Clean-Desk-Policy

Eine Clean-Desk-Policy (deutsch häufig "Richtlinie zum aufgeräumten Arbeitsplatz") legt fest, wie Beschäftigte ihren Arbeitsplatz zu hinterlassen haben, wenn sie ihn verlassen. Kern der Regelung ist, dass Papierunterlagen, Notizen, Ausdrucke, Wechseldatenträger, Smartcards, Schlüssel und Token nicht offen liegen bleiben, sondern in verschließbaren Behältnissen aufbewahrt werden. Ergänzt wird sie regelmäßig durch die Clear-Screen-Regel: automatische Bildschirmsperre nach kurzer Inaktivität, manuelles Sperren beim Verlassen des Platzes sowie ein Ausdruck-Abholkonzept ("Pull Printing"), damit vertrauliche Dokumente nicht unbeaufsichtigt im Drucker liegen. Die Maßnahme wirkt gegen ein Risiko, das technische Kontrollen nicht abdecken: die schlichte Sichtnahme oder Mitnahme von Informationen durch Besucher, Dienstleister, Reinigungspersonal oder Kolleginnen und Kollegen ohne Need-to-know.

Normativ ist die Clean-Desk-Policy fest verankert. ISO/IEC 27001:2022 führt sie in Anhang A als Maßnahme 7.7 "Aufgeräumte Arbeitsplätze und Bildschirme"; ISO/IEC 27002:2022 beschreibt die Umsetzung im gleichnamigen Control. Der BSI IT-Grundschutz adressiert den aufgeräumten Arbeitsplatz in den Bausteinen zur Organisation und zur Infrastruktur (Büroraum, häuslicher Arbeitsplatz). Datenschutzrechtlich ist sie eine organisatorische Maßnahme im Sinne von Art. 32 Abs. 1 DSGVO, weil sie die Vertraulichkeit personenbezogener Daten am Arbeitsplatz absichert; für Einrichtungen im Anwendungsbereich der NIS2-Richtlinie und ihrer deutschen Umsetzung im BSIG zählt sie zu den Basis-Hygienemaßnahmen und zur Sicherheit des Personals, die als Teil des Risikomanagements zu ergreifen sind.

Wirksam wird die Richtlinie erst durch Konkretisierung und Kontrolle. Sinnvoll ist eine Kopplung an die Informationsklassifizierung: Je höher die Schutzstufe, desto strenger die Aufbewahrungspflicht — von "nicht offen sichtbar" über "abschließbarer Rollcontainer" bis zu "Stahlschrank oder Tresor". Die Policy sollte Zuständigkeiten, Sperrzeiten, Umgang mit Whiteboards und Flipcharts, Entsorgung über Datenschutztonnen oder Aktenvernichter der passenden Sicherheitsstufe nach DIN 66399 sowie Regeln für mobiles Arbeiten und Bahn-, Flug- oder Coworking-Umgebungen benennen. Flankierend braucht es Awareness-Maßnahmen, unangekündigte Begehungen als Wirksamkeitsnachweis und eine dokumentierte Reaktion auf Verstöße; ohne diese Nachweise besteht die Maßnahme im internen Audit oder in der ISO-27001-Zertifizierung selten.