Sicherer gemeinsamer Arbeitsbereich für Dokumente

Ein Link auf einen freigegebenen Ordner funktioniert, einmal weitergeleitet, für jeden, der ihn hat. Es gibt keine Spur, wer ihn am Ende besitzt, und keine Möglichkeit, einer Person den Zugriff zu nehmen, ohne ihn für alle zu brechen.

Anhänge sind auf andere Weise schlimmer: Eine Kopie lebt in jedem Postfach, durch das sie ging, plus jedem Backup und jedem Gesendet-Ordner entlang der Kette. Das Original zu löschen ändert an diesen Kopien nichts.

Keiner der beiden Fehler sieht wie ein Vorfall aus. Zugriff sammelt sich still an, bis eine ausgeschiedene Person, ein früherer Auftragnehmer oder ein alter weitergeleiteter Link noch ein offener Weg in die Dokumente eines Kunden ist, an den sich niemand erinnert.

Ordnerrechte fragen „wer kann dieses Laufwerk öffnen“, und das ist die falsche Frage. Die richtige ist „wer soll die Akte dieses Kunden sehen“, und das ändert sich je Vorgang und je Person, nicht je Ordner.

Rollenbasierter Zugriff beantwortet das: Eine prüfende Person sieht nur die ihr zugewiesenen Akten, ein Kunde nur die eigene Anforderung, und eine leitende Person sieht das Team, ohne dass jede prüfende Person den ganzen Bereich der Leitung sieht.

Prüfen Sie Zugriff nach einem Rhythmus, nicht nur wenn jemand geht. Zugriff, der bei der Zuweisung einer Akte sinnvoll war, wird nach dem Abschluss selten noch angesehen, und genau so sammelt sich veralteter Zugriff.

Ein gemeinsames Passwort ist entweder merkbar und damit erratbar oder unmerkbar und landet irgendwo Unsicherem. In beiden Fällen läuft es nicht von allein ab und sagt nicht, wer es benutzt hat.

Ein Magic Link an die E-Mail einer Person und ein begrenztes Gültigkeitsfenster löst beides: Er identifiziert die empfangende Person und hört von allein auf zu funktionieren, statt dass sich jemand erinnern muss, ihn abzuschalten.

Das zählt vor allem für externe Beteiligte — Kunden, Auftragnehmer, einmalige Prüfende — die Zugriff für die Dauer einer Akte brauchen und nicht länger. Ein dauerhaftes Konto für eine einmalige Beteiligung ist Zugriffsschuld vom ersten Tag an.

Verschlüsselung bei der Übertragung und im Ruhezustand ist eine Grundlage, kein Unterscheidungsmerkmal. Fragen Sie danach, aber bleiben Sie nicht dort stehen. Die nützlichere Frage ist, wo die Daten physisch liegen und unter den Regeln welcher Rechtsordnung.

Fragen Sie die vollständige Liste der Unterauftragnehmer, nicht nur die Aussage des Hauptanbieters. E-Mail-Versand, Backups und Protokollwerkzeuge sind oft eigene Dienste, und ein Bereich kann auf dem Papier in der EU liegen, während einer dieser Unterauftragnehmer es nicht tut.

Fragen Sie, was mit einem Dokument nach dem Löschen geschieht: ob es nach einem Plan aus den Backups verschwindet oder auf unbestimmte Zeit bleibt. „Gelöscht“ muss eine definierte Bedeutung haben, nicht eine Oberflächenhandlung sein, die die Datei nur versteckt.

Protokollieren Sie Zugriffsereignisse — wer ein Dokument wann angesehen, heruntergeladen oder freigegeben hat — getrennt von den Dokumenten selbst. Dieses Protokoll beantwortet „wer hat das gesehen“, ohne die Datei neu zu öffnen.

Sammeln Sie nicht zu viel im Namen der Sicherheit. Den vollen Inhalt von Dokumenten in einem Aktivitätsstrom zu protokollieren verdoppelt sensible Daten nur an einem zweiten Ort, der ebenfalls geschützt werden muss.

Schränken Sie auch den Zugriff auf das Protokoll selbst ein. Eine genaue Aufzeichnung, wer worauf zugegriffen hat, ist für sich sensibel und sollte nicht offener sein als die Dokumente, die sie begleitet.