Artikel idgard

Wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Bericht „Die Lage der IT-Sicherheit in Deutschland 2023“ belegt, hat die Bedrohungslage im Cyberraum einen neuen Höchststand erreicht. Demzufolge wurden im Messzeitraum täglichrund250.000neue Varianten Schadsoftware und 21.000 mit bösartigen Programmen infizierte Systeme registriert. Hinzu kamen durchschnittlich 70 neue Sicherheitslücken pro Tag – jede zweite davon ist laut BSI als besonders groß oder kritisch einzustufen. Angesichts der zunehmenden Professionalisierung der Täter und der technischen Möglichkeiten dank KI dürften sich Hackerangriffe auch künftig weiter ausbreiten und sich ebenfalls auf die Gremienkommunikation auswirken. Denn ein Datenleck in der Chef- und Aufsichtsratsetage hat häufig immense Auswirkungen auf das Unternehmen. Nicht nur sind Datenschutz und Rechtssicherheit bedroht, die bisweilen herbe juristischen Folgen nach sich ziehen können, auch geht es schlicht und einfach um die Wahrung von Geschäftsgeheimnissen.Handelt es sich bei der gehackten Firma dann auch noch um ein börsennotiertes Unternehmen und bei den durchgesickerten Informationen um Insiderwissen, drohen exorbitante Strafen durch die Börsen- beziehungsweise Wertpapieraufsicht, die bei großen Unternehmen durchaus auch im Milliarden-Bereich liegen können. Umso erstaunlicher ist es, wie nachlässig der Umgang mit solch brisanten Inhalten oft auch auf Managing-Board-Ebene ist.

Wie sicher ist die Gremienkommunikation in digitalen Sitzungen?

Dass für die sichere Gremienkommunikation nur bedingt gesorgt ist, zeigt eine Studie von Gleiss Lutz unter 100 Unternehmen, die dem Mitbestimmungsgesetz unterliegen. Laut dieser setzen 90 Prozent der Umfrageteilnehmer auf handelsübliche Videokonferenz-Lösungen wie Microsoft Teams, WebEx oder Zoom – meist in unverschlüsselter Form. Nur knapp 25 Prozent der Befragten nutzen für sämtliche ihrer Unterlagen und Kommunikation eine Art der Verschlüsselung. Rund ein Drittel ist sogar dazu übergegangen, lediglich sehr wichtige Dokumente oder solche mit besonders brisanten Informationen auf diese Weise zu schützen. Etwas mehr als 20 Prozent verzichten bei ihrer Kommunikation ganz auf diese Technologie. Auch Smartphones und Tablets sind eine Herausforderung für die sichere digitale Kommunikation in Gremien wie Vorständen und Aufsichtsräten: Je mehr Endgeräte zum Einsatz kommen, desto höher das Risiko für Datenverstöße, -verluste und -diebstahl. Umso wichtiger ist es, bei Mobilgeräten im Blick zu haben, über welche Kanäle der Austausch sensibler Unterlagen erfolgt, und wo die Daten überall gespeichert sind. Idealerweise befinden sich solch wesentliche Informationen gar nicht erst auf dem Endgerät, sondern verbleiben in einem sicheren Datenraum.

Spätestens hier wird eines deutlich: Soll die Gremienkommunikation risikofrei gestaltet sein, muss das Thema „Cybersicherheit“ dringend auf die Agenda von Vorständen und Aufsichtsräten gelangen.

Was sind die Vorteile der digitalen Gremienkommunikation?

Die Vorteile der digitalen Gremienkommunikation liegen hier klar auf der Hand: Zum einen lassen sich alle relevanten Unterlagen online und bequem an einem zentralen Speicherort zur Verfügung stellen. Zum anderen ist die Handhabung – wie etwa die Verteilung und Änderung – der Dokumente auf Knopfdruck möglich, sodass allen Teilnehmern unkompliziert die aktuelle Version der Unterlagen zur Verfügung gestellt werden kann. Das aufwendige (und obendrein auch noch teure) Ausdrucken und Versenden der Sitzungsmappe entfällt.

Was sind die Risiken der Gremienkommunikation über unsichere digitale Kanäle?

Gremien, die nicht ausreichend sichere Sitzungsmanagement-Software wie gängige File-Sharing-Dienste oder Cloudanwendungen nutzen, gehen gleich mehrere Risiken ein – allen voran dasjenige der bereits kurz angerissenen Cyberangriffe. Diese wiederum ziehen bisweilen einen ganzen Rattenschwanz an Konsequenzen nach sich: So können die Hacker die durch ihre Angriffe „erworbenen“ sensiblen Daten veröffentlichen oder gar an Konkurrenten verkaufen. Im schlimmsten Fall erhalten Mitbewerber Zugang zu entscheidenden Details aus der Forschung und Entwicklung, was wiederum den jahrelang erkämpften Wettbewerbsvorteil des Unternehmens zunichtemacht. Man denke an Details zu Produktionsprozessen und Rezepturen, Softwareentwicklungen, Know-how, Daten zur Geschäftsstrategie oder Finanzen – dass es für den Betrieb überlebenswichtig ist, die sichere Gremienkommunikation und vertrauenswürdige Verbreitung solch wesentlicher Informationen zu gewährleisten, ist offensichtlich.Sind die geleakten Daten finanzieller Natur, lassen sich wiederum Rückschlüsse auf die Profitabilität des Unternehmens ziehen. Dies gefährdet möglicherweise geplante Entwicklungen oder gar Firmenübernahmen.

Eine technisch-organisatorische Möglichkeit, für eine sichere Gremienkommunikation – etwa in virtuellen Vorstands- und Aufsichtsratssitzungen – und somit für die Wahrung von Geschäftsgeheimnissen zu sorgen, ist die Nutzung eines virtuellen Datenraums. Ist dieser entsprechend ausgelegt und verfügt über die erforderlichen hohen Sicherheitsmaßnahmen sowie Funktionen, steht dem bequemen und ungetrübten Austausch auch vertraulichster Informationen zwischen den Gremienmitgliedern nichts mehr entgegen.

Wie funktioniert effiziente und sichere Gremienkommunikation?

Ein für die sichere Gremienkommunikation geeigneter Datenraum zeichnet sich insbesondere dadurch aus, dass er allerhöchsten Sicherheitsvorschriften entspricht. Dies sind aber nicht die einzigen Aspekte, die ein solcher virtueller Board Room aufweisen muss, um eine risikofreie Gremienkommunikation zu gewährleisten.

1. Digitales Sitzungsmanagement mit zertifizierter Sicherheit

Damit die risikofreie Zusammenarbeit an vertraulichen Dokumenten garantiert ist, sollte ein virtueller Datenraum für Vorstands- und Aufsichtsratssitzungen in einer hohen Schutzklasse für Cloud-Dienste (idealerweise TCDP-Schutzklasse III) zertifiziert sein. So sind die Daten während der Übertragung, Speicherung und Verarbeitung geschützt, unautorisierte Zugriffe sind technisch ausgeschlossen. Idealerweise befindet sich das (am besten auch zertifizierte und hochsichere) Rechenzentrum, das den Datenraum beherbergt, innerhalb von Deutschland oder einem anderen Land mit hohen Datenschutzstandards.

2. Sichere Gremienkommunikation durch Betreiberabschirmung

Ein weiterer Aspekt ist die Datenhoheit: Diese sollte ausschließlich bei den Sitzungsmitgliedern liegen. Technische Maßnahmen wie die Sealed-Cloud-Technologie gewährleisten, dass weder IT-Administratoren noch Cloud-Dienste oder der Betreiber des Datenraums selbst jemals Zugriff auf die darin befindlichen sensiblen Informationen erhalten (Betreiberabschirmung). Erreichen lässt sich dies zum Beispiel mit einem Confidential-Computing-Ansatz.

3. Sitzungsmanagement durch Lizenz- und Gästeverwaltung

Nicht immer sollen alle Sitzungsmitglieder, die Zugang zum virtuellen Datenraum haben, automatisch auch alle darin enthaltenen vertraulichen Dokumente einsehen können. Der Administrator des Datenraums – häufig ist dies die Vorstandsassistenz, die für das sichere Sitzungsmanagement zuständig ist – muss hier die Möglichkeit haben, Zugriffsberechtigungen individuell auf Benutzer- und Dokumentenebene festzusetzen. Hierzu zählen Lese- und Schreibzugriffe ebenso wie die Berechtigung, Daten zu löschen oder weiterzuleiten. Zudem sollte es möglich sein, den Zugriff auf Dateien und Dokumente zeitlich zu begrenzen.

4. Sicherer Einsatz gängiger Technologien für die digitale Gremienkommunikation

Ob im Homeoffice oder auf Geschäftsreise: Die Gremiumsmitglieder müssen nicht nur von ihrem Arbeitsplatz aus schnell auf die nötigen Daten zugreifen können. Auch der Zugang über ihre Mobilgeräte wie Notebooks, Smartphones und Tablets muss möglich – und sicher – sein. Hierfür sind entsprechende technische Maßnahmen erforderlich, die es erlauben, den Datenraum über ein mobiles Endgerät zu betreten. Die Dokumente wiederum müssen auch hier verschlüsselt sein und sich außerdem von der Ferne aus löschen lassen, sollte das Gerät abhandenkommen. Ebenso wichtig: Um die sichere digitale Gremienkommunikation über gängige Technologien für Videokonferenzen wie Microsoft Teams zu ermöglichen, sollte der Datenraum eine entsprechende Integration dieser Software bieten.

5. Compliance & Revisionssicherheit im Board Room

Damit Compliance und Revisionssicherheit in der Gremienkommunikation gewährleistet sind, müssen auch die Aktionen im Datenraum selbst dokumentiert werden. So ist es etwa erforderlich, nachzuvollziehen, wer im Vorfeld, während oder im Nachgang der Sitzung welche Unterlagen bearbeitet, gelöscht, heruntergeladen, kopiert oder gesichtet hat. Geregelt wird dies von einer entsprechenden Journal-Funktion im virtuellen Datenraum, die es überdies gestattet, nach gewissen Benutzern, Aktionenkategorien sowie Zeiträumen zu filtern. Somit entsteht ein vollständiger und durchgängiger Audit-Trail.

6. Spezielle Sitzungsmanagement-Funktionen

Zudem sollte der virtuelle Datenraum Funktionen speziell für das Sitzungsmanagement – also auch die Kommunikation in der digitalen Gremienarbeit – aufweisen, die das Vor- und Nachbereiten des Meetings erleichtern. Hierzu gehören neben einem PDF-Viewer unter anderem:

• Das Erstellen von Sitzungsmappen

Wie in der analogen Welt auch, umfassen digitale Sitzungsmappen alle für das Meeting relevanten Dokumente in einem einzigen PDF. Denkbar sind einfache Varianten, aber auch strukturierte Sitzungsmappen, die alle Dokumente automatisch in die jeweiligen Unterordner verschieben und auch das Inhaltsverzeichnis dynamisch generieren.

Benachrichtigungsfunktion (Chat)

Eine Benachrichtigungs- beziehungsweise Chat-Funktion gestattet den vereinfachten Austausch vor, während und nach der Konferenz. So etwa können bestimmte Personen darüber informiert werden, dass sie ein Dokument sichten sollen oder dass eine neue Version der Unterlagen verfügbar ist.

• Abstimmungsfunktion für Beschlüsse

Ein komfortables Feature ist eine Online-Abstimmung, die sich einfach erstellen lässt und es ermöglicht, auch während der Sitzung zu Beschlüssen zu kommen. Die Ergebnisse des Beschlusses stehen dann stets in Echtzeit zur Verfügung.

• Wasserzeichen zum Verbreitungsschutz

Wasserzeichen sollen unerwünschte Verbreitung vertraulicher Dokumente verhindern. Damit versehene Unterlagen lassen sich nicht ohne diese Markierung ausdrucken. Das Wasserzeichen kann dann Aufschluss über die Person geben, die das Dokument gedruckt und liegengelassen oder gar geleakt hat. Zudem dient es auch dem Schreibschutz des jeweiligen Dokuments. Zwar lassen sich persönliche Notizen hinzufügen, ein Überschreiben oder Löschen von Text ist jedoch nicht möglich.

• Annotationsfunktion auf dem Mobilgerät

Eine auch über das mobile Endgerät bedienbare Annotationsfunktion gestattet es Zeichnungen, Bilder und Audio-Dateien in der Sitzungsmappe zu hinterlegen sowie Änderungen vorzunehmen und alle Seiten eines Dokuments zu paraphieren – ohne dass dabei der sichere Datenraum verlassen werden müsste. Ebenso ist es möglich, Notizen über die Tastatur des Mobilgeräts, den Eingabestift oder – wenn es sich nicht um vertrauliche Informationen handelt – über die Diktierfunktion einzugeben. Die Anmerkungen lassen sich dann sowohl als private Notizen abspeichern als auch als solche, die für andere zugänglich sind. Besonders vorteilhaft ist es, wenn die Suchfunktion in der Sitzungsmappe so eingestellt ist, dass sie auch Notizen nach dem gesuchten Wort durchforstet. Ebenfalls sinnvoll ist ein Feature, das es gestattet, die Sitzungsmappe nach Annotationen zu filtern.

• Schwärzung von Textteilen (Redaction)

Möchte man ein Dokument teilen, das auch Informationen enthält, die keiner der Empfänger sehen darf, so sollte man darauf achten, dass der verwendete Datenraum eine Schwärzungsfunktion (Redaction) zur Verfügung stellt. Zu beachten: Da dabei die hinter dem markierten Teil liegende Information endgültig gelöscht wird, handelt es sich um eine nicht rückgängig zu machende Schwärzung. Dies sorgt dafür, dass kein Unbefugter durch Tricks doch an die vertraulichen Informationen gelangt.

Gremienkommunikation in hochsicheren virtuellen Datenräumen

Ob im Homeoffice oder auf Geschäftsreise: In der heutigen digitalen Welt ist es unabdingbar, dass Gremien wie Vorstands- und Aufsichtsräte von überall und zu jeder Zeit auf Sitzungsunterlagen zugreifen können – selbst, wenn diese streng vertraulich sind. Damit die brisanten Informationen nicht in die falschen Hände geraten, heißt es jedoch Zugänge hermetisch abzuriegeln.

Dass improvisierte Lösungen oder handelsübliche Technologien wie E-Mails und File-Sharing-Dienste dafür schlichtweg nicht geeignet sind, liegt auf der Hand – was Board Managements jedoch nicht unbedingt davon abhält, sie weiterhin zu nutzen. Gerade auf Führungsebene kann dies jedoch ein enormes Risiko darstellen. Professionelle Tools für die Gremienkommunikation wie geschützte virtuelle Datenräume, die selbst höchsten Anforderungen an Datenschutz und Datensicherheit gerecht werden, schaffen hier Abhilfe. Ganz nebenbei sorgen sie zudem für weniger Reisetätigkeit und somit Zeit und Kostenersparnis sowie Stressreduktion und verhelfen dem Unternehmen zu einer verbesserten Klimabilanz.