PERA by Drei Grad Pre-Employment Risk Assessment
Präventive Analyse von Personalrisiken bei kritischen Positionen
Das Pre-Employment Risk Assessment (PERA by Drei Grad) ist die einzige präventive Risikoanalyse für Schlüsselpositionen, die personaldiagnostische, psychologische und digitale Risikofaktoren kombiniert – und diese in eine klare, managementtaugliche Entscheidungsgrundlage übersetzt.
Leistungsumfang
Im Rahmen des Assessments werden relevante Risikodimensionen systematisch analysiert und eingeordnet:
- Digitale Risikospuren
Analyse öffentlich zugänglicher digitaler Informationen im Hinblick auf sicherheitsrelevante Auffälligkeiten - Biographische und strukturelle Faktoren
Bewertung von Werdegang, Kontext und möglichen Risikokonstellationen - Interessenkonflikte und Abhängigkeiten
Identifikation potenzieller Einflussfaktoren, die Integrität oder Unabhängigkeit beeinträchtigen könnten - Risikobewertung und Einordnung
Strukturierte Einschätzung identifizierter Faktoren nach Relevanz und Kritikalität
Das Ergebnis wird in einem kompakten, managementgerechten Bericht zusammengefasst und umfasst:
- eine klare, nachvollziehbare Risikoeinordnung
- eine kontextbezogene Bewertung der identifizierten Faktoren
- eine sachliche Entscheidungsgrundlage für Geschäftsführung, CISO oder Sicherheitsverantwortliche
- Optional erfolgt eine persönliche Ergebnisbesprechung
- ausschließlich Nutzung rechtlich zulässiger und öffentlich zugänglicher Informationen
- keine Observationen oder verdeckten Maßnahmen
- diskrete, strukturierte und nachvollziehbare Vorgehensweise
- klare Trennung zwischen Analyse (unsere Leistung) und Entscheidung (Kunde)
Reduzierung von Fehlentscheidungsrisiken bei der Besetzung kritischer Positionen durch eine unabhängige, präventive und fachlich fundierte Bewertung potenzieller Risikofaktoren.
Was wissen Sie tatsächlich über eine Person, bevor Sie ihr Verantwortung für kritische Prozesse übertragen?
Lebenslauf, Zeugnisse und Vorstellungsgespräche beantworten vor allem eine Frage: Ist die Person fachlich und persönlich geeignet? Bei sicherheitskritischen Positionen reicht das häufig nicht aus.
Wer Zugriff auf sensible Unternehmensinformationen, kritische Systeme, Zahlungsströme, Geschäftsgeheimnisse oder zentrale Entscheidungsprozesse erhält, kann für das Unternehmen ein erhebliches Risiko darstellen, unabhängig davon, ob dieses Risiko vorsätzlich entsteht oder aus persönlichen, finanziellen oder digitalen Verwundbarkeiten resultiert. PERA betrachtet deshalb gezielt Risiken, die in klassischen Auswahlverfahren nicht sichtbar werden. Dazu gehören beispielsweise:
• auffällige Abweichungen zwischen beruflicher Darstellung und öffentlich verifizierbaren Informationen,
• erkennbare Interessenkonflikte oder problematische Unternehmensverbindungen,
• sicherheitsrelevante Nebentätigkeiten und externe Abhängigkeiten,
• exponierte oder kompromittierte digitale Identitäten,
• öffentlich erkennbare Verhaltens- oder Risikomuster,
• mögliche Ansatzpunkte für Social Engineering, Erpressung oder gezielte Einflussnahme.
PERA bewertet Informationen immer im Zusammenhang mit der vorgesehenen Position und deren tatsächlichem Schadenspotenzial. Ein Administrator mit Domain-Admin-Rechten ist anders zu bewerten als ein Mitarbeiter ohne Zugriff auf kritische Systeme. Ein Geschäftsführer, Prokurist oder Einkaufsleiter unterliegt anderen Risikoszenarien als ein Sachbearbeiter. Für die Unternehmensleitung entsteht damit eine dokumentierte Grundlage für eine zentrale Frage:
Ist das identifizierte Risiko für diese konkrete Position vertretbar und welche Maßnahmen müssen gegebenenfalls vor einer Einstellung oder Berechtigungsvergabe getroffen werden? PERA macht Personalrisiken damit entscheidbar und nachvollziehbar dokumentierbar.
Firewalls, MFA und PAM schützen Systeme. Aber wem geben Sie anschließend die Berechtigungen? In kritischen IT-Umgebungen konzentriert sich ein erheblicher Teil der Sicherheitsarchitektur auf technische Kontrollen: privilegierte Zugriffe, Netzwerksegmentierung, Identitätsmanagement, Monitoring und Zero-Trust-Konzepte.
PERA setzt einen Schritt früher an. Wir betrachten die Person, die später beispielsweise Zugriff erhält auf:
• Active Directory und Entra ID,
• Domain- und Global-Admin-Konten,
• Backup- und Recovery-Systeme,
• Virtualisierung und Serverinfrastrukturen,
• Netzwerkkomponenten und Firewalls,
• Quellcode, CI/CD-Pipelines und Entwicklungsumgebungen,
• OT-, Leit- oder Steuerungssysteme,
• Cloud-Tenants und zentrale SaaS-Plattformen,
• besonders sensible Unternehmens- oder Kundendaten.
Dabei wird geprüft, ob bereits vor der Berechtigungsvergabe erkennbare Risikofaktoren bestehen. Das können beispielsweise kompromittierte digitale Identitäten, bekannte Datenabflüsse, exponierte Zugangsdaten, problematische digitale Aktivitäten oder andere sicherheitsrelevante Zusammenhänge sein.
Ein konkretes Beispiel:
Taucht die digitale Identität eines zukünftigen Administrators bereits in Stealer-Logs oder anderen kompromittierten Datensätzen auf, ist das für die Bewertung seiner zukünftigen Zugriffsrechte unmittelbar relevant. Das bedeutet nicht automatisch, dass die Person ungeeignet ist. Es kann aber bedeuten, dass vor der Berechtigungsvergabe zusätzliche Maßnahmen erforderlich sind: beispielsweise Credential-Rotation, Überprüfung vorhandener Accounts, stärkere Authentisierung, eingeschränkte initiale Berechtigungen oder ein angepasstes Monitoring.
PERA verbindet deshalb Human Risk mit technischer Zugriffssicherheit.
Das Ergebnis ist keine pauschale Bewertung eines Menschen, sondern eine konkrete Entscheidungsgrundlage: Welches Risiko entsteht, wenn genau diese Person genau diese Berechtigungen erhält?