Cybersicherheit im Unternehmen: Die Rolle von HR

Cybersicherheit beschreibt den Schutz von Daten, Systemen, Netzwerken, Geräten, Identitäten und Prozessen. Das Ziel ist, unberechtigte Zugriffe zu verhindern. Wer seine Cybersicherheit optimiert, kann Manipulationen erkennen und frühzeitig abblocken. So gehen keine wichtigen Daten verloren. Außerdem wird der tägliche Betrieb nicht unterbrochen. Cyberangriffe attackieren meist betriebsrelevante Systeme. Werden diese Systeme einmal verschlüsselt, wird der Betrieb direkt unterbrochen. Gute Cybersicherheit hilft, Ausfälle und Unterbrechungen im Arbeitsalltag zu vermeiden.

Cybersicherheit, IT-Sicherheit, Informationssicherheit und Datenschutz: Was ist der Unterschied?

Häufig werden diese vier Begriffe miteinander vertauscht. Sie haben jedoch alle eine unterschiedliche Bedeutung:

• Cybersicherheit: Digitale Systeme, Daten und Prozesse werden vor Bedrohungen aus dem Internet geschützt.
• IT-Sicherheit: Hier liegt der Schwerpunkt auf technischen Aspekten. Geräte, Netzwerke, Software und IT-Infrastruktur werden geschützt.
• Informationssicherheit: Sensible Informationen müssen besonders geschützt werden. Darum kümmert sich die Informationssicherheit. Diese muss sowohl digital als auch analog gewährleistet werden.
• Datenschutz: Hierbei handelt es sich um den Schutz personenbezogener Daten. Dieser Teil ist besonders relevant für HR-Teams, die täglich mit Mitarbeiterdaten arbeiten.

Cybersicherheit für Unternehmen spielt eine zentrale Rolle. Wer seine Daten nicht schützt, setzt sein Business einem gefährlichen Risiko aus. Die wichtigsten Gründe, um ein Sicherheitssystem zu etablieren, sind:

• Schutz sensibler Unternehmens- und Mitarbeiterdaten
• Sicherung des laufenden Betriebs
• Vermeidung finanzieller Schäden
• Schutz von Vertrauen und Reputation
• Einhaltung regulatorischer Anforderungen
• Reduzierung menschlicher Fehler
• Stärkung der Zusammenarbeit zwischen HR, IT und Management
• Bessere Vorbereitung auf Anforderungen wie NIS2

Warum ist Cybersicherheit wichtig für HR und Management?

Cybersicherheit betrifft nicht nur die IT-Abteilung, sondern das gesamte Unternehmen. Gerade die Personalabteilung arbeitet täglich mit sensiblen Mitarbeiterdaten. Sie ist dafür zuständig, Zugriffsrechte an Mitarbeitende zu vergeben. Warum ist Cybersicherheit wichtig in diesem Fall? Vertrauliche Unternehmensprozesse und Daten werden so geschützt. Vor allem Phishing stellt eine große Bedrohung dar. Laut TÜV Studie war es mit 84 % 2025 die häufigste Angriffsmethode. Die HR-Abteilung kann mit Security-Awareness-Schulungen sowie sicheren Offboarding-Prozessen für gesteigerte Sicherheit sorgen. Dafür ist es wichtig, dass HR, IT und Management zusammenarbeiten. Cybersicherheit für Unternehmen braucht gemeinsame Verantwortung aller Abteilungen.

Cybersicherheit setzt sich aus vielen kleinen Bestandteilen zusammen. Dazu gehören:

• Zugriffs- und Identitätsmanagement: Wer darf auf welche Systeme, Daten und Bereiche zugreifen?
• Passwortsicherheit und MFA: Wie werden Konten vor unbefugtem Zugriff geschützt?
• Sichere Geräte und Netzwerke: Wie werden Laptops, Smartphones und Unternehmensnetzwerke geschützt?
• Datenschutz und Datenminimierung: Welche Daten werden wirklich benötigt und wer darf sie einsehen?
• Mitarbeiterschulungen: Wie erkennen Mitarbeitende Phishing und Social Engineering?
• Sicheres Onboarding und Offboarding: Wie werden Zugänge vergeben, geprüft und entzogen?
• Meldewege und Incident Response: Wie melden Mitarbeitende verdächtige Vorfälle?
• Lieferanten- und Software-Sicherheit: Wie sicher sind externe Tools und Dienstleister?
• Physischer Zutritt: Wie werden Gebäude, Bereiche und Arbeitsplätze geschützt?
• Richtlinien und Dokumentation: Welche Regeln gelten und wie werden sie nachgehalten?

Was kann HR zu diesen Bereichen beitragen?

HR spielt eine zentrale Rolle beim Thema Cybersicherheit für Unternehmen. Die Personalabteilung vermittelt Sicherheitsrichtlinien bereits beim Onboarding. Bei Rollenwechsel werden Zugriffsrechte gemeinsam mit der IT neu zugeteilt. Der Umgang mit Gehalts-, Bewerber- und Vertragsdaten gehört ebenfalls zum Alltag der Personalabteilung. Der Verlust dieser Daten stellt ein großes Sicherheits- und Rechtsproblem dar.

Mit Security-Awareness- und Phishing-Schulungen kann HR das Bewusstsein der Mitarbeitenden steigern. 53 % der Unternehmen schulen bereits Mitarbeitende außerhalb der IT. Angesichts der 15 % betroffenen Unternehmen besteht dennoch großer Nachholbedarf. Meldewege für Sicherheitsvorfälle müssen verständlich kommuniziert werden.

HR verbindet Mitarbeitende, Prozesse, Daten und IT. Somit trägt sie Verantwortung für organisatorische Sicherheit. Sie muss keine Firewalls erstellen oder Sicherheitssysteme technisch umsetzen. Vielmehr ist HR für die menschlichen und organisatorischen Sicherheitsfaktoren zuständig. Zu den zentralen Aufgaben der Personalabteilung gehören:

• Schutz sensibler Mitarbeiterdaten
• Vermittlung von Sicherheitsregeln im Onboarding
• Organisation oder Unterstützung von Awareness-Schulungen
• Koordination von Zugriffsrechten mit IT
• Sicherstellung sauberer Offboarding-Prozesse
• Kommunikation klarer Meldewege
• Förderung einer offenen Sicherheitskultur
• Unterstützung des Managements bei Compliance- und Risikothemen

HR als Schnittstelle zwischen Menschen, Daten und Prozessen

Die Personalabteilung macht viel mehr als nur mit den Mitarbeitenden im direkten Kontakt zu stehen. Sie arbeitet täglich mit digitalen Daten und wirkt an wichtigen Prozessen aktiv mit. Das HR-Team begleitet Mitarbeitende in jedem Schritt ihres Employee-Lifecycles. Angefangen beim Bewerbungsgespräch bis hin zum Offboarding. Durch gezielte Kommunikation, optimierte Prozesse und Schulungen kann die Cybersicherheit erheblich gesteigert werden. Die Abteilung gestaltet aktiv die Sicherheitskultur im Unternehmen mit. Diesen Einfluss kann sie nutzen, um Schulungen zu organisieren, Prozesse sicherer zu gestalten und sensible Daten aktiv zu schützen.

HR-Prozesse benötigen eine besondere Aufmerksamkeit beim Thema Cybersicherheit. Als erste Anlaufstelle für externe Kontakte ist HR ein attraktives Ziel für Cyberkriminelle. Folgende Risiken stellen meistens die größten Bedrohungen dar:

• Bewerbungsunterlagen mit schädlichen Anhängen
• Phishing-Mails an HR-Postfächer
• Betrugsversuche rund um Gehalts- oder Bankdaten
• Social Engineering mit angeblichen Anfragen von Führungskräften
• Zugriff auf sensible Personaldaten
• Unklare Rechte bei Rollenwechseln
• Verzögertes Offboarding
• Externe Mitarbeitende, Dienstleister oder Zeitarbeitskräfte
• Hybride Arbeit und mobile Geräte

Typische Beispiele für Cyberrisiken im HR-Alltag

1. Eine scheinbar normale Bewerbung enthält schädliche Anhänge. In diesem Fall sind einfache Prüfprozesse für Bewerbungen wichtig.
2. Eine E-Mail fordert die Änderung einer Bankverbindung. Sensible Änderungen sollten in jedem Fall immer zusätzlich verifiziert werden.
3. Ein ehemaliger Mitarbeitender hat weiterhin Zugriff auf Systeme. Klare Offboarding-Prozesse sind in diesem Fall dringend notwendig.
4. Eine angebliche Führungskraft fordert vertrauliche Mitarbeiterdaten an. Dies ist ein typisches Beispiel von Social Engineering. Hier ist es besonders wichtig, Absender, Kontext und Inhalt mehrfach zu prüfen.

Cybersicherheit in HR hört nicht beim Onboarding neuer Mitarbeiter auf. Es zieht sich durch den gesamten Zyklus, den ein Mitarbeiter in einem Unternehmen verbringt. Seien es Zugriffsrechte, Awareness-Schulungen oder Offboarding-Prozesse.

Recruiting: Bewerbungen sicher bearbeiten

Recruiting ist häufig der erste Kontaktpunkt für externe Personen. Umso wichtiger ist es, sichere Bewerbungsportale und Kommunikationskanäle zu nutzen. Anhänge und Links stellen meistens das größte Risiko dar. Mithilfe von KI können verdächtige Dokumente und ungewöhnliche Anfragen überprüft werden. Laut TÜV-Studie nutzt derzeit nur jedes zehnte Unternehmen KI für die Abwehr von Cyberangriffen. Bei Angriffen hingegen ist vermutlich in über 50 % der Fälle KI im Einsatz. Sobald die Bewerberdaten empfangen wurden, ist die sichere Abspeicherung unerlässlich. Für optimierte Sicherheit sollten klare Prozesse für den Umgang mit sensiblen Daten definiert werden.

Onboarding: Sicherheitsbewusstsein ab dem ersten Tag schaffen

Cybersicherheit sollte fester Bestandteil des Onboardings sein. Die Mitarbeitenden müssen ab dem ersten Tag wissen, wie sie zu einem sicheren Arbeitsalltag beitragen können. Dafür sollten Sicherheitsregeln und Informationssicherheit früh vermittelt werden. Machen Sie die Passwortrichtlinien klar und führen Sie eine Multi-Faktor-Authentifizierung ein. Der Umgang mit Daten und Geräten sollte klar sein. Zugriffsrechte sollten nur für relevante Prozesse und Daten vergeben werden. Schulungen helfen, neue Mitarbeiter gleich zu Beginn für das Thema zu sensibilisieren. Erklären Sie, wie man verdächtige Fälle erkennt und wie man sie melden kann.

Beschäftigung und Rollenwechsel: Zugriffsrechte aktuell halten

Cybersicherheit für Unternehmen endet nicht nach dem Onboarding. Dieses Thema zieht sich durch den gesamten Employee-Lifecycle. Zugriffsrechte müssen regelmäßig geprüft und aktualisiert werden. Bei internen Positions- oder Standortwechseln müssen Zugriffsrechte entsprechend angepasst werden. Externe und befristete Mitarbeiter sollten regelmäßig geprüft werden. Auch veraltete Zugriffsrechte sollten immer mal wieder aktualisiert oder gelöscht werden. Veraltete oder unnötige Zugänge erhöhen Sicherheitsrisiken. Dokumentieren Sie alle Zugriffe genau, um lückenlose Sicherheit zu gewährleisten. Klare Zuständigkeiten reduzieren Fehler und unbefugte Zugriffe.

Offboarding: Zugänge rechtzeitig entziehen

Cybersicherheit endet nicht mit dem letzten Arbeitstag. Beim Offboarding müssen einige Regeln beachtet werden, um einen sicheren Abschied zu gewährleisten. Dazu gehören:

• Systemzugriffe deaktivieren
• Zutrittsrechte entfernen
• Geräte zurückgeben lassen
• Accounts schließen
• Datei- und Datenzugriffe prüfen
• Übergaben dokumentieren
• IT, HR und Führungskräfte koordinieren

Mit nur 10 einfachen Regeln, können Unternehmen die Cybersicherheit in ihren Alltag integrieren:

1. Starke und einzigartige Passwörter verwenden.
2. Multi-Faktor-Authentifizierung aktivieren.
3. Verdächtige Links und Anhänge nicht öffnen.
4. Ungewöhnliche Anfragen über einen zweiten Kanal prüfen.
5. Mitarbeiterdaten nur bei berechtigtem Bedarf einsehen.
6. Geräte sperren, wenn der Arbeitsplatz verlassen wird.
7. Nur freigegebene Systeme und Tools nutzen.
8. Verdächtige Vorfälle schnell melden.
9. Zugriffsrechte regelmäßig prüfen und an Rollen anpassen.
10. Cybersicherheit als gemeinsame Verantwortung verstehen. 

Wie HR diese Regeln im Unternehmen verankern kann

Cybersicherheit und Informationssicherheit sollten direkt von Anfang an Teil des Arbeitsalltags werden. Dazu gehört eine klare Kommunikation und Schulung beim Onboarding. Die Sicherheitsregeln sollten regelmäßig in der Mitarbeiterkommunikation aufgegriffen werden. Und nicht nur auf Mitarbeiterebene ist die Kommunikation relevant. Auch Führungskräfte, Kunden und Lieferanten sollten die 10 goldenen Regeln kennen. Klare und einheitliche Regeln helfen bei der Umsetzung.

Cybersicherheit funktioniert nur mit gelebtem Sicherheitsbewusstsein. Unternehmen profitieren von einer stärkeren Sicherheitskultur, indem sie folgende Dinge umsetzen:

• Sicherheitsbewusstsein regelmäßig kommunizieren
• Schulungen einfach und praxisnah gestalten
• Führungskräfte einbinden
• Fehler nicht bestrafen, sondern Lernkultur fördern
• Verdachtsfälle unkompliziert meldbar machen
• Beispiele aus dem Arbeitsalltag nutzen
• Sicherheitsregeln wiederholen, nicht nur einmal erklären
• HR, IT und Management gemeinsam einbinden

NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit in Unternehmen und Organisationen. Laut TÜV-Studie sehen 60 % der Unternehmen eine Verbesserung der Cybersicherheit dank der NIS2-Richtlinie. Dank der Richtlinie wird Cybersicherheit zur Managementaufgabe. Schulungen, Zugriffsrechte und Prozesse rund um Cybersicherheit rücken mehr in den Vordergrund. Je nach Branche, Unternehmensgröße und Risikoprofil können unterschiedliche Anforderungen gelten.

Warum NIS2 auch HR-Prozesse betrifft

NIS2 betrifft nicht nur technische IT-Maßnahmen. Prozesse, Verantwortlichkeiten und Dokumentationen werden immer wichtiger. HR spielt dabei eine zentrale Rolle. Diese Abteilung kann Unternehmen durch Schulungen, Rollenverteilungen und Zugriffsprozesse sicherer machen. Durch eine engere Zusammenarbeit von Management, HR und IT wird so eine erhöhte Cybersicherheit geschaffen.

Mit einer geeigneten Software können strukturierte Prozesse entwickelt werden, die Risiken reduzieren. Protime unterstützt Unternehmen bei:

• Strukturierung von Mitarbeiterstammdaten
• strukturierten Rollen- und Zugriffsprozessen
• Koordinierung von Onboarding- und Offboarding-Aufgaben
• Übersichten von Berechtigungen
• Verbindung von HR-Prozessen und Zutrittskontrolle
• Reduzierung manueller Fehler
• klarerer Zusammenarbeit zwischen HR, IT, Facility Management und Führungskräften
• besserer Dokumentation für interne Prüfungen

Wo Workforce Management konkret hilft

Workforce Management unterstützt strukturierte HR-Prozesse und Cybersicherheit für Unternehmen. Bei Onboarding und Offboarding arbeiten IT und HR Hand in Hand. Sie können Aufgaben gemeinsam koordinieren. Eine gute Workforce Management Software unterstützt bei diesen Aufgaben und automatisiert Routineprozesse.

Cybersicherheit ist eine gemeinsame Aufgabe im Unternehmen. IT, Management und HR sollten hier an einem Strang ziehen. Sichere Prozesse helfen dabei, Sicherheitsrisiken frühzeitig zu erkennen und zu beheben. In jedem Schritt des Employee-Lifecycles sollte Cybersicherheit eine Rolle spielen. Beginnend beim Onboarding bis hin zu Rollenwechseln und Offboarding. Digitale Workforce- und Zutrittsprozesse können mehr Struktur und Nachvollziehbarkeit schaffen. HR-Software wie Protime unterstützt Unternehmen bei der Umsetzung von NIS2 und sicheren Prozessen.