Abfluss von geistigem Eigentum verhindern: Ursachen, Risiken und Handlungsempfehlungen für Rechtsabteilungen

Der Abfluss geistigen Eigentums bezeichnet die unbefugte Offenlegung, Übertragung oder Preisgabe geschützter Informationen, darunter Geschäftsgeheimnisse, Patente, Marken, urheberrechtlich geschützte Werke oder vertrauliche Geschäftsprozesse, an Personen oder Parteien ohne entsprechende Zugriffsberechtigung.

Bei einer Verletzung geistigen Eigentums vervielfältigt oder nutzt in der Regel ein Dritter ein geschütztes Werk ohne Lizenz. Der Abfluss geistigen Eigentums beginnt dagegen häufig innerhalb des eigenen Unternehmens. Er kann versehentlich oder absichtlich erfolgen, die rechtlichen und wettbewerblichen Folgen sind in beiden Fällen ernst.

Nicht jede Form geistigen Eigentums ist denselben Risiken ausgesetzt. Besonders häufig betroffen sind:

Die Begriffe werden oft verwechselt, beschreiben aber unterschiedliche Probleme. Bei einer Verletzung geistigen Eigentums nutzt jemand außerhalb des Unternehmens ein geschütztes Werk ohne Erlaubnis. Beim Abfluss geistigen Eigentums gelingt es dem Unternehmen zunächst nicht, seine vertraulichen Informationen im eigenen Einflussbereich zu halten. Im ersten Fall handelt ein Dritter rechtswidrig, im zweiten Fall versagen die eigenen Schutzmaßnahmen.

Diese Unterscheidung ist rechtlich relevant. Bei Ansprüchen wegen einer Verletzung geistigen Eigentums geht es um die unbefugte Nutzung eines geschützten Werks durch einen Dritten. Bei Fällen des Abflusses, insbesondere bei Geschäftsgeheimnissen, muss das Unternehmen darlegen, dass die Information die Voraussetzungen eines Geschäftsgeheimnisses erfüllte und wie sie unbefugt erlangt, genutzt oder offengelegt wurde. Das kann die Beweisführung deutlich erschweren.

Wer die Abläufe versteht, kann gezielter gegen den Abfluss vorgehen. Die Ursachen lassen sich in 5 Hauptkategorien einteilen. In den meisten Fällen spielen Menschen eine größere Rolle als die eingesetzte Technologie.

Das ist die häufigste Ursache und geschieht nur selten mit böser Absicht. Ein Mitarbeiter schickt einen Vertragsentwurf an sein privates E-Mail-Konto, um „zu Hause weiterzuarbeiten“. Eine externe Beraterin lädt vertrauliche F&E-Daten in einen ungesicherten Cloud-Ordner. Ein Teammitglied teilt Preisinformationen über einen unverschlüsselten Messenger.

Laut einer von Qohash zitierten Studie gibt 1 von 10 Mitarbeitern in einem beliebigen Zeitraum von 6 Monaten sensible Daten nach außen weiter. Das Risiko steigt, wenn Beschäftigte private Geräte (BYOD), schwache Passwörter oder nicht freigegebene Tools für die Zusammenarbeit verwenden. Diese können die Sicherheitskontrollen des Unternehmens umgehen oder schwächen.

Nicht jeder Abfluss ist ein Versehen. Unzufriedene Mitarbeiter, ausscheidende Führungskräfte oder Beschäftigte, die gezielt von Wettbewerbern abgeworben werden, bilden eine eigene Risikokategorie, die sich nur schwer erkennen lässt.

Ein häufiges Muster: Ein Mitarbeiter hat bereits beschlossen zu gehen und beginnt Wochen vor Ablauf der Kündigungsfrist, Dateien zu kopieren. Beim Austrittsgespräch sind die Geschäftsgeheimnisse längst nach außen gelangt. Laut dem jährlichen Bericht von Code42 zu Insider-Risiken schätzten Sicherheitsexperten die Kosten von Datenvorfällen durch Insider auf durchschnittlich $15 Millionen pro Ereignis.

Phishing, Ransomware und gezielte Angriffe dienen genau dazu, wertvolles geistiges Eigentum zu erbeuten. Produkt-Roadmaps, zum Patent angemeldete Formeln und Vertragsbedingungen mit wichtigen Kunden haben im Darknet oder direkt bei einem Wettbewerber einen hohen Marktwert.

Cyberangriffe lassen sich zudem immer schneller durchführen. Sicherheitsvorfälle bleiben möglicherweise längere Zeit unentdeckt. Angreifer können dadurch strukturierte IP-Archive abziehen, bevor jemand den Vorfall bemerkt.

Lieferanten, externe Kanzleien und Technologieanbieter erhalten Zugriff auf sensible Informationen. Ihr Sicherheitsniveau entspricht jedoch nicht immer dem des eigenen Unternehmens.

Ein Dienstleister speichert Produktspezifikationen auf einem falsch konfigurierten Server. Oder das E-Mail-Konto einer Kanzlei wird während einer M&A-Verhandlung kompromittiert. In beiden Fällen entsteht ein Vorfall außerhalb der direkten Kontrolle des Unternehmens. Die rechtlichen Folgen treffen trotzdem das Unternehmen, unabhängig davon, wo der Fehler passiert ist.

Dieses Risiko haben viele Unternehmen noch nicht ausreichend adressiert. Wenn Mitarbeiter öffentliche oder nicht freigegebene generative KI-Tools wie ChatGPT, Gemini oder nicht für die geschäftliche Nutzung freigegebene Copilot-Versionen nutzen und geschützte Unternehmensdaten in einen Prompt eingeben, kann der Dienstanbieter diese Informationen je nach Produkt, Konto und Einstellungen protokollieren oder speichern. Unter Umständen werden die Daten auch zur Verbesserung des Modells verwendet, sofern dies nach den Bedingungen des Anbieters zulässig ist.

Die Leitlinien von Gartner zur KI-Governance nennen die Preisgabe von Daten als ein zentrales KI-Risiko und empfehlen, Richtlinien durch technische Kontrollen zu ergänzen. Rechtsabteilungen ohne klare Regeln für den Einsatz von KI und technische Schutzvorkehrungen arbeiten derzeit ohne ausreichende Absicherung.

Wenn geistiges Eigentum unbefugt nach außen gelangt, entstehen Schäden in drei Bereichen. Diese verstärken sich oft innerhalb kurzer Zeit gegenseitig.

Finanzielle und rechtliche Risiken

Die durchschnittlichen Kosten einer Datenschutzverletzung beliefen sich 2024 laut der Analyse von Secureframe zum jährlichen Bericht von IBM auf $4.88 Millionen. Geht es bei den abgeflossenen Informationen um Geschäftsgeheimnisse oder noch nicht eingereichte Patentanmeldungen, steigen die Risiken weiter: Der Verlust der Patentierbarkeit, Prozesskosten und Schadensersatzforderungen können die ursprünglichen Kosten der Vorfallbewältigung um ein Vielfaches übersteigen.

Nach dem deutschen Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) können die unbefugte Erlangung, Nutzung oder Offenlegung von Geschäftsgeheimnissen Unterlassungs-, Beseitigungs- und Schadensersatzansprüche auslösen. Je nach Sachverhalt kommen auch Rückruf- und Vernichtungsansprüche sowie die Veröffentlichung einer gerichtlichen Entscheidung in Betracht. § 23 GeschGehG sieht für bestimmte vorsätzliche Handlungen außerdem Geld- oder Freiheitsstrafen vor. Die konkrete Haftung hängt vom Einzelfall, den getroffenen Schutzmaßnahmen und dem nachweisbaren Schaden ab.

Entdeckt ein Wettbewerber ein nicht patentiertes Herstellungsverfahren unabhängig, kann er es unter Umständen rechtmäßig nachbilden. Hat er das Verfahren jedoch unbefugt erlangt, genutzt oder offengelegt, schließt das Fehlen eines Patents den Schutz als Geschäftsgeheimnis nicht automatisch aus. Für den Nachweis einer Verletzung muss weiterhin belegt werden, dass die Information ein Geschäftsgeheimnis war und durch angemessene Maßnahmen geschützt wurde.

In stark umkämpften Branchen wie der Pharmaindustrie, der Halbleiterindustrie und dem Finanzsektor kann bereits ein teilweiser Abfluss geistigen Eigentums Jahre an Investitionen zunichtemachen. Wird der nächste Produktlaunch vorzeitig bekannt, kann der Wettbewerbsvorsprung verschwinden, bevor das Produkt überhaupt auf den Markt kommt.

Kunden, Partner und Investoren müssen darauf vertrauen können, dass ein Unternehmen vertrauliche Informationen schützt. Ein Vorfall, insbesondere mit M&A-Daten, in proprietäre Prozesse eingebetteten Kundeninformationen oder strategischen Plänen auf Vorstandsebene, vermittelt ein klares Signal: Die Governance-Strukturen des Unternehmens reichen nicht aus.

Der Reputationsschaden bleibt nicht außerhalb des Unternehmens. Die Stimmung in der Belegschaft leidet, wenn Mitarbeiter sehen, dass sensible Informationen nicht geschützt werden. Ist dieses Vertrauen einmal beschädigt, lässt es sich nur langsam wiederherstellen.

Wirksame Prävention verbindet mehrere Kontrollen miteinander. Sie erfordert einen mehrstufigen Ansatz, der Technologie, rechtliche Vereinbarungen, Menschen und Governance-Strukturen verbindet. Diese Maßnahmen machen in der Praxis den Unterschied.

Gehen Sie zunächst davon aus, dass kein Benutzer, Gerät oder System standardmäßig auf IP zugreifen sollte. Das Prinzip der geringsten Privilegien, also nur die Zugriffsrechte zu vergeben, die für eine bestimmte Rolle erforderlich sind, bildet die Grundlage. Rollenbasierte Zugriffskontrollen (RBAC) in Kombination mit Zero Trust Network Access (ZTNA) begrenzen den Schaden deutlich, wenn ein einzelnes Konto kompromittiert wird.

Prüfen Sie die Zugriffsrechte vierteljährlich. Bei ausscheidenden Mitarbeitern besteht ein besonders hohes Risiko: Entziehen Sie Zugriffsrechte, sobald sie nicht mehr benötigt werden, spätestens mit dem Ende des Arbeitsverhältnisses.

Was nicht erfasst ist, lässt sich nicht schützen. Führen Sie eine Richtlinie zur Datenklassifizierung ein, die Geschäftsgeheimnisse, zum Patent angemeldete Unterlagen und strategische Dokumente eindeutig als vertraulich oder besonders geschützt kennzeichnet. Jeder Mitarbeiter, der mit diesen Assets arbeitet, sollte ihre Einstufung und die geltenden Regeln für den Umgang damit kennen.

Verbinden Sie die Klassifizierung mit Verschlüsselung, sowohl bei der Übertragung (TLS) als auch bei der Speicherung (AES-256). Verschlüsselung verhindert den Abfluss nicht. Sie begrenzt jedoch den Wert der Informationen, die ein Angreifer oder ein unbefugter Empfänger tatsächlich erhält.

Geheimhaltungsvereinbarungen bilden die Grundlage. Ihre Wirksamkeit hängt jedoch davon ab, wie konkret und durchsetzbar sie formuliert sind. Eine allgemeine Formulierung wie „Ich werde Unternehmensinformationen vertraulich behandeln“ lässt sich je nach Wortlaut und anwendbarem Recht möglicherweise schwerer durchsetzen oder einheitlich anwenden. Definieren Sie, welche Informationen vertraulich sind, wie lange die Pflicht gilt und in welchen Rechtsordnungen sie Anwendung findet. Lassen Sie die Vorlagen für Geheimhaltungsvereinbarungen regelmäßig von Ihrer Rechtsabteilung prüfen, da sich die Rechtsprechung weiterentwickelt.

Bei Mitarbeitern sollten Klauseln zur Übertragung von Rechten am Arbeitsergebnis in Arbeitsverträgen eindeutig festlegen, welche während des Beschäftigungsverhältnisses entwickelten Arbeitsergebnisse dem Unternehmen zustehen, soweit das anwendbare Recht dies zulässt. Von Auftragnehmern und Dienstleistern sollten Sie ausdrücklich Pflichten zum Schutz geistigen Eigentums und Prüfungsrechte verlangen.

Viele Vorfälle durch Nachlässigkeit entstehen, weil Mitarbeiter schlicht nicht wissen, welche Informationen als geschütztes IP gelten und warum das relevant ist. Eine jährliche Compliance-Schulung reicht nicht aus. Ohne regelmäßige Auffrischung gerät dieses Wissen schnell in Vergessenheit.

Arbeiten Sie mit konkreten Szenarien: „Darf ich diese Kundenliste an mein privates Konto senden?“ „Darf ich dieses KI-Tool verwenden, um die Präsentation für die Aufsichtsratssitzung vor dem Versand zusammenzufassen?“ Verknüpfen Sie die Regeln mit konkreten Folgen. Wer die Tragweite versteht, handelt anders als jemand, der die IP-Richtlinie nur als abstrakte Rechtsvorgabe betrachtet.

Setzen Sie Tools zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) ein, die ungewöhnliche Dateibewegungen melden: umfangreiche Downloads, Übertragungen an private Cloud-Konten oder eine große Zahl externer E-Mail-Anhänge. Die Erkennung von Anomalien in Zugriffsprotokollen kann Insider-Risiken sichtbar machen, bevor sie zu einem vollständigen Datenabfluss führen.

Bei der Reaktion auf Vorfälle zählt jede Stunde. Selbst bei gut aufgestellten Programmen kann ein Vorfall längere Zeit unentdeckt bleiben. Dieses Zeitfenster zu verkürzen, gehört zu den wirksamsten Investitionen in den Schutz geistigen Eigentums.

Hier weisen die meisten Unternehmen eine sichtbare Lücke auf. Sicherheitskontrollen schützen vorhandene Daten. Die Verwaltung des IP-Portfolios stellt dagegen sicher, dass Sie wissen, welches geistige Eigentum das Unternehmen besitzt, wo es dokumentiert ist, wer darauf zugreifen kann und wann wichtige Termine anstehen, etwa für Aufrechterhaltungsgebühren für Patente, Markenanmeldungen und das Auslaufen von Lizenzen.

Wenn Informationen zu Geschäftsgeheimnissen über Laufwerke, E-Mails und gemeinsam genutzte Ordner verteilt sind, ohne klare Verantwortlichkeiten, Versionskontrolle oder Audit Trail, kann geistiges Eigentum abfließen, ohne dass jemand den Vorfall erkennt. Ein zentrales IP-Register schafft hier Übersicht.

Bei einem IP-Vorfall zählen Geschwindigkeit und ein klarer Ablauf. Warten Sie nicht auf vollständige Gewissheit. Handeln Sie, sobald ein begründeter Verdacht besteht.

1. Abfluss eindämmen: Entziehen Sie Zugriffsrechte, isolieren Sie betroffene Systeme und blockieren Sie weitere Übertragungen sofort.
2. Beweise sichern: Dokumentieren Sie den Vorfall, ohne Dateien zu verändern. Beziehen Sie frühzeitig eine externe Kanzlei ein, damit die Vertraulichkeit der Untersuchung und der rechtlichen Beratung gewahrt bleibt.
3. Umfang feststellen: Ermitteln Sie, auf welche Informationen zugegriffen wurde, wer beteiligt war und wohin die Daten gelangt sein könnten.
4. Erforderliche Meldungen vornehmen: Je nach Art der Informationen und der betroffenen Rechtsordnung können Pflichten nach der DSGVO und dem BDSG, branchenspezifische Meldepflichten sowie bei kapitalmarktorientierten Unternehmen gegebenenfalls Pflichten zur Ad-hoc-Mitteilung nach Art. 17 MAR bestehen.
5. Rechtliche Schritte einleiten: Nach dem GeschGehG können Sie unter bestimmten Voraussetzungen Unterlassung und einstweiligen Rechtsschutz beantragen, um eine weitere Verbreitung zu verhindern.
6. Kontrollen überprüfen und Lücken schließen: Beseitigen Sie die Schwachstelle, die den Abfluss ermöglicht hat. Dokumentieren Sie, was geändert wurde und warum. Diese Aufzeichnungen sind für Behörden und für den Nachweis einer angemessenen Unternehmensorganisation wichtig.

Die Leitung der Rechtsabteilung sollte bereits in der ersten Stunde eingebunden werden, nicht erst nachträglich einen IT-Bericht erhalten. Sie muss die Reaktion auf den IP-Vorfall aktiv mitsteuern.

Der Schutz vor dem Abfluss geistigen Eigentums braucht mehr als eine Firewall. Rechtsabteilungen benötigen Governance-Strukturen, mit denen sie IP als strategischen Vermögenswert und nicht bloß als Ordner auf einem Server verwalten können.

Die DiliTrust Suite bietet Rechtsabteilungen eine strukturierte, zentrale Umgebung für Unternehmensführung und Legal Operations. Mit Modulen für Legal Entity Management, Board Management, Contract Lifecycle Management und Dokumentenmanagement erhalten Rechtsabteilungen eine zentrale Datenbasis für sensible IP-bezogene Unterlagen. Sie können Zugriffsrechte granular steuern und einen vollständigen Audit Trail für jede Interaktion mit einem Dokument führen.

Für den Schutz geistigen Eigentums sind insbesondere folgende Funktionen relevant:

Sind die IP-Dokumente zentral erfasst, nachverfolgbar und mit Zugriffsrechten versehen, lassen sich Vorfälle durch unzureichende Übersicht vermeiden. Kommt es dennoch zu einem Vorfall, verfügt die Rechtsabteilung über die Dokumentation, um schnell, glaubwürdig und mit einem belastbaren Nachweis ihrer Governance-Maßnahmen zu reagieren.