Identität ist kein Onboarding-Schritt: Warum deutsche Unternehmen privilegierte Zugänge neu absichern müssen

  1. Eine einmalige Ausweisprüfung beim Eintritt belegt nur, dass ein Dokument existiert – nicht, dass die Person am Bildschirm dessen Inhaber ist.
  2. Gefälschte Bewerberidentitäten sind ein dokumentierter Angriffsweg, besonders bei Remote-Entwicklern und externen Dienstleistern.
  3. Mit dem NIS-2-Umsetzungsgesetz (seit Dezember 2025) wird Lieferkettensicherheit für viele Unternehmen in Deutschland zur Pflicht.
  4. Den vollständigen Fachbeitrag von Reto Marti, Managing Partner der Validato AG, lesen Sie in VEKO Online.

Ein Fall aus der Praxis: Der DevOps-Engineer, der nicht der war, für den man ihn hielt

In meinem aktuellen Fachbeitrag für das Sicherheitsmagazin VEKO beschreibe ich einen Fall aus einem Unternehmen im deutschsprachigen Raum. Ein Kundenvertrag verlangte eine Identitätsprüfung der gesamten Belegschaft. Ein seit über einem Jahr beschäftigter DevOps-Engineer schob die Prüfung bis zur dritten Erinnerung hinaus. Die Person vor der Kamera war rund zwölf Jahre jünger als auf dem Foto in der Personalakte. Der Zugang wurde noch am selben Tag gesperrt. Teuer wurde erst die Frage danach: Wer hat das Konto in den vergangenen Monaten tatsächlich genutzt – mit welchen Rechten, auf welchen Systemen, in welchen Kundenprojekten?

Warum das kein Einzelfall ist

Der Artikel ordnet den Fall in eine Reihe öffentlich dokumentierter Vorfälle ein: das Verfahren des US-Justizministeriums zu einer „Laptop-Farm“ mit 309 betroffenen Unternehmen, den Bericht der Google Threat Intelligence Group zu gefälschten Bewerberpersonas auch in Deutschland sowie den Fall KnowBe4 aus dem Jahr 2024. Für deutsche Industrie- und Engineering-Unternehmen ist das Risiko besonders hoch: Fernwartungszugänge, Retrofit-Projekte mit externen Integratoren und eingekaufte Entwicklerkapazität führen dazu, dass die Person mit Systemzugriff oft nie vom eigenen Vertragspartner geprüft wurde.

NIS-2 macht aus einer HR-Frage eine Pflicht der Sicherheitsarchitektur

Mit dem im Dezember 2025 verkündeten NIS-2-Umsetzungsgesetz sind betroffene Unternehmen in Deutschland verpflichtet, die Sicherheit ihrer Lieferkette zu adressieren. Identität muss deshalb an den Zugang gebunden werden, nicht an die Akte: phishingresistente Authentisierung (FIDO2/WebAuthn), keine geteilten Konten für privilegierte Tätigkeiten und Wiederholungsprüfungen bei definierten Ereignissen wie Rechteerweiterung, Rollenwechsel oder Vertragsverlängerung – keine Dauerüberwachung.

Datenschutz und Betriebsrat von Anfang an mitdenken

Identitätsprüfungen sind Verarbeitung personenbezogener Daten. Sie brauchen eine Rechtsgrundlage nach DSGVO und BDSG, Transparenz und Verhältnismässigkeit. Bei Verfahren, die zur Überwachung geeignet sind, greift zudem die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Gerechtfertigt ist eine Prüfung, die bestätigt, dass eine Person die ist, mit der man den Vertrag geschlossen hat – gekoppelt an eine privilegierte Rolle. Pauschale Bonitäts-, Straf- oder Social-Media-Checks sind es nicht. Eine individuelle arbeits- und datenschutzrechtliche Prüfung bleibt unverzichtbar.

Wie die Validato AG Unternehmen in Deutschland unterstützt

Die Validato AG verbindet Identitätsprüfung mit Dokumentenechtheit und Liveness-Check und lässt sich an den kritischen Punkten im Lebenszyklus wiederholen – auch für externe Dienstleister und Freelancer in der Lieferkette. Bei der Validato AG ist dieser Prüfumfang für alle Kunden Standard, kein Zusatzmodul. Das Ergebnis ist ein nachvollziehbarer Prüfnachweis gegenüber Kunden, Auditoren und Behörden.

Weiterlesen: Den vollständigen Fachbeitrag „Identität ist kein Onboarding-Schritt“ mit allen Quellen und technischen Empfehlungen finden Sie bei VEKO Online.

Sie möchten privilegierte Zugänge in Ihrer Lieferkette prüfbar absichern? Sprechen Sie mit Reto Marti