Gutes Da­ten­ma­nage­ment für einen sinn­vol­len Umgang mit Daten

Da­ten­ma­nage­ment ist eine neue Disziplin in der In­for­ma­ti­ons­tech­nik, die als Reaktion auf die zu­neh­men­de Ver­net­zung und die steigende Datenflut in modernen Un­ter­neh­men ent­stan­den ist. Auch die Forschung be­schäf­tigt sich mit dem Thema. Data Science heißt der noch recht neue Zweig der Wis­sen­schaft, der sich u. a. der ver­nünf­ti­gen Ablage und Ver­knüp­fung von Daten sowie der ef­fek­ti­ven Suche in großen Da­ten­be­stän­den widmet.

Da­ten­ma­nage­ment – De­fi­ni­ti­on und Be­griffs­er­klä­rung

Da­ten­ma­nage­ment (oder Data Ma­nage­ment) stellt bestimmte An­for­de­run­gen an den Umgang mit digitalen Daten. Der Begriff be­schreibt eher einen Prozess als einzelne Maßnahmen. Bereits beim Erheben und Eingeben von Daten müssen diese or­ga­ni­siert werden. Da­ten­spar­sam­keit und -qualität sind zwei Faktoren, die hier zu be­rück­sich­ti­gen sind. Neben dem Schutz der Inhalte sollen die Daten nicht zuletzt effektiv für den ei­gent­li­chen Er­fas­sungs­zweck ver­wend­bar sein, d. h. die Pra­xis­taug­lich­keit darf bei allen Be­mü­hun­gen nicht zu kurz kommen. Schließ­lich sollte man sich im Rahmen des Da­ten­ma­nage­ments auch fragen, welche Daten für welchen Zeitraum ar­chi­viert werden müssen. Nicht benötigte Daten muss man schnell auffinden und sicher löschen können.

Arten von Daten

Um den Umgang mit Daten zu planen, sollten Sie sich zunächst die Frage stellen, welche Arten von Daten bei Ihnen anfallen. Hier kann das Einteilen in Ka­te­go­rien helfen, um sys­te­ma­tisch vor­zu­ge­hen und keinen Bereich zu übersehen:

• Per­so­nen­be­zo­ge­ne Daten: In­for­ma­tio­nen, die sich un­mit­tel­bar auf bestimmte Personen beziehen; klas­si­sche Beispiele sind Namen, Ruf­num­mern und Adressen. Doch auch Messdaten und das Ein­kaufs­ver­hal­ten zählen dazu. Es kann sich um Kun­den­da­ten, Daten eigener Mit­ar­bei­te­rin­nen und Mit­ar­bei­ter oder Dritt­per­so­nen handeln. Diese Daten genießen be­son­de­ren Schutz.
• Schüt­zens­wer­te Fir­men­da­ten: Fir­men­in­ter­na wie Buch­hal­tungs­da­ten, Steu­er­un­ter­la­gen und Fir­men­ge­heim­nis­se; hier wird jede Firma ohnehin ein be­son­de­res Interesse am sorgsamen Umgang mit den Daten haben. Es ist aber durchaus sinnvoll, im Rahmen des Da­ten­ma­nage­ments fest­zu­le­gen, welche In­for­ma­tio­nen zu diesem Bereich gehören.
• Se­kun­där­da­ten: Daten, die im Rahmen einer Maßnahme für einen anderen Zweck entstehen; ein Beispiel wäre die Vi­deo­über­wa­chung, die üb­li­cher­wei­se zum Schutz vor Einbruch und Diebstahl in­stal­liert wird. Diese zeichnet mög­li­cher­wei­se auch Kenn­zei­chen von Kun­den­fahr­zeu­gen auf. Ein anderes Beispiel sind Log­pro­to­kol­le im Fir­men­netz­werk, die mög­li­cher­wei­se IP-Adressen von Be­su­chen­den speichern.
• Öf­fent­li­che Daten: Ab­sicht­lich ver­öf­fent­lich­te und ver­brei­te­te Daten; dazu zählen In­for­ma­tio­nen auf der In­ter­net­prä­senz und in Fir­men­bro­schü­ren. Wichtig ist hier die Ein­hal­tung von Ur­he­ber­rechts­vor­schrif­ten und der Schutz eigener Daten, etwa ver­öf­fent­lich­ter Bilder, Wer­be­slo­gans und Fir­men­lo­gos. Letztere können nach dem De­sign­ge­setz (ehemals Ge­schmacks­mus­ter­ge­setz) geschützt werden.

Da­ten­ma­nage­ment – Aufgaben und Umsetzung

Da­ten­ma­nage­ment hat die Aufgabe, alle Prozesse vom Erheben bis zur Ablage oder Löschung von Daten zu in­te­grie­ren und dabei die Effizienz zu be­rück­sich­ti­gen. Es wird die gesamte „Le­bens­dau­er“ be­trach­tet. Hieraus leitet sich der Begriff des Data Life Ma­nage­ments (DLM) ab.

Da­ten­er­he­bung

Die Da­ten­ver­ar­bei­tung beginnt mit der Da­ten­er­he­bung. Hierbei spielen zwei Aspekte eine zentrale Rolle:

1. Da­ten­spar­sam­keit. Es sollten nur die nötigsten In­for­ma­tio­nen gesammelt werden. Diese Pflicht wurde zwi­schen­zeit­lich auch in der Da­ten­schutz-Grund­ver­ord­nung (DSGVO) fest­ge­schrie­ben. Daten dürfen demnach nur dann ver­ar­bei­tet werden, wenn Be­trof­fe­ne ihre Ein­wil­li­gung gegeben haben oder dies aus recht­li­chen Gründen notwendig ist, etwa bei einer Ver­trags­ge­stal­tung.

2. Da­ten­qua­li­tät: Das sorg­fäl­ti­ge Erfassen von Daten erspart unnötige Nach­fra­gen und Nach­be­ar­bei­tun­gen. Die In­for­ma­tio­nen sollten auch gleich in dem Format ge­spei­chert werden, in dem sie später benötigt werden. Jede Über­tra­gung oder Kon­ver­tie­rung kann zu Fehlern im Da­ten­be­stand führen.

Da­ten­spei­che­rung

Wichtig ist die Auswahl des Spei­cher­orts und des Formats. Als Spei­cher­ort ist neben der lokalen Ablage eine Sicherung im Cloud­spei­cher denkbar. Beide Lösungen haben Vor- und Nachteile, weshalb sich für sehr wichtige Daten eine kom­bi­nier­te Lösung anbietet:

Bei großen Da­ten­men­gen sind Da­ten­ban­ken die erste Wahl für die Ablage. Wird spezielle Software verwendet, etwa für die Buch­hal­tung oder die La­ger­hal­tung, stellt sich die Frage nach dem Spei­cher­ort ohnehin nicht. Bei Letzterer sollte al­ler­dings auf die Kom­pa­ti­bi­li­tät zu externen Systemen und Ex­port­mög­lich­kei­ten, etwa der GOBD-Schnitt­stel­le für Prüfungen durch das Finanzamt, geachtet werden.

Da­ten­si­cher­heit

Da­ten­si­cher­heit ist ein wichtiges und komplexes Thema beim Da­ten­ma­nage­ment. Die Daten sollen vor Verlust, un­ge­woll­ter Ver­än­de­rung und un­be­rech­tig­ten Zugriffen geschützt werden. Hilf­rei­che und sehr aus­führ­li­che In­for­ma­tio­nen bietet das Bundesamt für Si­cher­heit in der In­for­ma­ti­ons­tech­nik (BSI). In seinem laufend ak­tua­li­sier­ten IT-Grund­schutz-Kom­pen­di­um werden mögliche Gefahren sys­te­ma­tisch auf­ge­zeigt. Neben den Risiken werden Pro­zess­bau­stei­ne zur Ab­si­che­rung vor­ge­stellt. Das Kom­pen­di­um ist kostenlos verfügbar. Ein weiterer Vorteil ist, dass Zer­ti­fi­zie­run­gen wie die Zer­ti­fi­zie­rung zur In­for­ma­ti­ons­si­cher­heit ISO 27001 darauf aufbauen.

Mögliche Gefahren sind:

• Hard­ware­schä­den durch Brand, Wasser oder Über­span­nung
• Da­ten­ver­lust durch Fehl­be­die­nung
• Da­ten­ver­lust oder Funk­ti­ons­un­tüch­tig­keit der Systeme durch Schad­soft­ware (Ver­schlüs­se­lungs­tro­ja­ner, Da­ten­dieb­stahl)
• Da­ten­ver­lust durch Software-Fehler
• Verlust durch Diebstahl

Um den ver­schie­de­nen Risiken zu begegnen, umfassen Lösungen nicht nur soft­ware­ge­stütz­te Schutz­me­cha­nis­men, sondern auch or­ga­ni­sa­to­ri­sche Maßnahmen wie Brand- und Ein­bruch­mel­de­an­la­gen.

Diese Grund­sät­ze sollten Sie beachten:

• Re­gel­mä­ßi­ge Updates: Dabei gilt es zwischen au­to­ma­ti­sier­ten und manuellen Updates abzuwägen. Vorteil au­to­ma­ti­sier­ter Updates ist, dass man sie nicht vergisst. Für das manuelle Ein­spie­len spricht, dass man feh­ler­haf­te Updates vermeidet.
• Sichere Pass­wör­ter: Auch hier gibt es un­ter­schied­li­che Stra­te­gien. Sinnvoll ist es, die Mit­ar­bei­ten­den durch Vorgaben zu zwingen, komplexe Pass­wör­ter zu verwenden. Auch das re­gel­mä­ßi­ge Ändern von Kenn­wör­tern ist sinnvoll. Über­treibt man es al­ler­dings mit der Kom­ple­xi­tät und der Än­de­rungs­häu­fig­keit, verleitet es dazu, die Pass­wör­ter auf­zu­schrei­ben und am Ar­beits­platz zu hin­ter­le­gen.
• Vi­ren­schutz/Firewall: Ein aktueller Vi­ren­schutz gehört zu jedem IT-System. Außerdem sollte, je nach Kom­ple­xi­tät des Netzwerks, eine Firewall und ge­ge­be­nen­falls ein Intrusion-Detection-System (IDS) betrieben werden.
• Back­up­stra­te­gie: Einer der wich­tigs­ten Punkte ist zwei­fel­los die richtige Back­up­stra­te­gie. Relevante Daten sollten möglichst umfassend und re­gel­mä­ßig auf räumlich ge­trenn­ten Medien gesichert werden. Eine besondere Schwie­rig­keit stellt die Sicherung von Da­ten­ban­ken dar. Hier ist es u. U. nicht möglich, geöffnete Dateien im laufenden Betrieb einfach zu kopieren. Vielmehr muss die Sicherung aus der ver­wen­de­ten Anwendung heraus oder mittels spe­zi­el­ler Software wie MySQL-Dump erfolgen.

Da­ten­schutz

Da­ten­schutz ist von der Da­ten­si­cher­heit ab­zu­gren­zen, auch wenn es Über­schnei­dun­gen gibt. Ziel ist hier lediglich, dass Un­be­rech­tig­te keinen Zugriff auf ver­trau­li­che Daten haben. Da­ten­schutz umfasst folgende Bereiche:

1. Zugriff von außen ver­hin­dern: Hierfür sind Maßnahmen der Da­ten­si­cher­heit er­for­der­lich
2. Internen Zugriff auf per­sön­li­che Daten un­ter­bin­den: Dafür ist eine Rech­te­ver­wal­tung in der ver­wen­de­ten Software nötig. So wird einzelnen Mit­ar­bei­te­rin­nen und Mit­ar­bei­tern der Zugriff verwehrt oder Da­ten­sät­ze werden nur teilweise angezeigt. Zu­sätz­li­chen Schutz bieten die ver­schlüs­sel­te Über­tra­gung und Ablage von Daten. So werden sensible Daten vor Zugriffen auf Hardware, etwa bei einem Einbruch oder durch un­be­rech­tig­te Mit­ar­bei­ten­de, geschützt.

Er­for­der­nis­se des Un­ter­neh­mens

Das Da­ten­ma­nage­ment muss möglichst prak­ti­ka­bel und intuitiv in die Un­ter­neh­mens­ab­läu­fe ein­ge­bun­den werden. Dies sorgt für die beste Akzeptanz bei den Mit­ar­bei­ten­den und die größt­mög­li­che Ef­fek­ti­vi­tät. Einige der vor­ge­stell­ten Ziele sind auch im Hinblick auf die Ef­fi­zi­enz­stei­ge­rung sinnvoll. Das Erheben unnötiger Daten kostet Zeit und verärgert womöglich die Kunden. Die geordnete und sichere Ablage von Daten ver­bes­sert die Pro­duk­ti­vi­tät.

Es kann daher für ein Un­ter­neh­men sinnvoll sein, eine Data-Go­ver­nan­ce-Richt­li­nie ein­zu­füh­ren, in der fest­ge­legt wird, wie im Un­ter­neh­men mit Daten umzugehen ist. Dies betrifft ins­be­son­de­re die Da­ten­qua­li­tät und mögliche Ver­bes­se­run­gen durch Hilfen wie Au­to­kor­rek­tu­ren. Außerdem werden ein­heit­li­che For­mu­lie­run­gen und Begriffe definiert.

Ar­chi­vie­ren

Das Ar­chi­vie­ren aktuell nicht mehr be­nö­tig­ter Daten gehört ebenfalls zu den Aufgaben von Un­ter­neh­men. Dies betrifft die­je­ni­gen, für die es eine ge­setz­li­che Pflicht zur Auf­be­wah­rung gibt, etwa bei Rech­nun­gen und Steu­er­un­ter­la­gen. Daher sollte dieser Aspekt Be­stand­teil eines Da­ten­ma­nage­ment-Konzepts sein.

• Separates Speichern: So ver­min­dert man das Volumen aktueller Da­ten­si­che­run­gen und der Da­ten­schutz lässt sich ge­währ­leis­ten.
• Ge­eig­ne­tes Spei­cher­me­di­um: Nicht alle Spei­cher­me­di­en sind für eine Ar­chi­vie­rung geeignet. Fest­plat­ten sollten bei­spiels­wei­se re­gel­mä­ßig ein­ge­schal­tet werden, um die Funk­ti­ons­tüch­tig­keit zu ga­ran­tie­ren. Optische Da­ten­trä­ger wie CDs sind emp­find­lich gegenüber äußeren Ein­flüs­sen und haben ohnehin nur eine begrenzte Le­bens­dau­er. Optimal sind Band­lauf­wer­ke mit Ma­gnet­bän­dern. Nach­tei­lig sind die hohen An­schaf­fungs­kos­ten für Laufwerke und die um­ständ­li­che Hand­ha­bung. Vor­teil­haft sind die günstigen Preise für Si­che­rungs­bän­der und die lange Halt­bar­keit.

Löschen

Nicht mehr benötigte Daten sollten gelöscht werden. So ist man auch gleich die Ver­ant­wor­tung für deren Si­cher­heit los. Daher sollte ein Da­ten­ma­nage­ment-Konzept vorsehen, dass solche Daten se­lek­tier­bar und separat löschbar sind. Vor allem per­so­nen­be­zo­ge­ne Daten sollten sicher gelöscht werden.

Ein Löschen mit Be­triebs­sys­tem­funk­tio­nen führt üb­li­cher­wei­se nur dazu, dass die Daten zum Über­schrei­ben frei­ge­ge­ben werden. Tat­säch­lich exis­tie­ren sie noch auf der Fest­plat­te, bis der Spei­cher­platz zufällig benötigt wird und sie über­schrie­ben werden.

Sonstige recht­li­che Vorgaben

Neben den Be­stim­mun­gen aus der DSGVO gibt es weitere Regeln, die Un­ter­neh­men zum Da­ten­schutz ver­pflich­ten. Werden Ver­säum­nis­se fest­ge­stellt, die zu einem Miss­brauch per­so­nen­be­zo­ge­ner Daten führen, können Inhabende oder Be­auf­trag­te haftbar gemacht werden. Grundlage sind folgende Gesetze:

• GmbHG: Gesetz be­tref­fend die Ge­sell­schaf­ten mit be­schränk­ter Haftung
• KonTraG: Gesetz zur Kontrolle und Trans­pa­renz im Un­ter­neh­mens­be­reich
• AktG: Ak­ti­en­ge­setz

Die Be­stel­lung eines bzw. einer Da­ten­schutz­be­auf­trag­ten für Pri­vat­un­ter­neh­men ist erst ab einer Be­triebs­grö­ße von 20 Mit­ar­bei­tern und Mit­ar­bei­te­rin­nen notwendig.

Arten des Da­ten­ma­nage­ments

Wie das Da­ten­ma­nage­ment or­ga­ni­siert wird, hängt von der Größe des einzelnen Un­ter­neh­mens ab. Auf dem Markt sind ver­schie­de­ne Ansätze in­te­grier­ter Lösungen er­hält­lich. Mögliche Formen sind:

• En­ter­pri­se-Resource-Planning-Systems (ERP): Diese Systeme bieten den um­fas­sends­ten Ansatz. Alle Res­sour­cen des Un­ter­neh­mens werden erfasst und be­rück­sich­tigt. Dazu gehören Personal, Ar­beits­mit­tel und Material. Bekannte kom­mer­zi­el­le Her­stel­ler sind SAP, Sage, Oracle und Microsoft. Es gibt aber auch kos­ten­lo­se Soft­ware­lö­sun­gen wie Odoo und OpenZ.
• Master Data Ma­nage­ment (Zentrale Stamm­da­ten­ver­wal­tung): Zen­tra­li­sie­rung und Über­ar­bei­tung der Kerndaten eines Un­ter­neh­mens. Dazu zählen Mit­ar­bei­ter­da­ten, Kun­den­da­ten und In­for­ma­tio­nen über Ar­beits­mit­tel. Ziel ist eine ein­heit­li­che Da­ten­qua­li­tät, die zu einer ver­bes­ser­ten Nutz­bar­keit führt. Dieser Ansatz wird in ERP-Systemen meist be­rück­sich­tigt.
• Content-Ma­nage­ment-Systeme (CMS): Vor­wie­gend In­for­ma­ti­ons-Ma­nage­ment­sys­te­me, bei­spiels­wei­se in Form eines zentralen Intranets für das Un­ter­neh­men. Aufgrund ihrer großen Fle­xi­bi­li­tät sind auch andere Aspekte wie ein For­mu­lar­ma­nage­ment und die In­te­gra­ti­on von Da­ten­ban­ken möglich.
• Do­ku­men­ten­ma­nage­ment­sys­te­me (DMS): Teil­be­reich des Da­ten­ma­nage­ments. Sie stellen Formulare bereit und bieten Funk­tio­nen wie Ablage und Ar­chi­vie­rung.

Her­aus­for­de­run­gen des Da­ten­ma­nage­ments

Da­ten­ma­nage­ment ist ein dy­na­mi­scher Prozess und muss immer wieder an aktuelle Er­for­der­nis­se angepasst werden. Dabei entstehen jeweils neue Her­aus­for­de­run­gen.

Big Data

Da­ten­men­gen nehmen stetig zu. Folglich gibt es hohe An­for­de­run­gen an das Da­ten­ma­nage­ment, ins­be­son­de­re in folgenden Punkten:

• Ska­lier­bar­keit von Speichern und Backup-Ka­pa­zi­tä­ten
• Ordnung und Auf­find­bar­keit be­nö­tig­ter Daten
• Da­ten­spar­sam­keit und Her­aus­fil­tern von wichtigen In­for­ma­tio­nen

Si­cher­heit

Ver­ant­wort­li­che von Netz­werk­ver­bün­den sehen sich immer neuen Gefahren aus­ge­setzt. In­for­ma­ti­ons­dieb­stahl durch Social En­gi­nee­ring und Sabotage durch Ver­schlüs­se­lungs­tro­ja­ner sind nur einige der Szenarien. Je mehr ein Un­ter­neh­men seinen Da­ten­be­stand di­gi­ta­li­siert, desto ab­hän­gi­ger wird es von der Funk­ti­ons­fä­hig­keit des ver­wen­de­ten Systems. Deshalb gilt es, sich permanent über neue Risiken zu in­for­mie­ren und Vorsorge für den Ausfall von Hardware oder einen fehlenden Zugriff auf die eigenen Systeme zu treffen.

Recht­li­che Vorgaben

Die Ein­füh­rung der DSGVO hat für viel Un­si­cher­heit gesorgt und zu großem Aufwand in Un­ter­neh­men geführt. Dennoch ist es nicht un­wahr­schein­lich, dass weitere Vorgaben folgen oder Än­de­run­gen an be­stehen­den Gesetzen An­pas­sun­gen erfordern. Dies kann auch das Konzept des Da­ten­ma­nage­ments betreffen.

Än­de­run­gen im Fir­men­um­feld

Ver­än­de­run­gen der Struktur oder Abläufe eines Un­ter­neh­mens müssen beim Da­ten­ma­nage­ment ebenfalls be­rück­sich­tigt werden. Vorsorge hierfür lässt sich treffen, wenn er­wei­ter­ba­re Systeme verwendet werden oder solche, die einfach zu migrieren sind. Re­gel­mä­ßi­ge Schu­lun­gen der Mit­ar­bei­ter zur fir­men­in­ter­nen Data Go­ver­nan­ce bedeuten zu­sätz­li­chen Aufwand.