Hochsicherheitstrakt für vertrauliche Daten

Virtuelle Datenräume von DRS kommen etwa zum Einsatz, wenn viele Personen parallel Zugriff auf vertrauliche Dokumente über die eigenen Firmengrenzen hinweg benötigen. Typische Beispiele sind M&A-Transaktionen, bei denen äußerst vertrauliche Dokumente ausgetauscht werden müssen. Das gilt aber auch für große Immobilienverkäufe. Der Anbieter hat mit seinem virtuellen Datenraum beispielsweise über 60 Prozent der größten Immobilienverkäufe in Deutschland begleitet. Die Datenräume hierfür enthielten zusammen mehrere Millionen Seiten.

IT-DIRECTOR: Herr Hoffmeister, wie funktioniert das Berechtigungskonzept zur Sicherung Ihrer Datenräume?
J. Hoffmeister: Die Kunden können für jedes Projekt individuelle Regeln (Terms & Conditions) für die Nutzung des virtuellen Datenraums festlegen. Die Nutzer müssen diese vor jeder Datenraumnutzung akzeptieren, um Zugang zu erhalten. Der anschließende Zugriff auf die Daten wird durch ein mehrstufiges Berechtigungskonzept gesteuert. Datenraumnutzer mit administrativen Rechten sind in der Regel die DRS-Kunden und/oder beauftragte Dritte, wie zum Beispiel Berater, die den Datenraum im Administrationsbereich selbstständig verwalten können. Dazu gehört vor allem das eigenständige Dokumenten- (z.B. Import von Dateien in den Datenraum) und Nutzermanagement (z.B. Einladen von Nutzern in den Datenraum). Zudem gibt es Datenraumnutzer ohne administrative Rechte. Diese können die im Datenraum bereitgestellten Dokumente – je nach Berechtigung – ausschließlich sehen, sehen und drucken oder sehen, drucken sowie speichern.

Die Datenhoheit liegt dabei zu jedem Zeitpunkt beim Eigentümer der Daten, sprich beim Kunden. Alle Aktivitäten im Datenraum werden in Echtzeit protokolliert und dokumentiert. Da unser Kerngeschäft in der Abwicklung komplexer Transaktionen wie beispielsweise Firmenübernahmen liegt, ist ein ausgefeiltes Berechtigungskonzept entscheidend. Schließlich müssen im virtuellen Datenraum oft mehrere „feindliche“ Parteien auf die Dokumente zugreifen.

IT-DIRECTOR: Wie funktioniert die Authentifizierung für den Datenraum?
J. Hoffmeister: Die Anmeldung erfolgt durch einen individuellen Nutzernamen und ein Passwort, das der User zuvor selbst festlegt und das nur ihm bekannt ist. Dieses muss hohe Sicherheitsanforderungen (Länge, Sonderzeichen etc.) erfüllen. Sofern es vom Kunden gewünscht ist, kann optional die Gültigkeit dieser Passwörter beschränkt und der Datenraumzugang zusätzlich per PIN abgesichert werden. Im zuletzt genannten Fall bekommt der Nutzer bei jedem Anmeldeprozess eine einmal gültige PIN per SMS zugesandt. Als Besonderheit bieten wir eine zusätzliche Authentifizierung der IP-Adressen an. Damit kann nur von spezifischen PCs oder Firmennetzwerken aus über das Internet auf den virtuellen Datenraum zugegriffen werden.

IT-DIRECTOR: In welchem RZ werden die Daten vorgehalten?
J. Hoffmeister: Alle Hardware- und Softwarekomponenten, die unsere Anwendungen unterstützen, wie auch die anvertrauten Daten befinden sich in gesicherten Rechenzentren in Deutschland und der Schweiz. Diese werden von unserem Internet Service Provider (Colt Telecom) betreut, der von der British Standards Institution gemäß den Anforderungen der ISO/IEC 27001:2005 zertifiziert ist.

Die stete Verfügbarkeit wird seitens unseres Providers zeitlich zu 99,90 Prozent gewährleistet. Unsere Server sind Debian-basiert und gehärtet. Die Daten werden redundant gespiegelt und sowohl die Übertragung als auch die Speicherung der Daten selbst unterliegt einer SSL-Verschlüsselung mit AES-Verschlüsselungsalgorithmus und 256-Bit-Schlüssel.

IT-DIRECTOR: Was passiert nach Abschluss der Due Diligence?
J. Hoffmeister: Die berechtigten Parteien erhalten bei Abschluss der Transaktion DVDs, die den gesamten Datenraum, inklusive aller Dokumente, Fragen und Antworten, zum Zeitpunkt der Unterzeichnung enthalten. Diese können dann auch Bestandteil des Kaufvertrages werden. Sobald der Kunde die Schließung des virtuellen Datenraums veranlasst, werden alle Nutzerzugänge und sämtliche digitalen Daten von unseren Servern gelöscht. Viele Kunden nutzen die Möglichkeit, den Datenraum im „Freeze“-Modus auch nach der Transaktion für die Garantiephase bestehen zu lassen. So können die berechtigten Parteien im Fall von Rechtstreitigkeiten auch zu einem späteren Zeitpunkt sicher auf die Originaldokumente im Datenraum zugreifen.

IT-DIRECTOR: Inwieweit entspricht Ihre Lösung nationalen wie internationalen Compliance-Vorgaben?
J. Hoffmeister: Als europäisches Unternehmen unterliegen und erfüllen wir nicht nur die besonders hohen Datenschutzanforderungen Deutschlands und der Schweiz, sondern aller Länder, in denen wir aktiv sind. Hierbei spielen u.a. die Standorte unserer Server eine zentrale Rolle. Unsere Sicherheitsstandards werden in regelmäßigen Abständen von unseren Kunden wie Banken und Anwaltskanzleien im Zuge von Audits bestätigt. Auch intern führen wir mit unseren Mitarbeiter in fest definierten Intervallen Compliance- und Datenschutzschulungen durch.

IT-DIRECTOR: Wie kommen die Daten aus verschiedenen Firmen in den virtuellen Datenraum?
J. Hoffmeister: Für eine Due Diligence sind meist rechtliche Dokumente relevant, die oft in physisch unterzeichneter Form vorliegen. Dazu kommen digitale Präsentationen und Finanzberichte. Physisch vorliegende Dokumente werden von uns digitalisiert. Die Dateien können in allen gängigen Formaten auf verschiedenen Wegen hochgeladen werden. Viele Daten können so auch direkt aus Fremdsystemen überführt werden. Aus Sicherheitsgründen gibt es generell keine Schnittstellen zu anderen „Systemen“ oder zu Hardware- oder Softwarekomponenten von Fremdanbietern.

IT-DIRECTOR: Wie gestalten sich die Lizenzgebühren?
J. Hoffmeister: Wir bieten fallbezogene Abrechnungsmodelle an, die von dem jeweiligen Verwendungszweck und der damit verbundenen Datenraumlösung abhängig sind. Unser Preismodell basiert grundsätzlich auf einer periodenbezogenen Nutzungsgebühr, die von drei Monaten bis zu fünf Jahren reichen kann und dabei vom Datenvolumen und der Laufzeit abhängt.