Hype um die Sicherheit – RPA im Umgang mit sensiblen Daten

Besonders etabliert hat sich der Einsatz von Software-Robotern in den Bereichen Finanzen und Buchhaltung sowie IT, Personalwesen und Einkauf, wo sensible Informationen im Umlauf sind.

Alexander Steiner, Chief Solution Architect der meta:proc GmbH, erklärt:

„Durch den Einsatz von RPA lassen sich administrative Aufwände rund um den Datenschutz erheblich vereinfachen. Gleichzeitig gilt es einige Dinge zu beachten, wenn der Bot vollen Zugriff auf sensible Kundendaten erhält.“

Übergeordnete Sicherheitsstrategie

Sind die Software-Roboter etwa in den gesamten Prozess vom Rechnungseingang bis zum Rechnungsausgang beteiligt, gilt es die Vorgänge zusätzlich abzusichern, etwa über ein sogenanntes Drei-Wege-Matching. Dabei wird die Rechnung, die beispielsweise ein Zulieferer schickt, durch den Bot geprüft und mit der initialen Purchase-Order sowie dem Wareneingang verglichen. Damit die Buchungslogik bei dem Prozess Berücksichtigung findet, ist ein Mitarbeiter eingebunden, der das richtige Sachkonto, den Buchungskreis und die Kostenstelle festlegt.

Alexander Steiner dazu:

Alexander Steiner, Chief Solution Architect der meta:proc GmbH

„Auch allgemeine Sicherheitsfragen müssen beim Einsatz von RPA im Fokus stehen. Schließlich dürfen die entsprechenden Anforderungen wie beispielsweise eine Zwei-Stufen-Authentifizierung der Arbeitskräfte durch den Einsatz von Bots nicht gesenkt werden.“

Stattdessen gilt es das RPA-Tool komplett in die Sicherheitsstrategie des Unternehmens zu integrieren. Bei der Auswahl der Automatisierungslösung müssen sowohl die Ansprüche des Betriebes selbst als auch die der verschiedenen Partner im Vordergrund stehen.

Physikalisch oder flüchtig?

Zunächst bringt der Einsatz eines Software-Roboters zusätzliche Herausforderungen mit sich, auf die Anwender in der Diskussion mit Datenschützern eine Antwort finden müssen: So stellt sich bei der Erstellung der Automation zum Beispiel die Frage, wie es gelingt, dem Bot die zu bearbeitenden Informationen zur Verfügung zu stellen. Ist es zwingend notwendig, etwa eine PDF-Datei auf einem physikalischen Datenträger abzulegen, oder lässt sich das Dokument auch bearbeiten, wenn es nur im flüchtigen Speicher liegt?

Im ersten Fall wäre eine eingehende Prüfung vonnöten, um festzustellen, ob zusätzliche Sicherheitsfunktionalitäten benötigt werden. Dabei gilt es, Verfahren wie Verschlüsselung, dokumentiertes Löschen beziehungsweise Löschen nach entsprechenden Normen wie DIN EN 15713 (Sichere Vernichtung von vertraulichen Unterlagen – Verfahrensregeln) zu beachten. Auch das Hinterlegen von Zugangsberechtigungen muss gesetzlichen und unternehmensinternen Richtlinien entsprechend bewerkstelligt werden.

Alexander Steiner erläutert:

„In den seltensten Fällen reicht die einfachste Lösung aus, nämlich die Integration in den Bot selbst. Sinnvoller und sicherer stellt sich oftmals die verschlüsselte Hinterlegung an zentraler Stelle dar – idealerweise außerhalb der Administration der Software-Roboter selbst, beispielsweise in einem externen Passwortsave. In diesem Zusammenhang sollten Anwender schon beim Design des Bots sicherstellen, dass seine ‚Kompetenzen‘ durch das mögliche Zusammenlegen von Prozesseinzelschritten zu einem automatisierten Ende-zu-Ende-Prozess nicht die Compliance-Richtlinien des Unternehmers oder behördlicher Auflagen unterminiert.“

Technisch gelingt es zwar so, ein Vier-Augen-Prinzip durch einen Software-Roboter nachzustellen, es wäre sicherheitstechnisch jedoch nicht praktikabel. Zu guter Letzt müssen sich Automationen auch gemäß vereinbarten Lizenzbedingungen für die zu bedienenden Applikationen einsetzen lassen. Es gilt also darauf zu achten, dass für die Nutzung von mehreren Bots, die parallel die gleiche Aufgabe durchführen, entsprechende Lizenzen vorliegen. Die virtuellen Kollegen sollten dabei auch die entsprechenden User-IDs verwenden – bei dynamisch skalierenden Bot-Umgebungen eine wichtige Aufgabe.

RPA als Datenschützer

Die Sicherheit von Informationen steht insbesondere seit dem Inkrafttreten der Europäischen Datenschutz-Grundverordnung (EU-DSGVO) weit oben auf der Agenda jedes Unternehmens. Kunden haben nun das Recht sowohl auf Benachrichtigung bei Datenverstößen als auch auf Auskunft und die Herausgabe von Kopien aller über sie gespeicherten Informationen. Außerdem können sie bei Bedarf auf die Löschung ihrer Daten bestehen.

Diese vom Kunden angestoßenen Prozesse stellen einen klaren Trigger für die Aktion eines menschlichen Mitarbeiters dar. Weiterhin besagt Artikel 17 der DSGVO, dass Unternehmen personenbezogene Daten von Kunden löschen müssen, wenn diese nicht mehr benötigt werden. Die deutlich unschärfer definierte Vorschrift birgt eine zusätzliche Herausforderung für die bestehende Mitarbeiterschaft: Eine einzelne Person ist heute kaum dazu in der Lage, den Gesamtdatenbestand eines Unternehmens zu überwachen und Informationen mit entsprechender Relevanz zu löschen. Bei Verstoß drohen den Betrieben enorme Bußgelder.

Alexander Steiner erklärt:

„Neben den bereits existierenden operativen Aufgaben erzeugen diese zusätzlichen Kundenanfragen einen hohen administrativen Mehraufwand. RPA bietet hier eine Möglichkeit, ebendiese hinzukommenden Aufträge zu übernehmen und automatisiert auszuführen.“

Mit einer digitalen Legitimierung kann der Bot einem Kunden beispielsweise den Zugriff auf seine Daten gewähren – ohne Risiken durch menschliche Fehler sowie den Missbrauch sensibler Informationen durch Dritte. Darüber hinaus stellt RPA alle notwendigen Daten schnell und standardisiert bereit, falls eine elektronische Kopie verlangt wird.

Fehler ausräumen

Insgesamt lassen sich Prozesse im Backoffice mithilfe von Software-Automationen erheblich optimieren, denn durch die genaue Definition und das Training regelbasierter Abläufe arbeiten die Bots bei Bedarf rund um die Uhr mit einer Fehleranfälligkeit von null. Infolgedessen kommt es zu weniger unbeabsichtigten Datenschutzverletzungen. Sollten beispielsweise Informationen irrtümlich an den falschen Adressaten ausgegeben werden, erkennt RPA den Verstoß und sendet eine standardisierte Nachricht an den betroffenen Kunden.

Alexander Steiner sagt:

„Auch bei der Löschung von Informationen unterstützen Software-Roboter mit einer automatischen Vernichtung nach Ablauf der Speicherfrist und senden eine Meldung an Dritte, denen die betroffenen Daten vorliegen beziehungsweise die Zugriff darauf haben. Bots können Aufträge in Echtzeit ausführen und helfen damit, die Compliance-Richtlinien im Zuge des Datenschutzes zu erfüllen.“

Vorarbeit zahlt sich aus

In puncto Sicherheit spielen die Anmeldeinformationen sowie die Dokumentation der Abläufe durch zentral gespeicherte und verschlüsselte Ausführungsprotokolle eine wichtige Rolle. Zum Sicherheitsmanagement zählt also die detaillierte Aufzeichnung, um mögliche Unstimmigkeiten oder Eingriffe von außen zu prüfen. Um einen sichereren und fließenden Ablauf zu gewährleisten, sollte außerdem zwischen den Zugriffsrechten unterschieden werden. Stichwort: Mitarbeiter- und Maschinen-Log-in. Alle Rechte und Informationen zur Anmeldung von Bots lassen sich im Vorfeld definieren und zentral hinterlegen – ebenso wie bei den menschlichen Kollegen.

Alexander Steiner fasst zusammen:

„RPA bietet enorme Chancen und kann maßgeblich bei der Einhaltung der DSGVO unterstützen. Repetitive, regelbasierte Prozesse lassen sich einfach durch den Software-Roboter erledigen. Dazu gilt es jedoch zuvor die Bedingungen der variablen Nachfragen zu definieren, um die Qualität jedes Vorgangs zu sichern.“