Unterweisung IT-Sicherheit: DSGVO-konform & praxisnah für alle Mitarbeitenden

Die IT-Sicherheit von Beschäftigten ist nicht nur ein technisches Thema, sondern in mehreren Regelwerken verankert:

• ArbSchG § 4 (Gefährdungsbeurteilung): Arbeitgeber müssen auch psychische und informationstechnische Belastungen erfassen, bewerten und geeignete Schutzmaßnahmen festlegen.
• ArbSchG § 12 (Unterweisungspflicht): „Der Arbeitgeber hat die Beschäftigten über Gefährdungen und Schutzmaßnahmen schriftlich und leicht verständlich zu unterweisen.“ Dazu zählt ausdrücklich der richtige Umgang mit IT-Systemen und sensiblen Daten.
• BetrSichV § 3: Betriebsmittel (u. a. Software, Netzwerkkomponenten und mobile Endgeräte) sind regelmäßig zu prüfen; die dafür erforderlichen Kenntnisse müssen durch Unterweisung vermittelt werden.
• DGUV Vorschrift 2 (Unfallverhütungsvorschrift „Allgemeine Vorschrifgen“) § 4: „Der Unternehmer hat dafür zu sorgen, dass die Beschäftigten die erforderlichen Kenntnisse und Fertigkeiten für die sichere Ausführung der Arbeiten besitzen.“
• DGUV Regel 100-001 (Bewegtbildschirm-Arbeitsplätze) Nr. 5.5: Die Unterweisung muss Datenschutz und Datensicherheit einschließen, soweit diese Aspekte die sichere Tätigkeit beeinflussen.
• DSGVO Art. 32 (Technische und organisatorische Maßnahmen): „Der für die Verarbeitung Verantwortliche … trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.“ Dazu gehört die Sensibilisierung und Schulung des Personals.

Die rechtlichen Pflichten lassen sich auf drei zentrale Handlungsfelder reduzieren:

• 1. Gefährdungsbeurteilung (ArbSchG § 4): Identifizieren Sie IT-spezifische Risiken wie Phishing, Passwort-Diebstahl, unverschlüsselte Datenträger oder unsicheres WLAN. Dokumentieren Sie konkrete Schutzziele und Gegenmaßnahmen.
• 2. Unterweisung und Nachschulung (ArbSchG § 12, DGUV Vorschrift 2 § 4): Jeder Mitarbeitende – egal ob Büro, Produktion oder Homeoffice – muss vor Aufnahme der Tätigkeit und mindestens einmal jährlich unterrichtet werden. Auch externe Dienstleister fallen unter diese Pflicht, wenn sie Zugriff auf Ihre Systeme erhalten.
• 3. Nachweis und Dokumentation: Protokollieren Sie Datum, Inhalt, Teilnehmende und Dauer der Schulung. Die Nachweise sind mindestens drei Jahre aufzubewahren (DGUV Vorschrift 2 § 4, ArbSchG § 6a). Elektronische Signaturen oder qualifizierte Zertifikate digitaler Schulungsplattformen erfüllen diese Anforderung vollständig.

1. Rechtsüberblick DSGVO & IT-Sicherheitsgesetz

Die Teilnehmenden erhalten eine kompakte Einführung in DSGVO Art. 5, 6, 9 und 32, das IT-Sicherheitsgesetz 2.0 sowie das Telemediengesetz (TMG). Anhand von Beispielszenarien wird erklärt, welche Datenarten besonders schützenswert sind und welche Bußgelder bei Verstößen drohen (bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes).

2. Passwort- und Zugangsmanagement

Passwortrichtlinien nach BSI-Standard (mind. 12 Zeichen, vier Zeichenklassen, regelmäßige Änderung) werden Schritt für Schritt vorgeführt. Praxis-Beispiel: Ein Mitarbeitender erhält ein phishing-ähnliches Passwort-Reset-Mail. Die Schulung zeigt, wie Multi-Faktor-Authentifizierung (MFA) und Passwort-Manager helfen, Schaden zu vermeiden.

3. Phishing, Social Engineering & Betrugserkennung

Live-Demo der häufigsten Angriffsvektoren: CEO-Fraud, Fake-Support, USB-Drop-Attacks. Die Teilnehmenden üben, verdächtige E-Mails anhand von Header-Analyse und QR-Code-Prüfung zu identifizieren und den internen IT-Security-Channel richtig zu nutzen.

4. Sichere Nutzung von Cloud & Mobile Devices

Checklisten für BYOD-Richtlinien, Verschlüsselung sensibler Daten auf USB-Sticks und Cloud-Speicher sowie sicheres Arbeiten im Homeoffice (VPN, getrennte Netze für IoT-Geräte). Ein interaktiver Rechner zeigt, wie groß der Unterschied zwischen „privat“ und „geschäftlich“ wirklich ist.

5. Datenschutz im Alltag

Von der Pseudonymisierung von Kundendaten bis zur Löschkonzept-Umsetzung: Die Kursteilnehmenden erlernen, personenbezogene Daten nach dem Prinzip „Datenvermeidung und ‑sparsamkeit“ (DSGVO Art. 5 Abs. 1 c) zu behandeln. Typische Fallstricke wie unverschlüsselte Excel-Exporte oder „Reply-to-All“ mit Kundenlisten werden aufgearbeitet.

6. Notfallmanagement & Reporting

Was tun beim Verdacht auf Datenpannen? Die Schulung erklärt die 72-Stunden-Meldepflicht an die Aufsichtsbehörde (DSGVO Art. 33) und die interne Eskalationskette. Ein kurzer Selbsttest am Ende jeder Lektion sichert den Wissenstransfer und liefert automatisch das gesetzlich geforderte Unterweisungs-Zertifikat.

Typische IT-Gefährdungen im Betrieb

• Phishing-E-Mails mit Schadcode (Ransomware)
• Schwache oder wiederverwendete Passwörter
• Unverschlüsselte mobile Datenträger (USB, externe Festplatten)
• Offene WLAN-Netze im Homeoffice
• Ungepatchte Software und veraltete Browser

TOP-Prinzip: Technik – Organisation – Person

• Technik: Firewalls, E-Mail-Gateway mit Sandboxing, automatische Patch-Management-Lösungen
• Organisation: Regelmäßige Sicherheitsaudits, klar definierte BYOD-Richtlinien, zentrales Identity-Management
• Person: Jährliche Online-Unterweisung, simulierte Phishing-Tests, Security-Champions in jeder Abteilung

Die Online-Schulung richtet sich an alle Beschäftigten mit IT-Zugang – unabhängig von Branche oder Funktion. Besonders relevant sind:

• Gesundheitswesen (hoher Schutz patientenbezogener Daten)
• Finanz- und Versicherungsdienstleister (BaFin-Anforderungen)
• Öffentliche Verwaltung (IT-SiG 2.0, BSI-Grundschutz)
• Logistik & Handel (viele mobile Endgeräte, Lieferketten-Attacken)

Dokumentation: Name, Datum, Schulungsinhalte, Präsenz- oder Online-Zertifikat. Digitale Lösungen erzeugen revisionssichere PDF-Zertifikate und CSV-Listen für das Betriebs- und Datenschutztagebuch. Aufbewahrungsfrist: 3 Jahre nach Beendigung des Beschäftigungsverhältnisses (ArbSchG § 6a).