Es gibt in jedem ISO-27001-Projekt den Moment, in dem Kontrolle A.6.1 aufhört, eine Zeile in der Erklärung zur Anwendbarkeit zu sein, und echte Arbeit wird. Die Erklärung ist entworfen, die Sicherheitsüberprüfung als anwendbar markiert, ein Stage-2-Termin steht im Kalender — und niemand hat aufgeschrieben, wer wie tief geprüft wird und mit welchem Nachweis. Die generischen Checklisten, die die Suchergebnisse dominieren, nummerieren alle 93 Kontrollen durch und enden in einer Software-Demo. Diese Checkliste deckt nur den Personalsicherheits-Ausschnitt ab, Schritt für Schritt, und jeder Schritt erzeugt genau eines: einen Nachweis, den ein Auditor beproben kann. Sie ist für Teams in regulierten DACH-Unternehmen geschrieben, wo § 26 BDSG und das AGG die Grenze dessen ziehen, was eine Prüfung überhaupt anschauen darf.
Für wen diese Checkliste gedacht ist — und was sie bewusst nicht ist
Sie ist für die ISMS-Verantwortlichen oder CISOs, die vier bis zwölf Wochen im Projekt stecken, deren Erklärung zur Anwendbarkeit entworfen ist und deren HR noch nicht eingebunden wurde. Und für die HR-Leitung, die die erste Auditorenanforderung erhält und feststellt, dass die Prüfakten noch nicht existieren.
Sie ist keine 93-Kontrollen-Roadmap, kein Richtlinien-Vorlagenpaket und keine Tool-Empfehlung. Keine Software erledigt die Compliance-Arbeit für eine Organisation; die hier beschriebenen Artefakte sind das, was Zertifizierungsaudits tatsächlich beproben. Den exakten Wortlaut der Kontrolle, die Nummerierungshistorie und die Frage, wer als Personal zählt, behandelt die A.6-Personalsicherheits-Erklärung. Was Auditorinnen in der ersten Stunde verlangen, steht in Was Auditoren beim ISO-27001-Audit zuerst verlangen.
Die 90-Minuten-Fassung: Was A.6.1 verlangt, auf einer Seite
Die Kontrolle ist ein Satz mit drei Pflichten: Geprüft wird vor dem Eintritt; geprüft wird laufend; und die Prüftiefe ist verhältnismäßig zu Geschäftsanforderungen, der Einstufung der Informationen, auf die zugegriffen wird, und den wahrgenommenen Risiken — begrenzt durch anwendbares Recht, Vorschriften und Ethik. Operativ gelesen werden daraus drei Regeln:
- Niemand erhält Zugriff auf Systeme im Geltungsbereich, bevor die Prüfung abgeschlossen ist — und der Prüfnachweis wird zeitgleich mit der Zugriffsentscheidung Teil der ISMS-Nachweise.
- Die Prüftiefe wird einmal je Rolle festgelegt, schriftlich in einer Matrix, nicht von Einstellung zu Einstellung improvisiert.
- Die Prüfung hat ein dokumentiertes zweites Leben: Auslöser für Nachprüfungen und ein periodischer Zyklus für sensible Rollen.
Wer diese drei Dinge zeigen kann — Zugangssperre, Matrix, Auslöser —, hat den operativen Kern der Kontrolle. Der Rest dieser Checkliste baut sie auf. Wie jede Pflicht auf Nachweise abbildet, zeigt das Mapping von Kontrolle zu Nachweis.
Schritt 1: Das Screening-Verfahren schreiben
Das Verfahren ist das erste Dokument, das Auditoren lesen, weil es ihnen sagt, was sie beproben. Es sollte mindestens enthalten:
- Geltungsbereich: wer als Personal zählt — Mitarbeitende, Externe, Zeitarbeit und vermittelte Kräfte, alle mit Zugriff auf Informationen oder Systeme.
- Verantwortlichkeiten: wer prüft (typischerweise HR) und wer die Risikoentscheidung freigibt (Sicherheit bzw. ISMS).
- Prüfstufen: die Stufen der Screening-Matrix, namentlich referenziert.
- Der Weg für unvollständige Prüfungen: was geschieht, wenn eine Verifikation unvollständig zurückkommt — Onboarding verzögern, Zugriff beschränken oder eskalieren, nach ISO/IEC 27002:2022.
- Dokumentation: was eine Prüfakte enthält und wie lange sie aufbewahrt wird.
Was Auditoren zurückweisen: aus Vorlagen kopierte Textbausteine, unbenannte Verantwortliche, „nach Bedarf“ ohne Kriterien und kein Weg für unvollständige Prüfungen. Eine fokussierte Arbeitssitzung erzeugt zwei bis drei Seiten; die Abstimmung mit HR und Recht dauert länger als der Entwurf selbst.
Schritt 2: Die rollenbasierte Prüfmatrix aufbauen
Die Matrix ist das am häufigsten beprobte A.6.1-Artefakt, weil in ihr die Verhältnismäßigkeitsanforderung der Kontrolle zu einer dokumentierten Entscheidung wird. Die Norm nennt drei bemessende Eingangsgrößen; eine funktionierende Matrix übersetzt jede in eine Variable:
- Geschäftsanforderungen: welches Regelwerk für die Rolle gilt (Banken, Versicherungen, Energie, Gesundheitswesen).
- Informationseinstufung: auf welche Daten und Systeme die Rolle zugreift.
- Wahrgenommene Risiken: Privilegienstufe, Betrugsexposition, öffentliches Vertrauen.
Die typische Form sind drei Stufen — Standard, erweitert und privilegiert —, wobei jede Stufe auf eine definierte Prüftiefe abbildet. Den vollständigen Aufbau, durchgerechnete Beispiele und die rechtlichen Grenzen je Prüfart zeigt der Leitfaden zur Screening-Matrix. Eine Eigenschaft macht die Matrix doppelt nützlich: Sie ist die Verhältnismäßigkeitsentscheidung, die der ISO-Auditor sehen will, und die Erforderlichkeitsdokumentation, die der Datenschutzbeauftragte je Prüfkategorie verlangt.
Schritt 3: Den Zugriff erst nach abgeschlossener Prüfung freigeben
Die meisten A.6.1-Feststellungen liegen an einer Nahtstelle: der Übergabe zwischen Einstellung und Systemzugriff. „Kein Zugriff vor abgeschlossener Prüfung“ ist keine HR-Formalität, sondern eine Übergabe zwischen HR und IT, die jemand verantworten muss. Konkret: Die Onboarding-Routine erhält einen Prüfschritt vor der Kontoanlage, eine verspätete Prüfung verzögert den Zugriff statt möglichst den Starttag, und jede Phase mit beschränktem Zugriff ist zeitlich befristet und freigegeben.
Was der Auditor testet, ist die Verknüpfung: junge Einstellungen, ihre Prüfakten und ihre Zugriffsgewährungen, gegeneinander gehalten. Liegt ein Erstraugriff vor dem Abschluss der Prüfung, ist die Sperre gescheitert — egal, was das Verfahren behauptet.
Schritt 4: Externe, Zeitarbeit und vermittelte Kräfte
„All candidates to become personnel“ ist bewusst weiter gefasst als die Lohnliste: Externe, Zeitarbeitskräfte und vermittelte Beschäftigte fallen darunter, sobald sie Zugriff auf Informationen oder Systeme erhalten. Die Organisation kann die Pflicht nicht an den Personaldienstleister auslagern. Das praktische Muster ist eine Vertragsklausel, nach der der Anbieter gegen die eigene Matrix prüft, die Prüfakte liefert und Veränderungen meldet — plus Verifikation auf Seiten der Organisation und dieselbe Zugangssperre wie bei Mitarbeitenden. Auditoren beproben sowohl die Klausel als auch mindestens eine gelieferte Prüfakte.
Schritt 5: Auslöser für Nachprüfungen definieren
“Laufend” beendet die Einmal-Lesart der Kontrolle. Eine dokumentierte Auslöserliste deckt typischerweise ab: Beförderung oder Wechsel in eine privilegierte Rolle; Wechsel in eine finanzkritische Funktion; Veränderung der Zugriffsklasse der Rolle; und auffällige Ereignisse wie ein Sanktionslisten-Treffer oder relevante Adverse-Media-Funde. Finanzkritische Funktionen laufen zusätzlich in einem periodischen Zyklus, statt auf einen Auslöser zu warten. Die Liste sollte kurz genug zum Ausführen bleiben: fünf bis sieben dokumentierte Auslöser schlagen zwanzig wohlklingende. Den Unterschied zwischen triggerbasiertem Re-Screening und kontinuierlichem Monitoring behandelt Re-Screening-Auslöser versus kontinuierliches Monitoring.
Schritt 6: Akten, Aufbewahrung und der Nachweispfad
Eine beprobare Prüfakte enthält: was je Kategorie geprüft wurde, gegen welche Quellen, mit Datum; das Ergebnis; die Entscheidung und wer sie getroffen hat; und die Aufbewahrungsfrist. Die Aufbewahrung folgt Zweckbindung und Löschkonzept — die Prüfakte folgt der Personalaktenpraxis und den Speicherbegrenzungsregeln, statt alles auf Dauer zu behalten. Schwacher Nachweis ist ein unterschriebener Lebenslauf. Starker Nachweis ist eine datierte Akte darüber, was gegen welche Quellen geprüft wurde, mit dokumentierter Entscheidung und definierter Aufbewahrung.
Diese Aktenklasse in der Fläche zu erzeugen — Registerdaten, Berufs- und Bildungswerdegang, Sanktionslisten und Adverse Media, abgeschlossen mit einer menschlichen Letztprüfung —, dafür ist der Indicium-Report gebaut. Entscheidend ist nicht das Dokument, sondern der überprüfbare Entscheidungspfad dahinter.
Zeitplan: Wie lange die einzelnen Schritte realistisch dauern
- Verfahren und Matrix: Tage konzentrierter Arbeit, nicht Wochen. Zwei bis fünf Arbeitstage ergeben eine erste belastbare Fassung; die Abstimmung mit HR und Recht kostet Kalenderzeit.
- Prüfungen je Person: fünf bis zehn Arbeitstage für ein Standardpaket sind die realistische DACH-Baseline. Amtliche Dokumente wie ein Führungszeugnis bringen eigene Bearbeitungszeit mit, und Executive-Tiefenprüfungen laufen in Wochen.
- Bestandsbelegschaft: Die Zeit je Person fällt im Bündel an — nach Privileg gestaffelt und gegen den Audittermin geplant, wie in der Retro-Screening-Checkliste beschrieben.
- Rückwärts vom Stage-2-Termin planen: Zugangssperre und Matrix stehen lange vor dem Auditfenster; Stichprobe und Zugriffszuordnung liegen im Nachweispaket bereit.
Was hinter diesen Laufzeiten steckt, erklären die realistische Dauer eines Background Checks und die Screening-Implementierungszeitleiste. Und bevor der Auditor kommt: Lücken mit dem Selbstaudit der Personenkontrollen aufdecken.
Häufige Fragen
Ist A.6.1 dieselbe Kontrolle wie A.7.1.1?
Nein. Die Ausgabe 2013 nummerierte die Sicherheitsüberprüfung als A.7.1.1; die Revision 2022 verschob das People-Thema nach A.6, wo die Überprüfung schlicht A.6.1 heißt. Leitfäden oder Richtlinien, die A.6.1.1 oder A.7.1.1 zitieren, folgen der alten Struktur, während Zertifizierungsauditoren gegen die Liste von 2022 arbeiten. Der Gegenstand der Kontrolle ist unverändert.
Funktioniert diese Checkliste auch für ein Unternehmen mit 40 Beschäftigten?
Ja. Verhältnismäßigkeit skaliert: Die Stufen können von drei auf zwei zusammengehen, und das Verfahren darf kürzer sein — aber Zugangssperre, Matrix und dokumentierte Auslöser bleiben der unveränderliche Kern. Kleine Unternehmen scheitern an A.6.1 wegen fehlender Nachweise, nicht wegen fehlender Papierberge.
Brauchen wir eine Screening-Plattform dafür?
Nein. Die Ergebnisse sind ein Verfahren, eine Matrix und Akten; Werkzeuge helfen, sie in der Fläche konsistent zu erzeugen, besonders wenn Prüfungen über viele Einstellungen wiederkehren. Der Auditor beprobt die Qualität der Nachweise, nicht das Tool.
Was geschieht, wenn eine Prüfung unvollständig bleibt?
Die ISO/IEC 27002:2022 nennt die Optionen: Zugriff beschränken, Onboarding verzögern oder im Extremfall die Zusammenarbeit beenden. Auditoren suchen einen definierten, dokumentierten Weg — keine Improvisation am Audittag.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.