A. Einleitung
I. Einleitung
Dass man die Assets eines Unternehmens vor Ausspähung schützen muss, leuchtet jedem ein und es stellt sich zu Beginn dieser Blogserie die Frage, warum man überhaupt Zeit (und Geld) für die Erstellung eines Schutzkonzeptes nach dem GeschGehG aufwenden sollte.
Es gibt zwei Antworten: Der eine ist lapidar: Um die Assets eines Unternehmens zu schützen. Die andere wird jetzt im Laufe dieses Jahres immer klarer: Weil die KI auch hier die Dinge verändert. Kurze Zusammenfassung: Weil der Einsatz von KI den Wert eines Unternehmens verändert. Mit KI generierte Software und KI Modelle selbst sind nicht von den gängigen Gesetzen wie dem Urheberrecht etc. geschützt und ein Schutz kann nur durch ein Konzept zum Schutz der Geschäftsgeheimnisse erreicht werden.
II. Unternehmenswert
Früher bestimmte sich der Bilanzwert eines Unternehmens auch über den Wert der Software. Die Software war von Menschen gemacht, deshalb urheberrechtlich geschützt, und der urheberrechtliche Schutz gab dem Unternehmen die Kontrolle über den wirtschaftlichen Nutzen.
Diese Kontrolle ist bilanzrechtlich entscheidend, weil sie die Voraussetzung für selbständige Verkehrsfähigkeit ist. Nach § 248 Abs. 2 HGB dürfen selbst geschaffene immaterielle Vermögensgegenstände des Anlagevermögens aktiviert werden, wenn ein Vermögensgegenstand vorliegt. Ein Vermögensgegenstand muss auf einen Dritten übertragbar sein, rechtlich, nicht nur faktisch. Bei urheberrechtlich geschützter Software ist die Übertragbarkeit klar: Man überträgt Nutzungsrechte nach §§ 31 ff. UrhG.
Bei einem KI-Modell überträgt das Unternehmen ein Konstrukt aus Software, Datenbanken, Daten die teils öffentlich und teils nicht sind. Die Besonderheit besteht in der speziellen Konstellation. Architektur, Trainingsframeworks und viele Verfahren sind öffentlich zugänglich. Was das Unternehmen exklusiv kontrolliert, ist die spezifische Kombination: die Auswahl der Trainingsdaten, die Feature-Engineering-Entscheidungen, die Modellgewichte nach Training, die Prompting- und Postprocessing-Konfiguration. Bilanzrechtlich ist nicht das Modell der Vermögensgegenstand, sondern die exklusive Rechtsposition an dieser Kombination. Die Exklusivität ist aber im rechtlichen Sinne keine, die aus dem Bereich des gewerblichen Rechtsschutz oder des Urheberrechts stammt, sondern ganz banal aus dem Besitzrecht. Man selbst hat Zugriff und kennt die Komponenten.
B. Der Prozess nach dem Geschäftsgeheimnisgesetz
Das Geschäftsgeheimnisgesetz ist eine Umsetzung der Know How Richtlinie aus dem Jahr 2018. Es ist im Grunde eine Verstärkung des Besitzrechts aus dem BGB, das über das BGB dem Anspruchsinhaber andere und weitergehende rechtliche Befugnisse einräumt.
Weil das so ist, setzt das Geschäftsgeheimnisgesetz voraus, dass der Inhaber eines Geschäftsgeheimnisses selbst eine Reihe von Maßnahmen getroffen hat, die seine Geschäftsgeheimnisse betreffen. Hat er das nicht, kann er die Ansprüche nach dem Gesetz nicht für sich in Anspruch nehmen, er bleibt dann auf die Regelungen des BGBs angewiesen.
Für uns ist das in diesem Kontext weniger interessant als der Umstand, dass der Rechteinhaber ein Schutzkonzept erstellt hat, das er Käufern und Investoren als strukturierten Beleg dafür zeigen kann, sich um den Schutz der Assets gekümmert zu haben.
Der Prozess nach dem GeschGehG ist jetzt keine intellektuelle Aufgabe, eher eine Fleißarbeit, die Zeit und Mühe kostet.
Schritt eins: Assets inventarisieren.
Bevor überhaupt von Schutz die Rede sein kann, muss das Unternehmen wissen, was es schützt. Die meisten Unternehmen haben eine eher intuitive Vorstellung ihrer wertvollen Assets („unser Quellcode“, „unsere Kundenliste“), aber keine strukturierte Erfassung. Die Inventarisierung ist die systematische Auflistung aller Informationen und Artefakte, die als Geschäftsgeheimnis in Betracht kommen. Bei einem Softwareunternehmen gehören dazu typischerweise Quellcode, Datenmodelle, Konfigurationen, Bedienungsanleitungen, Integrationspartner-Netzwerke, Kundenlisten, Preismodelle, Roadmaps, Finanzplanungen. Bei einem KI-Unternehmen kommen Trainingsdaten, Feature-Engineering-Entscheidungen, Modellgewichte und Prompt-Konfigurationen hinzu. Die Liste ist unternehmensspezifisch und ändert und wächst mit den Anforderungen.
Der häufigste Fehler in diesem Schritt: Man übernimmt die Aufzählung, die jemand einmal für einen anderen Zweck gemacht hat (etwa für die DSGVO-Richtlinie oder für das ISMS nach ISO 27001), und nennt sie dann „Geschäftsgeheimnisse“. Diese Übernahme scheitert regelmäßig, weil DSGVO und ISO andere Dinge schützen als das GeschGehG. Die Inventarisierung muss aus GeschGehG-Sicht neu gemacht werden.
Schritt zwei: Werte festlegen.
Das Gesetz fragt im Schritt 2 nach dem Wert und meint damit das Risiko des Verlustes. Man muss mindestens drei Kategorien angeben (Sehr hoch/Hoch/Mittel), nach denen die wirtschaftliche Konsequenz einer Veröffentlichung des Geheimnisses messen lässt.
Nicht jedes Asset ist gleich viel wert, und der Schutzaufwand muss zum Wert im Verhältnis stehen. Angemessene Geheimhaltungsmaßnahmen im Sinne des § 2 GeschGehG sind Maßnahmen, die der wirtschaftlichen Bedeutung des Geheimnisses entsprechen. Der Quellcode einer 30-Jahre-Plattform ist ein anderes Gewicht als eine intern zirkulierende Roadmap-Skizze. Die Wertfestlegung ist deshalb Grundlage aller späteren Angemessenheitsentscheidungen.
Praktisch führt das zu einer Klassifikation in wenige Stufen, oft drei: „sehr hoch“ für Kernvermögen ohne dessen Schutz das Geschäftsmodell zusammenbricht, „hoch“ für wichtige Assets mit hoher Wettbewerbsrelevanz, „mittel“ für Informationen mit begrenztem Wert außerhalb des Unternehmens. Die Klassifikation ist keine bürokratische Übung. Sie entscheidet über die Angemessenheit des Schutzes.
Schritt drei: Risiken analysieren.
Für jedes Asset ist zu klären, wodurch es konkret gefährdet ist. Ein Modellgewicht in der Cloud ist anders gefährdet als eine Bedienungsanleitung, die an Integrationspartner geht. Ein Quellcode-Repository ist anders gefährdet als eine Kundenliste im CRM. Die Risiken variieren nach Zugangsweg (interne Mitarbeiter, externe Dienstleister, Partner, Kunden), nach Speicherort (eigene Server, Cloud, Partnerinfrastruktur), nach Abgabekanälen (E-Mail, Dokumentenportal, USB-Stick, Homeoffice-Umgebung) und nach der Ausscheidensdynamik von Personen.
In diesem Schritt zeigt sich, warum das Konzept nicht durch reines Nachdenken am Schreibtisch entstehen kann. Die realen Risiken werden erst in Gesprächen mit den Fachverantwortlichen sichtbar – der CTO weiß, welche Zugriffe technisch möglich sind, HR weiß, wie Offboarding tatsächlich abläuft, Sales weiß, was Vertriebspartner in der Praxis sehen. Diese Risikoerfassung ist der zeitintensivste Teil des ganzen Projekts.
Schritt vier: TOMs zuordnen.
Erst jetzt kommt die eigentliche Schutzarbeit ins Spiel: die technischen und organisatorischen Maßnahmen. Und der Trick liegt nicht darin, möglichst viele Maßnahmen aufzuzählen. Der Trick liegt in der Zuordnung: Welche Maßnahme schützt welches Asset gegen welches Risiko? Ein Konzept, das nur allgemein sagt „wir haben rollenbasierte Zugriffssteuerung und Verschlüsselung“, wird im Streitfall nicht tragen. Ein Konzept, das für jedes einzelne Asset benennt, welche Maßnahmen es tragen und warum diese Maßnahmen für dieses Asset angemessen sind, trägt.
Die TOMs teilen sich in drei Ebenen:
Die technische Ebene umfasst Zugriffskontrolle, Verschlüsselung, Trennung von Umgebungen, Protokollierung, Multi-Faktor-Authentifizierung. Das ist der Bereich, in dem Zertifizierungen nach ISO 27001 oder SOC 2 hilfreich sind, weil sie strukturierte Nachweise liefern. Sie ersetzen aber nicht die Zuordnung. Eine ISO-Zertifizierung sagt: Wir haben ein Managementsystem. Sie sagt nicht: Dieses konkrete Geheimnis wird durch diese konkrete Maßnahme angemessen geschützt.
Die organisatorische Ebene umfasst Rollen und Berechtigungen, Zugriffsbeschränkungen nach dem Need-to-know-Prinzip, dokumentierte Freigabeprozesse, Kennzeichnung als vertraulich, Zwei-Personen-Regeln. Diese Ebene ist die schwierigste, weil sie in die operative Praxis eingreift. Ein Konzept, das Prozessdisziplin verlangt, die im Unternehmen nicht gelebt wird, produziert Papier, nicht Schutz.
Die vertragliche Ebene umfasst Verschwiegenheitsklauseln in Arbeitsverträgen, gesonderte Vereinbarungen für externe Mitarbeiter, Vertraulichkeitsklauseln in Partner- und Dienstleisterverträgen, NDAs im M&A-Kontext und Wettbewerbsregelungen. Hier zeigt sich häufig, dass die bestehenden Verträge nicht auf das GeschGehG ausgerichtet sind, sondern auf ältere Vertraulichkeitsstandards. Die Anpassung ist typisch keine Neuschöpfung, sondern eine Präzisierung.
Das Ergebnis: Die Matrix und das Schutzkonzept
Am Ende des Prozesses steht eine Matrix, in der für jedes Asset dokumentiert ist: was es ist, wer verantwortlich ist, welche Kritikalität es hat, welche technischen, organisatorischen und vertraglichen Maßnahmen es schützen, warum diese Maßnahmen angemessen sind und welche Lücken zur Nachsteuerung offen bleiben. Diese Matrix ist der Kern des Schutzkonzepts. Sie ist das, was im Streitfall vor Gericht landet, und sie ist das, was die Geschäftsleitung in der Hand hat, wenn ein Investor oder ein Käufer fragt „Wie schützen Sie eigentlich Ihre Assets?“.
Das Handwerk ist nicht kompliziert, aber zäh zu erstellen.