Sapherbox als virtueller Datenraum

Ein virtueller Datenraum ist ein Ordner mit Regeln. Jemand, meist ein Unternehmen, das verkauft, geprüft, finanziert oder verklagt wird, legt ein paar hundert Dokumente an einen Ort und lässt ein paar Dutzend Außenstehende sie für ein paar Wochen lesen. Die Regeln machen daraus einen Datenraum statt eines gemeinsamen Laufwerks: wer hineinkommt, was er darf, wann der Raum schließt und welche Nachweise danach bleiben.

Dafür gibt es dedizierte Datenraum-Produkte, und die guten sind gut. Sie sind aber für eine Transaktion kalkuliert, oft pro Seite oder pro Gigabyte und Monat. Deshalb landen viele kleinere Deals und die meisten Prüfungen stattdessen in einer SharePoint-Site oder hinter einem Cloud-Link. Das ist billiger und hat keine einzige dieser Regeln.

Sapherbox liegt dazwischen. Es wurde nicht als Datenraum gebaut. Aber die Kontrollen, die ein Datenraum braucht, braucht ein Ende-zu-Ende-verschlüsseltes Kollaborationsprodukt ohnehin: feingranulare Zugriffsrechte, Außenstehende, die genau eine Sache bekommen, Zeitlimits, ein Audit-Protokoll, das sich nicht nachträglich ändern lässt, und Berichte, die an dem Tag, an dem jemand fragt, beantworten, wer Zugriff worauf hat. Dieser Artikel zeigt, wie Sie einen Datenraum einrichten, welche Nachweise er hinterlässt und, ganz offen, welche Datenraum-Funktionen er nicht hat.

Was ein dedizierter Datenraum nicht bieten kann

Beginnen wir mit der Eigenschaft, die Sapherbox sowohl von der billigen als auch von der teuren Variante unterscheidet. In einem herkömmlichen Datenraum kann der Anbieter jedes Dokument lesen. Seinen Mitarbeitenden mag das vertraglich verboten sein, und der Anbieter mag seriös sein. Die Möglichkeit ist trotzdem da: Die Dateien liegen mit den Schlüsseln des Anbieters verschlüsselt auf dessen Servern. Eine behördliche Anordnung, ein Einbruch oder ein Administrator mit eigenen Absichten öffnet den ganzen Deal.

In Sapherbox werden die Dokumente, ihre Namen und die Ordnerstruktur auf dem Gerät der Person verschlüsselt, die sie hochlädt, mit Schlüsseln, die nur die eingeladenen Personen halten. Was unsere Server sehen können und was nicht listet auf, was sichtbar bleibt: Größen, Zeitstempel, wer welchen Ordner hält. Nicht den Inhalt, nicht die Namen. Wer den Tenant betreibt, uns eingeschlossen, kann die Fusionsakte nicht lesen. Für einen Verkäufer, dessen gesamte Verhandlungsposition in diesem Ordner liegt, ist das kein Komfortmerkmal.

Die Einrichtung

Ein Ordner pro Deal. Legen Sie den obersten Ordner an und bauen Sie darin den Index als Unterordner auf: 01 Gesellschaft, 02 Finanzen, 03 Verträge, 04 Personal, 05 IP und so weiter. Die Nummerierung ist Ihr Index. Halten Sie sie über die Laufzeit des Deals stabil, denn Audit-Protokoll und Berichte beziehen sich auf diese Namen. Der Zugriff auf den obersten Ordner reicht den Baum hinunter. Ein Bieter, der oben zugelassen wird, sieht den ganzen Index. Ein Bieter, der nur in 02 Finanzen zugelassen wird, sieht nur das.

Eine Gruppe pro Bieter. Teilen Sie nicht mit einzelnen Personen. Legen Sie für jede Bieterpartei eine Gruppe an, nehmen Sie deren Deal-Team auf und geben Sie den Ordner für die Gruppe auf der Stufe Viewer frei. Holt ein Bieter einen weiteren Mitarbeitenden dazu, fügt Ihre Deal-Leitung eine Person zu einer Gruppe hinzu, und die Person hat den Index. Steigt ein Bieter aus, entfernt Ihre Deal-Leitung die Gruppe vom Ordner, und alle darin verlieren in einem Zug den Zugriff. Ordner mit Gruppen teilen, nicht mit einzelnen Personen erklärt, warum das auch der sicherere Entwurf ist.

Außenstehende sind Gäste. Alle auf der Bieterseite registrieren sich über die Einladung mit einem Gastkonto. Gäste haben eigene Schlüssel und eigene Passwörter. Ihre Administratoren sehen, dass sie existieren und was sie halten, und sie bekommen nichts, was nicht ausdrücklich freigegeben wurde. Verlangt der Tenant bei der Anmeldung einen zweiten Faktor, gilt das für Gäste genauso wie für Ihre eigenen Leute. Sollen Ihre eigenen Mitarbeitenden während des Deals nicht frei neue Außenstehende einladen können, kann der Administrator sie darauf beschränken, nur mit bestehenden Konten zu teilen.

Viewer sehen und laden herunter, mehr nicht. Die Stufe Viewer trägt ein einziges Recht: die Datei abrufen. Viewer können nicht hochladen, umbenennen, verschieben, löschen oder teilen, und sie sehen nicht, wer sonst Zugriff hat. Muss eine Gegenpartei Dokumente in den Raum liefern, etwa die finanzierende Bank des Käufers mit einem Comfort Letter, geben Sie ihr einen Unterordner auf der Stufe Uploader. Ein Uploader sieht nur, was er selbst abgelegt hat, und hält nie die Inhaltsschlüssel des Ordners. Er könnte die Dokumente der anderen Seite also selbst dann nicht lesen, wenn der Server sich falsch verhielte. Für eine einmalige Lieferung von jemandem, der gar kein Konto haben soll, leistet ein Upload-Link dasselbe für einen einzelnen Ordner.

Setzen Sie das Schlussdatum am ersten Tag. Jeder Ordner kann ein Ablaufdatum tragen. An diesem Tag leert er sich entweder und bleibt bestehen, mit Struktur und Mitgliedern für den nächsten Deal, oder er verschwindet mit allem, was darin liegt. Entscheiden Sie das beim Anlegen des Raums, nicht beim Schließen. Einzelne Dokumente, die früher verschwinden müssen, ein überholter Entwurf, ein versehentlich freigegebener Bericht, bekommen ein eigenes Löschdatum. Beides läuft unter einem Systemakteur und wird ins Audit-Protokoll geschrieben. Der Nachweis zeigt also, dass der Raum planmäßig geschlossen wurde und nicht von Hand. Löschen und Wiederherstellen beschreibt, was der Papierkorb in der Zwischenzeit behält und was nicht.

Was der Raum aufzeichnet

Ein Datenraum existiert auch deshalb, damit ein Jahr später niemand behaupten kann, ein Dokument nicht gesehen zu haben. Sapherbox zeichnet drei Arten von Nachweisen auf.

Jeden Download. Das Audit-Protokoll enthält für jeden Datei-Download einen Eintrag: wer, welche Datei, wann, von welcher Adresse. Es enthält außerdem jede Freigabe, jede Änderung einer Berechtigungsstufe, jede Änderung einer Gruppenmitgliedschaft und jeden Entzug, einschließlich der Schlüsselrotation, die ein Entzug auslöst. Das Protokoll ist per HMAC verkettet, die Anwendung kann einen Eintrag nachträglich weder ändern noch löschen. Ein Audit-Protokoll, das sich nicht unbemerkt ändern lässt beschreibt den Mechanismus und die Prüffunktion. Die Audit-Seite filtert nach Akteur, Aktion und Datum und exportiert als CSV.

Wer an jedem beliebigen Tag Zugriff hat. Die Berichtsseite des Administrators beantwortet die Zugriffsfrage von beiden Seiten: das Inventar aller Ordner und wer sie auf welcher Stufe hält, über Gruppen aufgelöst, so dass ein Prüfer die Personen sieht und nicht nur die Gruppennamen; und die Freigaben jedes einzelnen Nutzers, so dass sich der Abgang eines einzelnen Mitarbeitenden in einer Ansicht prüfen lässt. Ein dritter Reiter listet inaktive Gäste, die noch ein Konto haben, aber nichts mehr halten, die Überbleibsel eines früheren Deals. Jeder Bericht exportiert als CSV. Wer hat Zugriff worauf geht die Reiter durch. Für einen Datenraum ist die Praxis einfach: am Eröffnungstag exportieren, bei jedem Bieterwechsel und am Schlusstag.

Wer was geteilt hat. Jede Ihrer eigenen Personen hat eine engere Version derselben Berichte für die Inhalte, die sie selbst weitergegeben hat, denn in Sapherbox gilt: Wer teilt, trägt die Verantwortung. Ihre Deal-Leitung sieht jederzeit, welche Gruppen und Personen den Raum halten, ohne einen Administrator zu fragen.

Zusammen ergibt das den Closing-Ordner: die datierten CSV-Exporte plus die Audit-Einträge für die Entzüge am Ende. Ein Punkt sollte früh entschieden werden: Ordner- und Dateinamen sind verschlüsselt, die Berichte zeigen sie daher maskiert, nur erster und letzter Buchstabe, es sei denn, der Administrator schaltet Klartextnamen für die Berichte ein. In einem Datenraum, in dem nicht der Index das Geheimnis ist, sondern die Dokumente, schalten die meisten Tenants das für die Laufzeit des Deal-Ordners ein. Warum wir auch Datei- und Ordnernamen verschlüsseln beschreibt, was man damit aufgibt.

Den Raum schließen

Wenn der Deal abgeschlossen ist oder ein Bieter aussteigt, entfernen Sie die Gruppe vom Ordner. Jedes Mitglied dieser Gruppe verliert sofort den Zugriff, und die Schlüssel des Ordners werden rotiert. Eine stehengebliebene Sitzung oder ein zwischengespeicherter Schlüssel auf dem Laptop eines Bieters öffnet nichts Neues mehr. Zugriff entziehen heißt, die Schlösser auszutauschen erklärt den Unterschied zwischen dem Löschen eines Berechtigungseintrags und dem Rotieren eines Schlüssels. Was ein Viewer bereits heruntergeladen hat, hat er. Kein Datenraum, auch kein dedizierter, kann einen Download zurückholen, und wir sagen das lieber, als eine Kontrolle anzudeuten, die es nicht gibt.

Dann lassen Sie das Ablaufdatum seine Arbeit tun, löschen die inaktiven Gäste aus dem Bericht und legen die letzten Exporte ab. Ein Gast, der sein Konto danach loswerden möchte, kann es selbst in seinem Profil löschen. Die Löschung landet in Ihrem Audit-Protokoll, und das Recht auf Löschung ist erledigt, ohne dass auf Ihrer Seite ein Ticket entsteht.

Wo ein dedizierter Datenraum weiter vorne liegt

Wir veröffentlichen unsere Grenzen, und diese Liste ist bewusst vollständig.

Kein reiner Ansichtsmodus. In Sapherbox heißt ein Dokument ansehen, es abzurufen. Der Browser entschlüsselt es, um es anzuzeigen. Ein Viewer kann es deshalb speichern. Es gibt kein „Ansehen ja, Herunterladen nein“, kein gesperrtes Drucken und keinen Schutz vor Bildschirmfotos. Dedizierte Datenräume bieten das oft an. Wir halten diese Kontrollen für schwach gegenüber einem entschlossenen Leser mit Handykamera. Aber es sind Kontrollen, und die Anwälte des Verkäufers können sie verlangen.
Keine dynamischen Wasserzeichen. Dokumente werden nicht mit Name und Uhrzeit des Betrachters gestempelt. Da der Server den Klartext nie sieht, kann er ihn nicht stempeln, und Wasserzeichen auf dem Client haben wir nicht gebaut. Wir arbeiten stattdessen an elektronischen Signaturen, damit das Dokument, das eine Partei beim Closing unterschrieben hat, nachweislich dasselbe ist wie das im Raum.
Keine Auswertung auf Seitenebene. Das Audit-Protokoll hält fest, dass eine Datei heruntergeladen wurde, nicht welche Seiten gelesen wurden oder wie lange. Verkäufer, die anhand von Lese-Heatmaps beurteilen, wie ernst es ein Bieter meint, bekommen das hier nicht.
Kein Q&A-Modul. Fragen der Bieter und Antworten des Verkäufers sind in Transaktions-Datenräumen ein zentraler Ablauf. Sapherbox hat keine Frage-Antwort-Threads. Das praktikable Muster ist ein Uploader-Unterordner pro Bieter für Fragen und ein Viewer-Unterordner für Antworten, die Diskussion selbst läuft per E-Mail oder in Ihrem Deal-Werkzeug.
Keine Schwärzungswerkzeuge und keine NDA-Bestätigung per Klick. Schwärzen Sie vor dem Hochladen. Holen Sie die Vertraulichkeitserklärung vor der Einladung ein.

Wann es passt

Sapherbox ist ein guter Datenraum, wenn die Vertraulichkeit der Dokumente gegenüber der Plattform selbst zählt, wenn ein datierter Zugriffsbericht und ein unveränderbares Download-Protokoll die Nachweise sind, die Sie brauchen, und wenn Sie lieber das Werkzeug nutzen, das Sie schon haben, als für einen einzelnen Deal ein Produkt zu kaufen. Das deckt die meisten Prüfungen, die meisten Finanzierungsrunden, die meisten Dokumentenaustausche in Rechtsstreitigkeiten und einen guten Teil der kleineren Übernahmen ab. Es deckt keine kontrollierte Auktion mit strengen Nur-Ansicht-Anforderungen ab, und wir hätten lieber, dass Sie dafür das richtige Werkzeug nehmen, als dass Sie die Lücke mitten im Prozess entdecken.

Fragen?

Richten Sie gerade einen Raum ein und möchten Ordnerstruktur, Gruppenaufbau und Ablaufeinstellungen vor der ersten Einladung von einem zweiten Augenpaar prüfen lassen? Schreiben Sie uns an hello@sapherbox.com.