Wettlauf zwischen Datenschützern und Hackern
„Grundsätzlich sparen die Unternehmen einen Großteil der Einmalkosten ein, wenn sie sich für eine CRM-Lösung aus der Cloud entscheiden“, weiß Oliver Bitterwolf, Associate-Partner bei Q_Perior.
IT-DIRECTOR: Herr Bitterwolf, inwiefern beeinflussen der Skandal um Prism und Tempora sowie das damit einhergehende Thema „Datenschutz“ derzeit die CRM-Branche? Wer profitiert, wer hat nun schlechte Karten?
O. Bitterwolf: Die entscheidende Aufgabe der CRM-Branche besteht darin, die gewünschte Datensicherheit zu belegen, da kaum ein Kunde dieses Leistungsversprechen wirksam kontrollieren kann. Zertifizierte IT-Lösungen auf Basis bereits anerkannter Normen wie DIN 9000 dürften daher an Bedeutung gewinnen. Etablierte Anbieter wie Salesforce, IBM und SAP profitieren zudem von einer hohen Kompetenzvermutung und schnellen Service-Angeboten, wenn es darum geht, entdeckte Sicherheitslücken in der Software zügig zu schließen. Sicherheitsservices rund um das eigentliche Produkt entwickeln sich damit zu einem maßgeblichen Investitionskriterium.
IT-DIRECTOR: Wie sicher ist es aktuell, Kundendaten in der Cloud abzulegen?
O. Bitterwolf: Die Frage nach den Zugriffsberechtigungen ist deutlich kritischer als die nach geeigneten Speicherorten. Datendiebstähle finden vor allem durch Insider statt, die Lücken in den Sicherheitsbestimmungen der Unternehmen ausnutzen. Auf diese Weise sind sowohl die berüchtigten Steuer-CDs mit Kundendaten aus Schweizer Banken entwendet worden wie auch jüngst die zwei Millionen Bankverbindungen von Vodafone-Kunden. Die Enthüllungen von Edward Snowden gehen ebenfalls auf eine interne Quelle zurück. Zugriffsversuche durch unbefugte Dritte stellen hinsichtlich der Datensicherheit in der Cloud keine größere Gefahr dar als bisher. Der Wettlauf zwischen Datenschützern und Hackern bleibt bestehen.
IT-DIRECTOR: Welche Reaktionen zeigten jene Großunternehmen, die bereits CRM in der Wolke nutzen, nach Bekanntwerden des Skandals? Wie gestaltet sich das Interesse der Unternehmen in Zeiten von Prism und Tempora generell, Kundendaten zukünftig in die Cloud zu verlagern?
O. Bitterwolf: Die aufgedeckten Überwachungsaktivitäten aus den USA und Großbritannien treiben die Unternehmen dazu, bestehende Sicherheitsmaßnahmen zu überdenken und beispielsweise die Effektivität von Verschlüsselungssystemen zu überprüfen. Prism und Tempora sammeln die Daten jedoch nur auf dem digitalen Transportweg und stellen zumindest nach heutigem Kenntnisstand keine Cyberwaffen dar, die Datenspeicher direkt angreifen, um an bestimmte Kundeninformationen zu gelangen. Daher fällt die Entscheidung, ob Daten auf selbst oder von einem Dienstleister betriebenen Servern liegen, hinsichtlich eines möglichen Datenklaus über das Internet weniger stark ins Gewicht.
IT-DIRECTOR: Welche Vorteile und Möglichkeiten bringt eine Auslagerung der Daten mit sich?
O. Bitterwolf: Grundsätzlich sparen die Unternehmen einen Großteil der Einmalkosten ein, wenn sie sich für eine CRM-Lösung aus der Cloud entscheiden. Erforderliche Investitionen beschränken sich auf die Integration in die eigene Systemlandschaft, da der Softwarekauf entfällt und Lizenzgebühren nur nach tatsächlicher Nutzung anfallen. Durch Service Level Agreements (SLA) lassen sich zudem Wartungsarbeiten und Notfalldienste über den Anbieter absichern, um im laufenden Betrieb Kostensicherheit zu gewährleisten.
IT-DIRECTOR: Welche Anforderungen müssen die Anwender hier erfüllen? Und welche Herausforderung bringt eine CRM-Auslagerung für sie mit?
O. Bitterwolf: CRM-Anbieter stehen auf operativer Ebene in der Pflicht, die Verfügbarkeit der angebotenen Lösung sicherzustellen. Als sicher gelten Tier-III-Systeme, die eine maximale Ausfallzeit von weniger als einer Stunde pro Jahr garantieren. Dabei erweist sich die Integrität des Anbieters als unverzichtbar, damit die Daten tatsächlich nur für den vertraglich vereinbarten Zweck auf fremden Servern landen. Viele Unternehmen übersehen dabei häufig den Kündigungsfall – einmal ausgelagerte Daten müssen sich zu jeder Zeit rückführen und restlos von den Servern des Anbieters löschen lassen können. Es ist unbedingt erforderlich, Ausstiegsszenarien vorab mit dem Dienstleister vertraglich auszuarbeiten.
IT-DIRECTOR: Derzeit befindet sich eine neue Grundverordnung zum Datenschutz in der EU in der Abstimmung, mit der die Regeln für die Verarbeitung von personenbezogenen Daten vereinheitlicht werden sollen. Welche Änderungen erwarten Sie?
O. Bitterwolf: In Deutschland dürften die EU-Pläne kaum für Anpassungsdruck in der IT-Branche sorgen, da die derzeit gültigen Bestimmungen bereits besonders streng sind. Die Vereinheitlichung zielt eher darauf ab, das Mindestmaß an Datenschutz anzuheben, um die insbesondere durch die Debatte um Facebook identifizierte Kluft zwischen einzelnen Mitgliedsstaaten abzumildern. Beim Thema CRM empfehle ich dagegen, einfach einen Cloud-Anbieter zu wählen, der sich vertraglich auf die zu erwartenden EU-Standards oder die bestehenden Datenschutzregeln aus Deutschland verpflichtet.
IT-DIRECTOR: Inwieweit wird diese neue Grundverordnung den CRM-Markt beeinflussen – sowohl positiv als auch negative?
O. Bitterwolf: Auf dem deutschen Markt erwarte ich keine tiefgreifenden Veränderungen, die sich allein aus dieser Initiative ergeben. Durch die geplante EU-Grundverordnung ändert sich an der Qualität der strengen Datenschutzrichtlinien zunächst nur wenig. Der Vorteil liegt eher darin, zusätzliche Sicherheit bei Datendienstleistern aus dem Ausland zu erlangen, die mit Daten europäischer Kunden arbeiten.
IT-DIRECTOR: Welchen Einfluss wird das Ganze auf Kunden außerhalb der EU haben? Gilt hier dann auch der Datenschutz nach deutschen Regeln?
O. Bitterwolf: Sofern Kunden einen europäischen CRM-Anbieter wählen, gelten die Anforderungen aus der geplanten EU-Grundverordnung zum Datenschutz. Bei Anbietern beispielsweise aus den USA dürfte es zu einem California Effect kommen. Ähnlich wie die im Landesvergleich strengeren Datenschutzregeln in Kalifornien dürfte die neue europäische Grundverordnung zu höheren Standards in umliegenden Ländern führen. Die geplante Verordnung erweitert in diesem Sinne die bislang einschlägige „Safe Harbor“-Entscheidung der Europäischen Kommission, die eine Übermittlung personenbezogener Daten in die USA geregelt hat. Ein Anspruch auf Datenschutz nach deutschen Regeln besteht demnach nicht, zumal die Grundverordnung den EU-Mitgliedsstaaten nur geringeren Spielraum bietet, auf nationaler Ebene eventuelle Verschärfungen durchzusetzen.
IT-DIRECTOR: Wird die neue Grundversordnung Ihrer Meinung nach der massenhaften Ausspähung von Daten im Internet einen Riegel vorschieben?
O. Bitterwolf: Datenschutzrichtlinien betreffen vor allem den Umgang mit legal erworbenen Informationen und eignen sich daher, um Missbräuchen vorzubeugen. Moderne Compliance-Management-Systeme, effektives Rechtemanagement und zertifizierte Anwendersysteme tragen zu mehr Datensicherheit bei. Das gezielte Abfangen von Informationen oder die Auswertung von im Prinzip frei verfügbaren Daten etwa aus sozialen Netzwerken lässt sich damit jedoch kaum wirksam einschränken. In diesem Zusammenhang dürfte sich die Diskussion eher zu einem „Recht auf Vergessen“ entwickeln, um sensible Daten zu löschen und damit vor einer nicht autorisierten Weitergabe zu schützen.
IT-DIRECTOR: Wie wird sich der CRM-Markt generell in den kommenden Monaten wandeln?
O. Bitterwolf: Neben den für Anbieter und Kunden relevanten Sicherheitsaspekten steht die Integration mobiler Services ganz oben auf der Prioritätenliste. Schnittstellen zur Anbindung von Tablet und Smartphone dürften bald zum Standard jeder CRM-Suite gehören. Technisch bedeutet das, die Entwicklung von flexiblen Schnittstellen voranzutreiben, um plattformübergreifend zu arbeiten und in diesem Zusammenhang auch Lösungen aus der Cloud zu berücksichtigen. Denn Cloud-Services bleiben ein langfristiger Trend. Auf Anwenderseite rückt das Thema Personalisierung in den Mittelpunkt, da zunehmend für bestimmte Einsatzzwecke optimierte Lösungen gefragt sind.
