Clean Desk Policy: Die Clean Desk Policy ist eine organisatorische Sicherheitsmaßnahme, die Beschäftigte verpflichtet, Arbeitsplätze und Bildschirme bei Abwesenheit frei von vertraulichen Unterlagen und aktiven Zugängen zu halten.
Die Clean Desk Policy zielt darauf ab, den physischen Zugriff Unbefugter auf vertrauliche Informationen zu verhindern – etwa durch Besucher, Reinigungspersonal außerhalb der Arbeitszeit oder Mitarbeitende anderer Abteilungen. Konkret bedeutet das: Vertrauliche Papierunterlagen werden nicht offen auf dem Schreibtisch liegen gelassen, sondern in verschließbaren Schränken oder Schubladen verwahrt, sobald der Arbeitsplatz verlassen wird.
Die eng verwandte Clear Screen Policy ergänzt die Regel um den digitalen Aspekt: Bildschirme werden bei Abwesenheit gesperrt, sodass niemand ohne eigene Anmeldung auf laufende Sitzungen oder geöffnete Dokumente zugreifen kann. In der ISO 27001:2022 sind beide Aspekte in Anhang A unter Control 7.7 „Clear desk and clear screen“ als eine gemeinsame physische Sicherheitsmaßnahme zusammengefasst.
In der Praxis reicht die Umsetzung von einfachen Verhaltensregeln bis zu technischen Vorgaben wie automatischer Bildschirmsperrung nach wenigen Minuten Inaktivität. Auch Drucker und Faxgeräte gehören in den Geltungsbereich: Ausdrucke mit vertraulichen Inhalten sollten nicht unbeaufsichtigt im Ausgabefach liegen bleiben.
- Physische Unterlagen: verschlossen verwahren bei Abwesenheit
- Bildschirme sperren statt offen lassen (Clear Screen)
- Normbezug: ISO 27001:2022, Anhang A, Control 7.7
- Geltungsbereich schließt Drucker- und Faxausgaben mit ein
Relevanz für die Zertifizierung
Für eine ISO-27001-Zertifizierung ist die Clean Desk Policy eine der einfacheren, aber im Audit sichtbarsten Maßnahmen: Der Auditor bei KCERT geht bei der Begehung typischerweise durch die Büroräume und prüft stichprobenartig, ob Schreibtische tatsächlich frei von vertraulichen Unterlagen sind und Bildschirme bei Abwesenheit gesperrt werden – unabhängig davon, was die Richtlinie auf dem Papier vorschreibt. Eine dokumentierte Richtlinie ohne gelebte Praxis fällt bei dieser Art der Prüfung schnell auf und zählt zu den häufigeren kleineren Feststellungen im ISMS-Audit.
Häufige Fragen zu Clean Desk Policy
Ja, sinngemäß. ISO 27001:2022 verlangt in Anhang A, Control 7.7 „Clear desk and clear screen“ physische Sicherheitsmaßnahmen für Arbeitsplätze und Bildschirme. Ob die Umsetzung als eigenständige Richtlinie oder als Teil einer umfassenderen Sicherheitsrichtlinie erfolgt, entscheidet das Unternehmen; wichtig ist nur, dass die Anforderung nachweislich erfüllt wird.
Der Auditor prüft bei der Begehung stichprobenartig, ob Schreibtische frei von vertraulichen Unterlagen sind, Bildschirme bei Abwesenheit gesperrt werden und Ausdrucke nicht unbeaufsichtigt im Drucker liegen. Entscheidend ist die gelebte Praxis vor Ort, nicht nur eine dokumentierte Richtlinie ohne erkennbare Umsetzung im Arbeitsalltag.
Grundsätzlich ja, auch wenn die Kontrolle dort schwerer nachprüfbar ist. Sinnvoll sind angepasste Regeln wie ein abschließbarer Aktenschrank zu Hause, automatische Bildschirmsperrung und der Verzicht auf offen sichtbare Bildschirme in gemeinsam genutzten Räumen. Auditoren fragen die Umsetzung im Homeoffice meist über Interviews statt über eine physische Begehung ab.