Ein gefährdetes Gut

Abgänger des Studiengangs Dipl. Techniker HF Logistik der ABB Technikerschule in Baden, Schweiz, befassen sich mit Fragen um die digitale Datensicherheit in logistischen Netzwerken.

Es könnte so schön sein: alle Daten innerhalb der Supply Chain werden digital verwaltet, Erfassung, Weitergabe, Zugriff und Datenverwaltung sind einfach und unkompliziert möglich. ABER: Die Daten durchlaufen die Systeme der verschiedenen Akteure, bei internationalen Supply Chains zudem noch in verschiedenen Staaten. Diese Akteure verwenden wahrscheinlich verschiedene EDV-Systeme, deren Kommunikation untereinander erschwert ist. Damit kommt es zu juristischen und faktischen Problemen, die, wenn Abläufe digitalisiert werden, zu bedenken und zu regeln sind.

Schwer zu beantworten ist zunächst die Frage, wer Eigentümer der Daten ist – und damit, wer über den Umgang mit den Daten und die einzuhaltenden Standards zu bestimmen hat und wer ggf. die Verantwortung für die Einhaltung der jeweiligen Vorgaben etwa des Datenschutzrechts trägt. Die Parteien sollten deswegen eine entsprechende Festlegung treffen.

Cargo Magazin 3/15

Datentransfer und Datensicherheit

Zu klären ist ferner, wie sämtliche Beteiligten der Supply Chain mit den Daten umzugehen haben. Insbesondere muss trotz der unterschiedlichen, von den einzelnen Akteuren genutzten Systeme ein problemloser Datentransfer und eine störungsfreie Datenverwaltung gewährleistet sein. Im Rahmen einer vertraglichen Regelung wäre insbesondere zu regeln, welche Standards bei der Datenübermittlung und bei der Speicherung einzuhalten sind und welche Lösungen zugelassen werden (z.B.: Speicherung in einer Cloud? Oder in der jeweiligen Unternehmens-EDV? Oder Schaffung eines gemeinsamen Portals aller Beteiligten? Aufbewahrungsdauer der gespeicherten Daten? Wer erhält Zugriffsmöglichkeiten? Welche Sicherungs-Anforderungen sind einzuhalten? Oder Auslagerung von Datenfluss und Datenverwaltung auf einen zentralen und zuverlässigen Dienstleister gemäss den Richtlinien des National Institute of Standards and Technology – NIST – ?) Im Vorfeld der Einrichtung einer digitalisierten Supply Chain müssen deswegen Juristen und EDV-Fachleute gemeinsam mit allen Beteiligten die Grundlagen ausarbeiten, damit es im Nachhinein nicht zu teuren bis ruinösen Überraschungen kommt.

Das rechtliche Umfeld in den jeweils betroffenen Staaten ist in die Betrachtung mit einzubeziehen: ist eine Digitalisierung überhaupt zulässig? Oder besteht man vielleicht noch auf papiernen Begleitdokumenten? Welche Möglichkeiten des Zugriffs auf die digitalen Daten haben staatliche Stellen? Könnte es aus diesem Grunde ratsam sein, in bestimmten Staaten auf digitale Dokumente zu verzichten? Das führt zu einem ganz wichtigen Punkt: Nicht aus den Augen verloren werden darf die Sicherheit der Daten. Ein Aspekt ist das Ausspähen von Informationen – Preise, Kundenbeziehungen und Produktionsgeheimnisse können so in die Hände der Konkurrenz gelangen, was im Ernstfall den Ruin eines Unternehmens bedeuten kann. Auch der Diebstahl wertvoller Waren wird so ermöglicht: etwa der einer 1,5 Millionen Dollar teuren Lieferung von iPad Minis im November 2012 am JFK-Airport in New York. Zudem müssen die Daten gegen die Infizierung durch Malware gesichert werden – werden sie nämlich verfälscht oder unleserlich, kann die gesamte Lieferkette in sich zusammenbrechen! Trotz der unterschiedlichen Systeme aller Beteiligten muss das Ausspähen der Daten oder das Einschleusen von Schadsoftware wirkungsvoll verhindert werden – eine anspruchsvolle Aufgabe für die beteiligten EDV-Spezialisten. Die Einhaltung der von diesen vorgeschlagenen Massnahmen muss vertraglich sichergestellt sein – mit entsprechenden Haftungsregelungen für den Fall, dass doch ein Schaden entsteht. Vorsicht: GS1-Standards erlauben zwar einen zuverlässigen Austausch der Informationen, vernachlässigen indes die Problematik des unerlaubten Zugriffs auf die Daten!

Fazit
Die digitalisierte Supply Chain kann Warenströme erheblich beschleunigen und Kosten minimieren. Es bedarf aber im Vorfeld einer genauen Klärung der EDV-technischen und der rechtlichen Seite.