Vergangene Woche hat WhatsApp verkündet, dass alle Nachrichten, Anrufe, Bilder und Sprachnachrichten nun durchgehend Ende-zu-Ende verschlüsselt werden. Das ist eine gute Nachricht für die Privatsphäre von sehr vielen Nutzern weltweit. In vielen Firmen kam prompt die Frage auf: Dann können wir WhatsApp jetzt ja bedenkenlos für die Arbeit nutzen, oder? Unsere Antwort zum Thema WhatsApp in der Firma und Datenschutz: Die Verschlüsselung löst ein Problem, aber nicht das wichtigste.
Was die Ende-zu-Ende-Verschlüsselung bedeutet
Bei einer Ende-zu-Ende-Verschlüsselung werden Nachrichten auf dem Gerät des Absenders verschlüsselt und erst auf dem Gerät des Empfängers wieder lesbar gemacht. Dazwischen, also auch auf den Servern von WhatsApp, liegen sie nur verschlüsselt vor. Selbst der Anbieter kann den Inhalt nach eigener Aussage nicht lesen. WhatsApp setzt dabei auf ein Verschlüsselungsverfahren, das in Fachkreisen einen guten Ruf hat.
Das ist ein echter Fortschritt. Wer Nachrichten mitliest, etwa in einem offenen WLAN, sieht nur Datensalat.
Was die Verschlüsselung nicht löst
Das Adressbuch
Das größte Datenschutzproblem von WhatsApp im Unternehmen hat mit der Verschlüsselung gar nichts zu tun. Um zu zeigen, welche Kontakte WhatsApp nutzen, gleicht die App das Adressbuch des Smartphones mit den Servern des Anbieters in den USA ab. Dabei werden die Telefonnummern aller Kontakte übertragen, auch von Personen, die WhatsApp gar nicht nutzen. Auf einem Diensthandy sind das Kunden, Lieferanten, Bewerber und Kollegen. Für diese Übermittlung haben Sie als Unternehmen in aller Regel keine Rechtsgrundlage, denn keiner dieser Kontakte hat eingewilligt.
Metadaten
Verschlüsselt wird der Inhalt. Wer wann mit wem kommuniziert, wie oft und von wo, bleibt für den Anbieter sichtbar. Diese Metadaten sind oft aufschlussreicher, als man denkt.
Datenübermittlung in die USA
Seit der Europäische Gerichtshof im Oktober das Safe-Harbor-Abkommen gekippt hat, ist die Übermittlung personenbezogener Daten in die USA rechtlich schwieriger geworden. Die EU und die USA haben zwar einen Nachfolger namens „Privacy Shield“ angekündigt, in Kraft ist er aber noch nicht.
Kontrolle und Aufbewahrung
Geschäftliche Kommunikation kann Aufbewahrungspflichten unterliegen, etwa wenn ein Auftrag per Nachricht erteilt wird. Was in WhatsApp-Chats auf privaten Handys liegt, ist für das Unternehmen weder auffindbar noch archivierbar. Und wenn ein Mitarbeiter das Unternehmen verlässt, nimmt er die Kundenkommunikation einfach mit.
Die Bewertung auf einen Blick
| Thema | Mit Verschlüsselung gelöst? |
|---|---|
| Mitlesen von Inhalten durch Dritte | weitgehend ja |
| Weitergabe von Kontaktdaten aus dem Adressbuch | nein |
| Metadaten beim Anbieter | nein |
| Rechtsgrundlage für Übermittlung in die USA | nein |
| Archivierung und Kontrolle durch das Unternehmen | nein |
| Verwaltung bei Verlust oder Ausscheiden | nein |
Was heißt das für die Praxis?
Ein komplettes Verbot ist in vielen Betrieben unrealistisch. Mitarbeiter nutzen WhatsApp privat, Kunden schreiben einfach drauflos, und gerade im Handwerk ist das schnelle Foto von der Baustelle Gold wert. Statt zu verbieten, sollten Sie klare Regeln aufstellen.
Unsere Empfehlungen
- Keine WhatsApp-Nutzung auf Diensthandys mit Firmenkontakten, solange der Adressbuch-Abgleich nicht unterbunden werden kann.
- Einen Messenger für die Firma festlegen, der ohne Adressbuchzugriff funktioniert, zentral verwaltet werden kann und seine Server möglichst in Europa betreibt. Solche Lösungen für Unternehmen gibt es.
- Keine sensiblen Daten per Messenger: Gesundheitsdaten, Personalangelegenheiten, Vertragsdetails und Passwörter haben dort nichts zu suchen.
- Wichtige Absprachen dokumentieren: Aufträge, Freigaben und Änderungen zusätzlich per E-Mail bestätigen oder ins System übertragen.
- Richtlinie schriftlich festhalten und mit den Mitarbeitern besprechen. Gibt es einen Betriebsrat, sollte er frühzeitig einbezogen werden.
Und wenn Kunden per WhatsApp schreiben?
Das lässt sich nicht verhindern und muss auch nicht verteufelt werden. Antworten Sie freundlich und bieten Sie für alles Weitere einen anderen Kanal an, etwa E-Mail oder Telefon. Für Fotos von Schäden oder Baustellen kann ein Upload-Link oder eine Firmen-App eine Alternative sein. Wichtig ist, dass Sie aktiv entscheiden, welche Kommunikationswege Ihr Unternehmen anbietet, statt es dem Zufall zu überlassen.
Häufige Fragen aus Unternehmen
Was ist mit privaten Handys, die auch dienstlich genutzt werden?
Hier wird es besonders unübersichtlich, denn auf dem Gerät liegen private und geschäftliche Kontakte gemischt. Wenn Mitarbeiter ihr privates Smartphone für die Arbeit nutzen, sollten Sie schriftlich regeln, welche Apps für Firmenkommunikation erlaubt sind und wie Firmendaten getrennt werden. Technisch helfen Lösungen, die einen abgetrennten Firmenbereich auf dem Gerät schaffen.
Kann man WhatsApp den Zugriff auf das Adressbuch verweigern?
Je nach Betriebssystem lässt sich der Zugriff in den Einstellungen einschränken. Die App ist dann aber nur noch umständlich zu bedienen, weil Kontakte nicht mehr mit Namen angezeigt werden. Als dauerhafte Lösung für den Betrieb taugt das kaum.
Ist WhatsApp für Gruppen im Team erlaubt?
Für reine Organisationsfragen wie „Wer bringt morgen den Schlüssel mit?“ ist das Risiko überschaubar. Kundendaten, Fotos mit Personen oder vertrauliche Inhalte gehören dort aber nicht hinein.
Ausblick
Der Datenschutz bleibt in Bewegung. Die neue EU-Datenschutz-Grundverordnung steht kurz vor der endgültigen Verabschiedung und wird die Anforderungen an Unternehmen in den kommenden Jahren weiter verschärfen. Spätestens dann wird eine saubere Regelung für Messenger im Betrieb keine Kür mehr sein. Wer sie heute schon trifft, hat später weniger Stress.
Wir helfen Ihnen gerne
Sie möchten eine praxistaugliche Regelung für Messenger und Diensthandys in Ihrem Unternehmen? Das Datenschutz-Team der Mittelstandsoptimierer unterstützt Sie bei der Auswahl einer passenden Lösung und bei der Richtlinie für Ihre Mitarbeiter. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
