1. Verwendung personalisierter Benutzerkonten

• Für den Zugriff auf Verwaltungs‑ und Administrationsfunktionen des Telefonassistenten dürfen ausschließlich personalisierte Benutzerkonten verwendet werden.

• Die Nutzung gemeinsamer Accounts (Shared Accounts) sollte vermieden werden.
  Hintergrund: Nur so sind Zugriffe und Konfigurationsänderungen eindeutig einzelnen Personen zuordenbar (Nachvollziehbarkeit, Accountability).

2. Rollentrennung und Berechtigungsprinzipien

Siehe auch Benutzerverwaltung, Rollen und Rechte

• Es ist sicherzustellen, dass administrative Tätigkeiten und operative Nutzung voneinander getrennt werden (Trennung von Rollen).

• Insbesondere sind z. B. folgende Rollen funktional zu trennen:

  • Administratoren (z. B. Einrichtung des Dienstes, Benutzer‑ und Rollenverwaltung, Systemkonfiguration)

  • Standardnutzer (z. B. Nutzung des Telefonassistenten im Tagesgeschäft)

• Berechtigungen sind nach dem Prinzip der minimalen Rechtevergabe zu vergeben (Least Privilege):
  Nutzer erhalten nur die Rechte, die sie für ihre Aufgaben tatsächlich benötigen.

3. Kontrolle von Weiterleitungen und Kommunikationswegen

• Konfigurationen von Rufweiterleitungen, Mailbox‑Weiterleitungen oder ähnlichen Funktionen sind regelmäßig (z. B. mindestens quartalsweise oder anlassbezogen) zu überprüfen.

• Dabei ist insbesondere zu kontrollieren, ob Weiterleitungen:

  • noch fachlich erforderlich sind,

  • auf die korrekten Ziele zeigen,

  • nicht missbräuchlich verändert wurden (z. B. unbefugte Weiterleitung an externe Nummern).

4. Nutzung vertrauenswürdiger Endgeräte für Konfiguration

• Administrations‑ und Konfigurationszugriffe auf den Telefonassistenten sollten ausschließlich von vertrauenswürdigen, durch den Anwender verwalteten Endgeräten erfolgen (z. B. Firmen‑PCs, die den internen Sicherheitsrichtlinien entsprechen).

• Für administrative Tätigkeiten sollen insbesondere:

  • aktuelle Betriebssystem‑ und Sicherheitsupdates installiert sein,

  • ein aktueller Viren‑/Malware‑Schutz verwendet werden,

  • Festplattenverschlüsselung und Bildschirmsperre gemäß interner Policy aktiviert sein.

• Die Verwendung privater, nicht gehärteter oder nicht verwalteter Endgeräte für die Administration ist zu vermeiden bzw. nur auf Basis einer expliziten Risikoabwägung des Kunden zulässig.

5. Umgang mit Zugangsdaten und Authentifizierung

• Passwörter bzw. Zugangsdaten dürfen nicht gemeinsam genutzt oder unsicher gespeichert werden (z. B. keine Aufbewahrung auf Haftnotizen oder in unverschlüsselten Dateien).

• Sofern die übergeordnete Authentifizierungsplattform (z. B. CGM ID) Funktionen wie Mehr-Faktor-Authentisierung (MFA) unterstützt, ist diese vom Kunden zu aktivieren bzw. gemäß den internen Sicherheitsrichtlinien zu nutzen.

• Der Kunde ist dafür verantwortlich, Zugänge bei Rollenwechseln oder beim Ausscheiden von Mitarbeitenden zeitnah zu deaktivieren.

6. Dokumentation und Schulung

• Die vorgenannten Konfigurations‑ und Nutzungsregeln sind in der internen Dokumentation des Kunden zu verankern (z. B. Betriebsanweisung, IT‑Sicherheitsrichtlinie für den Telefonassistenten).

• Nutzer mit administrativen Rechten sind über diese Vorgaben ausdrücklich zu informieren und bei Bedarf zu schulen.

• Verstöße gegen diese Vorgaben sind gemäß den internen Prozessen des Kunden (z. B. Security Incident Management) zu behandeln.