IT-Sicherheitsrichtlinien sind schriftlich fixierte Vorgaben der Geschäftsleitung. Sie definieren verbindliche Verhaltensweisen zum Schutz der Unternehmens-IT.

Die Sicherheitsleitlinie (Leitlinie zur Informationssicherheit) ist das übergeordnete Grundsatzdokument: Die Leitungsebene legt darin Ziele, Stellenwert und Verantwortung für die Informationssicherheit fest. Sicherheitsrichtlinien setzen sie für einzelne Themen in konkrete Regeln um, z. B. eine Passwort- oder E-Mail-Richtlinie.

Aufbau einer Richtlinie

Geltungsbereich: Für wen und welche Systeme gilt die Richtlinie?
Verantwortlichkeiten: Wer setzt um, wer kontrolliert, wer ist Ansprechpartner (z. B. Informationssicherheitsbeauftragter)?
Regeln: Konkrete Vorgaben, möglichst prüfbar formuliert.
Sanktionen: Folgen bei Verstößen, z. B. arbeitsrechtliche Maßnahmen.
Überprüfung: Regelmäßige Aktualisierung, z. B. jährlich oder nach Vorfällen.

Wichtige Inhalte

Passwortschutz: ausreichende Länge (NIST verzichtet auf Komplexitätsregeln, das BSI lässt kurz und komplex oder lang und einfacher zu), Abgleich mit Listen kompromittierter Passwörter, Wechsel bei Verdacht auf Kompromittierung (regelmäßige Zwangswechsel empfehlen BSI und NIST nicht mehr).
E-Mail: Keine Anhänge und Links aus unbekannten Quellen öffnen, verdächtige Nachrichten (Phishing) an die IT melden.
Wechseldatenträger: Nur freigegebene USB-Sticks nutzen, gefundene Datenträger nicht anschließen.
Arbeitsplatz: Bildschirm beim Verlassen sperren, Clean Desk (keine vertraulichen Unterlagen offen liegen lassen).
Meldepflicht: Sicherheitsvorfälle, Verlust von Geräten und Verdachtsfälle sofort melden.
Internetnutzung: Regelung der privaten Nutzung (erlaubt, eingeschränkt oder verboten), Download-Sperren.
Mobile Devices: Verschlüsselungspflicht, Verlustmeldung.
Besucher: Umgang mit Gästen im Netzwerk (Gast-WLAN).

Beispiel: Passwort-Policy

Orientiert an NIST SP 800-63B (Revision 4, 2025) und BSI-Grundschutz (ORP.4):

Mindestlänge: 15 Zeichen, wenn das Passwort der einzige Faktor ist, mindestens 8 Zeichen in Verbindung mit einem zweiten Faktor. Lange Passwörter und Passphrasen bis mindestens 64 Zeichen zulassen.
Keine Kompositionsregeln: Keine Pflicht zu Sonderzeichen oder Ziffern, stattdessen Abgleich mit Listen häufiger und kompromittierter Passwörter.
Kein Mehrfachgebrauch: Für jedes System ein eigenes Passwort, alte Passwörter nach einem Wechsel nicht wiederverwenden.
Wechsel: Nur bei Verdacht auf Kompromittierung, nicht zeitgesteuert.
Passwortmanager: Erlaubt und empfohlen, Einfügen aus der Zwischenablage zulassen.
Mehr-Faktor-Authentisierung (MFA): Pflicht für Fernzugriff, Cloud-Dienste und Administratorkonten.
Fehlversuche begrenzen: Nach mehreren falschen Eingaben Konto vorübergehend sperren oder Anmeldung verzögern.
Geheimhaltung: Passwörter nicht weitergeben und nicht aufschreiben, außer für eine sicher verwahrte Notfallhinterlegung.

Ziele

Rechtssicherheit: Einhaltung von Gesetzen (DSGVO).
Haftungsvermeidung: Nachweis, dass die Geschäftsführung ihre Sorgfaltspflichten erfüllt hat (Organhaftung). Ausschließen kann eine Richtlinie die Haftung nicht.
Bewusstsein: Sensibilisierung der Mitarbeiter (Awareness).

Durchsetzung

Richtlinien müssen bekannt gemacht, geschult und deren Einhaltung kontrolliert werden.

Hat das Unternehmen einen Betriebsrat, hat dieser ein Mitbestimmungsrecht, wenn eine Richtlinie das Verhalten der Beschäftigten im Betrieb regelt (§ 87 Abs. 1 Nr. 1 BetrVG) oder technische Einrichtungen einführt, die Verhalten oder Leistung überwachen können, z. B. die Protokollierung der Internetnutzung (§ 87 Abs. 1 Nr. 6 BetrVG).