CRM-Sicherheit beginnt nicht bei der Verschlüsselung
Ein Unternehmen führt ein modernes CRM ein, um Kundendaten zu bündeln, Vertriebsprozesse zu verbessern und Kommunikation zu personalisieren. Wenige Jahre später enthält das System zahlreiche doppelte Kontakte, veraltete Einwilligungen, frei formulierte Gesprächsnotizen und Zugriffsrechte ehemaliger Mitarbeitender. Daten aus Marketing, Vertrieb und Service wurden verbunden, doch niemand kann zuverlässig erklären, welche Informationen für welchen Zweck gespeichert werden und wer sie tatsächlich benötigt.
Technisch funktioniert das CRM. Strategisch ist jedoch ein unkontrollierter Datenbestand entstanden.
Genau hier liegt das häufig unterschätzte Risiko im Kundenbeziehungsmanagement. Unternehmen behandeln Datenschutz und Informationssicherheit oft als nachgelagerte Funktionen: Die IT schützt das System, die Rechtsabteilung formuliert Richtlinien und der Datenschutzbeauftragte prüft einzelne Prozesse. Die grundlegenden Entscheidungen über Datenerhebung, Nutzung und Aufbewahrung werden jedoch im operativen Geschäft getroffen.
Für die Geschäftsleitung ist CRM-Datenschutz deshalb mehr als eine Compliance-Frage. Er betrifft Risikomanagement, Prozessqualität, Vertrauenswürdigkeit und die Fähigkeit, Kundendaten wirtschaftlich sinnvoll zu nutzen. Ein CRM erzeugt nur dann Unternehmenswert, wenn seine Daten korrekt, relevant, geschützt und organisatorisch beherrschbar bleiben.
Das größte Risiko ist unklare Dateneigentümerschaft
In vielen Organisationen ist nicht eindeutig geregelt, wer für Kundendaten verantwortlich ist. Marketing ergänzt Interessen und Kampagnenreaktionen. Vertrieb dokumentiert Gespräche, Angebote und persönliche Einschätzungen. Der Kundenservice speichert Beschwerden und Problembeschreibungen. Externe Dienstleister importieren zusätzliche Informationen.
Jeder Bereich betrachtet seinen Beitrag als notwendig. Die Gesamtwirkung bleibt jedoch unbeaufsichtigt.
Dadurch entstehen widersprüchliche Datensätze, unterschiedliche Qualitätsstandards und schwer nachvollziehbare Verarbeitungszwecke. Eine Information kann ursprünglich für die Bearbeitung einer Anfrage erhoben und später für eine Kampagne, Segmentierung oder Prognose verwendet werden. Der Zweck verändert sich, ohne dass die rechtliche und strategische Grundlage erneut geprüft wird.
Das CRM wird dann zum gemeinsamen Speicher, aber nicht zu einem gemeinsam gesteuerten System.
Eine tragfähige Governance benötigt deshalb fachliche Eigentümerschaft. Für jede relevante Datenkategorie muss geklärt sein:
- Welcher Geschäftsprozess benötigt diese Information?
- Wer entscheidet über ihre Erhebung und Verwendung?
- Wer ist für Richtigkeit und Aktualität verantwortlich?
- Welche Bereiche dürfen darauf zugreifen?
- Wie lange wird sie benötigt?
- Wer veranlasst Korrektur, Einschränkung oder Löschung?
Diese Fragen können nicht allein von der IT beantwortet werden. Die IT stellt technische Möglichkeiten bereit. Zweck, Notwendigkeit und wirtschaftliche Verwendung sind Managemententscheidungen.
Ein voller Datensatz ist nicht automatisch ein wertvoller Datensatz
Viele CRM-Projekte folgen der Annahme, ein möglichst vollständiges Kundenprofil verbessere Vertrieb und Marketing. Deshalb werden Formulare erweitert, Datenquellen verbunden und Informationen über Jahre hinweg gespeichert.
Doch jede zusätzliche Information erhöht nicht nur das Analysepotenzial. Sie erhöht auch den Schutzbedarf, die Fehlerwahrscheinlichkeit und den Aufwand für Auskunft, Korrektur und Löschung.
Ein Vertriebsmitarbeiter kann beispielsweise persönliche Beobachtungen in einem Freitextfeld dokumentieren. Einige Notizen sind für die Zusammenarbeit relevant. Andere enthalten subjektive Bewertungen, private Details oder unbestätigte Annahmen. Diese Inhalte bleiben häufig über Jahre im System, werden von weiteren Mitarbeitenden gelesen und beeinflussen spätere Entscheidungen.
Das Problem liegt nicht nur in möglicher Unangemessenheit. Unstrukturierte Notizen sind schwer zu prüfen, zu aktualisieren und automatisiert zu löschen. Werden sie später für KI-gestützte Analysen oder Kundensegmentierung verwendet, können individuelle Vorurteile systematisch vervielfacht werden.
Die Datenschutz-Grundverordnung verpflichtet Unternehmen unter anderem zu Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung. Verantwortliche müssen zudem nachweisen können, dass diese Grundsätze eingehalten werden.
Datenminimierung bedeutet dabei nicht, grundsätzlich wenig zu wissen. Sie bedeutet, genau zu wissen, welche Informationen für einen legitimen Zweck erforderlich sind.
Rechtsgrundlagen müssen auf Prozesse abgebildet werden
Ein typischer Fehler besteht darin, eine allgemeine Einwilligung oder ein Vertragsverhältnis als pauschale Erlaubnis für sämtliche CRM-Aktivitäten zu interpretieren. Tatsächlich können innerhalb eines einzigen Kundendatensatzes unterschiedliche Verarbeitungen auf unterschiedlichen Rechtsgrundlagen beruhen.
Kontaktdaten können für die Vertragsdurchführung erforderlich sein. Bestimmte Kommunikation kann auf einer Einwilligung beruhen. Andere Verarbeitungen werden möglicherweise mit berechtigten Interessen begründet, sofern die jeweiligen Voraussetzungen erfüllt sind. Für sensible Daten gelten zusätzliche Anforderungen.
Diese Unterschiede müssen im CRM nicht nur juristisch dokumentiert, sondern operativ abgebildet werden. Andernfalls können Mitarbeitende und Automatisierungen nicht zuverlässig erkennen, welche Nutzung zulässig ist.
Ein Feld mit der Bezeichnung „Marketing erlaubt“ reicht häufig nicht aus. Das System sollte nachvollziehbar machen:
- Für welchen Kanal gilt die Auswahl?
- Welche Inhalte umfasst sie?
- Wann und wie wurde die Erklärung abgegeben?
- Welche Information wurde der Person zu diesem Zeitpunkt bereitgestellt?
- Wurde die Präferenz später verändert?
- Welche Verarbeitung läuft unabhängig von einer Einwilligung?
- Welche Kampagnen oder Segmente müssen bei einem Widerruf gestoppt werden?
Die DSGVO gilt technologieneutral. Sie erfasst automatisierte und strukturierte manuelle Verarbeitungen personenbezogener Daten. Auch pseudonymisierte oder verschlüsselte Informationen bleiben personenbezogen, wenn eine erneute Zuordnung zu einer Person möglich ist.
Für das Management folgt daraus: Die rechtliche Logik muss Bestandteil der Prozess- und Systemarchitektur sein. Eine Datenschutzerklärung außerhalb des CRM kann interne Steuerungsdefizite nicht ausgleichen.
Zugriffsrechte wachsen schneller, als sie zurückgenommen werden
CRM-Systeme sollen Zusammenarbeit ermöglichen. Deshalb erhalten Mitarbeitende häufig weitreichende Zugriffe. Im Laufe der Zeit wechseln Personen ihre Funktion, übernehmen Projekte oder verlassen das Unternehmen. Zusätzliche Dienstleister, Integrationen und Anwendungen erhalten ebenfalls Zugriff.
Berechtigungen werden meist schnell vergeben, wenn ein operativer Bedarf besteht. Ihre spätere Einschränkung hat selten dieselbe Priorität.
Dadurch entstehen kumulierte Zugriffsrechte. Ein Mitarbeiter kann weiterhin Kundendaten aus einem früheren Verantwortungsbereich einsehen. Ein externer Dienstleister behält Zugriff nach Projektende. Technische Konten besitzen weitreichende Rechte, obwohl ihre ursprüngliche Funktion verändert wurde.
Eine sichere Zugriffsarchitektur folgt dem Prinzip der Erforderlichkeit. Nutzer erhalten nur jene Rechte, die sie für ihre aktuelle Aufgabe benötigen. Kritische Aktionen wie Massenexporte, Berechtigungsänderungen oder umfangreiche Löschungen sollten zusätzlich kontrolliert werden.
Notwendig sind mindestens:
- rollenbasierte Berechtigungen,
- eindeutige persönliche Benutzerkonten,
- starke Authentisierung,
- regelmäßige Zugriffsüberprüfungen,
- zeitlich begrenzte Rechte für Projekte und Dienstleister,
- ein verbindlicher Prozess bei Rollenwechsel und Austritt,
- sowie Protokollierung besonders risikoreicher Aktivitäten.
Die Geschäftsleitung sollte nicht nur fragen, ob das CRM Berechtigungskonzepte unterstützt. Entscheidend ist, ob diese Konzepte aktuell gepflegt, überprüft und tatsächlich durchgesetzt werden.
Verschlüsselung schützt Daten, löst aber kein Governance-Problem
Verschlüsselung während Übertragung und Speicherung ist ein wichtiger Bestandteil der Sicherheit. Sie reduziert bestimmte Risiken bei Verlust, Diebstahl oder unbefugtem technischen Zugriff. Dennoch kann ein verschlüsseltes CRM organisatorisch unsicher bleiben.
Wenn ein autorisierter Nutzer zu viele Daten sehen kann, verhindert Verschlüsselung diesen Zugriff nicht. Wenn Informationen unnötig lange gespeichert werden, bleiben sie trotz Verschlüsselung vorhanden. Wenn Daten in Tabellen exportiert und lokal weiterverarbeitet werden, endet der Schutz möglicherweise außerhalb des CRM.
Sicherheit muss deshalb den gesamten Datenlebenszyklus abdecken:
- Erhebung: Werden nur notwendige Informationen aufgenommen?
- Übertragung: Sind Schnittstellen und Importe abgesichert?
- Speicherung: Sind Daten geschützt und sinnvoll getrennt?
- Nutzung: Werden Zugriffe auf legitime Zwecke begrenzt?
- Weitergabe: Sind Empfänger und Dienstleister kontrolliert?
- Export: Wie werden lokale Kopien verhindert oder geschützt?
- Archivierung und Löschung: Was geschieht nach Ende des Zwecks?
Eine Investition in technische Schutzmaßnahmen ist notwendig, aber ohne klare Prozesse unvollständig. CRM-Sicherheit ist kein einzelnes Produktmerkmal, sondern das Ergebnis mehrerer aufeinander abgestimmter Kontrollen.
Cloud-CRM verlagert Aufgaben, nicht die Verantwortung
Cloudbasierte CRM-Systeme bieten Skalierbarkeit, regelmäßige Aktualisierungen und professionelle Sicherheitsfunktionen. Dennoch entsteht häufig die falsche Annahme, der Anbieter übernehme damit auch die gesamte Datenschutzverantwortung.
Nach der DSGVO bestimmt der Verantwortliche die Zwecke und Mittel der Verarbeitung. Ein externer Anbieter verarbeitet Daten in der Regel im Auftrag und benötigt eine entsprechende vertragliche Grundlage. Das Unternehmen muss einen Dienstleister auswählen, der ausreichende Garantien für geeignete technische und organisatorische Maßnahmen bietet.
Für die Auswahl eines CRM-Anbieters reicht es daher nicht, Zertifikate und allgemeine Sicherheitsversprechen zu prüfen. Relevante Fragen sind:
- Wo werden Daten verarbeitet und gespeichert?
- Welche Unterauftragnehmer sind beteiligt?
- Wie werden Änderungen an der Dienstleisterkette kommuniziert?
- Welche Export- und Löschmöglichkeiten bestehen?
- Wie unterstützt der Anbieter Auskunfts- und Löschanfragen?
- Welche Protokolle und Sicherheitsinformationen sind verfügbar?
- Was geschieht mit Daten nach Vertragsende?
- Wie schnell informiert der Anbieter über Sicherheitsvorfälle?
- Wie hoch ist die technische und wirtschaftliche Wechselbarriere?
Auch die Abhängigkeit vom Anbieter ist ein Risikofaktor. Ein Unternehmen muss wissen, ob es Daten vollständig, strukturiert und rechtzeitig exportieren kann. Datensouveränität umfasst somit neben Datenschutz auch betriebliche Handlungsfähigkeit.
Schnittstellen vergrößern die Angriffs- und Kontrollfläche
Moderne CRM-Systeme sind mit E-Mail-Marketing, Support, Buchhaltung, Analysewerkzeugen, Formularen, sozialen Plattformen und KI-Diensten verbunden. Jede Integration verspricht einen vollständigeren Kundenblick und effizientere Prozesse.
Gleichzeitig vergrößert jede Schnittstelle die Zahl der Systeme, Konten und Dienstleister, die auf Kundendaten zugreifen oder Kopien davon erzeugen können.
Besonders riskant sind historisch gewachsene Integrationen, deren ursprünglicher Zweck nicht mehr besteht. Ein früher eingesetztes Kampagnenwerkzeug erhält weiterhin Daten. Eine Testumgebung enthält reale Kundeninformationen. Ein automatisierter Export überträgt mehr Felder, als der empfangende Prozess benötigt.
Unternehmen sollten deshalb ein aktuelles Datenflussmodell pflegen. Es muss zeigen, welche Informationen aus welcher Quelle in welches System gelangen, wofür sie verwendet werden und wie lange sie dort verbleiben.
Eine jährliche Liste der eingesetzten Werkzeuge genügt nicht. Jede neue Integration sollte vor der Aktivierung geprüft und nach Änderungen erneut bewertet werden. Nicht mehr benötigte Schnittstellen müssen vollständig deaktiviert werden, einschließlich technischer Schlüssel, Konten und gespeicherter Kopien.
Löschung ist eine betriebliche Fähigkeit
Viele CRM-Systeme sind für das Sammeln und Bewahren von Informationen optimiert. Die kontrollierte Löschung über verbundene Systeme hinweg ist deutlich schwieriger.
Ein Kundendatensatz kann im CRM entfernt werden, während Kopien in Marketingplattformen, Exportdateien, Backups, Servicewerkzeugen oder Analyseumgebungen bestehen bleiben. Auch Aufbewahrungspflichten können dazu führen, dass bestimmte Informationen weiter gespeichert werden müssen, während andere Bestandteile gelöscht oder eingeschränkt werden sollten.
Pauschale Löschfristen sind deshalb häufig ungeeignet. Unternehmen benötigen ein Konzept, das Datenkategorien, Zwecke und rechtliche Anforderungen unterscheidet.
Ein wirksamer Prozess beantwortet:
- Wann endet der ursprüngliche Verarbeitungszweck?
- Welche gesetzlichen Aufbewahrungspflichten gelten?
- Welche Daten müssen gesperrt statt unmittelbar gelöscht werden?
- Welche Systeme und Dienstleister enthalten Kopien?
- Wie werden Backups behandelt?
- Wie wird die Umsetzung dokumentiert?
- Wer prüft regelmäßig, ob die Regeln technisch funktionieren?
Löschung ist damit keine administrative Abschlussaufgabe. Sie muss als Systemfunktion geplant, getestet und kontrolliert werden.
Datenqualität und Datenschutz verstärken sich gegenseitig
Datenschutz wird gelegentlich als Einschränkung datenbasierter Vertriebsarbeit betrachtet. In der Praxis können klare Datenschutzregeln die Datenqualität verbessern.
Wenn jedes Feld einen definierten Zweck besitzt, sinkt die Menge irrelevanter Informationen. Wenn veraltete Daten regelmäßig korrigiert oder gelöscht werden, werden Segmentierung und Prognosen zuverlässiger. Wenn Kunden ihre Präferenzen transparent verwalten können, basieren Kampagnen weniger auf Vermutungen.
Ein CRM mit Millionen unvollständiger oder veralteter Datensätze ist kein wertvoller Vermögenswert. Es erzeugt Analysefehler, falsche Kommunikation und operative Kosten.
Das Management sollte deshalb Datenqualität und Datenschutz nicht in getrennten Berichten behandeln. Gemeinsame Kennzahlen können beispielsweise zeigen:
- Anteil vollständig dokumentierter Verarbeitungszwecke,
- Zahl veralteter oder doppelter Datensätze,
- Umfang ungenutzter Felder,
- Zahl überfälliger Löschvorgänge,
- Berechtigungen außerhalb aktueller Rollen,
- Bearbeitungszeit von Auskunfts- und Korrekturanfragen,
- sowie fehlgeschlagene oder widersprüchliche Einwilligungsstatus.
Diese Größen zeigen, ob die Organisation ihre Kundendaten tatsächlich beherrscht.
Sicherheitsvorfälle brauchen vorbereitete Entscheidungen
Ein CRM-Vorfall kann verschiedene Formen annehmen: gestohlene Zugangsdaten, unberechtigte Exporte, Fehlkonfigurationen, versehentliche Offenlegung oder ein Angriff auf einen Dienstleister. In solchen Situationen entscheidet nicht nur die technische Abwehr über den Schaden. Ebenso wichtig sind Geschwindigkeit und Qualität der organisatorischen Reaktion.
Unternehmen müssen vor einem Vorfall wissen:
- Wer bewertet das Risiko?
- Wer darf Systeme oder Schnittstellen abschalten?
- Welche Protokolle stehen für die Untersuchung zur Verfügung?
- Wie werden Geschäftsleitung und Datenschutzbeauftragte eingebunden?
- Wer kommuniziert mit Aufsichtsbehörden, Kunden und Dienstleistern?
- Wie werden Entscheidungen dokumentiert?
- Welche Ersatzprozesse sichern den Geschäftsbetrieb?
Nach der DSGVO muss ein meldepflichtiger Datenschutzverstoß grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden. Eine Meldung ist nicht in jedem Fall erforderlich, sondern hängt insbesondere vom Risiko für die Rechte und Freiheiten natürlicher Personen ab. Bei hohem Risiko kann zusätzlich eine Benachrichtigung der Betroffenen notwendig sein.
Diese Frist lässt sich nicht durch improvisierte Abstimmungen erfüllen. Verantwortlichkeiten, Kontaktwege und Bewertungskriterien müssen vorher feststehen und regelmäßig geübt werden.
Schulung muss an realen Entscheidungen ansetzen
Allgemeine Datenschutzunterweisungen sind notwendig, verändern aber nicht automatisch das Verhalten im CRM. Mitarbeitende benötigen Orientierung für konkrete Situationen.
Vertriebsmitarbeiter müssen beispielsweise wissen, welche Gesprächsinhalte dokumentiert werden dürfen und welche Bewertungen unangemessen sind. Marketingteams müssen erkennen, wann eine Segmentierung einen neuen Zweck darstellt. Administratoren benötigen klare Regeln für Exporte, Testumgebungen und Zugriffsfreigaben. Führungskräfte müssen verstehen, dass kurzfristiger Vertriebsnutzen keine unbegrenzte Datensammlung rechtfertigt.
Wirksame Schulungen orientieren sich deshalb an Rollen und typischen Entscheidungen. Sie kombinieren Regeln mit realistischen Szenarien:
- Darf diese Information im Freitextfeld gespeichert werden?
- Kann eine bestehende Kundendatei für eine neue Kampagne verwendet werden?
- Wer darf eine umfangreiche Kontaktliste exportieren?
- Was geschieht, wenn ein Kunde seine Einwilligung widerruft?
- Wie wird ein möglicher Datenabfluss gemeldet?
Mitarbeitende sollten nicht nur wissen, was verboten ist. Sie müssen einen sicheren und praktikablen Handlungsweg kennen.
Ein Entscheidungsrahmen für die Geschäftsleitung
Vor der Erweiterung eines CRM-Systems oder der Einführung neuer datenbasierter Funktionen sollten Führungskräfte acht Fragen beantworten:
- Welcher konkrete Geschäftsprozess benötigt die Daten?
Ein möglicher späterer Nutzen ist kein ausreichend präziser Zweck. - Welche Daten sind für diesen Prozess tatsächlich erforderlich?
Verfügbarkeit darf nicht mit Notwendigkeit verwechselt werden. - Auf welcher Grundlage erfolgt die Verarbeitung?
Rechtsgrundlage, Information und gegebenenfalls Einwilligung müssen zum konkreten Zweck passen. - Wer besitzt fachliche Verantwortung?
Jede Datenkategorie benötigt einen eindeutigen Eigentümer. - Welche Personen und Systeme erhalten Zugriff?
Rechte müssen begrenzt, überprüfbar und widerrufbar sein. - Wann endet der Bedarf?
Aufbewahrung und Löschung sind vor der Datenerhebung zu definieren. - Welche Abhängigkeiten entstehen durch Anbieter und Integrationen?
Unterauftragnehmer, Datenstandorte, Exportfähigkeit und Wechselrisiken gehören in die Bewertung. - Wie wird ein Fehler erkannt und beherrscht?
Protokollierung, Eskalation, Wiederherstellung und Kommunikation müssen vorbereitet sein.
Fazit: Verantwortungsvolle CRM-Nutzung ist Führungsarbeit
Ein sicheres CRM entsteht nicht allein durch starke Passwörter, Verschlüsselung oder eine aktuelle Datenschutzerklärung. Diese Elemente sind wichtig, lösen jedoch nicht das zentrale Problem: Kundendaten benötigen über ihren gesamten Lebenszyklus klare Zwecke, Eigentümer, Zugriffsregeln und Löschentscheidungen.
Die eigentliche Managementaufgabe besteht darin, den wirtschaftlichen Nutzen der Daten mit den Rechten der Kunden und dem Risikoprofil des Unternehmens zu verbinden. Je stärker Vertrieb, Marketing und Service automatisiert werden, desto wichtiger wird diese Steuerungsfähigkeit.
Ein gut geführtes CRM enthält daher nicht möglichst viele Daten. Es enthält die richtigen Daten, für nachvollziehbare Zwecke, in verlässlicher Qualität und unter kontrollierten Bedingungen.
Eine strukturierte Analyse kann sichtbar machen, wo im bestehenden CRM unklare Verantwortlichkeiten, übermäßige Zugriffe, veraltete Daten oder riskante Integrationen bestehen. Eine kostenlose Erstanalyse kann über die Kontaktmöglichkeiten auf der Website angefragt werden.