HR und Informationssicherheit

Informationssicherheit wird häufig als technische Aufgabe verstanden. Im Mittelpunkt stehen Firewalls, Verschlüsselung oder Angriffserkennungssysteme. Die Praxis zeigt jedoch, dass viele Sicherheitsvorfälle nicht allein auf technische Schwachstellen zurückzuführen sind. Fehlende Sensibilisierung, unklare Prozesse oder menschliche Fehler spielen oftmals eine ebenso wichtige Rolle. Vor diesem Hintergrund rückt eine Unternehmensfunktion zunehmend in den Fokus, die originär nicht mit Cybersicherheit in Verbindung gebracht wird: das Personalwesen: HR-Abteilungen begleiten Beschäftigte über den gesamten Beschäftigungszyklus hinweg, d.h. von der Bewerbung über das Onboarding bis zum Austritt aus dem Unternehmen. Dadurch beeinflussen sie maßgeblich, wie Sicherheitsanforderungen in der Organisation vermittelt und umgesetzt werden.

Warum HR für die Cybersicherheit wichtig ist

Beschäftigte sind häufig das erste Ziel von Cyberangriffen. Phishing-Nachrichten, Social-Engineering-Angriffe oder der missbräuchliche Umgang mit Unternehmensdaten greifen regelmäßig dort an, wo Menschen Entscheidungen treffen. Informationssicherheit ist deshalb nicht nur eine technische, sondern auch eine organisatorische Aufgabe.

Genau an dieser Stelle kommt HR eine besondere Bedeutung zu. Personalabteilungen prägen die Sicherheitskultur eines Unternehmens wesentlich mit. Sie organisieren Schulungen, begleiten Veränderungsprozesse und schaffen Rahmenbedingungen für den sicheren Umgang mit Informationen. Darüber hinaus steuern sie zentrale Prozesse wie Berechtigungsvergabe, Rollenwechsel oder Offboarding, die unmittelbare Auswirkungen auf das Sicherheitsniveau eines Unternehmens haben.

Cybersicherheit entsteht daher nicht allein in der IT-Abteilung. Sie ist das Ergebnis eines Zusammenspiels von Technik, Organisation und Mitarbeiterverhalten. HR nimmt dabei eine wichtige Brückenfunktion zwischen diesen Bereichen ein.

Mobile Arbeit stellt zusätzliche Herausforderungen

Die zunehmende Verbreitung hybrider und mobiler Arbeitsformen hat viele Vorteile geschaffen, bringt aber auch neue Herausforderungen mit sich. Beschäftigte greifen von unterschiedlichen Orten auf Unternehmenssysteme zu, verwenden verschiedene Endgeräte und kommunizieren über zahlreiche digitale Plattformen.

Dadurch steigt die Komplexität der Sicherheitsanforderungen. Unternehmen müssen sicherstellen, dass auch außerhalb klassischer Bürostrukturen angemessene Schutzmaßnahmen eingehalten werden. Gleichzeitig müssen Beschäftigte verstehen, welche Risiken mit mobilem Arbeiten verbunden sind und wie sie diese im Alltag vermeiden können.

Technische Sicherheitsmaßnahmen bleiben dabei unverzichtbar. Ihre Wirksamkeit hängt jedoch maßgeblich davon ab, ob Mitarbeitende diese verstehen und konsequent anwenden. Die Vermittlung dieses Bewusstseins ist wiederum eine Aufgabe, an der HR unmittelbar beteiligt ist.

KI verändert die Anforderungen an HR und Informationssicherheit

Der Einsatz von Künstlicher Intelligenz hält zunehmend Einzug in Personalprozesse. KI-Systeme unterstützen beispielsweise bei der Bewerberauswahl, bei der Analyse von Qualifikationen oder bei administrativen Aufgaben.

Gleichzeitig entstehen neue Risiken. Beschäftigte nutzen KI-Anwendungen häufig eigenständig, ohne die damit verbundenen datenschutzrechtlichen und sicherheitsrelevanten Folgen vollständig zu überblicken. Werden vertrauliche Unternehmensinformationen oder personenbezogene Daten in externe Systeme eingegeben, kann dies erhebliche Risiken nach sich ziehen.

Hinzu kommt, dass KI-Kompetenz zu einer neuen Schlüsselqualifikation wird. Unternehmen müssen Mitarbeitende nicht nur im Umgang mit KI schulen, sondern auch ein Verständnis für deren Grenzen, Risiken und rechtliche Rahmenbedingungen schaffen. Dies betrifft insbesondere Transparenzanforderungen, den Schutz sensibler Daten sowie die Vermeidung fehlerhafter oder diskriminierender Ergebnisse.

Für HR bedeutet dies eine doppelte Herausforderung: Einerseits können KI-Systeme die Personalarbeit unterstützen, andererseits muss HR dazu beitragen, einen verantwortungsvollen und sicheren Umgang mit diesen Technologien im Unternehmen zu etablieren.

Onboarding als sicherheitskritischer Prozess

Besondere Bedeutung kommt dem Onboarding neuer Beschäftigter zu. Neue Mitarbeiterinnen und Mitarbeiter verfügen häufig noch nicht über ausreichende Kenntnisse der internen Sicherheitsanforderungen, Kommunikationswege und Prozesse.

Ein wirksames Onboarding sollte deshalb nicht nur organisatorische und fachliche Inhalte vermitteln, sondern auch Informationssicherheit und Datenschutz fest verankern. Dazu gehören insbesondere:

• die Einführung in Sicherheitsrichtlinien und Datenschutzvorgaben,
• die Sensibilisierung für Phishing– und Social-Engineering-Angriffe,
• die sichere Nutzung von Unternehmensgeräten und mobilen Arbeitsmitteln,
• die Verwendung sicherer Authentifizierungsverfahren,
• die Kenntnis von Meldewegen für Sicherheitsvorfälle.

Wichtig ist dabei, dass Sicherheitsbewusstsein nicht als einmalige Schulungsmaßnahme verstanden wird. Sicherheitsanforderungen entwickeln sich kontinuierlich weiter und erfordern regelmäßige Auffrischungen sowie eine fortlaufende Sensibilisierung.

Wie Unternehmen den Herausforderungen begegnen können

Die wirksamste Antwort auf die beschriebenen Herausforderungen liegt in einem ganzheitlichen Ansatz. Informationssicherheit sollte als organisationsweite Aufgabe verstanden werden, die Technik, Prozesse und Menschen gleichermaßen berücksichtigt.

Dazu gehören klar definierte Verantwortlichkeiten, regelmäßige Schulungsmaßnahmen, nachvollziehbare Berechtigungsprozesse sowie verbindliche Regeln für den Einsatz von KI-Anwendungen. Ebenso wichtig sind strukturierte Verfahren für Rollenwechsel und Austritte von Beschäftigten, um unnötige Sicherheitsrisiken zu vermeiden.

Unternehmen sollten darüber hinaus eine Sicherheitskultur fördern, in der Informationssicherheit als selbstverständlicher Bestandteil der täglichen Arbeit verstanden wird. Eine solche Kultur entsteht nicht durch technische Maßnahmen allein, sondern durch kontinuierliche Kommunikation, Schulung und organisatorische Verankerung.

Fazit

Die Bedeutung von HR für Informationssicherheit und Cybersicherheit wird häufig unterschätzt. Personalabteilungen verwalten nicht nur sensible Daten, sondern gestalten maßgeblich die Prozesse und Verhaltensweisen, die über die Sicherheit einer Organisation entscheiden. Mobile Arbeit, digitale Zusammenarbeit und der Einsatz von KI verstärken diese Entwicklung zusätzlich.

Unternehmen, die Informationssicherheit langfristig stärken wollen, sollten HR daher nicht lediglich als unterstützende Funktion betrachten. Vielmehr kann das Personalwesen einen entscheidenden Beitrag dazu leisten, Sicherheitsbewusstsein, digitale Kompetenz und einen verantwortungsvollen Umgang mit neuen Technologien dauerhaft in der Organisation zu verankern.