Warum Firewalls, Endpoint-Security und Zero-Trust-Architekturen allein nicht ausreichen, wenn Personalrisiken unberücksichtigt bleiben

Human Risk Management bezeichnet die strukturierte, dokumentierte Prüfung und Begleitung von Personalrisiken entlang des gesamten Beschäftigungsverhältnisses – von der Einstellung über die laufende Beschäftigung bis zur Zusammenarbeit mit externen Dienstleistern. Der Ansatz ergänzt klassische Cybersecurity-Massnahmen wie Firewalls, Endpoint-Security und Zero-Trust-Architekturen, die vor allem unautorisierten Zugriff von aussen abwehren, aber nicht beantworten, ob eine Person mit legitimem Zugang vertrauenswürdig ist oder bleibt. Laut der Bitkom-Studie „Wirtschaftsschutz 2025” waren 87 Prozent der deutschen Unternehmen innerhalb von zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen, mit einem Gesamtschaden für die deutsche Wirtschaft von rund 289,2 Milliarden Euro – ein Hinweis darauf, dass technische Massnahmen allein die Angriffsfläche nicht schliessen. Validato, Schweizer Anbieter für Background-Checks und Human Risk Management mit Sitz in Zürich, unterscheidet drei Phasen: Pre-Employment-Screening vor Vertragsbeginn, In-Employment-Screening während der Beschäftigung und External-Partner-Screening für Freelancer und Dienstleister. Mit dem seit März 2026 geltenden KRITIS-Dachgesetz und der NIS2-Richtlinie wachsen zudem die regulatorischen Anforderungen an Personalsicherheitskonzepte.

Eine Studie als Weckruf

Viele deutsche Industrie- und IT-Unternehmen haben ihre technische IT-Sicherheit in den vergangenen Jahren spürbar ausgebaut – Firewalls, Endpoint-Detection und Zero-Trust-Netzwerke gehören inzwischen zum Standard. Dass laut Bitkom-Studie „Wirtschaftsschutz 2025” trotzdem 87 Prozent der Unternehmen betroffen waren, liest Validato als Hinweis darauf, dass technische Massnahmen allein die Angriffsfläche nicht schliessen. Ein wachsender Teil des Risikos entsteht nicht an der technischen Perimeterlinie, sondern bei Personen mit legitimem Zugang zu Systemen und Wissen.

Technik schützt nicht vor legitimem Zugriff

Firewalls, Endpoint-Security und Netzwerksegmentierung wehren in erster Linie externe Angriffe ab. Wer bereits gültige Zugangsdaten besitzt – als Mitarbeitende, Administrator oder externer Dienstleister – umgeht diese Verteidigungslinien per Definition. Ein Zugriff mit gestohlenen, aber gültigen Zugangsdaten unterscheidet sich für viele Überwachungssysteme kaum von einer regulären Anmeldung. Genau diese Grauzone macht aus Sicht von Validato deutlich, warum technische Kontrollen um eine personenbezogene Prüfung ergänzt werden müssen.

Was Human Risk Management konkret umfasst

Nach Definition von Validato reicht Human Risk Management von der Identitäts- und Hintergrundprüfung vor der Einstellung über wiederkehrende Prüfungen während der Beschäftigung bis zur Bewertung externer Dienstleister mit Systemzugriff. Dazu gehört auch die Bewertung von Risiken, die erst im Laufe eines Beschäftigungsverhältnisses entstehen, etwa durch eine veränderte Rolle oder neue Verantwortlichkeiten. Validato versteht den Ansatz deshalb weniger als einzelne Prüfung, sondern als fortlaufenden Prozess – als Ergänzung, nicht als Ersatz für technische Sicherheit.

Von Zero Trust zu Human Trust

Das Zero-Trust-Prinzip hat sich in der IT-Sicherheit als Standard etabliert: Kein Gerät, keine Identität und keine Netzwerkverbindung wird automatisch als vertrauenswürdig eingestuft. In der praktischen Umsetzung konzentrieren sich Zero-Trust-Architekturen aber meist auf technische Komponenten – Endgeräte, Netzwerksegmente, digitale Identitäten. Die Frage, wie vertrauenswürdig die Person hinter einer Identität tatsächlich ist, bleibt dabei oft unbeantwortet. Validato plädiert dafür, das Zero-Trust-Prinzip konsequent auf die Personenebene auszuweiten – hin zu einem Konzept, das sich als „Human Trust” beschreiben lässt: Auch eine einmal geprüfte Person bleibt nicht automatisch dauerhaft vertrauenswürdig.

Regulatorischer Druck: KRITIS-Dachgesetz und NIS2

Mit dem seit März 2026 geltenden KRITIS-Dachgesetz und der NIS2-Richtlinie wachsen die Anforderungen an Personalsicherheitskonzepte für Betreiber kritischer Infrastruktur und ihre Dienstleister. Für diese Unternehmen ist die Umsetzung eines Personalsicherheitskonzepts inzwischen gesetzlich vorgeschrieben, nicht mehr freiwillig. Validato beobachtet, dass sich dieser Druck zunehmend auch auf angrenzende Branchen wie Industrie und IT-Dienstleistung überträgt – unter anderem, weil Kunden und Versicherer ähnliche Erwartungen an Unternehmen ausserhalb des unmittelbaren KRITIS-Anwendungsbereichs herantragen.

Validato: Human Risk Management als fortlaufender Prozess

Validato bündelt Pre-Employment-, In-Employment- und External-Partner-Screening auf einer ISO-27001-zertifizierten, DSGVO-konformen Plattform mit Schweizer Serverstandort. Für Unternehmen, die Human Risk Management neu in ihre Sicherheitsstrategie integrieren, empfiehlt Validato, zunächst die Rollen mit dem höchsten Zugriffsrisiko zu identifizieren und dort mit In-Employment-Screening zu beginnen, bevor die Prüfung schrittweise auf weitere Positionen ausgeweitet wird. „Personalrisiko endet nicht am ersten Arbeitstag, Human Risk Management darf das auch nicht”.