Vertrauliche Ausdrucke sind am besten geschützt, wenn der Drucker sie erst nach einer persönlichen Freigabe ausgibt. Eine PIN, Chipkarte oder Anmeldung verhindert, dass Personalunterlagen, Verträge oder interne Berichte unbeaufsichtigt im Ausgabefach liegen. Für einen belastbaren Schutz reicht diese Funktion allein jedoch nicht: Übertragung, Zwischenspeicherung, Benutzerrechte, Gerätezugriff und Entsorgung müssen ebenfalls in das Sicherheitskonzept einbezogen werden.
Unternehmen sollten zuerst klären, welche Dokumente schutzbedürftig sind und an welchen Geräten sie ausgegeben werden. Danach lässt sich entscheiden, ob die im Multifunktionsdrucker integrierte Funktion genügt oder ein zentrales Print-Management für mehrere Standorte, Benutzergruppen und Geräte erforderlich ist.
Die häufigsten Datenlecks entstehen am Ausgabefach
Ein Druckauftrag verlässt den geschützten Bildschirm und wird zu einem frei sichtbaren Dokument. Das ist besonders riskant bei gemeinsam genutzten Flurdruckern: Die falsche Person kann Seiten versehentlich mitnehmen, vertrauliche Unterlagen können längere Zeit liegen bleiben oder ein Fehldruck landet vollständig im Papierkorb.
Secure Printing verlagert die Ausgabe bis zur Identitätsprüfung. Der Auftrag wird zunächst in einer Warteschlange oder einem geschützten Gerätespeicher gehalten. Erst wenn sich die berechtigte Person am Drucker authentifiziert, beginnt der Ausdruck. Nicht abgeholte Aufträge sollten nach einer festgelegten Zeit automatisch gelöscht werden.
Diese Freigabe schützt vor offen herumliegenden Dokumenten, aber nicht automatisch vor allen anderen Risiken. Ist der Druckauftrag auf dem Transportweg ungeschützt, kann jeder Benutzer auf gespeicherte Aufträge zugreifen oder bleiben Daten nach dem Löschen im Gerät erhalten, besteht weiterhin eine Sicherheitslücke.
Vier Schutzebenen müssen zusammenspielen
1. Freigabe direkt am Drucker
Die persönliche Druckfreigabe ist der sichtbarste Teil des Systems. Je nach Geräteausstattung und Software kommen verschiedene Verfahren infrage:
- PIN-Druck: Der Benutzer vergibt beim Absenden eine Zahlenfolge und gibt sie am Gerät ein. Das Verfahren ist einfach, eignet sich aber eher für einzelne Aufträge oder kleinere Umgebungen. Kurze, wiederverwendete oder weitergegebene PINs bieten nur begrenzten Schutz.
- Chipkarte oder Mitarbeiterausweis: Eine Karte wird am Leser vorgehalten und dem Benutzerkonto zugeordnet. Das beschleunigt die Freigabe, setzt aber ein geregeltes Verfahren für verlorene, gesperrte und neu ausgestellte Karten voraus.
- Benutzername und Kennwort: Die Anmeldung benötigt keine zusätzliche Karte, ist an kleinen Druckerdisplays jedoch oft umständlich. Sie sollte an die zentrale Identitätsverwaltung angebunden sein, statt eigene, dauerhaft gültige Druckerkennwörter zu erzeugen.
- Mobile Freigabe: Eine App oder ein QR-Verfahren kann geeignet sein, wenn dienstliche Mobilgeräte verwaltet werden. Vor der Einführung ist zu prüfen, welche Daten die App verarbeitet und wie verlorene Geräte gesperrt werden.
Für besonders sensible Bereiche ist nicht das bequemste, sondern das angemessen starke Verfahren maßgeblich. Eine Karte allein kann von einer anderen Person verwendet werden. Karte plus PIN erhöht den Schutz, verlängert aber den Ablauf am Gerät. Die passende Wahl hängt vom Schadensrisiko, der Benutzerzahl und den betrieblichen Vorgaben ab.
2. Geschützte Übertragung und Speicherung
Druckdaten durchlaufen meist Arbeitsplatz, Druckserver, Netzwerk und Multifunktionsgerät. Die Verbindungen zwischen diesen Stationen sollten verschlüsselte, vom eingesetzten System unterstützte Druckprotokolle verwenden. Veraltete oder unverschlüsselte Übertragungswege sollten deaktiviert werden, sofern sie nicht für einen dokumentierten Ausnahmefall benötigt werden.
Auch Warteschlangen und Gerätespeicher verdienen Aufmerksamkeit. Zu prüfen sind die Verschlüsselung gespeicherter Aufträge, die automatische Löschung nach Ausgabe oder Ablauf, der Umgang mit abgebrochenen Aufträgen und eine vorhandene Funktion zum sicheren Löschen interner Datenträger. Die Bezeichnungen unterscheiden sich nach Hersteller und Modell. Maßgeblich sind im Administratorhandbuch die Rubriken zu sicherem Druck, Datensicherheit, Festplatte oder Gerätespeicher sowie Datenlöschung.
3. Rechte am Multifunktionsgerät
Administratorkonten benötigen individuelle Kennwörter; voreingestellte Zugangsdaten dürfen nicht bestehen bleiben. Die Verwaltungsoberfläche gehört in ein kontrolliertes Netzsegment und sollte nur von zuständigen Systemen erreichbar sein. Nicht benötigte Dienste, Protokolle und direkte Druckwege werden abgeschaltet. Sonst kann ein Benutzer die geschützte zentrale Warteschlange umgehen und direkt an die IP-Adresse des Druckers senden.
4. Umgang mit Papier und Altgeräten
Technische Schutzfunktionen enden nicht mit der Ausgabe. Vertrauliche Fehldrucke gehören in dafür vorgesehene, gesicherte Sammelbehälter und nicht in offene Papierkörbe. Besonders sensible Unterlagen sollten direkt nach der Freigabe vollständig entnommen werden; liegen gebliebene Originale auf dem Vorlagenglas sind ebenfalls einzubeziehen.
Vor Rückgabe, Verkauf oder Entsorgung eines Druckers müssen gespeicherte Aufträge, Adressbücher, Benutzerkonten, Scan-Ziele und Netzwerkeinstellungen entfernt werden. Bei Geräten mit internem Laufwerk oder nichtflüchtigem Speicher ist das vom Hersteller vorgesehene Verfahren zur Datenlöschung zu verwenden. Ein gewöhnlicher Neustart oder das Entfernen des Netzwerkkabels löscht diese Daten nicht.
Wann die Gerätefunktion genügt und wann zentrale Verwaltung sinnvoll ist
Der vertrauliche Druck über eine integrierte PIN-Funktion kann für ein kleines Büro mit wenigen Geräten ausreichen. Voraussetzung ist, dass Benutzer die Funktion zuverlässig auswählen, Aufträge nach der Ausgabe gelöscht werden und keine strengere zentrale Nachweis- oder Berechtigungsanforderung besteht.
Ein zentrales Print-Management ist eher geeignet, wenn mehrere Drucker, Standorte oder wechselnde Arbeitsplätze einbezogen werden. Es kann Aufträge einer Person zuordnen, die Freigabe an ausgewählten Geräten erlauben, direkte Druckpfade beschränken und einheitliche Löschregeln durchsetzen. Dabei ist zu unterscheiden, wo der Auftrag wartet: auf einem zentralen Server, auf einem Arbeitsplatz, in einer Cloud-Umgebung oder bereits auf dem Drucker. Diese Architektur bestimmt, welche Systeme besonders geschützt und bei einem Ausfall verfügbar gehalten werden müssen.
- Einzelgerät mit PIN: geringer Einführungsaufwand, aber wenig zentrale Kontrolle und abhängig von der bewussten Auswahl durch den Benutzer.
- Zentrale sichere Warteschlange: einheitliche Regeln und bessere Verwaltung, jedoch zusätzlicher Betriebs-, Berechtigungs- und Ausfallschutzbedarf.
- Freigabe an mehreren Geräten: hilfreich bei flexiblen Arbeitsplätzen und zur Vermeidung liegen gebliebener Ausdrucke; Geräte, Kartenleser und Software müssen miteinander kompatibel sein.
- Cloudbasierte Verarbeitung: kann verteilte Standorte vereinfachen, verlangt aber eine genaue Prüfung von Datenwegen, Speicherorten, Identitätsanbindung, Löschung und vertraglichen Zuständigkeiten.
Vor einer Beschaffung sollte das Unternehmen vom Gerätehersteller und Softwareanbieter bestätigen lassen, welche Druckermodelle, Betriebssysteme, Authentifizierungsverfahren und Verschlüsselungsoptionen in der vorgesehenen Kombination unterstützt werden. Eine vorhandene Kartenleser-Buchse bedeutet noch nicht, dass jeder Ausweis oder jede Print-Management-Lösung funktioniert.
Einführung ohne ungeschützte Nebenwege
Eine sichere Einführung beginnt nicht mit der Installation, sondern mit den Dokumentklassen und Arbeitsabläufen. Personalwesen, Geschäftsführung, Finanzbereich und andere Stellen mit sensiblen Unterlagen können strengere Regeln benötigen als Bereiche, die ausschließlich öffentliches Material ausgeben.
- Schutzbedarf festlegen: Bestimme, welche Dokumentarten nur nach Authentifizierung gedruckt werden dürfen und ob diese Regel für einzelne Gruppen oder für alle Beschäftigten gilt.
- Druckwege erfassen: Nimm Arbeitsplatzdrucker, zentrale Multifunktionsgeräte, Druckserver, mobile Druckoptionen und direkte IP-Verbindungen auf. Unbekannte Nebenwege können die spätere Freigabelösung umgehen.
- Speicherort bestimmen: Kläre, wo wartende Aufträge abgelegt werden, wie sie verschlüsselt sind und wann nicht abgeholte oder fehlerhafte Aufträge verschwinden.
- Authentifizierung auswählen: Stimme Karte, PIN, Kennwort oder Mehrfaktorverfahren auf Schutzbedarf und Arbeitsablauf ab. Lege zugleich Sperrung, Ersatz und Rechteentzug beim Ausscheiden fest.
- Pilotbetrieb durchführen: Teste typische Dokumente, große Aufträge, Abbruch, Papierstau, Geräteausfall, Kartenverlust und die automatische Löschung. Die Prüfung sollte auch zeigen, ob direkte ungeschützte Druckwege weiterhin erreichbar sind.
- Regeln technisch durchsetzen: Richte sichere Warteschlangen als regulären Weg ein, beschränke Umgehungsmöglichkeiten und verteile freigegebene Druckerkonfigurationen zentral, soweit die vorhandene Infrastruktur dies erlaubt.
- Betrieb überwachen: Kontrolliere regelmäßig fehlgeschlagene Anmeldungen, ungewöhnliche Druckmengen, veraltete Gerätesoftware, abgelaufene Zertifikate und Geräte, die nicht mehr den festgelegten Einstellungen entsprechen.
Der Erfolgstest ist einfach formulierbar: Ein vertraulicher Auftrag darf ohne berechtigte Anmeldung an keinem vorgesehenen Gerät ausgegeben oder von einem anderen Benutzer geöffnet werden. Nach Freigabe, Abbruch und Ablauf muss geprüft werden, ob der Auftrag aus Warteschlange und Gerätespeicher verschwunden ist. Auch während eines Papierstaus darf kein zweiter Benutzer den Auftrag fortsetzen oder erneut ausgeben können.
Protokollierung mit begrenztem Datenumfang
Protokolle helfen, Fehlkonfigurationen und Missbrauch zu untersuchen. Gleichzeitig können Benutzername, Dokumenttitel, Zeitpunkt, Seitenzahl und Geräteort Rückschlüsse auf Arbeitsinhalte erlauben. Das System sollte daher nur die Daten erfassen, die für Betrieb, Abrechnung oder Sicherheitskontrolle tatsächlich benötigt werden.
Dokumentinhalte und aussagekräftige Dateinamen sollten nicht ohne begründeten Zweck protokolliert werden. Zugriffsrechte, Aufbewahrungsdauer und Auswertung müssen vorab festgelegt sein. Je nach Organisation sind Datenschutz, Informationssicherheit, Personalvertretung und die zuständigen Fachbereiche in die Gestaltung einzubeziehen. Ein unbegrenztes Protokoll aller Aktivitäten verbessert die Sicherheit nicht automatisch.
Diese Fehler schwächen den Schutz trotz Druckfreigabe
- Die sichere Ausgabe ist nur eine freiwillige Option, während normales Direktdrucken weiterhin möglich bleibt.
- Gemeinsame PINs werden für Abteilungen oder ganze Geräte verwendet und sind vielen Personen bekannt.
- Nicht abgeholte Aufträge bleiben ohne Ablaufzeit im Drucker oder auf dem Server gespeichert.
- Administrationsseiten sind mit Standardzugangsdaten oder aus unnötig großen Netzbereichen erreichbar.
- Scannen, Kopieren, USB-Druck und gespeicherte Dokumente werden bei der Rechtevergabe nicht berücksichtigt.
- Bei Kartenverlust fehlt ein schneller Sperrprozess, sodass der Ausweis weiter zur Freigabe verwendet werden kann.
- Nach Gerätewechsel oder Leasingrückgabe bleiben Adressbücher, Aufträge oder Benutzerdaten im Speicher.
Ein tragfähiges Secure-Printing-Konzept verbindet persönliche Freigabe mit verschlüsselten Datenwegen, begrenzten Rechten, automatischer Löschung und geregeltem Umgang mit Papier sowie Gerätespeichern. Für kleine Umgebungen kann eine sauber eingerichtete Gerätefunktion genügen. In größeren Druckerflotten sorgt eine zentrale Verwaltung eher dafür, dass dieselben Regeln an allen Ausgabepunkten gelten und ungeschützte Nebenwege nicht unbemerkt bestehen bleiben.
Passende Ratgeber
