Es gibt ein Missverständnis, das sich in vielen Organisationen hartnäckig hält. Es lautet, Datensicherheit im Gremium sei eine Frage der Technik. Man kaufe eine hinreichend verschlüsselte Plattform, hake die Zertifizierungen ab und habe das Thema damit erledigt.
Doch die sensibelsten Informationen eines Unternehmens laufen nicht durch die IT-Abteilung, sondern durch den Sitzungssaal des Verwaltungsrats. Übernahmepläne, Personalentscheidungen auf oberster Ebene, ungeklärte Rechtsrisiken. Wer diese Informationen schützt, schützt nicht nur Dateien, sondern die Handlungsfähigkeit der Organisation.
Die eigentliche Frage lautet deshalb nicht, welche Verschlüsselung eine Plattform verwendet, sondern wer wofür Verantwortung trägt, wenn es darauf ankommt.
Warum das Gremium ein besonderes Ziel ist
Angreifer folgen dem Wert, nicht dem einfachsten Weg. Und kaum ein Ort in einem Unternehmen konzentriert so viele wertvolle Informationen auf so wenigen Dokumenten wie die Vorbereitung einer Verwaltungsratssitzung. Eine einzige Sitzungsmappe kann enthalten, woran ein Wettbewerber, ein Aktivist oder ein Erpresser Interesse hätte.
Diese Konzentration verändert die Risikolage. Während sich das Sicherheitsdenken vieler Organisationen auf die operative Ebene richtet, bleibt die Gremienebene oft in einer gewachsenen Mischung aus E-Mail-Anhängen, geteilten Laufwerken und privaten Geräten hängen.
Der Verizon Data Breach Investigations Report zeigt zudem, dass sich der Anteil der Datenpannen mit Beteiligung von Drittparteien innerhalb eines Jahres verdoppelt hat und inzwischen rund ein Drittel aller Vorfälle ausmacht. Je mehr externe Berater, Kanzleien und Dienstleister an Gremienunterlagen mitwirken, desto grösser wird diese Angriffsfläche.
Sicherheitsarchitektur ist mehr als Verschlüsselung
Wer nach einer sicheren Board Management Software sucht, stösst schnell auf eine lange Liste vertrauter Begriffe. Zu den Mindestanforderungen zählen heute Ende-zu-Ende-Verschlüsselung für gespeicherte wie übertragene Daten, rollenbasierte Zugriffsrechte, Multi-Faktor-Authentifizierung und vollständige Audit-Trails. Weniger sichtbar, aber ebenso entscheidend sind granulare Freigaben für einzelne Dokumente, eine DSGVO-konforme Datenhaltung und eine zentrale Speicherung ohne verstreute lokale Kopien. Diese Elemente sind notwendig, doch sie beschreiben nur das Fundament, nicht das Gebäude.
Entscheidend ist, wie eine Architektur mit dem Widerspruch zwischen Vertraulichkeit und Zusammenarbeit umgeht. Ein Gremium muss Informationen teilen, um zu funktionieren, und zugleich verhindern, dass sie sich unkontrolliert verbreiten. Gute Sicherheitsarchitektur löst diesen Widerspruch nicht durch möglichst viele Schlösser, sondern durch Granularität.
Wer sieht welches Dokument, für welchen Zeitraum, mit welchen Rechten? Lassen sich Zugriffe nach einer Sitzung oder nach dem Ausscheiden eines Mitglieds wieder entziehen? Bleiben Unterlagen dort, wo Sicherheit und Berechtigungen zentral geregelt sind, etwa in einer bestehenden Microsoft-365-Umgebung, oder entstehen mit jeder Kopie neue, unbeaufsichtigte Ablageorte?
Denn jede zusätzliche Datenkopie erhöht nicht nur den Aufwand, sondern auch das Risiko. Die sicherste Unterlage ist oft die, die gar nicht erst dupliziert wurde.
Gute Dokumentenverwaltung ist Governance
Datensicherheit und Dokumentenverwaltung werden häufig getrennt betrachtet. In der Praxis gehören sie untrennbar zusammen. Eine professionelle Dokumentenverwaltung im Gremium umfasst weit mehr als die Ablage von Dateien. Sie reicht von der automatischen Versionierung über nachvollziehbare Freigabeprozesse und digitale Sitzungsmappen bis zu definierten Aufbewahrungs- und Löschfristen, dem Entzug von Zugriffsrechten nach Mandatsende und einer zentralen Verwaltung aller Beschlussunterlagen.
Gerade die Versionierung wird häufig unterschätzt. Wer in einer kritischen Situation nicht mehr nachvollziehen kann, welche Fassung einer Unterlage einem Beschluss zugrunde lag, verliert einen Teil seiner Governance-Fähigkeit. Dokumentenverwaltung ist deshalb keine administrative Nebenaufgabe, vielmehr ein Teil der Verantwortung eines Gremiums.
Der Audit-Trail als Rückgrat der Verantwortung
Ein Begriff verdient besondere Aufmerksamkeit, weil er häufig als technisches Detail behandelt wird, obwohl er ein Governance-Prinzip ist: der Audit-Trail.
Ein Audit-Trail dokumentiert lückenlos, wer wann welches Dokument gesehen, bearbeitet oder heruntergeladen hat und welche Beschlüsse wie zustande kamen. Auf den ersten Blick klingt das nach Kontrolle. Tatsächlich geht es um etwas Grundlegenderes. Verantwortung setzt Nachvollziehbarkeit voraus.
Ein Gremium, das im Nachhinein nicht rekonstruieren kann, auf welcher Informationsbasis es entschieden hat, kann für diese Entscheidung auch nur schwer einstehen. Der Audit-Trail ist damit weniger ein Überwachungsinstrument, vielmehr die Voraussetzung dafür, dass Verantwortung überhaupt zugeordnet werden kann. Er schützt nicht nur das Unternehmen vor Angriffen von aussen, sondern das Gremium vor der Unschärfe der eigenen Erinnerung.
Wenn künstliche Intelligenz Teil des Informationsflusses wird
Mit dem Einzug von KI in die Gremienarbeit gewinnt dieser Gedanke zusätzlich an Bedeutung. Wenn heute nicht mehr nur Menschen Dokumente lesen, sondern Maschinen Unterlagen zusammenfassen, Risiken markieren oder Briefings vorbereiten, erweitert sich der Audit-Trail um eine neue Frage. Welche Informationen hat die KI gesehen, wie hat sie diese verarbeitet und auf welcher Grundlage entstand das Ergebnis?
Damit entsteht eine neue Kategorie von Information: maschinell erzeugter Inhalt, der eine Entscheidung vorbereitet, ohne dass jedes Mitglied des Gremiums jede Quelle selbst gelesen hat. Das ist nicht per se ein Sicherheitsproblem, verändert aber die Verantwortungsfrage grundlegend.
Laut dem Cost of a Data Breach Report von IBM operierten 63 Prozent der von einer Datenpanne betroffenen Unternehmen ganz ohne KI-Governance-Framework. Zugleich berichtet IBM, dass bereits 16 Prozent der Angriffe KI einsetzen, etwa für überzeugendere Phishing-Kampagnen. Die Bedrohung wird also intelligenter, während die Governance vielerorts noch entsteht.
Hier zeigt sich, weshalb der Human-in-the-Loop kein Schlagwort ist, sondern eine sicherheitsrelevante Praxis. Eine KI-Zusammenfassung darf die menschliche Prüfung erleichtern, nicht ersetzen. Und eine Plattform, die KI einsetzt, muss nachvollziehbar machen, was die Maschine getan hat. Andernfalls verlagert sie Verantwortung an eine Stelle, die keine Verantwortung tragen kann.
Was Datenschutzstandards wirklich leisten
Bleibt die Frage nach den höchsten Datenschutzstandards, mit denen Anbieter gerne werben. Zertifizierungen wie ISO 27001 oder ein Rechenzentrum innerhalb der EU sind sinnvolle Signale, doch sie sind Ausgangspunkt, nicht Ziel. Ein Standard beschreibt, dass bestimmte Prozesse existieren, nicht, dass sie im Ernstfall greifen.
Für Verwaltungsräte und Geschäftsleitungen entsteht daraus eine Aufsichtsaufgabe, die sich nicht delegieren lässt. Regulatorische Rahmen wie die DSGVO, NIS2 oder der EU AI Act erhöhen den Druck, doch die genaue Ausgestaltung und die Fristen bleiben in Bewegung und sollten sorgfältig verfolgt werden. Wichtiger als die Berufung auf ein Zertifikat ist die Fähigkeit, die eigene Sicherheitslage zu verstehen und zu hinterfragen. Nicht: Sind wir zertifiziert? Sondern: Wüssten wir, wenn etwas schiefliefe, und könnten wir es belegen?
Die eigentliche Frage bleibt die nach der Verantwortung
Datensicherheit im Gremium lässt sich nicht kaufen, sie muss ausgeübt werden. Die beste Sicherheitsarchitektur nützt wenig, wenn niemand versteht, welche Entscheidungen sie dem Gremium abnimmt und welche nicht. Und der ausgefeilteste Audit-Trail bleibt wirkungslos, wenn ihn niemand liest.
Deshalb lautet die entscheidende Frage bei der Auswahl einer Lösung nicht, welche Sicherheitsmerkmale sie auflistet, sondern ob sie Verantwortung sichtbar und zuordenbar macht. Denn im digitalen Sitzungssaal gilt, was auch im analogen galt: Sicherheit ist keine Eigenschaft der Technik, sondern eine Praxis der Menschen, die sie nutzen.
Quellen
- IBM, Cost of a Data Breach Report, u. a. zu KI-Governance und KI-gestützten Angriffen, dargestellt bei Marconet: Data Security Governance Best Practices for 2026
- Verizon, 2026 Data Breach Investigations Report, zur Verdopplung der Drittparteien-Beteiligung: Verizon DBIR
- Akin, zur Board-Verantwortung für Cybersicherheit und zu KI-gestützten Angriffen: Cybersecurity and Operational Resilience: A Board-Level Imperative
