Öffentliche Aufzeichnungen durchlaufen mehr Systeme, als die meisten Behörden erfassen

Die meisten Behörden verfügen nicht über eine einzige Data-Governance-Richtlinie. Sie haben mehrere: eine für das Archivierungssystem, eine andere für E-Mails, wiederum eine andere für Filesharing – und oft überhaupt keine einheitliche Richtlinie für den neuesten Kanal, KI-gestützte Tools zur Fallbearbeitung. Jede wurde von einem anderen Team, zu einer anderen Zeit und auf Basis unterschiedlicher Anforderungen entwickelt. Für sich genommen erscheint jede Richtlinie sinnvoll. Zusammengenommen entstehen jedoch Lücken, die niemand absichtlich geschaffen hat und die kaum jemand erkennt.

Diese Lücken bleiben nicht lange theoretisch. Ein als sensibel eingestufter Bürgerdatensatz in einem geschützten System kann ungehindert als E-Mail-Anhang weitergegeben werden, sobald ihn jemand weiterleitet – weil die Richtlinie des Archivierungssystems dem Datensatz nicht folgt. Ein Datensatz, der in einem System für externe Freigaben gesperrt ist, kann über eine Integration, die niemand abgedeckt hat, dennoch das Unternehmen verlassen. Dieser Artikel zeigt, warum eine kanalweise Governance diese Lücken bei Behörden garantiert – und was tatsächlich nötig ist, um sie zu schließen.

Executive Summary

Data Governance, die bei Behörden kanalweise aufgebaut wird, führt zwangsläufig zu uneinheitlichem Schutz, da die jeweiligen Tools unabhängig voneinander – häufig von unterschiedlichen Teams mit unterschiedlichen Zielen – konzipiert und konfiguriert wurden. Das Ergebnis sind nicht mehrere separat akzeptable Risiken, sondern ein gemeinsames Risiko, das sich am schwächsten Kanal orientiert. Denn Bürgerdaten bewegen sich regelmäßig zwischen den Kanälen, und eine Richtlinie, die an der Kanalgrenze endet, bietet keinen Schutz mehr, sobald die Daten diese Grenze überschreiten. Für IT- und Compliance-Verantwortliche bedeutet das: Die Prüfung einzelner Kanäle deckt dieses Risiko nicht auf. Entscheidend ist, was mit einem bestimmten Bürgerdatensatz passiert, wenn er von einem Kanal zum nächsten wechselt.

Wichtige Erkenntnisse

1. Fragmentierte Governance bedeutet, dass derselbe Bürgerdatensatz in einem Kanal geschützt und in einem anderen ungeschützt ist. Eine Klassifizierung oder Zugriffsregel aus einem System begleitet die Daten selten, wenn sie in ein anderes System wechseln.
2. Anhänge sind der häufigste Punkt, an dem eine Richtlinie stillschweigend nicht mehr greift. Ein Datensatz, der im Archivierungssystem sorgfältig geschützt ist, kann als E-Mail-Anhang verschickt werden – ohne dass die dortigen Einschränkungen weiter gelten.
3. Jeder zusätzliche Kanal ist eine weitere potenzielle Lücke. Archivierungssysteme, E-Mail, Filesharing und jetzt auch KI-gestützte Fallbearbeitungstools müssen abgedeckt werden – eine einzige Lücke reicht aus.
4. Klassifizierung muss eine Eigenschaft der Daten selbst sein, nicht des Systems, in dem sie sich gerade befinden. Ein Tag schützt Bürgerdaten nur dann zuverlässig, wenn er beim Wechsel zwischen Kanälen erhalten bleibt.
5. Eine zentrale Policy-Engine für alle Kanäle schließt die Lücken, die kanalbezogene Tools nicht abdecken können. Die Durchsetzung muss unabhängig vom aktuellen Kanal nach denselben Kriterien erfolgen.

Warum kanalweise Governance der Standard war – und warum sie Behörden scheitern lässt

Die meisten Behörden sind durch eine Reihe jeweils sinnvoller Einzelentscheidungen zu fragmentierter Governance gekommen, nicht durch einen großen Fehler. Zuerst wurde ein Archivierungssystem ausgewählt und abgesichert, dann separat ein E-Mail-System – jedes Projekt mit eigenem Budget, Verantwortlichen und Zieldefinition.

Jedes Tool löst nur seinen eigenen Kanal – nicht die gesamte Datenreise

Die Zugriffskontrollen eines Archivierungssystems regeln, wer innerhalb dieses Systems einen Datensatz öffnen, herunterladen oder teilen darf. Sie haben jedoch keine Sichtbarkeit und keine Kontrolle darüber, was mit dem Datensatz passiert, sobald er als E-Mail-Anhang verschickt, in ein anderes System kopiert oder über eine Integration übertragen wird. Jedes Tool wurde entwickelt, um seinen eigenen Kanal gut zu steuern.

Richtlinien werden nachträglich selten kanalübergreifend abgeglichen

Sobald jeder Kanal sein eigenes Governance-Tool und eigene Administratoren hat, wird der Abgleich der Richtlinien zu einem Projekt ohne klaren Verantwortlichen. Es erfordert, Regelwerke in unterschiedlichen Sprachen und Systemen zu vergleichen, die sich überschneiden, aber nicht deckungsgleich sind. In der Praxis geschieht dieser Abgleich selten umfassend.

Wo die Lücke für Behörden tatsächlich sichtbar wird

Das theoretische Risiko fragmentierter Governance wird an bestimmten, vorhersehbaren Punkten konkret – nämlich immer dann, wenn Bürgerdaten eine Kanalgrenze überschreiten.

Das Anhang-Problem

Ein im Archivierungssystem sorgfältig verwalteter Datensatz ist aus Sicht der meisten E-Mail-Systeme einfach eine Datei, die ein Anwender anhängt. Die Zugriffsregeln, Aufbewahrungsfristen und Freigabebeschränkungen des Systems werden beim Versand per E-Mail nicht übernommen.

Das Integrations- und KI-Fallmanagement-Problem

Behörden verknüpfen Systeme laufend – über Integrationen und zunehmend auch über KI-gestützte Fallbearbeitungstools, die Bürgerdaten im Auftrag eines Sachbearbeiters auslesen. Jede Integration ist ein potenzieller Kanal für sensible Daten, gesteuert durch eine eigene – oft minimale – Zugriffskonfiguration.

Warum Klassifizierung mit den Daten wandern muss

Um diese Lücken zu schließen, braucht es einen anderen Ansatz: Die Richtlinie muss unabhängig vom Kanal immer gleich bewertet werden – statt dass jeder Kanal seine eigene Version durchsetzt.

Tags und Klassifizierung als übertragbare Eigenschaften

Wird ein Datensatz beim Eintritt in ein System als sensibel gekennzeichnet, sollte diese Klassifizierung auch in jedem weiteren Schritt erhalten bleiben, damit dieselbe Einschränkung konsistent gilt – und nicht auf einen Kanalstandard zurückgesetzt wird.

Durchsetzung muss den Übergang abdecken, nicht nur die einzelnen Seiten

Der risikoreichste Moment für einen Bürgerdatensatz ist der Übergang zwischen Kanälen – nicht die Zeit im jeweiligen System. Ein Governance-Ansatz, der nichts zum konkreten Vorgang des Anhängens an eine E-Mail sagt, schließt die Lücke nicht wirklich.

Audits auf Fragmentierung statt kanalweise Audits

Für IT- und Compliance-Teams bedeutet das einen Perspektivwechsel: Nicht mehr einzeln fragen, „Ist unser Archivierungssystem sicher?“ und „Ist unser E-Mail-System sicher?“, sondern untersuchen, was mit einem bestimmten sensiblen Bürgerdatensatz passiert, wenn er von einem Kanal zum nächsten wandert.

Wie eine Data Control Plane die Lücke zwischen Kanälen schließt

Um Fragmentierung zu beseitigen, müssen nicht alle bestehenden kanalbezogenen Tools ersetzt werden. Es braucht eine Governance-Schicht, die über allen Kanälen liegt und dieselbe Richtlinie für dieselben Daten unabhängig vom aktuellen Kanal anwendet.

Die Kiteworks Data Control Plane setzt einheitliche, datenbasierte zero-trust-Richtlinien über alle Kanäle hinweg durch, in denen sensible Daten bewegt werden – einschließlich E-Mail, Filesharing, APIs und KI-Agents. Die Klassifizierung, die beim Eintritt der Daten ins System automatisch erfolgt, bleibt erhalten – sodass dieselbe Einschränkung, die einen Datensatz im Archivierungssystem schützt, auch dann greift, wenn jemand versucht, ihn als E-Mail-Anhang zu versenden oder per Integration zu übertragen. Jede Durchsetzungsentscheidung über alle Kanäle hinweg wird in einem einzigen fälschungssicheren, unbegrenzten Audit-Log dokumentiert, der direkt in SIEM-Tools eingespeist wird.

Behörden, die ihre eigenen kanalübergreifenden Lücken identifizieren möchten, können eine individuelle Demo vereinbaren, um zu sehen, wie eine einheitliche Richtlinie über alle Kanäle hinweg im Vergleich zum bisherigen, kanalbezogenen Ansatz abschneidet.