Kategorie: Blog

Vergesst Eure Passwörter! Das Ausdenken, Merken und Verwalten übernimmt jetzt der Passwort Manager

12. Oktober 2018
von André Willich

Gastbeitrag von André Willich

Wie die meisten Dinge, hat auch die Sache mit den Passwörtern ganz harmlos angefangen. Früher hatte man ein Passwort, das man sich selbst aussuchen durfte. Entsprechend wählte man etwas, was man sich leicht merken konnte, zum Beispiel Omas Geburtstag oder den Namen von Familien-Dackel Waldi – und im Großen und Ganzen war die Welt damit in Ordnung.

Wie so viele Dinge, ist das Thema mit zunehmender Digitalisierung der Arbeitswelt aber immer komplexer geworden. Um Zugänge, Daten und Informationen zu schützen, reichte ein Passwort plötzlich nicht mehr aus, schon gar keine simple Zahlen- oder Buchstabenfolge. (Wobei an dieser Stelle gesagt sei: 1111 war schon immer ein schlechtes Passwort. Genauso wie Kennwörter auf Post-its am Rechner und unter der Tastatur noch nie eine gute Idee waren). Und spätestens seit DSGVO und TISAX ist außerdem fest verregelt, dass Passwörter sich permanent verändern müssen.

Aber nicht nur im Business-Leben, auch privat hat das Thema Passwort Überhand genommen – immerhin tun wir immer mehr Dinge im Internet, die wir früher persönlich erledigt haben. Einkaufen, Banking, Fernsehen oder Dating: jeder Dienst und jedes einzelne Portal verlangt nach einer eigenen Registrierung und nach einem eigenen Passwort.

Rechnet man alles zusammen, kommt man heute leicht auf 50-100 Passwörter pro Kopf. Aber: Wie soll man sich in diesem Passwort-Labyrinth überhaupt noch zurecht finden? Und: Wofür jetzt eigentlich nochmal der ganze Aufwand?

54321? Meins! – Schwache Passwörter kann man sich gleich sparen

Passwörter entschlüsseln kann heute sogar ein iPhone – und für einen wesentlich leistungsstärkeren Computer ist es erst recht kein Hexenwerk. Jedes Passwort ist knackbar: Im Prinzip muss der Rechner “nur” so lange alle möglichen Buchstaben-, Zeichen- und Zahlenkombinationen durchprobieren, bis er den gewünschten Code entschlüsselt hat. Sogenannte Rainbow Tables – Datenstrukturen, die ursprünglich für die Wiederherstellung von Passwörtern innerhalb der IT-Forensik entwickelt wurden – machen dem Computer die schnelle und speichereffiziente Suche sogar noch leichter. Weshalb Rainbow Tables auch gern von Passwort-Crackern verwendet werden.

Komplexität schützt – Geheime Technologien und private Daten

Im Umkehrschluss heißt das: je komplexer das Passwort, desto sicherer ist es –  denn desto länger braucht der Rechner, um alle möglichen Kombinationen durch zu testen. Konkretes Beispiel: Jemand, der Firmengeheimnisse oder auch private Bankdaten, Flugmeilen etc. stehlen will, wird abwägen, ob er den Rechner drei Tage oder drei Jahre rechnen lässt, um an die gewünschte Information zu kommen. Angesichts von drei Jahren werden die meisten Hacker vermutlich das Handtuch werfen.

Gummibaer!2018 – Ist das jetzt ein starkes Passwort?

Ganz grundsätzlich gilt: Ein sicheres Passwort besteht aus mindestens 12 Zeichen, enthält Buchstaben in Groß- und Kleinschreibung, Zahlen und Sonderzeichen. Gummibaer!2018 ist in jedem Fall ein besseres Passwort als Gummibaer alleine. Das beste Passwort besteht allerdings aus einer rein zufälligen Zahlenfolge, also etwa xT34$”4g812ß. Nun ist es nicht besonders inspirierend, sich solche Kennwörter  auszudenken – und so gut wie unmöglich, sie sich zu merken. Und hier kommt der Passwort Manager ins Spiel.

Kommt nur, ihr Passwörter! – Der Passwort Manager ist der Herr der Codes  

Ein Passwort Manager ist ein Programm, das automatisch sichere Passwörter generiert und speichert. Für jedes einzelne Nutzerkonto – von SAP über wordpress bis LinkedIn –  erstellt der Passwort Manager ein jeweils sicheres Kennwort, das er sich dauerhaft merkt. Somit entkommt man der Krux, sich immer wieder selbst zahllose kryptische Codes auszudenken. Und kommt auch nicht in die Versuchung, sich die komplizierten Kennwörter doch heimlich aufzuschreiben.

Notizen, PINs, Accounts – Der Passwort Manager kann nicht nur Codes

Der Passwort Manager hat aber noch weitere Talente. Zum Beispiel kann er zwischen Einzel- und Gruppen-Accounts unterscheiden. Man kann also Zugänge für einzelne Mitarbeiter schaffen, aber z.B. auch Projekt-Accounts anlegen, die nur für bestimmte Personen freigeschaltet sind.  

Ähnliches gilt übrigens auch für Zuhause: mit einem Familien-Account können alle Familienmitglieder den Passwort Manager nutzen, ohne dass die Halbstarken die gleichen Zugriffsrechte auf Amazon, Foodora oder Netflix haben wie die Eltern.

Und noch einen Vorteil hat der Passwort Manager: er merkt sich nicht nur Passwörter. Auch sichere Notizen, Kontonummern, Kreditkartendaten, PINs, Reisepass- oder Führerscheinnummer können hinterlegt werden und sind somit nicht nur sicher gespeichert, sondern jederzeit und von jedem Ort der Welt abrufbar.

Den richtigen finden – Welcher Passwort Manager macht den besten Job?

Natürlich gibt es inzwischen unterschiedliche Anbieter auf dem Markt. Besonders empfehlenswert sind 1Password und Enpass.

1Password ist der Platzhirsch unter den Passwort Managern. Das Programm ist leicht verständlich und bietet im monatlichen Mini-Abo ein sehr nutzerfreundliches Gesamtpaket an.

Für alle, die etwas technikaffiner sind, ist Enpass eine gute Alternative – ein etwas neueres Programm, das als Desktop-Version kostenlos und für die Nutzung auf dem Smartphone bereits gegen eine übersichtliche Einmalzahlung zu haben ist.

Back to the roots – Der Passwort Manager und die gute alte Zeit

Der Manager erledigt also die ganze Kennwort-Arbeit. Und bringt uns damit zurück in die gute alte Zeit: nämlich die des einen einzigen Passworts. Denn für den Passwort Manager braucht man ein Master-Keyword. Das sollte man sich sehr gut merken oder im Tresor einschließen. Um alles andere muss man sich dann aber keine Gedanken mehr machen.

 

Das Fazit: Zwei Jahre DSGVO & TISAX

18. September 2018
von Marco Peters

Die größten Irrtümer – und wie man sie lösen kann

Datenschutz und Informationssicherheit. Beides Themen, die schon allein vom Wort her nach viel Arbeit und wenig Freude klingen – und für die sich daher kaum einer freiwillig interessiert. Dazu dann die reellen Anforderungen und die inhaltliche Komplexität, die im ersten Moment verwirren und verunsichern können. Aber Tatsache ist: niemand kommt mehr daran vorbei. Welche Erfahrungen gibt es mittlerweile aus DSGVO- und TISAX-Projekten? Welche Irrtümer und Fehler passieren oft? Und welchen Nutzen kann ich als Unternehmen daraus ziehen? Nach zwei Jahren intensiver Zusammenarbeit mit kleinen und großen Kunden in unterschiedlichen Branchen quer durch Deutschland ziehen wir ein erstes Fazit.

Was sind das eigentlich für Kunden?
Und in welcher Situation rufen sie bei uns an?

»Der Einkauf von unserem Automobilkunden fordert jetzt TISAX« oder »Unser Auftraggeber hat uns drei verschiedene Datenschutz-Fragebögen geschickt« – in dieser konkreten Situation kommen unsere Kunden auf uns zu, und oft ist auch schon Druck auf dem Kessel. Mittlerweile betrifft es quer durch die Bank alle Unternehmen und Branchen. Besonders auch für das Thema TISAX gilt: Wer mit der Automobilbranche zu tun hat, kann inzwischen täglich mit einem Aufruf zum Audit rechnen. Das Spektrum umfasst in unseren Projekten Motorenentwickler, Ingenieurbüros, KfZ-Klimatechniker, Event- und Kreativagenturen, Prototypenbauer und -tester sowie Stahlbau-Unternehmen. Auch alle Unternehmensgrößen sind dabei, von 10 bis mehreren Tausend Mitarbeitern ist alles dabei. TISAX und DSGVO betrifft alle, und alle müssen für sich die Frage beantworten, wo sie stehen, wie sie die Auflagen erfüllen und in die Unternehmenskultur integrieren können.

Was sind die fünf größten Irrtümer – und was die Lösung?

Mittlerweile gibt es viele Erfahrungswerte auf Seiten der Unternehmen. Dennoch ist es erstaunlich, wie viele Irrtümer und Fehleinschätzungen sich zu den Themen TISAX und DSGVO hartnäckig halten. Hier die beliebtesten fünf – und erst danach unser Lösungsansatz.  

  1. Es ist KEIN IT-Projekt

In 90% aller Fälle landen diese Themen beim IT-Chef. Dort ist das Thema allerdings ganz falsch aufgehängt. Das wird auch der IT-Chef merken, nachdem er sich die Anforderungen eines TISAX-Audits angeschaut hat. Er wird das Thema nicht lösen können. Informationssicherheit und Datenschutz betreffen jeden Bereichs des Unternehmens: die Geschäftsführung, Human Resources, die Legal Abteilung, Controlling und jeden einzelnen Mitarbeiter.

Lösung: Das Thema ist von Anfang an ein Chef-Thema und ist nur in der Geschäftsführung richtig aufgehängt. Um ihn herum baut ihr eine Task-Force auf, ein internes Team, das sich dauerhaft um die Aufgaben kümmert.

 

  1. Man kann es nicht outsourcen

Das Unternehmen kann diese Aufgabe nicht komplett an ein externes Unternehmen übertragen, das sich »damit auskennt« und sich »um alles kümmert«, nach dem Motto, »Macht, dass wir TISAX haben.« Es passiert jedoch nichtdestotrotz, vor allem, weil die Verantwortlichen am liebsten nichts mit der Sache zu tun haben wollen und schlicht und ergreifend genug anderes zu tun haben. Dies wird nicht funktionieren, denn TISAX und DSGVO haben zu viel mit den internen Prozessen zu tun.

Lösung: Statt das Thema »über den Zaun« zu einem externen Profi zu werfen, sucht die enge Zusammenarbeit und Verzahnung Eures Unternehmen mit einem spezialisierten externen Profi, sozusagen eine »innen-außen«-Kooperation.  

 

  1. Nein, eine Firewall reicht nicht

»Wir haben jetzt dieses Angebot für eine neue Firewall eingeholt – das wird das Thema ja dann lösen, oder?« (Originalzitat). Ähm – nein. Wir haben noch keine Firewall gesehen, die technische, organisatorische und bauliche Maßnahmen umsetzt – und dann auch noch die Mitarbeiter schult.

Lösung: Siehe 1.

 

  1. Ein Audit ist keine GAP-Analyse

Vor dem ersten Audit keine GAP Analyse zu machen, ist ein bisschen so, als würde ein Restaurant das Gesundheitsamt anrufen, ohne vorher die Küche zu putzen.

Lösung: Wenn ihr zusätzliche Prüfungsschleifen (und Kosten) vermeiden wollt, solltet ihr euch zuerst einen Überblick über den aktuellen Stand der eigenen Sicherheitsstandards verschaffen – mittels einer Gap-Analyse. So könnt ihr im Vorfeld schon Maßnahmen ergreifen, um die Anforderungen von TISAX und DSGVO zu erfüllen.

 

  1. Es ist nicht mal eben gemacht und es ist nie zu Ende

Ok, geschafft. Audit bestanden. Aber das größte Problem kommt zum Schluss. Anders als beim Führerschein, mit dem man ein Leben lang fährt, muss der erlangte TISAX-Standard nicht nur erhalten, sondern sich nachweisbar verbessert werden – und das wird regelmäßig geprüft. Wenn man bei der viel härteren Re-Zertifizierung, in der Regel nach drei Jahren, keine Prüfprotokolle, Auditberichte und Dokumentation nachweisen kann, fällt man durch und verliert die Zertifizierung.

Lösung: Die interne, feste Taskforce kümmert sich gemeinsam mit dem ISB (Informationssicherheitsbeauftragten) und dem DSB (Datenschutzbeauftragten) ab sofort dauerhaft um das Thema, nicht, um es zu verwalten, sondern es weiter zu entwickeln.

Mehr Infos zu TISAX:

https://www.marcopeters.de/tisax/
https://www.nextwork.de/tisax

»The Cloud Diaries« – Unser Umzug in die Cloud.
#1: Blick hinter die Buzzwords

19. Juli 2018
von Finn Nickelsen

Neue Blogreihe
Gastbeitrag von Finn Nickelsen

Im Herzen sind wir ITler. Die Technologie, mit der wir zu tun haben, hat keine 30 Jahre auf dem Buckel, wenn man sich mal die Themen Personal Computer, Netzwerke und Server ansieht. Unser zweites Steckenpferd, Datenschutz und Informationssicherheit, weist keine zwei Jahre Erfahrungswerte auf. Das heißt: Wir sind daran gewöhnt, dass der Umgang mit den Dingen, mit denen wir zu tun haben, oft erst noch erfunden werden muss, bevor er sich in der Unternehmenskultur festsetzt. Und wisst ihr, was das auch bedeutet? Wir haben eine ziemlich niedrige Hemmschwelle, Neues auszuprobieren. Weil es unserer Auftrag ist, uns ständig weiterzuentwickeln. »Continuous improvement« ist bei uns eingebaut.

Ein ziemlich großer Improvement-Schritt steht bei uns derzeit auf der Agenda: Aus den Erfahrungswerten unserer TISAX- und DSGVO-Projekte heraus, in denen wir uns auch viel mit Workflows beschäftigen, überlegen wir zurzeit, komplett in die Cloud zu ziehen. Wenn man so einen Gedanken heute im Freundeskreis oder geschäftlichen Netzwerk raushaut (»Wir überlegen, mit unserem Unternehmen komplett in die Cloud zu ziehen«), kann man damit echt Eindruck schinden. Auf jeden Fall sind die Kollegen beeindruckt; stellt man sich doch als jemand dar, der im Sturm der Digitalisierung als Cloud-Kapitän den Kurs klar vor Augen hat. Aber wie so oft in Zeiten, in denen alle mit Buzzwords um sich schmeißen, könnte man ja auch schüchtern fragen: Was heißt das eigentlich, in die Cloud ziehen?

Sicher sind noch nicht alle Fragen zur Cloud geklärt – und wie immer muss jedes Unternehmen für sich beantworten, inwiefern die Cloud Sinn macht. Das ist oft ein langer Weg, der mit einem langen Entscheidungsprozess einhergeht. Da wir aus unserer Projektarbeit wissen, dass es vielen Unternehmen genauso geht, wollen wir unseren Entscheidungs- und Umsetzungsprozess mit euch in unserer neuen Blog-Reihe »The Cloud Diaries: Unser Umzug in die Cloud.« Uns geht es dabei unter anderem um folgende Fragen: Was sind eigentlich die relevanten Parameter für die Entscheidung für einen Umzug in die Cloud? Welche Bereiche des Unternehmens betrifft das? Welche Anbieter kommen in Frage? Wie geht das zusammen mit Datenschutz und Informationssicherheit? Gibt es da nicht sogar moralische Bedenken? Wie geht man ein solches Projekt an? Wie läuft es in der Umsetzung? Was für Auswirkungen hat das auf unsere Workflows? Was ist die optimale Lösung für unser Unternehmen? Wir freuen uns, wenn ihr unser Projekt verfolgt, und natürlich auch, wenn ihr uns von euren Themen und Erfahrungen berichtet.

Einige Statistiken und Begriffsklärungen zu Cloud Computing

 

»Cloud Computing« oder »Cloud Services« sind die Buzzwords, die seit ca. 2011 durch die Innovationsforen, durchs Netz und die Tech-Messen geistern. Langsam scheint das Thema im unternehmerischen Alltag angekommen zu sein. Laut einer aktuellen Bitkom-Studie nutzten 2017 bereits 65 Prozent der Unternehmen aller Größenordnungen (20 bis über 2000 Mitarbeiter) Cloud Computing. Was aber heißt das eigentlich, »Cloud Computing«? Welche Services können überhaupt in die Cloud verlagert werden? Auch darüber gibt die Studie Auskunft: Die oben erwähnten Unternehmen, die auf Cloud Computing setzen, nutzen zu 49 Prozent Softwareanwendungen, zu 47 Prozent Datenspeicherung oder Rechenleistung, zu 28 Prozent spezielle Entwicklertools oder Betriebssysteme, zu 23 Prozent Geschäftsprozesse und zu 46 Prozent Bürosoftware als wichtigste Anwendungen in der Public Cloud. Danach folgen Sicherheitslösungen, Groupware und Collaboration.

Ein weiteres wichtiges Unterscheidungskriterium ist das zwischen Private Cloud und Public Cloud. Die Fragen hier sind: Wo liegen die Daten – und wie viel Service ist mit dabei?

In der gemanagten Private Cloud mietet man sich typischerweise von einem Anbieter einfach nur Serverkapazitäten. Das kann zum Beispiel ein Rechenzentrum in eurer Stadt sein, in dem ihr ein oder mehrere Höheneinheiten in einem Serverschrank anmietet. Wie ihr diese nutzt, bleibt euch selbst überlassen. Der Anbieter sorgt nur für Kühlung, Strom und Internet – gegen eine monatliche Miete, die je nach »Serverquadratmeter« im drei- oder vierstelligen Bereich liegt. Die Infrastruktur auf diesem Server baut ihr euch selbst, ganz individuell; ihr genießt die höhere Sicherheit, da ihr den Benutzerkreis einschränkt. Außerdem braucht ihr bei euch im Office noch Hardware: einen Server, z. B. eine Kerioinstallation, und einen Router. Wir hatten zum Beispiel die letzten Jahre unseren Mailserver auf eine Private Cloud ausgelagert.

Eine Public Cloud ist sozusagen das »Rundum-sorglos-Paket“. Ihr holt euch Speicherplatz und die Anwendungen als Service in der Cloud mit dazu (SAAS, Software as a Service) und euer Cloud-Anbieter kümmert sich um alles andere. Es gibt kostengünstige und flexible Abomodelle, die ihr jederzeit an eure betriebliche Auslastung anpassen könnt. Habt ihr zum Beispiel nach einer Spitzenauslastung fünf Leute weniger, bucht ihr die Lizenzen um fünf herunter und zahlt auch weniger.

Eben weil es so flexibel, kostengünstig und einfach ist, gibt es einen Trend hin zur Public Cloud: Laut der oben schon erwähnten Umfrage setzten im abgelaufenen Jahr 44 Prozent der Unternehmen, die Cloud Computing nutzen, Private Cloud Computing ein. Auch gibt es einen Trend bei Private Clouds, ihren Betrieb an externe Dienstleister auszulagern. Nur noch 13 Prozent der befragten Firmen gaben an, die Cloud vollständig in eigener Regie zu betreiben – eine Halbierung innerhalb von vier Jahren. Im anhaltenden Aufschwung zeigte sich außerdem die Public Cloud, deren Einsatz 29 Prozent der Unternehmen meldeten – eine Verdoppelung seit 2014.

 

Dieser erste Beitrag sollte die wichtigsten Begriffe klären und einen Blick darauf werfen, wo das Thema heute in deutschen Unternehmen eigentlich steht. Im Blogbeitrag #2 geht es los mit der eigentlichen Ausgangssituation bei nextwork. Im dritten Blogbeitrag stellen wir euch dann die wichtigsten Anbieter vor und tauchen im vierten Blogbeitrag tiefer ein und stellen euch einen Case über den Anbieter unserer Wahl vor.

 

Viel Spaß – und danke für eure Anmerkungen und Kommentare!

 

Hört auf zu sortieren! Über Horter, Sortierer und sonstige Denkfehler bei der E-Mail-Archivierung

16. Mai 2018
von André Willich

Gastbeitrag von André Willich

Eigentlich traurig, was aus unserer E-Mail geworden ist. Die ehemalige Revolution der Bürokommunikation ist heute ein chronisch verstopfter Kanal, überflutet von cc-Mails, automatisierten System-E-Mails, Newslettern und Spam. Die Symptome sind: Kollegen sitzen im Meeting und keiner hört zu, weil alle hektisch ihre ungelesenen E-Mails checken. Leute kommen aus dem Urlaub und haben 300 ungelesene Nachrichten. Wir kommen dann ins Spiel, wenn es schief geht: Überlaufende Inbox, langsame E-Mail-Programme, langsame Server. Datenbanken, die in die Knie gehen; kaputte Suchindizes; aufgeblasene Postfächer von 20 bis 100 Gigabyte, deren Wiederherstellung im Schadensfall einen ganzen Tag kostet. Mailbox full!

Irgendwie wissen alle, dass es nicht so weitergehen kann. Höchste Zeit, sich Gedanken zu machen, wie man mit dieser Situation umgeht. Ich persönlich denke, es liegt in der Verantwortung eines jeden Unternehmers oder Geschäftsführers, diesen Kanal weitestgehend offen zu halten; er ist die Hauptschlagader der externen, aber auch der internen Kommunikation. In diesem Blogbeitrag soll es deshalb auch um Denkmuster und Gewohnheiten rund um die E-Mail und die damit verbundenen Ordnungssysteme gehen.

Unser Denkansatz: E-Mail-Archivierung


Unser Denkansatz, den wir predigen, um der permanenten E-Mail-Überflutung Herr zu werden, heißt: Gib auf, selbst E-Mails zu sortieren. Das kann ein Automatismus für Dich erledigen: die automatische E-Mail-Archivierung. Das Prinzip ist gleichsam simpel wie genial: Alle E-Mails werden nach einem festgelegten Zeitraum aus Deinem Postfach gelöscht, verbleiben aber automatisch in Deinem E-Mail-Archiv. Für Dich bedeutet das: Du arbeitest im E-Mail-Client, allerdings nur mit einem Teil Deiner E-Mails. Egal ob auf Smartphone, Tablet oder Laptop – Du hast ab sofort eine kleine »Handtasche« mit Deinen aktuellen E-Mails dabei. Das sorgt für Übersichtlichkeit, die Datenbank ist superschnell und im Fall der Fälle lassen sich die alten E-Mails schnell wieder auffinden: In einem webbasierten E-Mail-Archiv.

Wir haben das automatisierte E-Mail-Archiv bereits in zahlreichen Unternehmen erfolgreich umgesetzt und 97% unserer Kunden zufriedengestellt. Kein Wunder, denn daraus entstehen für Unternehmen und Mitarbeiter zahlreiche Vorteile:

  • Alle E-Mails werden dauerhaft und zentral gesichert
  • Rechtlichen Anforderungen an die E-Mail-Aufbewahrung wird Rechnung getragen
  • Die Produktivität des gesamten Teams nimmt zu
  • Die Performance des E-Mail-Servers steigt
  • Die Anwender haben jederzeit Zugriff auf Ihren E-Mail-Bestand

Darf ich vorstellen? Der Horter


Man glaubt trotz all dieser Vorteile nicht, wie viele Widerstände es gegen E-Mail-Archivierung gibt und wie emotional manche Menschen bei diesem Thema reagieren. Den Typus, der sich am meisten dagegen sträubt, nenne ich hier mal den »Horter«. Es gibt diese Spezies in mannigfaltiger Varianz und in jeder Agentur! Sie heißen Holger, Jürgen, Bernd. Oder in der weiblichen Version Andrea oder Sarah. Der Horter zeichnet sich dadurch aus, dass er alles aufhebt, jede Mail einzeln bearbeitet, einzelne E-Mails löscht, viele Newsletter abonniert hat und: ein ausgefuchstes System benutzt – E-Mails in Hunderte von Unterordnern zu sortieren – auf das er sehr stolz ist. Meist ist er schon lange im Unternehmen, seine E-Mails betrachtet er als externe Festplatte zu seinem Gehirn, das die gesamte Unternehmenshistorie widerspiegelt. Er ist das absolute Gewohnheitstier. Er behauptet von sich, JEDE E-Mail in Sekundenbruchteilen zu finden. In E-Mail-Archiv-Schulungen leistet er erbitterten Widerstand, löchert den Kursleiter mit Dutzenden kritischen Fragen und überhaupt stellt er das ganze System in Frage.

Ich bin jetzt gemein und vielleicht übertreibe ich auch ein bisschen. Aber im Grunde genommen steckt in uns allen ein bisschen »Horter«. Erinnert Euch, wo wir alle herkommen: Wir können gar nichts dafür, denn es liegt in unserer Natur. Wir sind alle analoge Menschen, denen die Logik der digitalen Welt manchmal widerspricht. Und wir haben noch ein Problem: Es fällt uns extrem schwer, uns von Gewohnheiten und Denkstrukturen zu lösen. Egal ob es um Essen, Beziehungen oder E-Mails geht. Mit den stärksten Vorurteilen und Denkfehlern möchte ich hier aufräumen.

»Die wollen mir meine E-Mails wegnehmen!«


Nein, das will keiner. Die E-Mail, die in Deinem Postfach steckt, wird nur nach einem von Dir festgelegten Zeitraum automatisch gelöscht, verbleibt aber im Archiv. Denn E-Mail-Archivierung bedeutet nichts anderes, als dass das Spiegelbild Deiner E-Mails auf Deinem Rechner wegfällt. Das Original ist weiterhin im Archiv vorhanden – und auch für Dich verfügbar.

Wie sieht das technisch aus?

»Meine E-Mails liegen dann irgendwo, wo ich nicht hinkomme?«


Nein, sie sind nur einen Klick weiter. Alle E-Mails Deines Unternehmens liegen ab dem Zeitpunkt ihres Eintreffens in Deinem Postfach auch im Archiv. Aus deinem E-Mail-Postfach und vom E-Mail-Server werden Sie dann nach einem selbstgewählten Zeitpunkt X gelöscht – im Archiv sind sie aber weiterhin auffindbar. Der Clou: Dein E-Mail-Dienst, z.B. Outlook, bleibt schlank und leicht, der E-Mail-Server wird entlastet, auf deine E-Mails hast du aber weiterhin Zugriff.

»Und wie komme ich jetzt an die archivierten E-Mails?«


Super easy. Einfach über Deinen Browser. Mit deinen persönlichen Zugangsdaten kannst du dich jederzeit in das Archiv einloggen und alle Deine E-Mails sehen. Auch die, die nach dem Zeitpunkt X gelöscht wurden. Bei Outlook für Windows ist der Zugriff dank eines Plugins sogar noch einfacher: Hier gibt es einen E-Mailstore-Button. Sobald Du diesen anklickst, kommst Du sofort in Dein E-Mail-Archiv – ganz ohne Outlook verlassen zu müssen.

»Wie finde ich alte E-Mails in meinem Archiv?«


Das ist das Beste an der ganzen Sache: Die Suche im Archiv ist deutlich mächtiger als die Deines E-Mail-Programms. Du kannst nach Betreff, Textinhalt, Anhängen, Absender, Zeiträumen u.v.m. suchen. Und falls Du gerne mit Ordnerstrukturen arbeitest, gibt es ebenfalls gute Nachrichten: Diese bleiben im Archiv erhalten.

»Ich brauche alle meine E-Mails ständig verfügbar!«


Ist das wirklich so? Jede E-Mail wird meist tagesaktuell im Projektgeschäft genutzt; generell schätze ich die Halbwertszeit der meisten E-Mails auf ca. zwei Wochen. Das bedeutet im Umkehrschluss, dass die meisten ihr E-Mail-Archiv nur in Ausnahmefällen benötigen. Das merke ich immer daran, wenn meine Kunden mich nach ihrem Login fragen. Weil sie ihn so selten brauchen.

»Da finde ich doch nix. Ich sortier meine E-Mails lieber in Ordner.«


Oh Gott, ein Sortierer 😉 Seit Jahren versuchen wir, den Leuten auszureden, ihre E-Mails in Ordner zu sortieren. E-Mail-Archivierung ist ein Tool, das eigens dafür gemacht ist, eine E-Mail zu finden, mit besseren Filtern als jedes E-Mail-Programm. Dass Du trotzdem sortierst, ist eine typisch menschliche Verhaltensweise, die aus der realen Welt in die virtuelle übertragen wird (schließlich hat man früher auch Papier in Leitz-Ordner geheftet). Aber die digitale Welt macht allein aufgrund der Datenmengen solche analogen Verhaltensweisen überflüssig. Es würde doch auch niemand auf die Idee kommen, Google-Ergebnisse in Ordner zu sortieren, man googelt eben einfach, und zwar alles Wissen der Welt!

Fazit: E-Mail ist ein Kreislauf


Was das Thema E-Mail betrifft, tendieren die meisten, auch Geschäftsführer und Unternehmer, zur Froschperspektive. Eigentlich klar, sind doch alle »Betroffene«. Ich appelliere, bei diesem Thema das große Ganze im Blick zu haben und eine Vogelperspektive einzunehmen. E-Mail im Unternehmen ist ein Kreislauf, der in Gang gehalten werden muss. Wenn Kanäle verstopfen oder der Staudamm zu brechen droht, braucht er eben einen Überlauf. Klappt doch auch in der Badewanne 😉

Zwei Welten: Coworking und Datenschutz

15. Dezember 2017
von Marco Peters

„In unserem globalen Netzwerk von Arbeitsbereichen stehen persönliche Zusammenarbeit, gegenseitige Inspiration und Großzügigkeit an erster Stelle“, heißt es bei wework, einer der größten globalen Coworking-Anbieter (die dieses Jahr übrigens rund 4,4 Milliarden US-Dollar an Venture-Capital eingesammelt haben). Keine Frage, Coworking ist ein superheißer Trend. Alleine in Berlin gibt es weit über 100 Angebote dieser Art.

Der Trend geht über das reine Geschäftsmodell „Anbieten von Coworking-Space“ hinaus. Heute ist bei jedem modernen Bürobauprojekt Coworking bereits Standard. Es werden Flächen eingeplant, die ausgewiesenermaßen an Externe vermietet werden können. Ein prominentes Beispiel ist der neue Kreativcampus des Axel-Springer-Verlags in Berlin Mitte (Rem Kolhaas, Fertigstellung 2020): Hier umfasst die Planung Coworking–Spaces.

Auch Kreativagenturen werden zu Coworking-Space-Anbietern: Sie vermieten flexible Flächen an freie Projektteams und Freelancer unter. Am 19. Oktober 2017 verkündete Serviceplan hierzu den Launch eines Coworking-Angebots zusammen mit einer Hotelgruppe: „RUBY und die Serviceplan Gruppe starten mit einem ersten gemeinsamen Coworking Space ein Joint Venture. Der Hotspot für kreatives, agiles und innovatives Arbeiten wird im Dezember 2017 eröffnet.“

Schöne neue Welt des Coworkings

Coworking–Spaces kommen den „Grundbedürfnissen“ von Kreativen nach: schnelles Internet, 24-Stunden-Zugang, fette Drucker und Cappuccino aus der Siebträgermaschine. Aber sind Coworking-Spaces nicht noch mehr?

Vielleicht sind Coworking-Spaces heute das, was Agenturen in den 90er Jahren waren: Orte des unkomplizierten kreativen Austauschs, wo sich Creative Class, Hipster und Digitale Nomaden die Hand geben, immer ein mega angesagtes Projekt am Start. Wer einmal in einem Coworking-Space gearbeitet hat, weiß, dass hier andere Werte als in der gewöhnlichen, „veralteten“ Arbeitswelt gelten: Kollaboration statt Silo-Denke, Flexibilität statt starre Struktur, Inspiration statt Hierarchien. Coworking ist nicht nur ein Trend, sondern ein Paradigmenwechsel in der Art und Weise, wie Menschen in Zukunft zusammenarbeiten.

Aber – Entschuldigung, dass ich jetzt der Spielverderber sein muss – wie ist das vereinbar mit den immer strenger werdenden Auflagen für Datenschutz und Informationssicherheit?

Der Gegentrend: TISAX und Datenschutz

In immer mehr Branchen wird von Unternehmen verlangt, eine Zertifizierung für die Erfüllung bestimmter Kriterien der Informationssicherheit einzuholen. Das betrifft etwa Agenturen und Zulieferer, die für die Automobilindustrie arbeiten. Sie brauchen ab 2018 ein TISAX-Zertifikat, ein von der Automobilindustrie definierter Standard für Informationssicherheit, um für Kunden wie VW oder BMW arbeiten zu dürfen. Ebenso relevant ist die Einhaltung der EU-Datenschutz-Grundverordnung, die den „Schutz der Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten“ (Art. 1 Abs. 2 DSGVO) zum Ziel hat.

Das Problem mit dem Datenschutz in Coworking-Spaces

Betrachtet man das Arbeiten unter Einhaltung der Informationssicherheits- und Datenschutzrichtlinien im Vergleich zur kreativen Arbeit in einem Coworking-Space, wird schnell ersichtlich: Hier sind zwei gegensätzliche Kräfte am Werk. Denn offensichtlich kann man Informationssicherheit und Datenschutz in der freigeistigen Welt der Coworking-Spaces nur schwer gerecht werden.

In Unternehmen, die mit sensiblen Daten umgehen, werden die Mitarbeiter zum Thema Datenschutz geschult. Es gibt einen Standard, zu dem sich das Unternehmen verpflichtet hat, und Richtlinien, die Orientierung und Handlungsanweisungen geben. Für dessen Einhaltung werden auch die Voraussetzungen im Büro geschaffen. Doch was, wenn Mitarbeiter auch im Homeoffice oder in einem Coworking-Space arbeiten dürfen? Oder wenn man mit Freelancern zusammenarbeitet, die regelmäßig im Coworking-Space sitzen?

In den offenen Räumen eines Coworking-Spaces laufen stets andere Coworker um die Schreibtische herum und holen sich Kaffee. Es herrscht eine Atmosphäre des lockeren Austauschs. Man guckt ganz automatisch auch mal auf den Bildschirm des Sitznachbarn und sieht Kalender, E-Mails oder vertrauliche Dokumente. Sie werden ja auch offen auf dem Bildschirm angezeigt. In Gesprächen fallen die Namen der Kunden und Ansprechpartner – oder sogar Details aus einem Projekt, das einer Vertraulichkeitsvereinbarung unterliegt. Man geht zum Drucker und sieht die Dokumente eines anderen Coworkers im Druckerfach liegen. Oder man wirft einen Blick in den Mülleimer und sieht Ausdrucke mit sensiblen Daten, die jeder lesen kann.

All diese Szenarien sind in Coworking-Spaces Alltag. Sie zeigen: Datenschutz und Informationssicherheit sind im Coworking-Space noch nicht angekommen. Coworking-Spaces sind sozusagen eine „Grauzone“ der Informationssicherheit. Oder einfach ein gigantisches, potenzielles Datenloch.

Wie können sich Coworker richtig verhalten?

Um das nochmal zu betonen: Ich spreche hier von solchen Projekten, für die ein Coworker eine Geheimhaltung (NDA) unterschrieben hat. Der Auftraggeber hat ihn somit in die Pflicht genommen, bestimmte Auflagen einzuhalten. Falls diese nicht präsent sind, sollte man im Zweifel nochmal nachschauen. In den meisten NDAs stehen mittlerweile ziemlich strenge Auflagen drin, z. B. E-Mail-Verschlüsselung, Passwort-Politik oder Einschränkungen bzgl. Datenaustauschtools (z. B. kein WeTransfer). Als professioneller Coworker muss man sich des Themas bewusst sein und sich ggf. neue Verhaltensweisen angewöhnen.

Lösung für Coworker: Lass dir die entsprechende Richtlinie deines Auftraggebers zeigen. Meist heißt sie „Richtlinie zur EDV-Nutzung“, „Informationssicherheitsrichtlinie“ oder „Betriebsrichtlinie“. Jede moderne, gut gemachte Richtlinie regelt beispielsweise auch mobiles Arbeiten: Wie telefoniere ich richtig am Flughafen oder im Zug? Wie arbeite ich im Flieger am Laptop? Was muss ich im Homeoffice beachten? Wie verwalte ich Passwörter? Wenn man diese Richtlinien einhält, kann man überall arbeiten, auch im Coworking-Space.

Wie können sich Unternehmen richtig verhalten?

Unternehmen müssen auf jeden Fall eine Richtlinie haben. Diese muss umfassend gedacht und gemacht sein. Idealerweise ist sie den sich ständig ändernden Realitäten der Arbeitswelt einen Schritt voraus. Eine moderne Informationssicherheitsrichtlinie regelt beispielsweise den immer wichtiger werdenden Themenbereich „mobiles Arbeiten“.

Das reicht aber noch nicht aus, denn eine Richtlinie, die alles umfasst, aber von niemandem gelebt wird, hilft auch nicht weiter. Mein Ansatz hierbei ist vor allem: Das angestrebte Sicherheitsniveau kann nur dann erreicht werden, wenn man den Mitarbeitern praktische Werkzeuge und Handlungsbeispiele gibt, mit denen sie Richtlinien auch im Alltag umsetzen können

Lösung für Unternehmen: Ganz wichtig ist, dass diese Richtlinien eben nicht nur feste, sondern auch freie Mitarbeiter einhalten müssen (es reicht nicht, letzteren nur einen NDA hinzulegen). Das Thema „Mobiles Arbeiten“ – und hier eben auch „Arbeiten im Coworking-Space“ – sollte praktikabel in die Richtlinie integriert werden.

So können denn auch diese beiden scheinbar unvereinbaren Kräfte, die unsere Arbeitswelt verändern, – Coworking und Datenschutz – friedlich miteinande coexistieren.

 

TISAX®: 4 Gründe, warum es für viele besser ist als ISO 27001

10. Juli 2017
von Marco Peters
tisax

Unternehmen mit Automobilmarken im Portfolio kennen das: Um für Kunden wie Audi, BMW oder VW arbeiten zu können, müssen sie seit 2014 in regelmäßigen Abständen nachweisen, dass sie den Informationssicherheitsstandards der Kunden gerecht werden. Ein notwendiges Übel, das für eine erfolgreiche Zusammenarbeit jedoch nicht vermeidbar war. Dass darunter auf Dauer das Tagesgeschäft leidet, musste hingenommen werden. Doch nun scheint eine Lösung für das Problem der immer wiederkehrenden Audits gefunden: Seit Anfang 2017 gibt es mit TISAX eine neue Form der Kontrolle. Eine gute Nachricht – und das gleich aus mehreren Gründen.

4 Vorteile von TISAX

 

  1. TISAX schlägt ISO 27001 und stichproben-Audits nach VDA Information Security Assessment (ISA)

    Viele Unternehmen mussten auf Wunsch ihrer Kunden bereits eine Auditierung über sich ergehen und sich stichprobenartig nach VDA Information Security Assessment (ISA) überprüfen lassen – mit oder ohne ISO-Zertifikat. Das wird sich nun ändern: Ab 2018 wird es für Automotive-Auftragnehmer nur noch eine einzige TISAX-Prüfung geben.

    Die weniger gute Nachricht dabei: TISAX prüft nicht mehr nur stichpunktartig, sondern alles im Detail.

    Die gute Nachricht: TISAX definiert erstmals einen gemeinsamen Nenner, der sämtliche Anforderungen aus dem VDA Information Security Assessment beinhaltet.

  2. Mit TISAX sind Unternehmen unabhängig in der Kundenakquise

    Unternehmen erreichen neue Kunden meist über Referenzen bzw. ihr Portfolio. Doch was passiert, wenn es die Informationssicherheitsauflagen sind, die plötzlich darüber entscheiden, ob eine neue Kundenbeziehung aufgebaut werden kann?

    Hier leistet TISAX einen entscheidenden Beitrag – denn mit der Zertifizierung wurde ein Standard geschaffen, der von allen VDA-Mitgliedern (z. B. Audi, BMW, Volkswagen und Mercedes-Benz) anerkannt wird. Ein Kundenwechsel ist somit unkomplizierter möglich – beispielsweise wenn ein Unternehmen nach Jahren von BMW zu Audi wechselt. Dank TISAX muss man in solch einem Fall keinen neuen Maßnahmenkatalog erfüllen. Zum Vergleich: Mit der bisher stichprobenartigen VDA-ISA-Überprüfung kam bei einem Kundenwechsel erst einmal ein mehrmonatiges ISMS-Projekt zu, bevor sie überhaupt anfangen konnte, für den neuen Kunden zu arbeiten!

  3. Mit TISAX kommen Unternehmen schneller an den Auftrag

    Dass TISAX wirklich für alle Unternehmen, die für die großen Automobilhersteller arbeiten, Pflicht wird, ist bereits jetzt erkennbar. BMW hat bereits im Februar 2017 TISAX in seinen Einkaufsbedingungen hinterlegt. Branchen-Insider sind sich einig: Ab 2018 wird TISAX bei allen Automobilherstellern zwingende Voraussetzung für die Zusammenarbeit.

    Auch wenn TISAX Pflicht wird und zunächst als notwendiges Übel erscheint: Inhabern des Zertifikats werden die zusätzlichen Audits durch die einzelnen Automobilhersteller erspart bleiben. Auch wird der Freigabeprozess bis zur endgültigen Zusammenarbeit beschleunigt. Denn: Bei einer infrage kommenden Zusammenarbeit sprechen die Unternehmen üblicherweise mit dem Einkauf des Automobilherstellers. Bisher musste danach ein zeit- und kostenintensives Audit stattfinden. Mit TISAX hat man dagegen von Beginn an einen zuverlässigen Nachweis für den Einkauf – und erhält so eine schnellere Freigabe.

  4. TISAX ist das perfekte Qualitätssiegel gegenüber Industriekunden

    Aktuell ist TISAX ausschließlich für die Automobilbranche relevant. Doch die Chancen stehen gut, dass auch weitere Großkunden wie z. B. Telekom, Siemens, Lufthansa oder Allianz das Qualitätssiegel bei der Wahl ihrer Partner berücksichtigen werden.
    Denn auch deren Einkauf überprüft beim Screening, welche Zertifizierungen mit Blick auf die Informationssicherheit bei potenziellen Agenturpartnern vorhanden sind.

    Eine TISAX-Zertifizierung ist hier das beste Aushängeschild, um dem potenziellen Neukunden zu signalisieren, dass der Auftragsvergabe, zumindest was die Informationssicherheit angeht, nichts im Wege steht. Wer schnell ist, hat hier also einen echten Wettbewerbsvorteil.

Der richtige Zeitpunkt ist 2017: Das Zeitfenster für die Abkürzung zu TISAX 2018

Manchmal scheint Abwarten bei Neuerungen wie der TISAX-Zertifizierung die richtige Taktik. Doch diesmal nicht. Unternehmen sollten genau jetzt handeln! Warum? Die TISAX-Pflicht kommt 2018 – mit Sicherheit. Alle Unternehmen, die dieses Jahr noch ein VDA-ISA-Audit bestehen, bekommen das TISAX-Zertifikat mit Sternchen (sozusagen das kleine Zertifikat).

Wer das kleine bekommt, hat es später leichter, das große Zertifikat zu erhalten. Das ist mit weniger Aufwand und weniger Kosten verbunden. Noch mal ein Vergleich: Alleine das Vor-Ort-Audit findet bei der stichprobenartigen VDA-ISA-Prüfung im Regelfall an einem Tag statt. Die kommende Zertifizierung wird dagegen mehrere Tage in Anspruch nehmen.

Mit einem TISAX-Zertifikat überholen Unternehmen die Wettbewerber, die bisher mit ihrem ISO-27001-Zertifikat punkten konnten! Ich kann Geschäftsführern daher nur empfehlen, noch dieses Jahr ein ISMS einzuführen und sich dem VDA-ISA-Audit zu unterziehen. Als TISAX-Zertifikatsinhaber der ersten Stunde kann man 2018 dann entspannt entgegenblicken.


Mehr Infos zu TISAX finden Sie unter folgenden Links:
nextwork, TISAX-Beratung
TISAX ENX Association

nextwork: Der nächste Schritt in ein neues Zeitalter

30. Mai 2017
von Marco Peters

Früher war der „ITler“ der Nerd im Serverraum, hat Rechner für Mitarbeiter aufgesetzt, sich um E-Mail und Internet gekümmert und ein Backup eingerichtet. Heute muss jeder Prozess in die Logik der IT übersetzt werden. Dies betrifft zum einen die administrativen Prozesse (z. B. Zeiterfassung, Angebots- und Rechnungswesen, Ressourcenplanung und Projektsteuerung), aber auch die kreativen Prozesse in Kreativagenturen – also Tools, die Designer in der Kreation, in der Teamarbeit und in der Datenablage verwenden.

Gleichzeitig ist es durch die fortschreitende Digitalisierung viel wichtiger geworden, Daten zu schützen. Für Agenturen bedeutet dies, dass ihre Auftraggeber zunehmend hohe Standards bezüglich der Datensicherheit in Form von ISO-Zertifizierungen und Auflagen im Datenschutz einfordern. In diesem Fall müssen alle Agenturprozesse, administrative wie kreative, überprüft und ggf. weiterentwickelt werden.

Was neu ist: nextwork berät Agenturen bei der Digitalisierung und Absicherung ihrer Prozesse

Um Agenturen in diesen neuen Aufgabenbereichen besser beraten zu können, haben wir „nextwork“ gelauncht. Wir beraten Kreativagenturen bei der Digitalisierung ihrer administrativen und kreativen Prozesse, entwickeln zukunftsorientierte IT-Infrastrukturen und sorgen für Datensicherheit. Typische nextwork-Beratungsprojekte sind z. B.:

  • Auswahl und Einführung von Agentursoftware, Recruiting-Tools etc.
  • Konzeption von komplett neuen IT-Infrastrukturen, z. B. für Neugründungen, Umzüge, Rundumerneuerung
  • Beratung bei der Digitalisierung aller kreativen und administrativen Agenturprozesse
  • Projektleitung bei einer ISMS-Auditierung oder Durchführung von internen Audits
  • Laufende Betreuung als Datenschutz- und Informationssicherheitsbeauftragter
  • Workshops und Schulungen für Mitarbeiter

 

Mehr zu Nextwork: www.nextwork.de

Mein Fachartikel über »häufige Datenlöcher in Kreativagenturen – und was man dagegen tun kann« in der PAGE 05.2017

29. März 2017
von Marco Peters

Datensicherheit ist nicht sexy – aber notwendig. Marco Peters von Solutionbar über häufige Datenlöcher in Kreativagenturen – und was man dagegen tun kann.

Kreativität und Datensicherheit – das sind zwei Be­griffe, die nicht besonders oft miteinander assoziiert werden. Kreativität, das ist Ideen-Pingpong ohne Ein­schränkungen, den Gedanken freien Lauf lassen, herumspinnen und Neues erschaffen. Daten­sicherheit hingegen klingt so ziemlich nach dem Ge­genteil. Wenn hier von Kreativagenturen die Rede ist, sind keinesfalls nur die großen Netzwerkagentu­ren gemeint.

Das »Rückgrat der Agenturbranche« ist die Mittelschicht – und gerade diese kann durch hohe Scha­denersatzzahlungen im Falle eines Datenverlusts in erhebliche finanzielle Schieflage geraten…

Hier gibt es den kompletten Artikel
Online: http://page-online.de/tools-technik/sichern-sie-ihre-daten/#
Oder im Heft Ausgabe 05.2017

 

 

Datenschutz ist nervig und macht unproduktiv

15. März 2017
von Marco Peters

Hand aufs Herz: Lesen Sie in Ihrer Freizeit auch gern mal das Bundesdatenschutzgesetz (BDSG)? Und ändern Sie alle 90 Tage Ihr Passwort?

Ich vermute stark, dass Sie auf beide Fragen mit „Nein“ antworten. Das ist auch kein Wunder. Denn nichts ist so nervig und nichts macht so unproduktiv wie die Einhaltung von Datenschutzvorgaben. Das muss allerdings nicht sein.

107 Seiten Juristendeutsch oder: Wie bitte?

Ein Bekannter sprach mich neulich bei einem Feierabendgetränk auf das Thema Datenschutz an. Er hatte gerade den Arbeitsvertrag in einem neuen Unternehmen unterschrieben. Neben dem Vertrag lagen 107 (hundertsieben) DIN A4-Blätter mit Richtlinien parat, die ebenfalls sein Kürzel benötigten. Er zeigte mir den Stapel mit den Worten: „Du kennst dich damit doch aus. Was habe ich da eigentlich unterschrieben?” Ich blätterte die Seiten durch, von denen 90 Prozent englische Schriftsätze enthielten, der Rest war Juristendeutsch. Ganz klar: Hier ging es um den Datenschutz, Verschwiegenheitsrichtlinien, Sicherheitsthemen. Auch klar: Kein Mensch ohne juristische Ausbildung (und ohne juristische Kenntnisse in englischer Sprache) konnte das, was dort geschrieben stand, verstehen.

Die Folge daraus erfordert keine hohe Mathematik: Mitarbeiter, die nicht verstehen bzw. nicht nachvollziehen können, worum es in diesen Schriftstücken geht, werden nicht umsetzen können, was man von ihnen verlangt. Die Vorgaben werden dann nicht eingehalten oder auch bewusst umgangen, es herrscht Unsicherheit – und wenn der hilfesuchende Blick zum Kollegen führt, hat dieser im Zweifel auch keine Ahnung.

Das Ergebnis: Alles das, was gesetzlich vorgeschrieben und wichtig ist – und wofür Sie vielleicht extra einen Datenschutzberater beauftragt haben – wird in Ihrem Unternehmen nicht gelebt. Oder noch schlimmer: Es kostet zusätzlich Effizienz und Produktivität.

Wieso, weshalb, warum – nur wer’s versteht, setzt es um

Auch meine Mitarbeiter müssen bei Vertragsunterzeichnung Datenschutzrichtlinien gegenzeichnen. Der Unterschied: Was andere auf 107 Seiten formulieren, passt bei mir auf eine Doppelseite. Ich habe mich mit einem guten Texter hingesetzt und das wichtigste, was das Gesetz will, auf zwei Seiten verständlich formuliert. Ich bin deshalb sicher, dass alle verstanden haben, warum die Punkte, die dort aufgelistet sind, umgesetzt werden müssen.

Mein Tipp für Sie: Tun Sie es mir nach. Vermeiden Sie dabei zusätzlich Formulierungen, die einschränken. Eröffnen Sie stattdessen Möglichkeiten. Sagen Sie also nicht: „Es dürfen keine E-Mails mit Anhängen über fünf Megabyte versendet werden.“ Die bessere Alternative: „Wenn Sie E-Mails mit Anhängen unter fünf Megabyte versenden möchten, nutzen Sie die E-Mail-Software. Alle größeren Anhänge können Sie mit ownCloud (ein Beispiel) übertragen.“

Was passiert, wenn Sie negativ formulieren und keine Lösungswege anbieten? Ganz einfach: Ihre Mitarbeiter suchen sich Wege, große Datenmengen „irgendwie“ zu übertragen – zum Beispiel über ungesicherte Dateien auf USB-Sticks oder sie installieren sich Software von Anbietern wie Dropbox. In diesem Fall – Sie ahnen es schon – wird wieder gegen das Datenschutzgesetz verstoßen. Denn Dropbox ist ein in den USA ansässiges Unternehmen – und die USA wurden vom Datenschutz als „unsicheres Drittland“ eingestuft. Allein die Angabe der E-Mail-Adresse des Empfängers, die zum Versand benötigt wird, ist verboten. Unbedenkliche Lösungen, die genutzt werden können sind ownCloud und tresorit. Stellen Sie Ihren Mitarbeitern solche Lösungen zur Nutzung zur Verfügung, dann müssen diese sich nicht selbst „Lösungen“ suchen, die am Ende keine sind.

Nach dem Verständnis kommt die Durchführbarkeit

Die Verständlichkeit von Richtlinien ist allerdings auch noch nicht das Ende der Fahnenstange. Wenn Ihre Mitarbeiter Sicherheitsrichtlinien umgehen (müssen), um Ihre Arbeit effizient (oder überhaupt) ausführen zu können, dann haben Sie das Thema noch nicht zu Ende gedacht.

Ein Beispiel: In einem mir bekannten Unternehmen werden die Mitarbeiter alle 90 Tage aufgefordert, Ihre Passwörter zu ändern. Andernfalls können sie nicht weiter auf die Systeme zugreifen. Ein Mitarbeiter hat sich nun eine ganz clevere Lösung ausgedacht, um sich nicht ständig neue Passwörter merken zu müssen: Er umging das System, indem er zwar seine Passwörter brav neu aufsetzte, aber gleich darauf wieder zurückänderte. Das System und auch der Chef denken, alles sei gut – in Wahrheit aber wird gegen das Datenschutzgesetz verstoßen.

Die tollste Richtlinie bringt also überhaupt nichts, wenn Ihre Mitarbeiter sie nicht einhalten. Damit sie das aber tun, brauchen sie neben dem Verständnis für die Inhalte auch eines für die Gründe der einzelnen Maßnahmen – und zusätzlich Möglichkeiten, ihre Arbeit trotz Datenschutzeinschränkungen erledigen zu können. Was die Passwort-Geschichte angeht: Dem Mitarbeiter wäre mit einem Passwort-Manager sehr geholfen. Ich kann die Software 1Password empfehlen. Keiner Ihrer Mitarbeiter muss sich damit je wieder ein betriebliches Passwort merken. Die regelmäßigen Änderungen werden sie also nicht mehr stören.

Wenn Sie jetzt noch einen lockeren Workshop veranstalten mit einer Runde Pizza für alle und zum Nachtisch ein Gespräch darüber, warum Passwortsicherheit so wichtig ist, werden Sie mit diesem Thema keine Probleme mehr haben. Mehr noch: Ihre Mitarbeiter werden es leben.

Nach der Datenschutzrichtlinie ist vor dem Datenschutz

Wenn Sie eine Datenschutzrichtlinie haben, sind Sie vielen Unternehmen einen Schritt voraus. Denn von allen Unternehmen, die an der Studie „Netz- und Informationssicherheit in Unternehmen 2010“ teilgenommen haben, trifft dies auf zwei Drittel schon mal nicht zu.

Die Erstellung von Richtlinien ist trotzdem immer nur der erste Schritt. Mit dem Engagement eines Datenschutzberaters und dem Einsammeln von Unterschriften auf seitenweise verklausulierten Texten ist es nicht getan. Datenschutz muss verstanden werden und umsetzbar sein, nur dann kann er gelebt werden. Laut „Clearswift Insider Threat Index (CITI) – German Edition 2015“ stellen Mitarbeiter eines der größten Sicherheitsrisiken für Unternehmen dar – einfach aus dem Grund, dass zwei Drittel aller internen Sicherheitsvorfälle zufällig oder unbeabsichtigt geschehen (65 %) und ein großer Mangel an Bewusstsein um Datensicherheitsprobleme herrscht (58 %).

Denken Sie also nie vordergründig an Paragraphen und Gesetze, sondern rücken Sie Ihre Mitarbeiter in den Vordergrund aller Maßnahmen. Holen Sie sie ordentlich ab, nicht nur juristisch. Dann erreichen Sie das Datenschutz-Niveau, das Sie erreichen möchten – und das auch von immer mehr Auftraggebern gefordert und überprüft wird.

Zum Schluss muss ich als Experte zugeben: Ja, Sie haben Recht. Das Thema Datenschutz ist nervig und macht unproduktiv. Aber nur, wenn es nicht richtig umgesetzt wird. Gerade kleinere Unternehmen, die ca. 90 Prozent der Unternehmerlandschaft in Deutschland ausmachen, haben es hier schwer. Doch gehen Sie es an und bringen Sie es einmal durchdacht hinter sich. Wenn dann im Sommer 2018 die neue (und in vielen Punkten strengere) EU-Datenschutz-Grundverordnung (EU-DSGVO) in Kraft treten wird, die eine umfassende Neuordnung des gesamten Datenschutzes in Europa mit sich bringt, sind Sie auf der sicheren Seite.

 

»CODING FOR CREATIVE KIDS«: 60 KINDER PROGRAMMIEREN ROBOTER

13. März 2017
von Marco Peters

Wie kriegt man eine Horde von 3 x 20 Kindern im Durchschnittsalter von 10 Jahren dazu, sich fast 2 Stunden auf eine Sache zu konzentrieren?

Ganz einfach: Man gebe ihnen einen Roboter, ein iPad und eine knifflige Aufgabe. Diese lautet zum Beispiel: »Sag dem Roboter, dass er einen halben Meter geradeausfahren, einen Kegel umschmeißen, dann eine 90°-Drehung ausführen usw soll, bis er ein Spielfeld von sechs Kegeln abgeräumt hat und vor Freude ein Lied pfeift (unter dem begeisterten Applaus aller Kinder und Eltern, die am Schluss zusammen das Ergebnis anschauen).

In einer ehemaligen Fabrikhalle in Obersendling fand dieses Jahr erstmals ein Event statt, das es so bislang noch nicht im MCBW-Programm gegeben hat: ein Roboter-Programmierkurs, initiiert von der »Solutionbar« und durchgeführt vom »Roberta«-Team. Die Kids saßen überall in kleinen Zweierteams verstreut, während sie auf iPads und Laptops ihre Dash- und Mindstorms-Roboter programmierten. Wer nicht gerade auf die kleinen bunten Kästchen starrte, mit denen man dem Roboter auf dem Screen alle Einzelbefehle wie Bauklötze aneinanderreiht, konnte in der großen Halle rumflitzen oder eine Runde kickern. Viele kamen so zum ersten Mal mit dem Programmieren in Berührung, am Ende der Session hatte aber jedes Kind ein echtes Erfolgserlebnis.

»Die Kids steigen heute leider vor allem als Konsumenten in die digitalen Medien ein“, erklärt Marco Peters, Geschäftsführer der Solutionbar und Vater zweier Schulkinder, die Idee hinter dem Event. „Wir wollen den Kids einen kreativen Blick eröffnen. Wie daddeln, whatsappen und minecraften hinter den Kulissen funktioniert. Da gibt’s nur eins: unsere Kids müssen Programmieren lernen!“ Er freut sich sehr, dass die Idee so gut angekommen ist und das Team viel positives Feedback von allen Teilnehmern erhalten hat.