Wie große Dateien gewöhnlich digital versendet werden:
Der Ansatz der Unternehmen
Um diese Entscheidungen zu treffen, wird oftmals der Blick zu sehr verengt; genauer betrachtet werden dann komplexe und kostspielige Tools wie SMIME oder weniger sichere Lösungen wie in-house FTP-Server. Häufig werden auch Standard-E-Mail und Cloud-Lösungen wie Dropbox oder Gmail als der schnellste Weg gewählt, beliebige Dateien jederzeit zu teilen.
Cloud-Dienste werden gerade bei Anforderungen an einen hohen Speicherplatz gerne genutzt, jedoch sind diese nicht immer die sinnvollste Lösung. Vielen Organisationen ist es wichtig, die Datenhoheit zu behalten und gewährleisten zu können, dass im Hintergrund keine Datenströme an die großen Cloud-Anbieter in den USA fließen. Durch den US-CLOUD Act von 2018 reicht es hierbei jedoch nicht, wenn der Server mit den betreffenden Daten in Deutschland steht; solange das Mutterunternehmen amerikanisch ist, haben US-Behörden trotzdem Zugriffsrechte auf die Daten. Dies betrifft auch so manchen Anbieter für sichere Kommunikation wie beispielsweise WeTransfer. Dieses Unternehmen sitzt zwar in den Niederlanden, benutzt aber auch Server in den USA für ihre Cloud, in welcher Daten aus den Transfers der Nutzer gespeichert werden. US-Behörden haben auf diese also prinzipiell auch Zugriff. Um dies zu verhindern und den Datenschutz auf DSGVO-Ebene sicherzustellen, bedarf es dementsprechend also EU-Unternehmen mit Servern im EU-Raum. Über diesen Punkt müssen sich die IT-Entscheider in Unternehmen und Organisationen unbedingt im Klaren sein!
Die Datenspeicherung in den USA unterliegt keinen so strikten rechtlichen Rahmenbedingungen wie in der Europäischen Union. Es gibt zwar den California Consumer Protection Act (CCPA) in Kalifornien, welcher Verbrauchern mehr Rechte über die Verwendung ihrer Daten einräumt, jedoch ist dieser immer noch in einer Vorreiterrolle und nur im Bundesstaat Kalifornien verbindlich in Kraft. Während hierzulande der Datenschutz für die Betroffenen im Mittelpunkt steht, werden in den USA kommerzielle Interessen stärker berücksichtigt. Daher ist dort in vielerlei Branchen die Datenweitergabe an Dritte ohne explizite Zustimmung der Betroffenen gängige Praxis, während dies in der EU durch die DSGVO untersagt ist. Prinzipiell haben Unternehmen und Organisationen in den USA viel mehr Ermessensspielraum als ihre europäischen Pendants, wie stark der Datenschutz bei ihnen ausgeprägt sein soll. Bei der Gestaltung dieses Spielraums steht daher der hohe kommerzielle Wert der Daten sehr weit oben in der Prioritätenliste.
Sowohl die gesetzlichen Vorgaben zur Datenspeicherung als auch der Datenumgang sind in der EU fundamental unterschiedlich als in den USA. Unternehmen im DSGVO-Geltungsbereich müssen daher genau im Auge behalten, wo ihre Daten hinfließen – gerade auch, wenn es um das Versenden großer Dateien geht.
Mitunter sind bei Unternehmen und Organisationen bereits Lösungen und Dienste im Einsatz, um Daten zu verschicken oder zu empfangen. Gleichzeitig werden sie aber oft nicht genutzt und die Belegschaft weicht auf Anwendungen aus, welche sie aus dem privaten Alltag kennt. Diese sind meist nicht DSGVO-konform und wurden von der hausinternen IT nicht freigegeben. Die daraus resultierende Schatten-IT sorgt deshalb dann für Alpträume bei den Admins, denn sie haben keinerlei Kenntnis darüber, welche Daten ihres Unternehmens oder Organisation wo überall im Umlauf sind. Schatten-IT tritt jedoch nicht nur auf, wenn es für den sicheren Datenaustausch keine Lösung gibt; es genügt bereits, wenn diese in der Anwendung von den Nutzern als zu umständlich oder kompliziert empfunden wird.
Wenn sich bei der Belegschaft Workarounds im Arbeitsalltag erst einmal festgesetzt haben, dann ist es schwer, sie davon wieder loszubekommen. Umso wichtiger ist es also, dass Organisationen solcherlei von Vornherein unterbinden, indem sie ihrer Belegschaft möglichst früh nicht nur eine Kommunikationslösung zur Verfügung stellen, die sicher und datenschutzkonform ist, sondern die auch einfach von allen Mitarbeitenden angewendet werden kann.
Im Arbeitsalltag der Belegschaft
Möglichkeiten, große Dateien mit mehreren GB von der Absender- zur Empfängerseite zu versenden, gibt es viele. Den Mitarbeiterinnen und Mitarbeitern sind viele Anbieter solcher Dienste aus dem Privatbereich bekannt, wie beispielsweise DropBox, WhatsApp oder WeTransfer. Doch genau das kann zu einem Problem für jede Organisation werden.
Gerade Lösungen aus dem Verbraucherbereich sind nämlich nicht dazu geeignet, Daten zu versenden, welche externen oder internen Compliance-Vorgaben unterliegen. Nicht immer setzen diese Verschlüsselung ein und auch der Transportweg, über welchen die Daten versendet werden, ist nicht unbedingt geschützt vor dem Zugriff unberechtigter Dritter. Zudem unterlaufen solche Lösungen die Datenhoheit von Organisationen. Dropbox, WhatsApp, WeTransfer und Co. sind zwar schnell mal genutzt, lassen die eigene IT aber völlig im Dunkeln darüber, was an Daten wann und wohin abfließt.
Dennoch setzt die Belegschaft solche Lösungen gerne als Workaround ein. Warum? Zwar sind viele Nutzerinnen und Nutzer unbedarft unterwegs und sich nicht im Klaren darüber, welche katastrophalen Auswirkungen es für die eigene Organisation haben kann, „einfach mal schnell“ große Dateien über nicht genehmigte Kanäle zu versenden, wenn man diese ja ohnehin privat ständig nutzt. Schwerer wiegt aber noch, dass Dienste aus dem Privatgebrauch eben genau das sind: „einfach“ und „schnell“, gerade auch in der Anwendung. Im Zweifelsfall übertrumpft das dann meist jegliche Sicherheitsbedenken.
Selbst wenn Unternehmen genehmigte Möglichkeiten für das sichere Versenden großer Dateien bereitgestellt haben, werden diese von der Belegschaft oft gemieden und umgangen. Auch dieser Umstand hängt dann eng mit der hohen Nutzerfreundlichkeit der Angebote und deren Vertrautheit aus dem Privatbereich zusammen.
Fazit für Organisationen und Unternehmen:
Die Sicherheit von Lösungen für das Versenden großer Dateien darf also keinesfalls zu Lasten der Nutzerfreundlichkeit gehen!
Die Erfahrung zeigt: Wenn Ihre Organisation keine Lösung bereitstellt, welche die Belegschaft einfach bedienen kann, ist die Versuchung ihrer Mitarbeiterinnen und Mitarbeiter groß, Workarounds zu finden. Im Regelfall benutzen sie dann altbekannte – und nicht genehmigte – Mittel, auf welche Ihre IT keinerlei Einfluss hat.
