"Dürfen wir das überhaupt?" Das ist die erste Frage, die in nahezu jedem Gespräch über Microsoft Purview Insider Risk Management fällt. Und es ist die richtige Frage, denn in Deutschland bewegt sich Insider Risk Management in einem Spannungsfeld zwischen dem berechtigten Interesse des Unternehmens, sich vor Datendiebstahl und Fahrlässigkeit zu schützen, und den Rechten der Mitarbeitenden auf Privatsphäre und Datenschutz.
Die kurze Antwort: Ja, Insider Risk Management kann DSGVO-konform eingesetzt werden. Aber nur unter bestimmten Voraussetzungen, die sorgfältig umgesetzt werden müssen. In diesem Artikel erklären wir, wie das geht.
Was ist Insider Risk Management?
Microsoft Purview Insider Risk Management ist ein Modul, das ungewöhnliche Benutzeraktivitäten erkennt, die auf potenzielle Sicherheitsrisiken hindeuten. Es analysiert Signale aus verschiedenen Microsoft-365-Diensten — Dateidownloads, E-Mail-Versand, SharePoint-Zugriffsänderungen, USB-Kopieraktionen — und korreliert sie, um verdächtige Muster zu identifizieren.
Typische Szenarien, die erkannt werden können: ein Mitarbeiter, der kurz vor seinem Ausscheiden ungewöhnlich viele Dateien herunterlädt (Datenexfiltration), eine Mitarbeiterin, die vertrauliche Dokumente an ihren privaten E-Mail-Account weiterleitet, ein Administrator, der sich Zugriff auf Daten verschafft, für die er keine geschäftliche Berechtigung hat, oder ungewöhnliche Muster bei der Nutzung von Cloud-Speicherdiensten außerhalb der genehmigten Unternehmensplattformen.
Wichtig: Insider Risk Management überwacht nicht jeden Klick und jeden Tastendruck. Es arbeitet mit Schwellenwerten und Mustern. Einzelne Aktionen lösen in der Regel keinen Alarm aus — erst die Kombination und Häufung ungewöhnlicher Aktivitäten erzeugt einen Risk Alert.
Die rechtliche Grundlage in Deutschland
DSGVO: Interessenabwägung nach Art. 6 Abs. 1 lit. f
Die DSGVO erlaubt die Verarbeitung personenbezogener Daten, wenn ein "berechtigtes Interesse" des Verantwortlichen vorliegt und die Interessen oder Grundrechte der betroffenen Person nicht überwiegen. Der Schutz vor Datendiebstahl und die Einhaltung von Compliance-Vorgaben sind anerkannte berechtigte Interessen.
Die Verhältnismäßigkeit ist entscheidend: Die Überwachung muss auf das notwendige Maß beschränkt sein. Eine anlasslose Vollüberwachung aller Mitarbeitenden wäre unverhältnismäßig. Eine risikoorientierte Analyse, die nur bei Auffälligkeiten aktiv wird und pseudonymisiert arbeitet, kann verhältnismäßig sein.
BDSG: Beschäftigtendatenschutz nach § 26
Das Bundesdatenschutzgesetz enthält in § 26 Regelungen zum Beschäftigtendatenschutz. Danach dürfen personenbezogene Daten von Beschäftigten verarbeitet werden, wenn dies für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Dazu gehört auch die Aufdeckung von Pflichtverletzungen — allerdings nur, wenn ein konkreter Verdacht besteht oder eine verhältnismäßige Prävention betrieben wird.
Betriebsverfassungsgesetz: Mitbestimmung nach § 87 Abs. 1 Nr. 6
Hier liegt in der Praxis oft die größte Hürde. Das Betriebsverfassungsgesetz gibt dem Betriebsrat ein Mitbestimmungsrecht bei der "Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen." Insider Risk Management fällt darunter. Ohne Zustimmung des Betriebsrats oder eine Betriebsvereinbarung darf Insider Risk Management nicht eingeführt werden.
DSGVO-konformer Einsatz: Die 6 Säulen
1. Pseudonymisierung aktivieren
Microsoft Purview Insider Risk Management bietet eine integrierte Pseudonymisierungsfunktion. Wenn aktiviert, werden Benutzernamen in den Risk Alerts und Untersuchungen durch anonymisierte Kennungen ersetzt — etwa "Benutzer_A7X3" statt "Max Mustermann". Erst wenn ein konkreter Verdachtsfall vorliegt und die Untersuchung durch einen autorisierten Compliance-Beauftragten genehmigt wird, kann die Identität aufgelöst werden.
Diese Pseudonymisierung ist ein zentraler Baustein für die DSGVO-Konformität. Sie stellt sicher, dass Analysten und Compliance-Mitarbeitende, die die Alerts prüfen, nicht automatisch erfahren, welche Person betroffen ist. Die De-Anonymisierung ist ein bewusster, protokollierter Schritt, der nur bei begründetem Verdacht erfolgt.
2. Rollenbasierte Zugriffskontrolle
Purview Insider Risk Management verwendet ein differenziertes Rollenmodell. Nicht jeder Administrator kann alles sehen. Die wichtigsten Rollen: Insider Risk Management Admin (konfiguriert Richtlinien, sieht keine individuellen Alerts), Insider Risk Management Analyst (sieht pseudonymisierte Alerts, kann Untersuchungen einleiten), Insider Risk Management Investigator (kann die Pseudonymisierung aufheben, wenn autorisiert) und Insider Risk Management Auditor (prüft Audit-Logs, sieht keine Einzelfälle).
Diese Rollentrennung ist nicht optional — sie ist eine Voraussetzung dafür, dass das System dem Grundsatz der Datensparsamkeit entspricht.
3. Betriebsvereinbarung abschließen
Vor der Einführung von Insider Risk Management muss eine Betriebsvereinbarung mit dem Betriebsrat abgeschlossen werden. Diese sollte folgende Punkte regeln: welche Datenquellen überwacht werden und welche explizit nicht, welche Schwellenwerte für Alerts gelten, wer Zugriff auf die pseudonymisierten Daten hat, unter welchen Bedingungen eine De-Anonymisierung erfolgen darf, wie lange Daten aufbewahrt werden, wie der Betriebsrat über die Nutzung informiert wird (z.B. quartalsweise Berichte) und dass keine leistungsbezogene Auswertung der Daten erfolgt.
4. Datenschutz-Folgenabschätzung durchführen
Die DSGVO fordert in Art. 35 eine Datenschutz-Folgenabschätzung (DSFA) für Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen haben. Insider Risk Management fällt in der Regel darunter. Die DSFA sollte die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung dokumentieren, die Risiken für die betroffenen Personen bewerten, die getroffenen Schutzmaßnahmen (Pseudonymisierung, Rollentrennung, Löschfristen) beschreiben und die Einbindung des Datenschutzbeauftragten nachweisen.
5. Transparenz gegenüber Mitarbeitenden
Die DSGVO fordert Transparenz. Mitarbeitende müssen darüber informiert werden, dass Insider Risk Management eingesetzt wird, welche Daten zu welchem Zweck verarbeitet werden und welche Rechte sie haben (Auskunft, Löschung, Widerspruch). Das bedeutet nicht, dass Sie die genauen Schwellenwerte und Erkennungsregeln offenlegen müssen — das würde den Schutzzweck untergraben. Aber die grundsätzliche Information, dass ein System zur Erkennung von Insider-Risiken existiert, muss erfolgen.
6. Löschfristen definieren
Daten aus Insider Risk Management sollten nicht unbegrenzt aufbewahrt werden. Definieren Sie klare Löschfristen: Alerts ohne Befund sollten nach 30 bis 90 Tagen gelöscht werden. Untersuchungsdaten sollten nach Abschluss der Untersuchung und einer angemessenen Aufbewahrungsfrist (z.B. 12 Monate) gelöscht werden. Aggregierte, anonymisierte Statistiken können länger aufbewahrt werden.
Was Insider Risk Management nicht ist
Es ist wichtig, klar zu benennen, was Insider Risk Management nicht ist und nicht sein sollte.
Keine Leistungsüberwachung. Insider Risk Management misst nicht, wie produktiv Mitarbeitende sind. Es analysiert keine Anwesenheitszeiten, keine Tastenanschläge, keine besuchten Websites. Es erkennt Muster, die auf Datenexfiltration oder Sicherheitsverstöße hindeuten — nicht auf mangelnde Leistung.
Keine anlasslose Massenüberwachung. Das System arbeitet schwellenwertbasiert. Normales Arbeitsverhalten erzeugt keine Alerts. Erst wenn Aktivitäten signifikant vom Baseline-Verhalten abweichen — und mehrere Risikosignale zusammenkommen — wird ein Alert erzeugt.
Kein Ersatz für Vertrauen. Insider Risk Management ist ein Sicherheitsnetz, keine Misstrauenserklärung. Die Kommunikation der Einführung sollte das klar machen: "Wir vertrauen euch. Und wir schützen gleichzeitig unsere Daten — für euch und für unsere Kunden."
Integration mit HR-Signalen
Eine besonders wirksame — und gleichzeitig besonders sensible — Funktion ist die Integration mit HR-Signalen. Purview Insider Risk Management kann Daten aus HR-Systemen einbeziehen, um das Risikoprofil zu schärfen.
Typische HR-Signale: Kündigungsdatum (die letzten zwei Wochen vor dem Ausscheiden sind die risikoreichste Phase für Datenexfiltration), Versetzung in eine andere Abteilung, Performance Improvement Plan und Zugriffsentzug oder Rollenänderung.
Die Integration dieser Signale erhöht die Erkennungsgenauigkeit erheblich. Gleichzeitig ist sie datenschutzrechtlich besonders sensibel, weil sie Lebenssachverhalte (Kündigung, Leistungsbewertung) mit Verhaltensanalysen verknüpft. In der Betriebsvereinbarung muss explizit geregelt werden, welche HR-Signale verwendet werden dürfen und wie mit den daraus resultierenden Alerts umgegangen wird.
Unsere Empfehlung: Für den Einstieg empfehlen wir, Insider Risk Management ohne HR-Integration zu konfigurieren. Die Verhaltenssignale allein liefern bereits aussagekräftige Ergebnisse. Die HR-Integration kann in einer zweiten Phase ergänzt werden, wenn die Betriebsvereinbarung entsprechend erweitert wurde und der Prozess stabil läuft.
Fazit
Microsoft Purview Insider Risk Management kann in Deutschland DSGVO-konform eingesetzt werden — aber es erfordert sorgfältige Vorbereitung. Die Pseudonymisierung, die rollenbasierte Zugriffskontrolle und die Möglichkeit, Datenquellen und Schwellenwerte granular zu konfigurieren, bieten die technischen Voraussetzungen. Die organisatorischen Voraussetzungen — Betriebsvereinbarung, Datenschutz-Folgenabschätzung, Transparenz — müssen Sie selbst schaffen.
Der entscheidende Punkt ist die Verhältnismäßigkeit. Ein System, das pseudonymisiert arbeitet, nur bei signifikanten Abweichungen alarmiert und klare Löschfristen hat, ist ein anderes Kaliber als eine Vollüberwachung. Die Kunst liegt darin, das eine zu implementieren und das andere zu vermeiden.
Sie möchten wissen, ob Insider Risk Management für Ihr Unternehmen sinnvoll ist und wie Sie die datenschutzrechtlichen Anforderungen erfüllen? Wir beraten Sie — von der Datenschutz-Folgenabschätzung bis zur Betriebsvereinbarung.