Insider Risk Management datenschutzkonform: Pseudonymisierung, Betriebsrat und was in Deutschland realistisch geht

Die Präsentation des Herstellers dauerte vierzig Minuten und war beeindruckend: Ein Dashboard mit Risikowerten je Mitarbeiter, Zeitleisten mit jedem Download, jeder Freigabe, jedem USB-Stick, eine Funktion, die den Bildschirm aufzeichnet, wenn jemand auffällig wird, und ein Score, der aus dem Verhalten der letzten neunzig Tage vorhersagt, wer als Nächstes Daten mitnimmt. Der Geschäftsführer war begeistert. Der Betriebsratsvorsitzende, der zufällig im Raum saß, sagte einen Satz: „Das ist eine Verhaltensbewertung aller Beschäftigten, und Sie haben mich nicht gefragt." Er hatte recht. Und trotzdem ist Insider Risk Management in Deutschland einführbar – nur nicht so, wie es der Hersteller vorführt.

Insider Risk Management (IRM) ist das Modul in Microsoft Purview, das Signale aus Microsoft 365, Endpunkten, Defender und dem Personalsystem zusammenführt, um riskante Aktivitäten zu erkennen: der Kollege, der drei Wochen vor seinem Austritt die Kundenliste herunterlädt, der Mitarbeiter, der Kronjuwelen an eine private Adresse schickt, der Sachbearbeiter, der Patientendaten außerhalb seines Zuständigkeitsbereichs öffnet. Es tut das mit Auslösern, Zeitfenstern, Indikatoren, Risikowerten und Alarmen – und, das ist der Punkt, den die Präsentation übersprang, mit einer Pseudonymisierung, die standardmäßig aktiv ist und die aus einer Verhaltensbewertung aller Beschäftigten einen Rauchmelder mit Sichtschutz macht. Ob IRM in Deutschland zulässig ist, entscheidet sich nicht am Modul, sondern an drei Dingen: ob es anlassbezogen statt flächendeckend arbeitet, ob es pseudonym bleibt, bis ein Verfahren den Namen freigibt, und ob dieses Verfahren mit Betriebsrat und Datenschutzbeauftragtem vereinbart ist.

Dieser Artikel zeigt, wie IRM technisch funktioniert – Vorlagen, Auslöser, Signale, Bewertung, Alarm –, wie die Pseudonymisierung arbeitet und welche Rollen sie aufheben können, wie ein Betriebsrats-Prozess mit gestufter De-Anonymisierung aussieht, der in der Praxis Bestand hat, und was HR-Connector, Prioritätsgruppen und adaptiver Schutz leisten. Was in die Betriebsvereinbarung im Ganzen gehört, beschreibt der Spoke zur Betriebsvereinbarung für Purview; wo IRM im Gesamtbild von Purview sitzt, zeigt der Überblick zum Kompetenzbereich Microsoft Purview.

Wie Insider Risk Management funktioniert: Vorlagen, Auslöser, Signale, Alarm

Der wichtigste Satz über IRM, den die Herstellerpräsentation nicht sagt: IRM bewertet nicht dauerhaft alle Beschäftigten. Es bewertet Benutzer, für die ein Auslöser ausgelöst wurde, innerhalb eines Zeitfensters, anhand einer Richtlinie. Ohne Auslöser keine Bewertung – das ist keine deutsche Einschränkung, sondern die Konstruktion des Moduls, und sie ist der Grund, warum IRM überhaupt anlassbezogen betrieben werden kann. Wer das versteht, führt mit dem Betriebsrat ein anderes Gespräch als der Geschäftsführer aus dem Intro.

Vorlagen und Auslöser

IRM arbeitet mit Richtlinienvorlagen, und jede hat einen Auslöser. Die wichtigste für Deutschland ist „Datendiebstahl durch ausscheidende Benutzer": Der Auslöser ist das Kündigungs- oder Austrittsdatum aus dem Personalsystem, per HR-Connector eingespielt, und das Bewertungsfenster liegt um dieses Datum – typischerweise dreißig Tage davor und danach. Genau der Zeitraum, in dem Kundenlisten mitgenommen werden, und genau der Personenkreis, bei dem ein Unternehmen ein berechtigtes Interesse hat, hinzuschauen. Die zweite ist „Datenlecks": Auslöser ist ein DLP-Treffer bestimmter Schwere oder ein Ereignis wie Massen-Download; das Fenster öffnet sich für den betroffenen Benutzer, nicht für alle. Weitere Vorlagen: Datenlecks durch Prioritätsbenutzer (Kronjuwelen-Zugriff), Sicherheitsrichtlinienverstöße (Defender-Signale), Missbrauch von Patientendaten (Gesundheitswesen), riskante Browser- und KI-Nutzung. Alle folgen demselben Muster – Auslöser, Fenster, Indikatoren –, und die Auswahl der Vorlagen ist die erste Frage an den Betriebsrat: Welche Auslöser sind im Haus berechtigt, welche nicht?

Signale, Bewertung, Alarm

Im Fenster wertet IRM Indikatoren aus: Downloads aus SharePoint und OneDrive, Freigaben nach extern, E-Mails an private Adressen, entfernte oder herabgestufte Labels, Kopieren auf USB, Drucken und Cloud-Uploads über Endpoint DLP, Defender-Alarme, riskante Anmeldungen, Copilot-Prompts mit sensiblen Inhalten. Jeder Indikator hat Schwellenwerte – die man selbst setzen oder von IRM aus der üblichen Aktivität des Tenants ableiten lassen kann –, und Aktivitäten an Prioritätsinhalten – bestimmte Labels, Sensitive Info Types, Sites – wiegen schwerer. Daraus entsteht ein Risikowert, und ab einer Schwelle ein Alarm mit Schweregrad, der eine Zeitleiste der Aktivitäten, die betroffenen Dateien und den Kontext enthält – aber pseudonym. Der Analyst sieht „AnonIS8-473", nicht Frau Müller. Er entscheidet in der Triage: Fehlalarm, erklärbar, oder Fall. Etwa vier von fünf Alarmen enden in der Praxis an dieser Stelle – der Kollege im Austritt, der seine eigenen Arbeitsdateien in eine Übergabe-Site kopiert, ist erklärbar. Der Rest wird zum Fall, und erst dort beginnt das Verfahren, das den Namen freigibt. Wie die Endpunkt-Signale entstehen, beschreibt der Spoke zu Endpoint DLP; wie DLP-Alarme im Betrieb triagiert werden, der Spoke zu DLP im Betrieb.

Skizze 1: Vom Signal zum Fall – Auslöser, Signale im Fenster, Bewertung, pseudonymer Alarm, Pseudonym-Schleuse; der Name fällt erst nach dem Verfahren.

Die Tabelle zeigt die Richtlinienvorlagen mit ihren Auslösern und eine Einschätzung aus Projekten, wie sie sich in Deutschland betreiben lassen. Die letzte Spalte ist keine Rechtsauskunft, sondern die Erfahrung, was Betriebsräte akzeptieren – und was nicht.

Pseudonymisierung technisch – und die Rollen, die sie aufheben

Die Pseudonymisierung ist die Funktion, die IRM in Deutschland überhaupt möglich macht, und sie ist einfacher, als es klingt: In den Einstellungen des Moduls ist die anonymisierte Anzeige von Benutzernamen standardmäßig aktiviert. Solange sie aktiv ist, zeigen Alarme, Fälle, Berichte und Dashboards jeden Benutzer als generierte Kennung – „AnonIS8-473" –, konsistent über alle Ansichten, sodass ein Analyst denselben Benutzer in mehreren Alarmen wiedererkennt, ohne zu wissen, wer er ist. Die Aktivitäten, Dateinamen und Zeitleisten sind sichtbar; Name, Abteilung, Vorgesetzter sind es nicht. Das ist eine echte Pseudonymisierung im Sinne der DSGVO: Die Zuordnung ist möglich, aber nur mit einer zusätzlichen Information, die getrennt gehalten wird – hier durch Rollen und Einstellung.

Die Aufhebung erfolgt an zwei Stellen, und beide gehören in die Betriebsvereinbarung. Erstens die Tenant-Einstellung selbst: Wer die Rolle Insider Risk Management Admins hat, kann die anonymisierte Anzeige ausschalten – dann sind alle Namen für alle IRM-Rollen sichtbar. Diese Einstellung darf in Deutschland niemand ohne Verfahren anfassen, und ihre Änderung steht im Audit-Log. Zweitens der Fall: Innerhalb eines eskalierten Falls kann ein Investigator den Benutzer identifizieren, um den Kontext zu prüfen und weitere Schritte einzuleiten – das ist die gewollte Schleuse, und sie muss mit Antrag, Vier-Augen-Prinzip und Beteiligung von Datenschutzbeauftragtem und Betriebsrat versehen werden. Die Rollen sind dafür sauber getrennt: Analysts triagieren pseudonym, Investigators eröffnen Fälle und identifizieren, Admins konfigurieren, Auditors lesen das Protokoll, Approvers genehmigen forensische Beweise. Die Faustregel: zwei Analysten, zwei Investigatoren, ein Admin – benannt, keine Vorgesetzten, kein Globaler Administrator, und der Datenschutzbeauftragte mit lesender Rolle in jedem Fall. Wie die Purview-Rollen insgesamt geschnitten werden und wie das Audit-Log jede Aufhebung belegt, beschreiben die Spokes zum Audit-Log in Microsoft 365 und zur Rollenverwaltung.

Der Betriebsrats-Prozess: was in Deutschland realistisch geht

Was in Projekten vor Betriebsräten Bestand hat, ist ein Modell mit vier Stufen, in dem der Name erst auf der dritten fällt. Stufe eins ist der pseudonyme Regelbetrieb: Zwei benannte Analysten sichten die Alarme, sehen Kennungen, Aktivitäten, Zeitleisten und Dateinamen, verwerfen Fehlalarme und schließen Erklärbares – etwa achtzig Prozent der Alarme enden hier, und niemand erfährt je einen Namen. Stufe zwei ist der Antrag: Bleibt ein Alarm unerklärlich und schwer – hoher Schweregrad, Prioritätsinhalte, Massenabfluss –, stellt der Analyst schriftlich einen Antrag auf De-Anonymisierung an Investigator und Datenschutzbeauftragten, mit Kennung, Alarm, Begründung und betroffenen Daten; der Betriebsrat wird laut Vereinbarung informiert. Stufe drei ist der Name: Investigator und Datenschutzbeauftragter heben im Vier-Augen-Prinzip die Pseudonymisierung für diesen Fall auf, eröffnen den Fall und prüfen den Kontext – Rolle, Projekt, Berechtigung, Austrittsgrund; häufig ist auch das erklärbar, der Fall wird geschlossen, und die Person erfährt es nicht. Stufe vier ist die Maßnahme: Erhärtet sich der Verdacht, übernehmen HR, Legal und Führungskraft – Gespräch, Sicherung per Hold, eDiscovery-Fall, arbeitsrechtliche Schritte, gegebenenfalls Vorfallmeldung –, mit dem Betriebsrat nach den Regeln des Betriebsverfassungsgesetzes. Das ist der seltene Fall, ein- bis zweimal im Jahr.

Was auf allen Stufen gilt, macht das Modell tragfähig: Jede Aktion – auch die Aufhebung der Pseudonymisierung – steht im Audit-Log; Alarme ohne Fall werden nach einer Frist gelöscht; Kennzahlen gehen monatlich aggregiert und ohne Namen an Datenschutzbeauftragten und Betriebsrat; kein Vorgesetzter hat eine IRM-Rolle; keine forensische Bildschirmaufzeichnung; keine Nutzung für Leistungsbewertung; und die Belegschaft weiß, dass IRM existiert, welche Auslöser es gibt und wie das Verfahren läuft – Transparenz ist keine Nettigkeit, sondern Voraussetzung nach Art. 13 DSGVO und der einzige Weg, dem Verdacht der heimlichen Überwachung zu begegnen. Meine Erfahrung: Betriebsräte, die dieses Modell vorgeführt bekommen – mit einem Testbenutzer, einem simulierten Austritt, einem pseudonymen Alarm und dem Antragsformular –, unterschreiben. Betriebsräte, die die Herstellerpräsentation sehen, blockieren zu Recht.

Skizze 2: Die gestufte De-Anonymisierung – Pseudonym, Antrag, Name, Maßnahme; jede Stufe mit Rolle, Bedingung und Protokoll.

Als Umsetzungshilfe die Regelungspunkte, die eine Betriebsvereinbarung zu Insider Risk Management enthalten sollte. Die Spalte „Warum" ist die Argumentation gegenüber dem Betriebsrat – und gegenüber der Geschäftsführung, die es gern schneller hätte.

HR-Connector, Prioritätsgruppen, globale Ausnahmen und adaptiver Schutz

Vier Bausteine machen aus dem Modul ein zielgerichtetes Werkzeug. Der HR-Connector ist der wichtigste: Er speist Kündigungs-, Austritts- und Rollenwechseldaten aus dem Personalsystem in IRM ein – per CSV-Upload oder API – und liefert damit den Auslöser für die Vorlage „ausscheidende Benutzer". Ohne HR-Connector bleibt diese Vorlage auf Ereignisse wie die Kontolöschung angewiesen, die zu spät kommen; mit ihm beginnt das Fenster, wenn die Kündigung im System steht, nicht wenn der Kollege weg ist. Prioritätsgruppen sind Benutzerkreise mit Zugriff auf Kronjuwelen – Konstruktion, Finanzen, Geschäftsführung –, für die Indikatoren schwerer wiegen oder eigene Vorlagen gelten; sie müssen begründet und dem Betriebsrat namentlich benannt sein, sonst sind sie eine Rangliste. Globale Ausnahmen nehmen Rauschen heraus: Freigaben an Vertrauensdomänen (Steuerberater, Kanzlei), bestimmte Dateitypen, Schlüsselwörter, Sites – und in Deutschland sinnvollerweise private Ordner, damit die Krankmeldung im OneDrive kein Signal ist. Und der adaptive Schutz koppelt die Risikostufe eines Benutzers – niedrig, mittel, hoch – automatisch an die Strenge von DLP-Richtlinien und Bedingtem Zugriff: Wer im Bewertungsfenster hohes Risiko zeigt, bekommt strengere DLP, ohne dass ein Mensch den Namen sieht.

Der adaptive Schutz ist die attraktivste und heikelste Funktion zugleich. Attraktiv, weil er Schutz automatisiert, ohne die Pseudonymisierung zu brechen – die DLP-Richtlinie wird für „AnonIS8-473" strenger, und die IT sieht nur, dass die Risikostufe eines Benutzers gestiegen ist. Heikel, weil er eine automatisierte Entscheidung auf Basis von Verhaltensbewertung ist, die den Betroffenen unmittelbar trifft: Sein USB-Stick wird blockiert, seine externe Freigabe verweigert. Das ist eine eigene Regelung in der Betriebsvereinbarung wert – welche Risikostufen welche Maßnahmen auslösen, dass die Maßnahmen Schutz und keine Sanktion sind, dass sie mit dem Fenster enden – und ein eigener Absatz in der Datenschutz-Folgenabschätzung. Wer ihn ohne Regelung einschaltet, hat den ersten Beschäftigten, dessen USB-Stick nicht funktioniert und der nicht weiß, warum. Was beim Austritt außerhalb von IRM richtig läuft – Postfach, OneDrive, inaktives Postfach –, beschreibt der Spoke zu ausscheidenden Mitarbeitern; wie aus einem Fall ein eDiscovery-Fall wird, der Spoke zu eDiscovery Standard vs. Premium.

Skizze 3: Die Architektur – HR-Connector und Signalquellen, Richtlinien mit Auslöser, Prioritäten und Ausnahmen, Alarme, adaptiver Schutz, Kennzahlen.

Der Deutschland-Winkel: anlasslose Überwachung, § 26 BDSG, DSFA – und was realistisch geht

Die deutsche Rechtslage zieht der Überwachung von Beschäftigten enge Grenzen, und Insider Risk Management steht mitten darin. Die Arbeitsgerichte haben in einer Reihe von Entscheidungen – von der verdeckten Videoüberwachung bis zum Keylogger – klargemacht, dass anlasslose, dauerhafte, flächendeckende Kontrolle unzulässig ist und dass Verhaltenskontrolle einen konkreten Anlass, einen begrenzten Kreis, ein legitimes Ziel und Verhältnismäßigkeit braucht. § 26 BDSG erlaubt die Verarbeitung von Beschäftigtendaten zur Aufdeckung von Straftaten nur bei dokumentiertem Verdacht, und die Aufdeckung von Vertragsverstößen im Rahmen der Erforderlichkeit; Art. 35 DSGVO verlangt für systematische Überwachung eine Datenschutz-Folgenabschätzung; Art. 13 die Information der Betroffenen; und § 87 Abs. 1 Nr. 6 BetrVG die Mitbestimmung, bevor das Modul aktiviert wird – nicht bevor der erste Fall eröffnet wird. IRM in der Herstellerkonfiguration – alle Vorlagen, keine Auslöser, Namen sichtbar, Bildschirmaufzeichnung – verletzt praktisch jede dieser Vorgaben. IRM in der deutschen Konfiguration – wenige Vorlagen mit Auslöser, Pseudonymisierung, vier Stufen, Löschfristen, Transparenz – erfüllt sie, weil es genau das ist, was die Rechtsprechung verlangt: anlassbezogen, begrenzt, verhältnismäßig, kontrolliert.

Was realistisch geht, lässt sich in fünf Sätzen sagen. Die Vorlage „ausscheidende Benutzer" mit HR-Connector geht fast immer – der Anlass ist der Austritt, der Kreis ist klein, das Interesse ist berechtigt, und Betriebsräte verstehen, dass die Kundenliste nicht zum Wettbewerber wandern soll. „Datenlecks" mit DLP-Auslöser geht, wenn der Auslöser eng definiert ist. Prioritätsgruppen gehen, wenn sie begründet und benannt sind. Adaptiver Schutz geht mit eigener Regelung. Und riskante KI-Nutzung, Prioritätsbenutzer ohne Begründung, riskante Browsernutzung und forensische Beweise gehen in der Regel nicht – wer sie will, führt ein anderes Gespräch, und meist verliert er es. Der Datenschutzbeauftragte ist in der DSFA, in der Vereinbarung und in jeder Aufhebung beteiligt; der Betriebsrat in der Vereinbarung, in den Kennzahlen und in den Stufen drei und vier. Wie immer: keine Rechtsberatung, Stand 2026 – Datenschutzbeauftragter, Betriebsrat und ein Fachanwalt für Arbeitsrecht gehören an den Tisch, bevor die erste Vorlage aktiviert wird.

Stolperfallen aus der Praxis

Herstellerpräsentation als Konzept. Alle Vorlagen, Namen sichtbar, Bildschirmaufzeichnung – und ein Betriebsrat, der zu Recht blockiert. Anlassbezogen, pseudonym, vier Stufen, wenige Vorlagen.

Pseudonymisierung ausgeschaltet. „Wir wollen wissen, wer" – und aus dem Rauchmelder wird eine Verhaltensbewertung. Einstellung nur mit Zustimmung von DSB und Betriebsrat, Änderung im Audit.

Vorlage ohne Auslöser über alle. „Datenlecks" für die ganze Belegschaft ohne DLP-Trigger ist Dauerbeobachtung. Jede Vorlage braucht einen Auslöser, der einen Kreis begrenzt.

IRM vor der Vereinbarung. Der HR-Connector läuft, die ersten Alarme entstehen, der Betriebsrat erfährt es aus dem Flurfunk. Analytics-Scan, Vorführung, Vereinbarung – dann aktivieren.

Vorgesetzte mit IRM-Rolle. Der Abteilungsleiter sieht die Alarme seines Teams. Analysten und Investigatoren sind Compliance und benannte IT, nie Führungskräfte.

Adaptiver Schutz ohne Regelung. Der USB-Stick des Kollegen funktioniert nicht mehr, und niemand kann ihm sagen, warum. Risikostufen, Maßnahmen und Ende des Fensters in die Vereinbarung.

Fazit: Der Rauchmelder mit Sichtschutz – anlassbezogen, pseudonym, mit Verfahren

Insider Risk Management ist in Deutschland einführbar – nicht als das Dashboard mit Risikowerten je Mitarbeiter, das der Hersteller vorführt, sondern als Rauchmelder mit Sichtschutz: wenige Vorlagen mit Auslöser, allen voran der Austritt aus dem HR-Connector; Pseudonymisierung, die bleibt, bis ein Vier-Stufen-Verfahren mit Antrag, Vier-Augen-Prinzip, Datenschutzbeauftragtem und Betriebsrat den Namen freigibt; Rollen ohne Vorgesetzte, Löschfristen, Kennzahlen ohne Namen, Transparenz für die Belegschaft; keine Bildschirmaufzeichnung, keine Leistungskontrolle. So konfiguriert erfüllt es, was Rechtsprechung, BDSG und BetrVG verlangen – und findet den einen Fall im Jahr, ohne die vierzig anderen zu behelligen. Wo IRM im Gesamtbild aus DLP, Labels und eDiscovery sitzt, zeigt der Purview-Überblick; was in die Betriebsvereinbarung insgesamt gehört, der Spoke zur Betriebsvereinbarung für Purview.

Wenn du wissen willst, was ein anonymer Analytics-Scan über deinen Tenant sagen würde und wie eine IRM-Konfiguration aussähe, die dein Betriebsrat unterschreibt: Die Purview-Standortbestimmung liefert genau das – kompakt, zum Festpreis, mit dem Vier-Stufen-Modell als Baustein für die Betriebsvereinbarung und der Vorführung für die Sitzung.

FAQ: Häufige Fragen zu Insider Risk Management und Datenschutz

Was ist Insider Risk Management in Microsoft Purview?

Ein Modul, das Signale aus Microsoft 365, Endpunkten, Defender, DLP, KI-Nutzung und einem HR-Connector anhand von Richtlinienvorlagen bewertet, um riskante Aktivitäten zu erkennen – etwa Datendiebstahl durch ausscheidende Benutzer oder Datenlecks. Ein Auslöser öffnet ein Bewertungsfenster für einen Benutzer, Indikatoren werden gewichtet, ab einer Schwelle entsteht ein pseudonymer Alarm, aus Alarmen werden Fälle. Es braucht Microsoft 365 E5, E5 Compliance oder das Add-on E5 Insider Risk Management (Stand 2026).

Ist Insider Risk Management in Deutschland überhaupt zulässig?

Nicht in der Herstellerkonfiguration mit allen Vorlagen, sichtbaren Namen und Bildschirmaufzeichnung – das ist anlasslose Überwachung. Einführbar ist es anlassbezogen mit wenigen Vorlagen und Auslösern (allen voran der Austritt aus dem HR-Connector), mit aktiver Pseudonymisierung, einem gestuften Verfahren zur De-Anonymisierung unter Beteiligung von Datenschutzbeauftragtem und Betriebsrat, Löschfristen und Transparenz. Voraussetzung sind Betriebsvereinbarung und Datenschutz-Folgenabschätzung vor Aktivierung. Praxisorientierung, keine Rechtsberatung, Stand 2026.

Wie funktioniert die Pseudonymisierung in Insider Risk Management?

Die anonymisierte Anzeige von Benutzernamen ist standardmäßig aktiv: Alarme, Fälle und Berichte zeigen Benutzer als konsistente Kennungen wie „AnonIS8-473", mit Aktivitäten, Zeitleisten und Dateinamen, aber ohne Name, Abteilung oder Vorgesetzten. Aufgehoben wird sie entweder über die Tenant-Einstellung durch Admins – in Deutschland nur mit Zustimmung von DSB und Betriebsrat – oder im eskalierten Fall durch Investigators im Vier-Augen-Prinzip. Jede Aufhebung steht im Audit-Log.

Wer darf in Insider Risk Management einen Benutzer identifizieren?

Technisch: Inhaber der Rolle Insider Risk Management Investigators im eskalierten Fall sowie Admins über die Tenant-Einstellung. Organisatorisch: nach einem schriftlichen Antrag des Analysten, im Vier-Augen-Prinzip mit dem Datenschutzbeauftragten, bei hohem Schweregrad oder Prioritätsinhalten, mit Information des Betriebsrats laut Betriebsvereinbarung – und niemals ein Vorgesetzter oder der Globale Administrator.

Was ist der HR-Connector und warum ist er wichtig?

Der HR-Connector speist Kündigungs-, Austritts- und Rollenwechseldaten aus dem Personalsystem per CSV oder API in Insider Risk Management ein und liefert damit den Auslöser für die Vorlage „Datendiebstahl durch ausscheidende Benutzer": Das Bewertungsfenster beginnt, wenn die Kündigung im System steht – nicht erst bei der Kontolöschung. Er macht IRM anlassbezogen und ist deshalb die wichtigste Voraussetzung für einen in Deutschland tragfähigen Betrieb.

Was ist adaptiver Schutz und wie geht der Betriebsrat damit um?

Adaptiver Schutz koppelt die Risikostufe eines Benutzers automatisch an die Strenge von DLP-Richtlinien und Bedingtem Zugriff – wer im Bewertungsfenster hohes Risiko zeigt, bekommt strengere Regeln, ohne dass ein Mensch den Namen sieht. Das ist attraktiv, weil pseudonym, und heikel, weil automatisiert; es braucht eine eigene Regelung in der Betriebsvereinbarung (welche Stufe welche Maßnahme, Schutz statt Sanktion, Ende mit dem Fenster) und einen Absatz in der Datenschutz-Folgenabschätzung.

Wo fange ich mit Insider Risk Management an?

Mit dem anonymen Analytics-Scan als Bestandsaufnahme, einer Vorführung für Betriebsrat und Datenschutzbeauftragten mit Testbenutzer und pseudonymem Alarm, und einer Betriebsvereinbarung mit Zweckbindung, Vorlagen, Auslösern, Pseudonymisierung, Vier-Stufen-Verfahren, Rollen, Ausschlüssen, Löschfristen und Transparenz. Danach die erste Vorlage „ausscheidende Benutzer" mit HR-Connector – und sonst erst einmal nichts.