Rollen & Verantwortlichkeiten

Wer macht was beim sicheren Umgang mit Daten?

Bei Schweizer KMU scheitert Datensicherheit selten am Wissen, sondern oft an unklaren Zuständigkeiten. Ein klarer Rollenrahmen macht Pflichten umsetzbar, reduziert Risiken und schafft Verlässlichkeit für Mitarbeitende und IT.

Warum Zuständigkeiten mehr sind als „wer kümmert sich“

Datenschutz und Informationssicherheit funktionieren im Alltag nur, wenn Verantwortung definiert ist. Das betrifft insbesondere den Umgang mit Kundendaten, Mitarbeiterdaten, Systemzugängen und Datenflüssen. Mit klaren Rollen entstehen weniger „Grauzonen“ bei Meldungen, Freigaben und Löschanfragen. Gleichzeitig wird es leichter, Regeln aus Schulungen in Prozesse zu übersetzen.

Für Unternehmen in der Schweiz ist das Zusammenspiel aus Datenschutz, internen Richtlinien und technischen Schutzmaßnahmen entscheidend. Deshalb sollte der Rollenrahmen sowohl organisatorische Aufgaben (z. B. Richtlinien, Schulungen, Freigaben) als auch operative Pflichten (z. B. Zugriffsverwaltung, Incident-Meldungen) abdecken.

Das Rollenmodell für KMU: kompakt, aber vollständig

  1. Geschäftsführung: Vorgaben, Prioritäten, Budget

    Setzt die Richtung. Legt Sicherheitsziele fest, unterstützt Schulungen, genehmigt Richtlinien und stellt Ressourcen bereit. Außerdem trägt die Geschäftsführung die Verantwortung, dass die Pflichten im Betrieb tatsächlich gelebt werden.

  2. Datenschutzverantwortliche/DSB (falls benannt): Ordnung für Datenschutzanforderungen

    Koordiniert Datenschutz-Themen im Unternehmen: Grundlage bilden Prozesse für Datenminimierung, Zweckbindung, Informationspflichten und Rechte der betroffenen Personen. In der Praxis übersetzt die Rolle rechtliche Anforderungen in umsetzbare Abläufe.

  3. IT-Leitung/IT-Verantwortliche: technische Kontrolle & Zugriffsmanagement

    Verantwortlich für Identitäten, Rollen und Berechtigungen. Dazu gehören der sichere Betrieb von Systemen, das Durchsetzen von Passwort- und Authentifizierungsrichtlinien sowie die Umsetzung von E-Mail-Sicherheitsmaßnahmen. Wichtig ist auch, dass Zugriffe nach Bedarf vergeben und regelmäßig überprüft werden.

  4. Teamleitungen: „Sicherheitsalltag“ im Arbeitsprozess

    Stellt sicher, dass Mitarbeitende Vorgaben verstehen und anwenden, z. B. bei dem Umgang mit Dokumenten, dem Teilen von Dateien und der Bearbeitung von Anfragen. Teamleitungen müssen Meldungen ernst nehmen und schnell an die zuständigen Stellen weiterleiten.

  5. Alle Mitarbeitenden: korrekte Nutzung, Meldung von Vorfällen

    Machen die Regeln im Tagesgeschäft wirksam. Dazu zählen das Erkennen verdächtiger Nachrichten, das sichere Handhaben von Passwörtern, das Arbeiten nach Freigabe- und Berechtigungskonzepten sowie das Melden von Phishing-Vorfällen, Fehlbedienungen oder ungewöhnlichen Aktivitäten.

  6. Sicherheitsansprechperson/„Incident Owner“: Reaktion bei Cyber-Vorfällen

    Koordiniert das Vorgehen bei einem Vorfall: Dokumentation, Ersteinschätzung, Abstimmung mit IT und Verantwortlichen, Kommunikation intern. Der Fokus liegt darauf, Schäden zu begrenzen und aus dem Ereignis konkrete Verbesserungen abzuleiten.

Klare Verantwortungsgrenzen: so vermeidet ihr Reibung

Damit Verantwortungen funktionieren, braucht es auch Grenzen. Ein bewährter Ansatz ist, Zuständigkeiten entlang von Schritten zu beschreiben: Anfordern, Freigeben, Umsetzen, Prüfen, Melden. Wer nur „zuständig“ im Namen ist, aber keine Entscheidungs- oder Umsetzungsautorität hat, wird im Ernstfall ausgebremst.

  • Freigaben: Welche Anfragen dürfen Teams selbst lösen, welche brauchen IT oder Datenschutz?
  • Rechte: Wer darf Zugänge entziehen oder ändern, wenn ein Risiko entsteht (z. B. bei Verdacht auf kompromittierte Konten)?
  • Kommunikation: Wer informiert wen bei Vorfällen, und in welcher Reihenfolge?
  • Dokumentation: Was wird protokolliert, wo ist die Vorlage, wer pflegt die Übersicht?

Phishing & Datenzugriff: zwei typische Fehlerquellen mit klaren Rollen

In vielen KMU startet der erste Schaden über Phishing oder über unsichere Zugriffswege. Damit Mitarbeitende nicht allein gelassen werden, muss klar sein, wie ein Verdacht weitergegeben wird und wie schnell IT und Verantwortliche reagieren. Ein guter Rollenrahmen koppelt daher Schulungen an konkrete Handlungswege.

Für den sicheren Umgang mit Konten gilt zudem: Nicht nur Passwörter, auch Rollen und Berechtigungen entscheiden. Wenn Mitarbeitende zu viele Rechte haben, steigt das Risiko bei Fehlern oder kompromittierten Accounts. Deshalb gehören Zugriffsüberprüfungen in regelmäßige Abläufe, nicht in „Vergessen wir das später“.

Praktischer Start: Ein Rollenplan, der wirklich im Betrieb genutzt wird

So erstellt ihr in kurzer Zeit einen tragfähigen Rollenplan

  1. 1 Schreibt die wichtigsten Datenarten auf (z. B. Kundendaten, Mitarbeiterdaten, interne Dokumente).
  2. 2 Ordnet pro Datenart die Prozessschritte zu (Zugriff, Bearbeitung, Teilen, Archivieren, Löschen).
  3. 3 Ergänzt pro Schritt die Rolle(n), plus Vertretung bei Abwesenheit.
  4. 4 Definiert ein Meldeschema für Vorfälle und legt Ansprechpartner fest.

Welche Rolle ist für was zuständig?

Wer entscheidet über Ressourcen und Prioritäten?

Die Geschäftsführung, denn Sicherheitsziele brauchen Budget und verbindliche Vorgaben.

Wer organisiert Datenschutz im Betrieb?

Die Datenschutzverantwortliche bzw. DSB, soweit benannt. Sie koordiniert, übersetzt Anforderungen und sorgt dafür, dass Prozesse funktionieren.

Wer setzt technische Schutzmaßnahmen um?

IT-Leitung und IT-Verantwortliche, insbesondere für Identitäten, Berechtigungen und sichere E-Mail- und Systemkonfiguration.

Was ist die Aufgabe der Mitarbeitenden?

Regeln anwenden, verdächtige Hinweise melden und Zugriffe nur innerhalb der Freigaben nutzen.