Das Innenministerium hat seine Richtlinien für das Sponsor-Management-System (SMS) aktualisiert und führt eine verpflichtende Multi-Faktor-Authentifizierung (MFA) für alle Nutzer von Sponsor-Lizenzen ein. Zudem wird die Anzahl der Geräte, von denen aus sich ein Nutzer anmelden kann, auf zwei begrenzt. Die Reformen, veröffentlicht am 24. September 2026, folgen auf eine Untersuchung von Credential-Stuffing-Angriffen, die Anfang des Jahres gezielt auf Unternehmen im Bereich der professionellen Dienstleistungen abzielten.
Ab dem 15. Oktober müssen Sponsoren mindestens zwei Level-1-Nutzer registrieren und sicherstellen, dass jeder die MFA über die gov.uk One Login-App aktiviert. Die bisherige Rolle des Level-2-Nutzers wird zum 9. September 2027 abgeschafft, was Unternehmen zwingt, Berechtigungen anzupassen, um den Zugang nicht zu verlieren. Das Innenministerium betont, dass diese Maßnahmen die Sponsor-Compliance an die umfassenderen Cyber-Sicherheitsstandards der Regierung angleichen sollen.
![Innenministerium verschärft Sicherheit des Sponsor-Management-Systems nach mehreren Sicherheitswarnungen]()
Für Personal- und Global-Mobility-Teams bedeutet dies vor allem eine neue Pflicht: Dormante Konten müssen künftig vierteljährlich überprüft und kompromittierte Zugangsdaten innerhalb von 24 Stunden gemeldet werden. Bei Nichteinhaltung droht eine unangekündigte Compliance-Prüfung – eine Sorge, die besonders viele kleine und mittelständische Unternehmen angesichts knapper Ressourcen umtreibt.
Die Richtlinien warnen außerdem davor, SMS-Passwörter in gemeinsam genutzten Tabellen zu speichern, eine gängige Praxis, die bei jüngsten Audits aufgedeckt wurde. Experten empfehlen daher eine sofortige Überprüfung der Zugriffsrechte und eine Aktualisierung der internen Richtlinien. Das Innenministerium hat zudem einen Schnellabstufungsmechanismus eingeführt, der die Ausstellung von Sponsorship-Zertifikaten innerhalb von 48 Stunden aussetzen kann, wenn schwerwiegende Verstöße festgestellt werden.
Ab dem 15. Oktober müssen Sponsoren mindestens zwei Level-1-Nutzer registrieren und sicherstellen, dass jeder die MFA über die gov.uk One Login-App aktiviert. Die bisherige Rolle des Level-2-Nutzers wird zum 9. September 2027 abgeschafft, was Unternehmen zwingt, Berechtigungen anzupassen, um den Zugang nicht zu verlieren. Das Innenministerium betont, dass diese Maßnahmen die Sponsor-Compliance an die umfassenderen Cyber-Sicherheitsstandards der Regierung angleichen sollen.
Für Personal- und Global-Mobility-Teams bedeutet dies vor allem eine neue Pflicht: Dormante Konten müssen künftig vierteljährlich überprüft und kompromittierte Zugangsdaten innerhalb von 24 Stunden gemeldet werden. Bei Nichteinhaltung droht eine unangekündigte Compliance-Prüfung – eine Sorge, die besonders viele kleine und mittelständische Unternehmen angesichts knapper Ressourcen umtreibt.
Die Richtlinien warnen außerdem davor, SMS-Passwörter in gemeinsam genutzten Tabellen zu speichern, eine gängige Praxis, die bei jüngsten Audits aufgedeckt wurde. Experten empfehlen daher eine sofortige Überprüfung der Zugriffsrechte und eine Aktualisierung der internen Richtlinien. Das Innenministerium hat zudem einen Schnellabstufungsmechanismus eingeführt, der die Ausstellung von Sponsorship-Zertifikaten innerhalb von 48 Stunden aussetzen kann, wenn schwerwiegende Verstöße festgestellt werden.
Quelle: Electronic Immigration Network
