Tipps für die Datensicherheit Ihres Cloud-CRMs

Viele Anwender scheuen vor der Implementierung ihres CRM-Systems in der Cloud zurück. Der Grund –Skepsis bei der Datensicherheit.

Fragen des Datenschutzes avancierten in letzter Zeit zu einem der zentralsten Bereiche in Unternehmen in ganz Europa. Nicht zuletzt im Zuge der neuen DSGVO liegt das Hauptaugenmerkt vieler auf dem Schutz personenbezogener Daten. Eben jene personenbezogenen Daten, mit denen ein CRM-System arbeitet. Es gilt den Schutz dieser unter allen Umständen sicherzustellen, doch tuten sich Unternehmen mitunter bis heute sehr schwer damit. 

Verunsicherung beim Datenschutz

Verunsicherung machte sich in vielen Bereichen breit und so verzichteten viele Unternehmen auf die Verwendung von Cloud-Diensten, aus Angst man verstößt mit der Nutzung dieser gegen die neuen Datenschutzrichtlinien. Das jedoch ist so nicht haltbar. Wir wollen in diesem Artikel einmal ein wenig Licht ins Dunkel bringen und aufzeigen, warum ein CRM-System in der Cloud gerade kleinen Unternehmen hilft der DSGVO zu entsprechen. 

Cloud besser als ihr Ruf

Zunächst jedoch wollen wir uns einmal der Entstehung vieler dieser Bedenken widmen und einen Blick darauf werfen, wie haltbar derartige Ressentiments in der Praxis wirklich sind. Dazu widmen wir uns in einem ersten Schritt einmal einer allgemeinen Definition von CRM-Systemen in der Cloud, um verstehen zu können, wie diese arbeiten und warum der Datenschutz eine solch bedeutende Rolle im Kontext dieser spielt. 

Inhaltsverzeichnis

• Was ist Cloud-CRM? – Eine Definition
• Was ist die Cloud? – Eine Definition
• Datenschutz in der Cloud Datenschutz mehr als DSGVO
• Technischer Datenschutz
• Physischer Datenschutz
• Fazit: Datenschutz aus verschiedenen Perspektiven

Was ist Cloud-CRM? – Eine Definition

Ein sogenanntes Customer-Relationship-Management-System oder kurz CRM-System ist eine Anwendung aus dem Bereich der Unternehmenssoftware. Ziel dieser Anwendung ist, wie der Name schon vermuten lässt, die strategische Organisation, die Verwaltung und der kontinuierliche Ausbau der Kundenbeziehungen mit dem Ziel einer langfristigen Kundenbindung. 

Zu diesem Zweck werden alle relevanten Kunden- und Kontaktdaten auf einer zentralen Datenbank in spezielle Kundenakten gespeichert und allen Akteuren im Unternehmen zugänglich gemacht.

Auf diese Weise kann der Kundenservice Anfragen der Kunden deutlich schneller beantworten und besser auf diese reagieren. Sie können beispielweise alle offenen Aufträge oder auch ausstehende Rechnungen direkt einsehen, wenn der Kunde anruft. 

Viele Unternehmensbereiche profitieren

Doch auch das Marketing sowie der Verkauf im Unternehmen profitiert enorm von einer derartigen Anwendung. Wertet man die Kundendaten systematisch aus, ergeben sich viele bereichernde Erkenntnisse, die eine bessere Bespielung der Kunden ermöglicht. Bei all diesen Daten, die ein Unternehmen mit einem CRM-System sammelt und speichert, spielt der Datenschutz verständlicherweise eine zentrale Rolle. 

Diese Frage wird durch die Nutzung eines CRM-Systems in der Cloud nochmals verschärft. Werfen wir also einmal einen Blick auf die allgemeine Funktionsweise von Clouddiensten, um verstehen zu können, warum sich die Frage nach dem Datenschutz hier in besonderer Weise stellt. 

Was ist die Cloud? – Eine Definition

Im Grundsatz ist Cloud-Computing eine IT-Infrastruktur, bei der ein System, eine Datenbank oder eine konkrete Anwendung über das Internet zugänglich gemacht wird. Im Kontext von Cloud-CRM-Systemen mietet man also den Speicherplatz, die Rechenleistung und die Software beim jeweiligen Anbieter. Über monatliche Lizenzgebühren wird dann entweder je Nutzer oder nach Speicherkapazität abgerechnet. 

SaaS als zukunftsträchtiges Modell

Oftmals begegnet einem der Begriff „Software-as-a-Service“ (kurz: SaaS) in diesem Zusammenhang. Hiermit wird eben diese Nutzung von Cloud-Software beschrieben, um die es auch im Folgenden gehen soll. Man nutzt also nicht nur die Software im Browser, vielmehr speichert man auch alle Daten auf fremden Servern. Die Rechenzentren der großen Cloudbetreiber sind oftmals im Ausland ansässig, was datenschutzrechtlich durchaus relevant ist. 

Datenschutz in der Cloud

Kommen wir zum eigentlichen Gegenstand dieses Artikels. Welchen spezifischen Herausforderungen begegnet man konkret, wenn man sein CRM-System aus der Cloud betreiben will? Nun, zunächst einmal gilt es zu unterscheiden zwischen rechtlichen Vorgaben und Gesetzen, die es einzuhalten gilt und Maßnahmen die ein Unternehmen aus eigenem Interesse ergreift. 

Vorgaben der DSGVO

Im Zuge der DSGVO wurden diverse Vorgaben, vor allem zum Schutz personenbezogener Daten nochmals verschärft. Denn auch schon vorher gab es diverse Vorgaben, an denen sich Unternehmen bzw. alle Organisationen zu halten hatten. Mit der DSGVO sind Themen des Datenschutzes jedoch nochmal in das kollektive Bewusstsein gerückt. 

Prinzipen der DSGVO

Hierbei geht es im Wesentlichen darum, einige Prinzipien zum Umgang mit personenbezogenen Daten einzuhalten. Hier gilt es die folgenden Prinzipien bei der Verarbeitung dieser Daten beachten: 

• Das Prinzip
• der Zweckbindung
• der Datenminimierung
• der Richtigkeit
• der Speicherbegrenzung
• und der Integrität

CRM-Systeme helfen dabei diese Prinzipien einzuhalten und sichern mit ihren zahlreichen Funktionen die Integrität der Daten. Klar sollte aber auch sein, dass es bei der Einhaltung dieser Prinzipien vor allem auf die Anwender des Systems ankommt.

Es gilt die Daten so zu pflegen, dass zu jedem Zeitpunkt sichergestellt werden kann, dass diese den datenschutzrechtlichen Anforderungen entsprechen. 

Verträge mit Cloud-Anbietern abschließen

Für CRM-Systeme in der Cloud kommt hinzu, dass man die Daten auf einem fremden Server speichert, der seinen Standort oftmals im europäischen Ausland hat. Hier gilt es eine zusätzliche Rahmenvereinbarung mit dem Betreiber zu treffen. Doch die Cloud-Betreiber und die Anbieter von CRM-Systemen in der Cloud wissen um diese und halten oftmals entsprechende Verträge bereit. 

Datenschutz mehr als DSGVO

Doch gilt es nicht nur den Datenschutz gegenüber dem Gesetzgeber gerecht zu werden, vielmehr müssen die Daten auch aus eigenem Interesse geschützt werden. Man stelle sich nur vor, was es für das eigene Image bedeuten würde, ein Datenleck öffentlich machen zu müssen. Ganz zu schweigen von dem wirtschaftlichen Schaden, der sich daraus ergeben würde. 

Datenschutz um seiner selbst willen

Auch Fälle von Wirtschaftsspionage können gravierende Folgen für den eigenen Geschäftsbereich mit sich bringen und zwar nachhaltig. Doch auch im Kontext eines Datenverlustes können die wirtschaftlichen Folgen durchaus hoch sein. Es gilt also das eigene Unternehmen vor all diesen Fällen zu bewahren und die Sicherung der Daten zu gewährleisten. 

Datenschutz in der Praxis

Werfen wir also einen Blick auf die Praxis von lokalen und in der Cloud betriebenen CRM-Systemen. Server, auf denen die Daten gespeichert sind, müssen umfangreich vor Verlust oder Diebstahl der Daten geschützt sein. Dies gilt auf zwei Ebenen. Zum einen auf der technischen und zum anderen auf der physischen Ebene. 

Technischer Datenschutz

Will man seine Daten vor Verlust oder Diebstahl durch Hacker schützen, kommen diverse Sicherheitssoftwareprogramme und Tools zum Einsatz. Firewalls und Passwörterschutz sind nur einige Beispiele an dieser Stelle. Oftmals hilft hier bereits eine Zwei-Schritte-Authentifizierung bei der Anmeldung in das System, die Daten zu schützen. Denn oftmals sind menschliche Fehler der Anwender, wie zu einfache Passwörter, Schuld an Zugriff von Dritten. 

Mitarbeiter im Datenschutz schulen

Auch Fishing-Mails haben in der Vergangenheit all zu leicht Zugangsdaten von Mitarbeiter abgreifen können. So haben Hacker dann leichtes Spiel. Bei einem lokalen System muss das Unternehmen all diese technischen Sicherheitsmaßnahmen selbstständig einrichten und verwalten. Dazu ist das nötige Knowhow unabdingbar - und somit auch entsprechende Mitarbeiterschulungen. 

Kontrolle abgeben um Schutz zu gewährleisten

Bei einer Lösung in der Cloud wird der technische Schutz der Server vom jeweiligen Anbieter umgesetzt. Das heißt jedoch auch, dass man an dieser Stelle einen gewissen Grad an Kontrolle an den Anbieter abtritt. Gleichsam gilt es jedoch die eigenen Mitarbeiter mit ins Boot zu holen und für den Schutz der Daten zu sensibilisieren. Das gilt vor allem bei der Passwortvergabe und bei der Achtsamkeit bezüglich SPAM-Mailings usw. 

Physischer Datenschutz

Zum anderen gilt es den Server vor physischen Schäden zu schützen. Diese können vielfältiger Natur sein. So muss der Server vor Wasserschäden, Feuer oder auch anderen natürlichen Einflüssen geschützt werden. Gleichsam muss auch die Diebstahlsicherheit festgestellt werden. Das bedingt, dass der Server zu meist in einem separaten Raum untergebracht werden muss, zu dem nur einige wenige Mitarbeiter Zugang erhalten.

Kleine Unternehmen haben es schwerer

Größere Unternehmen sind oftmals in der Lage all diese Maßnahmen eigenständig umzusetzen, während sich die Situation bei kleineren Konzernen anders darstellt. Im Zuge des Schutzes der Server, sind auch entsprechende Backups von großer Bedeutung. Es muss sichergestellt werden, dass bei Verlust der Daten auf den Servern entsprechende Backups das wesentlichste auffangen. 

Schutzmaßnahmen von Cloud-Anbietern umfangreich

Cloud-Anbieter unterhalten oftmals riesige Rechenzentren und investieren hohe Summen in die Sicherheit dieser. So sind die Sicherheitsmaßnahmen die an dieser Stelle getroffen werden können, deutlich ausgereifter, als ein einzelnes Unternehmen sie umsetzen könnte. Gleichsam sind Angriffe auf große Cloud-Betreiber für Hacker auch deutlich attraktiver, da die Menge an Daten und somit der Ertrag höher ist. 

Dennoch hätten Hacker es bei lokalen Lösungen durchaus leichter, da die Sicherheitsmaßnahmen grundsätzlich geringer sind. Es gilt also abzuwägen, ob man als Unternehmen diesen umfassenden Datenschutz gerecht werden kann oder man sich lieber auf einen Dienstleister verlässt. 

Fazit: Datenschutz aus verschiedenen Perspektiven

Datenschutz ist ein wichtiges Thema und jedes Unternehmen, jede einzelne Organisation muss sich mit diesem befassen. Dabei gilt es nicht nur den Schutz der Daten auf technischer Ebene sicherzustellen, sondern auch vor physischen Gefahren, wie Feuer und Wasserschäden gerüstet zu sein. 

Die Cloud kann gerade für kleinere Unternehmen ohne die notwendige IT-Sicherheitsstruktur eine gute Alternative darstellen. Hier wird der Schutz der Daten durch einen Dienstleister in einem Maße vorgenommen, das aus eigener Kraft nicht erreicht werden kann. 

Letztlich muss jedes Unternehmen selbst entscheiden, ob es einem Drittanbieter den Schutz seiner Daten anvertraut, oder ob es die Daten seiner Kunden in den eigenen Reihen behalten möchte. Ziel eines jeden Unternehmens sollte es jedoch sein, das bestmögliche zum Schutz der unternehmensbezogenen Daten zu tun. Auch wenn das bedeutet, diesen Schutz auszulagern.