Hinweisgeber-Software verarbeitet Inhalte, die Karrieren, Organisationen und betroffene Personen stark belasten können. Deshalb ist Sicherheit kein Add-on-Modul — sie ist Teil der Produkteignung.
Gleichzeitig ist „sicher“ eines der unschärfsten Wörter in Vendor-Präsentationen. Dieser Leitfaden hilft Einkauf, Security und Compliance, Sicherheitskriterien konkret zu prüfen. Er ist keine Zertifizierungsaussage und keine Rechtsberatung. Disclosurely beschreibt Sicherheitsmaßnahmen als Softwareeigenschaften, nicht als behördliche Freigabe.
Orientierung zur Produktseite: Sicherheit.
Sicherheit heißt mehr als Verschlüsselung
Verschlüsselung ist notwendig. Sie beantwortet aber nicht allein:
- Wer darf den Fall sehen?
- Können Admins Inhalte lesen?
- Wie werden Exporte kontrolliert?
- Bleibt Anonymität im Betriebsmodell glaubwürdig?
- Ist der Verlauf nachvollziehbar?
Bewerten Sie Sicherheit als System aus technischen und organisatorischen Kontrollen.
Die Kernkriterien für die Shortlist
1. Vertraulichkeit und Zugriffssteuerung
- Rollenbasierte Rechte (Fallbearbeiter, Prüfer, Admin)
- Need-to-know statt offener Posteingänge
- Konfliktfälle: betroffene Personen ohne automatischen Zugriff
- Trennung von Systemadministration und Fallinhalt, soweit das Modell es erfordert
Ein System, in dem „alle Compliance-Nutzer alles sehen“, scheitert oft schon an der Vertraulichkeitserwartung.
2. Verschlüsselung — aber spezifiziert
Fragen Sie über Marketing-Buzzwords hinaus:
- Verschlüsselung in Transit (z. B. TLS)
- Verschlüsselung at Rest
- Wie werden Schlüssel verwaltet?
- Welche Daten sind verschlüsselt (Inhalte, Anhänge, Metadaten — differenziert)?
„Wir nutzen Verschlüsselung“ ohne Architekturaussage ist kein Prüfergebnis.
3. Anonymitätsrelevante Sicherheitsaspekte
Wenn anonyme Meldung Teil Ihres Modells ist:
- Kein erzwungenes Firmen-SSO für anonyme Abgabe
- Geschützter Rückkanal im System
- Klare Trennung von Identitätsdaten und Fallinhalt
- Vermeidung von Nebenkanälen (private E-Mail, ungesicherte Messenger)
Mehr: Anonyme Meldung und Zwei-Wege-Kommunikation.
4. Prüfpfad und Nachvollziehbarkeit
Sicherheit umfasst Integrität und Accountability:
- Login- und Berechtigungsänderungen
- Fallzugriffe und Statuswechsel
- Nachrichten und Anhänge
- Exporte und Löschvorgänge (soweit vorgesehen)
Ohne Prüfpfad fehlen Ihnen Nachweise bei internen Untersuchungen und Audits.
5. Hosting, Subprozessoren und Auftragsverarbeitung
Für deutsche und EU-Käufer typisch relevant:
- Wo werden Daten gehostet?
- Welche Subprozessoren sind beteiligt?
- Gibt es AV-Vertragsunterlagen / TOMs in verständlicher Form?
- Wie werden Löschung und Retention unterstützt (konfigurierbar)?
Das ersetzt keine DSGVO-Rechtsprüfung — es liefert die Faktenbasis dafür.
6. Betriebs- und Misuse-Risiken
Technische Controls helfen wenig, wenn der Betrieb unsicher ist:
- Shared Postfächer und Weiterleitungen
- Screenshots in ungesicherten Chats
- zu breite Admin-Kreise
- fehlende Schulung der Meldestelle
Softwarekauf und Betriebsrichtlinie gehören zusammen.
Fragenkatalog für Security-Review und Demo
- Welche Rollen gibt es — und welche Mindestrechte hat jede Rolle?
- Können wir nachweisen, wer einen Fall geöffnet hat?
- Wie funktioniert Verschlüsselung für Anhänge und Nachrichten?
- Was sehen Super-Admins standardmäßig?
- Wie werden Daten exportiert — und wer darf das?
- Welche Logs gibt es, wie lange, wer kann sie einsehen?
- Wie sieht ein Incident-Response-Kontakt beim Anbieter aus?
- Welche Subprozessoren ändern sich wie oft — und wie werden wir informiert?
Nehmen Sie die Antworten schriftlich in die Beschaffungsakte.
Typische Marketing-Fallen
- „Banken-Level-Security“ ohne greifbare Kontrollen
- „Militärische Verschlüsselung“ als reines Adjektiv
- „Garantiert anonym und compliant“ — unseriöse Absolutheit
- „Staatlich zertifiziert / behördlich genehmigt / offiziell zugelassen“ — Warnsignal
- Security-Page ohne Architektur — nur Logos und Siegel-Optik
Seriöse Anbieter erklären Grenzen: Was das Produkt schützt — und was Organisationsprozesse leisten müssen.
Sicherheit im Verhältnis zu HinSchG-Kontext und Kauf
Im Kontext von HinSchG und EU-Hinweisgeberrichtlinie erwarten viele Organisationen einen vertrauenswürdigen internen Meldekanal. Sicherheit ist dabei Kaufkriterium, nicht Rechtsgarantie.
Verbinden Sie Security-Review mit:
- Auswahlmethodik: Hinweisgebersystem auswählen
- regulatorischem Käuferblick: HinSchG und Software-Kauf
Minimal-Set vs. Enterprise-Overkill
Nicht jede Organisation braucht dasselbe Security-Paket. Unterscheiden Sie:
Must-have für die meisten: starke Rechte, Verschlüsselung, geschützter Dialog, Prüfpfad, klare Hosting-/AV-Angaben.
Oft später / bedarfsabhängig: komplexe SIEM-Anbindungen, kundeneigene Schlüssel, umfangreiche Enterprise-IdP-Szenarien.
Zahlen Sie nicht für Theater — und verzichten Sie nicht auf Grundlagen.
Wie Disclosurely das Thema einordnet
Disclosurely stellt Sicherheitsmaßnahmen für den Betrieb eines internen Meldekanals bereit und dokumentiert sie auf der Sicherheitsseite. Das Ziel: Vertraulichkeit, kontrollierter Zugriff und nachvollziehbare Fallarbeit unterstützen — ohne „garantiert compliant“ oder behördliche Zulassung zu behaupten.
Threat-Model in Kurzform für Käufer
Denken Sie in realistischen Bedrohungen — nicht in Hollywood-Szenarien:
- Unbefugter interner Zugriff (Neugier, Interessenkonflikt, zu breite Rollen)
- Datenabfluss über Exporte und Screenshots
- Schwache Anonymitätsarchitektur (Identitätszwang, Nebenkanäle)
- Account-Übernahme von Bearbeiter- oder Admin-Konten
- Vendor-/Subprozessor-Risiken
- Verlust der Nachvollziehbarkeit (fehlende Logs, unklare Löschung)
Priorisieren Sie Controls gegen diese Risiken. Das ist wirksamer als Siegel-Sammlungen.
Identity und Authentifizierung
Für Fallbearbeiter und Admins erwarten viele Organisationen:
- starke Authentifizierung / SSO wo sinnvoll
- keine gemeinsamen Logins
- zeitnahe Deaktivierung bei Austritt
- nachvollziehbare Rechteänderungen
Für anonyme Hinweisgeber gilt das Gegenteil: kein Identitätszwang. Die Architektur muss beide Welten trennen können.
Anhänge als besonderes Risiko
Schadsoftware, sensible Ausweise, Patientendaten, Finanzunterlagen — Anhänge sind oft der riskanteste Teil des Falls. Prüfen Sie:
- Welche Dateitypen sind erlaubt?
- Wie werden Anhänge gescannt/gespeichert?
- Wer darf herunterladen?
- Werden Downloads geloggt?
Fallmanagement ohne Anhangskontrolle ist unvollständig.
Security-Abnahme als Teil der Einführung
Bauen Sie vor Go-live einen kurzen Security-Abnahmelauf:
- Rollenmatrix gegen reale Personen testen
- negativer Zugriffstest (Person X darf Fall Y nicht sehen)
- anonymen Dialog End-to-End prüfen
- Exportrechte verifizieren
- Admin-Grenzen dokumentieren
- Incident-Kontakt und Eskalation zum Vendor hinterlegen
Ohne Abnahme bleibt Security eine PDF.
Vendor Due Diligence ohne Theater
Neben Produktdemos gehört eine knappe Vendor-Prüfung:
- Wie werden Sicherheitsvorfälle kommuniziert?
- Gibt es einen nachvollziehbaren Change-Prozess für Subprozessoren?
- Wie werden Penetrationstests oder unabhängige Reviews behandelt (ohne Siegel-Fetish)?
- Welche Support-Wege existieren bei Verdacht auf Kompromittierung eines Bearbeiterkontos?
Sie brauchen keine endlose Fragebogen-Orgie. Sie brauchen Antworten, die zu Ihrem Risikoprofil passen und schriftlich vorliegen.
Sicherheit und Preis: falsche Sparimpulse
Sicherheitsgrundlagen einzusparen, um den Monatspreis zu drücken, ist meist ein schlechtes Geschäft. Teurer ist fast immer:
- nachträgliche Notmigration
- manuelle Shadow-Prozesse
- Vertrauensverlust im Meldekanal
- forensisch schwache Fallakten
Vergleichen Sie deshalb den betriebsfähigen sicheren Scope — nicht den unsicheren Einstiegstarif. Preisrahmen und Scope: Was kostet Whistleblowing-Software?.
Kurzfazit
Bewerten Sie Hinweisgeber-Software nach konkreten Kontrollen: Rechte, Verschlüsselung, Anonymitätsarchitektur, Prüfpfad, Hosting und Betriebsrisiken. Verschlüsselung ist der Einstieg, nicht das Ende der Prüfung. Kaufen Sie nachvollziehbare Schutzmaßnahmen — keine Siegel-Sprache.