Instant Messenger für Unternehmen: Der Datenschutzvergleich

Es könnte so einfach sein: Praktisch die gesamte Belegschaft hat ohnehin schon WhatsApp auf dem Smartphone installiert. Warum nicht schnell eine Gruppe gründen und den mit Abstand meistgenutzten Instant Messenger auch zur unternehmensinternen Kommunikation verwenden?

Doch die App aus dem Hause Facebook erfüllt nicht einmal die grundlegendsten Datenschutzstandards. Unser Test zeigt: Es gibt deutlich bessere Alternativen.

Das Wichtigste in Kürze

• WhatsApp mag zwar der meistgenutzte Messenger sein – zur Kommunikation im Unternehmen sollte er aber keinesfalls verwendet werden.
• Auch die beliebte Alternative Telegram weist deutliche Schwachstellen im Datenschutz auf.
• Unser Test zeigt: Es gibt datenschutzkonforme Messenger-Dienste.
• Unternehmen können und sollten die Belegschaft per Dienstanweisung zur Verwendung sicherer Messenger verpflichten.

Instant Messenger und Datenschutz 

Arbeitgeber in Deutschland und der gesamten Europäischen Union müssen ein angemessenes Niveau an Datenschutz gewährleisten, wie es die seit 2018 geltende Datenschutz-Grundverordnung (DSGVO) vorschreibt. Da bei der Kommunikation mit Instant Messengern fortwährend personenbezogene Daten ausgetauscht werden, muss auch hier auf den Datenschutz geachtet werden. Das ist gar nicht immer leicht – vor allem dann nicht, wenn die Daten auf Servern weltweit gespeichert werden.

Ein Beispiel aus der Praxis: Ein Arbeitgeber möchte WhatsApp als Kommunikationskanal für Krankmeldungen nutzen. Dabei werden persönliche Daten – hier über die krankheitsbedingte Abwesenheit von Angestellten – gesendet und auf Servern von WhatsApp gespeichert, über die der Arbeitgeber keinerlei Kontrolle hat. Er kann also beim besten Willen nicht mehr seinen Verpflichtungen zum Datenschutz nachkommen.

Vor diesem Hintergrund überrascht es nicht, dass deutsche Gerichte und auch Datenschutzbehörden bereits seit 2017 den Einsatz von WhatsApp zur vertraulichen Kommunikation als äußerst kritisch einstufen. WhatsApp ist, wie wir im Datenschutz-Test sehen werden, für Unternehmen keinesfalls zu empfehlen. Es gibt andere Messenger, die durchaus datenschutzkonform im Arbeitsalltag eingesetzt werden können.

Sind Messenger für die vertrauliche Kommunikation geeignet?

Wenn Daten streng vertraulich sind, ist der sicherste Weg der Kommunikation vermutlich, jemandem ins Ohr zu flüstern. Auch das Festnetztelefon mit Kupferkabel bot seinerzeit ein hohes Maß an Vertraulichkeit. Doch der moderne Büroalltag sieht anders aus.

Am ehesten ist die Chat-Nachricht wohl mit der E-Mail zu vergleichen. Und hier zeigt sich: Ein guter Messenger ist einer unverschlüsselten E-Mail beim Datenschutz überlegen.

Es gibt also keinen Grund, generell auf den Einsatz von Messengern als vertrauliches Kommunikationsmittel zu verzichten. Tabu sind lediglich bestimmte Apps, wie wir unten sehen werden.

Das zeichnet einen datenschutzkonformen Instant Messenger aus

Aus Sicht des Datenschützers sind die wichtigsten Kriterien für einen guten Messenger schnell formuliert:

• Standort des Servers: Der Server sollte sich in der EU oder einem anderen Staat des Europäischen Wirtschaftsraums (EWR), also Norwegen, Island oder Liechtenstein befinden. Wichtig: Großbritannien ist nicht mehr Teil der EU und wird nach 2020 nicht mehr an die DSGVO gebunden sein.
• Geschäftsmodell: Der Messenger sollte nicht über Werbung finanziert werden, die die versendeten Daten nutzt.
• Verschlüsselung: Eine gute Ende-zu-Ende-Verschlüsselung sollte bei einem datenschutzkonformen Messenger Standard sein.
• Adressdaten: Das lokale Adressbuch sollte vom Messenger nicht ausgelesen werden.
• Protokoll: Das verwendete Instant-Messaging-Protokoll sollte offen standardisiert sein.
• Backup-Möglichkeit: Die Daten sollten auf Wunsch auch lokal ohne Einschränkung speicherbar sein, nicht nur in der Cloud.

Diese sechs Kriterien sind aus Sicht des Datenschutzes wichtig. Wir haben sie deshalb in unserem Test auch stark gewichtet. Daneben gibt es aber auch weitere Kriterien, die mit Blick auf eine vertrauliche Kommunikation wichtig sind:

• Abschaltung des Accounts: Das Konto sollte sich über die App löschen lassen.
• Anzeige von Aktivitäten: Der Hinweis „Tippt gerade“ sollte sich abschalten lassen. Gleiches gilt für die Anzeige „Empfangen/Gelesen“.

Prüfen wir nun einmal alle gängigen Messenger nach diesen Kriterien, ergibt sich bei der von uns vorgenommenen Gewichtung folgendes Bild:

Bildunterschrift: Messenger-Dienste im Datenschutzvergleich. Quelle: DataGuard

Diese Messenger sind aus Sicht des Datenschutzes besonders problematisch

Zwei der weltweit meistgenutzten Instant Messenger fallen in unserem Test besonders negativ auf. Da ist einmal WhatsApp, das weltweit von rund zwei Milliarden Menschen zur Kommunikation genutzt wird, aber auch unter dem mangelnden Datenschutz des Mutterkonzerns Facebook leidet. Da ist überraschenderweise aber auch Telegram, mit inzwischen rund 400 Millionen Nutzern weltweit der Shootingstar unter den Messengern, der für viele (zu Unrecht) als sichere WhatsApp-Alternative gilt.

WhatsApp und der Datenschutz

Für WhatsApp kann der Datenschützer kein „Like“ vergeben – nicht nur, aber unter anderem auch aufgrund der zunehmenden Verflechtung mit dem Mutterkonzern Facebook. Das haben auch die deutschen Datenschutzbehörden wiederholt betont. Negativ fallen im Test eine ganze Reihe von Punkten auf:

• Geschäftsmodell: Facebook verdient sein Geld mit personalisierter Werbung, was angesichts der immer engeren Verzahnung der unterschiedlichen Produkte des Konzerns auch für WhatsApp eine Gefahr darstellt.
• Standort: Die Daten werden bei WhatsApp nicht auf Servern innerhalb der EU oder des EWR gespeichert.
• Protokoll: WhatsApp verfügt als einziger Messenger im Test über kein standardisiertes, offengelegtes Protokoll.
• Adressbuch: Der vielleicht kritischste Punkt aus Sicht des Datenschutzes ist der notwendige Zugriff von WhatsApp auf das lokale Adressbuch.

Positiv hervorzuheben ist zwar die bei WhatsApp mögliche Ende-zu-Ende-Verschlüsselung von Gruppenchats. Doch auch hier muss bemängelt werden, dass zwar Inhalte verschlüsselt übertragen werden, nicht jedoch Metadaten – wer mit wem zu welchem Zeitpunkt in Kontakt tritt, ist für den Konzern prinzipiell einsehbar.

Übrigens: Auch WhatsApp Business ist nicht empfehlenswert. Der Auftragsverarbeitungsvertrag mit Facebook enthält nicht einmal die Minimalangaben zur Datenverarbeitung und Datenübermittlung. Zudem ist auch hier die Verflechtung zu der Datenkrake Facebook hervorzuheben.

Telegram und der Datenschutz

Dass das Image von WhatsApp inzwischen in der Öffentlichkeit einigermaßen angekratzt ist, nutzt vor allem ein anderer Messenger für sich: Der vom exilierten russischen Unternehmer Pavel Durov gegründete Dienst Telegram hat inzwischen weltweit rund 400 Millionen Nutzer, Tendenz steigend. Die zwei handfesten Vorzüge sind zum einen das Geschäftsmodell, das nicht auf Werbung basiert, sowie das offen standardisierte Protokoll.

Doch im Test zeigt sich: Telegram kann keinesfalls als sichere Alternative zu WhatsApp empfohlen werden. Was den Standort der Server angeht, ist Telegram kaum als sicherer zu betrachten als WhatsApp – die Daten werden auf der ganzen Welt gespeichert, darunter auch in Ländern, die aus europäischer Sicht nicht als sicher gelten können. Aber schlimmer noch: Was die Verschlüsselungsmöglichkeiten angeht, bleibt Telegram sogar hinter WhatsApp zurück, weil es keine verschlüsselten Gruppenchats gibt. Daher gilt auch hier: Daumen runter, was den Einsatz im Büro angeht.

Welche Messenger sind zur sicheren Kommunikation zu empfehlen?

Aus unserem Test zu Messengern und Datenschutz geht Rocket Chat als eindeutiger Sieger hervor. Aber auch die zweit- und drittplatzierten Apps Threema und Wire können bedenkenlos für die Kommunikation in Unternehmen empfohlen werden. Der Messenger Signal (übrigens von Edward Snowden persönlich empfohlen) leidet im Test trotz sonst guter Werte unter dem Server-Standort USA.

Rocket Chat und der Datenschutz

Der größte Vorteil von Rocket Chat als Messenger besteht darin, dass der Dienst selbst gehostet werden kann. Alle Daten verbleiben so im Unternehmen, der Dienst kann über den Browser verwendet werden, ohne auf dem eigenen Gerät installiert zu sein. Beim Punkt Serverstandort erhält die App im Test daher als einzige die volle Punktzahl – wie auch in allen anderen Kategorien.

Für Unternehmen ebenso wichtig wie der Datenschutz sind Performance und Funktionalität eines Messengers. Die gute Nachricht: Nutzer von Rocket Chat müssen hier keine Abstriche machen. Dateien, Bilder und Videos können problemlos versendet werden, die App ist für verschiedene PC-Betriebssysteme ebenso erhältlich wie für Android und iOS.

Threema und der Datenschutz

Der Messenger Threema kann zur vertraulichen und datenschutzkonformen Kommunikation ebenso empfohlen werden wie Testsieger Rocket Chat. Der kleine Punktabzug im Test ist auf den Serverstandort Schweiz zurückzuführen. Das lässt sich sicher diskutieren, doch letztlich gilt: Im Zweifelsfall ist ein Serverstandort in der EU für deutsche Unternehmen immer besser als außerhalb der EU.

Threema verlangt nicht die Eingabe personenbezogener Daten wie beispielsweise E-Mail-Adresse oder Mobilnummer. Die App kann auf Basis einer zufällig genutzten Threema-ID ohne Zugriff auf das Adressbuch genutzt werden, auf Wunsch ist die Eingabe des eigenen Namens dennoch möglich. Die gesamte Kommunikation ist durch Ende-zu-Ende-Verschlüsselung gesichert.

Wire und der Datenschutz

Wire Enterprise ist ein Dienst, der speziell auf die Kommunikation in Unternehmen zugeschnitten ist. Zur Anmeldung muss eine E-Mail-Adresse angegeben werden, ein Zugriff auf das Adressbuch ist nicht erforderlich. Neben der Nutzung des Messenger-Dienstes besteht auch die Möglichkeit, über Voice over IP (VoIP) zu telefonieren.

Wire kann sowohl auf Smartphones, Tablets als auch auf Desktop-Geräten genutzt werden. Die gesamte Kommunikation ist Ende-zu-Ende verschlüsselt. Wire ist Open Source, das heißt die Software ist transparent und kann überprüft werden.

Zwei Wermutstropfen gibt es jedoch: Zum einen steht der Server in der Schweiz, die ein nicht ganz so gutes Datenschutzniveau bietet wie die EU. Zum anderen lässt sich nicht verbergen, dass ein Nutzer gerade tippt, was im Bereich des Arbeitsrechts problematisch sein kann.

Signal und der Datenschutz

Der Messenger Signal kann für den datenschutzkonformen Einsatz in Unternehmen nur bedingt empfohlen werden. Hier zeigt sich im Test die Bedeutung des Serverstandorts: Während bei allen anderen datenschutzrelevanten Features die volle Punktzahl erreicht wurde, ist eine physische Speicherung von personenbezogenen Daten in den USA wie im Falle von Signal datenschutzrechtlich zumindest heikel, insbesondere vor dem Hintergrund des EuGH-Urteils im Fall „Schrems II“ zum Datenschutzniveau in den USA vom 16.07.2020.

So überzeugen Sie Ihre Kontakte, zu einem sicheren Messenger zu wechseln

Datenschutz ist eine Führungsaufgabe. Entsprechend sollte im Unternehmensbereich die Nutzung sicherer Messenger schlicht und ergreifend dienstlich angewiesen werden. Vorstand und Geschäftsführung sollten hier mit gutem Beispiel vorangehen. Die klare Ansage: WhatsApp und andere unsichere Messenger dürfen nicht auf Dienstgeräten installiert werden.

Schwieriger ist es im umgekehrten Fall für Mitarbeiter, wenn die Nutzung unsicherer Messenger im Betrieb schon etabliert und weit verbreitet ist. Die Empfehlung hier: Sprechen Sie die Firmenleitung oder Ihren Datenschutzbeauftragten auf die Problematik an. Erst wenn dieser Schritt wiederholt erfolglos bleibt, sollten Sie einen anonymen Hinweis an die Datenschutzbehörden in Erwägung ziehen.

Im privaten Bereich ist es sicher am schwierigsten, den Freundes- und Bekanntenkreis zum Umstieg auf datenschutzkonforme Messenger zu bewegen. Wer hier etwas Argumentationshilfe benötigt, sollte einfach mal auf die AGB von WhatsApp verweisen, das sich sämtliche Nutzungsrechte an privaten Inhalten wie Bildern einräumen lässt. Das bringt viele Menschen zum Nachdenken.

Fazit

Die Moral der Geschichte: Finger weg von unsicheren Messenger-Diensten. Auch, wenn es bequem ist und scheinbar jedermann sie schon nutzt.

Wenn Sie im Unternehmen eine Führungsposition innehaben, ist es ihre Verantwortung, mit gutem Beispiel und einer Dienstanweisung voranzugehen. Sind Sie Mitarbeiter, haben Sie zumindest sehr gute Argumente und auch die ganz eindeutige Position der deutschen Datenschutzbehörden auf Ihrer Seite, um für Datenschutz beim Messaging zu werben. Denn reine Bequemlichkeit zahlt sich langfristig selten aus.