Was Sicherheitsteams zu einem Tool für die Dublettenbereinigung fragen

Sie haben ein passendes Deduplizierungstool gefunden, und das Team ist startklar. Dann fragt jemand, ob die IT-Sicherheit es freigegeben hat. In vielen Unternehmen durchläuft jedes Tool, das Kundendaten berührt, zuerst eine Prüfung.

Ein Tool zur Dublettenbereinigung wird genauer geprüft als viele andere. Es verbindet sich mit dem CRM, liest ganze Objekte mit Kundendatensätzen und ändert sie beim Zusammenführen. Sicherheitsteams wollen wissen, was das für die Daten bedeutet.

In diesem Beitrag sehen Sie, was Sicherheitsteams jedem Anbieter fragen, warum sie das tun und wie eine klare Antwort aussieht. Außerdem finden Sie die Fragen zur Deduplizierung und erfahren, wie die Prüfung schneller vorangeht.

Warum ein Dubletten-Tool genauer geprüft wird

Viele mit einem CRM verbundene Apps lesen einige Felder oder schreiben einige Aktivitäten. Ein Tool zur Dublettenbereinigung arbeitet anders. Um Dubletten zu finden, braucht es die Datensätze der gewählten Objekte, oft mit Namen, E-Mails, Telefonnummern und Adressen.

Zum Zusammenführen braucht es außerdem die Berechtigung, Datensätze zu aktualisieren und zu entfernen. Für die Verbindung ist im CRM oft Administratorzugriff nötig.

Genau diese Kombination aus personenbezogenen Daten und Schreibzugriff beobachten Sicherheitsteams. Ihre Aufgabe ist sicherzustellen, dass der Anbieter die Daten so gut schützt, wie es Ihr eigenes Unternehmen täte.

Die Fragen, die Sicherheitsteams jedem Anbieter stellen

Jedes Unternehmen hat eigene Abläufe, und die Tiefe der Prüfung variiert. Diese Fragen tauchen in vielen Prüfungen auf, unabhängig vom Tool.

Wo werden die Daten gespeichert und verarbeitet?

Prüfer fragen, welche Cloud-Anbieter die Daten hosten, in welchen Regionen und ob der Anbieter eine Kopie behält. Der Standort ist wichtig für Datenschutzgesetze und interne Richtlinien dazu, wo Kundendaten liegen dürfen.

Sie fragen auch, wie lange Daten gespeichert werden und ob Sie sie löschen können, wenn Sie das Tool nicht mehr nutzen. Eine klare Antwort nennt die Anbieter und Regionen und erklärt Aufbewahrung und Löschung in verständlicher Sprache.

Wer kann auf die Daten zugreifen?

Das umfasst zwei Seiten. Auf Seiten des Anbieters: welche Mitarbeitenden Kundendaten sehen können, wann und wie dieser Zugriff kontrolliert wird.

Auf Ihrer Seite: Welche Rollen das Tool bietet und ob es Zwei-Faktor-Authentifizierung, Single Sign-on und IP-Beschränkungen unterstützt. Prüfende fragen auch, wie das Tool mit dem CRM verbunden wird. Eine tokenbasierte Verbindung wie OAuth vermeidet die Speicherung von CRM-Passwörtern.

Wie nutzt der Anbieter die Daten?

Sicherheitsteams wollen wissen, dass Kundendaten nur zur Bereitstellung des Dienstes genutzt werden. Sie fragen, ob sie für Marketing genutzt, verkauft oder weitergegeben werden und ob sie an externe KI-Modelle gesendet oder zum Training verwendet werden.

Wenn ein Tool KI einsetzt, möchten Prüfer wissen, wo die Verarbeitung stattfindet und welche Anbieter die Daten sehen. Siehe wie KI-Tools bei der CRM-Dublettenbereinigung abschneiden.

Welche Zertifizierungen und Audits gelten?

Zertifizierungen zeigen, dass ein unabhängiger Prüfer die Sicherheitspraktiken des Anbieters geprüft hat. ISO/IEC 27001 ist eine verbreitete Norm: Sie legt Anforderungen an ein Informationssicherheits-Managementsystem fest.

Prüfer fordern oft das Zertifikat selbst, seinen Geltungsbereich und den Prüfer an. Manche verlangen auch Ergebnisse von Penetrationstests.

Welche Unterauftragsverarbeiter verarbeiten die Daten?

Unterauftragsverarbeiter sind die weiteren Unternehmen, auf die sich ein Anbieter stützt, etwa Cloud-Hosting-Anbieter. Sicherheitsteams fragen nach der Liste, dem Sitz jedes Unternehmens und den Daten, die es sieht.

Unter der GDPR benötigt ein Auftragsverarbeiter die schriftliche Genehmigung des Verantwortlichen, bevor er einen weiteren Auftragsverarbeiter einsetzt. Ein Grund mehr, warum Prüfende die Liste schriftlich wollen.

Was passiert bei einem Vorfall?

Prüfer fragen, ob der Anbieter einen Plan für Sicherheitsvorfälle hat, wie Vorfälle eingestuft werden und wie und wann betroffene Kunden informiert werden. Sie fragen möglicherweise auch, wie der Anbieter Daten bei der Übertragung und im Ruhezustand verschlüsselt.

NDAs, Verträge und Lieferantenfragebögen

Manche Prüfungen brauchen vor den Fragen erst Papiere. Ein Unternehmen verlangt womöglich eine gegenseitige Geheimhaltungsvereinbarung, bevor der Anbieter detaillierte Unterlagen wie Richtlinien oder Testberichte teilt.

Unternehmen, die der GDPR unterliegen, benötigen außerdem mit jedem Auftragsverarbeiter einen Vertrag, der den Umgang mit personenbezogenen Daten regelt. Viele Anbieter stellen dafür einen Auftragsverarbeitungsvertrag bereit.

Größere Unternehmen schicken oft ihren eigenen Lieferantenfragebogen. Er kann dutzende Fragen umfassen und wird meist vom Sicherheits- oder Supportteam des Anbieters ausgefüllt. Fragen Sie früh nach, da das Ausfüllen eine Weile dauern kann.

Fragen zu Tools für die Dublettenbereinigung

Eine allgemeine Prüfung kontrolliert, wie der Anbieter Daten schützt. Ein Deduplizierungstool verändert zusätzlich Ihre Daten, deshalb gehen manche Prüfer weiter. Diese Fragen lohnt es sich, vorab zu beantworten, bevor sie gestellt werden.

Verändert die Verbindung des Tools etwas im CRM?

Prüfer wollen wissen, ob die Synchronisierung allein Datensätze bearbeitet, zusammenführt oder löscht. Eine klare Antwort trennt das Lesen von Daten von deren Änderung und nennt, was eine Änderung auslöst.

Lassen sich Zusammenführungen rückgängig machen, und gibt es dafür ein Protokoll?

In vielen CRMs sind Zusammenführungen endgültig. Prüfer fragen, welche Daten aus jedem Datensatz erhalten bleiben, ob es eine Historie der Zusammenführungen gibt und ob sie exportiert werden kann. Deshalb setzen viele Teams auf vor einer großen Zusammenführung das CRM sichern.

Wer darf zusammenführen, und was wird protokolliert?

Sicherheitsteams fragen, ob sich der Zugriff nach Rolle einschränken lässt und ob ein Audit Log Zusammenführungen, Anmeldungen und Änderungen an den Einstellungen erfasst. Außerdem fragen sie, ob das Tool Schutzmechanismen besitzt, die riskante Treffer vor einem Bulk Merge zurückhalten.

So beschleunigen Sie die Sicherheitsprüfung

Prüfungen dauern länger, wenn die Sicherheitsabteilung erst am Ende vom Tool erfährt. Beziehen Sie sie ein, sobald das Tool passend erscheint, und erklären Sie, warum das Team es braucht.

Teilen Sie die Sicherheitsseite und das Trust Center des Anbieters, die Liste der Objekte, die Sie verbinden, und wer in Ihrem Team das Tool nutzt. Wenn auch die Geschäftsleitung das Projekt genehmigen muss, der Business Case für eine CRM-Bereinigung können parallel zur Prüfung an sie gehen.

Wenn Ihr Unternehmen einen eigenen Fragebogen nutzt, senden Sie ihn früh an den Anbieter. Fragen Sie nach der Ansprechperson für Sicherheitsfragen, damit Antworten nicht im allgemeinen Postfach untergehen.

Zusammenfassung: Was Security-Teams fragen und warum

Eine gute Prüfung schützt die Daten und das Projekt

Sicherheitsteams fragen jeden Anbieter, wo die Daten liegen, wer sie sehen kann und wie sie genutzt werden. Außerdem fragen sie, wer sie prüft und wer sonst damit arbeitet. Ein Deduplizierungstool wirft weitere Fragen auf, weil es Kundendatensätze nicht nur liest, sondern auch ändert.

Eine Prüfung verläuft reibungslos, wenn diese Antworten veröffentlicht, konkret und leicht teilbar sind. Beziehen Sie die Sicherheitsabteilung früh ein, begrenzen Sie die Prüfung auf die benötigten Objekte und rechnen Sie mit Papierkram. Das Ergebnis ist ein Tool, dem Ihr Sicherheitsteam die Daten anvertraut, von denen das ganze Unternehmen abhängt.

Referenzen: Sicherheit bei Dedupely; Dedupely Trust Center.

Häufige Fragen