Die neue Sicherheitslücke sitzt im Unternehmen

Warum deutsche Industrie- und IT-Unternehmen Background Checks laut Bitkom-Studie „Wirtschaftsschutz 2025" zunehmend als Teil ihrer Cybersecurity-Strategie betrachten.

(openPR) 87 Prozent der deutschen Unternehmen waren in den zwölf Monaten vor der Erhebung von Datendiebstahl, Spionage oder Sabotage betroffen, der Gesamtschaden für die deutsche Wirtschaft wird auf rund 289,2 Milliarden Euro beziffert – das zeigt die Bitkom-Studie „Wirtschaftsschutz 2025". Für Validato, Anbieter für Background-Checks und Human Risk Management mit Sitz in Zürich, verschiebt sich damit der Blick auf IT-Sicherheit: Ein wachsender Teil des Risikos entsteht nicht an der technischen Perimeterlinie, sondern bei Personen mit legitimem Zugang zu Systemen und Wissen.

Eine Studie als Weckruf

Die Bitkom-Zahlen fallen in eine Zeit, in der viele Unternehmen ihre technische IT-Sicherheit bereits deutlich ausgebaut haben. Nach Einschätzung von Validato zeigt der anhaltend hohe Anteil betroffener Unternehmen, dass technische Massnahmen allein die Angriffsfläche nicht schliessen – ein Grund, weshalb Personalrisiken stärker in den Fokus rücken. Viele Sicherheitsverantwortliche werten die Zahlen als Bestätigung, dass Investitionen in Firewalls und Endpoint-Security allein nicht ausreichen. Entsprechend prüfen laut Validato immer mehr IT- und Sicherheitsabteilungen, ob ihr bestehendes Sicherheitskonzept auch Personalrisiken systematisch abdeckt.

Technik schützt nicht vor legitimem Zugriff

Firewalls, Endpoint-Security und Netzwerksegmentierung wehren in erster Linie externe Angriffe ab. Wer bereits gültige Zugangsdaten besitzt – als Mitarbeitende, Administrator oder externer Dienstleister – umgeht diese Verteidigungslinien per Definition. Genau hier setzt Human Risk Management an. Ein Zugriff mit gestohlenen, aber gültigen Zugangsdaten unterscheidet sich für viele Überwachungssysteme kaum von einer regulären Anmeldung. Genau diese Grauzone macht laut Validato deutlich, warum technische Kontrollen um eine personenbezogene Prüfung ergänzt werden müssen.

Vom HR-Thema zum Sicherheitsthema

Background Checks galten lange als reines Recruiting- oder Compliance-Instrument. Nach Beobachtung von Validato ordnen Sicherheitsverantwortliche sie zunehmend der Cybersecurity-Strategie zu, weil sie direkt beeinflussen, wer Zugang zu welchen Systemen erhält. Immer häufiger sitzen laut Validato Sicherheitsverantwortliche mit am Tisch, wenn Unternehmen ihre Screening-Prozesse überarbeiten. Das verändert auch, welche Kriterien bei der Auswahl von Prüfmodulen im Vordergrund stehen – nicht mehr nur rechtliche Absicherung, sondern konkretes Risikomanagement.

Regulatorischer Druck nimmt zu

Mit dem seit März 2026 geltenden KRITIS-Dachgesetz und der NIS2-Richtlinie wachsen die Anforderungen an Personalsicherheitskonzepte für Betreiber kritischer Infrastruktur und ihre Dienstleister. Validato beobachtet, dass sich dieser Druck zunehmend auch auf angrenzende Branchen wie Industrie und IT-Dienstleistung überträgt. Für Betreiber kritischer Infrastruktur ist die Umsetzung eines Personalsicherheitskonzepts inzwischen gesetzlich vorgeschrieben, nicht mehr freiwillig. Nach Einschätzung von Validato werden ähnliche Erwartungen zunehmend auch von Kunden und Versicherern an Unternehmen ausserhalb des KRITIS-Anwendungsbereichs herangetragen.

Rollenbasiert statt pauschal

Aus Sicht von Validato bedeutet die wachsende Bedeutung von Background Checks nicht, dass jede Position gleich geprüft werden muss. Sinnvoll ist eine Prüftiefe, die sich am tatsächlichen Risiko der jeweiligen Rolle orientiert und sich dokumentieren lässt. Eine Position im Vertrieb ohne Systemzugriff erfordert demnach andere Prüfmodule als eine Rolle mit administrativem Zugriff auf Produktivsysteme. Validato empfiehlt, diese Zuordnung einmalig pro Positionstyp festzulegen, statt sie bei jeder Einstellung neu zu diskutieren.

Validato als Partner für Human Risk Management

Validato bietet Unternehmen eine Plattform für Pre-Employment-, In-Employment- und External-Partner-Screening mit 18 einzeln wählbaren Modulen, Schweizer Serverstandort und ISO-27001-Zertifizierung. „Die Sicherheitslücke von morgen sitzt nicht zwingend im Netzwerk, sondern in der Frage, wer welchen Zugang hat und warum", so Reto Marti - Managing Partner von Validato. Die Plattform lässt sich über WebApp oder API in bestehende Recruiting- und HR-Prozesse einbinden, sodass Unternehmen keine separate Infrastruktur aufbauen müssen. Für sicherheitsrelevante Positionen kombiniert Validato dabei üblicherweise mehrere der 18 verfügbaren Module.