Wenn dein Anbieter nicht sagen darf, was er tun musste

In London läuft ein Verfahren, in dem ein Anbieter gegen eine staatliche Anordnung zur Verschlüsselung von iCloud-Daten vorgeht, und über das lange nicht einmal öffentlich geredet werden durfte. Inzwischen fordern US-Abgeordnete, die Geheimhaltung um dieses Verfahren aufzuheben. Für dich ist daran nicht die Politik interessant, sondern die Mechanik. Ein Anbieter kann eine Anordnung bekommen und gleichzeitig verpflichtet sein, dir nichts davon zu sagen. Dann steht in seinem Prospekt weiter dasselbe wie vorher.

Warum eine Zusage im Prospekt hier nichts ausrichtet

Eine Datenschutzzusage ist eine Erklärung über das eigene Verhalten. Sie sagt, was ein Unternehmen freiwillig tut und lässt. Eine behördliche Anordnung setzt genau an dieser Freiwilligkeit vorbei an, und eine Schweigepflicht dazu sorgt dafür, dass die Zusage auf der Website stehen bleiben kann, obwohl sich etwas geändert hat.

Daraus folgt keine Panik, sondern eine nüchterne Frage. Wer kann die Daten technisch lesbar machen. Wenn dein Anbieter den Schlüssel hat oder ihn sich beschaffen kann, ist er der richtige Adressat für eine Anordnung, und du bist am Verfahren nicht beteiligt. Wenn der Schlüssel bei dir liegt, landet die Anfrage bei dir. Dann bekommst du sie mit, kannst deinen Anwalt fragen und selbst entscheiden, wie du damit umgehst.

Das ist der ganze Unterschied, und er ist technisch, nicht juristisch.

Sortiere deine Daten in drei Stufen

Der Fehler, den ich in Gesprächen am häufigsten höre, ist das Alles-oder-nichts. Entweder liegt alles bequem bei einem großen Anbieter, oder es soll bitte gar nichts mehr das Haus verlassen. Beides ist teuer. Nimm dir stattdessen einen Nachmittag und teile ein.

Stufe eins, was ohnehin nach draußen geht. Deine Website, Stellenanzeigen, der Newsletter, Beiträge auf Instagram und LinkedIn. Wer auf Instagram veröffentlichen will, schickt Daten zu Instagram, da gibt es nichts zu retten. Nimm hier den bequemsten Weg und spar dir die Diskussion.

Stufe zwei, vertrauliche Betriebsdaten, die Komfort brauchen. Dateiablage, Kalender, Mail, Angebote, Projektordner. Hier zählt nicht Geheimniskrämerei, sondern Wahlfreiheit. Die Daten und das System gehören dir, die Formate sind lesbar, und der Anbieter, der es pflegt, ist austauschbar, ohne dass du dein Geschäft umbaust. Das ist die Stufe, in der die meisten mittelständischen Unternehmen 90 Prozent ihrer Daten haben.

Stufe drei, das kleine Bündel, bei dem eine Anordnung an Dritte wirkungslos bleiben soll. Passwörter und Zugangsdaten, Konstruktionsunterlagen, Verträge mit Preisen, Personalakten, die Kalkulation. Hier liegt der Schlüssel bei dir, und der Speicherort sieht nur verschlüsselte Blöcke. Ob dieser Speicherort im eigenen Haus steht oder bei einem Rechenzentrum, ist dann eine Kostenfrage und keine Vertrauensfrage mehr.

Wichtig ist die Größe. Wenn Stufe drei bei dir alles umfasst, hast du nicht sortiert, sondern nur verschoben, und du zahlst den Preis dafür jeden Tag.

Was der eigene Schlüssel wirklich kostet

Der Preis ist nicht die Hardware. Eine solide Maschine bei einem Anbieter in Deutschland liegt bei 40 bis 80 Euro im Monat, also unter dem, was ein einzelner Arbeitsplatz an Lizenzen kostet. Der Preis sind die Rückfalltüren, die wegfallen.

Wenn der Schlüssel bei dir liegt, kann der Dienst nicht mehr für dich in den Dateien suchen. Die Vorschau im Browser fällt weg oder wird langsam. Ein Freigabelink an einen Kunden braucht einen zusätzlichen Schritt. Und der unangenehmste Punkt, der jede Einführung entscheidet: Passwort verloren heißt Daten verloren, weil niemand mehr da ist, der zurücksetzen könnte. Genau an dieser Stelle scheitern Verschlüsselungsprojekte im Alltag, nicht an der Technik. Die Leute legen nach drei Wochen eine unverschlüsselte Kopie auf den Desktop, weil die Suche nicht funktioniert hat.

Deshalb gehört zu Stufe drei immer ein Wiederherstellungsverfahren, das ohne Anbieter funktioniert. Wir halten unseren Passwortsafe so. Der Wiederherstellungsschlüssel steht auf Papier, zwei Exemplare an zwei Orten, und die Sicherung folgt der Regel drei Kopien, zwei Medien, eine außer Haus. Ohne diesen Zettel wäre die eigene Schlüsselhoheit kein Schutz, sondern ein Risiko mit besserer Presse.

Drei Wege, und der mittlere wird gern übersehen

In der Diskussion tauchen meist nur zwei auf. Entweder du machst alles selbst, mit eigener Administration und eigener Rufbereitschaft, oder du mietest einen Dienst pro Kopf und pro Monat und nimmst die Bedingungen, wie sie kommen.

Zwischen beidem liegt der Weg, über den selten geredet wird. Offene Software auf einem Server, der dir gehört, gepflegt von jemandem, der das beruflich macht. Aktualisierungen, Sicherungen, Überwachung und Wiederherstellung liegen bei diesem Dienstleister, die Daten und der Schlüssel liegen bei dir, und der Dienstleister ist kündbar, ohne dass du migrieren musst. Das ist die Kategorie, in der wir arbeiten, und sie ist für Stufe zwei fast immer die richtige. Wir betreiben unsere eigene Cloud, den Mailserver, den Passwortmanager, den Git-Server und diese Website auf einem Server, den wir selbst in der Hand haben, deshalb weiß ich, welche Arbeit tatsächlich dahintersteckt und welche nur in Angeboten steht.

Wer entscheidet, bleibt eine Personalie

Du kannst die Sortierung technisch unterstützen. Ein Werkzeug kann Ordner durchgehen und vorschlagen, was nach Stufe drei gehört, weil dort Preise, Personalnummern oder Zugangsdaten auftauchen. Sinnvoll ist das, weil niemand 200.000 Dateien von Hand ansieht.

Freigegeben wird eine solche Liste von einem Menschen, und zwar von jemandem, der das Geschäft kennt. Dasselbe gilt für den Betrieb. Die Überwachung meldet, was auffällig ist, und ein Mensch entscheidet, ob neu gestartet, zurückgerollt oder erst einmal nur beobachtet wird. Ein größerer Versionssprung, bei dem sich Datenformate ändern, wird gelesen, auf einer Kopie ausprobiert und dann freigegeben, nicht nachts automatisch eingespielt.

Der Fall in London ändert an deiner Arbeit nichts, außer dass er eine Frage beantwortet, die sonst theoretisch bleibt. Verlass dich bei der obersten Stufe nicht darauf, dass dein Anbieter reden darf. Sorg dafür, dass er nichts zu sagen hätte.