„Sie werden eh einen Weg finden, um es zu umgehen“ – Ein führender Automobilhersteller kämpft mit Datensicherheit in der Neuproduktentwicklung

Informationen sind eine wichtige operante Ressource (Vargo und Lusch 2004), die es Organisationen ermöglicht, einen einzigartigen Wettbewerbsvorteil zu erzielen (Alavi und Leidner 2001; Davenport und Prusak 1998). Organisationen nutzen Informationen dazu, wissensbezogenen Vermögenswerte zu generieren (Coakes 2004). Wissen wird in den Organisationsroutinen von Mitarbeitern gespeichert, die in Interaktionsmuster mit anderen Mitarbeitern eingebunden sind. Dabei teilen die Mitarbeiter Informationen und generieren wiederum neue Werte (Feldman 2000; von Hippel 2007). Auf diese Weise wird organisationales Wissen durch Sozialisation und Interaktion, d. h. durch gemeinsames Denken und Kommunizieren, geschaffen und entwickelt (Edmondson 2002; Feldman 2000).

Während sich das Wissensmanagement auf die Generierung von Werten durch den Austausch von Wissen konzentriert (Edmondson 2002), ist der Zweck der Informationssicherheit die Sicherstellung und der Schutz der Vertraulichkeit (Zugriff nur durch autorisierte Personen), der Integrität (Transparenz über alle Datenänderungen) und der Verfügbarkeit (jederzeitiger Zugriff auf Daten und Systeme) von Informationen (Taylor 2013). Maßnahmen zur Schaffung von Informationssicherheit zielen darauf ab, beim Aufbau von Informations- und Kommunikationssysteme potenzielle Risiken zu berücksichtigen, die sowohl IT- als auch nicht-IT-bezogen sind. Allerdings zeigen sich viele Risiko-Analysemethoden für die Informationssicherheit sehr detailliert und professionalisiert (Kardel 2011; Johannsen und Kant 2020) was ihre Praktikabilität reduziert.

Ein zentrales Element der Wissenssicherheit ist der sogenannte menschliche Faktor (Desouza 2006; Ilvonen et al. 2015b). Etwa die Hälfte aller Sicherheitsverstöße geschieht versehentlich (EY 2017). Verletzungen der Wissenssicherheit treten auf, wenn verschiedene Arten des Wissensaustauschs verwendet werden, wie z. B. schriftliche Dokumente, persönliche Interaktionen, organisatorische Kommunikation oder in Communities of Practice (Yi 2009). Die Kommunikation über digitale Kanäle ist anfällig für Fehler und Bedrohungen hinsichtlich des Abflusses von kritischem Wissen und Informationen (Annansingh 2012). Desouza (2006, S. XII) betont die Tatsache, dass „Wissen kein Produkt ist; Wissen ist flüssig, dynamisch und mobiler als jedes andere physische Produkt.“ Daher stellt das Verhalten menschlicher Akteure, wie Mitarbeiter, Geschäftspartner und andere Stakeholder, und ihr Umgang mit sensiblen Informationen und Wissen ein erhebliches Risiko für Wissensverlust dar (IBM Security und Ponemon Institute 2017). Verschärft wird dieses Problem durch die immer stärkere Nutzung externer Informationsrepositorien (Alavi und Leidner 2001), wie z. B. mobile Geräte (Santos und Ali 2012) oder Social-Media-Kommunikationsplattformen (Ahmed et al. 2019). Die Nutzung von externen Ressourcen führt zu einer geringeren organisatorischen Kontrolle über Mitarbeiter und Wissen. Insbesondere der Inhalt dessen, was geteilt wird, die Menge des geteilten Inhalts und die Personen, mit denen der Inhalt geteilt wird, sind davon betroffen (Väyrynen et al. 2013). Wenn Geräte sowohl für berufliche als auch für private Zwecke genutzt werden, verschwimmen die Grenzen organisationaler Systeme, was die Wissenskontrolle noch schwieriger macht (Väyrynen et al. 2013). Die Vernachlässigung von Richtlinien zur Wissenssicherheit oder ein falscher Umgang mit Informationen kann dann zu einer unbeabsichtigten Verbreitung von Ideen an unvorhergesehene Empfänger führen (Cheung et al. 2012).

Der Automobilsektor hat sich in den letzten Jahrzehnten durch neuartige technologische Entwicklungen disruptiv verändert (Mohr et al. 2016). Diese Entwicklungen erfordern von den Unternehmen der Branche, sich neues Wissen anzueignen und eine immer breitere Wissensbasis zu pflegen, um sich im harten internationalen Wettbewerb zu behaupten (Demirkan und Spohrer 2015), bspw. die Entwicklung eigener Betriebssysteme oder spezialisierter Chip-Architekturen durch die Volkswagen AG. Die Integration von technischen Spezifikationen in (digitale) Produkte sowie die kritische Prüfung und Bewertung neuer Produkte, wie im Rahmen des Wandels zur Elektromobilität, sind im Prozess der Neuproduktentwicklung unerlässlich. Die Ergebnisse der Bewertung werden für zukünftige Anpassungen und Verbesserungen des Produkts und seines Produktionsprozesses aggregiert und formalisiert (Cooper 2001). Weitere Verbesserungen können durch das kontinuierliche Sammeln von Informationen über die Produktnutzung und damit verbundene Produkttrends erreicht werden (Kuhnert et al. 2018).

Eine weitere Quelle, durch die neues Wissen erworben wird, ist die gemeinsame Entwicklung von Produkten mit Lieferanten und anderen Geschäftspartnern, z. B. für autonome Fahrzeuge (Potter und Graham 2019). Die Möglichkeit zur Zusammenarbeit wird durch digitale Technologien erweitert, die neue Formen der gleichzeitigen Zusammenarbeit und eine effizientere Verarbeitung sensibler konstruktions- und produktionsbezogener Daten ermöglichen. Diese Technologie bietet dann eine Infrastruktur für die simulationsbasierte kollaborative Entwicklung neuer Produkte (Xu et al. 2012). Der Austausch vertraulicher Informationen mit Dritten, wie z. B. Lieferanten, Technologieanbietern, einzelnen Beratern oder akademischen Einrichtungen, ist für die Entwicklung neuer Produkte unerlässlich (von Hippel 2007). Mitarbeiter müssen innerhalb und über die verschiedenen Phasen der Neuproduktentwicklung hinweg Wissen erwerben und teilen (Watson und Hewett 2006).

Der untersuchte Fall zeigt, dass die Zusammenarbeit mit externen Dritten häufig die Offenlegung vertraulicher Informationen erfordert, was voraussetzt, dass sich beide Partner gegenseitig vertrauen. Dazu gehören 2D- und 3D-Produktdesigndaten, technische Spezifikationen, Bilder von Prototypen und Beschreibungen von physischen Teilen. Virtual Reality bietet den Informanten in ihrem Unternehmen die Möglichkeit, Prototypen gemeinsam mit mehreren Personen in Partnerunternehmen zu testen. Daher werden die virtuellen Daten über ein Datenaustauschsystem gemeinsam genutzt. Die befragten Mitarbeiter erklärten, dass eine Geheimhaltungsvereinbarung von Personen beim Partnerunternehmen unterzeichnet wird, bevor die Informationen freigegeben werden. Personen, die auf eine Virtual-Reality-Software zugreifen, übermitteln in einer Sitzung Positionsdaten, was den Managern die Kontrolle über die Zielgruppe gibt, welche an der Sitzung teilnimmt. Einige Informanten äußerten Bedenken, dass der Standort (d. h. die physische Umgebung) der Person, die an der Sitzung teilnimmt, sicher sein muss. Dies ist insbesondere dann von hoher Relevanz, wenn eine Virtual-Reality-Sitzung auf einem Bildschirm in einer öffentlichen Umgebung angezeigt wird. In einer solchen Situation könnten die Inhalte von Unbefugten eingesehen werden, die sich außerhalb der Sichtweite der verantwortlichen Personen befinden oder die Umgebung der Endgeräte keinen ausreichenden Sicherheits- und Zugangskontrollen unterliegen (Sowa 2008).

Wie in Abb. 1 dargestellt, verändert sich der Wissenszugang durch die Zusammenarbeit mit Dritten. Organisationen können den Fluss vertraulicher Informationen und die Ansammlung von Wissen innerhalb der eigenen Organisationsgrenzen kontrollieren, indem sie Richtlinien etablieren und Schulungen durchführen. Auf diese Weise bleiben vertrauliche Informationen unbefugten Dritten verborgen (dargestellt durch die Sichtbarkeitslinie). Durch das Teilen von Wissen für die Zusammenarbeit mit externen Personen und Partnerunternehmen, wie Zulieferern verschiebt sich die Sichtbarkeitslinie von einem internen Adressatenkreis in Richtung Dritte, d. h. die Dritten können somit leicht auf sensible Unternehmensinformationen zugreifen. Die Informanten der Fallstudie haben die Sorge geäußert, dass, sobald Dritte Zugang zu Daten haben, keine weitere Kontrolle mehr besteht. Infolgedessen können Dritte diese Informationen für ihre eigenen Zwecke nutzen oder sogar an andere Unternehmen verkaufen. Die interorganisationale Zusammenarbeit mit Lieferanten und anderen Geschäftspartnern kann ebenfalls problematisch sein, da Dritte erworbenes Wissen verbreiten, wenn sie für Wettbewerber in der Branche arbeiten (Gernreich et al. 2018). Dies kann sogar ohne eine negative Absicht geschehen, da sowohl interne Mitarbeiter als auch externe Personen in Partnerunternehmen in verschiedenen europäischen Ländern aufgrund kultureller und rechtlicher Unterschiede Informationssicherheit unterschiedlich auslegen (Custers et al. 2018).

Allerdings lässt sich feststellen, dass die Sicherheitsrisiken durch die Verschiebung der Sichtbarkeitslinie Richtung Dritte je nach wirtschaftlicher Abhängigkeit variieren. Die Sichtbarkeitslinie von vertraulichem Wissen verschiebt sich ggf. sogar zu Organisationen in anderen Rechtsräumen, wenn Lieferanten mit diesen zusammenarbeiten. Die verschobene Sichtbarkeitslinie induziert eine Wissensdiffusion zu den Vertragspartnern der Zulieferer.

Die Interviews zeigen, dass es bei den Informanten ein unterschiedliches Sicherheitsbewusstsein im Umgang mit vertraulichen Informationen und Wissen gibt. Über die Berechtigungsebene der Projektpartner und deren Berechtigung, vertrauliche Informationen zu erhalten, konnten bspw. mehrere Informanten nur Vermutungen anstellen, da die Berechtigungsebenen der Personen in Partnerunternehmen nicht zentral definiert oder bestätigt wurden. Informant E (Produktentwicklung) gab an, dass er sich keine Sorgen um die Informationssicherheit macht, wenn er Informationen innerhalb der Organisation weitergibt. Im Gegensatz dazu prüft Informant G (Digitales Design und Prototypentwicklung) immer, wer die Informationen anfordert, warum und was diese Person damit zu tun beabsichtigt. Informant G ist in einer viel früheren Phase des Produktentwicklungsprozesses involviert und verlangt, dass die Informationen noch sicherer aufbewahrt werden.

Die meisten Informanten sind der Meinung, dass Dokumente mit Vertraulichkeitseinstufungen meist nur für eine bestimmte Zielgruppe relevant sind. Darüber hinaus wird Vertraulichkeit als prozessimmanent angesehen, wie Informant B (Digitales Design und Prototypenentwicklung) erklärt. Er findet, dass der Entwicklungsprozess mit seinen Rollen und Richtlinien alle Eventualitäten abdeckt. Auf diese Weise wird Vertraulichkeit aufgrund der formalen Rollen der Mitarbeiter innerhalb der Forschungs- und Entwicklungsabteilung als natürlich angesehen. Die Organisation vertraut den Mitarbeitern und einige der Informanten gehen davon aus, dass Vertraulichkeit für alle beteiligten Mitarbeiter gleichermaßen wichtig ist. Mehrere Informanten gehen davon aus, dass Personen innerhalb der gleichen Organisation im Allgemeinen an die gleichen Verhaltensregeln und ethischen Grundsätze gebunden sind, welche in ihren Organisationsroutinen verankert sind. Zusätzliche Sicherheitsvorkehrungen werden nicht getroffen, da die Mitarbeiter ihren Kollegen, ihrer Organisation und den IT-Systemen der Zulieferer bei der Handhabung und Weitergabe vertraulicher Informationen vertrauen. Allerdings erklärten manche Informanten, dass sie Arbeitsaufgaben unter hohem Zeitdruck zu erledigen, wie Informant G hervorhob: „Unser Arbeitspensum nimmt ständig zu, aber wir haben immer weniger Zeit, um es zu erledigen.“. Dies führt oft zu Situationen, in denen Wissen auf unkonventionelle Weise geteilt wird, wie z. B. über WhatsApp und zunehmend über soziale Medien (Ahmed et al. 2019).

Zusammenfassend wird festgestellt, dass Informanten, die in früheren Phasen des Produktentwicklungsprozesses arbeiten, ein größeres Bewusstsein für die Bedeutung von Vertraulichkeit haben als Informanten, die in späteren Phasen arbeiten. Mit Ausnahme von Informant G vertrauten alle Informanten den Dokumenten und Kommunikationspartnern, mit denen sie in Kontakt kamen, ohne deren Vertraulichkeitsgrad oder Berechtigung zum Zugriff auf bestimmte Informationen und Wissen zu prüfen.

Die meisten Informanten gaben an, dass der Großteil der Kommunikation und des Informationsaustauschs über E‑Mail, Telefon, persönliche Treffen, Telefonkonferenzen, webbasierte Kollaborationsplattformen oder Datenaustauschsysteme erfolgt. Obwohl Studien vor Jahren zeigten, dass Mitarbeiter Online-Kollaborationstools auch dann nutzen, wenn es offensichtliche Sicherheitsprobleme gibt (Jarvenpaa und Majchrzak 2010), tauschen die Interviewpartner Informationen mit Dritten hauptsächlich über unverschlüsselte E‑Mails oder Datenaustauschsysteme aus. Arbeit im Home-Office ermöglicht es den Informanten auch, ihre von der Arbeit zur Verfügung gestellten Laptops mitzunehmen und zu Hause, beim Lieferanten oder auf Geschäftsreisen zu nutzen. Darüber hinaus werden auch Ausdrucke und Datenspeicher, wie z. B. externe Festplatten, regelmäßig aus dienstlichen Gründen meist ungefragt mitgenommen oder als Backups verwendet. Die Genehmigung des Vorgesetzten für die Nutzung eines USB-Sticks einzuholen, ist zu zeitaufwändig, wie Informant G berichtet:

Wenn das tägliche Praxis wäre, würden die Leute einfach mit USB-Sticks herumlaufen, was ich nicht gerne mache, weil ich erst sehen müsste, dass der Vorgesetzte da ist, um es abzusegnen [was deutlich mehr Zeit kosten und den Arbeitsablauf ins Stocken bringen würde] – selbst wenn die Leute die Informationen sofort brauchen – und ich müsste vielleicht wochenlang warten, um die Unterschrift des Vorgesetzten zu bekommen.

Die befragten Informanten nutzen mobile Endgeräte für ihre Arbeit, was eine weitere Quelle für die unkontrollierte Offenlegung vertraulicher Informationen darstellt (Disterer und Kleiner 2014). Fremde Anwendungen, die auf dem Gerät eines Mitarbeiters installiert sind, können unbefugt auf vertrauliche Informationen zugreifen, sogar dann, wenn der Zugriff auf diese Informationen nicht explizit gewährt wurde (Kleiner und Disterer 2015).

Informant J machte besonders deutlich, dass „der Fokus von der Sicherheit vor Ort, wie dem Sperren des Zugangs zu bestimmten Bereichen, losen Papieren und physischen Geräten, auf die Sicherheit zur Vermeidung der Offenlegung von Informationen über das Internet verlagern muss.“. Fast alle Informanten erklärten, dass es immer wieder zu Zeitdruck durch das Management und in Bezug auf Projektpläne kommt, was den Einsatz von Schatten-IT zur Folge hat. Die digitale Produktentwicklung ermöglicht es Unternehmen nicht nur Kosten zu senken und Produkte schneller zu entwickeln, sondern auch Entscheidungen früher zu treffen und den Produktlebenszyklus zu verkürzen. Die Informanten berichten über das Fehlen von Möglichkeiten, Informationen einfach, schnell und sicher zu teilen. Infolgedessen sind die Informanten auf alternative Dienste angewiesen, um Daten auszutauschen, um die schnelle Entwicklung eines Produkts nicht zu gefährden. Um die Sicherheit im Umgang mit vertraulichen Daten zu gewährleisten, ist ein anwendbares, nachvollziehbares und sicheres Datenmanagementsystem mit transparenten Regeln und Prozessen entscheidend. „Andernfalls werden die Leute eh einen Weg finden, einen nicht abgesicherten Prozess zu umgehen“, so Informant A.

Die Interviews zeigen deutlich, dass es sowohl bei der sicheren Kommunikation als auch beim Sicherheitsbewusstsein an formalen Sicherheitsprozessen mangelt. Informant C (Digitales Design und Prototypentwicklung) konstatierte, dass es kaum formale schriftliche Sicherheitsprozesse speziell für den sensiblen Bereich der Entwicklung neuer Produkte gebe. Außerdem seien die Sicherheitsmaßnahmen nur allgemeines Wissen und nicht rollenspezifisch, wie sie sein sollten (Rechberg und Syed 2014). Die Sicherheitsmaßnahmen müssen aufgrund der zunehmenden Digitalisierung ergänzt werden; die Informanten betonten jedoch die konträre Realität der uneinheitlichen Sicherheit und Prozesse in den verschiedenen Phasen von Neuproduktentwicklungsprojekten. Mehrere Informanten wünschten sich bequemere und praktikablere Sicherheitsrichtlinien sowie Schulungen zum sicheren Umgang mit vertraulichen Informationen innerhalb der Organisation, da sie in ihrem Alltag eher nur Vermutungen darüber treffen, wie vertrauenswürdig der Kommunikationspartner ist. Nur Informant D (Digitales Design und Prototypentwicklung) gab an, dass seine Rollen, Verantwortlichkeiten und Partner zu Beginn eines Projekts definiert würden. Bei diesem Vorgehen wird der Zugang zu Systemen und Daten kontrolliert und die Beteiligten wissen, an wen sie Daten senden können und an wen nicht. Die anderen Informanten gaben an, dass sie weder unterrichtet noch grundsätzlich geschult wurden, welche Informationen und welches Wissen vertraulich sind und wie sie damit umgehen sollen. Da alle Informanten im gleichen Unternehmen arbeiten, ist diese Uneinigkeit ein deutlicher Hinweis darauf, dass entweder keine einheitlichen Sicherheitsrichtlinien vorliegen oder das Wissen der Informanten diesbezüglich nicht nachhaltig gesichert wurde, bspw. durch die Dokumentation in einer Kommunikationsmatrix (Project Management Institute 2013). Allerdings sollte betont werden, dass auch ausgeklügelte Kontrollen umgangen werden bzw. nicht einhundertprozentig sicher sein können. Grobe Fahrlässigkeit und Vorsatz zeigen sich häufig in menschlichem Verhalten.

Einige Informanten gaben auch an, dass ihre Sorge um die Vertraulichkeit davon abhängt, ob sich die Informationen auf die Gegenwart oder die Zukunft beziehen. Diese Informanten behandeln vertrauliche Informationen anders, wenn sich die Informationen auf eine zukünftige Phase des Projekts beziehen. Die Informanten stufen Informationen über zukünftige Projekte als vertraulich und Informationen über ein laufendes Projekt als weniger vertraulich ein. Beispielsweise stufen die Informanten der Produktentwicklung Informationen über das zur Zeit der Interviews aktuelle konzeptionelle Design nicht eindeutig als vertraulicher ein als Informationen über den zukünftigen Produktionsprozess oder die Markteinführung.