Mitarbeitende sensibilisieren: Damit Datensouveränität im Alltag funktioniert

Mitarbeitende für Datensouveränität zu sensibilisieren, bedeutet nicht nur, ihnen zu erklären, welche Informationen geschützt werden müssen. Sie sollten erkennen können, wann sich eine Arbeitssituation verändert, welche Entscheidung dadurch ansteht und wie sie diese praktisch umsetzen.

Dafür müssen drei Dinge zusammenkommen: verständliche Orientierung, Übung an konkreten Aufgaben und eine Arbeitsumgebung, die das sichere Vorgehen unterstützt.

Das Ziel ist nicht mehr Vorsicht bei jedem Klick. Das Ziel ist, souveränes Handeln zur eingeübten Arbeitsweise zu machen.

Das Wichtigste in Kürze

• Sensibilisierung braucht Praxisbezug: Mitarbeitende sollten Sicherheitsregeln auf ihre tatsächlichen Aufgaben und die verwendeten Werkzeuge anwenden können.
• Unterschiedliche Rollen brauchen unterschiedliche Unterstützung: Administration, Projektleitung, Mitarbeitende und externe Beteiligte benötigen nicht dieselben Lerninhalte.
• Veränderungen sind Lernanlässe: Neue Gäste, zusätzliche Inhalte, Rollenwechsel und Projektabschlüsse sollten gezielt mit Einweisung und Überprüfung verbunden werden.
• Die Organisation trägt mit: Passende Voreinstellungen, erreichbare Ansprechpersonen und feste Prüfschritte unterstützen die Anwendung – statt sie allein der Aufmerksamkeit Einzelner zu überlassen.

Nicht jede Abweichung ist ein Wissensproblem

Eine Organisation kann klare Richtlinien haben. Mitarbeitende können diese kennen und ihre Schulungen abgeschlossen haben.

Trotzdem sollte sie prüfen, ob das vorgesehene Vorgehen im Alltag tatsächlich unterstützt wird.

Ist die passende Einstellung leicht zu finden? Wurde ihre Anwendung bereits geübt? Gibt es bei Unsicherheit eine erreichbare Ansprechperson? Gehört die spätere Überprüfung zum Projektablauf?

Die Antwort auf Schwierigkeiten sollte deshalb nicht automatisch lauten: Wir müssen dieselbe Regel noch einmal erklären.

Sensibilisierung sollte nicht nur Wissen vermitteln. Sie sollte Menschen dabei unterstützen, relevante Situationen zu erkennen und darin handlungsfähig zu sein.

Auch das BSI verbindet Sensibilisierung mit beiden Zielen: die Wahrnehmung für Sicherheitsrisiken zu schärfen und die notwendigen Kenntnisse und Kompetenzen für sicherheitsbewusstes Verhalten zu vermitteln: BSI Sensibilisierung und Schulung zur Informationssicherheit

Ein Praxisbeispiel: Im Januar geschult, im April gemeinsam arbeiten

Nehmen wir ein Projektteam in einem Unternehmen oder einer Behörde.

Im Januar haben die Mitarbeitenden ihre Datenschutz- und Informationssicherheitsschulung absolviert. Im März beginnt ein neues Projekt. Im April wird ein externer Dienstleister für einen Workshop eingebunden. Später übernimmt eine neue Kollegin die Projektverantwortung.

Die Schulung liegt nicht falsch. Aber die Situationen, in denen ihr Wissen gebraucht wird, entstehen über das Jahr verteilt. Genau diesen Verlauf beschreibt das Beispiel aus dem bisherigen Sensibilisierungsartikel.

Für den Workshop kommt eine konkrete Aufgabe hinzu: Das Team muss den externen Partner in einen gemeinsamen Arbeitsraum einbinden. Nicht als abstrakte Datenschutzfrage, sondern anhand der vorgesehenen Inhalte, seiner Aufgabe und der anschließenden Zusammenarbeit.

Hier sollte Sensibilisierung ansetzen.

Das Team könnte die Einladung zunächst an einem vorbereiteten Beispielboard durchspielen. Es übt, den vorgesehenen Arbeitsraum zu verwenden, die passende Rolle zu vergeben und dem Partner die relevanten Nutzungshinweise mitzugeben.

Nach dem Workshop wird gemeinsam geprüft, was sich verändert hat. Wer benötigt noch Zugang für die Nachbereitung? Welche Bewertung findet jetzt ausschließlich intern statt?

So wird aus einer bekannten Vorgabe eine nachvollziehbare Handlung – vor, während und nach der Zusammenarbeit.

Sensibilisierung folgt der Zusammenarbeit – nicht nur dem Kalender.

Mitarbeitende brauchen Unterstützung, keine Schuldzuweisung

Im Beispiel wäre es zu einfach, einen übersehenen Prüfschritt allein als mangelnde Aufmerksamkeit zu behandeln.

Die Organisation sollte ebenso fragen, ob sie dessen Durchführung vorbereitet hat. Unter Zeitdruck sollte das sichere Vorgehen nicht jedes Mal neu hergeleitet werden müssen.

Ein geeigneter Standard kann Entscheidungen vorstrukturieren. Eine praktische Übung macht die Anwendung vertraut. Ein fester Prüfschritt sorgt dafür, dass eine Aufgabe nicht ausschließlich im Gedächtnis bleiben muss.

Die Verantwortung der Mitarbeitenden verschwindet dadurch nicht. Sie erhält einen Rahmen, in dem sie wahrgenommen werden kann.

Die Aufgabe lautet nicht, Menschen zum „schwächsten Glied“ zu erklären. Sie lautet, sichere Entscheidungen verständlich, möglich und praktikabel zu machen. Diese Perspektive ist bereits im bisherigen Sensibilisierungsartikel angelegt.

Nicht alle müssen dasselbe lernen

Sensibilisierung sollte sich an den Aufgaben der jeweiligen Person orientieren. Der bisherige Artikel unterscheidet deshalb ausdrücklich zwischen den Lernbedarfen von Administratoren, Projektmitarbeitenden und externen Gästen.

Für die Administration sollte beispielsweise im Mittelpunkt stehen, welche Vorgaben zentral hinterlegt werden und wo Teams selbst entscheiden dürfen.

Projektverantwortliche sollten üben, diese Vorgaben auf eine konkrete Zusammenarbeit anzuwenden und Veränderungen im Projekt zu berücksichtigen.

Mitarbeitende und externe Beteiligte benötigen Orientierung für ihren Arbeitsraum: Welche Inhalte gehören hinein? Wie wird eine zusätzliche Person eingebunden? Wer hilft bei Rückfragen?

Das gemeinsame Ziel bleibt gleich. Der Weg dorthin sollte zur Verantwortung passen.

Sieben Momente, in denen Sensibilisierung praktisch wird

1. Onboarding: Die eigene Arbeitsweise kennenlernen

Neue Mitarbeitende sollten nicht nur eine Richtlinie erhalten. Sie sollten an einem typischen Beispiel sehen, wie die Organisation mit Informationen und digitalen Arbeitsräumen umgeht.

Im Projektteam könnte das bedeuten, gemeinsam einen vorgesehenen Partnerarbeitsraum anzusehen und seine Abgrenzung zur internen Vorbereitung zu erklären. Ebenso wichtig ist ein benannter Kontakt für Rückfragen.

2. Erste Nutzung: Die Regel selbst umsetzen

Die erste Anwendung sollte Gelegenheit zum Üben bieten.

Statt nur zuzusehen, richtet die neue Kollegin einen beispielhaften Arbeitsraum ein und wendet die vorgesehenen Freigaben selbst an. Anschließend erläutert sie, warum diese zur Aufgabe passen.

So lässt sich erkennen, ob die Regel verstanden wurde und ihre Umsetzung in der Software gelingt. Beide Momente – Orientierung beim Einstieg und praktische Anwendung im Tool – sind zentrale Bestandteile des bisherigen Sensibilisierungsansatzes.

3. Externe Zusammenarbeit: Den veränderten Kontext erkennen

Die Einladung eines Dienstleisters eignet sich als konkreter Lernfall: Der bisher interne Arbeitskontext verändert sich.

Ein vorbereitetes Übungsszenario kann zusätzlich vorsehen, dass der Partner eine weitere Person einbinden möchte. Das Team spielt durch, wie diese Anfrage nach dem vereinbarten Verfahren bearbeitet wird.

Auch der externe Partner sollte eine kurze, auf seinen Arbeitsraum bezogene Einweisung erhalten. Es geht nicht darum, ihm sämtliche internen Schulungsinhalte zu vermitteln, sondern die für diese Zusammenarbeit relevanten Regeln.

4. Neue Funktionen oder Inhalte: Gewohnte Entscheidungen hinterfragen

Eine Auffrischung sollte dort ansetzen, wo sich die Arbeit tatsächlich verändert.

Wird eine relevante Funktion eingeführt, sollte ihre Einweisung auch behandeln, welche Auswirkungen sie auf die vorgesehene Nutzung hat. Kommen vertraulichere Inhalte auf ein bisher anders genutztes Board, sollte das Team die bestehende Freigabe erneut beurteilen.

Denn ein Arbeitsraum kann im Projektverlauf einen anderen Schutzbedarf erhalten. Die passende Lernfrage lautet deshalb: Passt unsere bisherige Einstellung noch zu dem, was hier inzwischen passiert?

5. Rollenwechsel: Verantwortung praktisch übergeben

Übernimmt die neue Kollegin die Projektleitung, sollte die Übergabe auch die Arbeitsräume umfassen.

Gemeinsam lässt sich durchgehen, welche externen Zugänge bestehen, welche Aufgaben damit verbunden sind und wann die nächste Überprüfung ansteht. Die Kollegin übernimmt damit nicht nur einen Titel, sondern lernt die zugehörigen Entscheidungen und Arbeitsschritte kennen.

6. Rückfragen und Beinahe-Fehler: Gemeinsam nachschärfen

Eine zusätzliche Zugangsanfrage wurde falsch bearbeitet oder eine Einstellung war schwer verständlich? Das sollte Anlass sein, den Ablauf zu prüfen.

War die Arbeitshilfe ausreichend? War die sichere Einstellung auffindbar? Könnte dieselbe Schwierigkeit auch andere Teams betreffen?

Die Erkenntnisse sollten in eine kurze Auffrischung und gegebenenfalls in eine Anpassung des Standards einfließen. So wird aus einem einzelnen Lernmoment eine Verbesserung für die Organisation.

7. Projektende: Den Abschluss mit einüben

Eine Übung zur externen Zusammenarbeit sollte nicht bei der Einladung aufhören.

Das Team sollte auch durchspielen, wie die Zugänge zum Abschluss überprüft und nicht mehr benötigte Berechtigungen entfernt werden. Im tatsächlichen Projekt wird dieser Schritt anschließend Bestandteil der Nachbereitung.

Eine mögliche Vereinbarung lautet: Die boardverantwortliche Person führt die Prüfung beim Projektabschluss durch, setzt Änderungen um und hält die Erledigung in der bestehenden Projektaufgabe fest.

Ein Zugang sollte nicht allein deshalb bestehen bleiben, weil der Arbeitsraum weiter existiert. Der bisherige Freigabeartikel trennt deshalb ausdrücklich die Lebensdauer eines Boards vom tatsächlichen Zugriffsbedarf.

Gute Voreinstellungen und Sensibilisierung gehören zusammen

Nicht jede Sicherheitsentscheidung sollte immer wieder neu beim einzelnen Mitarbeitenden liegen.

Die Organisation sollte festlegen, welche Vorgaben zentral gelten und innerhalb welchen Rahmens Teams selbst entscheiden können. Genau diese Verbindung aus organisatorischem Rahmen und informierter Nutzung ist eine Kernaussage des bisherigen Freigabeartikels.

Conceptboard unterstützt beispielsweise zentrale Vorgaben für Zugriffe von Nicht-Teammitgliedern. Die Admin-Dokumentation unterscheidet dabei zwischen verbindlichen Einschränkungen und veränderbaren Standardeinstellungen. Conceptboard Hilfezentrum

Für die Sensibilisierung ist diese Unterscheidung wichtig: Mitarbeitende sollten verstehen, welche Entscheidungen bereits vorgegeben sind und welche sie für ihre konkrete Aufgabe selbst treffen müssen.

Eine gute Einstellung nimmt nicht jede Entscheidung ab. Sie schafft einen passenden Ausgangspunkt für die Zusammenarbeit.

Auch Führung muss die Anwendung ermöglichen

Führungskräfte sollten nicht nur darauf achten, dass Schulungen stattfinden. Sie sollten dafür sorgen, dass das Gelernte angewendet werden kann.

Für das Projektteam heißt das beispielsweise: Zeit für die erste gemeinsame Übung einplanen, Rückfragen ermöglichen und die Zugriffsprüfung als regulären Teil des Abschlusses behandeln.

Auch Führungskräfte selbst sollten verstehen, welche Entscheidungen in ihren Arbeitsprozessen anstehen und welche Unterstützung Teams dafür benötigen. Diese Verantwortung ist im bisherigen Artikel ausdrücklich Teil der Sicherheitskultur.

Eine sinnvolle Frage nach der Einweisung lautet deshalb nicht nur: Haben alle teilgenommen?

Sondern: Kann das Team den vereinbarten Fall jetzt selbstständig bearbeiten – einschließlich einer Rückfrage oder einer Veränderung?

Die Rolle von Conceptboard: Funktionen erklären und Anwendung unterstützen

Conceptboard stellt Best Practices für Administratoren bereit, unter anderem zur Organisation des Teams und zur Regulierung externer Zugriffe. Customer Success unterstützt bei Fragen zur Einrichtung und Organisation. Conceptboard Hilfezentrum

Einführungsschulungen ergänzen diese Unterstützung bei der Nutzung der Plattform: Conceptboard Training und Events

Für eine Organisation sollte daran die eigene Einweisung anschließen: Welche dieser Möglichkeiten nutzen wir für unsere Arbeit? Wie sieht unser Partnerworkshop aus? Was sollen Mitarbeitende dabei selbst entscheiden können?

Das Rechte- und Rollenkonzept bildet den Rahmen. Die praktische Befähigung verbindet ihn mit der Aufgabe des Teams.

Nicht nur „So funktioniert die Software“, sondern „So arbeiten wir mit ihr in diesem konkreten Fall“.

Das Grundrauschen entsteht in der Zusammenarbeit

Artikel 1 beschreibt Sensibilisierung als ein Grundrauschen der Organisation – nicht als permanenten Alarmzustand.

Praktisch sollte dieses Grundrauschen aus überschaubaren Lernmomenten bestehen: einer begleiteten ersten Nutzung, einer Einweisung vor der externen Zusammenarbeit, einer Auffrischung bei Veränderungen und einer gemeinsamen Auswertung von Rückfragen.

Die jährliche Schulung kann eine Grundlage vermitteln. Sie sollte nicht der einzige Ort sein, an dem die Anwendung dieser Grundlage stattfindet.

Die entscheidende Frage lautet deshalb:

Können unsere Mitarbeitenden die geltenden Regeln in ihrer heutigen Arbeit anwenden – und bekommen sie Unterstützung, wenn sich diese Arbeit verändert?

Daran sollte sich die Sensibilisierung für Datensouveränität ausrichten.

Häufige Fragen zur Sensibilisierung für Datensouveränität

Wie sensibilisiert man Mitarbeitende für Datensouveränität?

Verbinden Sie die geltenden Vorgaben mit typischen Aufgaben der Mitarbeitenden. Lassen Sie beispielsweise die Zusammenarbeit mit einem externen Partner praktisch durchspielen: vom vorbereiteten Arbeitsraum über die Einweisung bis zum Abschluss. Ergänzen Sie passende Voreinstellungen, kurze Arbeitshilfen und erreichbare Ansprechpersonen. So steht nicht nur das Regelwissen, sondern seine Anwendung im Mittelpunkt.

Brauchen alle Mitarbeitenden dieselben Schulungsinhalte?

Die gemeinsame Grundlage kann gleich sein. Die Anwendung sollte sich jedoch an Aufgaben und Verantwortung orientieren. Administratoren benötigen beispielsweise Wissen über zentrale Einstellungen, Projektverantwortliche über die Gestaltung ihrer Zusammenarbeit und externe Beteiligte über die Regeln ihres konkreten Arbeitsraums.

Wann sind Auffrischungen sinnvoll?

Geeignete Anlässe sind neue Aufgaben, relevante Funktionen, veränderte Rollen und die Einbindung externer Personen. Auch wiederkehrende Rückfragen sollten aufgegriffen werden. Die Auffrischung sollte erklären und üben, was sich für die betroffenen Personen tatsächlich verändert, statt sämtliche Grundlagen erneut zu wiederholen.

Wie sollten externe Partner einbezogen werden?

Externe Beteiligte sollten eine auf ihre Zusammenarbeit zugeschnittene Einweisung erhalten. Darin sollte deutlich werden, welche Inhalte für den Arbeitsraum vorgesehen sind, wie zusätzliche Personen eingebunden werden und an wen Rückfragen gehen. Ziel ist eine gemeinsame Arbeitsgrundlage, nicht die pauschale Übernahme aller internen Schulungsinhalte.

Wie lässt sich prüfen, ob die Sensibilisierung in der Praxis ankommt?

Ergänzen Sie die Teilnahmebestätigung durch eine konkrete Anwendungsaufgabe. Beispielsweise kann das Team eine externe Einladung mit einer zusätzlichen Zugangsanfrage bearbeiten und den späteren Abschluss durchspielen. Schwierigkeiten zeigen, wo weitere Übung, eine bessere Arbeitshilfe oder eine Anpassung des Ablaufs notwendig ist. Entscheidend ist nicht allein, dass Inhalte vermittelt wurden, sondern dass Mitarbeitende die vorgesehene Handlung ausführen können.

Weitere Blog-Artikel lesen