Wem gehören Ihre Sicherheitsdaten wirklich? (Und warum ist das beim Anbieterwechsel wichtig?) 

Wem gehören Ihre Sicherheitsdaten wirklich? (Und warum ist das beim Anbieterwechsel wichtig?) 

Bei der Bewertung von Plattformen für das Personalmanagement im Sicherheitsbereich legen die meisten Unternehmen den Schwerpunkt auf Funktionen, Preise und Benutzerfreundlichkeit. Es gibt jedoch einen entscheidenden Faktor, der oft übersehen wird, bis es zu spät ist: die Datenhoheit.

Wo Ihre Sicherheitsdaten gespeichert sind, wer sie kontrolliert und wie einfach Sie darauf zugreifen können, sind nicht nur technische Details – es handelt sich um strategische Entscheidungen, die darüber entscheiden können, ob Ihr Unternehmen seine Betriebskontinuität aufrechterhält oder mit einer katastrophalen Betriebsunterbrechung konfrontiert wird.

Wem gehören Ihre Sicherheitsdaten eigentlich, wenn Sie Cloud-Software verwenden?

Hier ist eine Frage, die viele Sicherheitsleiter überrascht: Wenn Sie eine cloudbasierte Plattform für das Personalmanagement im Sicherheitsbereich nutzen, wem gehören dann rechtlich gesehen die in diesem System gespeicherten Vorfallberichte, Streifengänge, Mitarbeiterdaten und Kundendaten?

Die Antwort ist nicht so einfach, wie man vielleicht denken könnte. Dateneigentum und Datenhosting sind zwei grundlegend unterschiedliche Konzepte, die von den meisten Unternehmen verwechselt werden. Wenn Sie Daten auf der Cloud-Plattform eines Anbieters hosten, erhalten Sie in der Regel eine Lizenz zur Nutzung und zum Zugriff auf diese Daten, doch der Anbieter behält oft erhebliche Kontrolle darüber, wie diese Daten gespeichert und verarbeitet werden – und, was noch entscheidender ist, wie sie exportiert werden.

Diese Unterscheidung ist wichtig. Echte Dateneigentümerschaft bedeutet, dass Sie uneingeschränkte Rechte an Ihren Daten in einem Format haben, das Sie tatsächlich nutzen können. Das bedeutet, dass Sie jeden Vorfallbericht, jeden mit einem Zeitstempel versehenen Kontrollpunkt, jede Mitarbeiterzertifizierungsunterlage und jede Kundenkommunikation ohne Einschränkungen, Qualitätsverluste oder Zugangsbeschränkungen durch den Anbieter abrufen können.

Viele Anbieter von Sicherheitssoftware behaupten, dass Sie „Eigentümer Ihrer Daten“ sind, machen es Ihnen aber gleichzeitig nahezu unmöglich, diese Daten in einem vollständigen, nutzbaren Format zu exportieren. Sie bieten zwar möglicherweise eingeschränkte Exportfunktionen an – etwa Vorfallberichte im PDF-Format oder Mitarbeiterlisten im CSV-Format –, aber eine umfassende Datenextraktion, die relationale Verknüpfungen, benutzerdefinierte Felder, historische Änderungen und Systemmetadaten umfasst? Das ist oft eine ganz andere Geschichte.

Bevor Sie einen Vertrag unterzeichnen, sollten Sie sich mit den rechtlichen Rahmenbedingungen für Ihre Daten vertraut machen. Lesen Sie die Nutzungsbedingungen sorgfältig durch. Ist in der Vereinbarung ausdrücklich festgelegt, dass Sie das volle Eigentumsrecht behalten? Können Sie die Geschäftsbeziehung kündigen und innerhalb einer angemessenen Frist einen vollständigen Datenexport erhalten? In welchem Format liegen diese Daten vor, und benötigen Sie die Unterstützung des Anbieters, um sie auszuwerten?

Was passiert, wenn Sie den Sicherheitsdienstleister wechseln?

Hier kommt es entscheidend auf die Frage des Dateneigentums an – ein Szenario, auf das viele Unternehmen völlig unvorbereitet sind.

Stellen Sie sich folgende typische Situation vor: Ein Krankenhaus arbeitet seit fünf Jahren mit dem Sicherheitsunternehmen A zusammen. In dieser Zeit hat das Sicherheitsunternehmen A mithilfe seiner Personalmanagement-Plattform Tausende von Vorfällen dokumentiert – medizinische Notfälle, Auseinandersetzungen mit Besuchern, Vorfälle auf Parkplätzen, Diebstahlmeldungen, Fälle von Gewalt am Arbeitsplatz und Sicherheitslücken. All diese Daten wurden sorgfältig erfasst, kategorisiert und auf der Plattform des Sicherheitsunternehmens A gespeichert.

Nun steht die Verlängerung des Sicherheitsvertrags des Krankenhauses an. Nach einem Ausschreibungsverfahren beschließt man, den Auftrag an das Sicherheitsunternehmen B zu vergeben, das eine völlig andere Plattform für das Personalmanagement nutzt. Der Sicherheitsleiter des Krankenhauses geht davon aus, dass der Zugriff auf die Aufzeichnungen der letzten fünf Jahre zu Vorfällen, Streifengängen und Sicherheitsinformationen erhalten bleibt. Schließlich ereigneten sich diese Vorfälle in der Einrichtung des Krankenhauses, betrafen dessen Mitarbeiter und Besucher und stellen wichtiges institutionelles Wissen dar.

Doch hier liegt das Problem: Diese Daten befinden sich auf der Anbieterplattform von Sicherheitsunternehmen A. Was passiert mit den Daten, wenn Sicherheitsunternehmen A den Auftrag verliert? In vielen Fällen ist die Antwort verheerend: Das Krankenhaus verliert den Zugriff vollständig.

Das ist kein hypothetisches Szenario. So etwas kommt branchenübergreifend regelmäßig vor. Ein Unternehmenscampus wechselt den Sicherheitsdienstleister und verliert dabei drei Jahre an Daten zu Vorfalltrends, die als Grundlage für seine Sicherheitsstrategie dienten. Eine Universität wechselt den Anbieter und kann nicht mehr auf historische Aufzeichnungen zugreifen, die für Untersuchungen im Rahmen von Title IX benötigt werden. Ein Produktionsbetrieb verliert die dokumentierten Sicherheitsvorfälle, die als entscheidende Beweismittel in einem laufenden Verfahren zur Arbeitsunfallentschädigung dienten.

Das Unternehmen – der eigentliche Eigentümer der Einrichtung, in der sich diese Vorfälle ereignet haben – steht oft in keiner direkten Beziehung zum Anbieter der Sicherheitssoftware. Sein Vertrag besteht mit dem Sicherheitsunternehmen, das wiederum einen Vertrag mit dem Softwareanbieter hat. Wenn die Beziehung zum Sicherheitsunternehmen endet, endet auch der Datenzugriff.

Dies führt zu schwerwiegenden Problemen, die über den bloßen Verlust historischer Aufzeichnungen hinausgehen. Im Rahmen von Compliance-Prüfungen müssen Sie möglicherweise Daten zu Sicherheitsvorfällen aus früheren Jahren vorlegen. Bei Gerichtsverfahren kann der Zugriff auf bestimmte Vorfallberichte oder Patrouillenprotokolle verlangt werden. Versicherungsansprüche können von dokumentierten Sicherheitsmaßnahmen und Reaktionen auf Vorfälle abhängen. Für Trendanalysen sind kontinuierliche historische Daten erforderlich, um Muster zu erkennen und Sicherheitsverbesserungen zu begründen.

Fragen, die Unternehmen ihren Sicherheitsdienstleistern stellen sollten:

Vor der Unterzeichnung oder Verlängerung eines Vertrags über Sicherheitsdienstleistungen müssen Unternehmen ausdrücklich die Fragen des Eigentums an Daten und der Aufbewahrung von Daten klären:

• Wem gehören die in unserer Einrichtung erfassten Sicherheitsdaten? Dies sollte im Vertrag ausdrücklich festgelegt werden. Das Unternehmen sollte das Eigentumsrecht an allen Vorfallmeldungen, Streifengängen, Zugangsprotokollen und Sicherheitsdaten behalten, die an seinen Standorten erfasst werden.

• Was geschieht mit unseren Daten, wenn wir diesen Vertrag kündigen? In der Vereinbarung sollte festgelegt werden, dass das Unternehmen innerhalb einer festgelegten Frist (maximal 30 Tage) nach Vertragsbeendigung einen vollständigen Export aller Daten in einem nutzbaren Standardformat erhält.

• Können wir während der Vertragslaufzeit direkt auf unsere Daten zugreifen? Warten Sie nicht bis zum Ende der Geschäftsbeziehung, um Zugriff auf die Daten zu beantragen. Unternehmen sollten jederzeit die Möglichkeit haben, ihre Sicherheitsdaten zu exportieren und einzusehen – entweder durch direkten Zugriff auf die Plattform oder durch regelmäßige, planmäßige Exporte.

• In welchem Format werden die Datenexporte bereitgestellt? Bestehen Sie auf strukturierten, maschinenlesbaren Formaten (JSON, XML oder korrekt formatierte CSV-Dateien), die alle Datenbeziehungen beibehalten, und nicht nur auf PDF-Berichten, die schwer zu analysieren oder in neue Systeme zu migrieren sind.

• Fallen für die Datenextraktion Gebühren an? Einige Anbieter erheben erhebliche Gebühren für Datenexporte. Diese sollten in der Dienstleistungsvereinbarung ausdrücklich geregelt werden, um überraschende Kosten während der Umstellung zu vermeiden.

• Wie stellen Sie die Datenkontinuität sicher, wenn wir den Anbieter wechseln? Die besten Sicherheitsdienstleister verstehen diese Sorge und gehen proaktiv darauf ein. Sie sollten bereit sein, mit Ihrem neuen Anbieter zusammenzuarbeiten, um die Datenübertragung zu erleichtern und die Betriebskontinuität zu gewährleisten.

Einige zukunftsorientierte Unternehmen lösen dieses Problem, indem sie ein eigenes Sicherheitsdaten-Repository unterhalten, das von der Plattform ihres Dienstleisters getrennt ist. Sie verlangen von ihrem Sicherheitsdienstleister regelmäßige Datenexporte (wöchentlich oder monatlich), die in das unternehmenseigene Data Warehouse oder das Security Operations Center eingespeist werden. Dies gewährleistet eine kontinuierliche Datenhoheit, unabhängig davon, welches Sicherheitsunternehmen den Auftrag ausführt.

Ein weiterer sich abzeichnender Ansatz besteht darin, dass Unternehmen die Workforce-Management-Plattform direkt lizenzieren und ihrem Sicherheitsdienstleister Zugriff darauf gewähren. Dadurch kehrt sich das übliche Verhältnis um: Das Unternehmen kontrolliert die Plattform und die Daten, während das Sicherheitsunternehmen lediglich als Nutzer fungiert. Bei Vertragsänderungen bleibt die Datenkontinuität für das Unternehmen vollständig gewahrt, und der neue Sicherheitsdienstleister muss lediglich in die bestehende Plattform integriert werden.

Die wahren Kosten eines Fehlers

Stellen Sie sich vor, was passiert, wenn Sie den Anbieter wechseln müssen, aber feststellen, dass Ihre Daten „gefangen“ sind. Sie stehen vor einer Vertragsverlängerung mit ungünstigen Konditionen, doch es erweist sich als nahezu unmöglich, die Incident-Berichte, Wachrundgangdaten, Schulungsunterlagen und Kundenkommunikation der letzten drei Jahre zu extrahieren. Der Anbieter stellt zwar Exportfunktionen zur Verfügung, doch die Formate bewahren die Beziehungen zwischen den Datensätzen nicht. Benutzerdefinierte Felder, auf die Sie sich verlassen haben, werden überhaupt nicht exportiert. Historische Daten sind nur in 90-Tage-Schritten verfügbar, wobei für jeden Schritt ein Support-Ticket erforderlich ist und die Bearbeitung drei Wochen dauert.

Bevor Sie den nächsten Vertrag unterzeichnen oder Ihre aktuelle Plattform verlängern, sollten Sie den Exporttest ernst nehmen. Fordern Sie noch heute einen vollständigen Datenexport an, solange Sie noch ein gutes Verhältnis zu Ihrem Anbieter haben. Prüfen Sie, was Sie erhalten. Könnten Sie mit diesen Daten auf eine neue Plattform migrieren? Könnten Sie Ihre Geschäftsabläufe bei Bedarf wiederherstellen? Wenn die Antwort nicht „auf jeden Fall ja“ lautet, ist es an der Zeit, ein ernsthaftes Gespräch über Dateneigentum, Datenportabilität und die langfristige operative Unabhängigkeit Ihres Unternehmens zu führen.

Ihre Sicherheitsdaten umfassen jahrelange Betriebserfahrungen, Kundenbeziehungen, Erkenntnisse aus Vorfällen und Einblicke in die Belegschaft. Stellen Sie sicher, dass diese Daten wirklich Ihnen gehören – nicht nur in der Theorie, sondern auch in der Praxis.