Vertrauensbildende Sicherheitskommunikation für das Onboarding in Datentreuhand-Plattformen

Hinweis: Die in diesem Baustein beschriebenen Konzepte, Strukturen und Module wurden im Rahmen des Projekts TRANSIT‑ON entwickelt. Sie sind bewusst so abstrahiert, dass sie für Datentreuhänder und datentreuhänderbasierte Plattformen in unterschiedlichen Domänen (z. B. Logistik, Mobilität, Energie, Forschung) angewendet werden können.

Einordnung und Zielsetzung

Datentreuhand-Plattformen adressieren die wachsende Notwendigkeit, Daten organisationsübergreifend zu teilen, ohne die Kontrolle über deren Nutzung zu verlieren. Sie übernehmen eine neutrale Vermittlerrolle, sollen kommerzielle Eigeninteressen von Entscheidungen über Datenzugriffe trennen und Transparenz in Bezug auf Zwecke, Zugriffsszenarien und Governance schaffen.

In vielen Fällen bestehen auf Seiten der Plattform bereits substanzielle Sicherheits-, Datenschutz- und Compliance-Maßnahmen. Dennoch zeigen Erfahrungen und Befragungen, dass Unternehmen den Beitritt zu solchen Plattformen häufig verzögern oder ganz ablehnen – nicht primär, weil Schutzmaßnahmen fehlen, sondern weil diese in der Onboarding-Phase nicht in einer Form kommuniziert werden, die

verständlich,
entscheidungsreif,
evidenzgestützt und
an den Rollen und Fragestellungen der Beteiligten ausgerichtet ist.

Dieser Baustein beschreibt ein Kommunikations- und Onboardingkonzept, das Sicherheits- und Datenschutzaspekte in modulare, wiederverwendbare und zielgruppenorientierte Botschaften übersetzt. Er ergänzt ein bestehendes Sicherheits- und Datenschutzkonzept um die Dimension der vertrauensbildenden Sicherheitskommunikation.

Sicherheitskommunikation als Assurance-Funktion

Klassische Sicherheits- und Datenschutzdokumentation – etwa Richtlinien, technische Beschreibungen oder lange Datenschutzerklärungen – ist für interne Zwecke wichtig, aber für Entscheidungsprozesse im Onboarding nur bedingt geeignet. Entscheidungsträger benötigen an diesem Punkt keine vollständige Dokumentation, sondern prägnante Antworten auf wenige, aber zentrale Fragen:

Wofür werden unsere Daten verwendet, und ist eine Zweckentfremdung ausgeschlossen?
Wer darf auf unsere Daten zugreifen, und wie wird dies kontrolliert und nachweisbar gemacht?
Welche regulatorischen Pflichten (DSGVO, NIS2, IT‑SiG 2.0, DGA etc.) werden erfüllt, und wie können wir dies intern belegen?
Wie wird im Sicherheitsvorfall reagiert, und wie werden wir eingebunden?

Die Grundannahme dieses Bausteins lautet daher: Onboarding scheitert häufig weniger an fehlenden Kontrollen als daran, dass vorhandene Kontrollen nicht als Assurances mit klaren Bezügen zu Pflichten und Evidenzen kommuniziert werden. Sicherheitskommunikation wird somit als eigenständige Funktion verstanden, die technische, juristische und organisatorische Sachverhalte zielgerichtet aufbereitet.

Kommunikations- und Evaluationsansatz in zwei Stufen

Erhebung von Bedenken und Informationsbedarfen

Ein erster Schritt besteht darin, mittels einer initialen Befragung zu erfassen, welche Aspekte für potenzielle Nutzerunternehmen entscheidungsrelevant sind. Die TRANSIT‑ON-Vorerhebung zeigte beispielsweise:

44 % der befragten potenziellen Nutzer sahen das Risiko unberechtigter Zugriffe Dritter als zentrales Hindernis für eine Teilnahme.
47 % gaben an, bevorzugt in unterstützten Onboarding-Formaten (z. B. Trainings, Webinare) über Sicherheits- und Compliance-Eigenschaften informiert werden zu wollen.
In offenen Antworten wurde deutlich, dass Unternehmen konkrete, nachweisgestützte Aussagen zu Zweckbindung, Zugriffskontrolle, Vorfallbehandlung und Verantwortlichkeiten benötigten.

Übertragen auf andere Datentreuhand-Kontexte sollte eine erste Erhebung mindestens klären:

Welche Sicherheits- und Datenschutzthemen werden von Unternehmen als kritisch wahrgenommen (z. B. Zugriff, Zweckbindung, Lieferkettensicherheit, Incident Handling)?
Welche Kommunikationsformate werden bevorzugt (Schulungen, Webinare, schriftliche Kurzfassungen, Self-Service-Portale)?
Welche Art von Nachweisen (z. B. Zertifizierungsnachweise, Log-Auszüge, Richtlinien) werden für interne Entscheidungen und Prüfungen benötigt?

Die Ergebnisse dienen dazu, das Kommunikationskonzept an realen Informationsbedarfen auszurichten, statt theoretische Annahmen zu treffen.

Verfeinerung und Validierung

Nachdem ein Kommunikationskonzept und eine modulare Struktur implementiert wurden, empfiehlt sich eine zweite Evaluationsrunde zur Mitte des Einführungsprozesses oder nach ersten Onboardings. Ziel ist:

zu überprüfen, ob Unternehmen alle für sie relevanten Informationen erhalten konnten, um eine Teilnahmeentscheidung fundiert zu treffen,
zu identifizieren, welche Themenfelder bzw. Module als besonders hilfreich oder unzureichend wahrgenommen werden,
und zu bestimmen, ob zusätzliche Module oder veränderte Darstellungen erforderlich sind.

Die Fragen dieser zweiten Befragung werden systematisch aus der Modulstruktur abgeleitet. So lässt sich nachvollziehen, welche Module Informationsbedarfe gut adressieren und wo weitere Verbesserungen notwendig sind.

Modulares Sicherheits- und Datenschutzmodell

Ziel und Struktur der Module

Um die vielen Einzelaspekte von Informationssicherheit, Datenschutz und Governance handhabbar zu machen, wird ein Modell aus Modulen definiert. Jedes Modul beschreibt einen abgrenzbaren Themenbereich, etwa „Zweckbindung“, „Zugriffskontrolle“ oder „Verschlüsselung“, und umfasst:

eine klare Kurzbeschreibung der Funktion,
eine Zuordnung zu relevanten Normen und Rechtsrahmen (z. B. DSGVO, ISO/IEC 27001, NIS2, IT‑SiG 2.0, DGA),
und eine Nutzenbeschreibung aus Sicht eines Unternehmens.

Die Module können intern für Reifegradanalysen und Maßnahmenplanung verwendet werden und extern als strukturierter Rahmen für die Kommunikations- und Onboardingunterlagen dienen.

Verankerung in Regulierungen und Standards

Die Module sind aus einer systematischen Analyse der einschlägigen Regelungen abgeleitet. Dabei wurden insbesondere berücksichtigt:

die DSGVO mit ihren Grundsätzen (Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung) und Betroffenenrechten (Auskunft, Berichtigung, Löschung, Portabilität, Widerspruch, Einschränkung),
ISO/IEC 27001 mit Kontrollen u. a. zu Zugriffskontrolle, Kryptografie, Logging, Backup, physischer Sicherheit,
die NIS2-Richtlinie mit Vorgaben zu Governance, Risikomanagement, Incident Handling, Lieferkettensicherheit,
das IT-Sicherheitsgesetz 2.0 mit Anforderungen u. a. an KRITIS-Betreiber, Angriffserkennung, Meldepflichten,
der Data Governance Act (DGA) mit Vorgaben zur Neutralität, Transparenz und Rolle von Datenvermittlungsdiensten,
sowie optional eIDAS und branchenspezifische Regulierungen (z. B. TISAX, UNECE WP.29/R155) als Erweiterung, falls der Einsatzbereich dies erfordert.

So wird sichergestellt, dass die Module nicht nur technische, sondern auch regulatorische Anforderungen abbilden und eine Entscheidungsbasis bieten, die sich auf klare normative Bezüge stützt.

Überblick über zentrale Module

Die nachfolgende Tabelle gibt einen exemplarischen Überblick über ausgewählte Kernmodule. Sie kann als Basis für eine plattformspezifische Ausgestaltung dienen:

Modul	Kurzbeschreibung	Typische Nutzenargumente
Zweckbindung der Datenverarbeitung	Daten werden ausschließlich zu vorher definierten und vertraglich festgelegten Zwecken genutzt.	Schutz vor Zweckentfremdung, klare rechtliche Absicherung, nachvollziehbare Zweckdefinitionen.
Zugriffsrechte & Rollenmanagement	Feingranulares Rollen- und Berechtigungsmodell steuert, wer wann auf welche Daten zugreifen kann.	Transparente Verantwortlichkeiten, Minimierung unberechtigter Zugriffe, Unterstützung des Need-to-know.
Logbuch & Zugriffsnachverfolgung	Relevante Zugriffe und Aktionen werden protokolliert und sind auswertbar.	Prüfbarkeit von Zugriffen und Aktionen, Unterstützung bei Audits und internen Kontrollen.
Verschlüsselung bei Übertragung	Datenübertragungen erfolgen mit etablierten Verschlüsselungsverfahren.	Schutz vor Abhören und Manipulation im Transport, insbesondere über öffentliche Netze.
Verschlüsselung bei Speicherung	Daten im Ruhezustand werden durch Verschlüsselung geschützt.	Reduzierung des Risikos bei physischen oder logischen Angriffen auf Speichersysteme.
Anonymisierung & Pseudonymisierung	Daten können vor Weitergabe anonymisiert oder pseudonymisiert werden.	Nutzung sensibler Daten mit reduziertem Re-Identifizierungsrisiko, Unterstützung DSGVO-konformer Auswertungen.
Onboarding-Support & Beratung	Fachliche Begleitung während Einführung und Nutzung der Plattform.	Reduzierte Einstiegshürden, Unterstützung bei Fragen zu Technik, Sicherheit und Compliance.
Transparente Kommunikation	Aufbereitung technischer, rechtlicher und organisatorischer Aspekte in verständlicher Form.	Verringerung von Unsicherheit, verbesserte Entscheidungsgrundlage, geringerer Klärungsbedarf.
Rechtskonformität & DSGVO-Compliance	Abbildung der relevanten gesetzlichen Pflichten im Plattformdesign und in Verträgen.	Reduktion rechtlicher Risiken, insbesondere in regulierten Branchen oder bei Prüfungen.
Backup, Wiederherstellbarkeit, Redundanz	Regelmäßige, getestete Datensicherungen und redundante Auslegung kritischer Komponenten.	Schutz vor Datenverlust und längeren Ausfällen, Unterstützung von Business-Continuity-Anforderungen.
Vorfallreaktion	Definierte Prozesse zur Erkennung, Meldung und Behandlung von Sicherheitsvorfällen.	Klarheit im Ernstfall, Erfüllung gesetzlicher Meldepflichten, Reduktion von Reaktionszeiten.
Benutzer-Authentifizierung & IAM	Sichere Authentifizierung und Identitätsverwaltung (bis hin zu Mehrfaktor-Authentifizierung).	Schutz vor Kontoübernahmen, robuste Basis für Zugriffsmanagement und Rollenmodelle.

Diese und weitere Module (z. B. zu Betroffenenrechten, sicherem Datenaustausch mit Dritten, Lieferkettensicherheit, KRITIS-Bezug, Angriffserkennung) können je nach Plattformreife schrittweise ergänzt und konkretisiert werden.

Fragebogenbasierte, nutzenorientierte Kommunikation

Die modulare Struktur bildet die Grundlage für einen fragebogenbasierten Kommunikationsansatz im Onboarding. Ziel ist es, die abstrakten Module an die konkreten Anliegen eines Unternehmens anzubinden.

Für jedes Modul werden ein oder mehrere Fragen formuliert, die typische Bedenken adressieren. Beispiel für „Zweckbindung der Datenverarbeitung“:

„Haben Bedenken hinsichtlich einer möglichen Zweckentfremdung Ihrer Daten Sie oder Ihr Unternehmen schon einmal davon abgehalten, eine digitale Plattform zu nutzen?“

Dazu wird ein kurzes, modulbasiertes Argument formuliert, etwa:

„Die Plattform setzt Zweckbindung sowohl vertraglich als auch technisch um. Ihre Daten werden ausschließlich zu den von Ihnen freigegebenen Zwecken verarbeitet; Zweckänderungen erfordern Ihre ausdrückliche Zustimmung.“

Unternehmen beantworten den Fragebogen und signalisieren damit ihre Schwerpunkte (z. B. starkes Interesse an Zugriffskontrolle, hoher Bedarf an Nachweisen zu Rechtskonformität, besondere Sensibilität für Vorfallhandling). Darauf aufbauend können in der weiteren Kommunikation gezielt die relevanten Module mit ihren Nutzenargumenten und Nachweisen hervorgehoben werden, anstatt allen Unternehmen identische, unselektierte Informationen bereitzustellen.

Dieser Ansatz senkt den Kommunikationsaufwand und erhöht gleichzeitig die Relevanz der bereitgestellten Informationen.

Bewertung und Reifegradentwicklung

Die Modulstruktur kann nicht nur für die externe Kommunikation, sondern auch für eine interne Reifegradanalyse des Sicherheitskonzepts verwendet werden. Für jedes Modul kann der aktuelle Umsetzungsstand erfasst werden, beispielsweise:

„umgesetzt“,
„teilweise umgesetzt“,
„nicht umgesetzt“,
„keine Angabe / nicht bewertet“.

Erfahrungen zeigen dabei typischerweise ein heterogenes Bild:

Bereiche wie Zweckbindung, Verschlüsselung bei Übertragung, grundlegende Rollenmodelle und physische Sicherheit sind häufig gut realisiert.
Logging, Backup-Strategien, MFA, Anonymisierung/Pseudonymisierung, Lieferkettensicherheit und Angriffserkennung weisen hingegen oft Ausbaupotenzial auf.

Aus dieser Bewertung lässt sich ein Maßnahmenplan ableiten, der für jedes Modul festhält:

Risiko und Impact bei unzureichender Umsetzung,
Priorität,
technischen und organisatorischen Aufwand,
Zieltermin,
Verantwortlichkeiten,
sowie relevante Norm- und Gesetzesbezüge.

So entsteht ein strukturiertes Vorgehen zur schrittweisen Erhöhung des Sicherheitsreifegrads, das zugleich mit der Kommunikationsstrategie abgestimmt ist: Fortschritte in einzelnen Modulen können nachvollziehbar nach außen kommuniziert werden.

Prinzipien professioneller Sicherheitskommunikation im Onboarding

Aus den beschriebenen Ansätzen lassen sich generische Prinzipien ableiten, die Datentreuhänder bei der Gestaltung ihrer Onboarding-Kommunikation berücksichtigen sollten:

Neutralität und Zweckbindung sichtbar machen

Die Rolle als neutraler Intermediär und die Bindung der Datenverarbeitung an klar definierte Zwecke müssen verständlich und glaubwürdig dargestellt werden.
Aussagen mit Evidenz unterlegen

Kernaussagen sollen mit Verweisen auf konkrete Regelwerke (z. B. DSGVO, ISO/IEC 27001, NIS2, IT‑SiG 2.0, DGA) und mit exemplarischen, datierten Nachweisen (z. B. Policy-Auszüge, Auditzusammenfassungen, Konfigurationsnachweise) verknüpft werden.
Rollenbasierte Darstellung

Informationen müssen je nach Zielgruppe anders zugeschnitten sein: Geschäftsführung braucht klare Risikoeinschätzungen, Compliance-Rollen fokussieren auf Rechts- und Normbezüge, technische Rollen auf Implementierungsdetails.
Klarheit und Struktur

Botschaften sollten in wenigen Sätzen auf den Punkt gebracht werden; weitergehende Detailinformationen können mittels progressiver Offenlegung bereitgestellt werden.
Aktualität und Nachvollziehbarkeit

Sicherheits- und Compliance-Aussagen sind nur dann vertrauensbildend, wenn sie aktuell sind. Versionierung, Änderungsprotokolle und regelmäßige Überprüfung sind daher essenziell.

Fazit: Einsatz des Bausteins in Datentreuhand-Kontexten

Der hier beschriebene Baustein liefert Datentreuhändern einen strukturierten Rahmen, um Sicherheits- und Datenschutzaspekte im Onboarding:

systematisch zu erfassen,
modular zu strukturieren,
adressatengerecht zu kommunizieren,
und mit einem Maßnahmenplan zur Reifegradsteigerung zu verknüpfen.

In Verbindung mit einem bestehenden Sicherheits- und Datenschutzkonzept – etwa auf Basis von BSI-IT‑Grundschutz, ISO/IEC 27001 und den einschlägigen Rechtsrahmen – ermöglicht er es, Schutzmaßnahmen nicht nur zu implementieren, sondern sie auch so zu kommunizieren, dass sie Vertrauen schaffen und Entscheidungsprozesse in Unternehmen effektiv unterstützen.

Damit wird Sicherheitskommunikation zu einem eigenständigen, gestaltbaren Bestandteil des Datentreuhandmodells und trägt unmittelbar zur erfolgreichen Etablierung und Skalierung von Datentreuhand-Plattformen bei.