Was ist das GeschGehG?

GeschGehG einfach erklärt

Das Gesetz zum Schutz von Geschäftsgeheimnissen gilt seit April 2019. Es setzt die EU-Richtlinie (EU) 2016/943 in deutsches Recht um. Geregelt ist unter anderem, wann eine Information als Geschäftsgeheimnis gilt, was andere damit nicht tun dürfen und welche Ansprüche Unternehmen bei einer Verletzung haben.

Für die Praxis ist vor allem eine Regel entscheidend. Früher genügte es im Wesentlichen, dass ein Unternehmen eine Information erkennbar geheim halten wollte. Heute muss es zeigen können, dass es sie aktiv geschützt hat. Ohne angemessene Schutzmaßnahmen gibt es keinen Schutz als Geschäftsgeheimnis.

Ein Vergleich: Ein Firmengelände mit Zaun, Pforte und Besucherausweisen macht für jeden sichtbar, dass Unbefugte draußen bleiben sollen. Steht das Tor dagegen immer offen und alle können ein und aus gehen, lässt sich später kaum belegen, dass der Zutritt verboten war. Ähnlich ist es mit Firmenwissen.

Das regelt das GeschGehG

1. Definition (§ 2): Ein Geschäftsgeheimnis muss drei Bedingungen erfüllen. Die Information ist nicht allgemein bekannt und deshalb wirtschaftlich wertvoll. Sie ist durch angemessene Geheimhaltungsmaßnahmen geschützt. Und es besteht ein berechtigtes Interesse an ihrer Geheimhaltung.
2. Verbote (§ 4): Untersagt ist, ein Geschäftsgeheimnis unbefugt zu erlangen, zu nutzen oder offenzulegen – etwa durch heimliches Kopieren von Unterlagen oder den Bruch einer Vertraulichkeitspflicht.
3. Erlaubte Handlungen (§ 3): Erlaubt ist es, ein Geheimnis eigenständig zu entdecken oder ein öffentlich erhältliches Produkt zu untersuchen und zu zerlegen (Reverse Engineering). Bei Gegenständen, die man nur rechtmäßig besitzt – etwa einem überlassenen Prototyp –, gilt das nur, wenn keine Pflicht entgegensteht, zum Beispiel aus einem Vertrag.
4. Ausnahmen (§ 5): Unter bestimmten Voraussetzungen ist eine Offenlegung zulässig, etwa für journalistische Berichterstattung oder um rechtswidriges Verhalten aufzudecken.
5. Ansprüche (§§ 6 ff.): Betroffene können unter anderem Unterlassung, Auskunft, den Rückruf rechtsverletzender Produkte und Schadensersatz verlangen.
6. Strafbarkeit (§ 23): Wer ein Geschäftsgeheimnis vorsätzlich verletzt, etwa aus Eigennutz oder um den Wettbewerb zu fördern, riskiert Geldstrafe oder Freiheitsstrafe bis zu drei Jahren. Bei gewerbsmäßigem Handeln oder wenn das Geheimnis im Ausland genutzt werden soll, sind bis zu fünf Jahre möglich.

Was „angemessen“ ist, legt das Gesetz nicht im Einzelnen fest. Es kommt auf die Umstände an, etwa auf den Wert der Information. Üblich ist ein Mix aus organisatorischen, technischen und vertraglichen Maßnahmen.

Ein Beispiel aus der Praxis

Ein Hersteller von Spezialarmaturen stellt fest, dass ein Wettbewerber plötzlich ein auffallend ähnliches Produkt anbietet. Der Verdacht fällt auf einen ehemaligen Konstrukteur, der vor seinem Wechsel große Mengen Zeichnungen heruntergeladen haben soll. Im Rechtsstreit kommt es dann auf eine Frage an: Hat das Unternehmen seine Konstruktionsdaten angemessen geschützt?

Die Antwort fällt ernüchternd aus: Alle Beschäftigten hatten Zugriff auf das gesamte Zeichnungsarchiv, Vertraulichkeitsregeln fehlten, und Downloads wurden nicht protokolliert. Der Nachweis wird dadurch schwierig. Das Unternehmen führt anschließend ein Berechtigungskonzept nach dem Need-to-know-Prinzip ein – jede Person sieht nur, was sie für ihre Arbeit braucht. Außerdem kennzeichnet es vertrauliche Dokumente und regelt die Vertraulichkeit vertraglich.

Warum ist das für Unternehmen wichtig?

Gerade im Mittelstand steckt der Wert eines Unternehmens oft in seinem Wissen: in Verfahren, Rezepturen, Kalkulationen oder Kundenbeziehungen. Wer dieses Wissen nicht nachweisbar schützt, kann sich im Ernstfall womöglich nicht auf das Gesetz berufen.

Die Bedrohung kommt dabei nicht nur von innen. Bei Ransomware-Angriffen stehlen Täter häufig vorab Daten und drohen mit ihrer Veröffentlichung. Gestohlene Unterlagen und Zugangsdaten werden im Darknet gehandelt. Und mit Social Engineering versuchen Angreifer, Beschäftigte zur Herausgabe vertraulicher Informationen zu bewegen. Ist ein Geheimnis erst einmal verbreitet, lässt sich der Schaden kaum rückgängig machen. IT-Sicherheit ist damit auch rechtliche Vorsorge.

Was Unternehmen jetzt tun sollten

• Geheimnisse identifizieren: Legen Sie fest, welche Informationen wirklich schützenswert sind, und stufen Sie sie ein.
• Zugriffe beschränken: Vergeben Sie Berechtigungen nach dem Need-to-know-Prinzip und überprüfen Sie sie regelmäßig.
• Technisch absichern: Setzen Sie Verschlüsselung, eine Anmeldung mit zweitem Faktor (Multi-Faktor-Authentifizierung) und eine Protokollierung von Zugriffen ein.
• Vertraglich regeln: Schließen Sie Vertraulichkeitsvereinbarungen (NDA) mit Beschäftigten, Partnern und Dienstleistern. Wenn Sie Partnern Prototypen oder Muster überlassen, schließen Sie Reverse Engineering vertraglich aus.
• Kennzeichnen und schulen: Markieren Sie vertrauliche Dokumente und sensibilisieren Sie Ihr Team für Social Engineering.
• Austritte regeln: Sperren Sie Zugänge beim Ausscheiden sofort und dokumentieren Sie die Rückgabe von Unterlagen und Geräten.
• Nachweise sichern: Dokumentieren Sie Ihre Maßnahmen, denn im Streitfall zählt der Nachweis. Für die rechtliche Bewertung im Einzelfall ist anwaltlicher Rat sinnvoll.

Wie Rootsektor unterstützt

Unser Darknet Monitoring durchsucht einschlägige Quellen automatisiert nach Hinweisen auf Ihr Unternehmen – etwa geleakte Zugangsdaten oder angebotene Firmendaten – und benachrichtigt Sie bei Funden. Anschließend unterstützen wir Sie individuell bei den Gegenmaßnahmen. Ob Ihre technischen Schutzmaßnahmen in der Praxis halten, zeigt ein Penetrationstest; ein Angebot dafür erhalten Sie über unser Pentest-Angebot. Für alle weiteren Fragen nehmen Sie gern Kontakt mit uns auf.