Die Screening-Matrix für ISO 27001: Prüftiefe pro Rolle, rechtssicher festgelegt

Irgendwo zwischen Kickoff-Workshop und Stage-2-Audit verlangt ein Auditor das Dokument, das zeigt, warum unterschiedliche Rollen unterschiedlich tief geprüft werden. Die meisten Organisationen können es nicht vorlegen. Sie prüfen alle ungefähr gleich — wie es der HR-Prozess schon immer tat — und können die Logik dahinter nicht erklären. Die Screening-Matrix behebt das: Sie ist das Artefakt, in dem die Verhältnismäßigkeitsanforderung der ISO 27001 aufhört, ein Satz in der Norm zu sein, und zu einer dokumentierten, verteidigungsfähigen Entscheidung wird. Dieser Leitfaden baut sie auf — inklusive der rechtlichen Grenzen, die bestimmen, was jede Stufe tatsächlich prüfen darf.

Warum die Matrix das am häufigsten beprobte A.6.1-Artefakt ist

Auditoren lesen Screening-Richtlinien nicht zum Vergnügen. Sie beproben die Matrix, weil sie die eigentliche Frage der Kontrolle beantwortet: Sind die Prüfungen verhältnismäßig zu Geschäftsanforderungen, Informationseinstufung und wahrgenommenen Risiken? Eine Matrix macht diese Verhältnismäßigkeit als Zeilen und Spalten sichtbar — Rollenklassen entlang der Seite, Prüfarten entlang der Oberseite, Entscheidungen in den Zellen. Sieht der Auditor dieselbe Tiefe beim Empfang und beim Leiter des Handels, schreibt er eine Feststellung: Die Organisation hat eine Kontrolle, aber keine risikobasierte.

Die Matrix hat außerdem eine Doppelfunktion, die viele Teams erst bemerken, wenn der Datenschutzbeauftragte danach fragt. Die Verhältnismäßigkeitslogik, die ISO je Rolle will, ist dieselbe Erforderlichkeitsdokumentation, die die DSGVO je Prüfkategorie verlangt. Ein Artefakt, zwei Adressaten. Den vollständigen Kontrollkontext liefert die A.6.1-Verhältnismäßigkeitsklausel im Detail, den schrittweisen Aufbau zeigt die Personalsicherheits-Checkliste.

Die drei bemessenden Eingangsgrößen der A.6.1

Die Norm nennt drei Eingangsgrößen. Eine funktionierende Matrix übersetzt jede in eine Variable:

• Geschäftsanforderungen: welches Regelwerk für die Rolle gilt. Bankschalter, Schadenbearbeitung und Netzleitstelle unterstehen unterschiedlichen Aufsichten mit unterschiedlichen Erwartungen.
• Informationseinstufung: auf welche Daten und Systeme die Rolle zugreift. Mandantendaten, Zahlungsdaten, Netztelemetrie und Gebäudezugang sind nicht dieselbe Exposition.
• Wahrgenommene Risiken: Privilegienstufe, Betrugsexposition und öffentliches Vertrauen. Wer Zahlungen freigeben, Konfigurationen ändern oder das Unternehmen vertreten kann, trägt Risiko auch ohne besonderen Datenzugriff.

Lässt sich keine Stufengrenze auf diese drei Variablen zurückführen, wird der Auditor fragen, warum die Grenze dort liegt, wo sie liegt.

Stufendesign: Standard, erweitert, privilegiert

Drei Stufen decken die meisten regulierten Unternehmen ab, ohne zu überkonstruieren:

• Standard: alle mit Zugriff auf Informationen oder Systeme. Basisprüfungen: Identität, Qualifikationen, Berufswerdegang.
• Erweitert: Rollen mit Vertrauensexposition — kundennahe Funktionen mit Treuhandpflichten, Personal mit physischem Zugang zu kritischen Anlagen, alle, die den Aufsichtbehörden wichtig sind. Ergänzt die Prüfungen, die eine rollenspezifische Rechtfertigung brauchen.
• Privilegiert: Rollen mit erhöhtem Zugriff oder Betrugsexposition — Systemadministratoren, Zahlungsfreigeber, Geschäftsleitung, Personen mit Zeichnungsbefugnis. Ergänzt Sanktions- und Adverse-Media-Prüfungen und die tiefste Dokumentation.

Zwei Stufen funktionieren in kleinen Unternehmen; vier laden zu ungepflegter Komplexität ein. Der Test ist nicht Eleganz, sondern Ausführbarkeit: HR muss jede neue Rolle in Minuten einordnen können, und die Einordnung muss wiederholbar sein.

Prüftiefe je Stufe

Die Tabelle ist der Kern der Matrix. Eine funktionierende Fassung für ein deutsches reguliertes Unternehmen:

Zwei Designregeln halten diese Tabelle verteidigungsfähig. Erstens: Jede Eskalation über eine Zeile braucht eine Begründung, die auf eine der drei A.6.1-Eingangsgrößen abbildet — nicht auf „das haben wir schon immer so gemacht“. Zweitens: Zellen mit „nur“ oder „risikogetriggert“ brauchen ihr Kriterium schriftlich, sonst interpretieren fünf Einstellungsverantwortliche es fünf verschieden.

Der deutsche Rechtsrahmen: Was jede Prüfung kosten darf

ISO 27001 setzt den Boden; deutsches Recht setzt die Decke. Jede Stufenentscheidung läuft durch § 26 BDSG, der Beschäftigtendatenverarbeitung erlaubt, wenn sie für das Beschäftigungsverhältnis erforderlich ist — mit der Einwilligung als Alternativweg, wo die Erforderlichkeit streitig ist. In der Praxis:

• Identität, Qualifikationen, Berufswerdegang: unter § 26 Abs. 1 für praktisch jede Rolle vertretbar. Die Erforderlichkeit je Kategorie dokumentieren, nicht je Kandidat.
• Führungszeugnis (§ 30 BZRG): rechtmäßig, wo die Rolle es rechtfertigt — typischerweise vertrauenskritische Positionen in Banken, Sicherheit und Pflege. Die Anforderung in der Stellenausschreibung nennen und die einfache oder erweiterte Fassung bewusst anfordern, nicht als Default.
• Bonitätsprüfungen: eng begrenzt. Vertretbar bei echter finanzieller Exposition; die Linie zwischen Kassierer und Controller ist entscheidend. Meist mit Einwilligung, selten für Standardrollen.
• Sanktionen, PEP und Adverse Media: vertretbar für privilegierte und risikogetriggerte Rollen; die Prüfung gehört mit schriftlichem Kriterium in die Matrix, und Ergebnisse brauchen eine menschliche Letztprüfung, um Falschtreffer zu bereinigen.

Die Rechtsgrundlagen je Prüfkategorie vertieft die Rechtsgrundlagen je Prüfkategorie; die Einzelfall-Entscheidung führt der Zulässigkeits-Leitfaden aus.

Durchgerechnetes Beispiel: Zahlungsinstitut mit 40 Beschäftigten

Ein Zahlungsinstitut mit 40 Beschäftigten auf dem Weg zur ISO 27001-Zertifizierung entwirft seine Matrix als Anhang zur Erklärung zur Anwendbarkeit. Der Auszug:

Die Begründungsspalte ist das, was Auditoren tatsächlich lesen. Sie verbindet jede Eskalation mit einer Geschäftsanforderung, einer Informationsklasse oder einem wahrgenommenen Risiko — den drei Eingangsgrößen der Norm — und mit einer Rechtsgrundlage. Fragt der Datenschutzbeauftragte dasselbe, lautet die Antwort dieselbe Spalte.

Betriebsrat und § 87 BetrVG: Wann die Matrix mitbestimmt wird

Die Einführung oder wesentliche Änderung systematischer Prüfungen löst regelmäßig Mitbestimmung aus — häufig nach § 87 Abs. 1 Nr. 6 BetrVG, wo technische Überwachung im Spiel ist, und regelmäßig über eine Betriebsvereinbarung, die Stufen, Prüfarten und Verfahren fixiert. Das ist eine Design-Eingangsgröße, kein Nachgedanke: Eine mit dem Betriebsrat abgestimmte Matrix hält der Auditorenfrage nach Akzeptanz und Konsistenz deutlich besser stand als eine einseitig verordnete. Die Mechanik beschreibt die mitbestimmungsrechtliche Dimension.

Häufige Matrix-Fehler

• Eine Tiefe für alle Rollen. Scheitert an der Verhältnismäßigkeit und verbrennt Budget für Prüfungen, die niemand brauchte.
• Stufen, die Privilegien ignorieren. Der Administrator mit Produktionszugriff, geprüft wie der Empfang, ist die häufigste Feststellung.
• Fehlende Spalten für Externe. Fremdpersonal mit Zugriff gehört in dieselbe Matrix, sonst bricht die Coverage-Erzählung — siehe Schritt 4 der Personalsicherheits-Checkliste.
• Eine Matrix, die existiert, aber nicht angewandt wird. Konsistenz wird beprobt: Haben die letzten drei Einstellungen einer Stufe unterschiedliche Prüfungen ohne dokumentierten Grund erhalten, ist die Matrix Theater.
• Kein Überprüfungsrhythmus. Rollen ändern sich; eine zwei Jahre alte Matrix passt nicht zur heutigen Privilegienlandschaft.

Die Matrix lebendig halten

Zwei Mechanismen halten sie aktuell. Erstens: jährliche Überprüfung plus Anlassprüfung bei Rollenwechsel — der Wechsel in eine privilegierte Funktion soll Neuklassifizierung auslösen und, bei höherer Stufe, ein Re-Screening. Zweitens: eine Auslöserliste je Stufe — welche Ereignisse eine Nachprüfung unabhängig vom Rollenwechsel auslösen, von Sanktionstreffern bis zu relevanter Adverse Media. Die Unterscheidung zwischen triggerbasiertem Re-Screening und kontinuierlichem Monitoring bleibt wichtig — Re-Screening-Auslöser versus kontinuierliches Monitoring erklärt, wann was passt.

Von der Matrix zur Ausführung

Die Matrix definiert die Tiefe; die Ausführung erzeugt die Nachweise. Für jede Stufe braucht die Organisation einen dokumentierten Report mit datierten Quellen, Ergebnissen je Prüfung und menschlicher Letztentscheidung — und die Matrix muss der Maßstab sein, gegen den diese Reports beim nächsten Audit gemessen werden. Diese Konsistenz unterscheidet ein Dokument von einer Kontrolle.

Häufige Fragen

Was ist der Unterschied zwischen Matrix und Screening-Richtlinie?

Die Richtlinie beschreibt den Prozess — wer prüft, wann, mit welchen Verantwortlichkeiten. Die Matrix enthält die Entscheidungen: welche Rollenklassen existieren und welche Tiefe jede erhält. Auditoren lesen zuerst die Matrix und nutzen die Richtlinie, um zu prüfen, ob die Praxis dazu passt.

Wie viele Stufen sollten wir verwenden?

Drei funktionieren für die meisten regulierten Unternehmen: Standard, erweitert, privilegiert. Zwei genügen, wenn die Rollenlandschaft wirklich binär ist; vier oder mehr nur, wenn jede Grenze gegen die drei A.6.1-Eingangsgrößen verteidigungsfähig ist.

Wem gehört die Matrix?

Typischerweise verantwortet die Sicherheits- oder ISMS-Funktion sie, HR pflegt die Rollenklassifizierungen, und Recht bzw. Datenschutz validieren die Prüfliste gegen die Grenzen des § 26 BDSG. Der Betriebsrat ist eingebunden, wo Mitbestimmung greift.

Wie beprobt ein Auditor die Matrix?

Er wählt junge Einstellungen aus jeder Stufe, zieht deren Prüfakten und Zugriffsrechte heran und prüft, ob die gelieferte Tiefe der versprochenen entspricht. Abweichungen ohne dokumentierte Begründung werden zu Feststellungen.

Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.