Bleibt nach einem Austritt ein Zugang aktiv, wird ein Organisationsfehler zum Sicherheitsrisiko. No-Code-Workflows können Zuständigkeiten und Nachweise bündeln, brauchen dafür aber klare Regeln und wirksame Kontrollen.
Die IT erhält die Austrittsmeldung per E-Mail. Berechtigungen stehen in einer Excel-Datei, die Freigabe läuft über Teams. Erst Wochen später beginnt die Suche nach Zuständigkeit und Erledigungsnachweis. So wird aus einem alltäglichen Offboarding schnell ein Sicherheits- und Complianceproblem.
Verteilte Abläufe ohne Nachweis
Viele Organisationen haben Prozesse, aber keinen durchgängigen Ablauf. Zuständigkeiten verteilen sich über Jahre auf verschiedene Kanäle: SharePoint dient der Ablage, Ticketsysteme halten Aufgaben fest. Tabellen und Dokumente enthalten weitere Prozessinformationen. Solange alle Beteiligten wissen, wer den nächsten Schritt übernimmt, kann das funktionieren. Bei einem Ausfall zeigt sich jedoch, wie viel Prozesswissen nur informell weitergegeben wird. Dasselbe gilt bei einem Sicherheitsvorfall oder einer Prüfung.
Die NIS2-Richtlinie macht Cybersicherheit auch zur Aufgabe der Unternehmensleitung. Leitungsorgane müssen Maßnahmen zum Cyberrisikomanagement billigen und deren Umsetzung überwachen. Der Richtlinientext ist über EUR-Lex abrufbar. Ein einzelner Offboarding-Fehler bedeutet deshalb nicht automatisch einen Verstoß oder eine Sanktion. Welche nationalen Pflichten im konkreten Fall gelten, hängt unter anderem vom Anwendungsbereich und der Umsetzung in nationales Recht ab. Konkrete Folgen eines solchen Einzelfalls lassen sich hier nicht belegen.
Die Leitungsorgane müssen die Maßnahmen zum Cyberrisikomanagement billigen und ihre Umsetzung überwachen.
Der Regelungsansatz umfasst mehr als technische Schutzmaßnahmen. Unternehmen müssen Risiken managen und den Umgang mit Sicherheitsvorfällen regeln. Auch Geschäftskontinuität gehört dazu. Hinzu kommt die Sicherheit der Lieferkette. Für Unternehmen heißt das praktisch: Verantwortlichkeiten und Kontrollen sollten so organisiert sein, dass sich Entscheidungen und erledigte Schritte nachvollziehen lassen. Die Richtlinie allein belegt weder, dass ein bestimmtes Unternehmen betroffen ist, noch dass eine konkrete Aufsichtsmaßnahme erfolgt ist.
Workflows schließen Lücken
No-Code-Plattformen können solche Abläufe als digitale Workflows abbilden. Ein Workflow legt Aufgaben fest und weist Zuständigkeiten zu. Er enthält Prüfungen, während die einzelnen Bearbeitungsschritte dokumentiert werden. Die Plattform soll bestehende Security-, Identity-and-Access-Management-Systeme (IAM) oder IT-Service-Management-Systeme (ITSM) nicht ersetzen. Ihr möglicher Nutzen liegt vielmehr an den Übergängen zwischen diesen Systemen und den Menschen, die Aufgaben übernehmen oder Entscheidungen treffen.
Ein zentraler Ablauf kann Rollen und Pflichtfelder festlegen. Prüfregeln und Freigaben lassen sich ebenfalls darin abbilden. Status und Zeitstempel entstehen während der Bearbeitung, statt später aus verstreuten Nachrichten rekonstruiert werden zu müssen. Automatische Erinnerungen können offene Aufgaben sichtbar halten. Ein Workflow-Protokoll ist allerdings nur dann ein belastbarer Nachweis, wenn Zugriffsrechte angemessen kontrolliert werden. Dasselbe gilt für Änderungen und die Aufbewahrung der Daten. Auch deren Zuverlässigkeit muss geprüft werden. Selbst dann belegt das Protokoll die Prozessausführung, nicht automatisch die Wirksamkeit sämtlicher Sicherheitsmaßnahmen.
Offboarding mit klaren Zuständigkeiten
Beim Austritt einer Person könnte ein zentraler Joiner-Mover-Leaver-Prozess den Ablauf starten und Aufgaben an die zuständigen Stellen verteilen. Die IT deaktiviert Konten und VPN-Zugänge. Sie prüft außerdem, ob Sitzungen oder Tokens widerrufen werden müssen. Das Lizenzmanagement entzieht nicht mehr benötigte Softwarelizenzen. Der Fachbereich bestätigt die Rückgabe von Hardware und Schlüsseln. Die Personalabteilung dokumentiert den Austritt; die vorgesetzte Person gibt den Prozess abschließend frei. Welche Konten und Berechtigungen betroffen sind, sollte sich aus den tatsächlich angebundenen Systemen ergeben. Voraussetzung ist auch ein gepflegtes Berechtigungsverzeichnis.
Pflichtangaben sollen verhindern, dass erforderliche Schritte übersprungen werden. Festgelegte Freigaben erfüllen denselben Zweck. Jeder Bearbeitungsschritt hinterlässt eine Spur mit Status und Zeitstempel. Die verantwortliche Person wird ebenfalls erfasst. Bleibt eine Aufgabe offen, kann eine Benachrichtigung die zuständige Stelle erinnern oder eine Eskalation auslösen. Der Nachweis entsteht so im Verlauf des Prozesses und nicht erst bei einer späteren Rekonstruktion. Das klappt nur, wenn der Workflow aktuell bleibt. Relevante Systeme oder Sonderzugänge dürfen nicht außerhalb des Ablaufs liegen.
Freiheit unter Kontrolle
Je einfacher Fachbereiche Anwendungen erstellen können, desto wichtiger werden Regeln für Entwicklung und Betrieb. Unternehmen müssen festlegen, wer Workflows anlegen oder ändern darf und wer sie freigibt. Sie sollten außerdem bestimmen, welche Systeme angebunden werden können. Regeln müssen auch klären, wer welche Daten sehen darf. Die IT setzt den Rahmen für Sicherheit und Daten. Sie verantwortet auch Integrationen und Governance. Fachbereiche bringen ihr Wissen über die tatsächlichen Abläufe ein. Sinnvoll sind klare Vorgaben für Tests und Änderungen. Auch Notfallzugriffe müssen geregelt werden. Berechtigungen sollten regelmäßig überprüft werden.
Die Plattform darf keine Blackbox sein. Verantwortliche müssen nachvollziehen und steuern können, wie Anwendungen aufgebaut sind. Dazu gehört die Prüfung, welche Rechte gelten und wo Daten liegen. Auch die Verbindungen zu anderen Systemen müssen transparent sein. Unternehmen sollten kontrollieren, ob Protokolle gegen unbefugte Änderungen geschützt sind. Schnittstellen dürfen nur die erforderlichen Daten und Berechtigungen erhalten. Ohne diesen Überblick kann schnelle Digitalisierung neue Unklarheiten schaffen, statt bestehende zu beseitigen.
Davon unterscheidet sich "Vibe Coding", bei dem KI-Modelle Anwendungen durch Prompts erzeugen. Für Experimente kann das sinnvoll sein. Bei sicherheits- und compliancekritischen Abläufen müssen erzeugter Code und Änderungen jedoch geprüft werden. Sie müssen getestet und kontrolliert ausgerollt werden. Patch-Verwaltung und Rollenregeln sind nicht automatisch gewährleistet. Bei einer No-Code-Plattform kann der Anbieter technische Betriebsaufgaben übernehmen und Updates bereitstellen. Welche Aufgaben tatsächlich beim Anbieter liegen, ergibt sich aus Architektur und Vertrag. Entscheidend bleibt, welche Governance die konkrete Plattform bietet und wie ein Unternehmen sie einsetzt.
Ein digitaler Workflow kann Abläufe vereinheitlichen. Er erzeugt Nachweise dort, wo die Arbeit stattfindet. Das allein macht einen Prozess weder sicher noch regelkonform. Rechte und Datenzugriffe müssen weiterhin kontrolliert werden. Dasselbe gilt für Freigaben und Schnittstellen. Auch der Plattformbetrieb braucht Kontrolle.
