Beispieldokument: Diese Regelung beschreibt den Sollprozess für die fiktive „Muster GmbH“. Reale mobile Arbeitsplätze, Geräte, Cloud-Dienste, Anbieter, Regionen, Datenflüsse, Verträge, Konfigurationen, Freigaben und Wirksamkeitsnachweise sind noch nicht vollständig erfasst oder bestätigt. Die Seite allein erteilt keine pauschale Homeoffice-, BYOD- oder Cloud-Freigabe.
Nachweisregel: Geräteverschlüsselung, ein Cloud-Zertifikat, eine freigegebene App oder der Hinweis „Daten liegen in der EU“ belegen nicht allein die sichere und zulässige Nutzung. Gerät, Identität, Daten, Konfiguration, Anbieter, Unterauftragnehmer, Betrieb, Wiederherstellung und Exit werden gemeinsam bewertet.
TISAX-Hinweis: Mobile Arbeit und Cloud-Nutzung unterstützen mehrere Kapitel des Kriterienkatalogs Informationssicherheit. Alle 46 Informationssicherheitsfragen werden umgesetzt und bewertet; eine individuelle Auswahl „anwendbar/nicht anwendbar“ wie in der Statement of Applicability ist nicht vorgesehen.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-MA-04-08 |
| Dokumentenart | Regelung / Mobile Arbeit, mobile Geräte und Cloud-Nutzung |
| Wiki.js-Pfad | /ISMS/04-Sicherheitsregelungen/Mobile-Arbeit-und-Cloud |
| Verantwortlich | IT-Leitung |
| Fachlich geprüft durch | ISMS-Beauftragte/r, Datenschutz, Personalwesen, Einkauf, Recht, betroffene Service-, Information- und Prozess Owner |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Gerätebestand, Cloud-Portfolio, Konfiguration und Wirksamkeit nicht bestätigt |
| Version | 0.1 |
| Stand | 23.07.2026 |
| Gültig ab | Nach Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Intern; technische Konfigurationen, Verträge, Zugänge und Datenflüsse Vertraulich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Annex A 5.10, A 5.14, A 5.19 bis A 5.23, A 6.7, A 7.9, A 8.1, A 8.5, A 8.12 und A 8.24 |
| VDA-ISA-Bezug | ISA 6.0.3, insbesondere Kapitel 2.1, 3.1, 4.1/4.2, 5.2, 5.3 und 6.1 |
Diese Regelung legt fest, wie dienstliche Informationen bei mobiler Arbeit, auf mobilen Geräten und in Cloud-Diensten sicher und nachvollziehbar verarbeitet werden.
Sie soll sicherstellen, dass:
Die Regelung gilt für:
Der konkrete Umfang wird mit Geltungsbereich und Standorte, Asset-Inventar und Lieferanten und Dienstleister abgeglichen.
| Begriff | Bedeutung |
|---|---|
| Mobile Arbeit | Arbeit außerhalb der betrieblichen Arbeitsplätze an wechselnden Orten |
| Telearbeit | Organisatorisch eingerichtete Arbeit an einem fest vereinbarten externen Arbeitsplatz |
| BYOD | Dienstliche Nutzung eines privaten Endgeräts nach ausdrücklicher Regelung |
| Cloud-Dienst | Extern bereitgestellte, netzbasiert nutzbare IT-Leistung |
| SaaS | Anbieter betreibt die Anwendung; Kunde steuert insbesondere Nutzung, Daten, Identitäten und Konfiguration |
| PaaS | Anbieter betreibt Plattformanteile; Kunde verantwortet zusätzlich Anwendung und Daten |
| IaaS | Anbieter betreibt Basisinfrastruktur; Kunde verantwortet unter anderem Betriebssysteme, Anwendungen, Daten und viele Kontrollen |
| Shared Responsibility | Aufteilung der Sicherheitsaufgaben zwischen Anbieter, Kunde und gegebenenfalls weiteren Parteien |
| Tenant/Mandant | Logisch abgegrenzte Kundenumgebung eines Cloud-Dienstes |
| Schatten-IT | Nicht freigegebene Software, Cloud- oder Kommunikationsnutzung |
Die konkrete Verantwortungsgrenze wird je Dienst dokumentiert. „Der Anbieter macht das“ ist ohne Leistungs-, Konfigurations- und Nachweisbezug keine ausreichende Zuordnung.
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Nutzungsrahmen, Ressourcen und wesentliche Restrisiken entscheiden |
| IT-Leitung | Geräte-, Remotezugriffs- und Cloud-Betriebsmodell verantworten |
| Service Owner | Zweck, Kritikalität, Anforderungen, Anbieterleistung und Exit steuern |
| Information Owner | zulässige Daten, Klassifizierung, Freigaben und Aufbewahrung bestimmen |
| Beschäftigte | Regeln einhalten, Geräte schützen und Ereignisse unverzüglich melden |
| Personalwesen | Vereinbarungen, Rollenwechsel, Rückgabe und Schulung unterstützen |
| Informationssicherheit | Risiko, technische Baseline, Ausnahmen und Wirksamkeit prüfen |
| Datenschutz | Verarbeitung, Verträge, Regionen, Transfers und Betroffenenrechte prüfen |
| Einkauf/Recht | Anbieter-, Vertrags-, Unterauftragnehmer- und Exitbedingungen steuern |
| IT-Betrieb/MDM | Geräte, Konfiguration, Updates, Sperrung und Nachweise betreiben |
| Incident Response | Verlust-, Konto-, Daten- und Cloud-Vorfälle behandeln |
| Interne Audits | Prozess und Wirksamkeit anhand von Stichproben prüfen |
Vor Freigabe werden geprüft:
| Person/Rolle | Tätigkeit | Datenklasse | zulässige Orte | Gerät | Auflagen | Freigabe | Review |
|---|---|---|---|---|---|---|---|
| Noch zu erfassen | Noch zu erfassen | Nicht bewertet | Nicht festgelegt | Nicht zugeordnet | Nicht definiert | Ausstehend | – |
| Umgebung | Grundsatz |
|---|---|
| häuslicher Arbeitsplatz | unbefugter Zugriff, Mithören, Papier und Bildschirm angemessen verhindern |
| Kunde/Lieferant | eigene und fremde Sicherheitsregeln, Daten- und Netztrennung beachten |
| Hotel | Gerät, Unterlagen und Gespräche besonders schützen; keine unbeaufsichtigte offene Ablage |
| Zug/Flugzeug/öffentlicher Raum | vertrauliche Inhalte nur bei ausreichendem Sicht- und Mithörschutz |
| Co-Working | Zutritt, Netz, Aufbewahrung, Druck und Gesprächsschutz vorab bewerten |
| Ausland | Reise-, Rechts-, Kunden-, Transfer-, Beschlagnahme- und Supportrisiken vorab prüfen |
Besonders vertrauliche oder prototypenbezogene Informationen können für mobile Verarbeitung vollständig ausgeschlossen werden.
Die Schnittstelle wird in Physische Sicherheit vertieft.
| Feld | Mindestinhalt |
|---|---|
| Geräte-ID | eindeutige Inventarreferenz |
| Typ/Modell | Laptop, Smartphone, Tablet oder Medium |
| Owner/Nutzer | verantwortliche Rolle und zugeordnete Person |
| Betriebssystem/Support | Version, Patchstand und EOL |
| Verwaltung | MDM/UEM, Konfigurationsprofil und Status |
| Verschlüsselung | Umfang, Recovery und Nachweis |
| Schutz | Firewall, EDR/AV, Bildschirmsperre und Härtung |
| Anwendungen | freigegebener Bestand |
| Fernzugriff | Verfahren und Berechtigungen |
| letzter Check-in | aktueller Verwaltungsstatus |
| Status | aktiv, gesperrt, verloren, Rückgabe oder außer Betrieb |
| Geräte-ID | Typ | Nutzer | MDM | Verschlüsselung | Patchstand | letzter Check-in | Status |
|---|---|---|---|---|---|---|---|
| END-001 | Noch zu bestätigen | Noch zuzuordnen | Nicht nachgewiesen | Nicht nachgewiesen | Nicht erhoben | Nicht erhoben | Offen |
BYOD ist nur nach ausdrücklicher Freigabe zulässig. Geregelt werden:
Ohne genehmigtes BYOD-Modell werden private Geräte nicht für dienstliche Datenverarbeitung verwendet.
Die Berechtigungssteuerung erfolgt über Zugriff und Berechtigungen.
Lokale Speicherung wird minimiert. Zulässig sind nur freigegebene Speicherorte und verschlüsselte Medien. Ausdrucke, Notizen, Downloads, Browserdaten, Offlinekopien und temporäre Dateien werden in Schutz, Aufbewahrung, Synchronisation und Löschung einbezogen.
Private Drucker, USB-Medien und lokale Backups sind ohne ausdrückliche Freigabe nicht zulässig.
Betroffene Personen:
| Reaktion | Status Entwurf |
|---|---|
| Geräte- und Kontosperrung | Verfahren nicht getestet |
| Token-/Sitzungswiderruf | Nicht nachgewiesen |
| Remote-Löschung | Nicht getestet |
| Daten- und Meldebewertung | Rollen vorhanden; Ablauf nicht erprobt |
| Wiederherstellung/Ersatzgerät | Nicht getestet |
| Feld | Mindestinhalt |
|---|---|
| Service-ID/Dienst | eindeutige Referenz und Produkt |
| Anbieter/Vertrag | Vertragspartner und Vertrags-ID |
| Service Owner | interne Verantwortung |
| Zweck/Nutzer | Geschäftszweck und Nutzergruppen |
| Daten/Klassifizierung | verarbeitete Informationen |
| Modell | SaaS, PaaS, IaaS oder Hosting |
| Regionen/Unterauftragnehmer | Verarbeitung und Speicherung |
| Verantwortungsgrenze | Anbieter-, Kunden- und Drittaufgaben |
| Identität/Zugriff | SSO, MFA, Rollen und Admins |
| Logging/Monitoring | Quellen, Zugriff und Alarmierung |
| Backup/Export | Verantwortung, Format und Test |
| RTO/RPO/Notbetrieb | Ziele und Alternativen |
| Exit/Löschung | Rückgabe, Migration und Bestätigung |
| Review/Nachweise | Termin, Status und Ablage |
| Service-ID | Dienst | Owner | Datenklasse | Region | Modell | Freigabe | Reviewstatus |
|---|---|---|---|---|---|---|---|
| CLD-001 | Noch zu erfassen | Noch zu benennen | Nicht bewertet | Nicht bestätigt | Nicht bestätigt | Ausstehend | Offen |
| Kontrollfeld | Anbieter | Kunde | Status |
|---|---|---|---|
| physische Infrastruktur | [Leistung] |
[Prüfung] |
Nicht bestätigt |
| Plattform/Anwendung | [Leistung] |
[Konfiguration/Nutzung] |
Nicht bestätigt |
| Identitäten und Rollen | [Funktion] |
[Lifecycle/MFA/Reviews] |
Nicht bestätigt |
| Daten und Klassifizierung | [Speicherung] |
[Zulässigkeit/Schutz/Löschung] |
Nicht bestätigt |
| Logging und Monitoring | [Bereitstellung] |
[Aktivierung/Auswertung] |
Nicht bestätigt |
| Backup und Restore | [Leistung] |
[Anforderung/Test/Export] |
Nicht bestätigt |
| Schwachstellen und Updates | [Scope] |
[verbleibender Scope] |
Nicht bestätigt |
| Incident und Meldung | [Meldeweg] |
[Bewertung/Reaktion] |
Nicht bestätigt |
Nicht zugeordnete Verantwortung gilt als offene Kontrolllücke.
Geprüft werden tatsächliche Leistungsregionen, Supportzugriffe, Telemetrie, Backups, Unterauftragnehmer, internationale Übermittlungen, Änderungsrechte und Benachrichtigungen.
Eine wählbare EU-Region belegt nicht automatisch, dass alle Verarbeitungen und Zugriffe auf diese Region beschränkt sind.
Verträge berücksichtigen:
Zertifikate werden auf Scope, Zeitraum, Ausnahmen und Bezug zum konkret genutzten Dienst geprüft.
Cloud-Identitäten werden zentral und lebenszyklusbezogen gesteuert. Besonders geprüft werden:
Konfigurationen werden inventarisiert, gegen Baselines geprüft und über IT-Betrieb und Änderungen kontrolliert geändert.
Neue Funktionen, KI-Assistenten, Datenfreigaben, Regionen, Integrationen oder Unterauftragnehmer lösen eine erneute Risiko- und Freigabeprüfung aus.
Sicherheits-, Admin-, Login-, Freigabe-, App-, Datenexport- und Konfigurationsereignisse werden risikobasiert aktiviert, geschützt, ausgewertet und mit erreichbaren Alarmwegen verbunden.
Cloud-Vorfälle werden nach Incident Response behandelt. Providerstatus allein ersetzt keine eigene Betroffenheitsanalyse.
Für kritische Cloud-Dienste werden geklärt:
Es gelten Datensicherung und Wiederherstellung, Notfallvorsorge und BCM und Wiederanlaufplanung.
Vor Nutzung kritischer Dienste werden festgelegt:
Ein vorhandener Exportknopf belegt keine praktisch nutzbare Exitfähigkeit.
Nicht freigegebene Dienste werden durch klare Regeln, Schulung, Beschaffungs- und Freigabewege, technische Erkennung sowie angemessene Alternativen reduziert.
Feststellungen werden nicht nur technisch blockiert, sondern hinsichtlich Geschäftszweck, Datenabfluss, betroffener Konten, bereits gespeicherter Daten und erforderlicher Migration bewertet.
Beschäftigte werden mindestens zu folgenden Themen geschult:
Mindestens geführt werden:
| Kennzahl | Stand Entwurf |
|---|---|
| bestätigte mobile Geräte | Bestand nicht vollständig |
| MDM-/Verschlüsselungsabdeckung | Nicht berechenbar |
| aktuelle/unterstützte Geräte | Nicht berechenbar |
| getestete Sperr-/Löschfähigkeit | Nicht erhoben |
| bestätigte Cloud-Dienste | Portfolio nicht vollständig |
| Dienste mit geklärter Verantwortungsgrenze | Nicht berechenbar |
| Admin-/Gast-/App-Reviewabdeckung | Nicht erhoben |
| Dienste mit getestetem Export/Exit | Nicht erhoben |
| offene mobile/Cloud-Ausnahmen | Nicht vollständig erhoben |
Quoten werden nur mit bestätigtem Nenner, Scope und Datenstand berichtet.
Die Regelung behandelt insbesondere RIS-2026-003, RIS-2026-004, RIS-2026-005, RIS-2026-011 und RIS-2026-012.
M-003 bleibt offen, bis Notbetrieb, Export und Exit für den kritischen Cloud-Dienst praktisch geprüft sind.M-011 bleibt offen, bis relevante Mobilgeräte erfasst, verschlüsselt, verwaltet und bei Verlust kontrolliert behandelbar sind.Die Steuerung erfolgt im Risikoregister, Risikobehandlungsplan und über Ausnahmen und Risikoakzeptanzen.
Diese Seite unterstützt mehrere TISAX-Kapitel, ersetzt aber keine einzelne Bewertung:
Die Statement of Applicability dokumentiert dagegen die Anwendbarkeit der ISO-Annex-A-Controls mit Begründung.
| Prüfaspekt | Status |
|---|---|
| alle 46 Informationssicherheitsfragen bewertet | Nein; 0 von 46 |
| Gerätebestand und mobile Nutzung bestätigt | Nein |
| Cloud-Portfolio und Verantwortungen bestätigt | Nein |
| technische Baselines umgesetzt | Nicht nachgewiesen |
| Verlust-, Export- und Exittests vorhanden | Nicht vollständig |
Geeignete Stichproben sind:
Audits erfolgen über Auditprogramm und Interne Audits.
Abweichungen sind beispielsweise unbekannte Geräte, fehlende Verschlüsselung, nicht unterstützte Betriebssysteme, unzulässige lokale Daten, nicht freigegebene Cloud-Dienste, überberechtigte Gast-/App-Konten, ungeklärte Regionen, fehlende Logs oder nicht getesteter Exit.
Sie werden über Abweichungen und Korrekturmaßnahmen behandelt.
| Offener Punkt | Verantwortung | Status |
|---|---|---|
| mobile Tätigkeiten, Orte und Datenklassen festlegen | Fachbereiche / ISMS | Offen |
| Geräte-, Nutzer- und MDM-Bestand bestätigen | IT | Offen |
| Baseline, Verschlüsselung und Fernzugriff testen | IT / ISMS | Offen |
| BYOD-Entscheidung und Verfahren dokumentieren | Geschäftsführung / IT / Datenschutz | Offen |
| Verlust-, Sperr- und Löschverfahren erproben | IT / Incident | Offen |
| reales Cloud-/SaaS-Portfolio erfassen | IT / Einkauf / Fachbereiche | Offen |
| Shared Responsibility je kritischem Dienst klären | Service Owner / IT | Offen |
| Regionen, Unterauftragnehmer und Verträge prüfen | Datenschutz / Recht / Einkauf | Offen |
| Cloud-Baselines, Logging und Reviews einrichten | IT / ISMS | Offen |
| Backup, Export, Notbetrieb und Exit testen | Service Owner / BCM / IT | Offen |
| M-003 und M-011 nachweisbar bearbeiten | Maßnahmenverantwortliche | Offen |
| TISAX-Fragen kontrollfragenbezogen bewerten | TISAX / Kapitelverantwortliche | Offen |
| Prüffrage | Status Entwurf |
|---|---|
| Sind mobile Arbeit, Geräte, Owner und zulässige Daten vollständig bekannt? | Nein |
| Sind Geräte verwaltet, verschlüsselt und aktuell? | Nicht nachgewiesen |
| Sind Verlust und Remote-Löschung getestet? | Nein |
| Sind Cloud-Dienste, Regionen und Unterauftragnehmer vollständig? | Nein |
| Ist Shared Responsibility je Dienst eindeutig? | Nein |
| Sind Identitäten, Konfigurationen und Logs geprüft? | Nicht vollständig |
| Sind Backup, Notbetrieb, Export und Exit praktisch getestet? | Nein |
| Sind Verträge, Datenschutz und Kundenanforderungen bestätigt? | Nicht vollständig |
| Sind alle 46 Informationssicherheitsfragen bewertet? | Nein; 0 von 46 |
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 23.07.2026 | Regelung für mobile Arbeit, mobile Geräte, Cloud-Freigabe, Betrieb, Notfall und Exit angelegt | IT-Leitung / ISMS | Ausstehend | – |
| Funktion | Name | Entscheidung | Datum |
|---|---|---|---|
| Geschäftsführung | – | Ausstehend | – |
| IT-Leitung | – | Fachliche Prüfung ausstehend | – |
| ISMS-Beauftragte/r | – | Sicherheitsprüfung ausstehend | – |
| Datenschutz/Recht/Einkauf | – | Cloud- und Vertragsschnittstelle ausstehend | – |
| Personalwesen/Service Owner | – | Mobile- und Dienstprüfung ausstehend | – |
Maßgeblich bleiben die lizenzierten Normtexte, die gültige ISA-Arbeitsmappe, der bestätigte Assessment Scope sowie die freigegebenen Rechts-, Vertrags-, Kunden-, Datenschutz-, Reise-, Betriebs- und Sicherheitsanforderungen.