Im April 2019 wurde das Geschäftsgeheimnisgesetz erlassen, welches eine neue Grundlage für den Schutz von Betriebs- und Geschäftsgeheimnissen schuf.
Der Begriff des Geschäftsgeheimnisses wurde dabei neu definiert, und zwar als Information, die „nicht allgemein bekannt oder ohne weiteres zugänglich und daher von wirtschaftlichem Wert ist“ und „angemessenen Geheimhaltungsmaßnahmen“ unterliegt. Es müssen keine weiteren, qualitativen Anforderungen erfüllt werden.
Damit der gesetzliche Schutz auch gilt, müssen die betroffenen Daten erfasst, systematisch organisiert und technisch angemessen geschützt werden. Erst dadurch wird der Wert der Information dokumentiert.
Was zunächst nach hohem Aufwand klingt, ist aber i.d.R. bereits vorhanden: Unternehmen, die im Rahmen der Umsetzung der DSGVO bereits personenbezogene Daten erfassen und schützen (etwa mit einem allgemeinen Sicherheitskonzept oder Qualitätsmanagementsystem nach ISO 9001 oder ein ISM nach ISO 27001), haben den Grundstein bereits gelegt.
Personenbezogene Daten zählen zu den Geschäftsgeheimnissen – wenn diese also DSGVO-konform gemanagt werden, sind bereits etablierte Prozesse vorhanden. Das DSGVO verlangt auch, ein VdV (Verarbeitungsverzeichnis) anzulegen, welches für die Erfassung von Geschäftsgeheimnissen genutzt bzw. ausgeweitet werden kann.
Sind die relevanten Informationen erfasst, muss als nächstes das Sicherheitsmaß geklärt werden. Wie schützenswert sind die Informationen im einzelnen genau?
Man kann sich dabei einer einfachen Formel bedienen:
Eintrittswahrscheinlichkeit x Schadensausmaß = Risikograd
Hier kann man nun konkrete Werte (z.B. 1 = niedrig bis 4 = katastrophal) für das Schadensausmaß festlegen, den resultierenden Risikograd gewichten (z.B. 1-3 = gering, 4-8 = mittleres und 9-16 = hohes Risiko) und diesen dann mit risikomindernden Maßnahmen gegenrechnen (z.B. x0,25 = sehr starke, x0,5 = weniger starke und x1 = schwache Risikominderung). Somit erhält man eine konkretere Vorstellung des Risikoausmaßes.
Zuletzt müssen konkrete Maßnahmen zum Schutz bzw. zur Geheimhaltung der Geheimnisse, üblicherweise die Einschränkung der Zugriffe auf Räume, Systeme, Dokumente und Datensätze, ergriffen werden. Auch hier kann man sich an der ISO 27001 orientieren.
Was auf den ersten Blick nach neuen Herausforderungen zum Schutz von Geschäftsgeheimnissen aussieht, ist eine relativ einfache Umsetzung, sofern die grundlegenden Strukturen im Sinne des DSGVO und in Managementsystemen nach ISO 9001 oder ISO 27001 bereits angelegt wurden.