Wenn alle Zugriff haben, hat niemand die Kontrolle
Ein Steuerberatungsbüro in Graz mit elf Mitarbeitenden. Jeder legt Dokumente irgendwo ab, freigegebene Links kursieren per E-Mail, und als ein Mitarbeiter das Unternehmen verlässt, dauert es drei Tage, bis alle seine Zugänge gesperrt sind. Keine Ausnahme, sondern Alltag in Hunderten kleiner und mittlerer Betriebe in der DACH-Region. Das Problem sitzt nicht in der Technik, sondern im fehlenden Konzept dahinter.
Laut einer Erhebung des österreichischen KMU Forschung Austria aus 2023 nutzen über 60 Prozent der heimischen Kleinstbetriebe Cloud-Dienste aktiv, aber weniger als ein Drittel davon hat schriftlich geregelt, wer welche Daten sehen und bearbeiten darf. Das erzeugt blinde Flecken, die weder aus Bequemlichkeit noch aus Absicht entstehen, sondern schlicht aus Wachstum ohne Struktur.
Rechteverwaltung ist kein IT-Thema, sondern Organisationsfrage
Viele Betriebe delegieren die Frage der Zugriffsrechte an die IT oder an einen externen Dienstleister. Das greift zu kurz. Wer darf die Honoraraufstellungen sehen? Darf die Projektleitung Personalunterlagen öffnen? Wer übernimmt Verantwortung, wenn ein Subunternehmer temporär eingebunden wird? Diese Fragen beantworten Ordnerstrukturen und Gruppen-Berechtigungen nur dann sinnvoll, wenn die Führungsebene zuvor klare Antworten gegeben hat.
Ein bewährter Einstieg ist die Rollenmatrix: Spalten entsprechen Datenkategorien, Zeilen den Funktionen im Betrieb. Jede Zelle enthält eine von drei Stufen: Lesen, Bearbeiten, Administrieren. Das Dokument passt auf eine DIN-A4-Seite und wird zum verbindlichen Referenzpunkt, bevor irgendein Tool konfiguriert wird. Klingt trivial, ist aber in den meisten KMU schlicht nicht vorhanden.
Google Workspace als Praxisbeispiel aus Österreich
In Österreich greifen immer mehr Betriebe auf Google Workspace zurück, weil es die Zusammenarbeit in Echtzeit direkt im Browser ermöglicht und dabei eine granulare Rechteverwaltung mitliefert. Entscheidend ist, wie das System eingerichtet wird. Wer etwa Shared Drives, also geteilte Ablagen, statt individueller «Meine Ablage»-Ordner nutzt, behält die Kontrolle über Inhalte auch dann, wenn ein Mitarbeiter austritt. Das Dokument gehört dann der Organisation, nicht der Person. Wiener Beratungsbetriebe, die diesen Umstieg begleiten, berichten von einer deutlich spürbaren Reduktion an Support-Anfragen nach Personalwechseln.
Wer in Österreich bei der Einführung und Optimierung von Google Workspace Unterstützung sucht, findet beim IT-Dienstleister Tabspaces entsprechende Beratungsleistungen mit regionalem Praxisbezug. Für Betriebe, die erstmals auf strukturierte Rechteverwaltung umstellen, ist ein begleitetes Setup erfahrungsgemäß deutlich effizienter als reines Selbst-Onboarding.
Technisch bietet die Plattform Organisationseinheiten, Gruppen und individuelle Nutzerrechte auf drei Ebenen. Wer diese Ebenen nicht voneinander trennt und stattdessen alles über individuelle Freigaben regelt, erzeugt schnell ein kaum noch durchschaubares Geflecht. Ein Handwerksbetrieb in Salzburg mit 18 Personen hatte nach zwei Jahren organischen Wachstums über 400 einzelne Freigaben aktiv, keine davon dokumentiert.
Typische Schwachstellen in der Praxis
- Externe Freigaben ohne Ablaufdatum: Subunternehmer erhalten Lesezugriff auf Projektordner, der nach Abschluss des Auftrags nie entzogen wird.
- Freigegebene Links anstelle von Personenfreigaben: Ein Link mit der Einstellung «Jeder mit dem Link» ist de facto eine öffentliche Ablage.
- Adminstratoren-Konten für Alltagsarbeit: Wer täglich mit vollen Admin-Rechten arbeitet, erhöht das Risiko durch versehentliche Löschungen oder Phishing erheblich.
- Fehlende Offboarding-Checkliste: Ohne standardisierten Prozess bleiben Zugänge ehemaliger Mitarbeitender oft wochenlang aktiv.
- Keine Protokollierung: Viele KMU wissen nicht, dass cloud-basierte Plattformen detaillierte Zugriffsprotokolle mitführen, die im Streitfall relevant sind.
DSGVO-Bezug: Was in der DACH-Region zwingend gilt
Deutschland, Österreich und die Schweiz teilen die Grundlage der DSGVO, unterscheiden sich aber in nationalen Ausführungsgesetzen. Für österreichische KMU gilt seit 2018 das Datenschutzgesetz (DSG) als nationales Pendant, das unter anderem Auskunftspflichten und Meldefristen bei Datenpannen konkretisiert. Eine Datenpanne im Sinne der DSGVO kann auch dann vorliegen, wenn interne Mitarbeitende Zugang zu Daten erhalten, für die keine Rechtsgrundlage besteht.
Rechtlich brisant wird es besonders bei Personaldaten. Ein Buchhalter, der strukturbedingt Zugriff auf Krankmeldungen hat, obwohl dieser Zugriff organisatorisch nicht notwendig ist, kann ein Compliance-Problem darstellen. Die Datenschutzbehörde Österreich hat in den letzten zwei Jahren mehrere Verfahren gegen KMU geführt, bei denen intern zu weit gefasste Zugriffsrechte den Auslöser bildeten.
Strukturierter Einstieg: Drei Schritte für den Praxisalltag
Für Betriebe, die heute starten wollen, empfiehlt sich folgende Reihenfolge:
- Bestandsaufnahme: Welche Plattformen werden genutzt, wer hat aktuell welche Rechte, und welche externen Parteien sind eingebunden? Ein einfaches Tabellenblatt reicht dafür völlig aus.
- Rollenmatrix definieren: Datenkategorien und Funktionen verschneiden, drei Zugriffstufen festlegen, Ergebnis schriftlich fixieren und von der Geschäftsführung freigeben lassen.
- Technische Umsetzung mit Gruppen: Rechte nie an Einzelpersonen, sondern an Gruppen vergeben. Wer eine neue Funktion übernimmt, wechselt die Gruppe, nicht die Freigabe.
Das klingt nach einem Wochenendprojekt, und das ist es auch. Ein Betrieb mit bis zu 25 Mitarbeitenden kann diese Grundstruktur in vier bis sechs Stunden aufsetzen, wenn vorher klar ist, wer entscheidet. Das ist die eigentliche Engstelle: nicht die Technik, sondern die Entscheidungsbereitschaft.
Digitale Zusammenarbeit in KMU scheitert selten an fehlenden Funktionen. Sie scheitert an Strukturen, die mit dem Betrieb gewachsen sind, ohne dass jemand sie bewusst gestaltet hat. Wer das einmal sauber aufgeräumt hat, gewinnt nicht nur an Sicherheit, sondern auch an Geschwindigkeit. Weil dann endlich klar ist, wo was liegt und wer was darf.
