Datenresidenz und -souveränität bei Phishing-Simulationen

Ein Phishing-Simulationsprogramm erzeugt einige der sensibelsten HR-nahen Daten, die Sie besitzen: wer Ihre Mitarbeitenden sind, wie sie unter Druck handeln und wer von ihnen geklickt hat. Wo diese Daten liegen — und wer rechtlich darauf zugreifen kann — ist keine technische Fußnote. Es ist eine Governance-Entscheidung, die in Ihr Risikoregister gehört.

Warum Phishing-Daten sensibler sind, als sie aussehen

Auf dem Papier ist eine Simulation „nur eine Test-E-Mail“. In der Praxis ist der erzeugte Datensatz ungewöhnlich aufschlussreich:

• Mitarbeiteridentitäten — Namen, E-Mail-Adressen, Abteilung, manchmal Rolle und Vorgesetzte.
• Verhaltenssignale — wer geöffnet, wer geklickt, wer Zugangsdaten übermittelt hat und wie schnell.
• Ergebnisse je Person über die Zeit — ein längsschnittlicher Datensatz der individuellen Anfälligkeit.

Aggregiert ist das eine Sicherheitskennzahl. Auf individueller Ebene sind es personenbezogene Daten, die für Profiling, unfaire Leistungsbeurteilungen oder — bei einem Leak — als Zielliste für echte Angreifer missbraucht werden könnten. Genau diese Kombination macht Residenz und Souveränität hier wichtiger als bei vielen anderen Werkzeugen.

Residenz gegen Souveränität

Die beiden Begriffe sind verwandt, aber nicht identisch:

• Datenresidenz ist der physische Ort, an dem Daten gespeichert und verarbeitet werden — etwa Rechenzentren in Frankreich oder anderswo in der EU.
• Datensouveränität betrifft, welches Rechtssystem den Zugriff auf diese Daten erzwingen kann, unabhängig davon, wo sie physisch liegen.

Ein Datensatz kann in der EU liegen und dennoch extraterritorialem Rechtszugriff ausgesetzt sein, wenn er von einem Anbieter betrieben wird, der ausländischen Offenlegungsgesetzen unterliegt. Ernsthafte Souveränitätsplanung adressiert beide Dimensionen.

Fragen Sie nicht nur „Wo liegen meine Daten?“, sondern „Wessen Recht bestimmt, wer zur Herausgabe gezwungen werden kann?“

Die DSGVO-Grundlinie

Für jede EU-Organisation setzt die DSGVO nicht verhandelbare Erwartungen an ein Phishing-Programm:

• Rechtsgrundlage und Transparenz — meist berechtigtes Interesse für Sicherheitsbewusstsein, angemessen dokumentiert und kommuniziert.
• Datenminimierung — nur die Felder erheben, die das Programm wirklich braucht; Attribute nicht „für alle Fälle“ horten.
• Zweckbindung — Simulationsergebnisse dienen Awareness und Risikominderung, nicht disziplinarischer Überwachung.
• Aufbewahrungsgrenzen — Ergebnisse nur so lange behalten, wie sie dem Programm dienen, dann löschen oder aggregieren.
• Kontrollen für internationale Übermittlung — verlassen Daten die EU, müssen Übermittlungsmechanismen und Garantien vorhanden und belastbar sein.

Dies zu erfüllen ist weit leichter, wenn Ihr Anbieter von Grund auf EU-gehostet ist statt nachträglich.

EU-Datenresidenz standardmäßig

GottaPhish unterstützt EU-Datenresidenz standardmäßig: Mitarbeiterdaten und Kampagnenergebnisse werden in Frankreich/EU gehostet, verschlüsselt in Übertragung und im Ruhezustand. Für die meisten Organisationen erfüllt schon das die Residenzanforderungen und vereinfacht die DSGVO-Dokumentation, weil es erst gar keine grenzüberschreitende Übermittlung zu rechtfertigen gibt.

Praktische Vorteile einer EU-Standard-Haltung:

• Kürzere, sauberere Datenschutz-Folgenabschätzungen.
• Kein Angewiesensein auf Übermittlungsmechanismen im Regelbetrieb.
• Eine klare, prüfbare Antwort für Einkauf und Compliance-Prüfer.

Wenn Residenz nicht genügt: sensible Speicher On-Premise halten

Manche Organisationen — in regulierten Sektoren oder unter strikter interner Richtlinie — brauchen eine Garantie, die über „in der EU gehostet“ hinausgeht. Für sie kann der sensible Datenspeicher von GottaPhish On-Premise gehalten werden, in der eigenen Umgebung der Organisation. Mitarbeiteridentitäten und Ergebnisse verlassen dann Ihr Netzwerk überhaupt nie, während die verwaltete Konsole weiter Kampagnendesign und Orchestrierung übernimmt.

Das gibt Ihnen ein Spektrum statt einer Entweder-oder-Wahl:

• EU-gehostetes SaaS — der Standard, für die meisten ausreichend.
• Hybrid — Personendatenspeicher im Haus, Orchestrierung verwaltet.
• On-Premise / selbst gehostet — volle Kontrolle für die sensibelsten Umgebungen.

Aufbewahrung und Minimierung in der Praxis

Unabhängig vom Modell senkt disziplinierter Datenumgang das Risiko:

• Speichern Sie die minimal identifizierenden Felder, die zum Berichten und Schulen nötig sind.
• Definieren Sie ein Aufbewahrungsfenster und erzwingen Sie automatisches Löschen oder Aggregieren.
• Trennen Sie langlebige Aggregatkennzahlen von kurzlebigen Details je Person.

Wie GottaPhish hilft

Ein Phishing-Simulationsprogramm erzeugt hochsensible, HR-nahe Daten, und wo sie liegen — und wer rechtlich darauf zugreifen kann — ist ein Governance-Risiko, keine technische Fußnote. GottaPhish und sein Expertenteam sind so gestaltet, dass ein rigoroses Programm Sie nie zu Kompromissen bei dieser Governance zwingt: Mitarbeiterdaten und Ergebnisse werden standardmäßig in Frankreich/EU gehostet, durchgängig verschlüsselt, durch klare Aufbewahrungs- und Minimierungskontrollen abgedeckt und — für Organisationen, die es verlangen — kann der sensible Datenspeicher vollständig On-Premise bleiben. Unsere Fachleute unterstützen Ihre DSB-, Compliance- und Einkaufsbeteiligten mit der Dokumentation, die sie brauchen, um sicher freizugeben, und helfen beim Aufsetzen der Kampagnen, beim Entwerfen der Szenarien und beim Deuten der Ergebnisse. Sie erhalten die Verhaltenserkenntnisse, die Schulung wirksam machen, mit Residenz und Souveränität so gehandhabt, wie Ihre Richtlinie es verlangt.