← Zurück zu News 25.09.2026

Die Vertretung ist kein Schlupfloch

Meldefristen laufen weiter, wenn die zuständige Person im Urlaub ist, also braucht jede Rolle eine Vertretung. Der IT-Grundschutz setzt dabei eine Grenze, die im Alltag regelmäßig fällt: Auch Vertreter unterliegen der Funktionstrennung. Warum die Vertretung oft genau die Person ist, die den Antrag gestellt hat, und was eine Freigabe während der Abwesenheit festhalten muss.

Ein erheblicher Sicherheitsvorfall wartet nicht, bis die Informationssicherheitsbeauftragte aus dem Urlaub zurück ist. § 32 Absatz 1 BSIG verlangt die frühe Erstmeldung „unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung“, Artikel 33 DSGVO die Meldung einer Datenpanne möglichst binnen 72 Stunden. Beide Fristen beginnen mit der Kenntnis der Organisation, nicht mit der Rückkehr der zuständigen Person.

Also braucht jede Rolle, an der eine Frist oder eine Freigabe hängt, eine Vertretung. Das ist unstrittig und in den meisten Häusern auch geregelt, auf dem Papier. In der Praxis gibt es zwei Arten, daran zu scheitern.

Erster Fehler: niemand sieht es

Die Aufgabe liegt im Postfach der abwesenden Person. Die Abwesenheitsnotiz im E-Mail-Programm antwortet dem Absender, aber sie ändert nichts an der Zuweisung im Werkzeug. Die Vertretung ist benannt, weiß aber nicht, dass sie gerade gebraucht wird. Nach zwei Wochen kommt die Rückkehrerin zu einer abgelaufenen Wiedervorlage und einer Freigabe, die seit zehn Tagen blockiert.

Zweiter Fehler: die Vertretung darf zu viel

Der zweite Fehler ist unauffälliger. In kleinen Teams vertreten sich zwei Personen gegenseitig. Die eine beantragt eine Firewall-Änderung, die andere soll sie freigeben und ist im Urlaub. Die Vertretung der Freigeberin ist die Antragstellerin. Sie gibt ihren eigenen Antrag frei, fristgerecht und formal korrekt.

Genau das schließt der IT-Grundschutz aus. Die Basis-Anforderung ORP.1.A4 verlangt, unvereinbare Aufgaben wie operative und kontrollierende Funktionen auf verschiedene Personen zu verteilen, und endet mit dem Satz: „Auch Vertreter MÜSSEN der Funktionstrennung unterliegen.“ Eine Vertretungsregel, die das nicht abbildet, hebelt das Vier-Augen-Prinzip genau dann aus, wenn niemand hinsieht.

Was eine Vertretung festhalten muss

Drei Dinge gehören deshalb in jede technische Vertretungsregel. Erstens bekommt die Vertretung die Aufgaben zusätzlich, nicht anstelle: Die abwesende Person soll bei Rückkehr sehen, was in ihrem Namen entschieden wurde. Zweitens scheidet aus, wer nach dem Vier-Augen-Prinzip nicht entscheiden darf, auch wenn er als Vertretung eingetragen ist. Drittens bleibt nachvollziehbar, wer für wen entschieden hat.

Und ein vierter Punkt, der mit Informationssicherheit nichts zu tun hat, aber mit Datenschutz: Der Grund der Abwesenheit geht niemanden etwas an. „Krank“ im Vertretungseintrag ist ein Gesundheitsdatum im Sinne von Artikel 9 DSGVO, sichtbar für alle, die die Vertretung sehen.

Wie isidaten das abbildet

Mit dem Modul Abwesenheit und Vertretung tragen Beschäftigte Zeitraum und Vertretung selbst ein, die Benutzerverwaltung kann es für alle. Getrennt einstellbar ist, ob die Vertretung Aufgaben, Freigaben oder Wiedervorlagen aus der Dokumentenablage übernimmt. Sie erhält diese zusätzlich zur abwesenden Person und kann darin handeln. Einen Grund fragt das Modul bewusst nicht ab.

In mehrstufigen Freigaben gilt die Vertretung nur, wenn die jeweilige Stufe sie erlaubt. Gilt das Vier-Augen-Prinzip, fallen Antragsteller und Ersteller des Objekts heraus, auch als Vertretung: Die Freigabe geht dann nicht an sie, und bei der Entscheidung wird es erneut geprüft. Entscheidet die Vertretung, hält die Freigabe fest, wem die Entscheidung eigentlich gehörte.

Zwei Regeln verhindern Überraschungen beim Anlegen. Die Vertretung muss mit der Person ein Team teilen, und sie darf im Zeitraum nicht selbst abwesend sein. Ketten, in denen die Vertretung der Vertretung entscheidet, gibt es nicht.