Der Messenger-Dienst WhatsApp erfreut sich seit Jahren großer Beliebtheit – und das nicht nur bei Privatpersonen, sondern auch bei Mitarbeiter:innen von Unternehmen. Letztere setzen den Messenger-Dienst gerne auch für die geschäftliche Kommunikation ein. So einfach, bequem und nützlich das sein mag, für Unternehmen ist das zunehmend ein Problem: denn WhatsApp und viele andere Messenger-Dienste können im Bereich Sicherheit und Datenschutz große Defizite aufweisen, was auch immer wieder Gegenstand von Stellungnahmen der deutschen Datenschutzaufsichtsbehörden ist. Daher stellt sich die Frage: Was ist eine gute WhatsApp-Alternative, die auch in Unternehmen genutzt werden kann?
Messenger-Dienste und die Schatten-IT
Dienste wie WhatsApp gehören in Unternehmen häufig zur sogenannten Schatten-IT. Dabei handelt es sich um IT-Systeme und -Anwendungen, die außerhalb der offiziellen Unternehmens-IT-Infrastruktur und oft ohne Wissen der IT-Administration genutzt werden. Werden sie aus diesem Grund beim IT-Management nicht berücksichtigt, z.B., weil sie auf privaten Geräten verwendet werden, die für die Arbeit genutzt werden (sog. BYOD), führt dies mit großer Wahrscheinlichkeit zu Sicherheitslücken und Datenschutz-Defiziten. Das gilt besonders für WhatsApp und andere Messenger, die der Einfachheit halber oftmals genutzt werden.
Wollen Sie oder Ihre Mitarbeiter:innen WhatsApp also dienstlich nutzen, sollten Sie sich der Tatsache bewusst sein, dass vielleicht gerade diese Nutzung eine datenschutzrechtliche Unternehmensschwachstelle darstellen und somit zu möglichen Datenschutzverletzungen führen könnte oder gar einen Hackerangriff erleichtern könnte, um Unternehmensdaten abzugreifen. Das liegt nicht zuletzt an den Daten, die WhatsApp aufgrund einer Lücke in der DSGVO mit Facebook teilt – dass diese Daten bei einer dienstlichen WhatsApp-Nutzung auch das Unternehmen betreffen, wird schnell übersehen.
WhatsApp im Unternehmen & die DSGVO: Neue Anforderungen im DSGVO-Zeitalter
Mit der Datenschutz-Grundverordnung (DSGVO) sind die Datenschutz-Anforderungen strenger geworden. Dabei wurden insbesondere die Rechte von Verbraucher:innen gestärkt, die so z.B. Auskunft über die Verarbeitung ihrer personenbezogenen Daten von Unternehmen verlangen können. Betroffene haben zudem auch das Recht, über die Weitergabe ihrer Daten informiert zu werden und deren Löschung zu verlangen. In vielen Fällen ist darüber hinaus eine Einwilligung der betroffenen Personen vor der Verarbeitung erforderlich – ignorieren Unternehmen diese Tatsache, drohen bei solchen Verstößen empfindliche Sanktionen. Die Haftung erstreckt sich dabei nicht nur auf firmeninterne, abgesicherte IT-Strukturen, sondern gilt übergreifend: Auch personenbezogene Daten im Rahmen der geschäftlichen Nutzung von Messenger-Diensten durch Mitarbeiter:innen sind somit berührt. Wenn die Kontrolle über die verwendeten Messenger-Dienste fehlt, der Dienst nicht sicher ist oder keinen ausreichenden Datenschutz bietet, kann dies ein großes Problem darstellen.
Probleme mit Datensicherheit und Datenschutz bei WhatsApp
Datensicherheit im Internet und bei online-Tools wie Messenger-Diensten ist enorm wichtig. Aber geht das zusammen: WhatsApp im Unternehmen & Datenschutz? Leider nicht ganz. Als Teil der Facebook-Unternehmensgruppe teilt WhatsApp personenbezogene Daten auch mit anderen Unternehmen innerhalb des Konzerns. Für Inhalte von Nachrichten und Telefonaten wird mittlerweile zwar eine Ende-zu-Ende-Verschlüsselung eingesetzt, was auch dem Datenschutz zugutekommt. Das trifft aber nicht auf Metadaten zu, also Informationen rund um die WhatsApp-Nutzung. So können bei der Nutzung von WhatsApp folgende Daten von einer Weitergabe betroffen sein:
Die Telefonnummer der Nutzer:innen
Gerätekennung und Betriebssystem
Die verwendete WhatsApp-Version
Bei lange registrierten Benutzer:innen die Rechnungsdaten
Wann und von wo aus der Messenger-Dienst benutzt wird
Das Registrierungsdatum der Nutzer:innen
Das Datum der letzten WhatsApp-Nutzung
Profilbilder
Häufig genutzte Funktionen
Weitergegebene Daten könnten z. B. zu Werbezwecken genutzt werden. Auch wenn WhatsApp nach außen als recht sicheres System gilt, gibt es immer wieder Berichte über Sicherheitslücken. Zudem erscheint die Übertragung von personenbezogenen Daten (Kontaktdaten, d.h. Name und Telefonnummer sowie evtl. Profilbild) Dritter problematisch. Bei einer Übermittlung von Adressbüchern haben die jeweiligen Kontakte einer Weitergabe ihrer Daten in der Regel nicht wirksam zugestimmt. Messenger übermitteln die Daten aller gespeicherten Kontakte häufig an den Anbieter, damit dieser abgleichen kann, ob es sich um eine:n aktive:n Nutzer:in des Dienstes handelt. Dass personenbezogene Daten etwa im Falle von WhatsApp in die USA übertragen werden können, ist zusätzlich problematisch.
Tipp: Wollen Sie WhatsApp nutzen, um für die Kommunikation mit Kund:innen zu sorgen, dann treten Sie nur nach vorheriger Absprache mit diesen via WhatsApp in Kontakt!
Gibt es für Unternehmen Alternativen zu WhatsApp?
Speziell für die Nutzung in Unternehmen gibt es zu WhatsApp alternative Dienste, die in datenschutzrechtlicher Hinsicht weniger bedenklich sind. Nachfolgend ein kurzer Überblick:
Threema: Diese WhatsApp-Alternative ist ein Schweizer Messenger-Dienst mit über 8 Millionen Nutzer:innen. Der Nachrichtenaustausch kann hier völlig anonym erfolgen, also ohne Übermittlung von personenbezogenen Daten. Speziell für Unternehmen gibt es Threema Work.
Hoccer: Eine weitere WhatsApp-Alternative, die ebenfalls anonym funktioniert. Der Dienst stammt aus Deutschland, hat allerdings bisher nur relativ wenige Nutzer:innen (schätzungsweise um die zwei Millionen). Mitte Mai des Jahres 2020 wurde dieser Dienst allerdings völlig überraschend eingestellt.
Telegram: Mit mittlerweile mehr als 500 Millionen Nutzer:innen ist Telegram eine recht weit verbreitete Alternative zu WhatsApp. Die Nutzung ist nur mit Registrierung möglich und die App arbeitet mit zwei verschiedenen Verschlüsselungstechniken, wobei hier zwischen den verschiedenen Gruppen-Arten unterschieden werden muss, denn bei normalen Nachrichten ist deren Inhalt den Betreiber:innen prinzipiell im Klartext zugänglich. Zudem geriet Telegram in letzter Zeit immer wieder in die Kritik, da in dortigen Gruppen Nachrichten an viele tausend Mitglieder zugleich versendet werden können und diese Gruppen kaum moderiert werden, was dazu führte, dass Telegram laut Medienberichten vor allem für Rechtsextreme und Verschwörungstheoretiker:innen ein beliebter Messenger bzw. Plattform geworden ist. Öffentliche Inhalte, die gegen das Gesetz verstoßen, können übrigens an abuse@telegram.org gemeldet werden.
Signal: Signal ist ein sehr datensparsamer Messenger, der ebenfalls Ende-zu-Ende verschlüsselt arbeitet. Durch das angewandte „Zero-Knowledge-Prinzip“ wird sichergestellt, dass die Betreiber:innen keinerlei Zugriff auf die Daten der Nutzer:innen haben. Durch die erneute Verschärfung der Whatsapp-Richtlinien und das öffentliche Promoten Signals durch Elon Musk erhielt dieser Messenger-Dienst einen Enormen User:innen-Zuwachs zu Beginn des Jahres 2021. Einen ausführlichen Artikel zum Thema Signal & Datenschutz lesen Sie hier.
Teamwire: Der deutsche Messenger-Dienst Teamwire ist speziell auf die Sicherheits- und Datenschutzbedürfnisse von Behörden, Institutionen und Organisationen ausgelegt.
Alternativen zu WhatsApp sind also verfügbar und ein Umstieg sollte auch technisch kein Problem darstellen – insbesondere für die betriebliche Kommunikation in Unternehmen. Eine Herausforderung besteht wohl darin, dass diese Alternativen zu WhatsApp bei Mitarbeiter:innen sowie Kund:innen Akzeptanz finden sowie, dass der Wechsel auch mit Blick auf die Nutzerzahlen des neuen Dienstes attraktiv genug erscheint.
Die richtige Nutzung von WhatsApp im Unternehmen
Sollten Sie als Unternehmen nicht auf WhatsApp verzichten wollen, sollten nach einer Empfehlung des Bayerischen Landesamts für Datenschutzaufsicht zumindest die folgenden Anforderungen berücksichtigt werden:
WhatsApp sollte von Berufsgeheimnisträgern wie Ärzten und Ärztinnen grundsätzlich nicht eingesetzt werden.
Bei einer rein internen Unternehmenskommunikation (betrieblichen Kommunikation) sollte der Einsatz von WhatsApp unterbleiben.
Nachrichtenverläufe über WhatsApp sollten nicht archiviert werden.
Automatische Speicherung der Nachrichten im internen Speicher, insbesondere der Anhänge, sollte vermieden werden, wenn weitere Apps auf dem mobilen Gerät installiert sind, denen Zugriff auf den internen Speicher gestattet wird (Gefahr eines unberechtigten Zugriffs und Fehlversand von Anhängen).
WhatsApp sollte auf einem separaten Smartphone oder über eine Container-Lösung sowie im Rahmen eines Mobile Device Managements betrieben werden.
Soweit der Zugriff auf das Telefonbuch gewährt wird, muss sichergestellt werden, dass nur Kontakte (z. B. von Kund:innen) im Telefonbuch gespeichert sind, die hierfür ihre Einwilligung erteilt haben.
Autorin: Kathrin Strauß
Artikel veröffentlicht am: 19.01.2021
