Wer teilt, trägt die Verantwortung

Fragen Sie in einer beliebigen Organisation, wer für einen Ordner verantwortlich ist, der vor drei Jahren mit einer externen Kanzlei geteilt wurde. Meist ist die Antwort ein Achselzucken Richtung IT. Die IT hat ihn aber nicht geteilt. Sie weiß nicht, was darin liegt, wozu die Kanzlei ihn brauchte und ob das Mandat beendet ist. Das weiß nur die Person, die damals auf „Teilen“ geklickt hat. Und in den meisten Systemen hat genau diese Person keine Möglichkeit, Jahre später herauszufinden, was sie wem freigegeben hat.

Sapherbox bezieht dazu klar Stellung. Wer Inhalte teilt, ist für diese Freigabe verantwortlich, und zwar so lange, wie sie besteht. Nicht der Administrator, nicht das Sicherheitsteam, nicht der Anbieter. Verantwortung, die man nicht sehen kann, lässt sich aber nicht tragen. Deshalb bekommt jede Person die Ansichten, mit denen sie ihre eigenen Freigaben überblickt: die Seite „Personen mit Zugriff“ und eine Reihe persönlicher Berichte. In diesem Artikel geht es um dieses Modell, um die Gründe dafür und um das, was die Ansichten zeigen.

Warum die teilende Person und nicht der Administrator

Die übliche Alternative ist zentrale Verantwortung. Ein Administrator oder ein Dateneigentümer steht für jede Freigabe in der Organisation ein und prüft sie regelmäßig. Das klingt gründlich, funktioniert aber nicht, und zwar aus zwei Gründen.

Der erste Grund ist das Wissen. Ob eine Freigabe noch angemessen ist, hängt von Umständen ab, die nur die teilende Person kennt. Das Projekt ist abgeschlossen, die Prüfung beendet, der Kollege betreut inzwischen einen anderen Kunden. Ein Administrator, der eine Liste mit viertausend Freigaben durchgeht, kann eine verwaiste Freigabe nicht von einer aktiven unterscheiden. Die Zeilen sehen gleich aus. Die teilende Person erkennt den Unterschied auf einen Blick.

Der zweite Grund ist die Menge. Geteilt wird hundertfach pro Woche, und zwar von allen. Hängt die Prüfung an einer zentralen Person, die alles sehen muss, findet sie entweder so selten statt, dass veraltete Zugriffe jahrelang bestehen bleiben, oder sie ist so oberflächlich, dass alles durchgewunken wird. Verteilt auf die Personen, die geteilt haben, kostet dieselbe Prüfung jede einzelne nur wenige Minuten, und sie liegt bei jemandem, der die Antwort kennt.

Dazu kommt ein Grund, der speziell mit der Ende-zu-Ende-Verschlüsselung zu tun hat. In Sapherbox kann ein Administrator keinen geteilten Ordner öffnen, auf den er selbst keinen Zugriff bekommen hat. Die Schlüssel gehören nicht ihm. Er sieht, dass eine Freigabe existiert, zwischen wem und mit welcher Rolle, und er kann Konten verwalten. Beurteilen kann er dagegen nicht, ob die Empfänger den Inhalt eines Ordners noch sehen sollen, denn den Inhalt sieht er nicht. Das kann nur die Person, die geteilt hat.

Die Regel lautet also: Wer geteilt hat, entscheidet auch darüber, ob die Freigabe noch bestehen soll. Die Plattform muss dafür sorgen, dass sich diese Frage beantworten lässt.

Die Seite „Personen mit Zugriff“

Jede Person hat eine eigene Seite „Personen mit Zugriff“. Dort stehen alle, die sie zu ihren Ordnern und Dateien eingeladen hat, intern wie extern, jeweils mit einem Status. Eine Einladung, die noch nicht angenommen wurde, erscheint als „Wartet auf Registrierung“. Dort können Sie den Einladungslink kopieren, die Einladung erneut senden oder sie zurückziehen. Hat sich eine Person registriert, aber noch keine Schlüssel erhalten, steht sie auf „Bereit zum Teilen“. Eine aktive Zusammenarbeit erscheint als „Geteilt“.

Die Seite „Collaborators“: ein externer Gast bei nordwind.example mit dem Status „Awaiting signup“ und ein Kollege mit verwaltetem Konto, Jonas Berger von der Kanzlei Lindqvist, mit dem Status „Shared“

Wählen Sie eine Person aus, öffnet sich ihr Detailbereich. Er zeigt alles, was Sie mit ihr geteilt haben, Ordner für Ordner und Datei für Datei, jeweils mit der Rolle der Freigabe. So beantwortet er die Frage „Worauf hat diese Person durch mich Zugriff?“. Und die Antwort ist vollständig, denn die Plattform erstellt die Liste aus den Freigaben selbst und nicht aus dem Gedächtnis.

Der Detailbereich einer Person: Name und Organisation aus dem Verzeichnis, die drei mit Jonas Berger geteilten Ordner mit ihren Rollen und die Schaltfläche „Remove All Access“ mit dem Hinweis, dass die Ordnerschlüssel rotiert werden

Dort gibt es zwei Aktionen. Die eine entfernt eine einzelne Freigabe. Die andere, „Alle Zugriffsrechte entfernen“, entfernt in einem Schritt alle Ordner und Dateien, die Sie mit dieser Person geteilt haben. Weil die Plattform verschlüsselt, tut die Aktion genau das, was ihr Name verspricht. Die Schlüssel aller betroffenen Ordner werden rotiert. Schlüssel, die die Person vielleicht zwischengespeichert hat, öffnen damit nichts mehr. Klartextkopien, die sie bereits heruntergeladen hat, erreicht kein System, und das sagen wir auch so. Warum Entfernen neue Schlüssel erfordert, haben wir an anderer Stelle beschrieben. Hier geht es darum, wer die Schaltfläche drücken darf: die teilende Person, für ihre eigenen Freigaben, ohne Ticket.

Bei externen Personen enthält der Detailbereich außerdem ein kleines Verzeichnisprofil mit Name und Organisation. Sie und die Administratoren sehen es, der Gast selbst nicht. Ein halbes Jahr später entscheidet ein Eintrag wie „m.weber, Nordwind GmbH, Vertragspartner beim Rahmenvertrag 2026“ darüber, ob Sie einen Namen wiedererkennen oder nicht.

Die persönlichen Berichte

Die Seite „Personen mit Zugriff“ ist nach Personen geordnet. Die Berichte sind nach Inhalten und nach Empfängern geordnet. So lässt sich die regelmäßige Prüfung von beiden Seiten aus erledigen.

„Freigaben nach Inhalt“ führt jeden Ordner und jede Datei auf, deren Owner oder Co-owner Sie sind. Zu jedem Eintrag stehen alle Personen, die Zugriff haben, und ihre Rolle. Lesen Sie den Bericht von oben nach unten, haben Sie eine Bestandsaufnahme Ihrer Freigaben, Eintrag für Eintrag. Diesen Bericht brauchen Sie, wenn es um einen Ordner geht: Wer kann die Nordwind-Verträge öffnen, und sollen das alle noch können?

„Freigaben nach Nutzer“ dreht die Sicht um. Der Bericht führt jede Person auf, die auf irgendetwas von Ihnen Zugriff hat, und zeigt, worauf genau. Diesen Bericht brauchen Sie, wenn es um einen Menschen geht: Wie weit reicht der Zugriff des Wirtschaftsprüfers auf meine Inhalte, und was passiert, wenn das Mandat endet? Haben Sie einen Ordner mit einer Gruppe statt mit einer Person geteilt, erscheint die Gruppe als Empfänger. Wer dahintersteht, ergibt sich aus der Mitgliederliste der Gruppe, die von der Gruppenleitung gepflegt wird.

Der Bericht „Collaborations by User“: alle Personen mit Zugriff auf Ihre Inhalte, nach Person gruppiert, mit Ordnerpfad, Berechtigung und Datum der Freigabe

„Datenbestand“ führt jede Datei auf, deren Eigentümer Sie sind, mit ihrer Klassifizierung und, falls festgelegt, dem Ende der Aufbewahrungsfrist oder dem geplanten Löschdatum. Der Datenbestand ist kein Freigabebericht, gehört aber dazu. Bevor Sie entscheiden, ob eine Freigabe noch angemessen ist, hilft es zu wissen, dass der Ordner Dateien enthält, die als personenbezogene Daten klassifiziert sind. Und wenn eine Frage zum Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) kommt, hilft es, die Liste schon zu haben.

Alle drei Berichte lassen sich als CSV exportieren. Genau das wollen die meisten: eine Datei für die Quartalsprüfung oder für die Datenschutzbeauftragten, wenn sie danach fragen.

Wo die Sicht des Administrators ihren Platz hat

Der Administrator wird dadurch nicht überflüssig. Seine Aufgabe ändert sich. Die organisationsweiten Berichte zeigen jede aktive Freigabe im Tenant, auf Wunsch aufgelöst von Gruppen bis zu den Personen, die sie tatsächlich erreichen. Sie zeigen jeden Benutzer mit seinen Zugriffen und eine Liste ruhender externer Konten. Das sind Gäste ohne verbliebene Freigaben und ohne Gruppenmitgliedschaft, also Kandidaten zum Löschen. Das Audit-Log verzeichnet jede Freigabe, jedes Entfernen und jede Schlüsselrotation, jeweils mit der Person, die sie ausgeführt hat.

Das ist die Aufsichtsebene. Mit ihr sieht ein Administrator, dass geteilt wird und dass die Prüfungen stattfinden. Er kann bei einer Person nachhaken, deren externe Freigaben seit einem Jahr niemand angesehen hat. Und er kann Konten schließen, mit denen nichts mehr geteilt ist. Eines macht die Aufsichtsebene aber nicht: Sie macht den Administrator nicht zu der Person, die entscheidet, ob ein bestimmter Ordner noch für eine bestimmte Kanzlei offen sein soll. Diese Entscheidung bleibt bei der Person, die Bescheid weiß.

Was das von den Beteiligten verlangt

Ein Verantwortungsmodell taugt nur so viel wie die Gewohnheit, die daraus entsteht. Konkret heißt das:

Wenn Sie teilen, gehört die Freigabe Ihnen. Vergeben Sie die Rolle, die nötig ist, und keine höhere.
Wenn der Grund für eine Freigabe wegfällt, entfernen Sie sie noch am selben Tag. Das geht auf der Seite „Personen mit Zugriff“ mit einer einzigen Aktion.
Öffnen Sie einmal im Quartal den Bericht „Freigaben nach Nutzer“ und lesen Sie die Liste der Namen. Für jeden Namen sollten Sie einen Grund nennen können. Wo Ihnen keiner einfällt, entziehen Sie den gesamten Zugriff.
Bevor Sie eine Aufgabe abgeben, übergeben Sie Ihre Freigaben. Fügen Sie einen Co-owner hinzu, damit der Ordner weiterbesteht, wenn Sie gehen. Ihr Bericht „Freigaben nach Inhalt“ ist die Liste dessen, was Sie übergeben müssen.

Die Plattform sorgt dafür, dass jeder dieser Schritte ein paar Minuten dauert und keine Nachforschung erfordert. Und sie sorgt dafür, dass ein Entfernen auch wirklich wirkt. Der Rest ist die gewöhnliche Sorgfalt, die dazugehört, wenn man die Person ist, die Bescheid weiß.

Fragen?

Wenn Sie dieses Modell auf Ihren eigenen Prüfprozess übertragen möchten oder Ihre Datenschutzbeauftragten vor der Einführung sehen wollen, was die Berichte enthalten, schreiben Sie uns an hello@sapherbox.com.