Externe Partner sicher einbinden

Den Arbeitsumfang in überprüfbare Übergaben zerlegen

Beschreiben Sie zuerst, welches Ergebnis der externe Partner liefert oder empfängt und an welcher Schnittstelle es geprüft wird. Benennen Sie einen fachlichen Ansprechpartner und eine getrennte Stelle für Zugriffs- oder Sicherheitsfragen. Allgemeine Formulierungen wie arbeitet im Projekt mit reichen nicht aus, um Informationsbedarf und Entscheidungsgrenzen abzuleiten. Die Initiative Neue Qualität der Arbeit hebt für Netzwerke gemeinsame Strukturen, klare Rollen und wertschätzende Kommunikation hervor. Die konkrete Vertragsgestaltung wird dadurch nicht vorgegeben. Für die operative Zusammenarbeit hilft jedoch eine Liste aus Eingang, erwarteter Ausgabe, Termin, Abnahmekriterium und Rückfrageweg. Änderungen dieses Umfangs werden ausdrücklich bestätigt, statt still über zusätzliche Zugriffe zu wachsen.

Beleggrundlage: Netzwerkarbeit kompakt: Engagement im Netzwerk fördern

Zugriffe aus Aufgaben und Laufzeit ableiten

Erstellen Sie vor der Freischaltung eine Zuordnung von Aufgabe, System, Berechtigungsstufe, Startdatum, Enddatum und internem Eigentümer. Nutzen Sie nach Möglichkeit personenbezogene Konten und vorgesehene Rollen; gemeinsame Zugangsdaten erschweren Zuordnung und Entzug. Ein Test prüft, ob der Partner die nötige Arbeitsfläche erreicht und zugleich nicht benötigte Bereiche ausgeschlossen bleiben. Diese Prüfliste ist eine redaktionelle Organisationshilfe, keine technische Sicherheitsfreigabe. Architektur, Authentisierung und Protokollierung müssen von den dafür verantwortlichen Fachpersonen nach dem Schutzbedarf der tatsächlichen Umgebung festgelegt werden.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Datenschutzpflichten kontextbezogen klären

Werden personenbezogene Daten verarbeitet, müssen Rolle, Zweck, Rechtsgrundlage und erforderliche Vereinbarungen vorab fachlich geklärt werden. Die Datenschutz-Grundverordnung enthält unter anderem Vorgaben für Auftragsverarbeitung und Sicherheit der Verarbeitung. Nicht jeder externe Partner ist automatisch Auftragsverarbeiter, und diese Seite kann die Einordnung eines konkreten Falls nicht leisten. Dokumentieren Sie deshalb, wer die Prüfung vorgenommen hat und auf welche Verarbeitung sie sich bezieht. Übermitteln Sie nur die für den vereinbarten Schritt benötigten Daten und verwenden Sie den vorgesehenen geschützten Kanal. Eine Vertragsklausel ersetzt keine tatsächlich wirksame Zugriffsbeschränkung.

Beleggrundlage: Datenschutz-Grundverordnung

Vorfall- und Änderungswege gemeinsam durchspielen

Teilen Sie dem Partner mit, welche Beobachtungen sofort gemeldet werden sollen, über welchen verifizierten Kontakt und welche Mindestangaben erforderlich sind. Spielen Sie außerdem einen Rollenwechsel, einen falschen Empfänger und einen kurzfristigen Projektstopp als Tischübung durch. Dabei werden keine echten Schutzmechanismen deaktiviert und keine Produktivdaten absichtlich gefährdet. Das BSI beschreibt Cybersicherheit als Aufgabe, die in Strategie, Kultur und Prozesse eines Unternehmens verankert werden sollte. Daraus folgt für die Schnittstelle: Sicherheitsrelevante Abweichungen benötigen einen bekannten Weg, statt allein in der normalen Projektkommunikation unterzugehen. Im akuten Fall gelten die internen Notfall- und Meldepläne.

Beleggrundlage: 10 Tipps zur Cyber-Sicherheit für Unternehmen

Das Ende als eigenen Prozessschritt behandeln

Legen Sie schon beim Start fest, was bei Vertragsende, Rollenwechsel oder längerer Unterbrechung geschieht. Die interne verantwortliche Person bestätigt offene Lieferungen, Rückgabe oder geregelte Löschung bereitgestellter Informationen, Entzug der Konten und Behandlung gemeinsam erzeugter Unterlagen. Ein automatisches Enddatum unterstützt die Kontrolle, ersetzt aber keine fachliche Abschlussprüfung. Lesen Sie nach dem Entzug die Berechtigungsliste erneut aus oder lassen Sie sich den Status vom zuständigen System bestätigen. Der Abschlussvermerk enthält Zeitpunkt, geprüfte Systeme, verbliebene Ausnahmen und deren Eigentümer. So wird Offboarding nicht von der Erinnerung einzelner Projektmitglieder abhängig, und ein späterer erneuter Einsatz beginnt mit einer neuen Bedarfsprüfung.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Gemeinsame Leistung regelmäßig abgleichen

Planen Sie während der Zusammenarbeit kurze Schnittstellenreviews statt ausschließlich einer abschließenden Lieferantenbewertung. Vergleichen Sie vereinbarten Eingang, tatsächliche Ausgabe, offene Abhängigkeiten und anstehende Änderungen. Technische und fachliche Ansprechpartner bestätigen getrennt, ob ihre Voraussetzungen weiterhin gelten. Neue Unterauftragnehmer, Systeme oder Datenarten beginnen einen formellen Änderungsweg. Ein guter Review kann auch ergeben, dass keine Anpassung nötig ist. Der Vermerk hält diese Entscheidung und ihre Informationsgrundlage fest, ohne daraus eine pauschale Sicherheitsgarantie für den Partner abzuleiten.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Im Zusammenhang weiterlesen

• Berechtigungen beim Austritt entziehen — Ein belastbarer Austrittsprozess startet mit einem verifizierten Ereignis, ordnet jedes Konto einem Eigentümer zu und endet erst mit gelesenen Systemnachweisen und dokumentierten Ausnahmen.
• Schnittstelle vor der Auswahl beschreiben — Wer Datenvertrag, Fehlerverhalten und Betriebsgrenzen zuerst beschreibt, kann Werkzeuge nach Bedarf statt nach Werbeversprechen auswählen.
• Übergabe bei Abwesenheit vorbereiten — Eine belastbare Abwesenheitsübergabe trennt laufende Vorgänge von bloßem Hintergrundwissen und nennt pro Aufgabe Status, nächste Frist, Vertretungsgrenze und Rückfrageweg.