Table Of ContentEsther Bollhöfer
Schutz von Unternehmens-
daten bei der Erbringung
von E-Services
Rechtliche, technische und
organisatorische Lösungsansätze
für Unternehmen des Maschinen-
und Anlagenbaus
Schutz von Unternehmensdaten bei
der Erbringung von E-Services
Esther Bollhöfer
Schutz von
Unternehmensdaten
bei der Erbringung
von E-Services
Rechtliche, technische und
organisatorische Lösungsansätze
für Unternehmen des Maschinen-
und Anlagenbaus
Esther Bollhöfer
Karlsruhe, Deutschland
Dissertation, genehmigt von der Fakultät für Wirtschaftswissenschaften des Karlsruher
Institut für Technologie (KIT), 2017.
Referent: Prof. Dr. T. Dreier
Korreferent: Prof. Dr. A. Oberweis
ISBN 978-3-658-18485-8 ISBN 978-3-658-18486-5 (eBook)
DOI 10.1007/978-3-658-18486-5
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen National-
bibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
Springer Gabler
© Springer Fachmedien Wiesbaden GmbH 2017
Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung, die
nicht ausdrücklich vom Urheberrechtsgesetz zugelassen ist, bedarf der vorherigen Zustimmung
des Verlags. Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen,
Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen.
Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem
Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche
Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten
wären und daher von jedermann benutzt werden dürften.
Der Verlag, die Autoren und die Herausgeber gehen davon aus, dass die Angaben und Informa-
tionen in diesem Werk zum Zeitpunkt der Veröffentlichung vollständig und korrekt sind.
Weder der Verlag noch die Autoren oder die Herausgeber übernehmen, ausdrücklich oder
implizit, Gewähr für den Inhalt des Werkes, etwaige Fehler oder Äußerungen. Der Verlag bleibt
im Hinblick auf geografische Zuordnungen und Gebietsbezeichnungen in veröffentlichten Karten
und Institutionsadressen neutral.
Gedruckt auf säurefreiem und chlorfrei gebleichtem Papier
Springer Gabler ist Teil von Springer Nature
Die eingetragene Gesellschaft ist Springer Fachmedien Wiesbaden GmbH
Die Anschrift der Gesellschaft ist: Abraham-Lincoln-Str. 46, 65189 Wiesbaden, Germany
Vorwort
Die vorliegende Abeit ist parallel zu meiner langjährigen beruflichen Tätigkeit
als wissenschaftliche Projektleiterin im Competence Center „Neue Technolo-
gien“ des Fraunhofer-Instituts für System- und Innovationsforschung ISI,
Karlsruhe, entstanden. Neben zahlreichen Impulsen aus der Arbeit mit mittel-
ständischen Unternehmen war vor allem meine persönliche Überzeugung,
dass das Recht viel zu wenig als Befähiger und viel zu sehr als Hemmschuh
wahrgenommen wird, der wesentliche Treiber für diese Untersuchung. Inner-
halb des Ansatzes, die Möglichkeiten, die das deutsche Rechtssystem bietet
zu kombinieren mit organisatorischen Maßnahmen und technischen Innovati-
onen, um gemeinsam Schutz für sensible Unternehmensdaten zu realisieren,
habe ich einen praxisnahen Weg gewählt. Damit hoffe ich, möglichst viele Un-
ternehmen zu erreichen und ihnen Ansatzpunkte für individuelle Schutzkon-
zepte innerhalb dieser sehr komplexen und manchmal auch trockenen Materie
aufzuzeigen.
Ohne die Unterstützung durch eine Vielzahl an Personen wäre dieses Werk
nicht entstanden: Da ist zunächst mein Doktorvater Prof. Dr. iur. Thomas Drei-
er, Leiter des Instituts für Informations- und Wirtschaftsrecht am Karlsruher
Institut für Technologie (KIT), bei dem ich mich für seine Geduld und seine
stets hilfreichen Rückmeldungen bedanken möchte. Die Bereitschaft, sich als
Jurist auf die Betreuung einer interdisziplinären Arbeit einzulassen, rechne ich
ihm hoch an. Auch meinem Korreferenten, Prof. Dr. rer. nat. Andreas Ober-
weis vom Institut für Angewandte Informatik und Formale Beschreibungsver-
fahren (AIFB) gebührt mein Dank, er hat bereits in einer sehr frühen Phase
des Promotionsvorhabens die Diskussion mit mir gesucht und mir stets signa-
lisiert, dass ich auf dem richtigen Weg bin.
Ausdrücklich bedanken möchte ich mich auch bei Herrn Dr. Gunter Lay, Herrn
Prof. Dr. Christoph Zanker und Herrn Dr. Thomas Reiß. Herrn Lay danke ich
für seine konstruktive Hilfestellung aus dem Hintergrund - als ehemaliger Kol-
lege und Schreibtischnachbar hat er mir viele wertvolle Impulse vor allem zu
Fragen der Strukturierung gegeben. Seine kritischen Anmerkungen waren
Gold wert und haben es mir ermöglicht, mich stets wieder zu fokussieren.
VI Vorwort
Herr Zanker als ehemaliger Vorgesetzter und Herr Reiß als jetziger Vorgesetz-
ter Abteilungsleiter haben mich stets in meinem Vorhaben unterstützt und ge-
währten mir die notwendigen Freiräume zur „nebenberuflichen“ Fertigstellung
der Arbeit.
Besonderer Dank gebührt meiner Familie und meinen Freunden, die alle
Höhen und Tiefen gemeinsam mit mir durchgestanden und mich stets tatkräf-
tig unterstützt haben.
Walzbachtal, im März 2017
Esther Bollhöfer
Inhaltsübersicht
Abkürzungsverzeichnis.........................................................................X VII
1 Einführung.............................................................................................1
1.1 Problemstellung ............................................................................1
1.2 Zielsetzung ...................................................................................9
1.3 Gang der Untersuchung .............................................................. 11
2 Definitionen / Grundlagen................................................................... 15
2.1 Unternehmen des Maschinen- und Anlagenbaus ......................... 15
2.2 Technik und Technologie ............................................................ 18
2.3 Innovation ................................................................................... 21
2.4 Informationsabfluss durch Industriespionage ............................... 24
2.5 Dienstleistungen.......................................................................... 32
3 Identifizierung von speziellen Risiken von E-Service-
Angeboten ........................................................................................... 43
3.1 Besondere Merkmale der Konstellation ....................................... 43
3.2 E-Services Wertschöpfungsketten ............................................... 45
3.3 Modellierung des Geschäftsprozesses ........................................ 52
3.4 Angriffe auf Unternehmensdaten in E-Service-Prozessen ............ 68
3.5 Risiken im Bereich der technischen Sicherheit............................. 75
3.6 Risiken im Bereich der organisatorischen Sicherheit .................... 89
3.7 Risiko von Vertrauens- und Kontrollverlust .................................. 92
3.8 Zwischenergebnis ....................................................................... 96
4 Schutzumfang und Grenzen der normativen Regelungen zum
Schutz von Unternehmensdaten ........................................................ 99
4.1 Subsidiarität rechtlicher Maßnahmen? ......................................... 99
4.2 Schutz von Unternehmensdaten................................................ 104
4.3 Schutzlücken – Handlungsbedarfe - Fazit .................................. 246
VIII Inhaltsübersicht
5 Ansatzpunkte für präventive Schutzmaßnahmen............................ 251
5.1 Ansatzpunkte für technischen Schutz und ihre Grenzen ............ 252
5.2 Verzahnung von rechtlichen und technisch-organisatorischen
Schutzmaßnahmen ................................................................... 275
5.3 Zwischenergebnis ..................................................................... 311
6 Prozesssicherheit durch staatliches Handeln ................................. 315
6.1 Aufklärung................................................................................. 315
6.2 Normierung ............................................................................... 316
6.3 Standardisierung ....................................................................... 328
6.4 Zertifizierung ............................................................................. 330
6.5 Zwischenergebnis ..................................................................... 333
7 Fazit ................................................................................................... 337
7.1 Zusammenfassung der Arbeit .................................................... 337
7.2 Ausblick und weiterer Handlungsbedarf ..................................... 347
7.3 Schlusswort............................................................................... 348
Literaturverzeichnis................................................................................ 351
Gliederung
Abkürzungsverzeichnis.........................................................................X VII
1 Einführung.............................................................................................1
1.1 Problemstellung ............................................................................1
1.2 Zielsetzung ...................................................................................9
1.3 Gang der Untersuchung .............................................................. 11
2 Definitionen / Grundlagen................................................................... 15
2.1 Unternehmen des Maschinen- und Anlagenbaus ......................... 15
2.2 Technik und Technologie ............................................................ 18
2.3 Innovation ................................................................................... 21
2.4 Informationsabfluss durch Industriespionage ............................... 24
2.4.1 Information ...................................................................... 24
2.4.2 Wissen/ Know-how .......................................................... 26
2.4.3 Industriespionage/ Piraterie ............................................. 29
2.5 Dienstleistungen.......................................................................... 32
2.5.1 Stellenwert und Charakteristika ....................................... 32
2.5.2 Rolle der IKT ................................................................... 36
2.5.3 Besonderheiten von E-Services ....................................... 40
3 Identifizierung von speziellen Risiken von E-Service-
Angeboten ........................................................................................... 43
3.1 Besondere Merkmale der Konstellation ....................................... 43
3.2 E-Services Wertschöpfungsketten ............................................... 45
3.3 Modellierung des Geschäftsprozesses ........................................ 52
3.3.1 Methode .......................................................................... 53
3.3.2 Notation .......................................................................... 56
3.3.2.1 Standardnotation ............................................... 57
3.3.2.2 Gantt-Diagramm ................................................ 57
3.3.2.3 Ereignisgesteuerte Prozessketten (EPK) ............ 58
3.3.2.4 Industrielles Service Blueprinting (ISB)............... 58
3.3.2.5 Business Process Modeling Notation
(BPMN) ............................................................. 62
3.3.2.6 Bewertung ......................................................... 62
X Gliederung
3.3.2.7 Beispielservice: vorbeugende Wartung und
kontinuierliche Optimierung ................................ 64
3.3.2.8 Eignung für die Darstellung nicht-funktionaler
Anforderungen ................................................... 67
3.4 Angriffe auf Unternehmensdaten in E-Service-Prozessen ............ 68
3.5 Risiken im Bereich der technischen Sicherheit............................. 75
3.5.1 Angriffe auf die IT-Sicherheit ........................................... 75
3.5.2 Schwachstellen Automatisierungstechnik und
automatisierte Datenübertragung..................................... 85
3.6 Risiken im Bereich der organisatorischen Sicherheit .................... 89
3.7 Risiko von Vertrauens- und Kontrollverlust .................................. 92
3.8 Zwischenergebnis ....................................................................... 96
4 Schutzumfang und Grenzen der normativen Regelungen zum
Schutz von Unternehmensdaten ........................................................ 99
4.1 Subsidiarität rechtlicher Maßnahmen? ......................................... 99
4.2 Schutz von Unternehmensdaten................................................ 104
4.2.1 Internationale und supranationale Regelungen .............. 107
4.2.1.1 Europarecht ..................................................... 108
4.2.1.1.1 Europarat......................................... 108
4.2.1.1.2 EGMR ............................................. 108
4.2.1.1.3 Richtlinie zum Schutz natürlicher
Personen bei der Verarbeitung
personenbezogener Daten und
zum freien Datenverkehr .................. 109
4.2.1.1.4 Richtlinie über die Verarbeitung
personen-bezogener Daten und
den Schutz der Privatsphäre in
der elektronischen Kommu-
nikation (2002/58/EG) –
eCommerce-RL ............................... 110
4.2.1.1.5 Entwurf der Richtlinie über
bestimmte vertragsrechtliche
Aspekte der Bereitstellung
digitaler Inhalte ................................ 110
