https://forum.schuebeler-consulting.de/ Wed, 22 Jul 2026 20:41:19 +0000 MyBB https://forum.schuebeler-consulting.de/thread-100.html Mon, 08 Jun 2026 09:13:22 +0200 Johann Jörgen Schübeler]]> https://forum.schuebeler-consulting.de/thread-100.html
Mein Vorschlag für den Mittelstand: Fangen Sie mit drei Schubladen an. Mehr brauchen Sie zunächst nicht.

• Öffentlich: Marketingtexte, freigegebene Datenblätter, alles, was sowieso auf der Website steht. Darf in jedes Tool.
• Intern: Arbeitsanweisungen, allgemeine Korrespondenz, Schulungsunterlagen. Darf in DSGVO-konforme Tools mit Unternehmens-Account und Datenverarbeitungsvereinbarung.
• Vertraulich: Personalakten, Konstruktionszeichnungen vor Marktreife, Lieferantenkonditionen, Kundenstammdaten. Bleibt drinnen, Punkt.

Das ist nicht perfekt, das ist nicht ISO-27001-tauglich. Aber es ist 100-mal besser als nichts. Sie können damit innerhalb von 2 Wochen anfangen, statt 6 Monate auf das große Konzept zu warten.

Groß planen, klein starten. Wer auf die fertige Klassifizierung wartet, bevor er Mitarbeitende einbindet, wird vom Pragmatismus seiner eigenen Kollegen überholt — die nutzen die Tools dann eben ohne Regelwerk.

Hinweis: Das hier ist eine Strukturhilfe und keine Rechtsberatung. Konkrete Einstufungen prüfen Sie mit Ihrem Datenschutzbeauftragten.

Haben Sie bereits eine Klassifizierung im Haus, und wenn ja, wie viele Stufen?]]>
Mein Vorschlag für den Mittelstand: Fangen Sie mit drei Schubladen an. Mehr brauchen Sie zunächst nicht.

• Öffentlich: Marketingtexte, freigegebene Datenblätter, alles, was sowieso auf der Website steht. Darf in jedes Tool.
• Intern: Arbeitsanweisungen, allgemeine Korrespondenz, Schulungsunterlagen. Darf in DSGVO-konforme Tools mit Unternehmens-Account und Datenverarbeitungsvereinbarung.
• Vertraulich: Personalakten, Konstruktionszeichnungen vor Marktreife, Lieferantenkonditionen, Kundenstammdaten. Bleibt drinnen, Punkt.

Das ist nicht perfekt, das ist nicht ISO-27001-tauglich. Aber es ist 100-mal besser als nichts. Sie können damit innerhalb von 2 Wochen anfangen, statt 6 Monate auf das große Konzept zu warten.

Groß planen, klein starten. Wer auf die fertige Klassifizierung wartet, bevor er Mitarbeitende einbindet, wird vom Pragmatismus seiner eigenen Kollegen überholt — die nutzen die Tools dann eben ohne Regelwerk.

Hinweis: Das hier ist eine Strukturhilfe und keine Rechtsberatung. Konkrete Einstufungen prüfen Sie mit Ihrem Datenschutzbeauftragten.

Haben Sie bereits eine Klassifizierung im Haus, und wenn ja, wie viele Stufen?]]> https://forum.schuebeler-consulting.de/thread-41.html Thu, 16 Apr 2026 20:54:03 +0200 Johann Jörgen Schübeler]]> https://forum.schuebeler-consulting.de/thread-41.html
Wichtiger Hinweis vorweg: Das ist keine Rechtsberatung und ersetzt auch keine. Für die rechtliche Bewertung Ihres konkreten Einsatzes brauchen Sie spezialisierte Beratung. Was ich hier beschreibe, sind Vorgehensschritte aus der Praxis.

Drei Dinge lassen sich praktisch sofort tun, unabhängig von der finalen juristischen Bewertung im Einzelfall:

• Eine schlichte Liste aller KI-Werkzeuge, die im Unternehmen tatsächlich genutzt werden — inklusive Schatten-IT. Sie werden überrascht sein, was alles auftaucht.
  
• Pro Werkzeug ein kurzer Vermerk: Wofür wird es eingesetzt, welche Daten gehen rein, wer ist verantwortlich.
  
• Eine interne Festlegung, welche Einsätze als „sensibel" behandelt werden — etwa alles, was Personenentscheidungen, Sicherheit oder Vertragswesen berührt.

Damit haben Sie noch keinen Compliance-Nachweis. Sie haben aber eine belastbare Grundlage, auf die später jede juristische Prüfung aufsetzen kann. Erfahrungsgemäß ist der Schritt vom „wir wissen nicht, was wir haben" zum „wir haben eine aktuelle Liste" der schwierigste — und der mit dem größten Nutzen. Alles Weitere ist dann Detailarbeit.

Wie weit sind Sie bei der einfachen Inventur — gibt es im Haus jemanden, der diese Liste verantwortet?]]>
Wichtiger Hinweis vorweg: Das ist keine Rechtsberatung und ersetzt auch keine. Für die rechtliche Bewertung Ihres konkreten Einsatzes brauchen Sie spezialisierte Beratung. Was ich hier beschreibe, sind Vorgehensschritte aus der Praxis.

Drei Dinge lassen sich praktisch sofort tun, unabhängig von der finalen juristischen Bewertung im Einzelfall:

• Eine schlichte Liste aller KI-Werkzeuge, die im Unternehmen tatsächlich genutzt werden — inklusive Schatten-IT. Sie werden überrascht sein, was alles auftaucht.
  
• Pro Werkzeug ein kurzer Vermerk: Wofür wird es eingesetzt, welche Daten gehen rein, wer ist verantwortlich.
  
• Eine interne Festlegung, welche Einsätze als „sensibel" behandelt werden — etwa alles, was Personenentscheidungen, Sicherheit oder Vertragswesen berührt.

Damit haben Sie noch keinen Compliance-Nachweis. Sie haben aber eine belastbare Grundlage, auf die später jede juristische Prüfung aufsetzen kann. Erfahrungsgemäß ist der Schritt vom „wir wissen nicht, was wir haben" zum „wir haben eine aktuelle Liste" der schwierigste — und der mit dem größten Nutzen. Alles Weitere ist dann Detailarbeit.

Wie weit sind Sie bei der einfachen Inventur — gibt es im Haus jemanden, der diese Liste verantwortet?]]> https://forum.schuebeler-consulting.de/thread-79.html Mon, 09 Feb 2026 09:44:49 +0100 Johann Jörgen Schübeler]]> https://forum.schuebeler-consulting.de/thread-79.html
In meiner Praxis taucht regelmäßig das Gleiche auf: ein Online-Übersetzer für den schnellen Satz, ein PDF-Konverter aus dem Browser, ein KI-Chat zum Umformulieren, ein Cloud-Speicher zum Austausch mit dem Übersetzungsbüro. Niemand will Böses. Alle wollen nur ihre Arbeit erledigen. Und genau deshalb ist Schatten-IT in der Technischen Redaktion besonders heikel: In diesen Tools landen Produktinformationen, manchmal vor dem offiziellen Launch.

Mein Vorgehen: Erstens eine ehrliche Bestandsaufnahme machen — ohne Schuldzuweisung. Zweitens prüfen, welche dieser Tools eine freigegebene Alternative haben (oft gibt es eine, die niemand kennt). Drittens für die übrigen Tools eine Bewertung gemeinsam mit der IT machen: Was darf da rein, was nicht?

Wenn Sie Schatten-IT bekämpfen, ohne eine sinnvolle Alternative anzubieten, treiben Sie das Verhalten nur tiefer in den Untergrund. Dann nutzen die Leute eben das Handy.

Hinweis: Das hier ist keine Rechtsberatung und ersetzt sie auch nicht. Für konkrete Fragen zur DSGVO oder Geheimnisschutz holen Sie eine fachkundige Beratung ein.

Welche Tools sind bei Ihnen aufgetaucht, als Sie das letzte Mal genau hingeschaut haben?]]>
In meiner Praxis taucht regelmäßig das Gleiche auf: ein Online-Übersetzer für den schnellen Satz, ein PDF-Konverter aus dem Browser, ein KI-Chat zum Umformulieren, ein Cloud-Speicher zum Austausch mit dem Übersetzungsbüro. Niemand will Böses. Alle wollen nur ihre Arbeit erledigen. Und genau deshalb ist Schatten-IT in der Technischen Redaktion besonders heikel: In diesen Tools landen Produktinformationen, manchmal vor dem offiziellen Launch.

Mein Vorgehen: Erstens eine ehrliche Bestandsaufnahme machen — ohne Schuldzuweisung. Zweitens prüfen, welche dieser Tools eine freigegebene Alternative haben (oft gibt es eine, die niemand kennt). Drittens für die übrigen Tools eine Bewertung gemeinsam mit der IT machen: Was darf da rein, was nicht?

Wenn Sie Schatten-IT bekämpfen, ohne eine sinnvolle Alternative anzubieten, treiben Sie das Verhalten nur tiefer in den Untergrund. Dann nutzen die Leute eben das Handy.

Hinweis: Das hier ist keine Rechtsberatung und ersetzt sie auch nicht. Für konkrete Fragen zur DSGVO oder Geheimnisschutz holen Sie eine fachkundige Beratung ein.

Welche Tools sind bei Ihnen aufgetaucht, als Sie das letzte Mal genau hingeschaut haben?]]> https://forum.schuebeler-consulting.de/thread-71.html Tue, 25 Nov 2025 13:25:29 +0100 Johann Jörgen Schübeler]]> https://forum.schuebeler-consulting.de/thread-71.html
Das ist ein Problem. Aus Datenschutzsicht und ebenso in Bezug auf Geschäftsgeheimnisse. Wenn ein Konstrukteur ein CAD-Detail in einen öffentlichen Chat schiebt, um sich beim Tolerieren helfen zu lassen, ist das im Zweifel ein Vorgang, der bei einer späteren Auseinandersetzung — Patentstreit, Schutz nach Geschäftsgeheimnisgesetz — relevant wird.

Mein praktischer Vorschlag: Erstens ein Unternehmens-Account beim KI-Anbieter, NICHT private Logins. Damit haben Sie zumindest serverseitig Logs und können Datenverarbeitungsvereinbarungen schließen. Zweitens eine kurze Richtlinie, was rein darf und was nicht (Personendaten, Lieferantenkonditionen, unveröffentlichte Produktdetails — typischerweise nicht). Drittens eine Stelle im Unternehmen, an die sich Mitarbeitende wenden können, wenn sie unsicher sind. Lieber einmal fragen als zweimal löschen.

Und ja, Sie können solche Logs auch missbrauchen, um Mitarbeitende zu kontrollieren. Tun Sie es nicht. Das vergiftet jede Awareness-Kultur.

Hinweis: Keine Rechtsberatung und kein Ersatz dafür. Für DSGVO, EU AI Act und Mitbestimmungsfragen holen Sie sich Fachleute ins Haus.

Wie regeln Sie das bei sich — Pauschalverbot, freie Wildbahn, oder etwas dazwischen?]]>
Das ist ein Problem. Aus Datenschutzsicht und ebenso in Bezug auf Geschäftsgeheimnisse. Wenn ein Konstrukteur ein CAD-Detail in einen öffentlichen Chat schiebt, um sich beim Tolerieren helfen zu lassen, ist das im Zweifel ein Vorgang, der bei einer späteren Auseinandersetzung — Patentstreit, Schutz nach Geschäftsgeheimnisgesetz — relevant wird.

Mein praktischer Vorschlag: Erstens ein Unternehmens-Account beim KI-Anbieter, NICHT private Logins. Damit haben Sie zumindest serverseitig Logs und können Datenverarbeitungsvereinbarungen schließen. Zweitens eine kurze Richtlinie, was rein darf und was nicht (Personendaten, Lieferantenkonditionen, unveröffentlichte Produktdetails — typischerweise nicht). Drittens eine Stelle im Unternehmen, an die sich Mitarbeitende wenden können, wenn sie unsicher sind. Lieber einmal fragen als zweimal löschen.

Und ja, Sie können solche Logs auch missbrauchen, um Mitarbeitende zu kontrollieren. Tun Sie es nicht. Das vergiftet jede Awareness-Kultur.

Hinweis: Keine Rechtsberatung und kein Ersatz dafür. Für DSGVO, EU AI Act und Mitbestimmungsfragen holen Sie sich Fachleute ins Haus.

Wie regeln Sie das bei sich — Pauschalverbot, freie Wildbahn, oder etwas dazwischen?]]> https://forum.schuebeler-consulting.de/thread-65.html Fri, 19 Sep 2025 20:11:36 +0200 Johann Jörgen Schübeler]]> https://forum.schuebeler-consulting.de/thread-65.html
Ich erinnere mich an Diskussionen in mehreren Häusern, die alle gleich liefen: "Brauchen wir nicht, wir haben doch eine Passwortrichtlinie". Die Richtlinie sagt: 12 Zeichen, Sonderzeichen, alle 90 Tage wechseln. Die Realität sagt: Post-it am Monitor, oder "Sommer2026!" mit aufsteigender Zahl. Sie kennen das.

Mit einem Passwortmanager verschwinden drei Probleme auf einmal: schwache Passwörter (der Manager generiert sie), Mehrfachnutzung (jeder Dienst bekommt ein eigenes) und der Zettelkram am Arbeitsplatz. Dazu kommt: 2-Faktor-Authentifizierung lässt sich sauber integrieren, ohne dass Mitarbeitende den Token-Generator suchen müssen.

Der unpopuläre Teil: Es ist eine Umstellung. Drei Wochen lang murren die Leute. Danach will keiner mehr zurück. Wichtig ist, dass die Geschäftsführung mitmacht — sonst gilt die Regel wieder nur für die anderen.

Kurz noch: Das ersetzt keine Beratung zur DSGVO oder zu IT-Sicherheitskonzepten. Es ist ein operativer Hebel im Alltag.

Wer hat einen Passwortmanager eingeführt und wie lief die Akzeptanz im Team?]]>
Ich erinnere mich an Diskussionen in mehreren Häusern, die alle gleich liefen: "Brauchen wir nicht, wir haben doch eine Passwortrichtlinie". Die Richtlinie sagt: 12 Zeichen, Sonderzeichen, alle 90 Tage wechseln. Die Realität sagt: Post-it am Monitor, oder "Sommer2026!" mit aufsteigender Zahl. Sie kennen das.

Mit einem Passwortmanager verschwinden drei Probleme auf einmal: schwache Passwörter (der Manager generiert sie), Mehrfachnutzung (jeder Dienst bekommt ein eigenes) und der Zettelkram am Arbeitsplatz. Dazu kommt: 2-Faktor-Authentifizierung lässt sich sauber integrieren, ohne dass Mitarbeitende den Token-Generator suchen müssen.

Der unpopuläre Teil: Es ist eine Umstellung. Drei Wochen lang murren die Leute. Danach will keiner mehr zurück. Wichtig ist, dass die Geschäftsführung mitmacht — sonst gilt die Regel wieder nur für die anderen.

Kurz noch: Das ersetzt keine Beratung zur DSGVO oder zu IT-Sicherheitskonzepten. Es ist ein operativer Hebel im Alltag.

Wer hat einen Passwortmanager eingeführt und wie lief die Akzeptanz im Team?]]> https://forum.schuebeler-consulting.de/thread-13.html Fri, 22 Aug 2025 21:49:12 +0200 Johann Jörgen Schübeler]]> https://forum.schuebeler-consulting.de/thread-13.html
Wichtiger Hinweis vorweg: Das hier ist keine Rechtsberatung und ersetzt auch keine. Ich beschreibe, wie ich das im Beratungsalltag pragmatisch angehe. Für die juristische Bewertung im Einzelfall brauchen Sie spezialisierte Beratung (Datenschutzbeauftragte, Anwältinnen und Anwälte).

Ich stelle vor jeder Freigabe drei Fragen. Sie ersetzen keine fundierte Datenschutzprüfung, filtern aber in 10 Minuten die offensichtlichen Stolperfallen:

• Wo werden die Daten verarbeitet, und gibt es einen Auftragsverarbeitungsvertrag, den Sie auch wirklich gelesen haben?
  
• Werden Ihre Eingaben für das Training des Anbieters genutzt — und wenn ja, lässt sich das abschalten?
  
• Wer im Haus darf das Tool wofür nutzen, und wer im Haus darf das ausdrücklich nicht?

Die letzte Frage wird am häufigsten übersprungen, weil sie unbequem ist. Aus dem Fehlen dieser Antwort entstehen die meisten Vorfälle, die ich später aufräumen muss. Ein Beispiel aus der Praxis: Personalakten in einem Online-Assistenten zusammenfassen lassen, weil es so praktisch ist. Das war nie freigegeben, aber auch nie verboten worden.

Legen Sie eine kurze, schriftliche Liste an, was erlaubt ist und was nicht. Eine Seite reicht. Sie muss existieren und jeder im Team muss sie kennen. Wer hat so etwas schon im Unternehmen, und wie wird es bei Ihnen aktuell gelebt?]]>
Wichtiger Hinweis vorweg: Das hier ist keine Rechtsberatung und ersetzt auch keine. Ich beschreibe, wie ich das im Beratungsalltag pragmatisch angehe. Für die juristische Bewertung im Einzelfall brauchen Sie spezialisierte Beratung (Datenschutzbeauftragte, Anwältinnen und Anwälte).

Ich stelle vor jeder Freigabe drei Fragen. Sie ersetzen keine fundierte Datenschutzprüfung, filtern aber in 10 Minuten die offensichtlichen Stolperfallen:

• Wo werden die Daten verarbeitet, und gibt es einen Auftragsverarbeitungsvertrag, den Sie auch wirklich gelesen haben?
  
• Werden Ihre Eingaben für das Training des Anbieters genutzt — und wenn ja, lässt sich das abschalten?
  
• Wer im Haus darf das Tool wofür nutzen, und wer im Haus darf das ausdrücklich nicht?

Die letzte Frage wird am häufigsten übersprungen, weil sie unbequem ist. Aus dem Fehlen dieser Antwort entstehen die meisten Vorfälle, die ich später aufräumen muss. Ein Beispiel aus der Praxis: Personalakten in einem Online-Assistenten zusammenfassen lassen, weil es so praktisch ist. Das war nie freigegeben, aber auch nie verboten worden.

Legen Sie eine kurze, schriftliche Liste an, was erlaubt ist und was nicht. Eine Seite reicht. Sie muss existieren und jeder im Team muss sie kennen. Wer hat so etwas schon im Unternehmen, und wie wird es bei Ihnen aktuell gelebt?]]> https://forum.schuebeler-consulting.de/thread-10.html Fri, 20 Jun 2025 18:01:59 +0200 Johann Jörgen Schübeler]]> https://forum.schuebeler-consulting.de/thread-10.html
Was in meiner Erfahrung wirklich funktioniert, sind kurze, anlassbezogene Hinweise:

• Eine konkrete, anonymisierte Beinahe-Panne aus dem eigenen Haus, kurz im Teammeeting besprochen.
  
• Ein simulierter Phishing-Versuch mit anschließendem ruhigen Gespräch — kein Pranger, keine Quote, einfach ein „so erkennen Sie es nächstes Mal".
  
• Eine 10-Minuten-Regel pro Quartal: Genau ein Punkt, den jeder im Team danach besser kann (z. B. „Bei Mailanhängen aus externen Quellen kein Doppelklick, Vorschau verwenden").

Die wichtigste Zutat ist eine Führungskraft, die selbst nicht so tut, als wisse sie alles. Ich habe in einer Sitzung mal offen erzählt, fast auf eine sehr gut gemachte Phishing-Mail hereingefallen zu sein. Danach kamen für Wochen Rückmeldungen aus dem Team: „Schauen Sie mal, diese Mail kam heute, war das ein Versuch?" Das ist gelebte Awareness — alltäglich, nachfragend, ohne Scham.

Was hat bei Ihnen tatsächlich etwas verändert, und woran erkennen Sie das?]]>
Was in meiner Erfahrung wirklich funktioniert, sind kurze, anlassbezogene Hinweise:

• Eine konkrete, anonymisierte Beinahe-Panne aus dem eigenen Haus, kurz im Teammeeting besprochen.
  
• Ein simulierter Phishing-Versuch mit anschließendem ruhigen Gespräch — kein Pranger, keine Quote, einfach ein „so erkennen Sie es nächstes Mal".
  
• Eine 10-Minuten-Regel pro Quartal: Genau ein Punkt, den jeder im Team danach besser kann (z. B. „Bei Mailanhängen aus externen Quellen kein Doppelklick, Vorschau verwenden").

Die wichtigste Zutat ist eine Führungskraft, die selbst nicht so tut, als wisse sie alles. Ich habe in einer Sitzung mal offen erzählt, fast auf eine sehr gut gemachte Phishing-Mail hereingefallen zu sein. Danach kamen für Wochen Rückmeldungen aus dem Team: „Schauen Sie mal, diese Mail kam heute, war das ein Versuch?" Das ist gelebte Awareness — alltäglich, nachfragend, ohne Scham.

Was hat bei Ihnen tatsächlich etwas verändert, und woran erkennen Sie das?]]>