„Kuck mal, hier habe ich gearbeitet!“
Als sie an diesem Vormittag durch den Haupteingang geht, fällt niemandem etwas Besonderes auf. Viele kennen sie noch. Sie war beliebt, hilfsbereit, freundlich. Dass sie nicht mehr im Unternehmen ist, wissen längst nicht alle. Manche denken, sie sei in Elternzeit. Andere vermuten ein Projekt in einer anderen Abteilung.
Sie grüßt, man grüßt zurück. Neben ihr steht ein junger Mann, offensichtlich kein Mitarbeiter. „Ich zeig dir mal, wo ich gearbeitet habe“, sagt sie stolz. Die Chipkarte an der Tür – piep. Zutritt gewährt. Ein Kollege zögert kurz. „Arbeitest du wieder hier?“ „Nein“, lacht sie. „Aber ich war hier. Und ich habe ja noch meine Karte.“
Beunruhigende Fragen
Was wie ein harmloser Besuch wirkt, ist in Wirklichkeit ein strukturelles Problem. Der Datenschutzbeauftragte hört das Gespräch zufällig mit. Später, bei der Recherche, ist schnell klar: Die ehemalige Mitarbeiterin besaß mehrere Zutrittsmedien: Eine Karte kam über HR, eine zweite über den Werkschutz – für Sonderbereiche, projektbedingt, pragmatisch. Beim Ausscheiden hat das Unternehmen nur eine Karte zurückgefordert, nur eine deaktiviert.
Die Fragen kommen leise, aber hart:
- Wie oft war sie seit ihrem Ausscheiden im Gebäude?
- War sie allein oder in Begleitung?
- Welche Bereiche konnte sie betreten?
- Was ist protokolliert – und was nicht?
Offboarding – früher oder später
Die Antworten sind ernüchternd: Es gibt keinen zentralen Prozessverantwortlichen für Benutzer- und Zutrittsverwaltungen. HR kennt den Personalstatus. IT kennt die IT-Accounts. Der Werkschutz kennt die Karten. Niemand kennt alles.
Ob ein meldepflichtiger Datenschutzvorfall vorliegt, lässt sich kaum sicher verneinen. Unbefugter Zutritt ist belegt, ein möglicher Datenzugriff nicht auszuschließen.
Der Schaden liegt in diesem Fall weniger im Ereignis selbst als vielmehr im fehlenden Nachweis der Kontrolle.
Die Geschichte endet nicht mit ei…
Weiterlesen mit Abo