Zusammenarbeiten, ohne alles zu öffnen

Anders als in einem klassischen Bürobetrieb liegt der Wert hier nicht vorrangig in Kunden- oder Abrechnungsdaten, sondern in Messreihen, Konstruktionsständen, Quellcode und noch unveröffentlichten Ergebnissen. Ein Verlust ist selten unmittelbar sichtbar, wirkt sich aber auf Wettbewerbsposition, Schutzrechte und Veröffentlichungen aus.

Wir beginnen deshalb mit einer Einordnung der Bestände: Was ist frei, was ist intern, was ist streng vertraulich. Diese Einteilung muss grob genug bleiben, um im Alltag angewendet zu werden. Drei Stufen reichen in der Regel, und sie bestimmen anschließend, wo Daten liegen, wer sie erreicht und wie sie übertragen werden dürfen.

Ein Verbundprojekt bringt Beteiligte aus mehreren Organisationen zusammen, häufig mit unterschiedlichen Regeln in ihren Häusern. Die verbreitete Behelfslösung besteht darin, allen Beteiligten einen Zugang zur eigenen Ablage zu geben und die Abgrenzung über Ordnernamen zu regeln. Das hält selten stand.

Wir richten stattdessen je Kooperation eine abgegrenzte Umgebung ein. Beteiligte werden dieser Umgebung zugeordnet und sehen nichts darüber hinaus. Zugänge tragen die Projektlaufzeit als Ablaufdatum, sodass sie mit dem Projekt enden. Die Aufnahme neuer Beteiligter erfolgt über eine benannte Person auf Ihrer Seite, damit klar bleibt, wer die Freigabe verantwortet.

Geräte in Laboren und an Prüfständen laufen häufig mit Steuerungssoftware, die an eine bestimmte Betriebssystemversion gebunden ist. Aktualisierungen sind entweder nicht verfügbar oder würden laufende Versuchsreihen gefährden. Im Firmennetz wären solche Systeme ein dauerhaftes Risiko.

Wir stellen sie deshalb in eigene Segmente mit streng begrenzten Verbindungen: nur die Wege, die zur Datenübernahme tatsächlich gebraucht werden, kein allgemeiner Internetzugang, keine Erreichbarkeit von Arbeitsplätzen aus. Die Übernahme von Messdaten läuft über einen definierten Weg statt über wechselnde Datenträger.

Ausgründungen wachsen sprunghaft. Aus fünf Personen werden binnen eines Jahres dreißig, häufig mit einer Mischung aus Festangestellten, Werkstudenten und Beteiligten aus Instituten. Eine Rechtestruktur, die für das Gründungsteam entstanden ist, trägt das nicht.

Wir setzen früh auf eine zentrale Verwaltung der Identitäten mit Mehr-Faktor-Authentifizierung, getrennten Administrationskonten und Regeln, die Anmeldungen nach Gerätezustand und Herkunft bewerten. Rechte hängen an Rollen, nicht an Personen. Das kostet zu Beginn etwas Aufwand und erspart später den Umbau unter Zeitdruck.

Im Forschungsumfeld kommen Anforderungen oft aus Verträgen: Geheimhaltungsvereinbarungen, Auflagen von Fördergebern, Sicherheitsanforderungen industrieller Auftraggeber. Hinzu treten die Datenschutz-Grundverordnung für personenbezogene Daten und, je nach Größe und Branche, Pflichten aus der NIS2-Umsetzung, teils mittelbar über Lieferketten.

Wir setzen die technisch-organisatorische Seite um: Trennung der Projektumgebungen, Zugriffskontrolle, Verschlüsselung, Protokollierung und Notfallvorsorge, jeweils dokumentiert und belegbar. Ob eine Vorgabe für Sie gilt und wie ein Vertragstext auszulegen ist, klären Ihre Rechtsberatung und Ihr Datenschutzbeauftragter. Unsere Leistung ersetzt keine Rechtsberatung, und Zertifizierungen behaupten wir für uns nicht.