Vertrauliche Inhalte präsentieren: Datenschutz für Vorstandssitzungen

Ein Vorstandsdeck gehört zu den sensibelsten Dokumenten, die die meisten Organisationen erstellen: unveröffentlichte Finanzzahlen, Übernahmegespräche, Restrukturierungspläne, also Dinge, die Märkte oder Karrieren bewegen, wenn sie zu früh nach außen dringen. Dennoch wird das Tool, mit dem es präsentiert wird, oft weniger genau geprüft als das Tool, mit dem der Besprechungsraum gebucht wird. Datenschutz für Vorstandssitzungen verdient dieselbe Sorgfalt wie die Zahlen selbst, und er beginnt mit einer Frage, die kaum jemand stellt: Wohin geht das Deck eigentlich, sobald Sie auf Präsentieren klicken?

Dieser Leitfaden beantwortet genau diese Frage praxisnah, geschrieben für alle, die sie vor der nächsten Vorstandssitzung beantworten müssen, nicht erst, wenn etwas schiefgegangen ist.

Die Frage, die niemand stellt, bis es zu spät ist

Die meisten Präsentations- und Screen-Sharing-Tools laden Ihre Inhalte auf einen Server hoch, bevor sie den Zuschauern angezeigt werden. Das ist nicht unbedingt böswillig, oft ist es einfach der bequemste Weg, eine Bildschirmfreigabe zu bauen, aber es bedeutet, dass Ihr Vorstandsdeck auf einer Infrastruktur liegt, die Sie nicht kontrollieren, und zwar so lange, wie es die Aufbewahrungsrichtlinie des Anbieters vorsieht.

Für die meisten Präsentationen ist das ein beherrschbares Risiko. Bei einem Vorstandsdeck, einem M&A-Gespräch oder unveröffentlichten Ergebnissen lohnt es sich, direkt nachzufragen: Speichert dieses Tool jemals unsere Inhalte, und wenn ja, wo und wie lange? Die Antwort entscheidet darüber, ob Ihr Risiko mit dem Ende der Sitzung endet oder still auf dem Server eines anderen weiterbesteht, lange nachdem alle ihre Laptops zugeklappt haben.

Was „verlässt nie Ihr Gerät“ wirklich bedeutet

Die stärkste Antwort auf diese Frage ist architektonisch, nicht prozedural: Inhalte, die nie hochgeladen werden, können bei einem Sicherheitsvorfall des Präsentationstools nicht offengelegt werden, Punkt. Genau dieses Modell nutzt die Desktop-App von Cliqer. Die App steuert Ihre Präsentationssoftware (PowerPoint, Keynote, Google Slides und andere) direkt auf dem Computer, der die Folien zeigt. Befehle zum Weiterschalten, Zeigerpositionen und etwaige Bildschirm- oder Kamerastreams laufen über verschlüsseltes WebRTC direkt zwischen den Teilnehmenden oder in restriktiven Netzwerken über ein verschlüsseltes Relay. Die Folien selbst werden nie auf einen Server hochgeladen.

Diese Unterscheidung sollten Sie Ihrem Vorstand oder Ihrer Rechtsabteilung ausdrücklich erklären: Es geht nicht darum, dass die Inhalte beim Speichern verschlüsselt werden, sondern darum, dass es überhaupt keine gespeicherte Kopie gibt, die verschlüsselt werden müsste.

Was übertragen wird und wie es geschützt ist

Nichts wird im luftleeren Raum präsentiert. Einige Daten werden durchaus zwischen der Raumkoordinationsebene und den Teilnehmenden übertragen, und es lohnt sich, genau zu wissen, welche:

Die vollständige Aufschlüsselung, eigens für Sicherheitsprüfungen erstellt, finden Sie im Datenflussdiagramm, das auch zeigt, was flüchtig und was gespeichert ist.

Kontrollieren, wer im Raum ist

Der Schutz der Inhalte ist nur die halbe Arbeit. Die andere Hälfte besteht darin, sicherzustellen, dass die richtigen Personen, und nur die richtigen Personen, überhaupt im Raum sind.

• Zugang nur per Einladung. Einem Raum tritt man über einen bestimmten Link oder Code bei, nicht über eine öffentliche Liste.
• Der Host sieht alle Teilnehmenden und kann während der Sitzung jede Person entfernen oder blockieren.
• Für Teams mit formalen Zugriffsanforderungen legen Teamrollen und SSO fest, wer in Ihrer Organisation eine Vorstandssitzung überhaupt planen oder durchführen darf.

Speziell für einen Vorstand empfiehlt es sich, dies mit einer einfachen internen Regel zu kombinieren: Nur namentlich benannte, erwartete Teilnehmende erhalten den eigentlichen Sitzungslink, alle anderen bekommen anschließend eine Aufzeichnung oder eine schriftliche Zusammenfassung statt des Live-Links.

So verankern Sie das in Ihrem Governance-Prozess

Wenn Ihre Organisation eine formale IT- oder Sicherheitsprüfung für neue Tools hat, sind Präsentationen auf Vorstandsebene genau der Anwendungsfall, der eine solche Prüfung auslösen sollte, auch wenn das Tool an anderer Stelle bereits für weniger kritische Meetings im Einsatz ist. Unser Leitfaden AV-Software von der IT freigeben lassen führt durch diesen Prozess, und die Sicherheits-Checkliste für Präsentationssoftware liefert Ihnen die konkreten Fragen, die Sie stellen sollten.

Für Organisationen mit formalen Datenschutzpflichten sind der Leitfaden des britischen ICO zur UK GDPR und das Board Toolkit des NCSC nützliche Bezugspunkte, wenn Sie das Thema als Governance-Frage statt als rein technische Frage behandeln möchten.

Eine praktische Checkliste vor Ihrer nächsten Vorstandssitzung

1. Vergewissern Sie sich, dass das Präsentationstool nie Folieninhalte hochlädt, und lassen Sie sich das schriftlich bestätigen, wenn es für Ihren Governance-Prozess relevant ist.
2. Beschränken Sie, wer den Raumlink erhält, und veröffentlichen Sie ihn nirgends, wo er breiter zugänglich ist als in einer Kalendereinladung an namentlich benannte Teilnehmende.
3. Nutzen Sie Passkeys oder SSO für alle, die dauerhaft berechtigt sind, sensible Sitzungen zu planen oder zu hosten.
4. Prüfen Sie, dass der Host Teilnehmende während der Sitzung sehen und entfernen kann, und weisen Sie die hostende Person ein, wie das geht.
5. Prüfen Sie Ihre Netzwerkkonfiguration vorab, wenn die Sitzung in einem unbekannten Netzwerk stattfindet; lesen Sie warum Unternehmensfirewalls Präsentationstools blockieren, wenn Sie bei einem Kunden oder Partner mit Verbindungsproblemen rechnen.

FAQ

Jetzt starten

Prüfen Sie vor Ihrer nächsten sensiblen Sitzung das Datenflussdiagramm gemeinsam mit der für Ihren Governance-Prozess verantwortlichen Person, oder kontaktieren Sie uns, wenn Ihr Vorstand oder Ihre Rechtsabteilung schriftliche Antworten benötigt. In der vollständigen Sicherheitsübersicht finden Sie alles, was im Enterprise-Plan als Self-Service verfügbar ist.