Warum Unternehmen das Risikopotenzial von Funktionen kennen sollten

Nicht jede berufliche Funktion ist mit denselben Risiken verbunden: Während manche Mitarbeitende Zugang zu besonders sensiblen Informationen oder kritischen IT-Systemen haben, verfügen andere über weitreichende finanzielle Entscheidungsbefugnisse oder tragen Verantwortung für sicherheitskritische Betriebsabläufe. Gerade in regulierten Branchen wie dem Finanzwesen, dem Gesundheitssektor oder der Energieversorgung gewinnt die systematische Bewertung solcher Risiken laut Validato zunehmend an Bedeutung. Bislang basieren entsprechende Einschätzungen jedoch häufig auf internen Richtlinien, allgemeinen Berufsbezeichnungen oder individuellen Erfahrungswerten; eine einheitliche, wissenschaftlich fundierte Bewertungsmethodik fehlt vielerorts. Genau hier setzt das gemeinsame Praxisprojekt von Validato und der FHNW an.

Vier Risikodimensionen auf wissenschaftlicher Grundlage

Im Zentrum des Modells steht ein klarer Grundsatz: Bewertet wird nicht die persönliche Vertrauenswürdigkeit einer Person, sondern das Risikopotenzial, das mit einer bestimmten beruflichen Funktion verbunden ist. Das Projektteam der FHNW entwickelt dazu eine Risikotaxonomie mit vier Dimensionen: Information Technology erfasst Risiken rund um den Zugang zu IT-Systemen und privilegierten Berechtigungen, Information Security den Zugang zu vertraulichen Informationen und geschäftskritischem Wissen, Compliance Risiken im Zusammenhang mit Betrug, Korruption, Interessenkonflikten und regulatorischen Anforderungen, und Operations die Verantwortung für kritische Geschäftsprozesse und sicherheitsrelevante Betriebsabläufe. Als wissenschaftliche Grundlage dienen fundierte Forschungserkenntnisse und strukturierte Bewertungsmethoden, ergänzt durch unternehmensspezifische Angaben zu Zugriffsrechten, finanziellen Befugnissen, Führungsverantwortung und bestehenden Sicherheitsmassnahmen. Diese Informationen sollen mithilfe eines standardisierten Fragebogens erfasst werden und eine differenzierte, nachvollziehbare Bewertung des Risikopotenzials einzelner Funktionen ermöglichen.

Transparenz statt Black Box

Validato und die FHNW legen Wert darauf, dass Unternehmen nicht nur einen numerischen Score erhalten, sondern auch nachvollziehen können, welche Faktoren das Risikopotenzial einer Funktion beeinflussen. Das Modell sieht deshalb neben dem Gesamtscore auch differenzierte Teilbewertungen und die Identifikation wesentlicher Risikotreiber vor; zudem prüft das Projektteam den Einsatz von Monte-Carlo-Simulationen, um Unsicherheiten in der Bewertung methodisch sichtbar zu machen. Rechtlich und ethisch orientiert sich das Projekt am Schweizer Datenschutzgesetz (DSG), an der europäischen Datenschutz-Grundverordnung (DSGVO), am Schweizer Arbeitsrecht sowie an den Anforderungen des EU AI Act. Entscheidend ist dabei die klare Abgrenzung zwischen einer funktionsbezogenen Risikobewertung und einer personenbezogenen Beurteilung: Der Human Risk Score soll keine Aussage über die Integrität oder Zuverlässigkeit einzelner Personen treffen, sondern Unternehmen eine sachliche Grundlage liefern, um die mit einer Funktion verbundenen Risiken besser zu verstehen.

Nächste Schritte bis Anfang 2027

«Mit dem Human Risk Score wollen wir Unternehmen eine objektive und nachvollziehbare Grundlage geben, um risikorelevante Funktionen zu erkennen und Background Checks gezielter und verhältnismässiger einzusetzen», sagt André Naef, CEO von Validato AG. In den kommenden Wochen stehen die weitere Ausarbeitung des Bewertungsmodells, die Entwicklung eines Prototyps sowie die Überprüfung der Praxistauglichkeit im Vordergrund; der Abschluss des Praxisprojekts ist für Anfang Januar 2027 vorgesehen, die finalen Ergebnisse werden Anfang 2027 erwartet. Validato bedankt sich beim studentischen Projektteam und der FHNW für die professionelle und wissenschaftlich fundierte Zusammenarbeit und sieht im Modell langfristig eine wichtige Grundlage für die Weiterentwicklung eines risikobasierten Ansatzes im Background Screening.

Was in den Plänen bisher fehlt, ist ein Verfahren für die wichtigste Frage: Mit wem forschen wir eigentlich? Abgeordnete von SPD und CDU fordern, dass Einrichtungen Verbindungen von Partnern zu Militär, Nachrichtendiensten und staatlichen Stellen früh erkennen. Wie das gelingt, ohne Forschende unter Generalverdacht zu stellen, beantwortet dieser Beitrag in kompakter Form, inklusive der häufigsten Fragen aus der Praxis.

1. Was die Koalition plant, in 60 Sekunden

Laut einem Strategiepapier, über das das Handelsblatt am 8. Oktober 2026 berichtet hat, stehen folgende Maßnahmen im Raum:

• SPD: eine Technologieliste für sensible Forschungsbereiche, Forschungssicherheit als „gesamtstaatliche Aufgabe“.
• Union: Compliance-Systeme, ein jährliches Lagebild der Sicherheitsdienste, restriktivere Visaregeln und die Kopplung von Bundesmitteln an Sicherheitsanforderungen.
• Frist: Verbindliche Kooperationsregeln der Wissenschaftsorganisationen bis Jahresende, sonst Vorgaben durch den Bund.

Beschlossen ist noch nichts. In zentralen Punkten zeichnet sich laut Handelsblatt aber eine Einigung ab.

2. Was ist Research Security Screening?

Research Security Screening ist die strukturierte, risikobasierte Prüfung von Personen und Partnern, die Zugang zu sensibler Forschung erhalten. Es überträgt die Prinzipien des Pre-Employment-Screenings aus der Wirtschaft auf die Besonderheiten der Wissenschaft. Validato betrachtet dabei vier Ebenen:

• Person: Identität, akademische Abschlüsse, Werdegang, Sanktions- und Watchlists.
• Institution: frühere und aktuelle Affiliationen, Nähe zu Militär oder Verteidigungsforschung, Finanzierung von Aufenthalten.
• Partner: Due Diligence für Kooperationspartner, Drittmittelgeber und Unternehmen, inklusive OSINT und Exportkontrolllisten.
• Projekt: Einstufung der Sensibilität und Festlegung der Prüftiefe je Rolle.

Das Ergebnis ist eine dokumentierte Risikoeinschätzung, keine automatische Entscheidung über Menschen. Die Hochschule entscheidet selbst, ob sie Zugriffsrechte einschränkt, Auflagen festlegt oder eine Kooperation ablehnt.

3. Wen sollten Hochschulen prüfen, und wie tief?

Nicht jede Rolle braucht dieselbe Prüftiefe. Entscheidend ist der Zugang zu sensiblen Technologien, Daten und Infrastrukturen, nicht die Herkunft einer Person. Eine praxistaugliche Abstufung sieht so aus:

• Basis: Identitätsprüfung und Abschlussverifizierung, etwa für studentische Hilfskräfte in sensiblen Laboren.
• Standard: zusätzlich Werdegang, Sanktionslisten und Affiliationsprüfung, etwa für Promovierende und Gastwissenschaftler in eingestuften Projekten.
• Erweitert: zusätzlich Finanzierungsquellen, OSINT und regelmäßiges Re-Screening, etwa für Projektleitungen und Personen mit Administratorrechten.
• Partner: Due Diligence für Institutionen und Unternehmen vor Vertragsabschluss.

4. Was ist rechtlich erlaubt?

Personensicherheit an Hochschulen bewegt sich in einem engen Rahmen. Datenschutzrecht, Arbeits- und Dienstrecht, Mitbestimmung und das Diskriminierungsverbot setzen klare Grenzen. Staatsangehörigkeit oder Herkunft allein sind kein zulässiges Prüfkriterium. Zulässig und sinnvoll ist eine Prüfung, die sich am konkreten Zugang und an nachweisbaren Verbindungen orientiert, verhältnismäßig ist, transparent kommuniziert wird und dokumentiert ist.

Praktisch heißt das: Datenschutzfolgenabschätzung durchführen, Personalrat und Datenschutzbeauftragte früh einbinden, Betroffene informieren und Ergebnisse nur an eine definierte Stelle weitergeben, etwa an die Beauftragten für Forschungssicherheit. Die rechtliche Bewertung im Einzelfall ersetzt dieser Überblick nicht.

5. FAQ: Häufige Fragen zur Personensicherheit in der Forschung

Müssen Hochschulen schon jetzt handeln?

Eine gesetzliche Pflicht gibt es noch nicht. Wer aber bis Jahresende eigene Standards vorlegen soll oder künftig Förderauflagen erfüllen muss, braucht jetzt einen belastbaren Prozess.

Ist das nicht Generalverdacht gegen internationale Forschende?

Nein, wenn die Prüfung rollen- und projektbezogen ist und für alle Personen mit vergleichbarem Zugang gleich gilt, unabhängig von der Herkunft.

Reicht eine Prüfung der Partnerinstitution nicht aus?

Nein. Der Fall CISPA zeigt, dass Risiken über einzelne Personen und ihre Netzwerke entstehen können, nicht nur über Verträge zwischen Institutionen.

Warum ein externer Dienstleister?

Ein externer Partner sorgt für einheitliche Standards, Neutralität und Fachwissen in OSINT, Sanktionsprüfung und Verifizierung. Die Entscheidung bleibt bei der Einrichtung.

6. Fazit und nächste Schritte

Die Politik schafft gerade den Rahmen für Forschungssicherheit. Mit Leben füllen müssen ihn die Einrichtungen selbst. Der wirksamste Hebel ist ein risikobasiertes, rechtskonformes Research Security Screening, das Person, Institution, Partner und Projekt verbindet. Validato unterstützt Hochschulen und Forschungsinstitute im DACH-Raum von der Rollenmatrix bis zum dokumentierten Re-Screening. Sprechen Sie uns an, wenn Sie Ihren Prozess vor Inkrafttreten neuer Vorgaben aufsetzen möchten.

Was Union und SPD planen

Laut einem Strategiepapier, über das das Handelsblatt am 8. Oktober 2026 berichtete, schlägt die SPD eine Technologieliste für sensible Forschungsbereiche vor. Die Union fordert Compliance-Systeme, ein jährliches Lagebild der Sicherheitsdienste, restriktivere Visaregeln und die Kopplung von Bundesmitteln an den Schutz sensiblen Wissens. Die Wissenschaftsorganisationen sollen bis Jahresende verbindliche Regeln für Kooperationen mit Staaten außerhalb der EU vorlegen, andernfalls will der Bund eigene Vorgaben machen. Beschlossen sind die Maßnahmen noch nicht.

Die Lücke: Wer ist der Partner?

Auslöser der Debatte sind Kooperationen des CISPA mit Forschenden, die laut Handelsblatt Verbindungen zu militärnahen chinesischen Universitäten haben. Ein Abfluss sicherheitsrelevanten Wissens ist nicht belegt, eine externe Sonderprüfung wurde beauftragt. Abgeordnete von SPD und CDU fordern seither, Verbindungen von Partnern zu Militär, Nachrichtendiensten und staatlichen Stellen früh zu erkennen. Wie Hochschulen das konkret leisten sollen, bleibt offen. Lebensläufe, Publikationslisten und Kooperationsverträge geben darüber in der Regel keine Auskunft.

„Wissen fließt nicht über Organigramme ab, sondern über Menschen und ihre Netzwerke. Regeln und Förderauflagen sind richtig, aber sie greifen erst, wenn Hochschulen wissen, mit wem sie tatsächlich forschen.“

 — Reto Marti, Managing Partner, Validato

Validato empfiehlt Prüfung auf vier Ebenen

Validato empfiehlt ein risikobasiertes Research Security Screening, das vier Ebenen verbindet:

• Person: Identität, Abschlüsse, Werdegang, Sanktions- und Watchlists
• Institution: Affiliationen, Nähe zu Militär oder Verteidigungsforschung, Finanzierung von Forschungsaufenthalten
• Partner: Due Diligence für Kooperationspartner, Drittmittelgeber und Unternehmen
• Projekt: Einstufung der Sensibilität und Prüftiefe je Rolle, Re-Screening bei sensiblen Funktionen

Ohne Generalverdacht und rechtskonform

Maßgeblich ist aus Sicht von Validato nicht die Herkunft einer Person, sondern ihr Zugang zu sensiblen Technologien und Daten sowie nachweisbare Verbindungen zu interessierten Akteuren. Die Prüfung muss verhältnismäßig, transparent und dokumentiert sein und Datenschutz, Mitbestimmung und Diskriminierungsverbot beachten. Das Ergebnis ist eine Risikoeinschätzung, über Konsequenzen entscheidet die Einrichtung selbst.

Ausblick

Mit der Frist zum Jahresende und der geplanten Kopplung von Fördermitteln an Sicherheitsanforderungen steigt der Handlungsdruck auf Hochschulen und Forschungsinstitute. Validato rät Einrichtungen, Personensicherheit von Beginn an in ihre Compliance-Strukturen aufzunehmen, statt sie später nachzurüsten.

Eine der grössten Stärken liegt im Umgang mit Informationsmengen. Internationale Background Checks können Recherchen über verschiedene Länder, Sprachen, Schreibweisen und Quellen hinweg erforderlich machen. KI-gestützte Systeme können dabei helfen, diese Informationen schneller zu strukturieren.

Ein praktisches Beispiel sind Namensvarianten. Umlaute, unterschiedliche Transliterationen oder verschiedene Reihenfolgen von Vor- und Nachnamen können Recherchen erschweren. KI kann mögliche Varianten vorbereiten und Analysten dadurch bei einer breiteren Suche unterstützen.

Ein zweites Einsatzgebiet ist die Verarbeitung mehrsprachiger Informationen. Inhalte können übersetzt, zusammengefasst und thematisch kategorisiert werden. Entscheidend bleibt jedoch, relevante Ergebnisse anschliessend anhand der Originalquelle zu prüfen.

Auch beim sogenannten Entity Matching kann KI wertvolle Vorarbeit leisten. Stimmen Name, beruflicher Kontext, Unternehmen, Ort und weitere Merkmale überein? Technologie kann mögliche Verbindungen markieren. Die Feststellung, ob tatsächlich dieselbe Person gemeint ist, sollte jedoch qualifiziert überprüft werden.

Weitere Potenziale entstehen bei der Strukturierung von Rechercheergebnissen. Statt Analystinnen und Analysten mit einer unübersichtlichen Informationsmenge zu konfrontieren, können relevante Daten nach Kategorien wie beruflicher Werdegang, Unternehmensbeziehungen oder potenziellen Compliance-Hinweisen vorbereitet werden.

Damit verändert sich auch die Rolle der Fachperson. Weniger Zeit fliesst in repetitive Such- und Sortierarbeiten, mehr Zeit in Verifikation, Einordnung und Qualitätssicherung.

Das ist der eigentliche „Go“ für KI: Sie übernimmt nicht die Verantwortung – sie schafft Kapazität für bessere menschliche Entscheidungen.

Im Human Risk Management kann dieser Ansatz zusätzlich dabei helfen, unterschiedliche Prüfprozesse konsistenter zu gestalten. Rollen und Risikokategorien können definiert und passende Prüfbausteine strukturiert vorbereitet werden.

Gut eingesetzt macht KI Background Checks daher nicht nur schneller. Sie kann Prozesse strukturierter und skalierbarer machen – vorausgesetzt, Quellenprüfung und menschliche Kontrolle bleiben integraler Bestandteil des Verfahrens.

Ausblick auf Teil 3:
Wo Chancen entstehen, gibt es auch klare Grenzen. Im nächsten Artikel geht es um die No-Go’s: Halluzinationen, Bias, Verwechslungen und automatisierte Personenbewertungen.

Ausgangslage: Der Handlungsdruck steigt

Laut Handelsblatt zeichnet sich zwischen Union und SPD in zentralen Punkten eine Einigung über neue Sicherheitsvorgaben für die Wissenschaft ab, darunter eine Technologieliste, Compliance-Systeme und ein jährliches Lagebild der Sicherheitsdienste. Abgeordnete beider Parteien fordern zudem, Verbindungen von Partnern zu Militär und staatlichen Stellen früh zu erkennen. Für Hochschulen heißt das: Sie brauchen einen Prozess, bevor die Vorgaben verbindlich werden.

Warum ein Prozess statt Einzelfallprüfung

Viele Einrichtungen prüfen heute im Einzelfall, wenn ein Verdacht besteht. Das ist aus Sicht von Validato weder wirksam noch fair. Ein standardisierter Prozess sorgt dafür, dass alle Personen mit vergleichbarem Zugang gleich behandelt werden, und schafft die Dokumentation, die Fördermittelgeber künftig verlangen könnten.

„Ein guter Prüfprozess schützt nicht nur das Wissen der Hochschule, sondern auch die Forschenden selbst – vor Willkür und vor Generalverdacht.“

— Reto Marti, Managing Partner, Validato

Die sechs Schritte im Überblick

1. Schutzbedarf bestimmen: sensible Forschungsbereiche, Labore und Daten identifizieren, später orientiert an der geplanten Technologieliste.
2. Rollenmatrix definieren: je Rolle festlegen, welche Prüfmodule angemessen sind.
3. Rechtsgrundlage sichern: Datenschutzfolgenabschätzung, Information der Betroffenen, Einbindung von Personalrat und Datenschutzbeauftragten.
4. Prüfung durchführen: standardisiert und dokumentiert, idealerweise durch einen externen, neutralen Dienstleister.
5. Bewerten und entscheiden: Ergebnisse an eine definierte Stelle, etwa die Beauftragten für Forschungssicherheit.
6. Nachweisen und wiederholen: Prüfungen dokumentieren und sensible Rollen regelmäßig erneut prüfen.

Rechtliche Leitplanken

Personensicherheit an Hochschulen unterliegt engen Grenzen durch Datenschutz-, Arbeits- und Dienstrecht, Mitbestimmung und das Diskriminierungsverbot. Staatsangehörigkeit oder Herkunft allein sind kein zulässiges Kriterium. Validato empfiehlt, die Prüftiefe am konkreten Zugang zu sensiblen Technologien auszurichten und jede Maßnahme verhältnismäßig und transparent zu gestalten.

Unterstützung für Hochschulen im DACH-Raum

Validato unterstützt Hochschulen und Forschungseinrichtungen beim Aufbau eines Research Security Screenings, das Person, Institution, Partner und Projekt verbindet. Dazu gehören Identitäts- und Abschlussprüfung, Sanktions- und Watchlist-Abgleich, Affiliations- und OSINT-Recherche sowie Partner-Due-Diligence.

Kein anderer Sektor verwaltet derart sensible personenbezogene Daten wie das Gesundheitswesen: Diagnosen, Medikationspläne, psychische Erkrankungen oder genetische Informationen. Genau das macht Kliniken, Pflegeeinrichtungen und Gesundheitsdienstleister zu einem besonders lohnenden Ziel – nicht nur für externe Angreifer, sondern auch für Risiken, die von innen entstehen: durch Mitarbeitende, externe Dienstleister oder Abrechnungsstellen mit Zugriff auf Patientendaten.

Aktuelle Zahlen: Der Faktor Mensch bleibt zentral

Der aktuelle „Data Breach Investigations Report 2026" von Verizon bestätigt das Ausmaß für die Gesundheitsbranche weltweit: Von 1.492 untersuchten Sicherheitsvorfällen im Gesundheitswesen führten 1.438 zu einer bestätigten Offenlegung von Daten. Interne Akteure waren an 19 Prozent dieser Vorfälle beteiligt, der menschliche Faktor – etwa Fehlversand von Daten, Verlust von Geräten oder Fehlkonfigurationen – spielte bei 54 Prozent aller Vorfälle eine Rolle. Dritte, etwa externe Dienstleister, waren zusätzlich an rund 32 Prozent der Datenschutzverletzungen im Gesundheitswesen beteiligt.

Deutschland: Wenn der Zugriff über Dritte zum Risiko wird

Auch in Deutschland zeigt sich, wie real dieses Risiko ist. Laut einer Analyse der Stiftung Wissenschaft und Politik (SWP) wurden zwischen 2022 und 2025 weltweit 351 schwerwiegende Cyberangriffe auf Gesundheitseinrichtungen registriert, wobei Datendiebstahl den größten Anteil der Fälle ausmacht. Ein aktuelles Beispiel: Im April 2026 wurde der Abrechnungsdienstleister Unimed Ziel eines Ransomware-Angriffs; die Verschlüsselung der Systeme konnte verhindert werden, Daten wurden jedoch zuvor entwendet. Ab Mai 2026 informierten zahlreiche deutsche Universitätskliniken – darunter Freiburg, Köln, Heidelberg, Düsseldorf und Mainz – ihre Privatpatientinnen und -patienten sowie Selbstzahler; Medienberichten zufolge sind inzwischen mehr als 100.000 Personen betroffen, eine offizielle Gesamtzahl liegt bislang nicht vor. Der Fall zeigt, dass nicht nur die eigene Belegschaft, sondern auch externe Dienstleister mit Datenzugriff ein zentraler Risikofaktor sind.

Validatos Antwort: Human Risk Management für das Gesundheitswesen

Validato empfiehlt Kliniken, Pflegeeinrichtungen und Gesundheitsdienstleistern in Deutschland ein rollenbasiertes Human Risk Framework: mit einem Pre-Employment-Screening für klinisches und administratives Personal vor dem ersten Zugriff auf Patientendaten, anlassbezogenen Prüfungen bei Rollen- und Zugriffswechseln sowie einer systematischen Überprüfung externer Dienstleister und Abrechnungsstellen, die Zugang zu sensiblen Systemen erhalten. Validato bietet dafür mehr als 18 einzeln wählbare Prüfmodule, liefert für die meisten Module Ergebnisse innerhalb von Minuten und ist nach ISO 27001 zertifiziert sowie durchgängig DSGVO-konform.

„Patientendaten gehören zu den sensibelsten Informationen überhaupt – umso wichtiger ist es, genau zu wissen, wer Zugriff darauf hat. Das gilt für die eigene Belegschaft genauso wie für externe Dienstleister und Abrechnungsstellen, die oft denselben Zugang erhalten, aber seltener überprüft werden."

— Reto Marti, Managing Partner, Validato

Regulatorischer Druck wächst: NIS2 und KRITIS im Gesundheitswesen

Seit Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes im Dezember 2025 müssen auch Kliniken, Pflegeeinrichtungen und medizinische Versorgungszentren in Deutschland als Teil des Sektors Gesundheit Cybersicherheitsvorfälle innerhalb von 24 Stunden an das BSI melden. Ein systematisches Human Risk Management – von der Einstellung bis zum Austritt und einschließlich externer Dienstleister – wird damit vom Kür- zum Pflichtthema für Gesundheitseinrichtungen in Deutschland.

Doch gerade wenn Informationen über Menschen verarbeitet werden, gilt ein entscheidender Grundsatz: Effizienz darf nicht mit Entscheidungsautomatisierung verwechselt werden.

Dieser Beitrag eröffnet unsere 5-teilige Serie „Go’s und No-Go’s mit KI bei Background Checks und Human Risk Management“. In fünf Artikeln betrachten wir Chancen, sinnvolle Anwendungen, Grenzen, Risiken und die Frage, wie Unternehmen KI verantwortungsvoll in ihre Prüfprozesse integrieren können.

Ein starkes Einsatzgebiet von KI liegt in der Unterstützung menschlicher Analystinnen und Analysten. Sie kann beispielsweise Informationen strukturieren, Namensvarianten erkennen, Inhalte aus unterschiedlichen Sprachen aufbereiten oder grosse Mengen öffentlich verfügbarer Informationen vorsortieren. Dadurch bleibt mehr Zeit für die eigentliche fachliche Arbeit: Quellen bewerten, Sachverhalte einordnen und Entscheidungen im Kontext treffen.

Problematisch wird es dort, wo aus Unterstützung eine vermeintliche Entscheidungsinstanz wird. Ein KI-System kennt einen Menschen nicht. Es verarbeitet Daten und erkennt statistische oder sprachliche Muster. Daraus automatisch auf Integrität, Zuverlässigkeit oder ein zukünftiges Verhalten einer Person zu schliessen, wäre für einen professionellen Background Check keine belastbare Grundlage.

Hinzu kommt, dass KI-generierte Informationen fehlerhaft sein können. Namensgleichheiten können Personen miteinander vermischen, Informationen können veraltet oder aus dem Kontext gerissen sein und generative Systeme können Aussagen erzeugen, für die keine belastbare Quelle existiert.

Professionelles Background Screening benötigt deshalb weiterhin nachvollziehbare Quellen, definierte Prüfkriterien und qualifizierte menschliche Bewertung.

Das interessante Zukunftsmodell lautet daher nicht „KI statt Mensch“, sondern „KI plus Mensch“. Technologie übernimmt repetitive und datenintensive Aufgaben. Fachpersonen prüfen Ergebnisse, bewerten Quellen und treffen die Entscheidungen.

Im Human Risk Management wird diese Arbeitsteilung noch wichtiger. Hier geht es nicht nur um einen Check vor einer Einstellung, sondern um die systematische Frage, welche personellen Risiken für bestimmte Funktionen tatsächlich relevant sind und wie Unternehmen damit verhältnismässig umgehen können.

KI kann dabei ein leistungsfähiges Werkzeug sein. Die Verantwortung für die Bewertung eines Menschen sollte sie jedoch nicht übernehmen.

Ausblick auf Teil 2:
Im zweiten Beitrag zeigen wir die konkreten „Go’s“: Wo KI Background Checks bereits heute effizienter, strukturierter und international skalierbarer machen kann.

Luxusmarken verkaufen mehr als ein Produkt: Exklusivität, Vertrauen und ein makelloses Markenerlebnis sind der eigentliche Wert hinter dem Preisschild. Ein einziger Vorfall – eine Boutique-Mitarbeiterin, die Kundendaten weiterverkauft, ein Lagermitarbeiter, der Ware beiseiteschafft, oder gefälschte Produkte, die über einen scheinbar seriösen Kanal in Umlauf geraten – beschädigt dieses Versprechen oft nachhaltiger als der reine Warenverlust.

Diebstahl von innen: Was die Zahlen zeigen

Wie teuer das werden kann, zeigt die aktuelle EHI-Studie „Inventurdifferenzen 2026“: 2025 entstand dem deutschen Einzelhandel ein Gesamtschaden durch Schwund von 5,11 Milliarden Euro – ein Plus von 3,2 Prozent gegenüber dem Vorjahr. Von den 4,33 Milliarden Euro, die auf Diebstahl entfallen, stammen 3,05 Milliarden Euro von Kundinnen und Kunden. Aber: 910 Millionen Euro gehen auf das Konto von Mitarbeitenden, weitere 370 Millionen Euro auf Lieferanten und externe Dienstleister. Mehr als ein Viertel des gesamten Diebstahlschadens entsteht damit nicht von außen, sondern innerhalb des eigenen Betriebs.

Für Luxusmarken wiegt das besonders schwer, weil der Warenwert pro Einheit um ein Vielfaches höher liegt als im klassischen Einzelhandel. Wie real dieses Risiko sein kann, zeigt ein Fall in Berlin: Zwei ehemalige Mitarbeitende einer Rolex-Boutique am Kurfürstendamm sollen bei einem Einbruch Komplizen Schlüssel zugespielt und den Tresor unverschlossen gelassen haben – Beute: 433 Uhren im Wert von rund 8 Millionen Euro sowie knapp 135.000 Euro Bargeld, bis heute verschwunden. (Hinweis: Dieser Fall liegt bereits einige Jahre zurück und wird hier als illustratives Beispiel für Insider-begünstigten Diebstahl im Luxusuhren-Segment angeführt, nicht als aktuelles Ereignis aus 2025/2026.)

Fälschungen und Umleitung: Die zweite Bedrohung fürs Prestige

Neben internem Diebstahl bedroht ein zweiter Faktor das Markenprestige: Produktfälschungen. Laut dem Bericht „Mapping Global Trade in Fakes 2025“ von OECD und EUIPO erreichte der weltweite Handel mit gefälschten Waren ein Volumen von 467 Milliarden US-Dollar – basierend auf den aktuellsten verfügbaren globalen Zollbeschlagnahmungsdaten aus dem Jahr 2021, veröffentlicht von OECD und EUIPO im Mai 2025. Der deutsche Zoll meldete für 2025 rund 19.124 Aufgriffe von Produktfälschungen – ein Anstieg gegenüber 16.857 Fällen im Vorjahr – mit einem Gesamtwarenwert von etwa 446 Millionen Euro. Die mit Abstand größte Kategorie: Accessoires wie Taschen, Uhren, Sonnenbrillen und Schmuck mit einem Warenwert von 313,5 Millionen Euro – ein deutlicher Anstieg gegenüber 225,9 Millionen Euro im Vorjahr.

Auch die deutsche Rechtsprechung reagiert auf wachsenden Druck auf Luxusmarken: Das OLG Düsseldorf stärkte im Februar 2026 (Urteil vom 10. Februar 2026, Az. 20 U 89/25) das Recht von Markeninhabern, gegen eine Billig-Präsentation ihrer Produkte im Off-Price-Handel vorzugehen, selbst nach einem autorisierten Erstverkauf. Im konkreten Fall entschied das Gericht gegen den Off-Price-Händler TK Maxx wegen dessen Präsentation von L’Oréal-Luxe-Produkten (u. a. Yves Saint Laurent, Lancôme und IT Cosmetics). Begründung: Unordentlich präsentierte, „verramschte“ Ware schade dem Markenimage – unabhängig vom Vertriebsweg.

Warum Technik und Recht allein nicht schützen

Gerichtsurteile und Ladensicherung wirken erst, nachdem Ware bereits abgeflossen ist. Der wirksamste Hebel liegt davor: bei der Frage, wem ein Unternehmen Zugang zu Tresoren, Lagerbeständen, Kundendaten oder VIP-Verkaufsevents gewährt. Das betrifft Verkaufspersonal mit Zugriff auf Kundendaten ebenso wie Lager- und Logistikmitarbeitende, Boutique-Manager mit Schlüsselgewalt, Konzessionspartner in Shop-in-Shop-Flächen sowie saisonales Personal während Spitzenzeiten wie dem Weihnachtsgeschäft.

Validatos Antwort: Human Risk Framework für Luxusmarken

Validato empfiehlt Luxusmarken in Deutschland ein rollenbasiertes Human Risk Framework: mit einem Pre-Employment-Screening vor dem ersten Zugang zu Tresoren, Lagerbeständen oder Kundendaten, anlassbezogenen Prüfungen bei Rollen- und Zugriffswechseln sowie einem In-Employment-Screening für Positionen mit besonders hohem Risikoprofil – unabhängig davon, ob es sich um festangestelltes Personal, saisonale Kräfte oder externe Konzessionspartner handelt. Validato bietet dafür mehr als 18 einzeln wählbare Prüfmodule, liefert für die meisten Module Ergebnisse innerhalb von Minuten und ist nach ISO 27001 und ISO 27701 zertifiziert sowie durchgängig DSGVO-konform.

„Bei Luxusmarken steht nicht nur der Warenwert auf dem Spiel, sondern das Versprechen von Exklusivität selbst. Ein einziger Vorfall mit Mitarbeiterbeteiligung kann einem Markenimage mehr schaden als ein Vielfaches des reinen Warenschadens. Deshalb sollte Personalsicherheit bei Luxusmarken genauso selbstverständlich sein wie die Alarmanlage in der Boutique.“

— Reto Marti, Managing Partner, Validato

Energieversorger stehen technisch gut gerüstet gegen Angriffe von außen – Firewalls, Monitoring und Incident-Response-Pläne gehören längst zum Standard. Schwerer zu kontrollieren ist eine andere Gefahr: Mitarbeitende, ehemalige Beschäftigte oder externe Dienstleister, die bereits über legitimen Zugang zu Leitsystemen, Netzsteuerung oder sensiblen Anlagen verfügen.

Was Insider-Vorfälle wirklich kosten

Wie teuer das werden kann, zeigt der aktuelle „Cost of Insider Risks“-Report von Ponemon Institute und DTEX Systems: Weltweit kostet ein Insider-Vorfall Unternehmen im Schnitt 19,5 Millionen US-Dollar pro Jahr – ein Anstieg von rund 20 Prozent seit 2023 (damals: 16,2 Millionen US-Dollar).

Den größten Kostenanteil verursachen dabei nicht vorsätzliche Täter, sondern Fahrlässigkeit: 53 Prozent der Kosten (10,3 Millionen US-Dollar) entfallen auf unbeabsichtigte Fehler von Mitarbeitenden, mit durchschnittlich 13,8 solcher Vorfälle pro Unternehmen und Jahr. Vorsätzliches Handeln macht 27 Prozent aus (4,7 Millionen US-Dollar), kompromittierte Zugangsdaten weitere 20 Prozent (4,5 Millionen US-Dollar).

Auch die Reaktionsgeschwindigkeit entscheidet über die Kosten: Wird ein Vorfall innerhalb von 30 Tagen eingedämmt, liegen die Jahreskosten bei 14,2 Millionen US-Dollar – dauert die Eindämmung länger als 90 Tage, steigen sie auf 21,9 Millionen US-Dollar.

Neue Gesetze erhöhen den Druck auf Energieversorger in Deutschland

Für Energieversorger in Deutschland kommt regulatorischer Druck hinzu. Seit dem 17. März 2026 ist das KRITIS-Dachgesetz in Kraft. Es verpflichtet Betreiber kritischer Infrastruktur in zehn Sektoren – darunter Energie – zur Registrierung und zu umfassenden Resilienzmaßnahmen.

Parallel dazu greift mit der NIS2-Umsetzung über das BSI-Gesetz (BSIG) und das Energiewirtschaftsgesetz (EnWG) eine schärfere Cybersicherheitsregulierung: Energieunternehmen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz gelten als „wichtige Einrichtung“, ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz als „besonders wichtige Einrichtung“ – mit Meldepflichten binnen 24 Stunden (Erstmeldung) und 72 Stunden (Detailmeldung) bei Sicherheitsvorfällen.

Warum Technik allein nicht ausreicht

Beide Gesetze schreiben in erster Linie technische und organisatorische Maßnahmen vor. Die Kostendaten aus dem Insider-Risks-Report zeigen jedoch, warum Energieversorger den Faktor Mensch nicht ausklammern sollten: Wer Zugang zu Leitwarten, Netzsteuerung oder physischen Anlagen hat, kann im Ernstfall die Versorgung ganzer Regionen gefährden – unabhängig davon, ob der Fehler vorsätzlich oder fahrlässig geschieht.

Das betrifft nicht nur festangestelltes Personal, sondern auch externe Wartungstechniker, Anlagenbauer und IT-Dienstleister, die oft denselben Zugang erhalten wie eigene Mitarbeitende – jedoch seltener überprüft werden.

Validatos Antwort: Human Risk Framework für Energieversorger

Validato empfiehlt Energieversorgern in Deutschland ein rollenbasiertes Human Risk Framework: mit einem Pre-Employment-Screening vor dem ersten Zugang zu sicherheitsrelevanten Bereichen, anlassbezogenen Prüfungen bei Rollen- und Zugriffswechseln sowie einem In-Employment-Screening für Positionen mit Zugriff auf kritische Systeme – unabhängig davon, ob es sich um interne Mitarbeitende oder externe Fachkräfte handelt. Validato bietet dafür mehr als 18 einzeln wählbare Prüfmodule, liefert für die meisten Module Ergebnisse innerhalb von Minuten und ist nach ISO 27001 und ISO 27701 zertifiziert sowie durchgängig DSGVO-konform.

„Die Zahlen zeigen: Die teuersten Insider-Vorfälle sind nicht die spektakulären Sabotageakte, sondern der alltägliche Fehler eines überlasteten Mitarbeiters oder eines nicht überprüften externen Dienstleisters. Gerade Energieversorger sollten deshalb nicht warten, bis eine neue Verordnung sie dazu zwingt, sondern jetzt beginnen, Zugänge risikobasiert zu prüfen.“

— Reto Marti, Managing Partner, Validato