Retro-Screening für Bestandsmitarbeiter: Die ISO-27001-Checkliste für Einstellungen vor A.6.1

Sie haben den Screening-Prozess für Neueinstellungen gebaut, und er funktioniert. Dann zeigt die Scope-Prüfung des ISMS das Offensichtliche: Der größte Teil der Belegschaft wurde eingestellt, bevor der Prozess existierte. ISO 27001 A.6.1 setzt sie nicht aus — die Kontrolle spricht vom Personal der Organisation, nicht von Neueintritten. Bestandsmitarbeiter nachträglich zu prüfen, ist aber rechtlich und operativ etwas anderes als die Prüfung von Bewerbern, und genau an dieser Differenz stocken die meisten Programme. Diese Checkliste geht die Retro-Screening-Entscheidung von Anfang bis Ende durch: wen zuerst prüfen, auf welcher Rechtsgrundlage, wie der Betriebsrat mitgenommen wird und was zu dokumentieren ist, damit die Priorisierung selbst das Audit übersteht.

Erstens: Nicht alle müssen gleich tief geprüft werden

Die Verhältnismäßigkeitslogik aus der Screening-Matrix gilt hier mit voller Wucht. Die Frage für eine Bestandsbelegschaft lautet nicht „Müssen wir 400 Beschäftigte durchprüfen?“, sondern „Welche Rollen tragen das Risiko, das eine nachträgliche Prüfung rechtfertigt — und in welcher Reihenfolge?” Ein Kassierer aus 2019 und ein 2019 eingestellter Treasury-Administrator wurden nach demselben Prozess eingestellt — und sind heute nicht dasselbe Risiko. Priorisieren Sie nach aktueller Rolle und aktuellem Zugriff, nicht nach Einstellungsdatum.

Der Priorisierungslauf: drei Fragen je Rolle

Führen Sie jede Bestandsrollenklasse durch drei Filter, der Reihe nach:

• Zugriff: Berührt die Rolle heute kritische Systeme, Kundengelder oder sensible Daten? Eine Führungskraft aus dem Marketing, befördert in die Plattformadministration, gehört in den ersten Eimer.
• Regime: Liegt die Rolle in einem regulierten Perimeter — Banken, Versicherungen, Energie, Gesundheit —, in dem die Aufsicht Screening für Fit-and-Proper-Zwecke erwartet? Regulierte Rollen rangieren bei gleicher Exposition vor unregulierten.
• Vertrauen: Trägt die Rolle Zeichnungsbefugnis, Freigaberechte oder physischen Zugang zu kritischen Anlagen? Das entspricht der privilegierten Stufe in der Matrix.

Rollen, die alle drei Filter verfehlen, landen in einem Später-Eimer — wobei „später“ ein terminiertes Datum sein sollte, kein Schulterzucken. Der Auditor wird fragen, wann die verbleibende Population abgedeckt wird, und „nie“ ist eine Feststellung.

Rechtsgrundlage: Warum Retro-Screening nicht Bewerber-Screening ist

Bei Bewerbern trägt § 26 BDSG die erforderlichen Prüfungen im Rahmen der Einstellungsentscheidung. Bei Bestandsbeschäftigten ändert sich die Erforderlichkeitsargumentation: Es gibt keine Einstellungsentscheidung zu bedienen, also braucht die Prüfung einen eigenen Zweck — typischerweise die Sicherheit des regulierten Betriebs, in dem die Person bereits arbeitet, oder eine vertragliche/kollektive Vereinbarung, die sie abdeckt. Zwei praktische Konsequenzen:

• Für sensible Kategorien (Führungszeugnis, Bonitätsprüfungen wo einschlägig, Sanktionen/Adverse Media für privilegierte Rollen) ist die stärkste Grundlage meist die Einwilligung, verankert in einer Betriebsvereinbarung, oder eine Betriebsvereinbarung, die die Prüfungen direkt als Teil des Beschäftigungsrahmens etabliert. Sich allein auf § 26 für tiefe Prüfungen langjährig Beschäftigter zu verlassen, ist der fragile Weg.
• Für Basiskategorien (Identitätsbestätigung, Qualifikationen, Berufswerdegang) ist die Erforderlichkeit aus der Exposition der aktuellen Rolle vertretbar — dokumentiert je Kategorie, konsistent angewandt.

Lehnt ein Bestandsbeschäftigter ab, ist die Antwort kein Kündigungstheater; es ist eine dokumentierte Risikoentscheidung — Umsetzungsoptionen, erhöhtes Monitoring oder schriftliche Annahme des Restrisikos im Einvernehmen von Führungskraft und Sicherheit. Der Zulässigkeits-Leitfaden arbeitet die Einzelfallanalyse durch; die Rechtsgrundlagen je Prüfkategorie liefert das Basismapping.

Betriebsrat zuerst, nicht zuletzt

Retro-Screening berührt die gesamte Belegschaft — genau die Situation, für die § 87 BetrVG gebaut wurde — und Betriebsräte nehmen es verhältnismäßig ernster als Bewerber-Screening. Bringen Sie den Entwurf der Betriebsvereinbarung vor jede Einzelansprache: Stufen, Prüfarten, Verfahren bei Ablehnung, Datenhandhabung und Rollout-Reihenfolge. Ein gemeinsam vereinbarter Rollout entfernt zudem den häufigsten internen Einwand — „Warum ich und nicht die?“ —, weil die Reihenfolge aus einer vereinbarten Risikologik folgt, nicht aus dem Ermessen einer Führungskraft. Die Mechanik der Mitbestimmung beschreibt das Verfahren; behandeln Sie die Vereinbarung als kritischen Pfad des Projekts.

Die Rollout-Reihenfolge, die Prüfung übersteht

Sequenzieren Sie die Population in Wellen, die exponierte zuerst:

1. Privilegiert und reguliert: Zeichnungsbefugnis, Systemadministration, Zahlungsfreigaben, Fit-and-Proper-Rollen. Das sind auch die Rollen, die Aufsicht und Auditoren am meisten interessieren — sie dienen damit als Pilot.
2. Erweitert: kundennahe Funktionen mit Treuhandpflichten, physischer Zugang zu kritischen Anlagen.
3. Standard: alle übrigen Rollen, terminiert, aber nicht dringlich.

Wellen halten das Projekt in dreifacher Hinsicht ehrlich: Die Kapazität bleibt realistisch (HR kann die Prüfungen tatsächlich durchführen), Ablehnungen tauchen auf, solange man noch Handlungsoptionen hat, und die Lehren jeder Welle (welche Betriebsratsfragen auftauchen, wie die Ausnahmequoten aussehen) fließen in die nächste. Dokumentieren Sie den Wellenplan selbst — Auditoren beproben ihn als Nachweis, dass die Organisation risikofirst gedacht hat und nicht alphabetisch.

Was je Beschäftigtem zu dokumentieren ist

Für jeden retro-geprüften Beschäftigten sollte die Akte tragen, wonach ein Auditor fragen würde: die Rollenklassifizierung und ihre Begründung, die angewandte Prüfliste, die referenzierte Rechtsgrundlage (Betriebsvereinbarungsklausel, Einwilligungsnachweis, § 26-Bewertung), die datierten Prüfergebnisse mit Quellen, die Letztentscheidung mit Prüfer und — wo einschlägig — die dokumentierte Restrisikoannahme bei Ablehnungen. Das ist derselbe Aktenstandard wie für Neueinstellungen; unterschiedlich ist nur die Rechtsgrundlagen-Spalte. Die vollständige Aktenanatomie steht in den A.6.1-Nachweiserwartungen.

Häufige Retro-Screening-Fehler

• Alle identisch prüfen „der Fairness wegen“. Gleichbehandlung ist das Gegenteil von Verhältnismäßigkeit; sie erzeugt zudem die maximale rechtliche Exposition pro Prüfung.
• Tiefe Prüfungen ohne Betriebsvereinbarung fahren. Der schnellste Weg in einen Mitbestimmungsstreit und ein stockendes Projekt.
• Kein Ablehnungspfad. Beschäftigte werden ablehnen; ein Programm ohne dokumentierte Antwort improvisiert unter Druck.
• Den Wellenplan nur intern behandeln. Er ist Audit-Nachweis — datieren, versionieren, Klassifizierungslogik sichtbar halten.
• Retro-Screening mit kontinuierlichem Monitoring verwechseln. Einmalige Nachschau und laufende Monitoring-Fähigkeit sind verschiedene Kontrollen; der Monitoring-Vergleich hält sie auseinander.

Zeitplan-Erwartungen

Für ein reguliertes Unternehmen mit 100–400 Beschäftigten eine realistische Sequenz: Betriebsvereinbarungsverhandlung läuft 4–10 Wochen und gatet alles; die privilegierte Welle ist 4–6 Wochen danach durch; volle Abdeckung landet typischerweise nach 3–6 Monaten. Die Aufschlüsselung der Umsetzungsdauer enthält die Komponentenschätzungen. Das wiederkehrende Muster: Die rechtliche und mitbestimmungsrechtliche Front dauert länger als das Screening selbst — deshalb läuft sie zuerst.

Häufige Fragen

Verlangt ISO 27001 wirklich die Prüfung von Mitarbeitern, die vor Jahren eingestellt wurden?

Die Kontrolle verlangt Screening vor Beschäftigungsbeginn und laufend, verhältnismäßig zum Risiko. Für eine bestehende Belegschaft ist die auditierbare Erwartung ein risikobasierter Abdeckungsplan in Ausführung — nicht die Behauptung, die Historie befreie jemanden. Dokumentierte, fortschreitende Wellen erfüllen das weit besser als eine stille Lücke.

Können wir Retro-Screening überspringen, wenn alle Bestandsrollen risikoarm sind?

Wenn die Dokumentation zeigt, dass jede ungeprüfte Rolle die Risikofilter tatsächlich verfehlt, ist das eine verteidigungsfähige Position fürs ISMS — mit terminiertem Überprüfungsdatum. Was scheitert, ist die Behauptung ohne Analyse.

Was tun, wenn ein Beschäftigter ablehnt?

Ablehnung dokumentieren, die Umsetzungsoption anbieten, wo eine existiert, und die Restrisikoentscheidung mit den Verantwortlichen festhalten. Ablehnung ist ein Datenpunkt für die Risikobewertung, nicht automatisch eine arbeitsrechtliche Eskalation.

Wie hängt das mit dem bestehenden Screening zusammen, das wir schon fahren?

Ist der Einstellungsprozess solide, ist das Retro-Projekt eine begrenzte Sanierung einer Population mit demselben Aktenstandard. Beginnen Sie mit der Personalsicherheits-Checkliste, um den Neueinstellungs-Pfad zu testen, und fahren Sie dann die Wellen oben gegen die Bestandsbelegschaft.

Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.