Wie das globale Sicherheitsrisiko heute tatsächlich aussieht und wie man damit umgeht
Das Verhältnis eines Leiharbeitnehmers zu einem Unternehmen gleicht selten dem eines Vollzeitbeschäftigten. Einsätze beginnen und enden nach eigenem Zeitplan. Ein Mitarbeiter kann beispielsweise drei Monate lang für einen Kunden arbeiten und dann zum nächsten wechseln oder zwei Einsätze gleichzeitig bewältigen. Diese ständige Veränderung macht die Arbeit als Leihkraft flexibel und wertvoll. Sie birgt jedoch auch eine andere Art von Daten- und Zugriffsrisiken, auf die die meisten Sicherheitsempfehlungen nicht eingehen.
Die meisten Leitfäden zur Absicherung der Belegschaft gehen von einem stabilen Team aus, das sich täglich bei denselben Systemen anmeldet. Zeitarbeit und befristete Beschäftigungsverhältnisse folgen diesem Muster nicht. Jeder Einsatz hat seinen eigenen Beginn und sein eigenes Ende, und bei jedem muss der Zugriff korrekt eingerichtet und vollständig beendet werden. Dies ist nicht nur eine Aufgabe der IT. Es handelt sich um eine Frage der Compliance, die eng mit der Einstufung und der Lohnabrechnung zusammenhängt – Aufgaben, die bereits von einem Compliance-Partner verwaltet werden.
Warum befristete Beschäftigungsverhältnisse ein anderes Risikoprofil mit sich bringen
Die Einstellung von Vollzeitkräften ist meist ein einmaliges Ereignis. Ein neuer Mitarbeiter erhält zu Beginn Zugriff auf alles, was er benötigt, und dieser Zugriff kann über Jahre hinweg relativ stabil bleiben. Bei befristeten Beschäftigungsverhältnissen sieht das anders aus. Nach Angaben der American Staffing Association vermittelten Personalvermittlungsagenturen im Laufe des Jahres 2023 12,7 Millionen Zeitarbeitskräfte und Vertragsmitarbeiter, während im Jahr 2024 in einer bestimmten Woche nur etwa 2,2 Millionen von ihnen tätig waren. Diese Diskrepanz verdeutlicht den Sachverhalt. Ein großer Teil der befristeten Einsätze beginnt und endet innerhalb desselben Jahres, manchmal sogar innerhalb weniger Wochen.
Jede dieser Vermittlungen ist ein Zugriffsvorgang. Jeder beginnt mit der Bereitstellung von Systemen, Zugangsdaten und manchmal auch physischer Ausrüstung, und all dies muss am Ende vollständig abgewickelt werden. Multipliziert man dies mit der Häufigkeit, mit der befristete Beschäftigungsverhältnisse wechseln, wird schnell deutlich, wie Lücken entstehen können. Ein Konto, das eigentlich hätte geschlossen werden sollen, bleibt manchmal versehentlich offen. Eine Zugangsberechtigung ist länger gültig als das Beschäftigungsverhältnis, für das sie erstellt wurde. Das Problem liegt letztlich in einem Missverhältnis der Zeiträume: Zugriffsprozesse sind in der Regel auf stabile, langfristige Beschäftigungsverhältnisse ausgelegt, während befristete Beschäftigungsverhältnisse viel schneller ablaufen.
Es gibt noch ein weiteres Risiko, das an dieser Stelle erwähnt werden sollte. Branchenberichte belegen einen Anstieg betrügerischer Bewerber, die unter Verwendung gefälschter Identitäten eine Anstellung als Remote-Freiberufler erhalten und diesen Zugang dann nutzen, um in die Systeme eines Kunden einzudringen. Das US-Justizministerium hat Fälle verfolgt, in denen Mitarbeiter gestohlene Identitäten nutzten, um sich bei mehr als 100 Unternehmen Stellen als Remote-Auftragnehmer zu sichern. Dies macht deutlich, dass das Risiko eines Zugriffsvorfalls nicht immer erst bei der Einarbeitung beginnt. Manchmal beginnt es bereits vor Beginn des Auftrags – nämlich bei der Frage, wer überhaupt eingestellt wird.
Was bei „Access“ auf dem Spiel steht
Die Kosten für Fehler in diesem Bereich steigen weiter an. Der „2026 Cost of a Data Breach Report“ von IBM ergab, dass die weltweiten Durchschnittskosten einer Datenpanne 4,99 Millionen US-Dollar erreichten – ein Rekordhoch und ein Anstieg von 12 % gegenüber dem Vorjahr.
Der „Verizon Data Breach Investigations Report 2026“ liefert weitere nützliche Details. Bei 62 % der von Verizon untersuchten Sicherheitsvorfälle spielte der menschliche Faktor eine Rolle, und zum ersten Mal seit Beginn der Berichterstattung haben ausgenutzte Software-Schwachstellen gestohlene Zugangsdaten als häufigste Methode abgelöst, mit der sich Angreifer Zugang verschaffen.
Beide Erkenntnisse stützen dieselbe Schlussfolgerung: Angreifer benötigen keinen ausgeklügelten Hack, wenn ein Konto nie geschlossen wurde, eine Zugangsberechtigung ihre Gültigkeitsdauer überschritten hat oder jemandem Zugriff gewährt wurde, der nicht der war, für den er sich ausgegeben hat. In einer Belegschaft mit einer derart hohen Fluktuation sind diese kleinen Lücken keine ungewöhnlichen Ausnahmen. Sie sind eine vorhersehbare Folge eines Prozesses, der nicht darauf ausgelegt ist, wie häufig Arbeitsverhältnisse beginnen und enden.
Der Datenfluss hinter einem bedingten Auftrag
Die Daten eines Vollzeitbeschäftigten befinden sich meist an einem Ort: in den eigenen Systemen des Arbeitgebers. Bei der Leiharbeit sieht die Situation selten so einfach aus. Die persönlichen Daten und Gehaltsinformationen eines Arbeitnehmers werden oft vom Arbeitnehmer an eine Personalvermittlungsagentur oder einen EOR- bzw. AOR-Partner und schließlich an den Endkunden weitergeleitet, wobei dabei manchmal sogar eine Landesgrenze überschritten wird.
Jede Übergabe in dieser Kette ist ein Punkt, an dem Daten korrekt behandelt werden müssen. Wer ist dafür verantwortlich, die Daten eines Arbeitnehmers zu schützen, solange sie sich beim Personaldienstleister befinden? Was geschieht mit ihnen, sobald sie den Kunden erreichen? Das sind dieselben Fragen, die sich auch bei der Einstufung und der Einhaltung der Lohn- und Gehaltsvorschriften stellen – nur dass es hier um Daten statt um Geld geht.
Genau hier reichen viele allgemeine Sicherheitsempfehlungen für die Arbeit auf Zeitbasis nicht aus. Das Risiko betrifft nicht in erster Linie den Laptop oder das Heimnetzwerk eines Mitarbeiters. Es geht vielmehr darum, wie viele Parteien im Laufe eines einzelnen Einsatzes mit den Daten dieses Mitarbeiters in Berührung kommen und ob jede einzelne von ihnen ihren Teil dieser Beziehung korrekt handhabt.
Wo sich Klassifizierung und Compliance überschneiden
Das datenschutzrechtliche Regelwerk, das sich über mehrere Rechtsordnungen erstreckt, fügt dem Ganzen eine weitere Ebene hinzu. Gemäß der Datenschutz-Grundverordnung werden Organisationen, die personenbezogene Daten verarbeiten, unterschiedlich behandelt, je nachdem, ob sie als Verantwortlicher oder als Auftragsverarbeiter auftreten – eine Unterscheidung, die der Beziehung zwischen Arbeitnehmer, Agentur und Auftraggeber sehr ähnlich ist. Das kalifornische Verbraucherdatenschutzgesetz (Consumer Privacy Act) legt eine ähnliche Unterscheidung fest, gewährt den Einwohnern Rechte an ihren personenbezogenen Daten und definiert Erwartungen daran, wie Dienstleister in einer solchen Kette damit umgehen sollen.
Unternehmen, die auch per E-Mail mit Leiharbeitnehmern kommunizieren, müssen die Anti-Spam-Gesetze einhalten, sei es der CAN-SPAM Act in den Vereinigten Staaten oder die Anti-Spam-Gesetzgebung in Kanada. Diese Aspekte spielen hier zwar nur eine untergeordnete Rolle, sind aber dennoch wissenswert, wenn die Leiharbeitnehmer in beiden Ländern tätig sind.
Diese Gesetze wurden zwar nicht speziell für Personalbeschaffungsmodelle verfasst, gelten aber dennoch auch für diese. Ein Unternehmen, das in mehreren Ländern auf Zeitarbeitskräfte zurückgreift, muss oft mehrere dieser Rahmenbedingungen gleichzeitig verwalten – zusätzlich zu den bereits geltenden Anforderungen hinsichtlich der Einstufung und der Lohnabrechnung. Die Koordination all dieser Aspekte ohne einen erfahrenen Partner erhöht die Komplexität erheblich.
So sieht verantwortungsbewusstes Zugriffsmanagement aus
Bei einem guten Zugriffsmanagement für Zeitarbeitskräfte geht es nicht darum, jedes Gerät zu sperren oder ein bestimmtes Sicherheitstool vorzuschreiben. Es geht vielmehr darum, den gesamten Lebenszyklus der Mitarbeiterbindung anhand klarer Meilensteine zu gestalten.
Das beginnt damit, zu überprüfen, wer tatsächlich eingestellt wird, denn die Überprüfung zu Beginn eines Einsatzes ist genauso wichtig wie das, was geschieht, nachdem jemand seine Tätigkeit aufgenommen hat. Von da an sollten Zugriffsrechte entsprechend den Anforderungen des jeweiligen Einsatzes gewährt, bei Änderungen des Einsatzumfangs überprüft und sofort nach Beendigung des Einsatzes vollständig widerrufen werden – und nicht erst Wochen später, wenn es endlich jemand bemerkt.
Im Prinzip ist das alles nicht kompliziert. Die Schwierigkeit besteht darin, dies bei einer flexiblen Belegschaft konsequent umzusetzen, bei der Beschäftigungsverhältnisse ständig beginnen und enden – manchmal sogar bei mehreren Kunden und in mehreren Ländern gleichzeitig. Diese Konsequenz erfordert echte, kontinuierliche Anstrengungen, und es handelt sich um dieselbe operative Disziplin, die bereits bei der Einstufung und der Einhaltung der Lohn- und Gehaltsvorschriften erforderlich ist.
Compliance und Zugriff unter einen Hut bringen
Die hier beschriebenen Risiken ergeben sich aus der Struktur eines Einsatzes: wann der Zugang beginnen soll, wann er enden soll und wie die Daten eines Mitarbeiters zwischen dem Personaldienstleister und dem Kunden weitergegeben werden. Diese Struktur ist dieselbe, die auch für die Einstufung und die Einhaltung der Lohn- und Gehaltsvorschriften maßgeblich ist.
People2.0 übernimmt die Einstufung und Abrechnung von befristeten Beschäftigungsverhältnissen über verschiedene Rechtsräume hinweg – eine Aufgabe, bei der bereits die Einhaltung der Datenschutzgesetze in Bezug auf die betreffenden Lohn- und Gehaltsdaten sowie personenbezogenen Daten erforderlich ist. Wenn diese Grundlage stimmt, verfügt ein Unternehmen über genaue und aktuelle Aufzeichnungen darüber, wann jedes Beschäftigungsverhältnis beginnt und endet – genau jene Informationen, die auch die Zugriffsentscheidungen auf Kundenseite leiten sollten.
Wenn befristete Beschäftigungsverhältnisse einen wesentlichen Teil Ihrer Belegschaft ausmachen, insbesondere über mehrere Länder hinweg, lohnt es sich zu prüfen, ob Ihre Einstufungen, Gehaltsabrechnungen und Beschäftigungsunterlagen so aktuell sind, wie sie sein sollten. Das ist das Thema, über das wir täglich mit Unternehmen sprechen.
Möchten Sie mehr erfahren? Wenden Sie sich an People2.0, um zu erfahren, wie wir Unternehmen wie Ihrem dabei helfen, den Einsatz von Leihkräften vorschriftsmäßig zu verwalten – ganz gleich, wo Ihre Mitarbeiter tätig sind.
FAQ
Inwiefern unterscheiden sich die Daten- und Zugriffsrisiken bei Zeitarbeitskräften im Vergleich zu Vollzeitbeschäftigten?
Die Einstellung von Vollzeitkräften ist meist ein einmaliges Ereignis, bei dem die Zugriffsrechte einmal eingerichtet werden und dann über Jahre hinweg weitgehend unverändert bleiben. Bei befristeten Beschäftigungsverhältnissen ist dies nicht der Fall. Die Beschäftigungsverhältnisse beginnen und enden ständig, sodass die Zugriffsrechte jedes Mal – und nicht nur einmal – korrekt gewährt und wieder entzogen werden müssen.
Was ist das größte Risiko, wenn man Leiharbeitern Zugriff auf Unternehmenssysteme gewährt?
Das größte Risiko ist in der Regel kein ausgeklügelter Angriff. Es handelt sich vielmehr um einen Zugriffsprozess, der nicht darauf ausgelegt ist, wie schnell befristete Aufträge wechseln, sodass Konten und Zugangsdaten länger bestehen bleiben als die Aufträge, für die sie ursprünglich eingerichtet wurden.
Wer ist für die Daten eines Leiharbeitnehmers verantwortlich, wenn diese zwischen einem Personaldienstleister und einem Kunden weitergegeben werden?
Die Verantwortung hängt von der Rolle der jeweiligen Partei in der Beziehung ab. Datenschutzgesetze wie die DSGVO und der CCPA unterscheiden zwischen Organisationen, die Daten kontrollieren, und solchen, die diese im Auftrag einer anderen Partei verarbeiten – eine Unterscheidung, die sich unmittelbar darauf auswirkt, wie Mitarbeiterdaten vom Mitarbeiter über einen Personaldienstleister oder EOR-/AOR-Partner zum Endkunden gelangen.
Gelten die Datenschutzgesetze für Leiharbeitnehmer in den verschiedenen Ländern unterschiedlich?
Ja. Ein Unternehmen, das mit Zeitarbeitskräften in mehreren Ländern zusammenarbeitet, unterliegt häufig gleichzeitig mehreren Datenschutzregelungen, da diese Gesetze zwar nicht speziell für Personalbeschaffungsmodelle konzipiert wurden, aber dennoch auf diese anwendbar sind. Dies führt zu einer zusätzlichen Komplexität, die über die üblichen Anforderungen hinsichtlich der Einstufung und der Einhaltung der Lohn- und Gehaltsvorschriften hinausgeht.
Wie hilft ein Compliance-Partner dabei, dieses Risiko zu bewältigen?
Ein Compliance-Partner wie People2.0 übernimmt die Einstufung und Abrechnung von Zeitarbeitskräften über verschiedene Rechtsräume hinweg, was die Einhaltung der für diese Abrechnungen und personenbezogenen Daten geltenden Datenschutzgesetze erfordert. Dadurch werden die Einsatzunterlagen korrekt und aktuell geführt – genau jene Informationen, die ein Unternehmen benötigt, um fundierte Entscheidungen bezüglich des Zugangs zu treffen.
Redaktionelle Betreuung durch Jeremiah Akin, Senior Manager, Global Brand and Content
