Richtig gemacht ist eine interne Dokumentation der Weg, wie ein Unternehmen beim Wachsen konsistent und kohärent bleibt. Schlecht gemacht wird sie zu einem Risiko.

Wenn die interne Dokumentation nur ein Nebengedanke ist, führt das zu zwei Problemen.

Das erste ist Desorganisation, was zu falschen Versionen führt, vergrabenen Richtlinien und Onboarding-Materialien, die niemand mehr aktualisiert hat, seit das Unternehmen halb so groß war wie heute. Das zweite ist die Offenlegung von Daten: Sensible Daten befinden sich an Orten, an denen sie nicht sein sollten.

Die meisten Teams verwalten das erste Problem (auch wenn sie sich davon überfordert fühlen). Das zweite Problem ist schwerer zu lösen, aber wesentlich gefährlicher, wenn es nicht gelöst wird.

Sensitive internal data is a common breach vector across industries. Proton research shows that 39% of businesses report experiencing a cybersecurity incident caused by human error. Often, it’s just well-meaning colleagues making mistakes with sensitive files.

Hier ist ein praktisches Framework für das interne Wissensmanagement, das sensible Daten schützt, ohne es deinem Team zu erschweren, seine Arbeit zu tun.

Das Organisationsproblem

Wenn interne Dokumente ungeordnet sind, wirst du das schnell merken. Vor allem wegen der Frustration und Verwirrung, die dies in deinem gesamten Unternehmen verursacht.

Sagen wir zum Beispiel, es gibt drei Versionen des Mitarbeiterhandbuchs in deinem Drive, plus Onboarding-Materialien, die nicht mehr aktualisiert wurden, seit das Unternehmen 10 Mitarbeiter auf der Gehaltsliste hatte. Dies macht das Onboarding langsam und inkonsistent und vermittelt neuen Mitarbeitern einen falschen Eindruck davon, wie dein Unternehmen funktioniert.

Oder nehmen wir an, dass mehrere wichtige Unternehmensrichtlinien nicht in einem klar markierten Ordner liegen, sondern irgendwo in einem E-Mail-Thread vergraben sind. Führungskräfte müssen die Richtlinien erraten und können sie nicht konsistent durchsetzen. Ein Mitarbeiter erhält eine Antwort, ein anderer eine andere.

Desorganisation lässt sich mit dem richtigen System beheben (dazu kommen wir gleich). Aber es gibt ein zweites Problem, das du nicht mit einer besseren Ordnerstruktur lösen kannst.

Das Sicherheitsproblem

Wie gut dein Dokumentenspeicher auch organisiert sein mag: Wenn die Prozesse und Tools für den Umgang mit diesen Dokumenten unzureichend sind, werden sensible Informationen offengelegt.

Das können in einem geteilten Google-Tabellenblatt gespeicherte Gehaltsbänder sein, in einen Slack-Kanal kopierter Quellcode oder API-Schlüssel, ein per E-Mail als Anhang versendeter Kundenvertrag oder Interviewnotizen von Bewerbern mit personenbezogenen Daten, die unachtsam weitergeleitet wurden und nun in sechs Posteingängen liegen.

Wenn leicht zu übersehende Praktiken wie diese zu einem Datenleck führen, hast du es nicht mehr nur mit frustrierten Kollegen und blockierten Prozessen zu tun. Stattdessen drohen dir Rufschädigung und empfindliche Geldstrafen.

Viele dieser Daten, seien es Mitarbeiterakten, Kundeninformationen oder finanzielle Details, sind personenbezogene oder sensible Daten im Sinne der GDPR. Das bedeutet, wer auch immer damit umgeht, ist dafür verantwortlich, wie sie gespeichert, wie darauf zugegriffen und wie sie geteilt werden. Und Missgeschicke entfernen die Schuld nicht.

Im Jahr 2022 reagierte ein HR-Mitarbeiter von UNIQLO auf eine Gehaltsanfrage, indem er versehentlich eine PDF-Datei mit den Gehaltsdaten von 446 Mitarbeitern per E-Mail versendete. Die spanische Datenschutzbehörde belegte UNIQLO mit einer Geldstrafe von 270.000 €(neues Fenster). Das Datenleck wurde nicht von Hackern verursacht. Es lag am Fehlen organisatorischer Maßnahmen rund um einen HR-Routineprozess.

Wie du ein internes Dokumentationssystem aufbaust, das beide Probleme löst

Betrachte das, was du aufbaust, als ein sicheres Firmen-Wiki. Du wirst vier Kategorien interner Dokumentation benötigen, jede mit unterschiedlichen Vertraulichkeitsstufen und Zugriffsanforderungen.

Kategorie 1: Referenzwissen

Dies ist das material, das jeder Mitarbeiter selbstständig finden können sollte: Unternehmensrichtlinien, Markenrichtlinien, Anleitungen, Tool-Dokumentation, Organigramme. Bei der Absicherung dieser Kategorie geht es nicht darum, den Zugriff einzuschränken – es geht um Genauigkeit. Konzentriere dich auf die Versionskontrolle (eine aktuelle Version, nicht fünf widersprüchliche Kopien, die im Umlauf sind) und eine klare Zuständigkeit (eine namentlich genannte Person, die dafür verantwortlich ist, jedes Dokument auf dem neuesten Stand zu halten).

Kategorie 2: Team- und Projektwissen

Hier findet die meiste tägliche Arbeit statt: Projektpläne, Prozessdokumentationen, Besprechungsnotizen, Roadmaps, interne Playbooks. Sie erfordern keinen unternehmensweiten Zugriff, also schütze sie stattdessen mit Berechtigungen auf Team- oder Projektebene. Wie das Referenzwissen benötigt jedes Dokument einen namentlich genannten Eigentümer und einen Überprüfungszyklus, da es sonst unbemerkt veraltet.

Kategorie 3: Vertrauliche und regulierte Daten

Dies ist die Kategorie mit dem höchsten Risiko, und sie existiert in jeder Abteilung: Finanzberichte und -prognosen, rechtliche Verträge, Mitarbeiter- und Kundendaten, strategische Pläne, Sicherheitsanmeldedaten. Diese erfordern einen streng beschränkten Zugriff, der auf die spezifischen Personen oder Teams begrenzt ist, die sie benötigen. (Ein Passwort reicht hier nicht aus. Du benötigst eine Ende-zu-Ende-Verschlüsselung.)

Diese Art von Daten sollte auch nicht an E-Mails angehängt, auf persönlichen Drives gespeichert oder über Links ohne Ablaufdatum geteilt werden.

Proton Drive ist ein Cloud-Speicher für Unternehmen, der diese Kategorie mit Zero-Knowledge- Verschlüsselung verarbeitet – nicht einmal Proton kann die Inhalte lesen – plus granularen Zugriffskontrollen, die sensible Daten dort halten, wo sie hingehören.

Kategorie 4: Extern geteilte Materialien

Einige Dokumente müssen dein internes System vorübergehend verlassen: Onboarding-Pakete für Neueinstellungen, mit Auftragnehmern oder Anbietern geteilte Dateien, Materialien, die während eines Projekts an Kunden gesendet werden. Das ist genau deshalb knifflig, weil oft Zugriff gewährt werden muss, bevor eine Beziehung vollständig geprüft wurde. Die Lösung ist einfach: Setze Links so, dass sie ablaufen, richte den Zugriff im Voraus ein, anstatt ihn ad hoc zu gewähren, und widerrufe ihn in dem Moment, in dem er nicht mehr benötigt wird.

Proton Drive legt standardmäßig Ablaufdaten für Links fest, sodass geteilte Materialien automatisch ablaufen, ohne dass jemand daran denken muss, sie zu widerrufen.

Die Wahl der richtigen Plattform für ein sicheres internes Wissensmanagement

Das von uns beschriebene Framework kann auf jeder Plattform verwendet werden. Aber nicht jede beliebige Plattform kann sicherstellen, dass sich das Framework selbst durchsetzt, anstatt sich darauf zu verlassen, dass die Leute daran denken, es zu befolgen.

Menschliche Fehler schleichen sich unweigerlich ein, wenn du dich auf manuelle Prozesse verlässt, um Ablaufdaten für geteilte Links festzulegen, den Zugriff beim Offboarding zu überprüfen und Berechtigungsstufen beizubehalten, während das Team wächst. Aber mit der richtigen Plattform kann dein Framework durch Automatisierung durchgesetzt werden.

Es gibt eine zweite Anforderung an deine Plattform: ein Design, bei dem die Privatsphäre an erster Stelle steht. Viele für Verbraucher konzipierte Plattformen sind nicht für die Speicherung sensibler Informationen ausgelegt: Tatsächlich erfassen sie standardmäßig Dokumenteninhalte, um sie in ihre Suchindexierung und KI-Funktionen einzuspeisen.

Die meisten Unternehmen würden nicht im Traum daran denken, Kunden-Daten in einem ungesicherten Google Drive-Ordner zu speichern. Mitarbeiterdaten verdienen denselben Standard. Die richtige Plattform übernimmt sowohl die Durchsetzung als auch die Ende-zu-Ende-Verschlüsselung.

Drei Entscheidungen, die dein System am Laufen halten

Eine gute Cloud-Plattform wird dein Sicherheits-Framework durchsetzen, aber selbst die besten Plattformen können deine Dokumente nicht für dich überprüfen und aktualisieren.

Eine nicht gepflegte Dokumentation birgt zwei Arten von Risiken.

Es gibt ein rechtliches Risiko: Ein veraltetes Disziplinarverfahren kann beispielsweise ein Gerichtsverfahren ungültig machen.

Es gibt ein kulturelles Risiko: Wenn die offizielle Dokumentation nicht die Realität widerspiegelt, bemerken das die Mitarbeiter und kommen zu dem Schluss, dass niemand die Kontrolle hat.

Befolge diese drei Regeln und du kannst beides vermeiden:

  • Jedes Dokument hat einen namentlich genannten Eigentümer (kein Team). Eine im Team geteilte Verantwortung ist eine Verantwortung, die niemand fühlt
  • Überprüfungsdaten werden bei der Erstellung festgelegt, nicht erst später hinzugefügt. Es ist schwierig, ein Dokument vor Gericht zu verteidigen, wenn es seit drei Jahren nicht mehr überprüft wurde (oder es keine Aufzeichnung darüber gibt, wann es zuletzt kontrolliert wurde)
  • Archiviere Dokumente, lösche sie nicht. Das Löschen von Dokumenten bedeutet Ärger, wenn du (oder eine Aufsichtsbehörde) jemals darauf zugreifen musst. Das Archivieren in einem klar gekennzeichneten Ordner hält dein System sauber, ohne dass Dokumente unwiederbringlich verloren gehen

Nichts davon erfordert einen dedizierten Wissensmanager. Nur drei Entscheidungen, die einmal getroffen (und vierteljährlich überprüft) werden.

Eine Compliance-Checkliste für die interne HR-Dokumentation

Denk daran: Du bist der für die Datenverarbeitung Verantwortliche. Die Verantwortung liegt nicht bei deinem Cloud-Anbieter, sondern bei dir.

  • Weißt du, wer Zugriff auf deine sensibelsten Dokumente hat – Finanz-, Rechts-, Mitarbeiter- oder Kundendaten – und ist diese Liste aktuell?
  • Sind sensible Dokumente im Ruhezustand verschlüsselt und nicht nur bei der Übertragung?
  • Haben geteilte Links zu sensiblen Dokumenten Ablaufdaten?
  • Gibt es einen dokumentierten Prozess zum Widerrufen des Zugriffs, wenn jemand das Unternehmen verlässt oder ein Projekt endet?
  • Kannst du ein Audit-Protokoll darüber erstellen, wer wann auf was zugegriffen hat?
  • Werden sensible Daten in einem Land mit strengen Gesetzen zum Schutz der Privatsphäre gespeichert, wie der Schweiz?
  • Hat jedes Dokument einen namentlich genannten Eigentümer und ein Überprüfungsdatum?
  • Werden ersetzte Dokumente eher archiviert als gelöscht?

Wenn du all diese Fragen mit Ja beantworten kannst, ist dein Dokumentationssystem in gutem Zustand.

Eine sichere Wissensdatenbank, der deine Mitarbeiter vertrauen können, und eine Plattform, um diese bereitzustellen

Das Framework in diesem Leitfaden gibt dir die Struktur. Du benötigst eine Plattform, die sie durchsetzt, damit die von dir festgelegten Sicherheitsstandards nicht davon abhängen, dass Menschen daran denken, sie anzuwenden.

Hier ist Proton Workspace genau das Richtige. Als eine Suite für sichere Zusammenarbeit, die auf Ende-zu-Ende-Verschlüsselung basiert und in der Schweiz gehostet wird, einem der Länder mit dem weltweit strengsten Schutz der Privatsphäre, bietet Proton Workspace deinem Team:

Deine Mitarbeiter vertrauen dir ihre sensibelsten Daten an. Es ist an der Zeit, ein internes Dokumentationssystem aufzubauen, das dieses Vertrauens würdig ist.

Starte die kostenlose Testversion von Proton Workspace