Kategorie: Blog

Design your Security: über Kreativität und Sicherheit in Agenturen (PAGE Online)

4. November 2019
von Marco Peters

Ein Freigeist, der die Welt neu erfinden will, begeistert sich naturgemäß wenig für Regeln. Das ist wohl auch der Grund, warum Agenturen und Kreativunternehmen die Themen Datenschutz und Informationssicherheit als Einschränkung ihrer kreativen Freiheit empfinden. Was hier hilft, ist der Blick über einzelne Richtlinien hinaus auf das Big Picture: Denn Kreativität und Sicherheit müssen sich nicht ausschließen – wenn man DSGVO und TISAX dazu nutzt, um kreative Prozesse neu zu gestalten und aus dem eigenen Unternehmen einen sicheren Denkraum zu machen.

(Dieser Artikel erschien zuerst auf PAGE Online)

Höchste Zeit aufzuräumen: vom Wilden Westen zurück zur Privacy

Schutz der eigenen Privatsphäre und sensibler Kundendaten: Das sind eigentlich Dinge, die sinnvoll klingen. Zudem weiß jeder Kreative nur zu gut, dass Ideen zarte Pflänzchen sind, die man beschützen muss. Wie kommt es dann, dass sich gerade Kreative und Designer oft gegen die Regeln rund um Datenschutz und Informationssicherheit sträuben? Gegenfrage: Muss man denn warten, bis etwas wirklich Schlimmes passiert?

In der letzten Dekade hat sich die Welt sehr verändert. In puncto Big Data herrschte quasi Wilder Westen. Zumindest bis die großen Datenskandale kamen, siehe etwa Facebook 2018. Schlechter Umgang mit Informationen ist jedoch nicht nur ein Problem großer Konzerne. Jeder Einzelne von uns ist eine potenzielle wandelnde Sicherheitslücke, wie unzählige Stories aus dem echten Leben beweisen. Ein Beispiel: Ein Teamleiter erzählt einem Kumpel im Biergarten brühwarm Details über das neueste Geheimprojekt – mit der Folge, dass die Agentur das Mandat verliert, weil der Auftraggeber dummerweise unerkannt am Nebentisch saß.
Mein Fazit: Ich glaube, dass uns allen gehörig das Bewusstsein für Privacy abhandengekommen ist. Wir, als Gesellschaft, als Unternehmen und Privatmenschen, müssen den Umgang mit Daten und Informationen von Grund auf neu lernen – und einsehen, dass diese Themen uns alle angehen. Und zwar sowohl privat als auch im Business – und dort über alle Bereiche hinweg.

Die EU-Datenschutz-Grundverordnung und TISAX, der Standard für Informationssicherheit in der Automobilindustrie, sind erste Gegenmaßnahmen, um diesem Wildwuchs Einhalt zu bieten. Aber genauso kollidieren sie nun oft mit dem ebenso großen Wildwuchs in den Unternehmensstrukturen. Die Gegenmaßnahmen sind echte Querschläger-Themen und treffen im wahrsten Sinne des Wortes jeden Bereich eines Unternehmens: ob HR, Legal, Einkauf, IT oder Gebäudemanagement; von der Führungsebene über das Senior-Level, bis hin zum Praktikanten oder externen Freelancer.

Endlich richtig aufräumen: Systematisierung = Sicherheit

Kreative haben jetzt die Chance, endlich richtig aufzuräumen. Denn immer mehr Vorgaben (DSGVO, CSR, SOX, TISAX, ISO 14001, ISO 27001 usw.) zwingen das Management zu einem Schritt, der im Tagesgeschäft sonst nur ein guter Vorsatz bleibt: nämlich alle Strukturen und Prozesse im eigenen Unternehmen einmal gründlich zu durchleuchten und zu hinterfragen. Ich finde es erstaunlich, wie viel trotz hohem Kostendruck und Volatilität im Projektgeschäft immer noch improvisiert wird. Da steht mal wieder ein Riesenprojekt vor der Tür, die Agentur hat nicht die Kapazitäten, um die Spitzenauslastung abzufedern – und im Teamleiter-Meeting wird in die Runde gefragt, ob »wer jemanden kennt«. Es ginge schneller und wäre effektiver, eine Datenbank mit Top-Freelancern zu pflegen, die mit ihrer Expertise einen echten Mehrwert für das Projekt darstellen.

Es geht nicht in erster Linie nur um Sicherheit, es geht um Strukturen. Wenn du ein Managementsystem hast, machst du Dinge kontrollierbar – und damit schließt du auch Sicherheitslücken.

Jetzt magst du denken: »O. K., aber was hat das denn mit Sicherheit zu tun?« Doch das ist genau der Knackpunkt. Es geht nicht in erster Linie nur um Sicherheit, es geht um Strukturen. Wenn du ein Managementsystem hast, machst du Dinge kontrollierbar – und damit schließt du auch Sicherheitslücken. Hand aufs Herz: Weißt du, wie viele Freelancer gerade für deine Agentur arbeiten und wer von ihnen ein NDA unterschrieben hat?

Mehr Raum für echte und effektive Kreativität

Spielwiese war gestern, jetzt ist es Zeit für Agenturen, Strukturen in ihre Prozesse zu bringen. Und weißt du was? Das schränkt deine Kreativität gar nicht ein. Denk an das Beispiel mit den Freelancern: Womit willst du deine Zeit verbringen? Händeringend Freelancer zu suchen – oder direkt mit einem neuen Team im neuen Projekt Vollgas geben?

Was kann man also konkret tun?

Wenn nicht sowieso schon eine Aufforderung zum Audit der Einkaufsabteilung deines Kunden ins Haus geflattert ist, solltest du dir ernsthaft die Frage stellen, ob ein proaktiver Audit dein Unternehmen nicht meilenweit voranbringen könnte. Was ist deine Zielsetzung? Ist der Audit in deinem Wettbewerbsumfeld ein USP? Oder ist er eine Chance, endlich aufzuräumen und dein Unternehmen zum Beispiel fit für die Übergabe zu machen? In der Infobox unten siehst du einen Überblick über die wichtigsten Zertifizierungen. Weil auch der Bund und die Länder diese Chancen für Unternehmen erkannt haben, gibt es übrigens für diese Art von Projekten Förderprogramme, zum Beispiel go-digital des Bundesministeriums für Wirtschaft und Energie oder den Digitalbonus Bayern des Freistaat Bayern. Auch ein Gespräch mit Experten kann einen ersten Überblick verschaffen. Weil wir wissen, dass Unternehmer bisweilen Schwierigkeiten haben, in ihrem Tagesgeschäft einen Einstieg in dieses Thema unterzubringen, haben wir genau dafür After-Work-Talks sowie schnelle Foundation-Workshops entwickelt, die wir regelmäßig veranstalten.

Wer kann helfen?

Wir bei Nextwork haben aus den bisherigen fast 100 Projekten, die wir erfolgreich begleitet haben, einen Maßnahmenkatalog erstellt, mit dem wir einfach und effektiv auf TISAX umrüsten. Dank dieses Know-hows können wir in den meisten Fällen auch den Auditierungsprozess beschleunigen. www.nextwork.de

Übersicht aktueller Leitlinien, Gesetze und Zertifizierungen

CSR: »Corporate Social Responsibility« ist die Verantwortung von Unternehmen für ihre Auswirkungen auf die Gesellschaft. Konkret geht es beispielsweise um faire Geschäftspraktiken, mitarbeiterorientierte Personalpolitik, sparsamen Einsatz von natürlichen Ressourcen, Schutz von Klima und Umwelt, ernst gemeintes Engagement vor Ort und Verantwortung auch in der Lieferkette.

DSGVO: Die Datenschutz-Grundverordnung ist eine Verordnung der Europäischen Union. Sie regelt die Verarbeitung personenbezogener Daten.

ISO 14001: Die internationale Umweltmanagementnorm ist ein zertifizierbares Managementsystem für Klima- und Umweltschutz.

SOX: Der »Sarbanes-Oxley Act« ist ein US-Bundesgesetz, das die Verlässlichkeit der Berichterstattung von Unternehmen verbessern soll, die den öffentlichen Kapitalmarkt der USA in Anspruch nehmen.

ISO 270001: Die internationale Norm ISO 27001 ist ein zertifizierbares Managementsystem für Informationssicherheit.

TISAX: Das »Trusted Information Security Assessment Exchange« ist ein von der Automobilindustrie definierter Standard für Informationssicherheit. Eine große Zahl von Automobilherstellern und Zulieferern der deutschen Automobilindustrie verlangen von immer mehr Geschäftspartnern eine TISAX-Zertifizierung.


Neues Nextwork-Office: TISAX-zertifiziertes Arbeiten in Open Space, Safe Room und Workshop-Räumen

12. August 2019
von Marco Peters

Nextwork ist seit Juli 2019 am neuen Standort im Münchner Museumsquartier. Ebenso frisch ist das Office TISAX-zertifiziert. Auf den ca. 400 Splitlevel-Quadratmetern haben die Sicherheits- und IT-Berater sich selbst eine Ideallösung gebaut: Als Beispiel dafür, dass sich eine moderne, offene Arbeitskultur mit den Anforderungen von Datenschutz und Informationssicherheit verbinden lässt.

New Work oder „Wie, Ihr habt keinen Serverraum mehr?“

Leitmotiv für das neue, moderne Office sind New Work-Prinzipien: offene Atmosphäre im Open Space mit großen Fenstern und Blick in den Alten Botanischen Garten. Flexible Arbeitsplätze für alle Besprechungssituationen, kein Chefbüro, Clean Desk, papierloses Büro und Workshop-Räume für das Academy-Programm. Einen Serverraum wird der aufmerksame Betrachter vergeblich suchen – die IT- und Sicherheitsberater von Nextwork greifen ausschließlich auf Cloud-Dienste zurück. „In der ursprünglichen Planung des Vermieters waren vierzig Bodentanks und eine strukturierte Cat.7-Verkabelung mit 48 Netzwerkdosen vorgesehen. Die haben wir alle rausgeschmissen, da wir ausschließlich kabellos (Telefon und Netzwerk) arbeiten“, erzählt Marco Peters, Gründer und Geschäftsführer von Nextwork.

Proof of Concept: TISAX Geheimfreigabe

Direkt nach dem Einzug hat Nextwork den TISAX-Ritterschlag erhalten: die Geheimfreigabe, das höchste Level an Schutz für Informationen. Für die Berater war es ein wertvoller Selbstversuch und eine Frage der Glaubwürdigkeit, nach über 50 erfolgreich abgeschlossenen Projekten den Zertifizierungsprozess noch einmal selbst zu durchlaufen. Die mustergültige Umsetzung des Zonenkonzepts mit Sichtschutz, Schallschutz, Zutrittsschutz, Zonenabsicherung, Besuchermanagement, Raumüberwachung, Brandschutz und Einbruchschutz ist der Beweis, dass es für viele Probleme, die Unternehmen haben und die oft mit der Kultur „clashen“, eine gute Lösung gibt. „Jetzt können wir unseren Kunden und Workshop-Teilnehmern best practice zeigen – in unserem eigenen Office, sozusagen als TISAX-Showroom“, freut sich Marco Peters. Neben dem Label „Info Very High“ hat Nextwork zwei weitere Freigabelabel erhalten. TISAX und die erzielten Prüfergebnisse sind nicht für die breite Öffentlichkeit bestimmt. Unternehmen, die bei ENX registriert sind, können die Details der AL3-Prüfung von Nextwork im ENX-Portal einsehen.

Zu vermieten: TISAX kompatibles Co-Working im Nextwork Safe Room 

Die Erfahrungen aus diesem Prozess zahlen auf das sowieso schon breite Erfahrungsrepertoire der Berater ein: „Wir haben in unserer Arbeit in den letzten Jahren einen Paradigmenwechsel vollzogen. Heute ist alles was wir tun „safe & secure“. Egal, ob IT-Infrastrukturen, Prozesse oder bauliche Themen.“ Aus diesem Ansatz ist dann auch eine neue Idee entstanden: im neuen Office vermietet Nextwork ab sofort Deutschlands ersten Safe Room nach VDA ISA als Projektbüro für Kunden, die für Geheimprojekte keinen eigenen Geheimraum (Hoch-Risiko-Zone) haben. „Einige unserer Kunden können oder wollen die hohen technischen und baulichen Anforderungen nicht umsetzen. Meist geht es auch nur um kurze Spitzen in einem Projekt, an denen die Informationen geheim sind. Für diese Zeiträume können Kunden nun einen Safe Room bei uns mieten.“

Gewusst wie: Schulungen, Seminare und Workshops vor Ort 

Wissensvermittlung ist ein ganz zentraler Aspekt für Nextwork, nicht nur bei der Ausbildung von Informationssicherheitsbeauftragten. „Hilfe zur Selbsthilfe” ist das Credo der Sicherheits- und IT-Berater: „Datenschutz und Informationssicherheit sind längst fester Bestandteil unseres Alltags – sie wirken sich auf jeden Einzelnen und auf die ganze Unternehmenskultur aus. Deshalb kann man die Themen nie komplett outsourcen. In unseren Schulungen vermitteln wir, so leichtfüßig und unterhaltsam wie möglich, wesentliche Zusammenhänge und praktische Tipps für das daily business. „Damit unsere Kunden auch ohne uns handlungsfähig bleiben und nicht wegen jeder Frage zu uns kommen müssen” erklärt Marco Peters. Zusätzlich zur Online Academy, in der virtuelle Schulungen jederzeit von überall aus verfügbar sind, haben die Berater von Nextwork dafür jetzt auch großzügige Workshopräume in der echten Welt – und freuen sich darauf, Kunden für Präsenzschulungen ins eigene Office einladen zu können.

Mehr Infos:
Link zu NEXTWORK
Link zum ENX-Portal

Schulungsplattform »nextwork academy« rund um DSGVO und TISAX ist online

18. April 2019
von Marco Peters

Mit eigenen Publikationen und Workshops zu Datenschutz und Informationssicherheit hat nextwork bereits eigene Formate zum Wissensaustausch etabliert. 2019 setzt das Unternehmen einen neuen Meilenstein – und teilt sein Experten-Kowhow ab sofort auf academy.nextwork.de: einer eigenen Schulungsplattform rund um DSGVO, ISO 27001 und TISAX. Für alle, die sich selbst informieren oder ihre Mitarbeitenden unkompliziert schulen wollen.

Datenschutz und Informationssicherheit gehören jetzt zum Alltag – und funktionieren nur, wenn sie in die Unternehmenskultur integriert werden.

„Datenschutz und Informationssicherheit sind keine Projekte, die ein Unternehmen irgendwann abschließen kann“, sagt Marco Peters, Gründer und Geschäftsführer von nextwork. „Diese Themen gehören ab jetzt zum Alltag jedes Unternehmens und werden auch nicht mehr verschwinden. Erfolgreich meistern kann man Datenschutz und Informationssicherheit nur, wenn sie langfristig in die Unternehmenskultur implementiert und von allen Mitarbeitenden gelebt werden.“ Nach mehreren Jahren als externe Informationssicherheitsbeauftragte für mittelständische Unternehmen und Konzerne in ganz Deutschland wissen die Experten von nextwork genau, wovon sie sprechen. Deshalb wissen sie auch: hat ein Unternehmen Maßnahmen zur DSGVO umgesetzt oder eine TISAX-Zertifizierung erhalten, ist ein wichtiges Etappenziel erreicht. Damit ist die Arbeit aber nicht getan, denn nun geht es darum, die Richtlinien im Alltag umzusetzen und dauerhaft einzuhalten. Dafür müssen alle Mitarbeitenden ins Boot geholt werden – und zwar nicht nur moralisch, sondern auch inhaltlich. Und genau hier kommen die Schulungen ins Spiel.

Ob fünf oder 50 000 Mitarbeitende: Mit Online-Schulungen erreicht man alle. Auch an unterschiedlichen Standorten gleichzeitig.

In der Praxis stehen Geschäftsführung sowie Datenschutz- und Informationsbeauftragte früher oder später vor der Herausforderung, alle ihre Mitarbeitenden schulen zu müssen. „Bei einem Unternehmen mit zwanzig Mitarbeitern mag die Organisation noch recht einfach sein – in einem Unternehmen mit einhundert Menschen wird es schon schwierig”, so Philipp Brändl, Berater für Informationssicherheit bei nextwork. „Auch die Fluktuation spielt eine Rolle: Jedes Mal, wenn neue Mitarbeitende ins Unternehmen eintreten, müssen auch diese
von Grund auf informiert werden. Weder wir noch unsere Kunden können diesen großen Bedarf durch Präsenzschulungen abdecken.“ Als lösungsorientiertes Unternehmen mit Wurzeln in der IT war dem Team von nextwork schnell klar, dass eine Online-Schulungsplattform der richtige Weg ist. Genauso schnell fanden die Experten aber auch heraus: Eine fertige Lösung, die ihrer eigenen Arbeitsweise entspricht, gab es dafür nicht. Also baute sich nextwork kurzerhand selbst eine Academy.

Die nextwork academy: nutzerfreundlich aufgebaut, erklärt und visualisiert

„Viele Schulungsmöglichkeiten, die man derzeit auf dem Markt findet, sind sehr komplex, kostenintensiv und visuell nicht so aufbereitet, wie wir und unsere Kunden uns das vorstellen“, so Marco Peters. „Was die nextwork academy auszeichnet, ist, dass sie komplett aus der Nutzerperspektive gedacht ist.“ Entsprechend ist jede Schulung so aufgebaut, dass sowohl Einsteiger als auch Verantwortliche die Themen verstehen – und dann vor allem auch in der Praxis umsetzen können. Zu der Leichtfüßigkeit, mit der die Videos daherkommen, tragen nicht nur viele intern entwickelte Grafiken bei, sondern auch eine authentische Tonspur, bei der auch mal ein Schmunzeln erlaubt ist. Datenschutz und Informationssicherheit sind auf den ersten Blick keine extrem attraktiven Themen. Mit der nextwork academy machen sie aber trotzdem Spaß – ein bisschen zumindest.

Mehr Infos bei nextwork:
www.nextwork.de/academy

»Cool trotz Zertifizierung«: Wie man Zertifizierungen aller Art richtig angeht »must see«

20. März 2019
von Marco Peters

Gerade habe ich einen Talk entdeckt, der sich mit einer Sorge beschäftigt, die auch wir gut von unseren Kunden kennen, nämlich: Was macht man als agiles Unternehmen, wenn man sich plötzlich mit Datenschutz, Informationssicherheit, ISO 27001 oder TISAX-Normen auseinandersetzen muss? Droht das Ende der Selbstbestimmung? Ein Leben a la René Goscinny und Albert Uderzo, »Haus, das Verrückte macht«, auf der endlosen Suche nach Passierschein A 38?

Hans Schmill, Mitglied der Geschäftsführung der abat AG, ist der lebende Beweis, dass es so nicht sein muss. In seinem Talk auf dem intrinsify pathfinder festival 2018 erzählt er, wie man Richtlinien leben und in die Unternehmenskultur integrieren kann – ohne eigene Überzeugungen wie »Vertrauen statt Normen« und »Richtlinien statt Regeln« komplett an den Nagel zu hängen. Und er beschreibt, wie man die eigene Souveränität aufrecht erhält, indem man eigene Prozesse erarbeitet und internes Wissen zum Thema aufbaut.

Also nicht warten, sondern direkt hier anschauen:
https://www.youtube.com/watch?v=pjvJaGZWVJo

 

 

BU: Datenschutz kann sogar ganz hübsch sein: Sieht aus wie eine Nachspeise, sind in Wirklichkeit aber gewissenhaft geschredderte Daten

Stop being a Smartphone-Addict! Mein Plädoyer für weniger Bildschirmzeit.

18. Dezember 2018
von Marco Peters

Manch einer wundert sich jetzt vielleicht, dass jemand, der von seinen beruflichen Wurzeln her ITler und im Herzen ein Technik-Freak ist, weniger Bildschirmzeit für eine gute Sache hält. Ich kann dazu nur sagen: als Ehemann, Familienvater und überhaupt als Mensch habe ich mich tatsächlich gefreut, als Apple den Screentime-Manager vorgestellt hat. Endlich mal ein Tool, das hilft, die ganze Daddelei der Kids zu organisieren. Und: wir alle sehen mal schwarz auf weiß, was wir da eigentlich treiben mit unserer Lebenszeit.

 

Jetzt ist sie da, die Bildschirmzeit-Wahrheit. Schwarz auf Weiß.

Bis jetzt konnten wir uns irgendwie noch einreden, dass es doch alles halb so wild ist mit der eigenen Smartphone-Sucht. Oder das wir die meiste Zeit nur “wichtige” Dinge, zum Beispiel Arbeit, damit erledigen. Mit dem iOS 12 hat Apple dieses Jahr etwas auf den Markt gebracht, das aus der Hand eines Smartphone Herstellers überrascht: nämlich “Screentime”: ein Tool, mit dem man die eigene Bildschirmzeit verwalten kann. Es gibt etwa App-Limits, Nicht-stören-Bedienelemente und vor allem wird – schön grafisch – die Dauer angezeigt, die man am Smartphone verbracht hat. Und auch, wie man sie genau verbracht hat: in Prozent kann man sehen, wieviel Zeit man anteilig zum Beispiel in Lesen oder in Social Media investiert hat.

Apple hat also ein Tool erfunden, mit dem wir uns ab sofort jeden Tag selbst erschrecken können. Positiv ist aber zu bemerken, dass die Marke damit die Mitverantwortung für ein Thema übernimmt, das wir alle nur zu gut kennen und das sich seit Beginn der Smartphone Ära immer mehr zum gesellschaftlichen Problem ausgewachsen hat: nämlich der automatische Griff zum Smartphone–  in jeder Lebenslage.

Die Keynote von Apple zu diesem Thema ist übrigens wirklich spannend, man kann sie hier ansehen (Bildschirmzeit ab Minute 47): https://www.apple.com/de/apple-events/june-2018/

 

Wollen wir 33 Tage Lebenszeit an unser Smartphone opfern?

Morgens geht es bei den meisten ja schon los: “Presto” oder irgendeinen anderer Klingelton ertönt neben dem Kopfkissen. In diesem Moment nimmt man das Smartphone zum ersten Mal in die Hand – und legt es ab dann nicht mehr wirklich weg. Mails checken im Bad beim Zähneputzen, Nachrichten lesen in der Küche beim Kaffee, dann freisprech-telefonieren im Auto. Den Tag über bleibt das Smartphone jederzeit griffbereit und wird in jedem Moment gezückt, in dem auch nur der leiseste Anflug von Langeweile droht: beim Warten auf die S-Bahn, im Wartezimmer beim Arzt, im Café, wenn das Gegenüber gerade nicht da – oder sogar, wenn es da ist:

Ich beobachte sogar im Freundeskreis, dass der ein oder andere eine Art “Zucken” entwickelt hat und selbst während einer Unterhaltung ohne besonderen Grund aufs Smartphone schaut – ja zum Teil sogar kurz E-Mails oder Facebook checkt.

Abends, wenn es ins Bett geht, schließt sich der Kreis: das Teil liegt wieder direkt nebendran auf dem Nachttisch. Studien belegen, dass Smartphone-Nutzer inzwischen auf 33 Tage – also mehr als einen Monat! – reine Smartphone-Zeit im Jahr kommen. Erschreckend, oder? Wollen wir so wirklich unsere Lebenszeit verbringen?  

 

Wasser predigen und Wein trinken – die Sache mit den Kids

Dabei fängt das Ganze schon im zarten Alter an: Bei jedem, der heute Kinder hat, ist die Frage, wann, was und wieviel mit dem Smartphone gemacht werden darf, ein never ending Drama. Hier ist das Screentime Tool mal eine echte Hilfe – denn bisher war man als Elternteil komplett auf sich allein gestellt mit dem Thema “Daddeln zeitlich eingrenzen”.

Gleichzeitig muss man sich aber auch mal die Frage stellen: warum nerven die Kids so damit? Von wem haben die das eigentlich? Man würde ja gern sagen, dass die kleinen Smartphone-Zombies sich das schlechte Verhalten nur bei Fremden abgeschaut haben. Wenn man aber mal ehrlich ist: auch hier fällt der Apfel meist nicht weit vom Stamm.

 

Wer ist hier jetzt eigentlich erwachsen? Krisen in der Smartphone-Verbot-Zone

Um die Screentime-Sache also mal gezielt in den Griff zu bekommen, haben wir bei uns zuhause inzwischen Smartphone-Verbot-Zonen eingeführt: den Esstisch und das Bett. Das gilt für alle: uns und unsere Kinder, deren und unsere Freunde. Und wir hatten fest damit gerechnet, dass die Kids als erste auf die Barrikaden gehen. Aber weit gefehlt: die Erwachsenen haben tatsächlich das größere Problem damit.

Üblicherweise verbringen wir die meiste Zeit mit unseren Freunden in einer Smartphone-Verbot-Zone: dem Esstisch. Das ist bei uns zuhause der Mittelpunkt. Pro Besuch gibt es schon mal eine „Ausnahme“ vom Verbot, weil einer „kurz was zeigen” möchte. Vor allem gibt aber jedes Mal viele klare Verstöße: nämlich wenn wir wieder einen dabei erwischen, wie er schnell (am besten noch heimlich unter’m Tisch) WhatsApp checkt. Wenn man mal ganz ehrlich ist: eigentlich schafft keiner unserer „erwachsenen Freunde“ diese einfache Regelung mit der Smartphone-freien Zone einzuhalten.

 

Fazit: Jetzt anfangen mit der Entwöhnung und den Vorsatz in 2019 mitnehmen

Leute, Hand auf’s Herz: wir alle haben irgendwie ein Problem mit der Smartphone-Obsession. Dass sogar Apple als Hersteller selbst einschreitet und ein Tool wie Screentime entwickelt, spricht Bände, was das Ausmaß des Problems angeht. Vielleicht ist jetzt gerade die Weihnachtszeit ein guter Moment, um mal in sich zu gehen und ganz ernsthaft den Vorsatz anzugehen, 2019 ein Leben zu führen, dass nicht nur vom Smartphone abhängt. In diesem Sinne: eine schöne Zeit und einen guten Rutsch ins neue Jahr!

 

Quick Guide DSGVO und TISAX: „don’t panic and get certified“

28. November 2018
von Marco Peters

“Seit rund zwei Jahren beschäftige ich mich täglich mit TISAX und der DSGVO. Ich reise quer durch Deutschland, spreche mit großen und kleinen Kunden, leite Schulungen und halte Vorträge zu den Themen Datenschutz und Informationssicherheit. Mein Quick Guide soll jedem, den Einstieg ins Thema erleichtern – und einen Überblick über die wichtigsten Fragen, Hürden und To Dos bieten.”

 

don’t panic and get certified
Quick Guide DSGVO und TISAX.


Erfahrungen aus 50 Projekten mit 100% Erfolgsquote.
Veröffentlicht: 28.11.2018, Verlag: BoD, Norderstedt
ISBN: 9783748181934 (Erhältlich überall wo es Bücher gibt)

 

 

Warum dieser Quick Guide?

Mein Quick Guide soll jedem, der sich mit der DSGVO und / oder TISAX beschäftigt, den Einstieg ins Thema erleichtern – und einen Überblick über die wichtigsten Fragen, Hürden und To Dos bieten.

Für wen ist dieser Quick Guide gedacht?

Kurz gesagt: Für alle, die konkret wissen wollen, wie sie ihr Unternehmen für die DSGVO und / oder TISAX fit machen. Für Unternehmen mit einem bis hin zu 10.000 Mitarbeitenden – denn die DSGVO betrifft alle.

Für die Menschen in diesen Unternehmen. Darunter CEOs, Vorstände, IT- und Personalchefs, Projektleiter sowie Kundenverantwortliche. Sie sind die Entscheider und Vertreter des Themas Datenschutz- und Informationssicherheit.

Für alle, die für die Automobilbranche arbeiten: Zum Beispiel Motorenentwickler, Ingenieurbüros, KfZ-Klimatechniker, Filmproduktionen, Event- und Kreativagenturen, Prototypenbauer und -tester oder Stahlbauunternehmen.

Für alle, die in ihrer Branche einen gemeinsamen Standard definieren wollen. Denn hat man einmal ein TISAX Zertifikat, ist man in puncto Datenschutz und Informationssicherheit ganz grundsätzlich gut aufgestellt.

Wo kann ich den Quick Guide kaufen?

Wer meinen Quick Guide bestellen möchte, findet ihn natürlich bei Amazon & Co. Aber ich würde mich noch mehr freuen, wenn ihr das Buch bei eurem lokalen Buchhandel bestellt. Das könnt ihr via genialokal.de auch online tun.

Wie kann ich mich zu TISAX fortbilden?

Mein Beratungsunternehmen nextwork bietet ab Januar 2019 Seminare und Workshops zu TISAX in mehreren deutschen Städten an. Jeder Workshop-Teilnehmer erhält nach erfolgreicher Prüfung ein Teilnahmezertifikat.
Mehr Informationen zu den TISAX-Workshops gibt es unter:
www.nextwork.de/tisax-workshops

 

Mehr Infos zu TISAX-Beratung finden Sie unter www.nextwork.de/tisax

Über Weihnachtskarten, X-Mas E-Mails und die Frage, ob die DSGVO der Grinch ist, der die Weihnachtswünsche stiehlt

27. November 2018
von Marco Peters

Während wir bis Weihnachten immer weniger Tage zu zählen haben, erreicht uns eine Frage jetzt alle paar Tage: “Dürfen wir unseren Kunden eigentlich noch Weihnachtspost schicken?” Verständlich, denn immerhin feiern wir 2018 das erste Fest mit der DSGVO und geschärftem Bewusstsein für das Thema Datenschutz.

Damit Sie wissen, wo Sie Ihren kreativen Ideen freien Lauf lassen dürfen oder wo Sie sich die Mühe gleich sparen können, beantworte ich aus meiner Sicht* die wichtigsten Fragen zum Thema.

 

X-Mas Wünsche per Mail:
Braucht das Christkind ein Double-Opt-In?

Ganz klare Antwort: Ja! Das Christkind, also in diesem Fall Sie, brauchen tatsächlich ein Double-Opt-In. Dem Kunden ungefragt per E-Mail Weihnachtswünsche zu schicken ist unzulässig. Denn eine gut gemeinte E-Mail mit einem blinkenden Tannenbaum wird in der Regel nichts mit dem konkreten Auftrag zu tun haben, den Sie von Ihrem Kunden erhalten haben. Ausnahme von der Regel: der Kunde hat explizit seine Einwilligung dazu gegeben, dass Sie ihm ein frohes Fest wünschen dürfen. Sollten Sie zum vermutlich eher kleinen Kreis derer Gehören, die eine solche Einwilligung haben, mailen Sie los! Für alle anderen gilt: machen Sie sich keine Mühe mit netten Formulierungen und löschen Sie Ihren aktuellen Weihnachts-Verteiler. Weihnachtswünsche auf elektronischem Weg sind ein ganz klares No-Go!

Exkurs zum Grinch:
DSGVO, UWG oder ePrivacy-Richtlinie – Wer verbietet uns denn jetzt eigentlich das leichtsinnige Wünschen?

Im Sinne der Richtigkeit sei an dieser Stelle noch kurz angemerkt:  Alle sprechen gerade nur über die DSGVO. Klar, immerhin ist sie gerade der große Begriff rund um das Thema Datenschutz, den alle auf dem Schirm haben. Beim “unverlangten Versand einer E-Mail” ist die korrekte Rechtsnorm allerdings gar nicht die EU-DSGVO, sondern §7 UWG, mit den Vorgaben der Datenschutzrichtlinie für elektronische Kommunikation 2002/58/EG – kurz: ePrivacy-Richtlinie. Aber das nur am Rande.

“Hoho”, live und direkt ins Ohr:
Sind Weihnachtsgrüße per Telefon erlaubt?

Um es auch hier kurz zu halten: Nein. Einfach zum Hörer zu greifen und den Kunden zum Thema Weihnachten anzurufen, ist überhaupt keine gute Idee. So eine Aktion fällt bereits in den Bereich Telefonwerbung und ist grundsätzlich unzulässig. Ausnahmen:  Der Angerufene hat bereits vorher explizit eine Einwilligung zu dieser Art von Werbung gegeben. Oder Sie haben ein ausgesprochen freundschaftliches Verhältnis zu diesem speziellen Kunden, dessen Nummer sie da wählen. In letzterem Fall geht ein Weihnachtsanruf sicher auch in Ordnung.  

Und wie sieht es mit echtem Papier und Geschenken auf dem guten alten Postweg aus?

Hier habe ich endlich gute Nachrichten: wer seinen Kunden eine Weihnachtskarte oder auch ein Geschenk per Post schicken will, bewegt sich auf recht stabilem Eis. Ausnahme: Wenn der Empfänger schon mal deutlich gemacht hat, dass er bitte überhaupt keine Weihnachtsgrüße aus dem Briefkasten fischen und auch keinen Kurier mit überdimensional großen Kalendern, Fresskörben und Ähnlichem empfangen möchte, sollten Sie das unbedingt in Ihrem Weihnachts-Verteiler berücksichtigen. Ansonsten könnte es berechtigten Ärger geben.

Fazit:
Die E-Mail-Postfächer müssen leer und die Telefone still bleiben. Aber den klassischen Briefkästen steht vermutlich die aufregendste Zeit des Jahres bevor

Beginnen Sie also ruhig, Karten zu entwerfen, Briefumschläge und Präsente auszusuchen – so lange Sie auf E-Mails und Anrufe verzichten und Ihre Weihnachtsgrüße an niemanden schicken, der einen expliziten Widerspruch gegen den Erhalt von Werbesendungen eingelegt hat, dürfen sie sich austoben. Viel Spaß beim rechtschaffenen Schenken und gesetzestreuen Wünschen!

*Informationen aus diesem Artikel basieren auf meiner persönlichen Recherche und Erfahrung. Sie dienen lediglich Informationszwecken und stellen keine Rechtsberatung dar. Sie können insbesondere keine individuelle rechtliche Beratung ersetzen, welche die Besonderheiten des Einzelfalles berücksichtigt.

»The Cloud Diaries« – Unser Umzug in die Cloud.
#2: Warum wir den Status quo hinterfragt haben.

6. November 2018
von Finn Nickelsen

Gastbeitrag von Finn Nickelsen

»Das haben wir schon immer so gemacht« – Der Mensch als Gewohnheitstier.


Ganz traditionell haben auch wir unsere Infrastruktur von Anfang an inhouse bei uns aufgebaut (das war der Standard, früher hatte man halt seinen Server bei sich): Datenserver, Mailarchiv und Mailserver  – das hatten wir alles bei uns im Büro stehen. Im Grunde genommen war das Usus im letzten Jahrzehnt; die meisten unserer Kunden bestanden ebenfalls auf dieses Prinzip. Außerdem gab es wohl noch einen psychologischen Nebeneffekt: Ein Kunde meinte zum Beispiel, er will immer seine Daten bei sich haben. Um notfalls in der Lage zu sein, sie im Starnberger See zu versenken… Wir sind immer misstrauisch, wenn man über etwas sagt, »das haben wir schon immer so gemacht«. Dann ist es nämlich höchste Zeit, das zu hinterfragen!

New work: Arbeit und Zusammenarbeit passieren überall und in Echtzeit


Die große Frage ist doch: Wie passt die Idee der festen Server und festen Orte noch zu unserer Realität? Denn auch, wenn viele Unternehmen es noch nicht so ganz wahrhaben wollen und auf alte Strukturen beharren (von festen Anwesenheitszeiten bis zu Dateien, die tatsächlich physisch vor Ort z.B. von einem Freelancer abgeholt werden müssen…): die Art, wie wir arbeiten, hat sich verändert.  

Früher war die Arbeit innerhalb von Teams sowie im Dienstleister-Auftraggeber-Verhältnis stark getrennt. Heute wächst im Zeichen von Co-Creation und Collaboration alles zusammen. Oft arbeiten wir auch beim Kunden teamübergreifend: Das bedeutet z.B, dass wir immer alle Unterlagen, sprich kundenspezifische Dokumente, dabei haben müssen; natürlich immer die aktuelle Version, online aber auch offline.

Gleichzeitig ist das Büro längst nicht mehr die heilige Denkzentrale, wo alles entschieden und erarbeitet wird. Vieles passiert längst ganz selbstverständlich im Homeoffice, im Zug, im Cafe oder angemieteten Workshop-Räumen jenseits des eigentliches Unternehmenssitzes. Überhaupt sitzen auch Kunde und Experte immer häufiger nicht mal in derselben Stadt. Anstatt einfach “den Dienstleister von nebenan” zu wählen, sucht man gerade bei den immer komplexeren werdenden Themen kritisch aus und wählt den Partner, der am besten zu den eigenen Bedürfnissen passt – ob der seine offizielle Adresse dann in Hamburg, Berlin oder Köln hat, während man selbst in München sitzt, ist zweitrangig.

Überraschung: Du bist schon lange in der Cloud.


Abgesehen davon, dass die Cloud also besser in unsere Zeit passt, weil sie die flexible Arbeitsweise unterstützt, die wir brauchen, stellt sich allerdings auch die Frage: Wie ist eigentlich der Status quo? Nutzen wir die Cloud erst, wenn wir wirklich gezielt dorthin “umgezogen” sind? Oder sind wir am Ende längst Teil der Datenwolke, ohne, dass wir es so richtig bemerkt hätten? Die Antwort: Ja. Wenn wir genau hinsehen, sind wir alle längst mittendrin.

In der Praxis wollen uns das die Leute oft nicht glauben. Wenn wir dann aber zum Beispiel bei unseren Datenschutzprojekten anfangen, das Verarbeitungsverzeichnis zu erstellen, wundern sie sich, wieviele Anwendungen und Systeme heute schon in der Cloud sind: Projektmanagementsysteme (TeamWork), Agentursoftware (Easyjob), Zeiterfassung (Mite), Urlaub (Absence), Buchhaltung (DATEV), Online-Banking, Bewerbermanagement (z.B. Softgarden), Personalmanagement (Personio), Besucherbuch (Proxyclick), Mailserver (Google oder Microsoft oder deine alte gmx-E-Mail-Adresse), Telefonanlage (NFON), CRM (salesforce), Aufgabenplanung (Trello), Newsletter (CleverReach), Cloud-Speicher (Dropbox oder Tresorit), Adressverwaltung (iCloud), Grafikanwendungen (Adobe Creative Cloud), Virenschutz (Bit Defender), MDM (JAMF), Datentransfer und FTP-Server (Wetransfer, OwnCloud)… Wie viele dieser Systeme kommen Ihnen beim Lesen wohl auch vertraut vor?

Fazit: Worauf also eigentlich warten?


Zum einen ist also Zeit, höchste Zeit, die eigene Denkweise und somit auch die eigene Unternehmenskultur zu hinterfragen und anzupacken: denn Collaboration, Co-Creation und Cloud bedingen sich gegenseitig. Zum anderen: Hat man erst einmal realisiert, dass man mit einem Bein ohnehin schon in der Cloud steht, sollte man sich ernsthaft überlegen, ob es nicht Sinn macht, wirklich komplett dorthin umzuziehen.

 

 

Vergesst Eure Passwörter! Das Ausdenken, Merken und Verwalten übernimmt jetzt der Passwort Manager

12. Oktober 2018
von André Willich

Gastbeitrag von André Willich

Wie die meisten Dinge, hat auch die Sache mit den Passwörtern ganz harmlos angefangen. Früher hatte man ein Passwort, das man sich selbst aussuchen durfte. Entsprechend wählte man etwas, was man sich leicht merken konnte, zum Beispiel Omas Geburtstag oder den Namen von Familien-Dackel Waldi – und im Großen und Ganzen war die Welt damit in Ordnung.

Wie so viele Dinge, ist das Thema mit zunehmender Digitalisierung der Arbeitswelt aber immer komplexer geworden. Um Zugänge, Daten und Informationen zu schützen, reichte ein Passwort plötzlich nicht mehr aus, schon gar keine simple Zahlen- oder Buchstabenfolge. (Wobei an dieser Stelle gesagt sei: 1111 war schon immer ein schlechtes Passwort. Genauso wie Kennwörter auf Post-its am Rechner und unter der Tastatur noch nie eine gute Idee waren). Und spätestens seit DSGVO und TISAX ist außerdem fest verregelt, dass Passwörter sich permanent verändern müssen.

Aber nicht nur im Business-Leben, auch privat hat das Thema Passwort Überhand genommen – immerhin tun wir immer mehr Dinge im Internet, die wir früher persönlich erledigt haben. Einkaufen, Banking, Fernsehen oder Dating: jeder Dienst und jedes einzelne Portal verlangt nach einer eigenen Registrierung und nach einem eigenen Passwort.

Rechnet man alles zusammen, kommt man heute leicht auf 50-100 Passwörter pro Kopf. Aber: Wie soll man sich in diesem Passwort-Labyrinth überhaupt noch zurecht finden? Und: Wofür jetzt eigentlich nochmal der ganze Aufwand?

54321? Meins! – Schwache Passwörter kann man sich gleich sparen

Passwörter entschlüsseln kann heute sogar ein iPhone – und für einen wesentlich leistungsstärkeren Computer ist es erst recht kein Hexenwerk. Jedes Passwort ist knackbar: Im Prinzip muss der Rechner “nur” so lange alle möglichen Buchstaben-, Zeichen- und Zahlenkombinationen durchprobieren, bis er den gewünschten Code entschlüsselt hat. Sogenannte Rainbow Tables – Datenstrukturen, die ursprünglich für die Wiederherstellung von Passwörtern innerhalb der IT-Forensik entwickelt wurden – machen dem Computer die schnelle und speichereffiziente Suche sogar noch leichter. Weshalb Rainbow Tables auch gern von Passwort-Crackern verwendet werden.

Komplexität schützt – Geheime Technologien und private Daten

Im Umkehrschluss heißt das: je komplexer das Passwort, desto sicherer ist es –  denn desto länger braucht der Rechner, um alle möglichen Kombinationen durch zu testen. Konkretes Beispiel: Jemand, der Firmengeheimnisse oder auch private Bankdaten, Flugmeilen etc. stehlen will, wird abwägen, ob er den Rechner drei Tage oder drei Jahre rechnen lässt, um an die gewünschte Information zu kommen. Angesichts von drei Jahren werden die meisten Hacker vermutlich das Handtuch werfen.

Gummibaer!2018 – Ist das jetzt ein starkes Passwort?

Ganz grundsätzlich gilt: Ein sicheres Passwort besteht aus mindestens 12 Zeichen, enthält Buchstaben in Groß- und Kleinschreibung, Zahlen und Sonderzeichen. Gummibaer!2018 ist in jedem Fall ein besseres Passwort als Gummibaer alleine. Das beste Passwort besteht allerdings aus einer rein zufälligen Zahlenfolge, also etwa xT34$”4g812ß. Nun ist es nicht besonders inspirierend, sich solche Kennwörter  auszudenken – und so gut wie unmöglich, sie sich zu merken. Und hier kommt der Passwort Manager ins Spiel.

Kommt nur, ihr Passwörter! – Der Passwort Manager ist der Herr der Codes  

Ein Passwort Manager ist ein Programm, das automatisch sichere Passwörter generiert und speichert. Für jedes einzelne Nutzerkonto – von SAP über wordpress bis LinkedIn –  erstellt der Passwort Manager ein jeweils sicheres Kennwort, das er sich dauerhaft merkt. Somit entkommt man der Krux, sich immer wieder selbst zahllose kryptische Codes auszudenken. Und kommt auch nicht in die Versuchung, sich die komplizierten Kennwörter doch heimlich aufzuschreiben.

Notizen, PINs, Accounts – Der Passwort Manager kann nicht nur Codes

Der Passwort Manager hat aber noch weitere Talente. Zum Beispiel kann er zwischen Einzel- und Gruppen-Accounts unterscheiden. Man kann also Zugänge für einzelne Mitarbeiter schaffen, aber z.B. auch Projekt-Accounts anlegen, die nur für bestimmte Personen freigeschaltet sind.  

Ähnliches gilt übrigens auch für Zuhause: mit einem Familien-Account können alle Familienmitglieder den Passwort Manager nutzen, ohne dass die Halbstarken die gleichen Zugriffsrechte auf Amazon, Foodora oder Netflix haben wie die Eltern.

Und noch einen Vorteil hat der Passwort Manager: er merkt sich nicht nur Passwörter. Auch sichere Notizen, Kontonummern, Kreditkartendaten, PINs, Reisepass- oder Führerscheinnummer können hinterlegt werden und sind somit nicht nur sicher gespeichert, sondern jederzeit und von jedem Ort der Welt abrufbar.

Den richtigen finden – Welcher Passwort Manager macht den besten Job?

Natürlich gibt es inzwischen unterschiedliche Anbieter auf dem Markt. Besonders empfehlenswert sind 1Password und Enpass.

1Password ist der Platzhirsch unter den Passwort Managern. Das Programm ist leicht verständlich und bietet im monatlichen Mini-Abo ein sehr nutzerfreundliches Gesamtpaket an.

Für alle, die etwas technikaffiner sind, ist Enpass eine gute Alternative – ein etwas neueres Programm, das als Desktop-Version kostenlos und für die Nutzung auf dem Smartphone bereits gegen eine übersichtliche Einmalzahlung zu haben ist.

Back to the roots – Der Passwort Manager und die gute alte Zeit

Der Manager erledigt also die ganze Kennwort-Arbeit. Und bringt uns damit zurück in die gute alte Zeit: nämlich die des einen einzigen Passworts. Denn für den Passwort Manager braucht man ein Master-Keyword. Das sollte man sich sehr gut merken oder im Tresor einschließen. Um alles andere muss man sich dann aber keine Gedanken mehr machen.

 

Das Fazit: Zwei Jahre DSGVO & TISAX

18. September 2018
von Marco Peters

Die größten Irrtümer – und wie man sie lösen kann

Datenschutz und Informationssicherheit. Beides Themen, die schon allein vom Wort her nach viel Arbeit und wenig Freude klingen – und für die sich daher kaum einer freiwillig interessiert. Dazu dann die reellen Anforderungen und die inhaltliche Komplexität, die im ersten Moment verwirren und verunsichern können. Aber Tatsache ist: niemand kommt mehr daran vorbei. Welche Erfahrungen gibt es mittlerweile aus DSGVO- und TISAX-Projekten? Welche Irrtümer und Fehler passieren oft? Und welchen Nutzen kann ich als Unternehmen daraus ziehen? Nach zwei Jahren intensiver Zusammenarbeit mit kleinen und großen Kunden in unterschiedlichen Branchen quer durch Deutschland ziehen wir ein erstes Fazit.

Was sind das eigentlich für Kunden?
Und in welcher Situation rufen sie bei uns an?

»Der Einkauf von unserem Automobilkunden fordert jetzt TISAX« oder »Unser Auftraggeber hat uns drei verschiedene Datenschutz-Fragebögen geschickt« – in dieser konkreten Situation kommen unsere Kunden auf uns zu, und oft ist auch schon Druck auf dem Kessel. Mittlerweile betrifft es quer durch die Bank alle Unternehmen und Branchen. Besonders auch für das Thema TISAX gilt: Wer mit der Automobilbranche zu tun hat, kann inzwischen täglich mit einem Aufruf zum Audit rechnen. Das Spektrum umfasst in unseren Projekten Motorenentwickler, Ingenieurbüros, KfZ-Klimatechniker, Event- und Kreativagenturen, Prototypenbauer und -tester sowie Stahlbau-Unternehmen. Auch alle Unternehmensgrößen sind dabei, von 10 bis mehreren Tausend Mitarbeitern ist alles dabei. TISAX und DSGVO betrifft alle, und alle müssen für sich die Frage beantworten, wo sie stehen, wie sie die Auflagen erfüllen und in die Unternehmenskultur integrieren können.

Was sind die fünf größten Irrtümer – und was die Lösung?

Mittlerweile gibt es viele Erfahrungswerte auf Seiten der Unternehmen. Dennoch ist es erstaunlich, wie viele Irrtümer und Fehleinschätzungen sich zu den Themen TISAX und DSGVO hartnäckig halten. Hier die beliebtesten fünf – und erst danach unser Lösungsansatz.  

  1. Es ist KEIN IT-Projekt

In 90% aller Fälle landen diese Themen beim IT-Chef. Dort ist das Thema allerdings ganz falsch aufgehängt. Das wird auch der IT-Chef merken, nachdem er sich die Anforderungen eines TISAX-Audits angeschaut hat. Er wird das Thema nicht lösen können. Informationssicherheit und Datenschutz betreffen jeden Bereichs des Unternehmens: die Geschäftsführung, Human Resources, die Legal Abteilung, Controlling und jeden einzelnen Mitarbeiter.

Lösung: Das Thema ist von Anfang an ein Chef-Thema und ist nur in der Geschäftsführung richtig aufgehängt. Um ihn herum baut ihr eine Task-Force auf, ein internes Team, das sich dauerhaft um die Aufgaben kümmert.

 

  1. Man kann es nicht outsourcen

Das Unternehmen kann diese Aufgabe nicht komplett an ein externes Unternehmen übertragen, das sich »damit auskennt« und sich »um alles kümmert«, nach dem Motto, »Macht, dass wir TISAX haben.« Es passiert jedoch nichtdestotrotz, vor allem, weil die Verantwortlichen am liebsten nichts mit der Sache zu tun haben wollen und schlicht und ergreifend genug anderes zu tun haben. Dies wird nicht funktionieren, denn TISAX und DSGVO haben zu viel mit den internen Prozessen zu tun.

Lösung: Statt das Thema »über den Zaun« zu einem externen Profi zu werfen, sucht die enge Zusammenarbeit und Verzahnung Eures Unternehmen mit einem spezialisierten externen Profi, sozusagen eine »innen-außen«-Kooperation.  

 

  1. Nein, eine Firewall reicht nicht

»Wir haben jetzt dieses Angebot für eine neue Firewall eingeholt – das wird das Thema ja dann lösen, oder?« (Originalzitat). Ähm – nein. Wir haben noch keine Firewall gesehen, die technische, organisatorische und bauliche Maßnahmen umsetzt – und dann auch noch die Mitarbeiter schult.

Lösung: Siehe 1.

 

  1. Ein Audit ist keine GAP-Analyse

Vor dem ersten Audit keine GAP Analyse zu machen, ist ein bisschen so, als würde ein Restaurant das Gesundheitsamt anrufen, ohne vorher die Küche zu putzen.

Lösung: Wenn ihr zusätzliche Prüfungsschleifen (und Kosten) vermeiden wollt, solltet ihr euch zuerst einen Überblick über den aktuellen Stand der eigenen Sicherheitsstandards verschaffen – mittels einer Gap-Analyse. So könnt ihr im Vorfeld schon Maßnahmen ergreifen, um die Anforderungen von TISAX und DSGVO zu erfüllen.

 

  1. Es ist nicht mal eben gemacht und es ist nie zu Ende

Ok, geschafft. Audit bestanden. Aber das größte Problem kommt zum Schluss. Anders als beim Führerschein, mit dem man ein Leben lang fährt, muss der erlangte TISAX-Standard nicht nur erhalten, sondern sich nachweisbar verbessert werden – und das wird regelmäßig geprüft. Wenn man bei der viel härteren Re-Zertifizierung, in der Regel nach drei Jahren, keine Prüfprotokolle, Auditberichte und Dokumentation nachweisen kann, fällt man durch und verliert die Zertifizierung.

Lösung: Die interne, feste Taskforce kümmert sich gemeinsam mit dem ISB (Informationssicherheitsbeauftragten) und dem DSB (Datenschutzbeauftragten) ab sofort dauerhaft um das Thema, nicht, um es zu verwalten, sondern es weiter zu entwickeln.

Mehr Infos zu TISAX:

https://www.marcopeters.de/tisax/
https://www.nextwork.de/tisax