Grundregel: Informationen und zugehörige Assets dürfen nur für genehmigte geschäftliche Zwecke, durch berechtigte Personen, innerhalb der festgelegten Schutz- und Nutzungsregeln verwendet werden.
Private Nutzung: Eine private Nutzung dienstlicher Assets ist nicht automatisch erlaubt. Ob und in welchem Umfang sie zulässig ist, muss die Organisation unter Beteiligung der zuständigen Personal-, Datenschutz-, Rechts- und gegebenenfalls Mitbestimmungsstellen ausdrücklich festlegen.
Kein Umsetzungsnachweis: Diese Seite beschreibt das Sollverfahren der fiktiven „Muster GmbH“. Sie belegt weder einen vollständigen Assetbestand noch technisch durchgesetzte Nutzungsregeln, dokumentierte Kenntnisnahmen, kontrollierte Rückgaben oder die Wirksamkeit von Überwachungsmaßnahmen.
TISAX-Hinweis: Im Reiter „Informationssicherheit“ der ISA-Selbsteinschätzung sind alle 46 Fragen umzusetzen und zu bewerten. Einzelne Fragen werden nicht wie Controls in einer ISO-27001-SoA als „nicht anwendbar“ ausgeschlossen.
Feld
Wert
Dokumenten-ID
ISMS-MA-03-04
Dokumentenart
Richtlinie zur zulässigen Nutzung von Informationen und zugehörigen Assets
Wiki.js-Pfad
/ISMS/03-Organisation-und-Assets/Zulaessige-Nutzung-von-Assets
Verantwortlich
ISMS-Verantwortliche/r und IT-Leitung
Fachlich geprüft durch
Asset- und Information Owner, Personalwesen, Datenschutz, Recht/Compliance, IT, Einkauf und TISAX-Koordination
Freigabe durch
Geschäftsführung
Status
Entwurf – Assetbestand, private Nutzung, technische Durchsetzung, Kenntnisnahmen und Wirksamkeit nicht bestätigt
Version
0.1
Stand
23.07.2026
Nächste Prüfung
Mindestens jährlich sowie bei wesentlichen rechtlichen, technischen, organisatorischen oder vertraglichen Änderungen
Schutzklasse
Intern
ISO-Bezug
ISO/IEC 27001:2022, insbesondere Annex A 5.9 bis 5.14, 5.15 bis 5.18, 6.3, 6.5, 6.7, 7.9, 7.10, 8.1, 8.2, 8.12, 8.19 und 8.23
VDA-ISA-Bezug
ISA 6.0.3, insbesondere Kapitel 1.3 „Asset Management“ sowie verbundene Fragen zu Personal, Zugriff, Betrieb, Lieferanten und Compliance
Diese Richtlinie legt fest:
welche geschäftliche Nutzung von Informationen und Assets zulässig ist,
welche Handlungen verboten oder freigabepflichtig sind,
wie Assets ausgegeben, geschützt, verändert, transportiert und zurückgegeben werden,
welche Regeln für Geräte, Software, Konten, Netze, Cloud-Dienste und physische Medien gelten,
wie private Nutzung, BYOD und neue digitale Dienste entschieden werden,
wie Verdachtsfälle, Verlust, Verstöße und Ausnahmen behandelt werden,
welche Kenntnisnahmen, Kontrollen und Nachweise erforderlich sind.
Ziel ist, Fehlgebrauch, unberechtigte Offenlegung, Manipulation, Schadsoftware, Rechtsverstöße, Datenverlust und unnötige Risiken zu verhindern.
Die Richtlinie gilt innerhalb des ISMS-Geltungsbereichs für:
Beschäftigte, Leiharbeit, Praktikantinnen und Praktikanten,
externe Beschäftigte, Dienstleister und sonstige berechtigte Dritte,
interne und extern bereitgestellte Assets,
dauerhafte, vorübergehende und Notfallnutzung,
Nutzung an eigenen und fremden Standorten sowie mobil.
Erfasst werden insbesondere:
Informationen, Dokumente, Zeichnungen, Datenbanken und Aufzeichnungen,
Arbeitsplatz-, Mobil-, Produktions-, Labor- und Spezialgeräte,
Server, Netze, Speicher, Datenträger und Drucker,
Anwendungen, Software, Quellcode, Lizenzen und Cloud-Dienste,
Benutzer-, Administrations-, Service- und technische Konten,
Schlüssel, Zertifikate, Tokens, Ausweise und Zugangsmittel,
Räume, Schränke, Schlüssel, Fahrzeuge und sonstige physische Betriebsmittel,
Kunden-, Lieferanten- und privat eingebrachte Assets, soweit sie geschäftlich genutzt werden.
Diese Seite regelt das Verhalten bei der Nutzung. Sie ersetzt nicht:
die vollständige Bestandsführung im Asset-Inventar ,
die Schutzklassifizierung in Informationsklassifizierung ,
die Berechtigungsvergabe in Zugriff und Berechtigungen ,
die technische Konfiguration, Härtung und Überwachung,
Arbeitsvertrag, Betriebsvereinbarung, Datenschutzinformation oder individuelle Verpflichtung,
Kunden-, Lizenz-, Rechts- oder Vertragsanforderungen.
Die Erlaubnis zur Nutzung eines Assets begründet keine automatische Erlaubnis für jede Information, jeden Zweck, jeden Empfänger oder jede technische Funktion.
Begriff
Bedeutung
Asset
Information oder zugehöriger Wert, der Informationsverarbeitung ermöglicht oder schützt
Nutzer/in
Person oder technische Identität, die ein Asset verwendet
Asset Owner
Rolle, die Schutz, zulässige Nutzung, Lifecycle und Kontrollen verantwortet
Information Owner
Rolle, die Zweck, Schutzklasse, Empfängerkreis und Nutzung einer Information bestimmt
dienstliche Nutzung
Nutzung für genehmigte Aufgaben und Zwecke der Organisation
private Nutzung
Nutzung ohne unmittelbaren dienstlichen Zweck
BYOD
geschäftliche Nutzung eines privaten Geräts nach ausdrücklicher Freigabe
Schatten-IT
nicht freigegebene Software, Dienste, Geräte oder technische Lösungen
privilegierte Nutzung
Nutzung erhöhter administrativer oder sicherheitskritischer Rechte
Wechseldatenträger
transportables Medium wie USB-Speicher oder externe Festplatte
Kenntnisnahme
nachvollziehbare Bestätigung, eine gültige Regel erhalten und verstanden zu haben
Assets werden nur im erforderlichen Umfang und für legitime Zwecke genutzt.
Zugriff und Nutzung erfolgen nach Aufgabe, Need-to-know und Least Privilege.
Vorgaben der Information und Asset Owner werden beachtet.
Schutzkennzeichnungen bleiben bei Kopie, Export, Ausdruck und Übertragung erhalten.
Technische Schutzmaßnahmen werden nicht umgangen, deaktiviert oder manipuliert.
Nur freigegebene Geräte, Software, Dienste, Konten und Kommunikationswege werden genutzt.
Assets werden vor Verlust, Diebstahl, Einsicht, Beschädigung und unbefugter Veränderung geschützt.
Zugangsdaten und persönliche Berechtigungen werden nicht weitergegeben.
Sicherheitsereignisse und Verlust werden unverzüglich gemeldet.
Bei Rollenwechsel, Projektende oder Austritt werden nicht mehr benötigte Assets und Rechte zurückgegeben oder entzogen.
Eine technische Nutzungsmöglichkeit bedeutet keine organisatorische Erlaubnis.
Unklare Nutzungsfälle werden vor der Nutzung geklärt.
Rolle
Verantwortung
Geschäftsführung
Nutzungsrahmen, private Nutzung, wesentliche Ausnahmen und Ressourcen freigeben
ISMS-Verantwortung
Richtlinie koordinieren, Kontrollen und Verstöße sicherheitsbezogen auswerten
Asset Owner
zulässige Nutzung, Schutz, Lifecycle, Rückgabe und Prüfungen festlegen
Information Owner
Zweck, Schutzklasse, Empfänger, Ablage, Übertragung und Löschung entscheiden
IT-Leitung/IT-Betrieb
freigegebene Plattformen bereitstellen, technisch schützen, dokumentieren und sperren
Personalwesen
Eintritt, Wechsel, Austritt, Verpflichtung, Kenntnisnahme und arbeitsrechtliche Verfahren koordinieren
Datenschutz
Transparenz, Protokollierung, Kontrolle, private Nutzung und Betroffenenrechte prüfen
Recht/Compliance
Rechts-, Lizenz-, Vertrags-, Mitbestimmungs- und Beweisanforderungen prüfen
Einkauf
nur freigegebene Assets und Dienste beschaffen sowie Nutzungsbedingungen übertragen
Führungskraft
geschäftlichen Bedarf, Rolle, Ausstattung und Rückgabe bestätigen
Nutzende
Regeln einhalten, Assets schützen und Verlust, Mängel oder Verdacht melden
Externe Organisation
vertragliche Pflichten, Personalsteuerung und Rückgabe sicherstellen
Vor einer neuen oder geänderten Nutzung wird geprüft:
Prüffrage
Erwartung
Ist der Zweck dienstlich und genehmigt?
Aufgabe, Prozess, Projekt oder Vertrag ist bestätigt
Ist das Asset freigegeben?
Bestand, Owner, Status und Einsatzbereich sind geklärt
Ist die Person berechtigt?
Rolle, Identität, Schulung und gegebenenfalls Verpflichtung sind bestätigt
Sind Informationen zulässig?
Schutzklasse, Kunden-, Personen- und Prototypenbezug passen zum Asset
Ist der Ort zulässig?
Standort, Zone, mobiles Arbeiten und Länderbezug sind bewertet
Sind Funktionen zulässig?
Speicherung, Kamera, Mikrofon, Synchronisation, Export und Schnittstellen sind freigegeben
Sind Dritte beteiligt?
Vertrag, NDA, Auftragsverarbeitung und Unterauftragnehmer sind geprüft
Ist die Nutzung nachvollziehbar?
erforderliche Protokolle, Owner und Supportwege bestehen
Ist das Ende geregelt?
Rückgabe, Export, Löschung, Widerruf und Exit sind möglich
Bei ungeklärten Punkten wird die Nutzung nicht begonnen oder auf den bestätigten Umfang begrenzt.
Vor Ausgabe oder Freischaltung werden dokumentiert:
Asset-ID, Typ, Hersteller/Modell und gegebenenfalls Seriennummer,
empfangende Person, Organisation, Rolle und Kostenstelle/Projekt,
Asset-, System- und Information Owner,
Zustand, Zubehör, Lizenzen und Schutzklasse,
technische Baseline, Verschlüsselung, Management- und Sicherheitsstatus,
erlaubter Einsatzbereich, Standort und mögliche Einschränkungen,
Ausgabedatum, geplante Rückgabe und Bestätigung,
Support-, Verlust- und Rückgabeweg.
Die Bestätigung einer Ausgabe ersetzt nicht die regelmäßige Bestands- und Konfigurationsprüfung.
Zulässig ist grundsätzlich:
die aufgabenbezogene Verwendung bereitgestellter Assets,
die Verarbeitung freigegebener Informationsarten in geeigneten Systemen,
die Nutzung freigegebener Kommunikations-, Speicher- und Kollaborationsdienste,
die Installation oder Änderung durch befugte Rollen und Verfahren,
angemessene dienstliche Recherche und Kommunikation,
die Nutzung freigegebener Sicherheits-, Support- und Barrierefreiheitsfunktionen,
ein bestätigter Notbetrieb innerhalb des dokumentierten Notfallverfahrens.
Konkrete Einschränkungen des jeweiligen Assets oder Dienstes gehen dieser allgemeinen Regel vor.
Ohne ausdrückliche Freigabe ist insbesondere verboten:
unberechtigter Zugriff auf Informationen, Konten, Systeme oder Räume,
Weitergabe, Ausleihe oder gemeinsame Nutzung persönlicher Konten und Zugangsmittel,
Umgehung oder Deaktivierung von Sicherheits-, Protokollierungs- oder Managementfunktionen,
Installation nicht freigegebener Software, Erweiterungen, Zertifikate oder Geräte,
Nutzung privater E-Mail-, Speicher-, Messenger-, Übersetzungs-, KI- oder Transferdienste für dienstliche Informationen,
Kopieren dienstlicher Informationen auf private Geräte oder Konten,
Anschluss unbekannter oder nicht freigegebener Datenträger und Netzwerkgeräte,
rechtswidrige, diskriminierende, belästigende, täuschende oder reputationsschädigende Nutzung,
Verletzung von Urheber-, Lizenz-, Geschäftsgeheimnis-, Datenschutz- oder Exportvorgaben,
Sicherheitsprüfungen, Scans, Abhörmaßnahmen oder Umgehungsversuche ohne Auftrag,
Krypto-Mining, private Serverdienste oder vergleichbare ressourcenfremde Nutzung,
Verarbeitung echter Geheimnisse in ungeschützten Quelltexten, Skripten, Tickets oder Chatverläufen,
dauerhafte Nutzung von Notfall- oder Testkonten für den Regelbetrieb.
Die Geschäftsführung legt vor Inkraftsetzung eindeutig eine der folgenden Varianten fest:
Modell
Regel
keine private Nutzung
Assets und Dienste werden ausschließlich dienstlich genutzt
geringfügige private Nutzung
nur klar beschriebene, verhältnismäßige Nutzung innerhalb definierter Grenzen
differenziertes Modell
Nutzung je Asset, Dienst, Personengruppe oder Standort gesondert geregelt
Vor einer Erlaubnis werden mindestens geprüft:
Arbeits-, Steuer-, Lizenz-, Telekommunikations- und Datenschutzfolgen,
Mitbestimmungs- oder Beteiligungsrechte,
Protokollierung, Support, Vertretung und Zugriff bei Abwesenheit,
Malware-, Speicher-, Backup-, Archivierungs- und Löschrisiken,
Trennung privater und dienstlicher Inhalte,
zulässige Inhalte, Zeiten, Ressourcen und Ausschlüsse.
Bis zur formalen Entscheidung gilt private Nutzung nicht als freigegeben.
Nutzende:
verwenden das zugewiesene Konto und sperren den Bildschirm bei Abwesenheit,
verändern Hardware, Boot-, Sicherheits- oder Netzkonfiguration nicht unbefugt,
schließen nur freigegebene Geräte und Medien an,
speichern Informationen in vorgesehenen Ablagen,
melden ungewöhnliches Verhalten, Schäden und Verlust unverzüglich,
schützen Bildschirm, Ausdrucke und Gespräche vor Einsicht,
ermöglichen Updates, Neustarts und Wartung nach Vorgabe,
geben das Gerät nicht ohne dokumentierte Übergabe an andere Personen weiter.
Für Notebooks, Smartphones, Tablets und vergleichbare Geräte gilt:
Geräte bleiben unter persönlicher Kontrolle oder werden sicher verwahrt.
Bildschirmsperre, Verschlüsselung und Geräteverwaltung werden nicht deaktiviert.
Vertrauliche Informationen werden nicht offen in öffentlichen Bereichen verarbeitet.
Lade-, USB- und Zubehörverbindungen werden risikobasiert ausgewählt.
Geräte werden nicht unbeaufsichtigt in Fahrzeugen oder Gepäck zurückgelassen.
Reisen, Grenzübertritte und Hochrisikoländer werden vorab nach Vorgabe bewertet.
Verlust, Diebstahl oder unklarer Verbleib wird sofort gemeldet.
Einzelheiten regelt Mobile Arbeit und Cloud .
BYOD ist nur nach ausdrücklicher Regelung und technischer Freigabe zulässig.
Die Freigabe berücksichtigt:
unterstützte Gerätetypen und Betriebssysteme,
Patchstand, Verschlüsselung, Bildschirmsperre und Geräteschutz,
Trennung geschäftlicher und privater Daten,
Management-, Sperr- und Löschmöglichkeiten,
Support, Backup, Eigentum und Kosten,
Zugriff bei Verlust, Austritt oder Untersuchung,
Datenschutz der nutzenden Person und Dritter,
zulässige Informationsklassen und Anwendungen,
Rücknahme der Freigabe und Entfernung geschäftlicher Daten.
Eine Anmeldung mit einem dienstlichen Konto macht ein privates Gerät nicht automatisch zulässig.
Software wird über den freigegebenen Beschaffungs-, Freigabe- oder Verteilprozess bezogen.
Lizenzen, Hersteller, Support, Updates, Datenverwendung und Sicherheitsrisiken werden geprüft.
Installationen mit erhöhten Rechten erfolgen nur durch befugte Rollen.
Browser-Erweiterungen, Plugins, mobile Apps und Desktop-Clients gelten ebenfalls als Software.
Portable Software und eigenständige Tools sind nicht automatisch freigegeben.
Nicht mehr benötigte oder nicht unterstützte Software wird entfernt.
Open-Source-Komponenten unterliegen Herkunfts-, Lizenz- und Schwachstellenprüfung.
Privilegierte Rechte werden:
nur für eindeutig benannte administrative Aufgaben verwendet,
von normalen Benutzeraktivitäten getrennt,
nicht für E-Mail, allgemeines Browsen oder alltägliche Büroarbeit genutzt,
zeitlich begrenzt oder bedarfsgesteuert aktiviert, soweit möglich,
besonders authentisiert und protokolliert,
regelmäßig auf Notwendigkeit und Nutzung geprüft,
bei Rollenwechsel, Projektende oder Verdacht unverzüglich angepasst.
Administrationshandlungen ohne Ticket oder Auftrag sind nur innerhalb eines bestätigten Notfallverfahrens zulässig und werden nachträglich geprüft.
Persönliche Konten werden nicht geteilt.
Technische und Servicekonten erhalten Owner, Zweck, minimale Rechte und Reviewtermin.
Gemeinsame Konten werden vermieden; unvermeidbare Fälle benötigen dokumentierte Verantwortlichkeit und individuelle Nachvollziehbarkeit.
Kennwörter, Tokens und Secrets werden nicht in ungeschützten Dateien oder Nachrichten gespeichert.
Konten werden nicht für andere Zwecke oder Systeme wiederverwendet, wenn dadurch Risiken entstehen.
Inaktive, abgelaufene oder verwaiste Konten werden gesperrt oder entfernt.
Zulässige Nutzung umfasst geschäftliche Kommunikation und Recherche innerhalb der Schutzregeln.
Nutzende:
prüfen Absender, Links, Anhänge und Empfänger,
melden Phishing, verdächtige Inhalte und Fehlversand,
verwenden keine automatische externe Weiterleitung ohne Freigabe,
laden dienstliche Inhalte nicht in private oder nicht freigegebene Dienste,
veröffentlichen keine internen Informationen in Foren oder sozialen Netzwerken,
beachten Schutzklassen, Urheberrecht und Kommunikationsregeln,
umgehen keine Web-, E-Mail- oder Sicherheitsfilter.
Details zur Weitergabe enthält Informationsübertragung .
Ein Cloud- oder SaaS-Dienst darf erst genutzt werden, wenn:
geschäftlicher Owner und Zweck benannt sind,
Informationsarten und Schutzklassen zugelassen sind,
Anbieter, Unterauftragnehmer, Standorte und Zugriffe bewertet sind,
Identitäten, Rollen, Konfiguration und Protokollierung festgelegt sind,
Vertrag, Datenschutz, Kundenanforderungen und Exit geprüft sind,
Backup, Export, Wiederanlauf und Löschung geregelt sind,
die Nutzung in Asset- und Diensteregister aufgenommen wurde.
Eine kostenlose Testversion, ein persönliches Konto oder eine bereits vorhandene Lizenz gilt nicht als Freigabe.
Vor Eingabe, Upload oder automatisierter Übergabe dienstlicher Inhalte werden geprüft:
ausdrückliche Dienstfreigabe und zulässiger Anwendungsfall,
Schutzklasse und Personen-, Kunden-, Prototypen- oder Geheimnisbezug,
Training, Speicherung, Protokollierung und Weiterverwendung durch Anbieter,
Unterauftragnehmer, Länder und Vertragsbedingungen,
Urheber-, Lizenz-, Datenschutz- und Geschäftsgeheimnisanforderungen,
Ergebnisqualität, menschliche Prüfung und Verantwortlichkeit,
Löschung, Export, Sperrung und Nachweis.
Nicht freigegebene öffentliche KI-Dienste dürfen keine internen oder schutzbedürftigen Informationen erhalten.
Wechseldatenträger werden nur verwendet, wenn:
ein bestätigter Bedarf besteht,
das Medium freigegeben, inventarisiert und angemessen verschlüsselt ist,
Herkunft und Empfänger bekannt sind,
eine Schadsoftwareprüfung erfolgt,
Übergabe, Rückgabe und Löschung geregelt sind,
Daten nach Ende des Zwecks entfernt werden.
Unbekannte, private oder gefundene Medien werden nicht angeschlossen.
Ausdrucke werden auf das Erforderliche begrenzt.
Vertrauliche Drucke werden unmittelbar oder authentisiert abgeholt.
Unterlagen werden klassifiziert, geschützt transportiert und sicher verwahrt.
Fehl-, Probe- und Restdrucke werden über den vorgesehenen Weg vernichtet.
Besprechungsunterlagen, Notizen, Whiteboards und Flipcharts werden nach Nutzung kontrolliert.
Papierinformationen werden nicht als weniger schutzbedürftig als digitale Informationen behandelt.
Fotos, Video, Audio, Bildschirmaufnahmen und Transkriptionen sind nur zulässig, wenn:
Zweck und betroffene Inhalte freigegeben sind,
Personen, Kunden-, Prototypen- und Standortregeln beachtet werden,
Teilnehmende angemessen informiert und erforderliche Zustimmungen eingeholt sind,
Aufnahmegerät, Dienst, Ablage, Empfänger und Löschung zugelassen sind,
vertrauliche Hintergründe, Bildschirme, Kennzeichen und Dokumente geschützt werden.
Automatische Transkription, Meeting-Bots oder KI-Zusammenfassungen sind gesondert zu bewerten.
Es werden nur freigegebene Netzwerkzugänge, VPN-, WLAN- und Fernzugriffslösungen verwendet.
Zugangsdaten, Zertifikate und Tokens werden geschützt.
Fremde oder öffentliche Netze werden nur innerhalb der vorgesehenen Schutzmaßnahmen genutzt.
Eigene Router, Access Points, Tethering- oder Tunnel-Lösungen werden nicht unbefugt angeschlossen.
Fernzugriffe von Dienstleistern werden benannt, genehmigt, begrenzt und nachvollziehbar gemacht.
Netzsegmentierung, Filter und Sicherheitskontrollen werden nicht umgangen.
Informationen werden in freigegebenen Ablagen gespeichert.
Lokale Kopien werden auf das notwendige Maß und die erforderliche Dauer begrenzt.
Desktop, Downloadordner, temporäre Ordner und lokale Archive sind keine automatisch geeigneten Dauerablagen.
Synchronisation und Offline-Nutzung werden nach Schutzklasse gesteuert.
Private Speicher, unkontrollierte Netzlaufwerke und nicht freigegebene Cloud-Ablagen sind unzulässig.
Duplikate, Exporte und Arbeitskopien werden in Aufbewahrung und Löschung einbezogen.
Schutzklasse und Owner bleiben bei Kopien erhalten.
Informationen werden nur:
an verifizierte und berechtigte Empfänger,
über freigegebene Kanäle,
mit angemessenem Verschlüsselungs- und Zugriffsschutz,
innerhalb bestätigter Kunden-, Vertrags-, Datenschutz- und Exportregeln,
mit erforderlicher Freigabe, Befristung und Nachweisführung
übertragen. Das Detailverfahren regelt Informationsübertragung .
Persönliche Authentisierungsmittel werden nicht weitergegeben.
Kennwörter und Secrets werden nicht offen notiert oder in ungeschützten Dateien gespeichert.
MFA-Verfahren werden nicht durch unbefugte Freigaben, Weitergabe oder Ermüdungsbestätigung umgangen.
Unverlangte oder ungewöhnliche Anmeldebestätigungen werden abgelehnt und gemeldet.
Schlüssel, Zertifikate, Tokens und Ausweise werden bei Verlust oder Verdacht unverzüglich gesperrt.
Private Passwortspeicher oder Browser-Synchronisationen werden nicht ohne Freigabe verwendet.
Nutzende verändern ohne Befugnis nicht:
Hardware, Firmware, Betriebssystem oder Sicherheitsfunktionen,
Netz-, Proxy-, DNS-, VPN- oder Firewallkonfiguration,
Geräteverwaltung, Verschlüsselung oder Endpoint-Schutz,
Protokollierung, Zeitsynchronisation oder Monitoring,
installierte Software, Startmechanismen oder Browserrichtlinien,
Eigentums-, Inventar- oder Schutzkennzeichnungen.
Erforderliche Änderungen folgen IT-Betrieb und Änderungen .
Nutzende:
lassen bereitgestellte Updates und erforderliche Neustarts zu,
verschieben Sicherheitsupdates nicht unbefugt,
verwenden keine nicht unterstützten oder manipulierten Softwarestände,
melden fehlgeschlagene Updates und auffälliges Verhalten,
übergeben Geräte für geplante Prüfungen und Wartung,
nutzen nur bestätigte Support- und Reparaturwege.
Eigenmächtiges Zurücksetzen, Neuinstallieren oder Reparieren kann Informationen und Nachweise gefährden und ist daher nicht zulässig.
¶ 30. Physischer Schutz und Nutzung außerhalb von StandortenAssets werden:
in vorgesehenen Sicherheitsbereichen genutzt und verwahrt,
nicht unbeaufsichtigt öffentlich zugänglich gelassen,
vor Einsicht, Mithören, Manipulation, Umweltgefahren und Diebstahl geschützt,
nur mit bestätigter Erlaubnis aus Sicherheitsbereichen oder Standorten entfernt,
bei Transport angemessen verpackt und kontrolliert,
nicht ohne Freigabe an Privatadressen, Hotels, Fahrzeuge oder Dritte geliefert.
Einzelheiten regeln Physische Sicherheit und Standorte und Sicherheitsbereiche .
Bei Kunden- oder Prototypenbezug gelten zusätzlich:
eindeutige Eigentums- und Projektzuordnung,
Kundenklassifizierung, NDA und vertragliche Nutzungsgrenzen,
benannte und geschulte Nutzergruppen,
Standort-, Zonen-, Foto-, Transport- und Besuchsregeln,
keine private oder projektfremde Nutzung,
kontrollierte Vervielfältigung, Weitergabe und Ausstellung,
Rückgabe, Vernichtung oder Nachweis nach Kundenanforderung.
Details enthält Prototypenschutz .
Nutzung erfolgt nur durch qualifizierte und autorisierte Personen.
Sicherheits-, Schutz-, Qualitäts- und Betriebsfunktionen werden nicht umgangen.
Fremdgeräte, Fernzugriffe und Wechselmedien benötigen Freigabe.
Änderungen, Wartung und Diagnose werden dokumentiert und kontrolliert.
Produktions- und Sicherheitsdaten werden nur in vorgesehenen Systemen verarbeitet.
Notfallhandlungen werden nachträglich geprüft und in den Regelzustand zurückgeführt.
Sicherheit von Personen und Anlagen hat Vorrang; Informationssicherheitsfolgen werden anschließend kontrolliert behandelt.
Repositories und Projektbereiche werden nur für genehmigte Inhalte genutzt.
Geheimnisse, produktive Zugangsdaten und vertrauliche Daten werden nicht ungeschützt eingecheckt.
Fremdcode, Bibliotheken und Werkzeuge werden auf Herkunft, Lizenz und Risiken geprüft.
Kopien auf private Repositories oder Konten sind unzulässig.
Test-, Build- und Release-Ressourcen werden zweckgebunden verwendet.
Entwicklungszugänge werden bei Rollen- oder Projektende entzogen.
Weitere Anforderungen enthält Sichere Entwicklung .
Nutzende:
öffnen unbekannte Links, Anhänge und Medien nicht ungeprüft,
umgehen keine Warnungen oder Blockierungen,
bestätigen keine ungewöhnlichen MFA-, Zahlungs- oder Änderungsanfragen,
melden verdächtige Kontakte, Webseiten, Dateien und Geräte,
installieren keine vermeintlichen Support- oder Sicherheitswerkzeuge auf Zuruf,
verifizieren sicherheitskritische Anweisungen über bekannte unabhängige Kontaktwege.
Geschäftliche Informationen werden in vorgesehenen, gesicherten Systemen gespeichert.
Private oder lokale Sicherungskopien werden nicht eigenmächtig erstellt.
Verschlüsselte Archive oder Schattenkopien dürfen zentrale Sicherungs-, Aufbewahrungs- oder Löschregeln nicht umgehen.
Nutzende melden fehlende oder fehlerhafte Sicherung relevanter Informationen.
Wiederhergestellte Daten werden auf Berechtigung, Integrität und aktuelle Schutzklasse geprüft.
Ein Asset wird nur weitergegeben, wenn:
Empfänger, Zweck und Zeitraum bestätigt sind,
Inventar- und Zuordnungsdaten aktualisiert werden,
enthaltene Informationen und lokale Kopien geprüft sind,
Zugangsdaten nicht mit dem Asset gemeinsam weitergegeben werden,
Zustand, Zubehör und Schutzmaßnahmen dokumentiert sind,
erforderliche Einweisung und Rückgabe festgelegt sind.
Eine informelle Übergabe im Team ersetzt keine kontrollierte Zuordnung.
Bei Verlust, Diebstahl, Manipulationsverdacht oder erheblicher Beschädigung:
unverzüglich den Meldeweg für Sicherheitsvorfälle nutzen,
Asset, Zeitpunkt, Ort, Daten, Nutzerkonto und letzte bekannte Nutzung angeben,
keine eigenmächtigen Lösch-, Ortungs- oder Kontaktmaßnahmen durchführen, wenn dadurch Beweise oder Personen gefährdet werden,
Sperrung, Widerruf, Ortung oder Remote-Löschung durch befugte Rollen veranlassen,
Datenschutz-, Kunden-, Vertrags- und Meldepflichten bewerten,
Ersatz, Wiederherstellung und Ursachenbehandlung dokumentieren.
¶ 38. Sicherheitsmängel und unsicherer ZustandAssets werden nicht weiter genutzt oder nur kontrolliert eingeschränkt genutzt, wenn:
Manipulation oder Kompromittierung vermutet wird,
Sicherheitsfunktionen fehlen oder deaktiviert sind,
kritische Updates, Zertifikate oder Support ausgelaufen sind,
Eigentum oder Herkunft unklar ist,
ungewöhnliche Konten, Prozesse, Pop-ups oder Netzaktivitäten auftreten,
das Asset verloren gemeldet war,
eine zuständige Rolle die Nutzung sperrt.
Der Zustand wird gemeldet, dokumentiert und vor Wiederfreigabe geprüft.
Vor erster Nutzung werden:
Identität, Rolle, geschäftlicher Bedarf und Genehmigung bestätigt,
erforderliche Assets und Berechtigungen zugewiesen,
Nutzungs-, Geheimhaltungs- und Sicherheitsregeln vermittelt,
Kenntnisnahme und notwendige Schulung dokumentiert.
Bei Rollen- oder Projektwechsel werden Assets, Informationen, Gruppen, Lizenzen, lokale Kopien und Rechte geprüft, neu zugeordnet oder entzogen.
Rückgabe wird ausgelöst durch:
Austritt oder Vertragsende,
Rollen-, Projekt- oder Standortwechsel,
Austausch, Reparatur, Leasingende oder Außerbetriebnahme,
Entzug der Nutzungserlaubnis,
Aufforderung des Asset Owners oder Kunden.
Die Rückgabe umfasst mindestens:
Prüffeld
Nachweis
physische Assets
Gerät, Zubehör, Datenträger, Schlüssel, Ausweise und Unterlagen
digitale Assets
Dateien, lokale Kopien, Repositories, Cloud-Ablagen und Exporte
Zugänge
Konten, Tokens, Zertifikate, VPN, Gäste und API-Schlüssel
Zuordnung
Inventar, Owner, Nutzer, Zustand und Datum aktualisiert
Übergabe
Aufgaben, Informationen und Verantwortung an benannte Rolle
Löschung
private Inhalte nach gültiger Regel, geschäftliche Daten kontrolliert gesichert/entfernt
Abschluss
offene Abweichungen, Verlust oder fehlende Teile dokumentiert und eskaliert
Die Rückgabe wird mit Personal und Schulungen und Zugriff und Berechtigungen abgestimmt.
Vor externer Reparatur, Austausch oder Entsorgung werden:
enthaltene Informationen und Schutzklasse bewertet,
Daten gesichert und soweit möglich sicher entfernt,
Konten, Tokens, eSIMs, Zertifikate und Gerätemanagement behandelt,
Dienstleister und Transportweg freigegeben,
Übergabe, Kette und Ergebnis dokumentiert,
Lösch- oder Vernichtungsnachweise risikobasiert eingeholt,
Inventar und Ersatzzuordnung aktualisiert.
Ein Zurücksetzen auf Werkseinstellungen allein gilt nicht automatisch als sicherer Lösch- oder Vernichtungsnachweis.
Geeignete Nachweise sind:
Asset- und Nutzerzuordnung,
Ausgabe-, Übergabe-, Rückgabe- und Vernichtungsprotokolle,
Freigaben für Software, Cloud, BYOD, Reise oder Ausnahme,
Kenntnisnahmen und Schulungsnachweise,
Konfigurations-, Verschlüsselungs-, Management- und Patchstatus,
Lizenz- und Vertragsnachweise,
Verlust-, Incident- und Wiederherstellungsaufzeichnungen,
Kontrollstichproben und Korrekturmaßnahmen.
Nachweise werden entsprechend Schutzbedarf, Datenschutz und Aufbewahrungsanforderungen geschützt.
Kontrollen dürfen nur mit bestätigtem Zweck, Rechtsgrund, angemessener Transparenz und Verhältnismäßigkeit erfolgen.
Zu regeln sind:
protokollierte Ereignisse und Datenfelder,
Sicherheits-, Betriebs-, Compliance- oder Abrechnungszweck,
Verantwortliche und berechtigte Auswertende,
Aufbewahrung, Schutz und Löschung,
Schwellen, Alarme und Eskalation,
Umgang mit privater Nutzung und personenbezogenen Daten,
Mitbestimmung und Information der Betroffenen,
Verbot zweckfremder oder anlasslos unverhältnismäßiger Auswertung.
Diese Richtlinie schafft allein keine Rechtsgrundlage für Beschäftigtenüberwachung.
Bei Verdacht:
Meldung und Ersteinschätzung über zuständige Sicherheitsrolle,
Schutz von Personen, Betrieb, Beweisen und betroffenen Informationen,
Festlegung von Untersuchungsauftrag, Befugnis und Vertraulichkeit,
Beteiligung von Personal, Datenschutz, Recht und gegebenenfalls Mitbestimmung,
verhältnismäßige Sicherung und Auswertung relevanter Nachweise,
Anhörung und faire Sachverhaltsklärung nach anwendbarem Verfahren,
technische, organisatorische und gegebenenfalls arbeitsrechtliche Maßnahmen,
Ursachenanalyse und Verbesserung.
Unbestätigte Verdächtigungen werden nicht unnötig verbreitet.
Mögliche Folgen richten sich nach Schwere, Vorsatz, Wiederholung, Schaden, Rechtslage und vertraglichen Regelungen:
Beratung oder Nachschulung,
technische Einschränkung oder Entzug von Rechten,
Korrektur- und Schutzmaßnahmen,
Behandlung als Sicherheitsvorfall,
vertragliche oder arbeitsrechtliche Schritte durch befugte Stellen,
Schadens-, Melde- oder Strafverfolgungsprüfung,
Lieferanteneskalation oder Vertragsmaßnahmen.
Entscheidungen erfolgen nicht automatisch allein aufgrund eines technischen Alarms.
Ausnahmen werden nach Ausnahmen und Risikoakzeptanzen behandelt und enthalten:
konkretes Asset, Personengruppe, Zweck und Zeitraum,
betroffene Nutzungsregel und Begründung,
Risiko- und Anforderungsbewertung,
kompensierende Maßnahmen,
Verantwortliche und befugte Genehmigung,
Ablaufdatum, Review und Beendigungsnachweis.
Eine Ausnahme erlaubt keine zwingend rechtswidrige oder eindeutig vertragswidrige Nutzung.
Vor Nutzung und regelmäßig danach werden behandelt:
zulässige und verbotene Nutzung,
Schutzklassen, Ablagen und Übertragungswege,
Geräte-, Software-, Cloud-, KI- und BYOD-Regeln,
Passwörter, MFA und Social Engineering,
mobile Arbeit, Reisen und physischer Schutz,
Verlust-, Incident- und Fehlversandmeldung,
Rückgabe, Löschung und Projekt-/Rollenwechsel,
Folgen und Ansprechpartner.
Kenntnisnahme, Version, Personengruppe, Zeitpunkt und erforderliche Verständniskontrolle werden nachvollziehbar dokumentiert.
Kontrolle
mögliche Stichprobe
Frequenz im Entwurf
Assetzuordnung
Inventar gegen Personen, Standort und tatsächlichen Bestand
mindestens jährlich und ereignisbezogen
freigegebene Software/Dienste
Installationen und Cloud-Nutzung gegen Freigaberegister
regelmäßig
Endgeräteschutz
Verschlüsselung, Management, Patchstand und Sperre
regelmäßig
privilegierte Nutzung
Rechte, Aktivitäten, Auftrag und Review
risikobasiert
externe/private Ablagen
technische und organisatorische Prüfung
risikobasiert
Rückgabe
Eintritt-/Wechsel-/Austrittsstichprobe
regelmäßig
Wechseldatenträger
Inventar, Verschlüsselung, Übergabe und Löschung
regelmäßig
Ausnahmen
Ablauf, Kompensation und tatsächliche Beendigung
mindestens quartalsweise
Kenntnisnahmen
Abdeckung und Aktualität
mindestens jährlich
Verlust-/Verstoßfälle
Reaktion, Ursachen und Maßnahmen
je Ereignis
Kennzahl
Definition
Ziel im Entwurf
Assets mit bestätigtem Owner und Nutzer
vollständig zugeordnet / relevante Assets
Zielwert festzulegen
verwaltete und verschlüsselte Endgeräte
konform / relevante Endgeräte
Zielwert festzulegen
nicht freigegebene Software/Dienste
bestätigte Fälle nach Kritikalität
0 kritische angestrebt
fristgerechte Rückgaben
vollständig und fristgerecht / fällige Rückgaben
Zielwert festzulegen
verwaiste Konten/Assets
bestätigte Fälle
0 kritische
aktuelle Kenntnisnahmen
gültig bestätigt / betroffene Personen
Zielwert festzulegen
überfällige Ausnahmen
Anzahl
0
Assetverlust und Fehlgebrauch
Ereignisse nach Ursache und Auswirkung
Trend bewerten
erfolgreich geprüfte Kontrollfälle
bestanden / geplante Stichproben
Zielwert festzulegen
Fehlende Bestandsdaten oder Meldungen werden nicht als vollständige Konformität interpretiert.
ISO/IEC-27001:2022-Control
Beitrag dieser Seite
A.5.9 Inventar von Informationen und anderen zugehörigen Assets
Zuordnung, Nutzung, Status und Nachweise
A.5.10 Zulässige Nutzung von Informationen und anderen zugehörigen Assets
Verhaltens-, Nutzungs-, Freigabe- und Verbotsregeln
A.5.11 Rückgabe von Assets
Rückgabe-, Übergabe-, Zugangs- und Abschlusskontrollen
A.5.12 bis A.5.14
Klassifizierung, Kennzeichnung und Übertragung
A.5.15 bis A.5.18
zulässige Nutzung von Identitäten, Konten und Rechten
A.6.3/A.6.5/A.6.7
Schulung, Pflichten nach Wechsel/Beendigung und mobile Arbeit
A.7.9/A.7.10
Schutz außerhalb von Standorten und Speichermedien
A.8.1/A.8.2
Benutzerendgeräte und privilegierte Rechte
A.8.12/A.8.19/A.8.23
Datenabfluss, Softwareinstallation und Webfilterung
Die verbindliche Anwendbarkeit und der Umsetzungsstatus werden im Statement of Applicability geführt. Die Seite allein belegt keinen umgesetzten Control.
Die Richtlinie unterstützt insbesondere:
Kapitel 1.3 Asset Management,
Kapitel 2 Personal,
Kapitel 3 Physische Sicherheit,
Kapitel 4 Identitäts- und Zugriffsmanagement,
Kapitel 5.2 Betriebssicherheit,
Kapitel 6 Lieferantenbeziehungen,
Kapitel 7 Compliance.
Verbindliche Bewertungsregeln:
Alle 46 Fragen des Reiters „Informationssicherheit“ werden einzeln umgesetzt und bewertet.
Keine dieser Fragen wird wegen einer SoA-Entscheidung pauschal als „nicht anwendbar“ behandelt.
Eine Richtlinie und Kenntnisnahme belegen noch keine technisch durchgesetzte oder wirksame Nutzungskontrolle.
Reifegrad benötigt reale Asset-, Nutzer-, Konfigurations-, Rückgabe- und Kontrollnachweise.
Die Regelung unterstützt insbesondere:
Referenz
Zusammenhang
RIS-2026-001
Zugangsdaten, vertrauliche Kundenzeichnungen und Berechtigungsnutzung
RIS-2026-002
Schadsoftware, Endgeräte und Betriebsressourcen
RIS-2026-004
externe Fernzugriffe und Dienstleisterkonten
RIS-2026-005
Fehlversand, Freigaben und nicht zugelassene Dienste
RIS-2026-010
ungepatchte Systeme und nicht freigegebene Software
RIS-2026-011
Verlust mobiler Endgeräte
RIS-2026-013
Komponenten, Software und IKT-Lieferkette
RIS-2026-014
Phishing, Kontoübernahme und Social Engineering
Die Verweise verändern weder Bewertung noch Status im Risikoregister .
Prüfaspekt
Status am 23.07.2026
Sollregelung erstellt
Ja, als Entwurf
vollständiger Asset- und Nutzerbestand
Nicht nachgewiesen
private Nutzung verbindlich entschieden
Nein
BYOD-Regel und technischer Standard
Nicht nachgewiesen
Software-/Cloud-Freigaberegister
Nicht vollständig nachgewiesen
technische Durchsetzung
Nicht geprüft
Protokollierungs- und Kontrollkonzept
Nicht bestätigt
Kenntnisnahmen und Schulungen
Nicht nachgewiesen
Rückgabe- und Löschstichproben
Nicht durchgeführt
Ausnahmebestand
Nicht bestätigt
fachliche Prüfung
Ausstehend
Geschäftsführungsfreigabe
Ausstehend
46 ISA-Informationssicherheitsfragen bewertet
Nein; 0 von 46
Prüffrage
Status Entwurf
Ist der reale Asset- und Nutzerbestand vollständig?
Nein
Sind erlaubte und verbotene Nutzungen eindeutig?
Im Entwurf; organisationsspezifisch zu bestätigen
Ist die private Nutzung verbindlich geregelt?
Nein
Sind BYOD, Cloud, KI und Schatten-IT abgedeckt?
Als Soll beschrieben; reale Freigaben offen
Sind privilegierte, technische und externe Konten einbezogen?
Als Soll beschrieben; Bestand offen
Sind technische Kontrollen und Protokollierung verhältnismäßig?
Nicht geprüft
Sind Datenschutz, Personal, Recht und Mitbestimmung beteiligt?
Ausstehend
Funktionieren Verlust-, Rückgabe-, Lösch- und Sperrverfahren praktisch?
Nicht getestet
Sind externe Personen und Lieferanten verpflichtet?
Nicht vollständig nachgewiesen
Sind Ausnahmen befristet und wirksam beendet?
Nicht nachgewiesen
Sind alle 46 ISA-Informationssicherheitsfragen bewertet?
Nein; 0 von 46
Liegen fachliche Prüfung und Geschäftsführungsfreigabe vor?
Nein
Version
Datum
Änderung
Erstellt/geändert durch
Freigabe
Freigabedatum
0.1
23.07.2026
Nutzungsregeln für Informationen, Geräte, Software, Konten, Netze, Cloud-Dienste und physische Assets angelegt
ISMS / IT
Ausstehend
–
Funktion
Name
Entscheidung
Datum
ISMS-Verantwortung
–
Fachliche Prüfung ausstehend
–
IT-Leitung
–
technische Prüfung ausstehend
–
Personal/Datenschutz/Recht
–
Nutzungs- und Kontrollprüfung ausstehend
–
Geschäftsführung
–
Freigabe ausstehend
–
Normtexte, VDA-ISA, Rechtsquellen, Kundenverträge, Betriebsvereinbarungen und aktuelle technische Empfehlungen sind in ihrer jeweils gültigen Fassung separat zu prüfen. Diese Seite schafft keine eigenständige Rechtsgrundlage für Überwachung oder arbeitsrechtliche Maßnahmen.