherheitsmaßnahmen (Firewall, Virenschutz, Verschlüsselung, Zugriffskontrollen).
  • Installation von nicht genehmigter Software, einschließlich Hacking-Tools, Peer-to-Peer-Software oder Anonymisierungsdiensten.
  • Herunterladen, Speichern oder Verbreiten von illegalen, beleidigenden, diskriminierenden oder pornografischen Inhalten.
  • Weiterleitung von Firmeninformationen an persönliche E-Mail-Konten, nicht genehmigte Cloud-Speicher oder private Messenger-Dienste.
  • Nutzung von Firmensystemen für den Betrieb persönlicher Geschäfte oder kommerzielle Zwecke außerhalb des Beschäftigungsverhältnisses.
  • Absichtliche Einführung von Schadsoftware (Viren, Trojaner, Ransomware) oder Durchführung von Angriffen gegen interne oder externe Systeme.
  • Fälschung von E-Mail-Absenderadressen, IP-Adressen oder sonstigen Identitätsmerkmalen.
  • Massenmailing oder Kettenbriefe über Firmensysteme.

3.3 Internet- & E-Mail-Nutzung

Der Internetzugang wird für geschäftliche Zwecke bereitgestellt. Folgende Regeln gelten:

  • Der Aufruf von Webseiten mit illegalen, anstößigen oder sicherheitsgefährdenden Inhalten ist untersagt.
  • Downloads sind auf geschäftlich erforderliche Dateien beschränkt. Ausführbare Dateien (.exe, .msi, .bat, Skripte) dürfen nur von der IT-Abteilung oder mit deren Genehmigung heruntergeladen werden.
  • Streaming-Dienste (Video, Musik) für private Zwecke sind während der Arbeitszeit nicht gestattet, da sie die Netzwerkkapazität belasten.
  • E-Mails mit vertraulichem Inhalt werden gemäß dem Klassifizierungsschema im Betreff gekennzeichnet und bei Bedarf verschlüsselt.
  • Dateianhänge aus unbekannten oder verdächtigen Quellen werden nicht geöffnet. Im Zweifelsfall ist die IT-Abteilung zu kontaktieren.
  • Auto-Weiterleitungen an externe E-Mail-Adressen sind nicht gestattet.

3.4 Soziale Medien

Die Nutzung sozialer Medien durch Beschäftigte kann Auswirkungen auf die Informationssicherheit haben. Folgende Grundsätze gelten:

  • Geschäftliche Informationen, interne Projekte, Kunden- oder Partnerdaten dürfen nicht in sozialen Medien veröffentlicht werden — auch nicht in geschlossenen Gruppen oder privaten Nachrichten.
  • Offizielle Äußerungen im Namen von [IHR_ORGANISATIONSNAME] in sozialen Medien bedürfen der vorherigen Genehmigung der Unternehmenskommunikation.
  • Bei der Nutzung beruflicher Netzwerke (z. B. LinkedIn) ist darauf zu achten, dass keine sensiblen internen Informationen preisgegeben werden (z. B. konkrete Projektnamen, eingesetzte Technologien in sicherheitskritischen Bereichen).

3.5 KI-Werkzeuge & Cloud-Dienste

Der Einsatz von KI-gestützten Werkzeugen (z. B. ChatGPT, Copilot, Gemini, Claude) und nicht genehmigten Cloud-Diensten unterliegt besonderen Einschränkungen:

  • Vertrauliche oder interne Informationen, personenbezogene Daten, Quellcode und Geschäftsgeheimnisse dürfen nicht in öffentliche KI-Dienste eingegeben werden, es sei denn, der Dienst wurde von der IT-Abteilung geprüft und freigegeben.
  • Die Nutzung nicht genehmigter Cloud-Speicher, Kollaborations- oder Konvertierungstools (z. B. kostenlose Online-PDF-Konverter) für Firmendaten ist untersagt.
  • Genehmigte KI-Werkzeuge und Cloud-Dienste werden von der IT-Abteilung in einer internen Liste geführt. Vor der Nutzung eines neuen Dienstes ist die Genehmigung der IT-Abteilung einzuholen.
  • Von KI-Werkzeugen generierte Ergebnisse, die in Geschäftsentscheidungen einfließen, werden auf Korrektheit und mögliche Verzerrungen geprüft.

3.6 Software-Installation

Die Installation von Software auf firmeneigenen Geräten ist reglementiert:

  • Nur von der IT-Abteilung genehmigte und bereitgestellte Software darf installiert werden. Ein Softwarekatalog mit genehmigten Anwendungen wird von der IT-Abteilung gepflegt.
  • Browser-Erweiterungen und -Plugins bedürfen der Genehmigung der IT-Abteilung, da sie potenziell Zugriff auf alle Browserdaten erhalten.
  • Eigenentwickelte Skripte und Automatisierungen für den produktiven Einsatz werden vor der Nutzung der IT-Abteilung gemeldet.
  • Testversionen, Beta-Software und Software aus nicht vertrauenswürdigen Quellen dürfen nicht auf produktiven Systemen installiert werden.

3.7 Wechselmedien & mobile Geräte

Der Einsatz von Wechselmedien und mobilen Geräten birgt besondere Risiken für die Informationssicherheit:

  • Die Nutzung privater USB-Sticks und externer Speichermedien an Firmengeräten ist grundsätzlich untersagt. Für den geschäftlichen Datentransfer werden ausschließlich von der IT-Abteilung bereitgestellte, verschlüsselte Medien verwendet.
  • Gefundene oder zugesandte USB-Sticks dürfen nicht an Firmengeräte angeschlossen werden (Schutz vor manipulierter Hardware).
  • Mobile Geräte (Laptops, Tablets, Smartphones), die für die Arbeit genutzt werden, sind mit einer Bildschirmsperre, aktueller Betriebssystemversion und — sofern verfügbar — Geräteverschlüsselung geschützt.
  • Bei Verlust oder Diebstahl eines Geräts mit Firmendaten ist unverzüglich die IT-Abteilung zu informieren, damit eine Fernlöschung eingeleitet werden kann.
  • Firmendaten dürfen nur dann auf persönlichen Geräten (BYOD) verarbeitet werden, wenn dies durch eine separate BYOD-Vereinbarung geregelt ist und die technischen Mindestanforderungen (MDM, Verschlüsselung, Trennung privater und geschäftlicher Daten) erfüllt sind.

3.8 Drucken & physische Informationsträger

Beim Umgang mit gedruckten Dokumenten und physischen Informationsträgern gelten folgende Regeln:

  • Vertrauliche Dokumente werden nur bei Bedarf gedruckt und zeitnah vom Drucker abgeholt. Die Funktion „Sicheres Drucken" (Abholung erst nach PIN-Eingabe am Drucker) ist zu nutzen, sofern verfügbar.
  • Ausdrucke vertraulicher oder eingeschränkter Informationen werden nach Gebrauch im Aktenvernichter (Kreuzschnitt, DIN 66399 mindestens P-3) vernichtet — nicht über den normalen Papierkorb entsorgt.
  • Vertrauliche Dokumente werden nicht auf offenen Schreibtischen, in Besprechungsräumen oder in allgemein zugänglichen Bereichen zurückgelassen.

4. Überwachung & Transparenz

[IHR_ORGANISATIONSNAME] überwacht die Nutzung von IT-Systemen und Netzwerken im Rahmen der geltenden Gesetze, um die Informationssicherheit zu gewährleisten, Richtlinienverstöße zu erkennen und auf Sicherheitsvorfälle reagieren zu können. Die Überwachung erfolgt verhältnismäßig und unter Wahrung der Persönlichkeitsrechte der Beschäftigten.

4.1 Umfang der Überwachung

Folgende Aktivitäten werden im Rahmen der Sicherheitsüberwachung protokolliert und ausgewertet:

  • Der gesamte Internetverkehr wird auf Kategorienebene protokolliert (aufgerufene URL-Kategorien, nicht einzelne Seiteninhalte). Aufrufe bekannter Schadsoftware-, Phishing- oder Botnet-Domänen lösen automatische Sicherheitswarnungen aus.
  • Ein- und ausgehende E-Mails werden automatisiert auf Schadsoftware, Phishing-Indikatoren und Datenverlust-Muster (DLP) geprüft. Der E-Mail-Inhalt wird nicht anlasslos manuell gelesen.
  • Zugriffsprotokolle (Login-Zeiten, fehlgeschlagene Anmeldeversuche, Zugriffe auf sensible Systeme) werden erfasst und bei sicherheitsrelevanten Auffälligkeiten ausgewertet.
  • Dateitransfers auf Wechselmedien und Cloud-Uploads werden protokolliert, um die unbefugte Exfiltration vertraulicher Daten zu erkennen.

4.2 Nicht durchgeführte Maßnahmen

Folgende Überwachungsmaßnahmen werden nicht durchgeführt:

  • Bildschirmaufzeichnung und Tastaturprotokollierung (Keylogging) finden nicht statt.
  • Eine individuelle Leistungsüberwachung der Beschäftigten ist nicht Gegenstand der Sicherheitsüberwachung.
  • Privatgespräche über Firmentelefone werden nicht aufgezeichnet oder überwacht.

4.3 Rechtsgrundlage & Benachrichtigung

Die Überwachung erfolgt auf Grundlage des berechtigten Interesses der Organisation (Art. 6 Abs. 1 lit. f DSGVO) sowie ggf. einer Betriebsvereinbarung mit der Arbeitnehmervertretung. Die Beschäftigten werden während der Einarbeitung und über diese Richtlinie über Art und Umfang der Überwachung informiert.

4.4 Datenschutzgarantien

Folgende Maßnahmen stellen den Schutz der Beschäftigten sicher:

  • Überwachungsprotokolle werden nach spätestens 90 Tagen gelöscht, sofern kein Sicherheitsvorfall die Aufbewahrung erfordert.
  • Der Zugriff auf Überwachungsprotokolle ist auf den Informationssicherheitsbeauftragten und autorisierte Administratoren beschränkt. Eine Weitergabe an Vorgesetzte oder die Personalabteilung erfolgt nur bei begründetem Verdacht auf einen Richtlinienverstoß.
  • Jede anlassbezogene Auswertung von Protokolldaten wird dokumentiert (Anlass, Umfang, Ergebnis, beteiligte Personen).
  • Sofern eine Arbeitnehmervertretung besteht, wird diese bei der Einführung oder wesentlichen Änderung von Überwachungsmaßnahmen beteiligt.

5. Verfahren zur Handhabung von Assets

Die folgenden Verfahren stellen sicher, dass Informationen und zugehörige Assets von [IHR_ORGANISATIONSNAME] während ihres gesamten Lebenszyklus — von der Erstellung über die Nutzung und Speicherung bis zur Entsorgung — angemessen geschützt werden.

5.1 Klassifizierungsbasierte Zugriffsbeschränkungen

Der Zugriff auf Informationen und Assets wird entsprechend der Klassifizierungsstufe gemäß dem Klassifizierungsschema beschränkt:

  • Öffentliche Informationen: Keine Zugriffsbeschränkungen. Verfügbar für die allgemeine Öffentlichkeit.
  • INTERN: Zugriff auf Beschäftigte und autorisiertes externes Personal beschränkt. Zugriffsrechte werden über rollenbasierte Zugangskontrolle (RBAC) vergeben.
  • VERTRAULICH: Zugriff auf speziell autorisierte Personen nach dem Need-to-know-Prinzip beschränkt. Zugriff wird vom Informationseigentümer genehmigt.
  • STRENG VERTRAULICH: Zugriff strikt auf namentlich benannte Personen mit ausdrücklicher Genehmigung des Informationseigentümers und der Geschäftsleitung beschränkt. Zugriffslisten werden geführt und regelmäßig überprüft.

Zugriffsrechte werden nach dem Prinzip der minimalen Rechte vergeben: Jede Person erhält nur die Rechte, die für die Ausübung ihrer aktuellen Rolle erforderlich sind. Bei Rollenwechsel oder Austritt werden die Rechte unverzüglich angepasst oder entzogen.

5.2 Verwaltung autorisierter Benutzer

[IHR_ORGANISATIONSNAME] führt ein Verzeichnis der autorisierten Benutzer für alle Informationen und zugehörigen Assets. Dieses Verzeichnis stellt sicher, dass zu jedem Zeitpunkt nachvollziehbar ist, wer auf welche Informationen und Systeme zugreifen darf.

  • Für jedes IT-System und jeden Informationswert ist dokumentiert, welche Personen oder Rollen zugriffsberechtigt sind.
  • Zugriffsberechtigungen werden mindestens halbjährlich durch den jeweiligen Informationseigentümer überprüft (Access Review). Nicht mehr benötigte Berechtigungen werden unverzüglich entzogen.
  • Privilegierte Konten (Administratorrechte) werden gesondert geführt und unterliegen einer vierteljährlichen Überprüfung.
  • Temporäre Zugänge (z. B. für Projektmitarbeit) werden mit einem Ablaufdatum versehen und automatisch deaktiviert.

5.3 Schutz von Kopien

Temporäre und permanente Kopien von Informationen werden auf dem gleichen Schutzniveau behandelt wie die Originale:

  • Kopien vertraulicher Informationen (digital oder physisch) unterliegen denselben Zugriffs-, Speicher- und Entsorgungsregeln wie das Original.
  • Ausdrucke, Screenshots und Exporte aus Systemen behalten die Klassifizierungsstufe der Quellinformationen.
  • Sicherungskopien (Backups) werden gemäß der höchsten Klassifizierungsstufe der enthaltenen Informationen geschützt und verschlüsselt gespeichert.
  • Cache-Dateien, temporäre Dateien und Zwischenablagen, die vertrauliche Informationen enthalten können, werden durch technische Maßnahmen (automatische Löschung, Verschlüsselung) geschützt.

5.4 Speicheranforderungen

Informationen und zugehörige Assets werden gemäß den Herstellerspezifikationen und den Anforderungen der jeweiligen Klassifizierungsstufe gespeichert:

  • Elektronische Speichermedien (Server, NAS, SAN) werden in klimatisierten Räumen mit Zugangskontrollen betrieben, die den Herstellervorgaben für Temperatur, Luftfeuchtigkeit und Staubschutz entsprechen.
  • Wechselmedien mit vertraulichen Informationen werden in verschlossenen Behältnissen aufbewahrt, wenn sie nicht in Gebrauch sind.
  • Papierdokumente mit vertraulichen oder streng vertraulichen Informationen werden in verschlossenen Schränken oder Tresoren aufbewahrt.
  • Speicherfristen werden gemäß den gesetzlichen Aufbewahrungspflichten und den geschäftlichen Anforderungen festgelegt und im Aufbewahrungskonzept dokumentiert.

5.5 Kennzeichnung von Kopien und Speichermedien

Alle Kopien von Speichermedien, die klassifizierte Informationen enthalten, werden eindeutig gekennzeichnet:

  • Physische Medien (USB-Sticks, externe Festplatten, Sicherungsbänder, optische Medien) werden mit der höchsten Klassifizierungsstufe der enthaltenen Informationen gekennzeichnet.
  • Die Kennzeichnung erfolgt deutlich sichtbar und dauerhaft (Aufkleber, Gravur oder Beschriftung), sodass die Klassifizierungsstufe auf den ersten Blick erkennbar ist.
  • Digitale Medien, bei denen eine physische Kennzeichnung nicht möglich ist, werden durch Metadaten oder Dateibenennung (z. B. Präfix „VERTRAULICH_") klassifiziert.
  • Bei der Erstellung von Medienkopien wird die Kennzeichnung auf die Kopie übertragen.

5.6 Entsorgung von Informationen und Medien

Die Entsorgung von Informationen und Speichermedien erfordert abhängig von der Klassifizierungsstufe eine vorherige Genehmigung:

  • INTERN: Standardentsorgung — Papier über Büroschredder (DIN 66399 mindestens P-3), digitale Dateien durch Standardlöschung aus organisatorischen Systemen.
  • VERTRAULICH: Kreuzschnittvernichtung (DIN 66399 mindestens P-4) für Papier. Digitale Medien: Sichere Löschung mit genehmigten Werkzeugen (z. B. mehrstufiges Überschreiben) oder kryptographische Löschung bei verschlüsselten Medien.
  • STRENG VERTRAULICH: Kreuzschnittvernichtung (DIN 66399 mindestens P-5) für Papier mit dokumentierter Zeugenvernichtung. Digitale Medien: Physische Vernichtung des Datenträgers oder zertifizierte kryptographische Löschung, dokumentiert und bezeugt.
  • Die Entsorgung STRENG VERTRAULICHer Informationen und Medien bedarf der Genehmigung des Informationseigentümers. Die Entsorgung wird protokolliert (Datum, Methode, verantwortliche Person).
  • Defekte Speichermedien, die vertrauliche Informationen enthalten oder enthalten haben, werden nicht repariert oder an Hersteller zurückgesendet, sondern physisch vernichtet.

6. Konsequenzen bei Richtlinienverstößen

Verstöße gegen diese Richtlinie werden gemäß dem Disziplinarverfahren der Richtlinie zur Personalsicherheit behandelt. Alle Beschäftigten sind verpflichtet, vermutete Richtlinienverstöße zu melden.

6.1 Eskalationsstufen

Die Reaktion auf Richtlinienverstöße richtet sich nach Art, Schwere, Vorsätzlichkeit und Wiederholungsgrad des Verstoßes:

  • Stufe 1 — Hinweis: Bei erstmaligem, geringfügigem Verstoß ohne Sicherheitsauswirkung (z. B. vergessene Bildschirmsperre): Mündlicher Hinweis durch den Vorgesetzten und dokumentiertes Gespräch.
  • Stufe 2 — Abmahnung: Bei wiederholtem Verstoß oder Verstoß mit potentieller Sicherheitsauswirkung (z. B. Nutzung nicht genehmigter Cloud-Dienste für Firmendaten): Schriftliche Abmahnung, verpflichtende Nachschulung und vorübergehende Einschränkung von Zugriffsrechten.
  • Stufe 3 — Formelle Disziplinarmaßnahme: Bei schwerwiegendem Verstoß oder vorsätzlicher Missachtung (z. B. Umgehung von Sicherheitsmaßnahmen, Weiterleitung vertraulicher Daten): Formelles Disziplinargespräch, Sperrung von Zugriffsrechten und ggf. arbeitsrechtliche Konsequenzen bis zur Beendigung des Beschäftigungsverhältnisses.
  • Stufe 4 — Rechtliche Schritte: Bei strafrechtlich relevanten Handlungen (z. B. vorsätzliche Datenexfiltration, Sabotage): Fristlose Kündigung und Einleitung rechtlicher Schritte.

Für externes Personal gelten die vertraglichen Konsequenzen einschließlich der Möglichkeit der sofortigen Vertragskündigung.

7. Rollen & Verantwortlichkeiten

  • Geschäftsleitung: Genehmigt diese Richtlinie, stellt angemessene Ressourcen für die Umsetzung bereit und kommuniziert die Bedeutung der akzeptablen Nutzung.
  • Informationssicherheitsbeauftragte/r (ISB): Pflegt diese Richtlinie, definiert und aktualisiert Nutzungsregeln, überwacht die Einhaltung und berät Beschäftigte und Führungskräfte.
  • IT-Abteilung: Implementiert technische Maßnahmen zur Durchsetzung dieser Richtlinie (Webfilter, DLP, Softwareverteilung, Überwachungssysteme), pflegt den Katalog genehmigter Software und Cloud-Dienste und unterstützt bei der Aufklärung von Sicherheitsvorfällen.
  • Führungskräfte: Stellen sicher, dass ihre Teammitglieder diese Richtlinie kennen und einhalten. Sie sind erste Anlaufstelle bei Fragen zur akzeptablen Nutzung und leiten bei Bedarf Eskalationsmaßnahmen ein.
  • Personalabteilung (HR): Stellt sicher, dass diese Richtlinie Bestandteil der Einarbeitung ist, und unterstützt bei disziplinarischen Maßnahmen.
  • Alle Beschäftigten: Halten diese Richtlinie ein, melden Verstöße und Sicherheitsvorfälle, nehmen an Schulungen teil und schützen die ihnen anvertrauten Informationen und Assets.

8. Überprüfung & Pflege

Diese Richtlinie wird überprüft:

  • Mindestens jährlich im Rahmen des ISMS-Management-Review-Zyklus.
  • Wenn neue Technologien eingeführt werden, die Auswirkungen auf die akzeptable Nutzung haben (z. B. neue KI-Werkzeuge, neue Kollaborationsplattformen).
  • Nach wesentlichen Sicherheitsvorfällen, die auf eine Verletzung der Nutzungsregeln zurückzuführen sind.
  • Bei Änderungen des rechtlichen oder regulatorischen Rahmens (z. B. neue Datenschutzanforderungen, Änderungen im Telekommunikationsrecht).
  • Wenn sich die Bedrohungslandschaft wesentlich verändert (z. B. neuartige Social-Engineering-Angriffe, veränderte Risiken durch KI-Werkzeuge).

Quellen

Abgedeckte ISO-27001-Kontrollen

A.5.10 Akzeptable Nutzung von Informationswerten

Häufig gestellte Fragen

Muss wirklich jede Organisation eine AUP haben?

Ja. Für ISO-27001-zertifizierte Organisationen ist sie über Annex A 5.10 faktisch verpflichtend. Auch NIS2 Art. 21(2)(i) verlangt dokumentierte Nutzungsregeln. Selbst ohne Zertifizierung ist die AUP das schwächste Glied zwischen Arbeitsvertrag und disziplinarischer Maßnahme — ohne sie fehlt die Grundlage für Sanktionen bei Missbrauch.

Wie lang sollte eine AUP sein?

Zwischen vier und zehn Seiten. Kürzer wirkt sie wie eine Absichtserklärung; länger liest sie niemand. Unsere Vorlage ist so geschnitten, dass Mitarbeitende sie in 15 bis 20 Minuten lesen können. Details wie Software-Allowlists oder Passwort-Regeln gehören in verlinkte Spezialdokumente, nicht in die AUP.

Muss die AUP vom Betriebsrat mitbestimmt werden?

In Deutschland ja, sobald sie Regeln zur Überwachung oder Verhaltenskontrolle enthält — § 87 Abs. 1 Nr. 6 BetrVG. Kapitel 4 der Vorlage (Überwachung & Transparenz) ist mitbestimmungspflichtig. Die Betriebsvereinbarung kann die AUP referenzieren, statt sie zu duplizieren.

Wie oft muss die AUP aktualisiert werden?

Mindestens einmal jährlich oder bei wesentlichen Änderungen — neue KI-Tools, Cloud-Migration, geänderter Fernzugriff. Jede Version muss von allen Mitarbeitenden erneut bestätigt werden. Ein einmalig unterschriebenes Dokument, das zehn Jahre später noch gilt, hält keinem Audit stand.

Was passiert, wenn jemand gegen die AUP verstößt?

Die AUP selbst löst keine Sanktionen aus — sie verweist auf den Disziplinarprozess in der Personalsicherheits-Richtlinie (Annex A 6.4). In der Praxis: Abstufung von Ermahnung über Abmahnung bis Kündigung, abhängig von Schwere und Vorsatz. Entscheidend ist saubere Dokumentation und Gleichbehandlung.

Muss jede einzelne Person die AUP bestätigen?

Ja. Digital oder auf Papier — ohne Bestätigung gibt es keinen belastbaren Nachweis, dass die Regeln bekannt waren. Bei digitaler Bestätigung reicht ein Timestamp im LMS oder HR-Tool. Externe bestätigen zum Projektstart als Vertragsanlage.