Saisonkräfte, Personalwechsel, IT-Sicherheit: Wer darf auf betriebliche Daten zugreifen?

Hotels, Ferienvermieter und Gastronomiebetriebe in der Müritzregion beschäftigen während der Hauptsaison häufig zusätzliche Mitarbeiter. Auch Freizeitunternehmen und andere touristische Dienstleister verstärken ihre Teams in den Ferienzeiten. Wenn die Saison endet, verlassen viele dieser Beschäftigten den Betrieb wieder. Für die Unternehmen gehört dieser Wechsel zum wirtschaftlichen Alltag. Weniger selbstverständlich ist der Umgang mit den digitalen Zugängen, die Beschäftigte während ihrer Arbeit erhalten.

Dienstpläne, Reservierungen, Kassensysteme und gemeinsame E-Mail-Postfächer enthalten betriebliche Informationen, auf die nicht jeder Mitarbeiter zugreifen darf. Bleiben Benutzerkonten nach dem Ausscheiden aktiv oder werden Berechtigungen bei einem internen Wechsel nicht angepasst, entstehen unnötige Sicherheitsrisiken. Eine geregelte Verwaltung der Zugriffsrechte sollte deshalb fester Bestandteil der Personalplanung sein.

Gemeinsame Zugangsdaten werden zum Problem

In kleineren Betrieben verwenden mehrere Beschäftigte mitunter dieselben Zugangsdaten. Das kann gemeinsame Postfächer, Verwaltungsprogramme oder einzelne Buchungssysteme betreffen. Passwörter werden im Team weitergegeben und bleiben häufig auch nach einem Personalwechsel unverändert. Damit lässt sich nicht mehr eindeutig nachvollziehen, wer einen Zugang genutzt oder eine Änderung vorgenommen hat. Scheidet ein Mitarbeiter aus, kann er ein gemeinsam verwendetes Passwort unter Umständen weiterhin nutzen.

Persönliche Benutzerkonten erleichtern die Zuordnung von Zugriffsrechten zu einzelnen Beschäftigten. In der betrieblichen Praxis lassen sich gemeinsame Zugänge jedoch nicht immer vermeiden. In solchen Fällen sollten Unternehmen genau festlegen, wer die Zugangsdaten verwenden darf und wie sie verwaltet werden. Ein Self Hosted Passwort Manager ermöglicht es, Passwörter zentral und verschlüsselt zu verwalten und gezielt mit berechtigten Mitarbeitern zu teilen. Verlässt ein Beschäftigter das Unternehmen, müssen jedoch weitere Sicherheitsmaßnahmen folgen. Der Entzug seiner Zugriffsrechte im Passwortmanager allein reicht nicht aus. Kennt er das Passwort bereits, muss dieses geändert werden. Auch das zugehörige Benutzerkonto ist separat zu sperren, sofern es nicht mehr benötigt wird.

Neue Mitarbeiter erhalten nur notwendige Zugriffsrechte

Bei einer Neueinstellung sollte zunächst geklärt werden, welche digitalen Anwendungen für die vorgesehene Tätigkeit erforderlich sind. Eine Aushilfe an der Rezeption benötigt selbstverständlich andere Zugänge als ein Mitarbeiter im Housekeeping oder in der Veranstaltungsorganisation. Auch der Zugriff auf Kundendaten, Reservierungen und interne Dokumente muss auf die jeweilige Aufgabe beschränkt bleiben. Die fachlich verantwortliche Führungskraft sollte den Bedarf festlegen. Die zuständige Stelle richtet anschließend die erforderlichen Konten und Berechtigungen ein. Persönliche Zugänge sind dabei grundsätzlich vorzuziehen. Sie ermöglichen es, Aktivitäten einzelnen Beschäftigten zuzuordnen und deren Rechte bei einem Austritt gezielt zu entziehen.

Bei befristeten Arbeitsverhältnissen sollte auch das voraussichtliche Beschäftigungsende dokumentiert werden. Das gilt für Saisonkräfte ebenso wie für andere zeitlich begrenzte Beschäftigungen. Ändert sich der letzte Arbeitstag, muss die Information an die zuständige Stelle weitergegeben werden.

Aufgabenwechsel erfordern eine neue Prüfung

Nicht nur bei Einstellungen und Austritten ändern sich die Zugriffsrechte. Auch ein Wechsel innerhalb des Betriebs kann neue Berechtigungen erforderlich machen. In der Hauptsaison übernehmen Mitarbeiter mitunter zusätzliche Aufgaben oder wechseln in einen anderen Bereich. Werden dafür neue Zugänge eingerichtet, bleiben bisherige Rechte häufig bestehen. Das kann dazu führen, dass Beschäftigte weiterhin auf Anwendungen und Informationen zugreifen können, die sie für ihre aktuelle Tätigkeit nicht mehr benötigen. Deshalb sollte jede wesentliche Aufgabenänderung eine Überprüfung der vorhandenen Berechtigungen auslösen.

Die bisher zuständige Führungskraft meldet, welche Zugänge entfallen. Für die neue Tätigkeit werden die erforderlichen Rechte festgelegt. Die technische Verwaltung setzt die Änderungen um und dokumentiert sie.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, Berechtigungen nachvollziehbar zu erfassen und regelmäßig zu überprüfen. Beschäftigte sollen grundsätzlich nur auf diejenigen Systeme und Informationen zugreifen können, die sie für ihre Arbeit benötigen. Die entsprechenden Anforderungen sind im BSI-Baustein zum Identitäts- und Berechtigungsmanagement beschrieben.

Beim Austritt müssen alle Konten erfasst sein

Wenn ein Beschäftigungsverhältnis endet, müssen Personalverwaltung und IT-Verantwortliche rechtzeitig zusammenarbeiten. Die Personalverwaltung meldet den Austritt und den letzten Arbeitstag, damit die zuständigen Stellen die erforderlichen Maßnahmen einplanen können. Dazu gehört neben der Sperrung der betrieblichen Zugänge auch die Beendigung aktiver Sitzungen, sofern die verwendeten Anwendungen diese Funktion unterstützen.

Davon getrennt organisiert werden muss die Übergabe laufender Aufgaben. Reservierungen, Kundendaten und offene Vorgänge sollten an die zuständigen Kollegen übergehen, bevor der Zugriff des ausscheidenden Mitarbeiters endet. Dafür braucht es klare Ablageorte und festgelegte Verantwortlichkeiten.

Drei Schritte für einen geregelten Personalwechsel

Auch Unternehmen ohne eigene IT-Abteilung können die Verwaltung digitaler Zugriffsrechte organisieren. Wichtig sind eine aktuelle Übersicht der eingesetzten Anwendungen und eindeutig festgelegte Zuständigkeiten.

Ein einfacher Ablauf umfasst drei Schritte:

• Bei der Einstellung: Benötigte Systeme und Berechtigungen festlegen, persönliche Konten einrichten und das voraussichtliche Beschäftigungsende dokumentieren.

• Bei Aufgabenänderungen: Neue Zugriffsrechte prüfen, nicht mehr benötigte Berechtigungen entfernen und die Anpassung festhalten.

• Beim Austritt: Sämtliche Konten sperren, gemeinsam genutzte Passwörter bei Bedarf ändern und die Durchführung bestätigen.

Die Übersicht sollte auch externe Anwendungen berücksichtigen. Gerade Zugänge zu einzelnen Buchungsplattformen oder selten genutzten Verwaltungsdiensten werden bei Personalwechseln leicht übersehen. Für jedes System muss feststehen, wer Berechtigungen freigibt und wer deren Entzug kontrolliert.

Vorbereitung auf die nächste Tourismussaison

Vor Beginn der nächsten Hauptsaison sollten Unternehmen ihre bestehenden Zugänge überprüfen. Dabei geht es nicht allein um die Konten ehemaliger Saisonkräfte. Auch bei dauerhaft beschäftigten Mitarbeitern können sich im Laufe der Zeit Berechtigungen angesammelt haben, die für ihre aktuelle Tätigkeit nicht mehr erforderlich sind. Eine Bestandsaufnahme zeigt, welche Anwendungen im Betrieb genutzt werden, wer Zugriff darauf hat und welche Konten noch aktiv sind. Anschließend lassen sich Zuständigkeiten für Neueinstellungen, interne Wechsel und Austritte festlegen.

Für Unternehmen in der Müritzregion ist die digitale Zugriffsverwaltung damit eng mit der saisonalen Personalplanung verbunden. Wenn sich die Zusammensetzung der Teams während des Jahres verändert, müssen auch die Berechtigungen angepasst werden. Ein geregelter Ablauf verhindert, dass ehemalige Beschäftigte weiterhin auf betriebliche Systeme zugreifen können.