Ein Maschinenbauer verklagt einen ehemaligen Entwickler, der mit detaillierten CAD-Daten zu einem Wettbewerber gewechselt ist. Das Gericht weist die Klage ab — die Daten lagen ungeschützt auf einem Netzlaufwerk, zu dem 60 Beschäftigte Zugriff hatten, NDAs gab es nicht, eine Klassifizierung fehlte. Ohne dokumentierte angemessene Geheimhaltungsmaßnahmen entfällt der gesetzliche Schutz, selbst wenn der Diebstahl offensichtlich ist.
Das Geschäftsgeheimnisgesetz (GeschGehG) hat 2019 die alte Regelung im UWG abgelöst und die EU-Richtlinie 2016/943 in deutsches Recht überführt. Es schützt Geschäftsgeheimnisse zivilrechtlich, knüpft den Schutz aber an eine aktive Schutzanstrengung des Rechteinhabers — und macht damit Informationssicherheit zur Voraussetzung des Rechtsschutzes.
Wer ist betroffen?
Jede Organisation, die wirtschaftlich wertvolle Informationen geheim halten will. Das Gesetz adressiert branchenübergreifend jeden Inhaber eines Geschäftsgeheimnisses:
- Industrieunternehmen — Konstruktionsdaten, Produktionsverfahren, Materialrezepturen, Lieferantenkonditionen.
- Software- und Tech-Unternehmen — Quellcode, Algorithmen, Trainingsdatensätze, Roadmaps.
- Beratungs- und Dienstleistungsunternehmen — Methodiken, Mandantendaten, Preiskalkulationen.
- Forschungseinrichtungen — unveröffentlichte Forschungsergebnisse, Versuchsdesigns.
- Vertriebsorganisationen — strukturierte Kundendaten, CRM-Auswertungen, Pipeline-Daten.
Erfasst werden auch Hinweisgeber (Whistleblower) — § 5 GeschGehG schützt die Aufdeckung rechtswidriger Praktiken oder beruflichen Fehlverhaltens. Der Hinweisgeberschutz ist seit dem HinSchG 2023 weiter konkretisiert.
Was verlangt das Gesetz?
Das GeschGehG ist auffallend kurz, aber wirkungsmächtig. Die für die Informationssicherheit zentralen Punkte:
- Definition (§ 2) — eine Information ist Geschäftsgeheimnis, wenn sie geheim ist, wirtschaftlichen Wert besitzt, durch angemessene Maßnahmen geschützt wird und ein berechtigtes Geheimhaltungsinteresse besteht. Alle vier Voraussetzungen müssen kumulativ vorliegen.
- Verletzungshandlungen (§ 4) — unerlaubte Erlangung, Nutzung oder Offenlegung. Auch der Erwerb in Kenntnis vorheriger Verletzung ist erfasst.
- Erlaubte Handlungen (§ 3) — eigenständige Entdeckung, Reverse Engineering an rechtmäßig erworbenen Produkten, Erlangung im Rahmen der Informations- oder Konsultationsrechte von Beschäftigtenvertretungen.
- Whistleblower-Schutz (§ 5) — Aufdeckung rechtswidriger Praktiken zur Wahrung berechtigter Interessen ist zulässig.
- Ansprüche (§§ 6–8) — Beseitigung, Unterlassung, Vernichtung, Auskunft, Schadenersatz. Die Geheimhaltung im Prozess ist über §§ 16 ff. abgesichert.
- Strafbarkeit (§ 23) — vorsätzliche Verletzung mit Freiheitsstrafe bis drei Jahre, in besonders schweren Fällen bis fünf Jahre.
Die Anforderung „angemessene Geheimhaltungsmaßnahmen” ist der Hebel der Informationssicherheit. Ohne sie greift kein einziger der Anspruchstatbestände.
In der Praxis
Geschäftsgeheimnis-Register als Pflicht-Artefakt. Eine pauschale Behauptung „alle internen Daten sind geheim” hält keinem Gericht stand. Praxisbewährt: ein Verzeichnis konkret benannter Geschäftsgeheimnisse mit Klassifizierungsstufe, betroffenen Systemen, Personenkreis mit Zugriff und dokumentierten Schutzmaßnahmen. Das Register wird mindestens jährlich überprüft.
NDAs als laufenden Bestand pflegen. Vertraulichkeitsvereinbarungen mit Beschäftigten, Dienstleistern, Kunden und Partnern sind die rechtliche Komponente angemessener Schutzmaßnahmen. Die Vereinbarungen müssen aktuell, gegengezeichnet und auffindbar sein. Eine NDA, die niemand wiederfindet, ist im Streitfall wertlos.
Off-Boarding mit Geheimhaltungsfokus durchziehen. Der mit Abstand häufigste Verletzungsfall: ausscheidende Beschäftigte nehmen Daten mit. Strukturierte Off-Boarding-Prozesse mit Geräterückgabe, Account-Deaktivierung, Datenträger-Audit und förmlicher Erinnerung an die nachvertragliche Verschwiegenheit sind die wichtigste operative Maßnahme.
Mapping zu ISO 27001
Das ISO-27001-Annex-A bildet das GeschGehG-Schutzkonzept fast vollständig ab. Wer ein zertifiziertes ISMS betreibt und die Schutzmaßnahmen dokumentiert, hat den Nachweis angemessener Geheimhaltungsmaßnahmen weitgehend erbracht.
Direkt relevante Kontrollen:
- A.5.10 — Akzeptable Nutzung von Informationen und anderen damit verbundenen Werten: Nutzungsregeln als organisatorische Schutzmaßnahme.
- A.5.11 — Rückgabe von Werten: Off-Boarding-Disziplin.
- A.5.12 — Klassifizierung von Informationen: Voraussetzung für angemessene Schutzhöhe.
- A.5.13 — Kennzeichnung von Informationen: sichtbare Klassifizierung als Beweismittel.
- A.5.14 — Informationsübertragung: Schutz beim Transfer an Dritte.
- A.5.15 — Zugriffskontrolle: Zugriffsbeschränkung auf Berechtigte.
- A.5.18 — Zugriffsrechte: Vergabe und Entzug nachvollziehbar dokumentiert.
- A.5.19 — Informationssicherheit in Lieferantenbeziehungen: vertragliche Absicherung gegenüber Dienstleistern.
- A.5.20 — Behandlung der Informationssicherheit in Lieferantenvereinbarungen: NDAs und Geheimhaltungsklauseln.
- A.5.32 — Geistige Eigentumsrechte: allgemeiner Schutzrahmen.
- A.6.2 — Beschäftigungsbedingungen: Vertraulichkeitsverpflichtung im Arbeitsvertrag.
- A.6.3 — Informationssicherheitsbewusstsein: Schulung zum Umgang mit Geheimnissen.
- A.6.5 — Verantwortlichkeiten bei Beendigung oder Wechsel der Beschäftigung: nachvertragliche Verschwiegenheit.
- A.6.6 — Vertraulichkeits- oder Geheimhaltungsvereinbarungen: direkter Brückenpunkt; NDAs als Schutzmaßnahme.
- A.8.10 — Löschung von Informationen: sichere Vernichtung sensitiver Daten.
- A.8.11 — Datenmaskierung: Pseudonymisierung als Schutzlevel.
- A.8.12 — Verhinderung von Datenlecks: DLP als technische Schutzmaßnahme.
- A.8.24 — Verwendung von Kryptografie: Verschlüsselung als zentrale technische Maßnahme.
Typische Audit-Befunde
- Kein Geschäftsgeheimnis-Register — die Organisation kann nicht benennen, welche Informationen sie konkret schützen will. Im Ernstfall fehlt die Grundlage für jeden Anspruch.
- NDAs sind veraltet oder nicht auffindbar — alte Standardvereinbarungen, keine zentrale Ablage, keine systematische Pflege bei Vertragsverlängerungen.
- Klassifizierung unsystematisch — sensible Dokumente sind nicht als „vertraulich” oder „geheim” gekennzeichnet, eine Klassifizierungsrichtlinie fehlt.
- Ungerechtfertigt breite Zugriffsrechte — sensible Datenbereiche sind für ganze Abteilungen zugänglich, ohne dass das fachlich begründet wäre.
- Off-Boarding lückenhaft — Geräte werden nicht zurückgegeben, Accounts bleiben aktiv, USB-Transfers vor Austritt werden nicht geprüft.
- Schulungspflicht ignoriert — Beschäftigte wissen nicht, dass es ein Geschäftsgeheimnis-Konzept gibt, geschweige denn, was darunter fällt.
Quellen
- GeschGehG-Volltext (gesetze-im-internet.de) — amtliche Fassung
- Richtlinie (EU) 2016/943 — europäische Vorgabe für das GeschGehG
- BMJ — Hintergründe zum GeschGehG — Begründung und Materialien zum Gesetzgebungsverfahren
- BGH-Rechtsprechung zum Geschäftsgeheimnis — Auslegung der angemessenen Geheimhaltungsmaßnahmen
- Hinweisgeberschutzgesetz (HinSchG) — ergänzender Schutz für Whistleblower