Informationssicherheit im Vertrieb – ohne IT-Abteilung

Warum Informationssicherheit dich betrifft

Im Vertrieb arbeitest du mit Daten, die anderen gehören: Namen, Telefonnummern und E-Mail-Adressen von Ansprechpartnern, Gesprächsnotizen, Angebote und Verträge. Dazu kommen deine Zugänge zu Plattformen, E-Mail und Kalender. Wer Zugriff auf dein Postfach oder dein Smartphone bekommt, hat oft beides – deine Kundenbeziehungen und die Möglichkeit, in deinem Namen aufzutreten.

Eine IT-Abteilung, die Updates verteilt und verdächtige Mails abfängt, hast du als Selbstständiger meist nicht. Das ist kein Grund zur Sorge, aber ein Grund für ein paar feste Gewohnheiten. Die meisten Angriffe zielen nicht auf raffinierte Lücken, sondern auf schwache Passwörter, veraltete Geräte und Momente, in denen jemand unter Zeitdruck auf einen Link klickt.

Passwörter und Passwortmanager

Die wichtigste Regel ist einfach: Ein Passwort gehört zu genau einem Zugang. Wer dasselbe Passwort mehrfach nutzt, gibt mit einem einzigen Datenleck bei irgendeinem Onlinedienst gleich mehrere Konten preis. Das BSI empfiehlt für sichere Passwörter entweder kürzere, komplexe Passwörter aus mindestens acht Zeichen mit vier Zeichenarten oder lange Passwörter mit mindestens 25 Zeichen, etwa aus mehreren zufälligen Wörtern.

• Passwortmanager nutzen: Er merkt sich alle Passwörter, du dir nur noch ein starkes Hauptpasswort. Das macht unterschiedliche Passwörter für jeden Dienst erst praktikabel.
• Keine naheliegenden Bestandteile: Namen, Geburtstage, Tastaturmuster oder eine angehängte Ziffer machen ein Passwort leicht zu erraten.
• Zuerst das E-Mail-Postfach absichern: Über die Funktion „Passwort vergessen“ lassen sich viele andere Konten zurücksetzen. Das Postfach verdient deshalb das stärkste Passwort.
• Keine Passwörter in Notizen, Tabellen oder Chats: Auch nicht vorübergehend und nicht „nur für das Team“.

Zwei-Faktor-Anmeldung: der größte Schritt

Bei der Zwei-Faktor-Authentisierung reicht das Passwort allein nicht. Zusätzlich brauchst du etwas, das du besitzt, etwa einen Code aus einer Authenticator-App auf dem Smartphone. Wer dein Passwort abgefischt hat, kommt damit allein nicht in dein Konto. Das BSI rät, die Zwei-Faktor-Authentisierung zu nutzen, sobald ein Dienst sie anbietet, und sie nicht wieder abzuschalten.

• Aktiviere sie zuerst dort, wo am meisten auf dem Spiel steht: E-Mail, Vertriebsplattform, Onlinebanking, Cloudspeicher.
• Viele Dienste bieten die Funktion an, haben sie aber standardmäßig ausgeschaltet. Ein Blick in die Kontoeinstellungen lohnt sich.
• Sorge für einen Ersatz: Bewahre Wiederherstellungscodes getrennt vom Smartphone auf, etwa ausgedruckt an einem sicheren Ort oder im Passwortmanager. Ohne sie kann ein verlorenes Telefon dich aus dem eigenen Konto aussperren.

Phishing erkennen: gefälschte Rechnungen und Login-Seiten

Phishing-Nachrichten sehen oft täuschend echt aus. Logo, Farben und Schrift sind kopiert; nach dem BSI sind diese Äußerlichkeiten deshalb kein Beleg für Echtheit. Im Vertrieb sind zwei Muster besonders häufig: eine angebliche Rechnung oder Zahlungsaufforderung im Anhang und ein Link auf eine nachgebaute Login-Seite, auf der du dein Passwort „bestätigen“ sollst.

• Druck ist ein Warnzeichen: Fristen von wenigen Stunden, ein angeblich gesperrtes Konto oder eine drohende Mahnung sollen dich zum schnellen Klick bewegen.
• Adresse prüfen: Schau dir den Absender und das tatsächliche Ziel eines Links genau an, bevor du klickst. Gekürzte Links verbergen, wohin sie führen.
• Nie über den Link anmelden: Ruf die Plattform über dein Lesezeichen oder die bekannte Adresse auf, nicht über die Mail.
• Über einen zweiten Weg nachfragen: Kommt eine ungewöhnliche Bitte, etwa eine geänderte Bankverbindung, ruf den Absender unter einer Nummer an, die du selbst heraussuchst.
• Auch am Telefon: Unerwartete Anrufer, die Zugangsdaten oder Codes wollen, bekommen keine. Auflegen ist erlaubt.

Weitere Merkmale beschreibt das BSI auf seiner Seite zu Passwortdiebstahl durch Phishing. Wenn du doch einmal auf eine gefälschte Seite hereingefallen bist: Ändere das Passwort sofort über den echten Weg, prüfe die Zwei-Faktor-Einstellungen und gib Bescheid (siehe unten).

Geräte schützen: Updates, Sperre, Verschlüsselung

Laptop und Smartphone sind dein Büro. Die Grundlagen beschreibt das BSI für Smartphones und Tablets; für den Laptop gilt im Kern dasselbe.

• Updates: Schalte automatische Updates für Betriebssystem und Apps ein. Updates schließen Sicherheitslücken; ein Gerät, das keine mehr bekommt, gehört nicht mehr in den Arbeitsalltag.
• Bildschirmsperre: Eine kurze automatische Sperre mit eigenem Code, nicht „1234“ oder dem Geburtsdatum. Gib den Code nicht ein, während dir jemand über die Schulter schaut.
• Verschlüsselung: Aktuelle Smartphones verschlüsseln den internen Speicher in der Regel bereits. Beim Laptop solltest du prüfen, ob die Festplattenverschlüsselung des Betriebssystems eingeschaltet ist. Dann sind die Daten bei Verlust nicht ohne Weiteres lesbar.
• Apps sparsam installieren: Nur aus vertrauenswürdigen Quellen und nur, was du brauchst. Prüfe die Berechtigungen, auch nach Updates.

Unterwegs: öffentliches WLAN

Hotspots im Café, Hotel oder Zug sind oft unverschlüsselt. Sende sensible Daten dort nur über verschlüsselte Verbindungen (HTTPS, erkennbar am Schloss in der Adresszeile) oder nutze ein VPN. Häufig ist der Hotspot des eigenen Smartphones mit starkem Passwort die bessere Wahl. Schalte ihn aus, wenn du ihn nicht brauchst.

Wenn das Smartphone weg ist

Bereite den Ernstfall vor: Aktiviere die Ortungs- und Fernlöschfunktion deines Geräts und notiere die IMEI (Anzeige mit *#06#). Ist das Gerät verloren, sperre es aus der Ferne oder lösche es, lass die SIM-Karte beim Anbieter sperren und melde dich in wichtigen Diensten von allen Geräten ab. Ändere die Passwörter der Konten, die auf dem Gerät angemeldet waren.

Privat und beruflich trennen

Wenn Familienmitglieder denselben Laptop nutzen oder Kundendaten in privaten Messengern und Cloudordnern landen, verlierst du schnell den Überblick, wer was sehen kann. Eine klare Trennung hilft:

• ein eigenes Benutzerkonto für die Arbeit, idealerweise ein eigenes Gerät,
• eine berufliche E-Mail-Adresse statt des privaten Postfachs,
• Kundendaten in der Plattform lassen, für die sie bestimmt sind, statt sie in Tabellen zu exportieren und weiterzuschicken,
• keine Kundenunterlagen auf USB-Sticks oder in privaten Chatgruppen.

Was ohnehin nicht gespeichert wird, kann auch nicht verloren gehen. Wie du dein CRM schlank hältst, beschreibt der Ratgeber Datenschutz im CRM.

Datensicherung: doppelt hält besser

Ein defekter Laptop, ein Diebstahl oder Schadsoftware, die Dateien verschlüsselt: Ohne Sicherung sind eigene Unterlagen wie Angebotsvorlagen, Abrechnungen oder Steuerbelege dann weg. Das BSI empfiehlt, eigene Dateien regelmäßig auf mindestens ein externes Medium zu sichern und dieses räumlich getrennt vom Rechner aufzubewahren.

• Lege einen festen Rhythmus fest, zum Beispiel einmal pro Woche, und nutze die Sicherungsfunktion des Betriebssystems.
• Trenne die externe Festplatte nach der Sicherung vom Gerät, damit Schadsoftware sie nicht mit erwischt.
• Prüfe gelegentlich, ob sich Dateien aus der Sicherung tatsächlich wiederherstellen lassen.
• Bei Cloud-Sicherungen: Schau nach, was genau hochgeladen wird und wo die Daten liegen.

Wenn doch etwas passiert: richtig reagieren

Eine Mail an den falschen Empfänger, ein gestohlenes Notebook, ein übernommenes Konto: Wenn dabei personenbezogene Daten verloren gehen oder Unbefugte Zugriff bekommen, spricht man von einer Datenschutzverletzung oder Datenpanne. Wichtig ist dann vor allem eines: schnell Bescheid geben, nicht vertuschen.

Die Meldepflicht nach Art. 33 DSGVO trifft den Verantwortlichen, also die Stelle, die über Zweck und Mittel der Datenverarbeitung entscheidet. Er muss eine Datenpanne der zuständigen Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden melden, nachdem sie ihm bekannt geworden ist – es sei denn, sie führt voraussichtlich nur zu einem geringen Risiko für die Betroffenen. Jede Panne muss er intern dokumentieren. Bei voraussichtlich hohem Risiko muss er zusätzlich die Betroffenen informieren (Art. 34 DSGVO). Ein Auftragsverarbeiter meldet die Panne nicht selbst der Behörde, sondern unverzüglich dem Verantwortlichen. So beschreibt es die Landesbeauftragte für Datenschutz NRW auf ihrer Seite Datenpanne – was nun?.

Für dich als Vertriebspartner heißt das: Ob du selbst Verantwortlicher bist oder für das Unternehmen tätig wirst, für das du vermittelst, hängt von eurer vertraglichen Vereinbarung ab. Im Zweifel gilt:

1. Sofort handeln: Passwörter ändern, Gerät sperren oder löschen, Sitzungen beenden.
2. Unverzüglich melden: Informiere das Unternehmen, dessen Kundendaten betroffen sind, über den vereinbarten Weg. Die 72 Stunden laufen ab Kenntnis, und der Verantwortliche braucht Zeit für seine Prüfung.
3. Festhalten, was passiert ist: Was ist wann geschehen, welche Daten und wie viele Personen sind betroffen, was hast du bereits unternommen?
4. Selbst melden, wenn du Verantwortlicher bist: Dann ist die Aufsichtsbehörde an deinem Sitz zuständig, in Nordrhein-Westfalen in der Regel die LDI NRW mit ihrem Meldeformular.

So ist es in SB NEXT

In SB NEXT ist ein Teil dieser Schutzmaßnahmen bereits eingebaut. Mehr dazu steht auf der Seite Sicherheit.

• Passwörter werden nicht im Klartext, sondern mit dem Verfahren Argon2id gespeichert.
• Die Zwei-Faktor-Anmeldung erfolgt per Authenticator-App. Für Administration, Teamleitungen und Steuerberatungen ist sie Pflicht, für Vertriebspartner empfohlen. Dazu gibt es zehn Wiederherstellungscodes.
• Nach 30 Minuten ohne Eingabe wirst du automatisch abgemeldet; zwei Minuten vorher erscheint ein Hinweis. Die Abmeldung gilt in allen geöffneten Tabs.
• Rechte werden serverseitig geprüft, nicht nur in der Oberfläche.
• Dateien werden verschlüsselt gespeichert (AES-256-GCM).
• Ein Audit-Protokoll mit Hash-Kette hält wichtige Vorgänge nachvollziehbar fest.