Innenministerium führt verpflichtende Multi-Faktor-Authentifizierung ein und schrittweise Abschaffung der Level-2-Nutzer im Sponsor-Management-System

Das Innenministerium hat die Version 08/26 seiner Richtlinien für Arbeitgeber und temporäre Arbeitnehmersponsoren veröffentlicht – die umfassendste Überarbeitung seit der Reform des Sponsorenregimes im Jahr 2020. Ab dem 3. September 2026 wird für alle Nutzer des Online-Sponsor-Management-Systems (SMS) in jeder Organisation mit Sponsorenlizenz die Multi-Faktor-Authentifizierung (MFA) verpflichtend aktiviert. Neue Sponsorenlizenzen, die ab dem 9. September vergeben werden, sind bereits standardmäßig mit MFA ausgestattet, und das Ministerium rechnet mit einer 100-prozentigen Umsetzung bis November.

Parallel dazu wird die einst weit verbreitete Rolle des „Level-2-Nutzers“ – häufig Junior-Personalmitarbeiter oder externe Berater, die Routineaufgaben bei der Ausstellung von Zertifikaten für Sponsorships (CoS) übernehmen – schrittweise abgeschafft. Unternehmen dürfen keine neuen Level-2-Nutzer mehr ernennen, und alle bestehenden Konten müssen bis zum 8. März 2027 entweder aufgewertet oder deaktiviert werden. Lizenzen, die aufgrund inaktiver Konten keinen aktiven Level-1-Nutzer mehr haben, werden automatisch suspendiert, sofern nicht innerhalb von 28 Tagen ein Ersatz benannt wird.



Obwohl die Reformen vordergründig der Cybersicherheit dienen, markieren sie einen kulturellen Wandel: Die Verwaltung des SMS ist nun untrennbar mit der Einhaltung der Einwanderungsbestimmungen verbunden. Verliert ein Level-1-Nutzer den Zugriff auf das für MFA benötigte Telefon, könnte der Arbeitgeber die 10-tägige Meldefrist für Änderungen im Beschäftigungsverhältnis eines Migranten verpassen – mit möglichen Herabstufungen oder sogar dem Entzug der Lizenz. Die Richtlinien stellen jedoch klar, dass Lizenzen, die ausschließlich wegen inaktiver Nutzerkonten entzogen werden, nicht der üblichen 12-monatigen Sperrfrist vor einer Neuantragstellung unterliegen.

Arbeitgeber sollten umgehend handeln: Erstens alle SMS-Nutzer überprüfen und Level-2-Konten löschen oder aufwerten. Zweitens sicherstellen, dass mindestens zwei geschulte Level-1-Nutzer mit aktuellen Kontaktdaten und Backup-Authentifizierungsmethoden ausgestattet sind. Drittens SMS-Zugriffsprüfungen in die monatlichen HR-Compliance-Checks integrieren. Große multinationale Unternehmen müssen möglicherweise interne Richtlinien zur Aufgabenverteilung und Cyberrisiken aktualisieren sowie Notfallpläne für CoS-Aufgaben außerhalb der regulären Arbeitszeiten überarbeiten.

Für Manager der globalen Mobilität lautet die Botschaft klar: Behandeln Sie das SMS wie jedes andere geschäftskritische System. Integrieren Sie die MFA-Einführung in die Arbeitsabläufe, sorgen Sie für eine belastbare Besetzung der Level-1-Rollen und informieren Sie die Führungsebene darüber, dass die Einhaltung der Einwanderungsbestimmungen nun auch IT-Zugangsdaten umfasst. Frühzeitige Anwender berichten, dass die Einrichtung pro Nutzer weniger als fünf Minuten dauert, aber während der Prüfungen durch das Innenministerium Stunden an Stress erspart.