IT-Nutzungsrichtlinie für Mitarbeitende: Was hineingehört und wie Sie sie rechtssicher einführen

Die meisten Sicherheitsvorfälle in kleinen und mittleren Betrieben beginnen nicht mit einem Hackerangriff im Kinofilm-Stil, sondern mit einer alltäglichen Handlung: ein Klick auf den falschen Anhang, ein wiederverwendetes Passwort, ein Firmen-Notebook im ungesicherten Heim-WLAN. Genau hier setzt eine IT-Nutzungsrichtlinie an. Sie schreibt auf, was erlaubt ist und was nicht, und macht die Regeln damit erst durchsetzbar.

Das Problem: Viele Geschäftsführer laden eine kostenlose Vorlage herunter, füllen den Firmennamen ein und legen sie ab. Dann steht ein Dokument im Ordner, das rechtlich wackelt und im Betrieb niemand kennt. Dieser Artikel zeigt, was wirklich hineingehört, wo die arbeitsrechtlichen Fallen liegen (Stichwort private Nutzung) und wie Sie die Richtlinie so einführen, dass sie im Ernstfall auch trägt. Stand: 2026-08-24.

Was ist eine IT-Nutzungsrichtlinie und wozu brauchen Sie eine?

Eine IT-Nutzungsrichtlinie ist ein verbindliches Dokument, das festlegt, wie Mitarbeitende die IT des Betriebs nutzen dürfen: Geräte, Internet, E-Mail, Software, Daten und Zugänge. Sie schützt das Unternehmen technisch und rechtlich, weil sie Erwartungen klar macht und im Schadensfall den Nachweis liefert, dass Sie Ihre Beschäftigten verpflichtet haben.

Eine eigene gesetzliche Pflicht mit genau diesem Namen gibt es nicht. In der Sache verlangen aber gleich mehrere Regelwerke dokumentierte organisatorische Maßnahmen, und die Nutzungsregeln sind ein Kernstück davon. Art. 32 DSGVO fordert technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Der BSI IT-Grundschutz beschreibt Regelungen zur Nutzung als Standardbaustein. Und seit Dezember 2025 verpflichtet das deutsche NIS2-Umsetzungsgesetz rund 29.500 Unternehmen zu einem Risikomanagement mit klaren organisatorischen Vorgaben.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Quelle: BSI IT-Grundschutz

Warum das Thema gerade jetzt zählt

Die Bedrohungslage macht klare Nutzungsregeln zur Grundausstattung, nicht zur Kür. Der Mensch bleibt das häufigste Einfallstor, und die Angriffe treffen gezielt kleine Betriebe. Eine Richtlinie allein stoppt keinen Angriff, aber sie legt das Verhalten fest, das die meisten Vorfälle verhindert, und schafft die Grundlage für Awareness und Nachweis.

Der BSI-Lagebericht 2025 zeigt, wie sich die Lage verschärft hat: Im Berichtszeitraum wurden im Schnitt rund 119 neue Sicherheitslücken pro Tag registriert, ein Anstieg von etwa 24 Prozent gegenüber dem Vorjahr. Beim Bundeskriminalamt wurden rund 950 Ransomware-Angriffe erfasst, und etwa 80 Prozent der betroffenen Organisationen waren kleine und mittlere Unternehmen. Die Angreifer setzen also bewusst auf die Masse der schwächer geschützten Betriebe.

Quelle: BSI: Die Lage der IT-Sicherheit in Deutschland 2025

Was in die IT-Nutzungsrichtlinie hineingehört

Eine gute IT-Nutzungsrichtlinie deckt sieben Themenblöcke ab: Geltung, Zugangsdaten und Passwörter, private Nutzung, Umgang mit Daten und E-Mail, Homeoffice und mobiles Arbeiten, private Geräte und Cloud-Dienste sowie Meldewege und Folgen. Wichtiger als Vollständigkeit ist, dass jede Regel verständlich, knapp und tatsächlich durchsetzbar ist. Ein Dokument, das niemand liest, schützt nicht.

Die folgenden Abschnitte gehen die heiklen Blöcke einzeln durch. Als Gliederung für Ihr eigenes Dokument dient diese Liste:

• Geltungsbereich. Für wen gilt die Richtlinie, für welche Geräte und Zugänge, ab wann.
• Zugangsdaten und Passwörter. Länge, Passwortmanager, MFA, Umgang mit Weitergabe.
• Private Nutzung. Ob und wie Internet, E-Mail und Geräte privat genutzt werden dürfen.
• Daten und E-Mail. Phishing, Weitergabe von Daten, Verschlüsselung, Umgang mit Kundendaten.
• Homeoffice und mobiles Arbeiten. Netzwerk, Umgebung, Bildschirmsperre, Geräteverlust.
• Private Geräte und Cloud-Dienste. BYOD, erlaubte und verbotene Dienste, Schatten-IT und KI-Tools.
• Meldewege und Folgen. Wohin bei Verdacht, was passiert bei Verstößen.

Der heikelste Block: private Nutzung von Internet und E-Mail

Legen Sie die private Nutzung ausdrücklich fest. Das ist der arbeitsrechtlich riskanteste Punkt der ganzen Richtlinie. Erlauben oder dulden Sie die private Nutzung betrieblicher E-Mail- und Internetdienste, kann nach verbreiteter (wenn auch umstrittener) Auffassung das Fernmeldegeheimnis greifen, und dann wird ein späterer Zugriff auf das Postfach zum Problem.

Der Hintergrund: Ob ein Arbeitgeber bei geduldeter Privatnutzung zum Anbieter im Sinne des Telekommunikationsrechts wird, ist seit dem TDDDG (früher TTDSG) rechtlich nicht abschließend geklärt. Mehrere Aufsichtsbehörden und die Bundesnetzagentur vertreten inzwischen die Auffassung, dass Arbeitgeber nicht dem Fernmeldegeheimnis unterliegen. Solange das aber nicht höchstrichterlich entschieden ist, bleibt ein Restrisiko, denn eine Verletzung des Fernmeldegeheimnisses kann nach § 206 StGB strafbar sein.

Quelle: Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG)

Quelle: § 206 StGB: Verletzung des Post- oder Fernmeldegeheimnisses

Für die meisten KMU gibt es zwei saubere Wege. Beide vermeiden die Grauzone:

Zugangsdaten, Passwörter und MFA

Machen Sie klare Vorgaben zu Passwörtern und aktivieren Sie Mehr-Faktor-Authentifizierung. Wiederverwendete und schwache Passwörter sind einer der häufigsten Wege, wie Konten übernommen werden. Die Richtlinie legt die Regeln fest, die Technik erzwingt sie. Wichtig ist, dass die Vorgaben zum Passwortmanager passen, sonst umgehen Mitarbeitende sie.

Sinnvolle Regeln für den Alltag: lange, einzigartige Passwörter pro Dienst, verwaltet über einen betrieblichen Passwortmanager statt Zettel und Browser; MFA für alle Cloud-Zugänge, insbesondere Microsoft 365; keine Weitergabe von Zugangsdaten, auch nicht an Kolleginnen; und ein klarer Ablauf, wenn ein Passwort kompromittiert sein könnte. Die technischen Details und Methoden vertiefen wir im Beitrag zu MFA und Passwortmanagern.

Quelle: Microsoft Learn: Microsoft Entra Multifactor Authentication

Homeoffice und mobiles Arbeiten

Regeln Sie, unter welchen Bedingungen außerhalb des Büros gearbeitet werden darf. Homeoffice verlagert IT aus dem geschützten Firmennetz in Umgebungen, die Sie nicht kontrollieren. Die Richtlinie muss deshalb Mindestanforderungen an Netzwerk, Geräte und Verhalten festlegen, damit mobiles Arbeiten nicht zum offenen Einfallstor wird.

Praxistaugliche Punkte für den Homeoffice-Teil: Zugriff nur über gesicherte Verbindung (VPN oder abgesicherter Cloud-Zugang), Bildschirmsperre bei Abwesenheit, keine vertraulichen Gespräche und Bildschirme in Sicht- oder Hörweite Dritter, sicheres WLAN zu Hause, und ein sofortiger Meldeweg bei Verlust eines Geräts. Wie Sie die Anbindung technisch sauber aufsetzen, beschreibt der Artikel zur sicheren Homeoffice-Anbindung.

Quelle: BSI: Home-Office? Aber sicher!

Private Geräte, Cloud-Dienste und KI-Tools

Legen Sie fest, welche privaten Geräte und externen Dienste erlaubt sind, und verbieten Sie den Rest ausdrücklich. Unkontrollierte private Geräte (BYOD) und selbst gewählte Cloud- oder KI-Dienste sind klassische Schatten-IT: Sie entstehen aus guten Absichten, entziehen sich aber jeder Kontrolle und tragen Firmendaten nach außen.

Regeln Sie hier klar, ob und wie private Geräte auf Firmendaten zugreifen dürfen, welche Cloud-Speicher zulässig sind (und dass private Dropbox, WeTransfer und Co. für Firmendaten tabu sind) und wie mit KI-Werkzeugen umzugehen ist. Gerade das Einfügen von Kundendaten oder Verträgen in öffentliche KI-Chats ist ein unterschätztes Datenschutzproblem, das wir im Beitrag zu KI und Schatten-IT behandeln.

Umgang mit E-Mail, Daten und Phishing

Verpflichten Sie Mitarbeitende auf einen wachsamen Umgang mit E-Mails und den Schutz von Daten. Phishing ist nach wie vor der häufigste Einstieg in einen Betrieb. Die Richtlinie sollte Grundregeln festhalten, aber sie ersetzt kein Training, sondern begleitet es.

Typische Regeln: keine Anhänge oder Links aus unerwarteten Nachrichten öffnen, im Zweifel über einen zweiten Kanal rückfragen, keine Zugangsdaten auf Aufforderung per E-Mail eingeben, Firmendaten nur über freigegebene Wege teilen, und auffällige Nachrichten melden statt löschen. Warum wiederkehrendes Training den größten Effekt hat, zeigt der Beitrag zu Phishing-Awareness im Betrieb.

Quelle: BSI: Spam, Phishing & Co

Wie Sie die Richtlinie rechtssicher einführen

Eine Richtlinie wird nicht durch Ablegen wirksam, sondern durch drei Schritte: die Beteiligung des Betriebsrats (falls vorhanden), eine klare arbeitsrechtliche Verankerung und die nachweisbare Kenntnisnahme jedes Mitarbeitenden. Fehlt einer dieser Schritte, steht das Dokument im Ernstfall auf wackeligen Beinen.

Betriebsrat: Mitbestimmung ist Pflicht, nicht Höflichkeit

Gibt es einen Betriebsrat, müssen Sie ihn beteiligen. Sobald eine Richtlinie technische Einrichtungen betrifft, die Verhalten oder Leistung überwachen können, greift die zwingende Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Das umfasst praktisch jede Protokollierung, Web-Filterung, Fernwartung oder Auswertung, also nahezu jede ernst gemeinte IT-Richtlinie.

Ohne Beteiligung des Betriebsrats sind solche Maßnahmen gegenüber den Beschäftigten unwirksam, und der Betriebsrat kann die Nutzung stoppen. Der übliche und sauberste Weg ist eine Betriebsvereinbarung, die die Richtlinie trägt. Sie hat zusätzlich den Vorteil, dass sie nach § 26 BDSG als Kollektivvereinbarung eine belastbare Rechtsgrundlage für die damit verbundene Datenverarbeitung schaffen kann.

Quelle: § 87 BetrVG: Mitbestimmungsrechte

Quelle: Bundesdatenschutzgesetz (BDSG)

Kenntnisnahme nachweisen

Lassen Sie sich die Kenntnisnahme jedes Mitarbeitenden bestätigen. Im Schadens- oder Streitfall müssen Sie belegen können, dass die Person die Regeln kannte. Eine Richtlinie, die im Intranet liegt und die niemand quittiert hat, hilft Ihnen vor Gericht oder gegenüber der Aufsichtsbehörde wenig. Nehmen Sie die Richtlinie deshalb ins Onboarding neuer Mitarbeitender auf und dokumentieren Sie jede Bestätigung.

In sechs Schritten zur eingeführten Richtlinie

1. 1
   Bestand und IT aufnehmen
   Klären, welche Geräte, Cloud-Dienste und Zugänge es gibt und wie im Betrieb tatsächlich gearbeitet wird, auch im Homeoffice. Die Richtlinie muss zu Ihrer echten IT passen, nicht zu einer Vorlage.
2. 2
   Grundsatzentscheidung private Nutzung
   Festlegen, ob private Nutzung von Internet, E-Mail und Geräten verboten oder ausdrücklich geregelt wird. Diese Entscheidung bestimmt den heikelsten Teil des Dokuments und die spätere Kontrollmöglichkeit.
3. 3
   Richtlinie ausformulieren
   Die sieben Themenblöcke knapp und verständlich ausformulieren. Jede Regel so schreiben, dass sie durchsetzbar ist und ein Mitarbeitender sie ohne Juristendeutsch versteht.
4. 4
   Betriebsrat beteiligen
   Falls vorhanden, den Betriebsrat einbeziehen und die Richtlinie über eine Betriebsvereinbarung nach § 87 BetrVG absichern. Das ist Pflicht, sobald Überwachung technisch möglich ist.
5. 5
   Technik passend einstellen
   MFA, Filter, Protokollierung, VPN und Berechtigungen so konfigurieren, dass die Regeln technisch unterstützt und nicht nur behauptet werden. Regel ohne Technik bleibt Papier.
6. 6
   Einführen, schulen, quittieren lassen
   Die Richtlinie kommunizieren, kurz erklären, warum es sie gibt, und von jedem Mitarbeitenden die Kenntnisnahme dokumentiert bestätigen lassen. Bei neuen Mitarbeitenden ins Onboarding aufnehmen.

Reicht eine kostenlose Vorlage?

Eine Vorlage ist ein guter Startpunkt für die Struktur, aber kein fertiges Dokument. Sie liefert die Gliederung und erspart Ihnen das leere Blatt. Was sie nicht kann: Ihre konkrete IT abbilden, die Grundsatzentscheidung zur privaten Nutzung für Sie treffen oder die Betriebsratsbeteiligung ersetzen. Genau an diesen Stellen entscheidet sich, ob die Richtlinie später trägt.

Nutzen Sie eine seriöse Vorlage (etwa von IHK oder Handwerkskammer) als Rohbau und füllen Sie die kritischen Felder mit Ihren echten Regeln. Prüfen Sie besonders die Abschnitte zu privater Nutzung, Homeoffice und Cloud-Diensten, denn dort scheitern generische Vorlagen am häufigsten. Und lassen Sie die datenschutz- und arbeitsrechtlichen Kernpunkte im Zweifel fachlich gegenlesen.

Wie ITCC dabei unterstützt

ITCC ist Ihr externer IT-Dienstleister für Pfalz, Rhein-Neckar und Rhein-Main, kein Anwalt und keine Datenschutzkanzlei. Die rechtliche Bewertung, etwa die endgültige Formulierung zur privaten Nutzung oder eine Betriebsvereinbarung, gehört in die Hände Ihres Anwalts oder Datenschutzbeauftragten. Was wir tun: Wir sorgen dafür, dass die technische Seite zu Ihren Regeln passt und diese im Alltag auch greifen.

Konkret heißt das: Wir nehmen Ihre IT-Landschaft auf, richten MFA, Berechtigungen, sichere Homeoffice-Anbindung und die passende Protokollierung in Microsoft 365 ein und liefern die IT-Dokumentation, auf die sich Ihre Richtlinie und ein Datenschutzbeauftragter stützen. Wenn Sie eine praxistaugliche IT-Nutzungsrichtlinie einführen wollen und wissen möchten, wo Ihr Betrieb technisch steht, ist ein Erstgespräch der einfachste Weg zu einer ehrlichen Einschätzung.

Gespräch vereinbaren