Privates Gerät für Firmendaten verwendet

Warum der erste Reflex der falsche ist

Wer merkt, dass Firmendaten am privaten Gerät liegen, will sie löschen. Verständlich, und trotzdem schädlich. Nach dem Löschen lässt sich nicht mehr rekonstruieren, welche Dateien betroffen waren, wie lange sie dort lagen und ob sie weiterverteilt wurden. Genau diese drei Angaben braucht die IT für die Bewertung, und bei personenbezogenen Daten braucht sie die Datenschutz-Ansprechperson für eine belastbare Risikoeinschätzung.

Dazu kommt: Auf privaten Geräten löscht selten jemand vollständig. Cloud-Backups, Papierkörbe, Messenger-Caches und Foto-Mediatheken halten Kopien vor, die beim schnellen Wischen übrig bleiben. Ein kontrollierter Umgang bringt am Ende ein saubereres Ergebnis als der Löschreflex.

Wann dieses Playbook greift

Es geht um alle Fälle, in denen Unternehmensdaten außerhalb der verwalteten Umgebung verarbeitet werden. Der häufigste Auslöser im Alltag ist die Weiterleitung dienstlicher Mails an ein privates Postfach, um abends noch etwas fertigzumachen. Ebenso zählen Fotos von Bildschirmen und Ausdrucken, private Notiz-Apps mit Kundendaten und die private Cloud als Zwischenablage für zu große Anhänge.

Nicht gemeint sind Geräte, die das Unternehmen freigegeben und eingebunden hat, auch wenn sie dir privat gehören. Dort greifen die Regeln des jeweiligen Mobilgeräte-Managements.

Woran sich die Schwere entscheidet

Drei Fragen bestimmen, wie ernst der Vorfall eingestuft wird: Sind personenbezogene Daten betroffen? Haben weitere Personen Zugriff auf das Gerät, etwa im Familienhaushalt? Und lagen die Daten in einem Konto, das mit einem schwachen oder mehrfach verwendeten Passwort geschützt war?

Wird eine dieser Fragen mit Ja beantwortet, verschiebt sich der Fall von einer internen Aufräumarbeit zu einem Vorfall mit möglicher Meldepflicht. Deshalb gehören diese Angaben in die erste Meldung und nicht in eine spätere Nachfrage.