14.03.2020

Hinterlegung von Mitarbeiterpasswörtern

Hinterlegung von Mitarbeiterpasswörtern im Tresor

Im Rahmen einer Beratung wurde der hessischen Aufsichtsbehörde mitgeteilt, dass die Zugangspasswörter aller Mitarbeiterinnen und Mitarbeiter auf Anweisung der Geschäftsleitung im Tresor aufbewahrt würden. Begründet wurde dies insbesondere mit administrativen Tätigkeiten durch die IT-Betreuung sowie das gelegentlich vorkommende Vergessen eines Zugangspassworts durch Mitarbeiter. Aus Sicht des IT-Betriebes gibt es jedoch keinerlei Gründe für dieses Vorgehen. Vielmehr stehen Belange des Mitarbeiterdatenschutzes dem entgegen. Sofern daher solche Maßnahmen angeordnet sind, sind sie unverzüglich einzustellen.

>> Gründe aus Sicht des IT-Betriebes, zur Vereinfachung der Tätigkeiten die Zugangspasswörter aller Mitarbeiter in schriftlicher Form – auch verschlossen – gesichert aufzubewahren, gibt es nicht. <<

– Sofern ein Mitarbeiter sein Passwort vergisst (z. B. nach längerer Abwesenheit oder Urlaub), kann der Administrator über die Benutzerverwaltung einfach und schnell ein neues, temporäres Passwort vergeben. Dieses ist dann durch den Mitarbeiter unverzüglich wieder auf ein nur ihm bekanntes Passwort zu ändern.

– Für administrative Tätigkeiten steht den Administratoren zumindest das bei der Betriebssysteminstallation vorhandene Administratorkonto des Systems zur Verfügung. Aus Gründen der Nachvollziehbarkeit – insbesondere wenn die Administration wechselweise durch mehrere Mitarbeiter erfolgt – sollten hierfür jedoch personalisierte Administratorkonten verwendet werden. Über die als Windows-Standard eingestellte Anzeige des zuletzt erfolgreich angemeldeten Benutzers hat der Mitarbeiter bei der nächsten eigenen Anmeldung dann den Hinweis, welcher Administrator sich an seinem System angemeldet hat (und diesen ggf. nach dem Grund hierfür zu fragen).

– Auch die als weiteren Grund angeführte Anpassung neu installierter Software auf dem System in Abwesenheit des Benutzers stellt keinen hinreichenden Grund für diese Verfahrensweise dar. Aktuelle Software bietet in der heutigen Zeit in der Regel die Möglichkeit, bestimmte, für die interne Nutzung erforderliche oder zweckdienliche Einstellungen vorab zu konfigurieren. Weitergehende oder hierüber nicht mögliche Einstellungen sollten in Absprache und in Anwesenheit des jeweiligen Benutzers erfolgen.

– Außerdem wird durch diese Vorgehensweise der Grundsatz unterlaufen, dass nur dem Benutzer das Passwort zu seinem Konto bekannt ist und somit jedes Handeln mit dem Benutzerkonto ihm auch zuzurechnen ist.

Damit liegt für dieses Vorgehen keinerlei Erfordernis vor und ist daher aus Gründen des Mitarbeiterdatenschutzes und der Datensparsamkeit einzustellen.

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks