Der Dienstlaptop gehört nicht dir. Und was darauf liegt, auch nicht.

Es gibt einen Moment, in dem das jedem klar wird, der es je erlebt hat: der letzte Arbeitstag. Man räumt den Schreibtisch, gibt den Ausweis ab, und dann legt man den Laptop auf den Tisch der IT-Abteilung. In diesem Augenblick merkt man, was man die ganze Zeit gewusst und doch verdrängt hat. Dieses Gerät war nie „mein Computer". Es war ein Arbeitsmittel, geliehen auf Zeit. Und alles, was man darauf je abgelegt hat — private Mails, die man zwischendurch beantwortet hat, Fotos, die man kurz vom Handy herübergezogen hat, Chatverläufe, Browserverlauf, gespeicherte Passwörter — bleibt auf diesem Gerät. Man gibt es ab, und mit ihm gibt man alles ab, was man darauf je gelassen hat.

Das ist keine Paranoia. Das ist der Normalfall. Und wer das einmal durchdacht hat, fragt sich nicht mehr, ob er etwas zu verbergen hat. Er fragt sich, wo eigentlich die Grenze verläuft zwischen dem, was der Firma gehört, und dem, was nur ihm gehört.

„Mein Laptop" ist ein Nutzungsrecht, kein Eigentum

In den meisten Arbeitsverträgen und IT-Richtlinien steht es schwarz auf weiß: Das Gerät gehört dem Arbeitgeber. Der Mitarbeiter hat ein Nutzungsrecht, und das endet mit dem Arbeitsverhältnis. Bei Ausscheiden wird das Gerät zurückgegeben, das Konto gesperrt, der Zugang entzogen. Was dann mit den Daten auf dem Gerät geschieht, entscheidet nicht mehr der ehemalige Mitarbeiter.

Viele stellen sich vor, sie könnten vor der Rückgabe noch schnell „aufräumen": private Ordner löschen, Browserverlauf leeren, Chats entfernen. Das beruhigt — und es täuscht. Denn das Löschen auf einem verwalteten Gerät ist kein sauberer Schnitt. Es ist ein Vorgang auf einer Maschine, die der Firma gehört, von Software verwaltet wird, die die Firma installiert hat, und deren Daten an Stellen liegen, die der Mitarbeiter gar nicht sieht.

MDM: Die Fernlöschung ist kein Geheimnis, sondern ein Produktmerkmal

Auf fast jedem Dienstgerät läuft heute eine Mobile-Device-Management-Software, kurz MDM. Das ist keine Spionagesoftware im Verborgenen, sondern ein offen dokumentiertes Standardwerkzeug der IT-Verwaltung. Damit kann die Firma Geräte zentral verwalten — und im Fall von Verlust oder Ausscheiden auch aus der Ferne sperren oder vollständig löschen.

Das ist aus Sicht des Unternehmens vernünftig: Firmengeheimnisse sollen nicht auf einem verlorenen Laptop herumliegen. Aber die Kehrseite betrifft den Mitarbeiter genauso: Dieselbe Funktion, die das Firmeneigentum schützt, entscheidet auch über alles Private, das auf dem Gerät gelandet ist. Der Mitarbeiter hat keinen Schalter, an dem er sagen könnte: „Das hier ist privat, das bitte nicht." Das Gerät kennt diese Unterscheidung nicht. Es kennt nur: Firmenbesitz.

Wer schon einmal eine Rückgabe erlebt hat, kennt auch die Atmosphäre dabei. Niemand fragt: „Haben Sie noch etwas Privates darauf, das Sie vorher sichern möchten?" Die Übergabe ist ein Verwaltungsakt. Man unterschreibt, gibt ab, geht. Was man vergessen hat, ist weg — oder schlimmer: Es ist nicht weg, sondern in fremden Händen.

Die Vermischung passiert nicht aus Leichtsinn, sondern aus Bequemlichkeit

Fast niemand mischt Dienstliches und Privates absichtlich. Es passiert, weil es bequem ist. Man sitzt ohnehin am Dienstlaptop, also beantwortet man schnell eine private Mail. Man ist unterwegs, also lädt man ein Foto in den Cloud-Ordner, der ohnehin synchronisiert. Man loggt sich in einen privaten Dienst ein, weil der Browser das Passwort schon kennt.

Bequemlichkeit ist kein Charakterfehler. Sie ist der Normalzustand eines vollen Arbeitstages. Aber genau darin liegt das Problem: In dem Moment, in dem etwas Privates auf dem Dienstgerät landet, wohnt es auf fremdem Grund. Es lebt in einer Umgebung, in der andere die Regeln schreiben: die IT-Abteilung, die Unternehmensrichtlinie, im Ernstfall auch ein Gericht, das Daten herausverlangen kann.

Dazu kommt ein Punkt, den viele unterschätzen: In den USA erlaubt der Stored Communications Act unter bestimmten Voraussetzungen den Zugriff auf Daten, die bei Drittanbietern auf Servern liegen. Was in einer Cloud „privat" heißt, ist vor einem rechtlichen Verfahren nicht automatisch privat. Ein Ordner, der „Privat" heißt, ist keine Rechtsgarantie. Er ist ein Etikett auf einem Server, der jemand anderem gehört.

Der Löschen-Knopf ist eine Beruhigungspille, keine Lösung

„Dann lösche ich es eben" — das ist der häufigste Reflex, und er ist der trügerischste. Denn Löschen auf einem modernen Gerät heißt selten: Es ist weg. Es heißt meistens: Es wird nicht mehr angezeigt.

Da sind die Backups des Unternehmens. Da ist die Cloud-Synchronisation, die längst eine Kopie auf einen Server gelegt hat, bevor man überhaupt auf „Löschen" geklickt hat. Da sind die Protokolle der Geräteverwaltung, die festhalten, was wann wo war. Man löscht an einer Stelle, und an drei anderen Stellen liegt noch etwas. Wer glaubt, mit dem Papierkorb sei die Sache erledigt, verwechselt Aufräumen mit Verschwindenlassen.

Dasselbe gilt für die Dienstmail. Eine private Mail, die über den Firmenaccount gelaufen ist — oder auch nur über das Firmennetz —, hinterlässt Spuren in Systemen, auf die der Mitarbeiter nach dem Ausscheiden keinen Zugriff mehr hat, aber auch keinen Einfluss. Man kann nicht nachträglich bestimmen, was mit diesen Spuren geschieht.

Was Privatheit wirklich braucht: eine Grenze, die man anfassen kann

Die Frage ist also nicht: „Wie lösche ich gründlicher?" Die Frage ist: „Wo liegt etwas, das niemand außer mir anfassen kann?"

Eine brauchbare Antwort braucht eine Grenze, die nicht aus einer Klausel in einem Nutzungsvertrag besteht, sondern aus Physik. Kein Login, keine Fernverwaltung, kein Server, auf dem eine Kopie liegt. Etwas, das nicht per Knopfdruck von einem anderen Ort aus erreicht werden kann — weder von einer IT-Abteilung noch von einem Gerichtsbeschluss, der an einen Dienstanbieter geht.

Das ist der Unterschied zwischen „privat genannt" und „privat gelagert". Solange etwas auf einem System liegt, das jemand anderes verwaltet, ist seine Privatheit eine Erlaubnis, die widerrufen werden kann. Erst wenn es an einem Ort liegt, an dem niemand außer dem Eigentümer hinkommt, ist sie eine Eigenschaft des Ortes selbst.

Die saubere Trennung: Arbeit der Firma, Privates in professionelle Verwahrung

Die praktische Konsequenz ist einfach, auch wenn sie zunächst ungewohnt klingt: Arbeit gehört auf das Dienstgerät. Und das, was wirklich niemand sehen darf, gehört überhaupt nicht auf ein Gerät, das jemand anderem gehört — und auch nicht in eine Cloud, deren Server jemand anderes betreibt.

Es gehört an einen Ort, an dem es von Menschen verwahrt wird, deren Beruf genau das ist: Empfang, Nummerierung, Versiegelung, doppelte Prüfung durch zwei Personen, dokumentierte Verwahrung. Einmal abgelegt, liegt es dort unberührt. Die regelmäßige Kontrolle beschränkt sich auf das, was von außen sichtbar ist: Siegel und äußerer Zustand werden halbjährlich in Augenschein genommen und fotografiert, ohne dass der Inhalt berührt wird. Alles, was darüber hinausgeht, geschieht nur mit schriftlicher Zustimmung des Eigentümers — nicht als Routine, sondern als ausdrücklich gewünschte Ausnahme.

Der Wert dieser Trennung ist keine Technik. (Am Rande: Dass der Inhalt zuvor vom Eigentümer selbst verschlüsselt wurde, ist eine Selbstverständlichkeit, keine Verkaufsbotschaft.) Der Wert ist Gewissheit. Am Tag der Rückgabe des Dienstlaptops muss man sich nicht fragen, was man vergessen haben könnte. Die Antwort ist vorher schon klar: Auf dem Gerät liegt nichts, dessen Verlust oder Entdeckung einen beunruhigen müsste. Was privat ist, liegt woanders — an einem Ort, an dem kein Fernzugriff, keine Synchronisation und keine Rückgabe-Checkliste je hinkommt.

Wer seinen Dienstlaptop zurückgibt, gibt ein Arbeitsmittel zurück. Nicht sein Privatleben. Vorausgesetzt, man hat die beiden rechtzeitig getrennt.