Warum deutsche Unternehmen technische Sicherheitsmaßnahmen zunehmend um strukturierte Personalrisikoprüfungen ergänzen.
(openPR) Neben Netzwerksicherheit, Endpoint-Protection und Zero-Trust-Architekturen etabliert sich in deutschen Unternehmen zunehmend ein weiterer Baustein der Cybersecurity-Strategie: Human Risk Management. Validato, Anbieter für Background-Checks und Human Risk Management mit Sitz in Zürich, versteht darunter die strukturierte, dokumentierte Bewertung und Überprüfung von Personalrisiken entlang des gesamten Beschäftigungsverhältnisses.
Was Human Risk Management umfasst
Nach Definition von Validato reicht Human Risk Management von der Identitäts- und Hintergrundprüfung vor der Einstellung über wiederkehrende Prüfungen während der Beschäftigung bis zur Bewertung externer Dienstleister mit Systemzugriff. Dazu gehört auch die Bewertung von Risiken, die erst im Laufe eines Beschäftigungsverhältnisses entstehen, etwa durch eine veränderte Rolle oder neue Verantwortlichkeiten. Validato versteht Human Risk Management deshalb weniger als einzelne Prüfung, sondern als fortlaufenden Prozess.
Ergänzung, nicht Ersatz für technische Sicherheit
Validato betont, dass Human Risk Management technische Sicherheitsmassnahmen nicht ersetzt, sondern eine zusätzliche Ebene adressiert: die Frage, wer Zugang zu Systemen und Informationen erhält und ob dieses Vertrauen gerechtfertigt bleibt. Ein Unternehmen mit ausgereifter technischer Sicherheitsarchitektur bleibt laut Validato dennoch verwundbar, wenn Personalrisiken unberücksichtigt bleiben. Umgekehrt kann eine gute Personalrisikoprüfung technische Schwachstellen nicht kompensieren – beide Ebenen müssen zusammenwirken.
Der Lebenszyklus-Gedanke
Statt einer einmaligen Prüfung beim Onboarding setzt Validato auf drei Phasen: Pre-Employment-Screening vor Vertragsbeginn, In-Employment-Screening während der Beschäftigung sowie External-Partner-Screening für Dienstleister und Freelancer. Jede dieser drei Phasen adressiert laut Validato einen unterschiedlichen Zeitpunkt im Risikoverlauf einer Person: vor der Zusammenarbeit, während der laufenden Zusammenarbeit und bei extern eingebundenen Personen ohne klassisches Anstellungsverhältnis. Unternehmen können einzelne Phasen dabei unabhängig voneinander einsetzen, je nachdem, welches Risiko im Vordergrund steht.
Warum kontinuierliche Prüfung wichtig ist
Risiken einer Person können sich über die Zeit verändern – etwa durch neue Zugriffsrechte nach einer Beförderung oder durch veränderte persönliche Umstände. Eine einmalige Prüfung beim Eintritt bildet das laut Validato nicht ausreichend ab. Auch ein Wechsel in eine andere Abteilung mit weitreichenderen Zugriffsrechten kann laut Validato ein sinnvoller Anlass für eine erneute Prüfung sein. Ohne einen solchen wiederkehrenden Blick bleiben Veränderungen im Risikoprofil einer Person oft lange unbemerkt.
Integration in die Sicherheitsstrategie
Nach Beobachtung von Validato verankern Sicherheitsverantwortliche Human Risk Management zunehmend gemeinsam mit IT-Sicherheit und Compliance, statt es isoliert im HR-Bereich zu belassen. Diese Zusammenarbeit erfordert laut Validato, dass HR-Verantwortliche und Sicherheitsteams eine gemeinsame Sprache für Risikoklassen und Prüftiefe entwickeln. Nur so lässt sich verhindern, dass Personalrisikoprüfungen isoliert von der übrigen Sicherheitsstrategie betrachtet werden.
Validato: Plattform für den gesamten Lebenszyklus
Validato bündelt Pre-Employment-, In-Employment- und External-Partner-Screening auf einer ISO-27001-zertifizierten, DSGVO-konformen Plattform. Für Unternehmen, die Human Risk Management neu in ihre Sicherheitsstrategie integrieren, empfiehlt Validato, zunächst die Rollen mit dem höchsten Zugriffsrisiko zu identifizieren und dort mit In-Employment-Screening zu beginnen, bevor die Prüfung schrittweise auf weitere Positionen ausgeweitet wird. „Personalrisiko endet nicht am ersten Arbeitstag – Human Risk Management darf das auch nicht", so Reto Marti - Managing Partner von Validato. Genau deshalb versteht Validato Human Risk Management als fortlaufenden Prozess und nicht als einmaliges Projekt beim Onboarding. Alle drei Screening-Phasen greifen dabei auf dieselbe Modulbibliothek zurück, sodass sich Prüfkriterien konsistent über den gesamten Lebenszyklus einer Rolle anwenden lassen. Nach Angaben von Validato erleichtert das insbesondere Unternehmen mit mehreren Standorten die einheitliche Umsetzung.
