IT-Onboarding: Checkliste für den Eintritt neuer Mitarbeitender

Personalabteilung und Vorgesetzte müssen dafür sorgen, dass neue Mitarbeitende eingearbeitet und über Regelungen, Handlungsanweisungen und Verfahrensweisen informiert werden; eine Checkliste und eine feste Ansprechperson sollen helfen (BSI ORP.2.A1). Benutzerkennungen und Berechtigungen dürfen nur nach tatsächlichem Bedarf vergeben werden (ORP.4.A2). Vier Bereiche gehören deshalb zu jedem Eintritt:

• Konto und Rechte: eindeutig einer Person zugeordnet, nur was die Aufgabe braucht, dokumentiert (ORP.4.A1 bis A3).
• Geräte und Zugang: Zutritts- und Zugangsmittel ausgeben und die Ausgabe dokumentieren (ORP.4.A5 bis A7); die Geräteausgabe ebenso festhalten (Empfehlung von TOMORIS).
• Verpflichtung: Datengeheimnis nach § 6 DSG, Einhaltung von Gesetzen und internen Regeln (ORP.2.A14), Verarbeitung personenbezogener Daten nur auf Anweisung (Art. 29 und 32 Abs. 4 DSGVO).
• Einweisung und Schulung: sicherer Umgang mit der IT und Schulung nach Aufgaben (ORP.3.A3, A6).

Die Checkliste ist eine Empfehlung von TOMORIS. Der BSI IT-Grundschutz ist in Österreich keine Rechtspflicht, sondern ein Standard, an dem sie sich orientiert; § 6 DSG und die DSGVO gelten unmittelbar. Den Austritt behandelt die Checkliste IT-Offboarding.

• Personalabteilung meldet Eintritt, Funktion und Beginn rechtzeitig an IT und Vorgesetzte.
• Benötigte Rechte aus der Funktion abgeleitet; Rechte über den Standard hinaus nur nach zusätzlicher Begründung und Prüfung (ORP.4.A2).
• Konto angelegt, das eindeutig einer Person zugeordnet ist; Anlage nur über eine separate administrative Rolle (ORP.4.A1, A2).
• Konto, Gruppen und Rechteprofil dokumentiert (ORP.4.A3).
• Zutritt und Zugang festgelegt; Ausgabe von Schlüsseln, Chipkarten oder Token wird dokumentiert (ORP.4.A5 bis A7).
• Gerät vorbereitet und inventarisiert; in Microsoft 365 Lizenz zugewiesen.
• Für die Stelle nötige Qualifikation geklärt (ORP.2.A15); bei Bedarf Angaben zur Vertrauenswürdigkeit geprüft, etwa den Lebenslauf (ORP.2.A7).
• Ansprechperson oder Pate bzw. Patin für die Einarbeitung benannt (ORP.2.A1).
• Bei Fremdpersonal: schriftliche Vertraulichkeitsvereinbarung, bevor Zugang zu vertraulichen Informationen besteht (ORP.2.A5).

1. 1

   Einweisen

   Über geltende Regelungen, Handlungsanweisungen und Verfahrensweisen informieren (ORP.2.A1); in den sicheren Umgang mit den IT-Komponenten einweisen, verbindliche und verständliche Richtlinien bereitstellen (ORP.3.A3).

2. 2

   Verpflichten und belehren

   Soweit nicht schon kraft Gesetzes verpflichtet, vertraglich verpflichten, personenbezogene Daten nur auf Anordnung zu übermitteln und das Datengeheimnis auch nach Ende des Dienstverhältnisses zu wahren; über Übermittlungsanordnungen und die Folgen einer Verletzung belehren (§ 6 Abs. 2 und 3 DSG). Auf die Einhaltung von Gesetzen und internen Regeln verpflichten (ORP.2.A14).

3. 3

   Sicher erstmals anmelden

   Für die erste Anmeldung einen befristeten Zugriffspass ausstellen, mit dem die Person ihre Anmeldemethoden selbst einrichtet. TOMORIS empfiehlt, keine Passwörter per E-Mail zu verschicken und den Zugriffspass persönlich oder über einen getrennten Weg zu übergeben.

4. 4

   Mehr-Faktor-Anmeldung einrichten

   Authenticator-App oder Passkey registrieren lassen. Details zur Einführung und zu den Methoden enthält die Checkliste MFA in Microsoft 365.

5. 5

   Gerät und Zugangsmittel übergeben

   Schlüssel, Chipkarten und Token übergeben und die Ausgabe dokumentieren (ORP.4.A5 bis A7), das Gerät ebenso (Empfehlung von TOMORIS). Die Person zur Geheimhaltung von Passwörtern anhalten (ORP.4.A8).

6. 6

   Meldeweg erklären

   Zeigen, wie verdächtige E-Mails und Sicherheitsvorfälle gemeldet werden und wer Ansprechperson ist (Empfehlung von TOMORIS).

• Nach Aufgaben und Verantwortlichkeiten zu Informationssicherheit geschult (ORP.3.A6).
• Darauf hingewiesen, dass Informationen aus der Arbeit nur für den internen Gebrauch bestimmt sind und Informationssicherheit auch außerhalb der Arbeitszeit gilt (ORP.2.A14).
• Aufgaben und Zuständigkeiten dokumentiert (ORP.2.A14).
• Rechte mit den tatsächlichen Aufgaben abgeglichen; Dokumentation und Rechtevergabe stimmen überein (ORP.4.A3).
• Vorübergehend vergebene Rechte, etwa für die Einarbeitung, wieder entzogen (abgeleitet aus ORP.4.A2).
• Vertretung für die Aufgaben der neuen Person geregelt (ORP.2.A3).
• Einarbeitung mit Vorgesetzten und Ansprechperson abgeschlossen und Rückmeldung zur Checkliste eingeholt (Empfehlung von TOMORIS).

Bezeichnungen, Standardwerte und Lizenzbedingungen in Microsoft 365 können sich ändern; maßgeblich ist die aktuelle Dokumentation von Microsoft. Kennwortrichtlinien legen Sie am besten in einer eigenen Passwortrichtlinie fest.

• Bei personellen Veränderungen nicht mehr benötigte Kennungen und Berechtigungen entfernen (ORP.4.A2), statt neue Rechte nur hinzuzufügen.
• Externes Personal wie eigene Mitarbeitende auf Gesetze, Vorschriften und interne Regeln verpflichten (ORP.2.A4).
• Kurzfristig eingesetztes Fremdpersonal in sicherheitsrelevanten Bereichen beaufsichtigen, längerfristiges wie eigenes Personal einweisen (ORP.2.A4).
• Konten von Fremdpersonal mit Ablaufdatum anlegen und bei Ende der Tätigkeit Zugangsberechtigungen zurücknehmen (ORP.2.A4; Ablaufdatum als Empfehlung von TOMORIS).

Die genaue Aufteilung ist eine Empfehlung; entscheidend ist, dass jede Aufgabe eine zuständige Person hat. Führen Sie die Checkliste je Eintritt und legen Sie sie zur Personalakte oder zur IT-Dokumentation.