Re-Screening: Validato erklärt, warum Innentäter-Prävention in deutschen Unternehmen nicht beim Onboarding enden darf

Ein Background Check beantwortet Fragen zu einem definierten Zeitpunkt, doch das Risikoprofil einer Funktion kann sich verändern: Ein Mitarbeitender, der zunächst kaum sensible Berechtigungen besitzt, kann einige Jahre später Administrator eines kritischen Systems werden; eine Führungskraft kann zusätzliche finanzielle Entscheidungsbefugnisse erhalten; ein Entwickler kann in ein streng vertrauliches Forschungsprojekt wechseln. Damit verändert sich nicht zwangsläufig die Integrität der Person, aber das Schadenspotenzial ihres Zugriffs. Kontinuierliches Screening bedeutet dabei nicht, sämtliche Mitarbeitende dauerhaft zu überwachen: Ein sinnvoller Ansatz arbeitet mit klaren Kriterien und prüft Re-Screening beispielsweise beim Wechsel in eine besonders sensible Funktion, bei der Vergabe deutlich erweiterter Zugriffsrechte, bei Beförderungen in bestimmte Managementpositionen, bei Tätigkeit in besonders sicherheitsrelevanten Projekten oder aufgrund regulatorisch beziehungsweise vertraglich definierter Anforderungen.

Die klassische Logik lautet: Bewerbung, Background Check, Einstellung, Ende. Ein moderner Human-Risk-Ansatz betrachtet dagegen den gesamten Lifecycle – von Pre-Employment über Onboarding, Employment und Role Change bis zu Re-Screening und Offboarding, bei dem Berechtigungen vollständig und rechtzeitig entzogen werden müssen. Damit wird aus einem einmaligen Background Check ein strukturiertes Workforce Risk Management. Auch die US-Behörde CISA beschreibt Insider-Risiken als dynamische und sich entwickelnde Bedrohung und betont die Zusammenarbeit verschiedener Unternehmensfunktionen bei ihrer Reduzierung – Innentäter-Risiken entstehen demnach aus dem Zusammenspiel von Person, Situation, Rolle, Zugriff und Schutzmassnahmen und können sich entsprechend verändern.

Ein Re-Screening ersetzt dabei keine Sicherheitskultur: Mindestens ebenso wichtig bleiben klare Zugriffsmodelle, funktionierende Meldestrukturen, Security Awareness, die Trennung kritischer Funktionen, technische Kontrollen sowie konsequentes Berechtigungsmanagement. Besonders interessant ist nach Einschätzung von Validato deshalb ein ereignisbasiertes statt ein kalendarisches Modell: nicht jede Mitarbeiterin und jeder Mitarbeiter wird automatisch jedes Jahr überprüft, sondern es wird geprüft, ob zusätzliche Verifikation notwendig ist, wenn sich Risiko oder Zugriff wesentlich verändern. Dieser Ansatz lässt sich besser mit einem risikobasierten Human-Risk-Framework verbinden.

„Bei der Einstellung fragen Unternehmen, ob sie einer Person diese Position anvertrauen können. Einige Jahre später sollte bei einer deutlich veränderten Funktion möglicherweise erneut gefragt werden, ob sich das Risiko dieser Position verändert hat. Genau darin liegt der Unterschied zwischen einem einmaligen Background Check und Human Risk Management".

— Reto Marti, Managing Partner, Validato

Validato unterstützt Unternehmen dabei, Background Screening und risikobasiertes Re-Screening in einen strukturierten Human-Risk-Prozess zu integrieren.