Warum ein CMO immer auch ein Security-Manager ist

Von Achim Born

Im kommenden Jahr werden laut einer Befragung von Accenture 66 Prozent der CMOs mindestens ein Viertel ihres Budgets für digitale Marketing-Technologien ausgeben, jeder Fünfte sogar mehr als die Hälfte. 2017 wird der CMO über ein größeres IT-Budget gebieten als seine Kollegen aus den einschlägigen Fachabteilungen. Zumindest ist Laura McLellan hiervon überzeugt. Und die Gartner-Analystin weiß auch warum: Die Marketing-Abteilungen bekommen von der hauseigenen IT einfach nicht das, was sie wollen. Folglich nehmen sie eigenes Geld in die Hand, um Anwendungen und IT-Services einzukaufen, die sie zur Unterstützung ihrer Arbeit benötigen. US-amerikanische Gazetten sprechen in diesem Zusammenhang bereits mit geübt martialischem Zungenschlag vom „Schlachtfeld Digitales Marketing“, der zwischen CMO und Chefinformatiker eines Unternehmens tobt.

Ungeachtet dessen ist eine Schatten-IT, wie der Betrieb eigener Ressourcen in Fachabteilungen oft genannt wird, keinesfalls ungewöhnlich. Die reichhaltigen (Software-)Service-Angebote aus der Cloud haben indes die Einstiegshürde gesenkt. Für den Bezug von Cloud-Services ist kaum noch technisches Know-how erforderlich. Vorausgesetzt werden allein ein Internet-Zugang und – bestenfalls noch – eine Kredit-Karte zur Rechnungsbegleichung. Neben der kompletten Auslagerung ganzer Anwendungsbereich, etwa für CRM oder Kampagnenmanagement sind es insbesondere Kollaborations- und Kommunikationsfunktionen, für die gerne frei zugängliche Services aus dem Web herangezogen werden. Die Unternehmens-IT ist hier oft überfordert. So lassen sich beispielsweise innerhalb weniger Minuten Online-Meetings via Skype oder Mikogo aufsetzen, um Abstimmungs- und Freigaberunden zwischen verteilt sitzenden Teams zu organisieren. Digitale Notizbücher wie Evernote oder Wunderlist helfen, alle über den Status Quo der To-DO-Listen auf dem Laufenden zu halten. Lösungen wie Box, Dropbox oder SkyDrive werden von den Mitarbeitern gemeinsam mit externen Partnern als gemeinsame Content-Drehscheibe und Plattform für den Ad-hoc-Austausch von Dokumenten herangezogen.

Die Unabhängigkeit von der „offiziellen“ IT des Hauses ist jedoch ein zweischneidiges Schwert. Die größere „Beinfreiheit“ auf der Bezugsseite wirft schnell die Frage nach Sicherheit, Datenschutz und Compliance, aber auch nach der Datenqualität auf. Es besteht die Gefahr, die von der Haus-IT formulierten Schutz- und Risiko-Vorgaben zu unterlaufen. Spätestens wenn der Vorstand zur Stellungsnahme auffordert, wird man auf die Brisanz eines solchen Vorgehens gestoßen. Denn der Staat hat für Unternehmen einige Rechtspflichten in Bezug auf den Schutz personenbezogener Daten und des Risikomanagements auferlegt. Beispielsweise nimmt das Gesetz zur „Kontrolle und Transparenz im Unternehmensbereich“, explizit das Management in die Pflicht, Geschäftsrisiken frühzeitig transparent zu machen und für Sicherheit beim Einsatz von IT-Systemen nachweisbar Sorge zu tragen. Unabhängig vom Gesetzgeber sollte die Nachrichtenlage zu Datendiebstählen oder Cyper-Attacken grundsätzlich für mehr Sensibilität in Sachen IT-Sicherheit führen.

Vor dem Hintergrund der neuen technischen Optionen und Kontrolle über „eigene“ IT-Ressourcen, ist der CMO gefordert, sich auch als Security und Privacy-Manager zu begreifen. Dafür gibt es fünf überzeugende Gründe:

1. Der Schutz-Aspekt: Wenn Kunden-bezogene Daten heute als „Kronjuwelen“ im Unternehmen gehandelt werden, ist Datenschutz und -sicherheit zwangsläufig Pflicht. Die Verwaltung von Zugriffsrechten und Autorisierung in Abhängigkeit der Tätigkeit sollte mit der gebotenen Sorgfalt erfolgen. Die Verschlüsselung der Informationen bremst Zugriffsversuche unbefugter Dritter aus. Kontinuierliche Sicherung/Backup verhindert Datenverluste. Dienstleister sind entsprechend zu verpflichten und die Einhaltung der Vorgaben in Audits ist zu überprüfen.

2. Die Vertrauensfrage: Kundendaten helfen im Marketing, den Kunden und seine Wünsche besser verstehen. Das bedeutet definitiv auch, dass der Kunden Vertrauen in die Ziele und Absichten des Unternehmens haben muss. Und sein Vertrauen beruht auf dem Schutz der personenbezogenen Daten.

3. Die Reputation: Meldungen über Datenverluste trüben das Unternehmens-Image. Dies gilt umso mehr, wenn diese auf mangelnde Vorsorge, beispielsweise ein gewisses Laissez-faire im Datenaustausch zurückzuführen sind.

4. Schutz der Information: Das Digitale Business beruht auf Vernetzung. Das klassische Konzept der Perimetersicherheit, bei dem Firewalls, Virenscanner und Filtertechniken als „Burgmauer“ die IT eines Unternehmens vor Gefahren aus dem Internet schützen soll, ist daher nicht mehr ausreichend. Der Schutz der Information und nicht der Infrastruktur muss erster Orientierungspunkt sein.

5. Compliance: Die Datenschutzvorgaben spielen – gerade auch in Big Data-Projekten – eine wichtige Rolle. Jeder CMO ist gut beraten, die anstehende EU-Datenschutzverordnung zu beherzigen. Denn ein Verstoß kann sich für ein Unternehmen ansonsten schnell zu einer kostspieligen Angelegenheit (Bußgelder) entwickeln. Hier werden bis zu fünf Prozent des Weltjahresumsatzes eines Unternehmens als Bußgeld diskutiert.

Die Herausforderungen verdeutlichen, dass Sicherheit neben Technik immer auch Organisation und (Risk-) Management heißt. Das gilt unabhängig davon, ob Anwendungen im Eigenbetrieb oder aus der Wolke bereitgestellt werden. Das gilt ebenso unabhängig davon, ob nur „offizielle“ Systeme im Einsatz sind oder sich eine Schatten-IT etabliert hat. Die Vielschichtigkeit der Aufgabe macht es ratsam, dass CMO und Chefinformatiker eines Unternehmens besser miteinander als gegeneinander arbeiten. Denn überspitzt formuliert, weiß die Informatik, wie Daten zu schützen sind, und das Marketing kennt die konkreten Einsatzmöglichkeiten von Informationen für das Unternehmen. Dass eine solche Kooperation mehr als geboten ist, zeigt im Übrigen eine ungewohnt pessimistisch klingende Prognose, die McLellans Gartner-Kollege Daryl Plummer unlängst auf dem diesjährigen Symposium der US-amerikanischen Beratungsfirma verkündete. Demnach werden 2020 Behörden und Unternehmen schlechterdings überfordert sein, alle sensiblen Daten zu schützen. In Anbetracht der schieren Größenordnung werden 75 Prozent der Daten offen zugänglich sein. Nur das restliche Viertel werden Unternehmen vor unliebsamen Betrachtern und Besuchern verbergen können. Da sollte unter Kollegen doch Einigkeit herrschen, welche Informationen und Daten schützenswert sind.

Whitepaper „Digital Marketing“: Gemeinsame Agenda von CMO und CIO. >>Jetzt downloaden