Kurz beantwortet

Welche IT-Sicherheitsrichtlinien braucht ein Unternehmen?

Grundlage ist eine von der Geschäftsführung freigegebene Informationssicherheitsleitlinie. Darauf bauen Richtlinien zu Zugriff und Berechtigungen, Passwörtern und , Nutzung von IT und E-Mail, mobilen Geräten und Homeoffice, Datenklassifizierung, Backup, Patch-Management, Lieferanten, Schulung und Vorfallbehandlung auf. Gute Richtlinien sind kurz, verständlich, haben eine verantwortliche Person und werden jährlich überprüft.

Richtlinien sind das Rückgrat jedes Sicherheitskonzepts: Sie legen fest, was gilt, wer verantwortlich ist und wie im Alltag gehandelt wird. Diese Checkliste hilft Ihnen, Lücken zu finden.

Die Basis: Informationssicherheitsleitlinie

  • Ziele der Informationssicherheit sind festgelegt
  • Verantwortlichkeiten und Rollen sind benannt
  • Die Geschäftsführung hat die Leitlinie freigegeben
  • Die Leitlinie ist allen Mitarbeitenden bekannt

Themenspezifische Richtlinien

Zugriff und Identitäten

  • Berechtigungskonzept: Zugriff nur nach dem Prinzip der geringsten Rechte, regelmäßige Überprüfung
  • Passwörter und MFA: Mindestanforderungen, Einsatz eines Passwortmanagers, Multi-Faktor-Authentifizierung
  • On- und Offboarding: Zugänge werden beim Eintritt geregelt vergeben und beim Austritt sofort entzogen

Nutzung und Arbeitsplatz

  • Akzeptable Nutzung von IT, Internet und E-Mail
  • Mobile Geräte und BYOD: Verschlüsselung, Bildschirmsperre, Verlustmeldung
  • Homeoffice und Fernzugriff: VPN, sichere Netzwerke, Umgang mit Ausdrucken
  • Clean Desk und Bildschirmsperre

Daten und Betrieb

  • Datenklassifizierung: öffentlich, intern, vertraulich – mit Regeln je Stufe
  • Backup und Wiederherstellung: Häufigkeit, Aufbewahrung, Offline-Kopie, Wiederherstellungstests
  • Patch- und Schwachstellenmanagement: Fristen je Kritikalität
  • Protokollierung und Überwachung
  • Kryptografie: wann und wie verschlüsselt wird

Organisation und Notfall

  • Lieferanten und Dienstleister: Sicherheitsanforderungen, Zugänge, Verträge
  • Schulung und Awareness: verpflichtende, regelmäßige Trainings
  • Vorfallbehandlung: Meldewege, Rollen, Meldepflichten – siehe Incident Response Plan
  • Business Continuity: Notbetrieb kritischer Prozesse
  • Physische Sicherheit: Zutritt zu Serverräumen und Büros

Tipps für Richtlinien, die gelebt werden

  1. Kurz und verständlich schreiben – ohne Fachjargon für alle Mitarbeitenden.
  2. Eine verantwortliche Person je Richtlinie festlegen.
  3. Mit Beispielen arbeiten: „Was tun, wenn …?“ bleibt besser hängen als Paragraphen.
  4. Schulen statt nur verteilen: Neue Regeln in einer Awareness-Schulung vorstellen.
  5. Jährlich überprüfen und nach Vorfällen oder großen Änderungen anpassen.

So setzen Sie die Checkliste ein

  1. Bestand erheben: Sammeln Sie alle vorhandenen Regelungen – auch informelle, etwa E-Mails der IT oder Hinweise im Intranet.
  2. Abgleichen: Markieren Sie je Punkt, ob eine Regelung fehlt, veraltet ist oder passt.
  3. Priorisieren: Beginnen Sie mit den Richtlinien, die die größten Risiken adressieren – meist Zugriff, Passwörter und MFA, Backup und Vorfallbehandlung.
  4. Freigeben und kommunizieren: Lassen Sie neue Richtlinien von der Geschäftsführung freigeben und informieren Sie alle Betroffenen nachweisbar.
  5. Wirksamkeit prüfen: Ein kurzer Status-Check zeigt, ob die Regeln im Alltag tatsächlich eingehalten werden.

Fazit

Nicht jedes Unternehmen braucht alle Richtlinien in voller Tiefe – die Risikobewertung entscheidet. Wer die Checkliste durchgeht, erkennt schnell, wo die größten Lücken liegen. Ein ISMS nach ISO 27001 bringt alle Richtlinien in einen gemeinsamen Rahmen.