Geschäftsgeheimnisse digital schützen: verschlüsselter Transfer

Geschäftsgeheimnisse beim digitalen Transfer zu schützen, läuft auf vier Kontrollmechanismen hinaus: Ende-zu-Ende-Verschlüsselung per AES-256-GCM, damit der Transportanbieter keine Inhalte lesen kann; identitätsgebundener Zugang, damit nur namentlich benannte Empfänger die Datei öffnen; Prüfprotokolle, die nachweisen, wer wann was heruntergeladen hat; und Aufbewahrungsfristen, die die Nutzdaten innerhalb weniger Tage aus allen Zwischensystemen löschen. Fehlt auch nur eines dieser Elemente, riskieren Sie den Verlust des Geheimnisschutzes nach dem US Defend Trade Secrets Act oder der EU-Richtlinie 2016/943 — beide verlangen „angemessene Maßnahmen" zur Wahrung der Vertraulichkeit. So bauen Sie diese Maßnahmen in Ihre täglichen Arbeitsabläufe ein, ohne den Betrieb lahmzulegen.

Was rechtlich als Geschäftsgeheimnis gilt

Geschäftsgeheimnisse sind eng definiert. Nach 18 U.S.C. § 1839(3) qualifizieren sich Informationen nur, wenn sie aus ihrer Unbekanntheit einen eigenständigen wirtschaftlichen Wert ableiten und der Eigentümer angemessene Maßnahmen zur Geheimhaltung ergriffen hat. Gerichte streichen den Schutz regelmäßig, wenn Kläger diese Maßnahmen nicht nachweisen können. In Waymo v. Uber zitierte das Gericht verschlüsselte Dateiübertragungsprotokolle als Nachweis angemessener Maßnahmen. In RGP v. Turner verlor der Kläger, weil sensible Schaltpläne per E-Mail im Klartext an einen Auftragnehmer ohne unterzeichnete NDA geschickt worden waren.

Was typischerweise qualifiziert: Fertigungsprozesse, Quellcode, Kundenlisten mit Preisgestaltung, F&E-Daten, Formulierungen, Lieferantenbedingungen, interne Margen. Was typischerweise nicht qualifiziert: Informationen aus erteilten Patenten, öffentlich zugänglichen Spezifikationen, allgemeinem Branchenwissen. Die Transferkontrollen, die Sie um eine Datei legen, beeinflussen direkt, ob ein Gericht sie überhaupt als Geschäftsgeheimnis behandelt.

Verschlüsselung muss vor dem Upload erfolgen

Transport-Verschlüsselung (TLS 1.3 zwischen Browser und Server) schützt Dateien auf dem Übertragungsweg, lässt sie aber auf den Servern des Anbieters im Ruhezustand lesbar. Für alles, was als Geschäftsgeheimnis eingestuft wird, muss die Verschlüsselung clientseitig vor dem Upload erfolgen. Die Klartextdatei verlässt das Gerät des Senders nie.

Technisch bedeutet dies AES-256-GCM, das im Browser über die Web Crypto API ausgeführt wird, mit einem Schlüssel, der aus einem starken Passwort via PBKDF2 (600.000+ Iterationen) oder Argon2id abgeleitet wird und nie an den Server übertragen wird. Der Server speichert Chiffretext, den er nicht entschlüsseln kann. HexaTransfer implementiert genau dieses Muster, wobei Schlüssel durch URL-Fragmente an Empfänger weitergegeben werden, die Browser nicht in HTTP-Anfragen übermitteln.

Authentifizierte Empfänger, nicht nur Links

Ein bloßer Share-Link ist ein Bearer-Token. Jeder, der ihn abfängt — durch eine falsch adressierte E-Mail, einen kompromittierten Slack-Kanal oder eine weitergeleitete Kalendereinladung — kann die Datei öffnen. Für Geschäftsgeheimnisse muss der Zugang an eine Identität gebunden sein.

Praktische Optionen:

• Passwortgeschützte Links, wobei das Passwort über einen separaten Kanal (Signal, Telefon, verschlüsselte E-Mail) zugestellt wird
• E-Mail-gesteuerter Zugang, bei dem der Dienst einen Einmalcode an eine vorab autorisierte Adresse sendet
• mTLS (gegenseitiges TLS) für B2B-Austausche zwischen bekannten Partnern
• SSO-Integration mit SAML oder OIDC für interne Transfers

Dropbox Transfer, WeTransfer Pro und Tresorit unterstützen alle E-Mail-Verifikation für Links. Smash verlangt von Empfängern die Eingabe eines Passworts oder Codes. Die entscheidende Frage: Wenn der Link durchsickert, was ist noch nötig, um die Datei zu öffnen?

Prüfprotokolle, die vor Gericht standhalten

Wenn ein Geschäftsgeheimnis später missbräuchlich verwendet wird, müssen Sie nachweisen, wer wann Zugang hatte. Das bedeutet unveränderliche Prüfprotokolle mit: Upload-Zeitstempel, Identität des Senders, Empfängerliste, Zugriffsversuche (erfolgreiche und fehlgeschlagene), Download-Zeitstempel, IP-Adressen der Downloader und Ereignisse zum Linkablauf.

Protokolle müssen manipulationssicher sein. Append-only-Speicher mit kryptografischem Hashing (Merkle-Bäume oder Blockchain-verankerte Zeitstempel) hält vor Gericht besser stand als eine flache Log-Datei, die die IT hätte bearbeiten können. Dienste wie Egnyte und Kiteworks veröffentlichen ihre Prüfprotokollschemata; für individuelle Setups werden Ereignisse an ein SIEM (Splunk, Elastic, Datadog) mit 7-Jahres-Aufbewahrung übertragen — abgestimmt auf die meisten Verjährungsfristen für Geschäftsgeheimnisstreitigkeiten.

NDAs und Click-Through-Bestätigungen

Rechtlicher Schutz ergänzt technischen Schutz. Jeder Empfänger einer Geschäftsgeheimnisdatei sollte eine unterzeichnete NDA vorliegen haben, und viele Gerichte sehen Click-Through-Bestätigungen zum Download-Zeitpunkt positiv: „Mit dem Herunterladen dieser Datei bestätigen Sie, dass Sie [benannter Empfänger] sind, die Vertraulichkeitsbedingungen der NDA vom [Datum] akzeptieren und diese Inhalte nicht weiterverbreiten werden."

Dienste, die dieses Muster unterstützen, sind Kiteworks, Intralinks (verbreitet in M&A-Datenräumen) und Virtru mit seinem Trust Data Format. Die Click-Through-Bestätigung schafft einen zeitgestempelten Datensatz, der an die authentifizierte Sitzung des Empfängers geknüpft ist und rechtlich die Person mit der Offenlegung verbindet.

Kurze Aufbewahrungsfristen als Standard

Geschäftsgeheimnisse sollten nicht dauerhaft auf Servern von Drittanbietern verbleiben. Die Standard-Aufbewahrung sollte in Stunden oder Tagen gemessen werden, nicht in Monaten. Typische Profile:

• Angebots-Anhänge für Interessenten: 48–72 Stunden
• F&E-Daten für externe Auftragnehmer: 7 Tage, Verlängerung auf Anfrage
• M&A-Due-Diligence-Materialien: 30 Tage, automatische Löschung nach Unterzeichnung
• Routinemäßige interne Transfers: 24 Stunden

Kurze Aufbewahrungszeiten reduzieren das Verletzungsfenster. Wenn ein Anbieter in sechs Monaten kompromittiert wird, ist eine Datei, die nach 72 Stunden automatisch gelöscht wurde, nicht Teil der Verletzung. HexaTransfer begrenzt die Aufbewahrung auf 7 Tage und unterstützt kürzere Ablaufzeiten bis zu wenigen Stunden. Dropbox Transfer erlaubt maximal 90 Tage, lässt aber auch 1-Tages-Ablaufzeiten zu.

Wasserzeichen und DRM für hochwertige Dokumente

Für Vorstandspräsentationen, M&A-Memos oder Formulierungen reicht statisches Datei-Sharing nicht aus. Dynamische Wasserzeichen stempeln E-Mail, IP und Download-Zeitstempel des Empfängers beim Download auf jede Seite einer .pdf. Wenn das Dokument an einen Blog oder einen Wettbewerber gelangt, führt das Wasserzeichen zum spezifischen Empfänger zurück.

Tools: DocSend (Dropbox-eigene) ermöglicht empfängerspezifisches Tracking für Verkaufspräsentationen. Fasoo und Seclore wenden persistentes DRM an, das Dateien auch nach dem Download verschlüsselt hält, wobei Schlüssel bei jedem Öffnen gegen einen Lizenzserver geprüft werden. Vorbehalt: DRM, das auf einem Lizenzserver basiert, unterbricht Workflows, wenn Empfänger offline sind — es passt daher besser zu Führungskräften und Rechtsberatern als zu Außendienstmitarbeitern.

Exit-Hygiene beim Ende von Beziehungen

Wenn ein Auftragsvertrag endet oder ein Mitarbeiter das Unternehmen verlässt, sollte der Zugang zu Geschäftsgeheimnissen widerrufen werden. Link-basierte Transfers machen dies einfacher als Cloud-Ordner: Link widerrufen, Datei weg. Bei abonnementsbasierten Dateiräumen (Intralinks, Box) das Konto deaktivieren und alle mit ihm verknüpften ausstehenden Share-Links ungültig machen.

Den Exit im Vertrag verankern. Standardklausel: „Bei Kündigung hat der Empfänger alle vertraulichen Dateien innerhalb von 72 Stunden zu löschen und die Vernichtung schriftlich zu bestätigen." Mit technischem Widerruf kombinieren, damit die rechtliche Verpflichtung auch Wirkung zeigt.

Alles zusammenführen

Das Arbeitsmuster für die meisten Unternehmen: clientseitige AES-256-GCM-Verschlüsselung, Empfänger-Authentifizierung per Passwort oder E-Mail-Verifikation, Aufbewahrung von 7 Tagen oder weniger, unveränderliche Prüfprotokolle in einem SIEM, NDA-Click-Through beim Download und dynamische Wasserzeichen für erstrangige Dokumente. Nichts davon ist exotisch, aber es erfordert die Festlegung eines Standards und dessen Durchsetzung, anstatt jeden Mitarbeiter sein eigenes Tool wählen zu lassen.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.