MyArkevia basiert auf einer Architektur mit zwei getrennten Portalen, und die Verwechslung der beiden ist der erste Sicherheitsfehler. Das Portal myarkevia.com ist der Mitarbeiterbereich, in dem die Mitarbeiter von Leroy Merlin ihre Gehaltsabrechnungen, Verträge und Bescheinigungen einsehen. Das Portal arkevia.com hingegen ist dem Arbeitgeber vorbehalten, um Dokumente hochzuladen. Diese technische Trennung, die von Cegedim durchgeführt wird, gewährleistet, dass das Unternehmen niemals auf den Inhalt des Tresors zugreift, nachdem die Dateien abgelegt wurden.
Trennung der Portale MyArkevia und Arkevia: ein unterschätzter technischer Punkt
Die Unterscheidung zwischen Mitarbeiterportal und Arbeitgeberportal ist nicht kosmetisch. Sie folgt einem Prinzip der Minimierung der Zugriffe, das der DSGVO entspricht: Jeder Akteur sieht nur das, was ihn betrifft.
Auf der Seite der Mitarbeiter ist das Konto namentlich und mit einer persönlichen E-Mail-Adresse verknüpft. Dieses Detail hat eine direkte Konsequenz: der Tresor bleibt nach dem Verlassen des Unternehmens aktiv, vorausgesetzt, die persönliche E-Mail-Adresse ist angegeben und aktuell. Viele Mitarbeiter von Leroy Merlin stellen zu spät fest, dass sie ihre berufliche E-Mail-Adresse als einziges Identifikationsmerkmal hinterlassen haben, was eine Wiederherstellung blockiert, sobald das ADEO-Konto deaktiviert ist.
Um sich ohne Risiko bei MyArkevia Leroy Merlin anzumelden, empfehlen wir, bereits bei der ersten Anmeldung zu überprüfen, dass die mit dem Konto verknüpfte E-Mail-Adresse eine persönliche Adresse ist, keine Adresse in @leroymerlin.fr oder @adeo.com.
Auf der Arbeitgeberseite dient das Portal arkevia.com ausschließlich dazu, die automatisierten Versendungen von Gehaltsabrechnungen einzurichten. Ein Lesezugriff auf den Tresor des Mitarbeiters ist über diese Schnittstelle nicht möglich. Diese Trennung der Rollen ist ein struktureller Sicherheitsmechanismus, keine einfache Frage der Ergonomie.
Zurücksetzen des MyArkevia-Passworts: ein schwaches Glied, das gesichert werden muss
Das Verfahren zum Zurücksetzen des Passworts bei MyArkevia basiert ausschließlich auf der E-Mail. Keine Überprüfung per SMS, keine Sicherheitsfragen, keine native Zwei-Faktor-Authentifizierung. Das ist der konkret fragilste Punkt der Plattform.
In der Praxis kann jeder, der Zugriff auf das mit dem Konto verbundene E-Mail-Postfach hat, das Passwort zurücksetzen und auf alle archivierten Dokumente zugreifen. Für einen Mitarbeiter, der eine Gmail- oder Outlook-Adresse ohne Zwei-Faktor-Authentifizierung verwendet, ist der digitale Tresor nur durch die Stärke des Passworts des E-Mail-Kontos geschützt.
Schutzmaßnahmen, die sofort angewendet werden sollten
- Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für das persönliche E-Mail-Postfach, das mit MyArkevia verbunden ist, sei es über eine App wie Google Authenticator oder per SMS
- Verwenden Sie ein einzigartiges Passwort für MyArkevia, das sich von dem der E-Mail und anderen Online-Diensten unterscheidet
- Überprüfen Sie regelmäßig in den Kontoeinstellungen, dass die Wiederherstellungs-E-Mail-Adresse weiterhin gültig und zugänglich ist
- Loggen Sie sich niemals von einem öffentlichen WLAN-Netzwerk ohne VPN in MyArkevia ein, da die Anmeldedaten unverschlüsselt über ein nicht gesichertes Netzwerk übertragen werden
Das Fehlen von 2FA auf der Seite von MyArkevia überträgt die gesamte Verantwortung für die Sicherheit auf den Mitarbeiter. Wir beobachten, dass diese Lastenübertragung selten erklärt wird, wenn der Tresor im Unternehmen aktiviert wird.
Langfristige Aufbewahrung und Beweiswert der archivierten Dokumente
MyArkevia verspricht eine dauerhafte Aufbewahrung der Dokumente, die oft als “lebenslange” Archivierung dargestellt wird. Diese Formulierung verdient eine technische Präzisierung. Die angegebene Aufbewahrungsdauer beträgt mehrere Jahrzehnte, was die gesetzlichen Aufbewahrungspflichten für Gehaltsabrechnungen weit übersteigt.
Der Beweiswert der hinterlegten Dokumente basiert auf einem Mechanismus zur Zeitstempelung und Versiegelung, der garantiert, dass die Datei nach der Ablage nicht verändert wurde. Eine auf MyArkevia eingesehene Gehaltsabrechnung hat den gleichen rechtlichen Wert wie das Original auf Papier, vorausgesetzt, der Tresor erfüllt die Archivierungsstandards mit Beweiswert.
Was das konkret für einen Mitarbeiter von Leroy Merlin ändert
Im Falle eines arbeitsrechtlichen Streits oder einer Anfrage für ein Immobiliendarlehen sind die von MyArkevia heruntergeladenen Dokumente zulässig. Der elektronische Stempel, der beim Hochladen durch den Arbeitgeber angebracht wird, dient als Nachweis für die Integrität.
Eine häufige Falle: Ein Dokument herunterladen, es ändern (auch unbeabsichtigt, indem man es in einem anderen Format speichert) und dann als Nachweis vorlegen. Die Datei verliert dann ihr Integritätszertifikat. Wir empfehlen, immer das Original-PDF so bereitzustellen, wie es heruntergeladen wurde, ohne Konvertierung oder Anmerkungen.
Verwaltung des MyArkevia-Kontos nach dem Verlassen von Leroy Merlin
Der digitale Tresor MyArkevia ist nicht an den Arbeitsvertrag, sondern an den Mitarbeiter gebunden. Nach einer Kündigung, Entlassung oder dem Ende eines befristeten Vertrags bleibt das Konto zugänglich. Der Arbeitgeber hört einfach auf, neue Dokumente hochzuladen.
Die technische Bedingung ist klar: Die persönliche E-Mail-Adresse muss vor der Deaktivierung des ADEO-Kontos angegeben werden. Sobald der Zugang zum internen Netzwerk unterbrochen ist, gibt es keinen Wiederherstellungsmechanismus über das Unternehmen.
- Vor dem Verlassen eine lokale Kopie aller Dokumente auf einem persönlichen Speichermedium (Festplatte, verschlüsselter USB-Stick) herunterladen
- Die E-Mail-Adresse des MyArkevia-Kontos aktualisieren, um sie auf eine dauerhafte persönliche Adresse umzustellen
- Die Verbindung von einem persönlichen Gerät außerhalb des Leroy Merlin-Netzwerks testen, um zu bestätigen, dass der Zugang funktioniert
Ein Mitarbeiter, der Leroy Merlin verlässt, ohne seine E-Mail-Adresse aktualisiert zu haben, verliert potenziell den Zugang zu mehreren Jahren von Gehaltsabrechnungen. Diese Situation, obwohl theoretisch über den Support von Cegedim umkehrbar, dauert lange und erfordert eine manuelle Identitätsüberprüfung.
Die Sicherheit eines digitalen Tresors hängt nicht nur von der technischen Infrastruktur ab. Bei MyArkevia beruht sie weitgehend auf einfachen Handlungen des Mitarbeiters: Wahl der E-Mail-Adresse, Robustheit des Passworts des E-Mail-Kontos, Aufbewahrung der Originaldateien. Es sind diese Details, die selten in den Anleitungen zur Anmeldung behandelt werden, die den Unterschied zwischen einer zuverlässigen Archivierung und einer falschen Sicherheit ausmachen.