Unternehmensdaten in Mobile Devices: Umgang mit den rechtlichen Risiken

Transkript

1 Unternehmensdaten in Mobile Devices: Umgang mit den rechtlichen Risiken Unternehmensdaten ausser Haus Immer mehr Mitarbeitende von Unternehmungen verwenden Mobile Devices wie PDA Handys, Smartphones, etc. Die Mitarbeitenden sind sich gewohnt, diese Geräte immer bei sich zu haben. Sie nehmen sie also mit auf öffentliche Plätze, in Freizeitumgebungen oder nach Hause. Zudem arbeiten viele Angestellte auch immer häufiger bei Kunden oder (mindestens zeitweise) bei sich zu Hause. Auf diesen elektronischen Geräten befinden sich in der Regel Adressen von Kunden, s, Dokumente, etc. Kurz: Grosse Teile der Arbeitsumgebung des Mitarbeitenden in der Unternehmung kann auf diese Mobile Devices übertragen werden. Was im Bereich des Outsourcing und Offshoring schon diskutiert wurde, nämlich wie die Unternehmung die vorsätzliche oder fahrlässige Verletzung ihrer betrieblichen Vertraulichkeitsansprüche umsetzten soll, wird im Verhältnis zu den Mitarbeitenden (auch wegen dieser Hilfsmittel und der moderneren und flexibleren Gestaltung der Arbeitszeit) hochaktuell. Risiken für die Unternehmung Werden im oben beschriebenen Sinne vertrauliche Unternehmensdaten durch Mitarbeitende ausser Haus gebracht, entstehen für die Unternehmungen verschiedenste Gefahren des Missbrauchs. Das Hauptproblem ist dabei, dass diese Mobile Devices verloren gehen können oder gar gestohlen werden und so auf deren Daten unbefugt zugegriffen werden kann. Dieses Risiko ist umso höher, als nach dem Einschalten eines Mobile Devices eine erneute Authentisierung nicht notwendig ist, da dies weder üblich noch standardmässig installiert ist. 1

2 Die Gefahr der Verseuchung durch Viren ist im Moment noch relativ klein, weil aber (beispielsweise mit modernen Handys) auch direkt aufs Internet zugegriffen werden kann und mit der zunehmenden Funktionalität sind auch die Verseuchung mit polymorphen Viren denkbar. Je mehr Freiheit die Mitarbeitenden betreffend der Wahl der verschiedenen Produkte und je mehr Selbständigkeit sie haben betreffend Umgang mit Sicherheit, desto schwieriger wird für die Unternehmung die Kontrolle über die sichere Verwendung dieser Mobile Devices. Bekanntlich liegen sehr grosse Sicherheitsgefahren für die IT im sogenannten Social Engineering. Dazu zählt der bewusste Missbrauch von vertraulichen Daten und Programmen von Mitarbeitern, um die Unternehmung zu schädigen. In aller Regel geschieht dies aus Frustration, es ist aber durchaus auch möglich, dass die Mitarbeitenden im Auftrag einer Konkurrenzunternehmung bewusst Geschäftsgeheimnisse nach aussen tragen. Wenn Mitarbeitende (auch nur teilweise) zu Hause arbeiten, ist es möglich, dass Familienmitglieder oder Dritte Zugriff haben auf diese Mobile Devices und so in vertrauliche Unternehmensdaten Einsicht nehmen oder vielleicht (sogar unbeabsichtigt) solche Daten in deren Arbeitsumgebung mitnehmen. Die Eintretenswahrscheinlichkeit der oben geschilderten Gefahren und die Schäden, die beim Eintritt entstehen, sind erfahrungsgemäss als hoch bis sehr hoch zu bezeichnen. Daraus folgt, dass es sich um grosse Unternehmensrisiken handelt. Die vier geschilderten Risiken werden sich im Rahmen der sich rasant entwickelnden Konvergenzen zwischen Telefonie resp. Telekommunikation einerseits und IT andererseits in den nächsten Jahren noch massiv verschärfen. Pflichten und Interessen der Unternehmung an der Vertraulichkeit 2

3 Zur allgemeinen aber auch grundsätzlichen Pflicht der Leitung einer Unternehmung gehört die sorgfältige Unternehmensführung. Zur sorgfältigen Unternehmungsführung des strategischen und operativen Managements zählt somit, alles zu unterlassen, was der Unternehmung Schäden einbringen könnte. Mit Schäden sind nicht nur Gelder gemeint, die wegen unsorgfältiger Unternehmensführung nach aussen zu bezahlen sind, sondern auch vermeidbare und somit unnötige interne Mehraufwendungen oder damit verbundene Mindererträge. Der unsichere und somit unsorgfältige Umgang mit Unternehmensdaten kann zu solchen Schäden führen. Nebst der allgemeinen gesetzlichen Pflicht zur sorgfältigen Unternehmungsführung finden sich in den verschiedenen weiteren Gesetze ausdrückliche und verbindliche Vorschriften zum Umgang mit Daten resp. Dokumenten. Dazu zählen beispielsweise das Datenschutzgesetz, dessen Fokus auf dem Schutz personenbezogener Daten grundsätzlich also von Mitarbeitenden, Kunden, Konkurrenten, etc. liegt. Es gibt wohl kaum eine Geschäftskorrespondenz, welche nicht eine Aussage über eine natürliche oder (für die Schweiz auch juristische) Person impliziert. Je nach Einsatzgebiet des konkreten Mitarbeitenden oder Tätigkeitsgebiet der Unternehmung gibt es verschiedenste ergänzende spezialgesetzliche Regelungen, welche die Unternehmung zur Geheimhaltung verpflichtet. Diese finden sich beispielsweise im Sozialversicherungsrecht, Fernmelderecht, Strafrecht, Bankenrecht. Zudem haben sich verschiedenste Unternehmungen in Selbstregulierungsabkommen wie beispielsweise in standesrechtlichen Vereinbarungen zur Geheimhaltung verpflichtet. Je nach Tätigkeitsgebiet der Unternehmungen verpflichten sich diese aber auch gegenüber Dritten, wie beispielsweise ihren Kunden, vertraglich zur Geheimhaltung. Insbesondere betrifft das Outsourcing- und Offshoring-Anbieter. 3

4 Ergänzend zu den gesetzlichen oder vertraglichen Pflichten zur Geheimhaltung besteht für die Unternehmungen aber auch ein grosses Eigeninteresse an Vertraulichkeit. Das Know-how, also das Wissen einer Unternehmung, ist heute vielfach deren entscheidender Erfolgsfaktor im Wettbewerb mit anderen Unternehmungen. Dazu zählen insbesondere auch Adressen (von Kunden), Aussagen über Kundenkontakte, Termine oder Aussagen in Mails oder deren Attachements, welche sich ja spezifischerweise auf Mobile Devices befinden. Wird solch spezifisches Know-how publik, verliert die betroffene Unternehmung ihren Wettbewerbsvorteil oder erleidet gar zusätzlich noch einen Imageschaden. Rechts-organisatorische Risikominimierung Nach einer umfassenden Ermittlung möglicher Gefahren und deren Bewertung als entsprechende Risiken stellt sich für die Unternehmung die Frage, wie damit umzugehen ist. Als erstes sind selbstverständliche sämtliche technischen Möglichkeiten zur Risikominimierung umzusetzen. Damit verbunden stellt sich aber auch die Frage, ob auf organisatorischem Weg die Möglichkeit besteht, Risiken einzugrenzen. Möglicherweise können die Systeme so angelegt werden, dass nur spezifische (eben weniger vertrauliche) Daten nach aussen mitgenommen werden können. Sicher ist es auch möglich mit spezifischem Monitoring zu überprüfen, wer wann welche Daten und Dokumente auf ein Smartphone oder ähnliches gespeichert hat. Über den konsequenten Einsatz von Sicherheitsmassnahmen wie beispielsweise Verschlüsselungssoftware oder der Pflicht zur regelmässigen Authentisierung (was vom Benutzer aber als unangenehm empfunden wird), lassen sich sicher Risiken einschränken. Ergänzend muss aber hier unbedingt, angepasst auf die konkrete Situation, auch das Recht als Führungsinstrument genutzt werden. Im Einzelarbeitsvertrag, sei das direkt oder unter Verweis auf spezifische Reglemente betreffend Umgang mit Mobile Devices etc. und auch den Umgang mit Dokumenten zu Hause, werden die Pflichten der Mitarbeitenden diesbezüglich konkretisiert. Über eine regelmässige und adäquate Kommunikation des Inhalts dieser Reglemente kann ein Maximum an Averness erreicht werden, und es ist den Mitarbeitenden auf 4

5 keinen Fall mehr möglich, sich mit Nichtwissen in einem eingetretenen Schadenfall zu exkulpieren. Zudem sind allgemein gehaltene Pflichten der Mitarbeitenden auf sorgfältigen Umgang mit Arbeitsmitteln so konkretisiert und erhalten Profil, weshalb auch eine eingetretene Vertragsverletzung einfacher zu belegen ist. Zur sorgfältigen Führung von Mitarbeitern gehört auch deren Kontrolle. Wieviel konkrete Kontrolle betreffend dem Umgang mit solchen Daten und Dokumenten ausserhalb des Hauses der Unternehmung überhaupt technisch machbar und finanzierbar ist, ist abzuklären. Sofern dies aber realisiert werden soll, muss die Arbeitgeberin sich die entsprechenden Rechte im Einzelarbeitsvertrag mit dem Mitarbeitenden sichern. Dazu zählt die Information und somit das Recht auf spezifisches Monitoring bis hin zu einer möglichen Kontrolle des Umgangs mit Daten und Dokumenten bei Mitarbeitenden Zuhause. Zusammenfassung Der Motor der Informationsgesellschaft und der in ihr agierender Akteure sind Informationen. Diese sind für die Unternehmungen der entscheidende Erfolgsfaktor. In der modernen Arbeitswelt, in der die Mitarbeitenden orts- und zeitunabhängig ihre Arbeit verrichten und somit immer häufiger ausserhalb des eigentlichen betrieblichen Umfeldes ihrer Arbeitgeberin agieren, stellen sich erhöhte Anforderungen an die Sicherstellung der Vertraulichkeit von Daten und Dokumenten. Die Risiken, die mit dieser Art des Arbeitens verbunden sind, sind beträchtlich. Trotzdem sind die Unternehmungen gesetzlich und vertraglich zur Geheimhaltung verpflichtet. Um diesen Pflichten nachzukommen, sind erweiterte und neue technische, organisatorische und rechtliche Massnahmen notwendig. Ursula Sury ist selbständige Rechtsanwältin in Luzern und Zug (CH) und leitet den Studiengang Wirtschaftsinformatik an der Hochschule für Wirtschaft (HSW) Luzern des Dachverbandes Fachhochschule Zentralschweiz (FHZ). Sie ist zudem Dozentin für Informatikrecht an verschiedenen Nachdiplomstudien, welche am Institut für Wirtschaftsinformatik der Hochschule durchgeführt werden. Die Autorin ist hauptsächlich im Bereich Informatikrecht und Datenschutz tätig. Informieren Sie sich unter 5

6