Ihr Geschäft auf fremden Handys: Der versteckte Preis privater Messenger

Am Freitag bespricht ein Vertriebsmanager mit einem Kunden einen Rabatt, schickt ihm den Vertrag und vereinbart die Zahlungsbedingungen. Am Montag kündigt er. Sein dienstliches E-Mail-Konto wird gesperrt, sein Zugangsausweis deaktiviert, der Laptop geht zurück an die IT. Die Verhandlungen aber bleiben in seinem privaten Messenger, zusammen mit den Kontakten des Kunden, den Dokumenten und den Absprachen, die es nirgendwo sonst gibt. Das Unternehmen hat den Mitarbeiter aus dem Büro ausgesperrt. Zu einem Teil des Geschäfts hat er weiterhin Zugang.

So sieht ein Risiko aus, das sich leicht ignorieren lässt, solange alles funktioniert. Private Messenger sind bequem und vertraut, ein Gespräch ist in Sekunden begonnen. Genau deshalb landen Arbeitsinformationen unbemerkt an Orten, an denen das Unternehmen nicht vollständig steuern kann, wie sie gespeichert, weitergegeben und gelöscht werden.

In ein und demselben Konto liegen Familienfotos, Angebote, Gehaltsgespräche und Kundendokumente nebeneinander. Ein falscher Empfänger, und eine interne Datei gehört faktisch jemand anderem. Ein verlorenes Handy oder ein gekapertes Konto öffnet den Weg zu dienstlichen Chats. Und ein ehemaliger Mitarbeiter kann nach seinem Ausscheiden weiterhin auf Chats und heruntergeladene Unterlagen zugreifen.

Für ein Datenleck muss niemand in das Unternehmensnetz eindringen. Es reicht, dass das entscheidende Dokument ein einziges Mal außerhalb davon landet.

Verschlüsselung allein löst das Problem nicht. Sie kann Nachrichten auf dem Übertragungsweg schützen, verhindert aber nicht, dass jemand eine Datei an die falsche Person schickt, sie kopiert oder ein bereits geöffnetes Konto nutzt. Ein sicherer Kanal ist noch keine verwaltete Unternehmensumgebung.

Liegt die Geschichte Ihrer Arbeit in privaten Konten, hängt Ihr Geschäft von den Menschen ab, denen diese Konten gehören.

• Wer rekonstruiert die Vereinbarungen nach einem Streit mit einem Mitarbeiter?
• Wie übergeben Sie einen Kunden an einen neuen Manager?
• Wo finden Sie die endgültige, freigegebene Fassung eines Angebots?
• Was passiert, wenn das Konto oder der Chat gelöscht wird oder die zuständige Person nicht mehr antwortet?

Die Möglichkeiten zum Löschen und Wiederherstellen unterscheiden sich von Dienst zu Dienst. Ohne ein Unternehmensarchiv riskiert ein Unternehmen jedoch, die einzige Kopie wichtiger Informationen zu verlieren, auf die es Zugriff hat.

Ein privates Konto macht nicht jedes darin enthaltene Arbeitsdokument zum persönlichen Eigentum des Mitarbeiters. Die Gefahr liegt woanders: Das Unternehmen hat womöglich die Rechte an den Informationen, aber keine technische Möglichkeit, sie schnell zurückzuholen und ihre Verbreitung zu stoppen.

Mit der Kontrolle verschwindet auch die Verantwortung nicht. Werden in diesen Chats personenbezogene Daten von Kunden oder Mitarbeitern verarbeitet, muss die Organisation sie angemessen schützen und das auch nachweisen können. Die Wahl eines Consumer-Messengers ist für sich genommen kein automatischer Verstoß gegen die Gesetze Kasachstans oder die europäische DSGVO. Unkontrollierte Kopien, ein unbekannter Empfängerkreis und fehlende Aufbewahrungsregeln machen es aber sehr schwer, deren Anforderungen zu erfüllen. „So haben unsere Mitarbeiter eben entschieden zu kommunizieren“ erklärt nicht, warum vertrauliche Informationen in Dutzenden privater Konten gelandet sind.

Hinzu kommt eine weitere Ebene der Abhängigkeit: Infrastruktur und Rechtsordnung des Anbieters. Business-Dienste wie Microsoft Teams, Zoom oder Google Workspace geben Unternehmen Administrationswerkzeuge an die Hand. Doch auch bei einem Cloud-Produkt für Unternehmen ist zu prüfen, wer die Daten kontrolliert, wer technischen Zugriff hat und welche Gesetze für den Anbieter gelten. Der US-amerikanische CLOUD Act erlaubt es, einen Anbieter, der der US-Gerichtsbarkeit unterliegt, zur Herausgabe bestimmter Daten in seinem Besitz, Gewahrsam oder unter seiner Kontrolle zu verpflichten, unabhängig davon, wo diese Daten gespeichert sind. Die Anfrage einer ausländischen Behörde ist für sich allein keine ausreichende Grundlage für die Übermittlung personenbezogener Daten. Für ein Unternehmen bedeutet das: mögliche Konflikte zwischen Pflichten und Gesetzen vorab klären, statt die Zugriffsbedingungen erst kennenzulernen, wenn eine solche Anfrage eintrifft.

Ein Unternehmen braucht einen Corporate Messenger vor allem, um die Kontrolle über seine Arbeitsinformationen zurückzugewinnen

Eine verwaltete Kommunikationsumgebung sollte es ermöglichen, Unternehmenskonten anzulegen, Berechtigungen zu vergeben, den Zugang beim Ausscheiden zu entziehen und den Arbeitsverlauf nach festgelegten Regeln zu speichern. Prüfen Sie bei der Auswahl, wie Protokollierung, Backup, Wiederherstellung und der Zugang für externe Teilnehmer gelöst sind. Das Wort „Corporate“ im Produktnamen oder ein Abzeichen „verifiziertes Unternehmenskonto“ in Telegram oder WhatsApp garantiert nichts davon.

Ein Beispiel für diesen Ansatz ist aXtura. Die Plattform vereint Messaging, Anrufe, Videokonferenzen, Dateiaustausch und den Zugang zu internen Diensten in einer Umgebung, die auf der eigenen Infrastruktur der Organisation betrieben wird. Der Wert dieser Architektur liegt für ein Unternehmen darin, selbst entscheiden zu können, wo die Daten liegen und wer darauf zugreifen kann.

Allerdings garantieren ein eigener Server und ein Produkt aus Kasachstan für sich allein noch keinen Schutz. Entscheidend sind die konkrete Konfiguration, die Verträge, die Arbeit der Administratoren, Updates, das Schlüsselmanagement und die Verfahren im Umgang mit Daten. Schutz muss in jeder Phase des Umgangs mit Informationen in die Prozesse der Organisation eingebaut sein.

Und schließlich nützt auch die richtige Plattform nichts, wenn die Mitarbeiter weiter in privaten Chats arbeiten. Für den Umstieg braucht es bequemen mobilen Zugang, einen klaren Weg zur Kommunikation mit externen Teilnehmern, Schulungen und Regeln für die Übergabe von Arbeitsunterlagen. Chats, Anrufe, Dateien und interne Dienste sollten den Menschen helfen, ihre Arbeit zu erledigen, ohne ständig auf unverwaltete Werkzeuge auszuweichen.

Ein kostenloser Messenger kann ein Unternehmen teuer zu stehen kommen: verlorene Verhandlungsverläufe, offengelegte Vertragskonditionen, eine missglückte Kundenübergabe und keine Möglichkeit festzustellen, wie weit ein Leck reicht.

Wo Sie stehen, lässt sich mit einer einfachen Frage prüfen: Wenn morgen ein wichtiger Mitarbeiter geht, behält das Unternehmen dann seine Arbeitsabsprachen und kann es künftig steuern, wer darauf Zugriff hat?

Hängt die Antwort von seinem guten Willen ab, ist ein Teil Ihres Geschäfts bereits außerhalb Ihrer Kontrolle.