Clean Desk Policy: Regeln, Pflichten und Vorlage für Unternehmen

Die Personalakte liegt aufgeschlagen auf dem Schreibtisch, das Passwort klebt am Monitor, der Rechner ist während der Mittagspause entsperrt. Solche Alltagssituationen sind keine Kleinigkeit: Wer vorbeigeht, kann vertrauliche Informationen sehen, fotografieren oder mitnehmen. Eine Clean Desk Policy schließt diese Lücke mit wenigen, klaren Regeln.

Dieser Beitrag erklärt, was eine Clean Desk Policy umfasst, woraus sich die Pflicht dazu ergibt und welche 10 Regeln sich bewährt haben. Dazu erhalten Sie eine Vorlage, die Sie an Ihr Unternehmen anpassen können, und eine Anleitung für die Einführung.

Was ist eine Clean Desk Policy?

Eine Clean Desk Policy ist eine interne Richtlinie, die festlegt, dass Beschäftigte ihren Arbeitsplatz so hinterlassen, dass Unbefugte keine vertraulichen Informationen einsehen oder mitnehmen können. Im Deutschen spricht man auch vom „aufgeräumten Arbeitsplatz“.

Fast immer gehört eine zweite Regel dazu: Clear Screen. Sie verlangt, den Bildschirm zu sperren, sobald man den Platz verlässt, und vertrauliche Inhalte nicht offen sichtbar zu lassen, etwa in Besprechungen oder an Orten mit Publikumsverkehr. Zusammen decken beide Regeln die analoge und die digitale Seite des Arbeitsplatzes ab.

Es geht dabei nicht um Ordnung als Selbstzweck. Ziel ist der Schutz von Informationen vor neugierigen Blicken, vor Diebstahl und vor Angriffen von Personen, die sich unter einem Vorwand im Gebäude bewegen. Solche Täuschungen sind eine klassische Methode des Social Engineering.

Ist eine Clean Desk Policy Pflicht?

Ein Gesetz, das ausdrücklich einen aufgeräumten Schreibtisch vorschreibt, gibt es nicht. Die Pflicht ergibt sich aber aus mehreren Regelwerken, die den Schutz von Informationen verlangen:

Für die meisten Unternehmen ist die DSGVO der entscheidende Punkt: Liegen Bewerbungsunterlagen, Kundendaten oder Gehaltslisten offen herum und sieht sie eine unbefugte Person, kann das bereits eine meldepflichtige Datenpanne sein. Den Wortlaut von Art. 32 DSGVO finden Sie online. Wie die Regeln in Ihr Gesamtkonzept passen, beschreibt der Beitrag zur IT-Compliance.

Welche Regeln gehören in eine Clean Desk Policy? 10 Regeln

Eine gute Clean Desk Policy ist kurz und konkret. Diese 10 Regeln decken die typischen Risiken ab:

1. Unterlagen wegschließen: Vertrauliche Dokumente kommen beim Verlassen des Platzes und spätestens zum Feierabend in einen abschließbaren Schrank oder Container.
2. Bildschirm sperren: Wer den Platz verlässt, sperrt den Rechner, unter Windows mit Windows-Taste + L, am Mac mit Control + Command + Q. Zusätzlich greift eine automatische Sperre nach wenigen Minuten.
3. Keine Passwörter auf Papier: Notizzettel unter der Tastatur oder am Monitor sind tabu. Ein Passwortmanager ersetzt sie.
4. Datenträger sichern: USB-Sticks, externe Festplatten und Smartphones bleiben nicht unbeaufsichtigt liegen.
5. Drucker sofort leeren: Ausdrucke werden direkt abgeholt. Wo möglich, gibt eine PIN oder der Dienstausweis den Druckauftrag erst am Gerät frei.
6. Richtig entsorgen: Vertrauliches Papier gehört in den Aktenvernichter oder in verschlossene Datenschutztonnen, nie in den Papierkorb.
7. Besprechungsräume aufräumen: Whiteboards abwischen, Flipcharts mitnehmen, Bildschirmfreigaben beenden.
8. Sichtschutz beachten: Bildschirme mit vertraulichen Inhalten sind nicht zum Flur oder zum Fenster ausgerichtet, unterwegs hilft eine Blickschutzfolie.
9. Schlüssel und Ausweise verwahren: Büroschlüssel, Zugangskarten und Token liegen nicht offen auf dem Tisch.
10. Feierabend-Check: Zum Arbeitsende ist der Schreibtisch leer, der Rechner heruntergefahren oder gesperrt, Fenster und Schränke sind geschlossen.

Clean Desk Policy Vorlage zum Anpassen

Die folgende Vorlage enthält die wichtigsten Bausteine. Passen Sie Platzhalter in eckigen Klammern an Ihr Unternehmen an und stimmen Sie den Text mit Datenschutz, Informationssicherheit und gegebenenfalls dem Betriebsrat ab.

1. Zweck

Diese Richtlinie schützt vertrauliche Informationen von [Unternehmen], seinen Kundinnen und Kunden sowie seinen Beschäftigten vor unbefugter Einsichtnahme, Verlust und Diebstahl am Arbeitsplatz.

2. Geltungsbereich

Die Richtlinie gilt für alle Beschäftigten, Auszubildenden, Leiharbeitskräfte und externen Dienstleister, die an Arbeitsplätzen von [Unternehmen], im Homeoffice oder unterwegs mit Informationen des Unternehmens arbeiten.

3. Regeln am Arbeitsplatz

• Vertrauliche Unterlagen und Datenträger werden beim Verlassen des Arbeitsplatzes weggeschlossen.
• Zum Arbeitsende ist der Schreibtisch frei von Unterlagen mit vertraulichem Inhalt.
• Passwörter werden nicht notiert, sondern im freigegebenen Passwortmanager gespeichert.

4. Bildschirm und Geräte

• Der Bildschirm wird beim Verlassen des Arbeitsplatzes gesperrt. Die automatische Sperre greift nach [5] Minuten.
• Mobile Geräte werden nicht unbeaufsichtigt gelassen.

5. Drucker und Entsorgung

• Ausdrucke werden sofort abgeholt. Vertrauliche Dokumente werden nur über die gesicherte Druckfreigabe gedruckt.
• Vertrauliches Papier wird im Aktenvernichter oder in den Datenschutzbehältern entsorgt.

6. Homeoffice und unterwegs

• Die Regeln dieser Richtlinie gelten sinngemäß auch außerhalb der Büroräume.
• Unterlagen werden so aufbewahrt, dass Mitbewohnende und Besuch keinen Zugriff haben.

7. Verantwortung und Kontrolle

Führungskräfte achten auf die Einhaltung in ihrem Bereich. Stichprobenartige Rundgänge dienen der Sensibilisierung. Ansprechpartner für Fragen ist [Funktion, z. B. Informationssicherheitsbeauftragte].

8. Inkrafttreten

Die Richtlinie tritt am [Datum] in Kraft und wird [jährlich] überprüft.

Clean Desk im Homeoffice und beim Desk Sharing

Viele Arbeitsplätze sind heute nicht mehr fest zugeordnet. Damit wird die Clean Desk Policy wichtiger, nicht unwichtiger:

• Desk Sharing: Wenn mehrere Personen denselben Schreibtisch nutzen, muss er nach jedem Arbeitstag vollständig leer sein. Persönliche Fächer oder abschließbare Rollcontainer machen das praktikabel.
• Homeoffice: Auch zu Hause gilt die Vertraulichkeit. Unterlagen gehören in einen abschließbaren Schrank, der Bildschirm wird auch hier gesperrt, und Ausdrucke landen nicht im Hausmüll.
• Unterwegs: In Bahn, Café oder Hotellobby helfen eine Blickschutzfolie und die Regel, vertrauliche Telefonate und Videokonferenzen nicht in der Öffentlichkeit zu führen.

Welche weiteren Fragen mobiles Arbeiten für Unternehmen aufwirft, lesen Sie in unserem eigenen Beitrag dazu.

Wie führen Sie eine Clean Desk Policy ein?

Eine Richtlinie im Intranet ändert noch kein Verhalten. Diese Schritte haben sich bewährt:

1. Voraussetzungen schaffen: Abschließbare Schränke, Aktenvernichter oder Datenschutztonnen und eine automatische Bildschirmsperre müssen vorhanden sein, bevor Sie Regeln verlangen.
2. Richtlinie abstimmen: Datenschutz und Informationssicherheit prüfen den Text. Regeln zum Verhalten im Betrieb können mitbestimmungspflichtig sein. Binden Sie einen vorhandenen Betriebsrat deshalb früh ein.
3. Kommunizieren und schulen: Erklären Sie das Warum anhand konkreter Beispiele. Eine kurze Einheit in der DSGVO-Schulung oder im Security Awareness Training reicht oft aus.
4. Kenntnisnahme dokumentieren: Lassen Sie die Richtlinie bestätigen, idealerweise digital und für neue Beschäftigte automatisch im digitalen Onboarding.
5. Freundlich kontrollieren: Stichprobenartige Rundgänge mit einem Hinweiskärtchen statt einer Abmahnung wirken besser als Strafen. Ausgewertet wird nach Bereichen, nicht nach Personen.
6. Regelmäßig auffrischen: Erinnern Sie einmal im Jahr an die Regeln, etwa im Rahmen der jährlichen Unterweisung zur Informationssicherheit.

Wie unterstützt reteach bei der Umsetzung?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 59 interaktive Kurse als SCORM-Paket für bestehende Lernplattformen sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen. reteach ist DSGVO-konform.

• Passende Kurse: Die Informationssicherheit-Schulungen vermitteln, wie Beschäftigte Informationen im Arbeitsalltag schützen, mit Wissenstest.
• Eigene Richtlinie einbinden: Kurse lassen sich um eigene Dateien ergänzen, etwa um Ihre Clean Desk Policy als PDF.
• Automatisch zuweisen: Neue Beschäftigte erhalten Richtlinie und Kurs automatisch, Bestandsbelegschaften im jährlichen Turnus mit Erinnerungen.
• Nachweis: Abschlüsse und Bestätigungen werden revisionssicher dokumentiert und stehen für Audits nach ISO 27001 oder Prüfungen durch die Datenschutzaufsicht bereit.

Fazit: Ordnung ist Informationssicherheit

Eine Clean Desk Policy ist eine der einfachsten und günstigsten Maßnahmen der Informationssicherheit. Sie verhindert Datenpannen, die ohne jede Technik entstehen, und erfüllt Anforderungen aus DSGVO, ISO 27001 und BSI IT-Grundschutz. Entscheidend ist, dass die Regeln kurz, praktikabel und bekannt sind und dass die Ausstattung dazu passt.

Die nächsten Schritte:

1. Die Vorlage an Ihr Unternehmen anpassen und abstimmen.
2. Schränke, Druckfreigabe und automatische Bildschirmsperre prüfen.
3. Die Richtlinie schulen und die Kenntnisnahme dokumentieren.
4. Mit Rundgängen und jährlicher Auffrischung verankern.

Häufig gestellte Fragen