Vorsorge für den Fall der Fälle
Von Michael Praschma
Auch kleinere Unternehmen sind in ihren Betriebsabläufen längst in erheblichem Ausmaß davon abhängig, dass der ganze digitale „Kleinkram“ reibungslos läuft, bis hin zu Facebook-Seite, Google Ads und Cloud-Account – von Buchhaltungssoftware, Lagerhaltung oder anderen tragenden Säulen ganz zu schweigen. Doch es gibt Urlaube und Krankenstände. Und es gibt Menschen, die von heute auf morgen aus dem Unternehmen ausscheiden. Das Problem heißt digitaler Wildwuchs. Und fast immer ist der Faktor Mensch die Ursache. Aber da lässt sich etwas machen.
Prüfen und aufspüren
Hier ist Vorsorge für den Ernstfall gefragt. Was im Worst Case funktioniert, ist meist auch bei weniger dramatischen Betriebsunfällen brauchbar. Deutsche Mittelständler werden nicht so weit gehen müssen wie die US-Regierung, die mit einem Designated Survivor die Präsidentennachfolge auch dann noch regelt, wenn die gesamte Regierung und die Parlamentsspitzen ums Leben kommen. Aber die folgenden Empfehlungen für einen solchen Tag X gehen vorsichtshalber von der Annahme aus, dass ein Verantwortungsträger für digitale Aufgaben im Unternehmen stirbt.
Schwarz auf Weiß
Dieser Beitrag erschien zuerst in unserer Heise-Beilage „IT- und Technologieunternehmen stellen sich vor“. Einen Überblick mit freien Download-Links zu sämtlichen Einzelheften bekommen Sie online im Pressezentrum des MittelstandsWiki.
Die Erfahrung mit solchen Fällen zeigt – wie im Privatleben –, dass längst nicht alles dokumentiert und auffindbar ist, was nach dem Tag X tatsächlich gebraucht wird. Und wie bei einem Testament geht es auch bei der Vorsorge für den Tag X darum, für einen digitalen Nachlass zunächst den Bestand zu erfassen. Neben interner sowie externer Hard- und Software inklusive aller Betriebsverfahren, Zugangsberechtigungen, Speicher, Service- und Cloud-Provider gehört dazu auch eine akribische Überprüfung von individuellen Workarounds, d. h. von Lösungen, die sich einzelne Mitarbeiter abseits der betrieblichen IT angelegt haben, zum Beispiel Datenspeicherungen oder Kommunikationen über private Dienste (Google-Account, E-Mail-Provider, Dropbox etc.).
Solche Lösungen müssen rigoros unterbunden werden! Sie verursachen nicht nur Tag-X-Probleme (weil eben sonst niemand im Unternehmen Zugriff auf solche Accounts hat), sondern stellen auch unter dem Aspekt Datenschutz und Datensicherheit massive Risiken dar. Hier aufzuräumen, vermeidet unter Umständen behördliche Sanktionen und erhebliche Verluste durch Cyberattacken. Die genannte umfassende Dokumentation ist zugleich eine wichtige Maßnahme, die dazu beiträgt, dass das Unternehmen ohne zusätzlichen Aufwand auf Anfragen gemäß der DSGVO bezüglich gespeicherter personenbezogener Daten und ihrer Verwendung vorbereitet ist.
Zuständigkeiten regeln
Je nach Sensibilität und Sicherheitsrelevanz der einzelnen IT-Elemente sind abgestufte Zuständigkeiten festzulegen, d. h. es sollten mindestens eine, besser noch mehr Vertretungsbefugnisse festgelegt sein. Diese Befugten, mit Namen und eventuell Zugangsberechtigungen, müssen natürlich nicht nur intern, sondern auch bei externen IT-Dienstleistern vorliegen, damit man bei Bedarf handlungsfähig bleibt.
Einen Sonderfall stellen Social-Media-Kanäle dar, in denen sich das Unternehmen engagiert. Eine Facebook-Seite etwa oder der Facebook Business Manager sind bekanntlich nur auf Basis des Facebook-Kontos einer natürlichen (!) Person zulässig, die normalerweise auch erster Administrator der angeschlossenen Facebook-Seiten ist. Im Todesfall des Account-Inhabers (wer auch immer im Unternehmen das ist) besteht die Gefahr, dass Facebook den Account sogar aufgrund fremder Benachrichtigungen in den „Gedenkzustand“ versetzt. Angehörige können auch veranlassen, dass das Konto gelöscht wird. Das wäre dann auch mit der Löschung der angeschlossenen (betrieblichen) Facebook-Seiten verbunden – soweit es nur den Kontoinhaber als Administrator gibt.
Es ist also dringend erforderlich, dass weitere (vertrauenswürdige) Administratoren bestimmt werden, die dann auch berechtigt sind, den ursprünglichen Einrichter der Facebook-Seite als Administrator zu entfernen. (Wichtig: Administratoren, die das Unternehmen verlassen, sollten in jedem Fall unverzüglich als Administratoren entfernt werden, um eine missbräuchliche Ausübung der Befugnisse zu verhindern!)
Zusätzliche Sicherheit – besonders dort, wo nur ein Administrator eingetragen ist – gibt die Möglichkeit, im Facebook-Account einen Nachlasskontakt festzulegen, der über die weitere Verwendung des (persönlichen) Facebook-Kontos bestimmen kann. Damit lassen sich auch Konflikte mit erbberechtigten persönlichen Angehörigen vermeiden, die laut neuerer Rechtsprechung ansonsten die Verfügungsgewalt über den Account erhalten.
Transparenz zu Lebzeiten
Angesichts rasanter technologischer Fortschritte ist die Verwaltung der Unternehmens-IT nicht selten eine Dauerbaustelle – in Konkurrenz zu anderen betrieblichen Aufgaben. Aber auch in diesem Bereich können sich die negativen Folgen von vernachlässigten Aufgaben schnell potenzieren. Rechtzeitig das Nötige für den digitalen Nachlass zu tun, ist also – in jedem Fall – aktive Zukunftsvorsorge.
Michael Praschma ist Texter, Lektor und Redakteur. Er beherrscht so unterschiedliche Gattungen wie Werbetext, Direct Marketing, Claims, Webtext, Ghostwriting, Manuals oder PR. Außerdem treibt er sich – schreibend und anderweitig engagiert – in Journalistik, Non-profit-Organisationen und Kulturwesen herum. Seine Kunden kommen aus verschiedensten Branchen. Am MittelstandsWiki schätzt er die Möglichkeit, mit eigenen Recherchen auf den Punkt zu bringen, was Verantwortliche in Unternehmen interessiert. → https://praschma.com/
