Wer Identität nur einmal beim Onboarding per Ausweiskopie prüft, weiss nicht, wer heute hinter einem privilegierten Konto sitzt.

  1. Mit dem NISG 2026 wird Lieferkettensicherheit für zahlreiche Unternehmen in Österreich zur gesetzlichen Anforderung.
  2. Bei Kontrollmassnahmen ist in Österreich das Arbeitsverfassungsgesetz (ArbVG) zu beachten.
  3. Den vollständigen Fachbeitrag von Reto Marti, Managing Partner der Validato AG, lesen Sie in VEKO Online.

Die unbequeme Frage: Wer arbeitet eigentlich unter diesem Konto?

Die meisten Unternehmen prüfen Identität genau einmal – beim Eintritt, meist durch einen Blick auf eine Ausweiskopie. Mein aktueller Fachbeitrag im Sicherheitsmagazin VEKO zeigt, warum das nicht reicht. Eine Ausweiskopie belegt, dass ein Dokument existiert. Sie belegt nicht, dass die einreichende Person dessen Inhaberin ist. Und selbst eine korrekte Prüfung beim Eintritt sagt nichts darüber aus, wer ein Konto ein Jahr später nutzt. Konten werden weitergegeben, geteilt oder sogar weiterverkauft.

Ein dokumentierter Angriffsweg – auch im deutschsprachigen Raum

Im Artikel schildere ich den Fall eines DevOps-Engineers, der über ein Jahr mit weitreichenden Rechten arbeitete, bevor eine vertraglich verlangte Identitätsprüfung zeigte: Die Person vor der Kamera war nicht die Person aus der Personalakte. International belegen das Verfahren des US-Justizministeriums zu einer „Laptop-Farm“, der Bericht der Google Threat Intelligence Group zu gefälschten Bewerberpersonas in Europa und der Fall KnowBe4, dass gefälschte Identitäten systematisch eingesetzt werden. Für österreichische Produktions- und Technologieunternehmen mit Fernwartung, externen Integratoren und Remote-Entwicklern ist das eine Frage der Sicherheitsarchitektur, nicht der Personalabteilung.

NISG 2026: Lieferkettensicherheit wird zur Pflicht

Das Netz- und Informationssystemsicherheitsgesetz 2026 setzt die NIS-2-Richtlinie in Österreich um. Betroffene Unternehmen müssen unter anderem die Sicherheit ihrer Lieferkette adressieren. Praktisch heisst das: verifizierte Identität an das Authentisierungsmittel binden (FIDO2/WebAuthn, persönliche Hardware-Token), keine geteilten Konten für privilegierte Arbeiten, Zugänge segmentieren (IEC 62443, Zero Trust) und Prüfanforderungen vertraglich an Dienstleister weitergeben – etwa mit Bezug auf ISO/IEC 27001:2022 Anhang A.

Datenschutz und Arbeitsverfassung in Österreich beachten

Identitätsprüfungen sind Datenverarbeitung im Sinne der DSGVO und des österreichischen Datenschutzgesetzes (DSG). Sie benötigen eine Rechtsgrundlage, Transparenz, Zweckbindung und Verhältnismässigkeit. Arbeitsrechtlich ist das ArbVG zu prüfen: Kontrollmassnahmen, die die Menschenwürde berühren, bedürfen nach § 96 ArbVG einer Betriebsvereinbarung; Systeme zur Verarbeitung von Personaldaten unterliegen § 96a ArbVG. Verhältnismässig ist eine anlassbezogene Prüfung bei Rechteerweiterung, Rollenwechsel oder Zugriff auf Kundenumgebungen – keine Dauerüberwachung. Eine individuelle rechtliche Prüfung im Einzelfall wird empfohlen.

Wie die Validato AG österreichische Unternehmen unterstützt

Die Validato AG prüft Identität mit Dokumentenechtheit und Liveness-Check und wiederholt diese Prüfung an den definierten Punkten im Lebenszyklus – für eigene Mitarbeitende ebenso wie für Freelancer und Dienstleister in der Lieferkette. Bei der Validato AG ist dieser Prüfumfang für alle Kunden Standard. Das schafft einen belastbaren Nachweis gegenüber Kunden, Auditoren und Behörden, bevor ein Vorfall eintritt.

Weiterlesen: Den vollständigen Fachbeitrag „Identität ist kein Onboarding-Schritt“ finden Sie bei VEKO Online.

Sie wollen privilegierte Zugänge NISG-konform absichern? Kontaktieren Sie Reto Marti