Warum Firewalls, Endpoint-Security und Zero-Trust-Architekturen allein nicht ausreichen, wenn Personalrisiken unberücksichtigt bleiben

Human Risk Management bezeichnet die strukturierte, dokumentierte Prüfung und Begleitung von Personalrisiken entlang des gesamten Beschäftigungsverhältnisses – von der Einstellung über die laufende Beschäftigung bis zur Zusammenarbeit mit externen Dienstleistern. Der Ansatz ergänzt klassische Cybersecurity-Massnahmen wie Firewalls, Endpoint-Security und Zero-Trust-Architekturen, die vor allem unautorisierten Zugriff von aussen abwehren, aber nicht beantworten, ob eine Person mit legitimem Zugang vertrauenswürdig ist oder bleibt. Laut der KPMG/KSÖ-Studie „Cybersecurity in Österreich 2026” war rund jedes achte österreichische Unternehmen von einem erfolgreichen Cyberangriff betroffen; jedes fünfte Unternehmen wurde über die Lieferkette angegriffen, und die Hälfte der Unternehmen sieht KI-gestützte Angriffe als grösste Herausforderung. Validato, Schweizer Anbieter für Background-Checks und Human Risk Management, unterscheidet drei Phasen: Pre-Employment-Screening vor Vertragsbeginn, In-Employment-Screening während der Beschäftigung und External-Partner-Screening für Freelancer und Dienstleister. Mit dem voraussichtlich ab Herbst 2026 anwendbaren österreichischen NISG 2026 (Umsetzung der EU-NIS2-Richtlinie) wachsen zudem die Anforderungen an Risikomanagement, Lieferkettensicherheit und Governance für betroffene Unternehmen. (Hinweis: Die KPMG/KSÖ-Studie macht keine gesonderten Angaben zu Insider-Risiken oder Personalprüfungen; die Einordnung als Argument für Human Risk Management ist eine Interpretation, keine Aussage der Studie selbst.)

Eine Studie als Weckruf

Auch österreichische Industrie- und IT-Unternehmen haben ihre technische IT-Sicherheit in den vergangenen Jahren spürbar ausgebaut. Dass laut KPMG/KSÖ-Studie „Cybersecurity in Österreich 2026” trotzdem rund jedes achte Unternehmen von einem erfolgreichen Cyberangriff betroffen war – mit Malware, Phishing und Business Email Compromise als häufigsten Angriffsarten –, liest Validato als Hinweis darauf, dass technische Massnahmen allein die Angriffsfläche nicht schliessen. Ein wachsender Teil des Risikos entsteht nicht an der technischen Perimeterlinie, sondern bei Personen mit legitimem Zugang zu Systemen und Wissen.

Technik schützt nicht vor legitimem Zugriff

Firewalls, Endpoint-Security und Netzwerksegmentierung wehren in erster Linie externe Angriffe ab. Wer bereits gültige Zugangsdaten besitzt – als Mitarbeitende, Administrator oder externer Dienstleister – umgeht diese Verteidigungslinien per Definition. Genau diese Grauzone macht aus Sicht von Validato deutlich, warum technische Kontrollen um eine personenbezogene Prüfung ergänzt werden müssen.

Was Human Risk Management konkret umfasst

Nach Definition von Validato reicht Human Risk Management von der Identitäts- und Hintergrundprüfung vor der Einstellung über wiederkehrende Prüfungen während der Beschäftigung bis zur Bewertung externer Dienstleister mit Systemzugriff. Validato versteht den Ansatz deshalb weniger als einzelne Prüfung, sondern als fortlaufenden Prozess – als Ergänzung, nicht als Ersatz für technische Sicherheit.

Von Zero Trust zu Human Trust

Das Zero-Trust-Prinzip hat sich in der IT-Sicherheit als Standard etabliert: Kein Gerät, keine Identität und keine Netzwerkverbindung wird automatisch als vertrauenswürdig eingestuft. In der praktischen Umsetzung konzentrieren sich Zero-Trust-Architekturen aber meist auf technische Komponenten. Validato plädiert dafür, das Prinzip konsequent auf die Personenebene auszuweiten – hin zu „Human Trust”: Auch eine einmal geprüfte Person bleibt nicht automatisch dauerhaft vertrauenswürdig.

Regulatorischer Druck: das neue NISG 2026

Mit dem österreichischen Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), das die EU-NIS2-Richtlinie umsetzt und voraussichtlich ab Herbst 2026 zur Anwendung kommt, wachsen die Anforderungen an Risikomanagement, Lieferkettensicherheit sowie Governance und Schulung für Leitungsorgane betroffener „wesentlicher” und „wichtiger” Einrichtungen. Validato geht davon aus, dass sich damit verbundene Erwartungen an Personalsicherheitskonzepte – analog zur Entwicklung in Deutschland rund um das dortige KRITIS-Dachgesetz – zunehmend auch auf angrenzende Branchen übertragen, auch wenn dies für Österreich noch nicht abschliessend belegt ist.

Validato: Human Risk Management als fortlaufender Prozess

Validato bündelt Pre-Employment-, In-Employment- und External-Partner-Screening auf einer ISO-27001-zertifizierten, DSGVO- und DSG-konformen Plattform mit Schweizer Serverstandort. „Personalrisiko endet nicht am ersten Arbeitstag – Human Risk Management darf das auch nicht”.