Messenger im Unternehmen: Warum eine Schulung zur E-Mail-Sicherheit nicht mehr reicht

Warum Messenger ein eigenes Risiko sind

Der entscheidende Unterschied: E-Mail läuft über Ihre Systeme. Messenger oft nicht. Schreibt ein Mitarbeiter einem Kunden vom privaten Smartphone, liegen Kundendaten auf einem Gerät, auf das Sie keinen Zugriff haben – und bei einem Anbieter, mit dem Sie keinen Vertrag geschlossen haben. Verantwortlich für diese Datenverarbeitung bleiben trotzdem Sie als Unternehmen.

Dazu kommt ein Punkt, den viele unterschätzen: Verbraucher-Messenger gleichen in der Standardeinstellung das gesamte Adressbuch des Geräts mit den Servern des Anbieters ab. Stehen dort Ihre Kunden, Lieferanten und Bewerber drin, werden deren Kontaktdaten übertragen – ohne dass diese Personen davon wissen. Das ist kein theoretisches Problem, sondern der häufigste Kritikpunkt der Aufsichtsbehörden an der dienstlichen Nutzung privater Messenger.

Was in der Praxis tatsächlich schiefgeht

Drei Konstellationen sehen wir besonders oft:

Die unsichtbare Kommunikation: Vertragsdetails, Reklamationen, Personalfragen werden per Chat geklärt. Im Unternehmen existiert davon keine Spur. Fällt der Mitarbeiter aus oder verlässt er das Unternehmen, ist der Vorgang weg – inklusive der Kundenbeziehung, die auf seiner privaten Nummer liegt.

Der Angriff über den Nebeneingang: Betrugsversuche laufen zunehmend über Messenger: gefälschte Nachrichten vom angeblichen Geschäftsführer mit der Bitte um eine schnelle Zahlung, Links zu nachgebauten Login-Seiten, Übernahme von Accounts durch abgefragte Verifizierungscodes. Mitarbeiter, die bei E-Mails misstrauisch sind, reagieren im Chat deutlich unbefangener – weil Chat privat wirkt.

Der Vorfall, von dem niemand erfährt: Geht ein privates Diensthandy verloren oder landet eine Kundenliste im falschen Gruppenchat, ist das eine meldepflichtige Datenpanne. Sie haben dafür 72 Stunden Zeit. Diese Frist läuft auch dann, wenn die Meldekette gar nicht erst anspringt, weil der Vorfall außerhalb Ihrer Systeme passiert ist.

Was Sie jetzt regeln sollten

Ein pauschales Messenger-Verbot funktioniert in der Praxis nicht – es wird ignoriert und produziert genau die Schatten-IT, die Sie vermeiden wollen. Sinnvoller ist ein geordneter Rahmen in fünf Schritten:

• Bestandsaufnahme: Fragen Sie ab, welche Dienste tatsächlich genutzt werden – ehrlich und ohne Sanktionsdrohung. Das Ergebnis überrascht die meisten Geschäftsführer.
• Einen freigegebenen Kanal festlegen: Wählen Sie eine betriebliche Lösung, bei der Sie Administrationsrechte haben und mit dem Anbieter einen Vertrag zur Auftragsverarbeitung schließen können. Dieser Vertrag ist Pflicht, sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet.
• Eine kurze, verständliche Richtlinie: Zwei Seiten genügen: Welcher Kanal für welche Inhalte? Was gehört nie in einen Chat (Gesundheitsdaten, Zahlungsdaten, Bewerberunterlagen)? Dürfen private Geräte genutzt werden – und wenn ja, unter welchen Bedingungen? Was passiert beim Ausscheiden mit Daten und Kontakten?
• Schulen – mit Beispielen aus Ihrem Betrieb: Eine Unterweisung, die nur Rechtsbegriffe wiederholt, ändert kein Verhalten. Wirksam sind echte Fallbeispiele und eine klare Ansage, an wen ein Verdachtsfall sofort gemeldet wird. Dokumentieren Sie Teilnahme und Inhalte – im Streitfall müssen Sie nachweisen, dass Sie Ihre Leute sensibilisiert haben.
• Mitbestimmung mitdenken: Führen Sie ein betriebliches Messenger-System ein, hat ein vorhandener Betriebsrat regelmäßig mitzubestimmen, weil sich damit Verhalten und Leistung kontrollieren lassen. Das früh zu klären spart Monate.

Warum das Chefsache ist

Die Pflicht, Mitarbeiter zu sensibilisieren, trifft nicht die IT, sondern die Geschäftsführung. Für Unternehmen, die unter die neuen Cybersicherheitsvorgaben fallen, ist das seit Kurzem noch deutlicher: Mit dem NIS-2-Umsetzungsgesetz, das am 5. Dezember 2025 verkündet wurde und seit dem 6. Dezember 2025 in Kraft ist, wird die Schulung der Geschäftsleitung erstmals ausdrücklich gesetzlich vorgeschrieben</parameter>. Betroffen sind davon weit mehr Mittelständler als früher – nicht nur klassische kritische Infrastruktur.

Unabhängig davon gilt: Wer keine Regelung hat, hat keine Verteidigungslinie. Kommt es zum Bußgeldverfahren oder zu Schadensersatzforderungen, zählt, was Sie organisatorisch vorgegeben, kommuniziert und dokumentiert haben.

Der nächste Schritt

Nehmen Sie sich eine Stunde und klären Sie zwei Fragen: Über welche Kanäle kommuniziert mein Team wirklich? Und habe ich dazu irgendetwas Schriftliches? Lautet die Antwort auf die zweite Frage „nein", ist das der Punkt, an dem Sie ansetzen sollten.

Wir unterstützen Unternehmen dabei, eine praxistaugliche Kommunikations- und Datenschutzrichtlinie aufzusetzen, die Verträge mit den eingesetzten Anbietern zu prüfen und die Einführung gegenüber Betriebsrat und Belegschaft rechtssicher zu begleiten – pragmatisch und so, dass Ihre Leute damit arbeiten können. Sprechen Sie uns gerne an.