ISO/IEC 27001:2022 verlangt mit Kontrolle A.6.1 (Sicherheitsüberprüfung) Hintergrundprüfungen für alle Kandidaten, die Personal werden sollen, also für Mitarbeiter wie für Externe, bevor sie in die Organisation eintreten, und laufend danach, begrenzt durch anwendbares Recht, Vorschriften und Ethik und bemessen nach den Geschäftsanforderungen, der Einstufung der Informationen, auf die zugegriffen wird, und den wahrgenommenen Risiken. Für ein Zertifizierungsvorhaben wird daraus eine operative Regel: Niemand erhält Zugriff auf Systeme im ISMS-Geltungsbereich, bevor die Prüfung abgeschlossen ist, und der Prüfnachweis wird Teil der ISMS-Dokumentation.
Acht People-Kontrollen entlang des Beschäftigungszyklus
Anhang A der ISO/IEC 27001:2022 umfasst 93 Kontrollen in vier Themen: Organizational (A.5), People (A.6), Physical (A.7) und Technological (A.8). Das Thema A.6 ist mit genau acht Kontrollen das kleinste der vier, und in der Reihenfolge gelesen begleiten sie eine Person vom ersten Vorstellungsgespräch bis zur finalen Übergabe:
- A.6.1 Sicherheitsüberprüfung: Prüfung vor dem Eintritt und erneut während der Beschäftigung
- A.6.2 Beschäftigungsbedingungen: Sicherheitspflichten stehen im Vertrag
- A.6.3 Sensibilisierung, Weiterbildung und Schulung: Sicherheitskompetenz bleibt aktuell
- A.6.4 Disziplinarverfahren: ein formaler Weg bei Verstößen gegen die Informationssicherheitsrichtlinien
- A.6.5 Verantwortung nach Beendigung oder Wechsel des Beschäftigungsverhältnisses: Zugriff und Pflichten werden sauber beendet
- A.6.6 Vertraulichkeitsvereinbarungen: Vertraulichkeit ist schriftlich festgehalten
- A.6.7 Telearbeit: Regeln für das Arbeiten außerhalb gesicherter Räumlichkeiten
- A.6.8 Meldung von Informationssicherheits-Ereignissen: eine Meldepflicht, die jeden Mitarbeiter erreicht
Drei Kontrollen greifen vor dem ersten Arbeitstag (6.1, 6.2, 6.6), drei während der Beschäftigung (6.3, 6.7, 6.8), eine beim Ausstieg (6.5), eine auf dem Sanktionsweg (6.4). Die Sicherheitsüberprüfung ist damit keine HR-Formalität am Rand des ISMS, sondern das Einfallstor, von dem die übrigen People-Kontrollen abhängen: Ein Sensibilisierungsprogramm erreicht die falsche Zielgruppe, wenn die Organisation nie geprüft hat, wer da überhaupt eingetreten ist.
Kontrolle A.6.1: der exakte Wortlaut nach ISO/IEC 27001:2022
Kontrolle A.6.1 Screening der ISO/IEC 27001:2022 hat folgenden Wortlaut (Standardtext in der englischen Ursprungsfassung):
Background verification checks on all candidates to become personnel shall be carried out prior to joining the organization and on an ongoing basis taking into consideration applicable laws, regulations and ethics and be proportional to the business requirements, the classification of the information to be accessed and the perceived risks.
Ein Satz, drei Verpflichtungen. Erstens findet die Prüfung vor dem Eintritt in die Organisation statt. Zweitens endet sie nicht mit der Einstellung: Die Norm verlangt Prüfungen auf fortlaufender Basis. Drittens schreibt die Norm die Tiefe nicht selbst vor. Anwendbares Recht, Regulatorik und Ethik setzen die äußere Grenze dessen, was geprüft werden darf, während Geschäftsanforderungen, die Einstufung der Informationen, auf die die Person zugreifen wird, und die wahrgenommenen Risiken bestimmen, wie tief jede einzelne Prüfung geht.
A.6.1.1 oder A.6.1: welche Nummerierung gilt
Die Suche nach ISO 27001 A.6.1.1 ist aus einem strukturellen Grund häufig. Die Ausgabe 2013 nummerierte Kontrollen mit einer dritten Ebene und ordnete die Sicherheitsüberprüfung unter dem Thema A.7 als Kontrolle A.7.1.1 ein, und viele Leitfäden, interne Richtlinien und Auditberichte wurden auf diese Nummerierung geschrieben. Die Revision 2022 hat Anhang A auf 93 Kontrollen in vier Themen umgebaut und das People-Thema auf A.6 umnummeriert; die Sicherheitsüberprüfung heißt dort schlicht A.6.1. Ein A.6.1.1 gibt es in der aktuellen Ausgabe nicht. Eine Richtlinie oder ein Auditbericht, der A.6.1.1 zitiert, verweist auf die alte Struktur, während Zertifizierungsauditoren gegen die Liste von 2022 arbeiten. Der Gegenstand der Kontrolle ist unverändert: vor dem Eintritt prüfen, verhältnismäßig bleiben, das Ergebnis dokumentieren.
Wer geprüft werden muss und was “laufend” bedeutet
“All candidates to become personnel” ist bewusst weiter gefasst als die Lohnliste. Gemeint sind Mitarbeiter, Freelancer, Zeitarbeitskräfte und Beschäftigte von Personaldienstleistern: alle, die in eine Position mit Zugriff auf Informationen oder Systeme übernommen werden. Bei Externen kann die Organisation sich nicht auf die Prozesse des Dienstleisters zurückziehen: Das ISMS muss sicherstellen, dass die Prüfung vor der Zugriffsgewährung stattfindet, vertraglich mit dem Anbieter vereinbart und auf Seiten der Organisation verifiziert.
“Laufend” beendet die Einmal-Lesart der Kontrolle. Die Pflicht kehrt zurück, sobald sich das Risikobild um eine Person ändert. Typische Auslöser für eine erneute Prüfung sind Rollenwechsel, Beförderungen in privilegierte Positionen, Wechsel in finanzkritische oder vertrauenskritische Funktionen und ein verändertes Risikoumfeld der Rolle. Regulierte Häuser fahren deshalb triggerbasierte Nachprüfungen für privilegierte Rollen und periodische Nachprüfungen für finanzkritische Funktionen, statt sich auf die Prüfung am Einstellungstag zu verlassen.
Welche Prüfungen ISO/IEC 27002:2022 beschreibt
Die ISO 27001 formuliert die Anforderung; die ISO/IEC 27002:2022 spiegelt Anhang A Kontrolle für Kontrolle und liefert die Umsetzungshinweise. Für die Sicherheitsüberprüfung nennt die Leitlinie typische Bestandteile: Referenzen, Verifikation des Lebenslaufs, Bestätigung von Qualifikationen und Prüfung eines amtlichen Ausweisdokuments. Für Rollen, die für vertiefte Überprüfung geeignet sind, kommen Bonitäts- und Führungszeugnisprüfungen hinzu. Die Prozessverantwortung liegt typischerweise bei der Personalabteilung, und die Leitlinie regelt ausdrücklich, was zu geschehen hat, wenn eine Prüfung unvollständig bleibt, bis hin zur Zugriffsbeschränkung oder zur Beendigung des Beschäftigungsverhältnisses.
Was in Deutschland rechtmäßig geprüft werden darf
Die ISO 27001 setzt die Untergrenze, das deutsche Recht setzt den Rahmen. § 26 BDSG und das AGG ziehen enge Grenzen um Bewerber- und Beschäftigtendaten. In der Praxis heißt das: Führungszeugnisse sind für vertrauenskritische Rollen und bei Verhältnismäßigkeit vertretbar, idealerweise bereits in der Stellenausschreibung angekündigt; Bonitätsprüfungen setzen eine Einwilligung und eine finanzrelevante Rolle voraus; und die Prüfung von Identität, Qualifikationen und Berufswerdegang ist für nahezu jede Rolle die vertretbare Basis. Weil A.6.1 jede Prüfung an der Rolle bemisst, erfüllt eine schriftliche, rollenbasierte Prüfmatrix gleich zwei Zwecke: Sie ist die Verhältnismäßigkeitsentscheidung, die der ISO-Auditor sehen will, und sie ist die Erforderlichkeitsbegründung, die die DSGVO für jede Prüfkategorie verlangt. Die Rechtsgrundlage je Prüfkategorie behandeln wir in Pre-Employment-Screening nach der DSGVO, die Mitbestimmung durch den Betriebsrat in Mitbestimmung bei Hintergrundprüfungen.
Wie Auditoren die Kontrolle prüfen und was gute Nachweise sind
Auditoren greifen A.6.1 in einem Stage-2-Audit früh auf, weil sich die Nachweise schnell beproben lassen und viel über die Reife des ISMS aussagen. Das dokumentierte Muster: ein schriftliches Screening-Verfahren, das die Prüftiefe je Rolle definiert; Nachweis, dass das Verfahren durchgängig angewendet wird, auch bei langjährigen und privilegierten Mitarbeitern; eine Stichprobe junger Einstellungen mit ihren Prüfakten und Zugriffsgewährungen; die Abdeckung von Externen über Verträge; dokumentierte Auslöser für Nachprüfungen; und ein definierter Weg für unvollständige Prüfungen. Eine typische Anforderung sind die letzten Neueinstellungen samt ihrer Zugriffe, womit die Prüfakte direkt mit der Zugriffsentcheidung verknüpft wird, die sie hätte absichern sollen.
Klassische Feststellungen: kein dokumentiertes Screening-Verfahren, eine informelle Praxis nach dem Motto “Ich kenne ihn, der ist vertrauenswürdig”, oder fehlende Akten für Personen, die vor dem ISMS eingetreten sind. Schwacher Nachweis ist ein unterschriebener Lebenslauf. Starker Nachweis ist eine datierte Akte darüber, was gegen welche Quellen geprüft wurde, mit dokumentierter Entscheidung und definierter Aufbewahrung.
An dieser Stelle wird professionelle Hintergrundprüfung zum ISMS-Nachweis statt zur HR-Prozedur. Strukturierte, dokumentierte, überprüfbare Verifikation von Schlüsselpersonen, gestützt auf Registerdaten, Sanktions- und Adverse-Media-Prüfungen sowie Berufs- und Bildungswerdegang und abgeschlossen mit einer menschlichen Letztprüfung, erzeugt Akten mit genau den Eigenschaften, die Auditor und Datenschutzbeauftragter suchen: nachvollziehbare Quellen, Datierungen, eine dokumentierte Entscheidung und eine Aufbewahrung, die dem BDSG entspricht. Der Indicium-Report ist für diese Klasse von Entscheidungen in regulierten Firmen gebaut. Zum Auditkontext vgl. Was Auditoren beim ISO-27001-Audit zuerst verlangen; zur Einordnung von Anhang A im Gesamtstandard ISO 27001 erklärt für regulierte Firmen.
Häufige Fragen
Was verlangt ISO 27001 A.6.1 bei der Sicherheitsüberprüfung?
Hintergrundprüfungen für alle Kandidaten, die Personal werden sollen, vor dem Eintritt in die Organisation und laufend danach. Die Tiefe muss anwendbares Recht, Regulatorik und Ethik respektieren und proportional zu Geschäftsanforderungen, Informationsklassifikation und wahrgenommenen Risiken bleiben.
Gilt die Überprüfung auch für Freelancer, Zeitarbeitskräfte und Dienstleister?
Ja. “All candidates to become personnel” schließt Mitarbeiter, Externe, temporäre und vermittelte Kräfte ein. Bei externem Personal wird die Prüfung typischerweise vertraglich mit dem Anbieter gesichert, aber die Zugriffsentcheidung und ihr Nachweis bleiben in der Verantwortung der Organisation.
Wie tief muss die Überprüfung sein?
Tief genug für die Rolle. Geschäftsanforderungen, die Einstufung der Informationen, auf die die Person zugreifen wird, und die wahrgenommenen Risiken bemessen die Prüfung, während anwendbares Recht begrenzt, was überhaupt geprüft werden darf. Eine schriftliche rollenbasierte Prüfmatrix macht diese Entscheidung überprüfbar.
Was geschieht, wenn Prüfnachweise unvollständig sind?
Die ISO/IEC 27002:2022 nennt die Optionen: Zugriff beschränken, Onboarding verzögern oder im Extremfall das Beschäftigungsverhältnis beenden. Auditoren suchen einen definierten, dokumentierten Weg, keine Improvisation.
Dieser Beitrag informiert allgemein über die Personal-Kontrollen der ISO/IEC 27001 und ihren deutschen Rechtskontext; er ersetzt keine Rechtsberatung.