SFC - Stephan Frank Consulting

Name: SFC - Stephan Frank Consulting
Address: Kopernikusplatz, Nuremberg, 90459, DE
Telephone: +4991114885292

Startseite
Deutschland
Nürnberg
SFC - Stephan Frank Consulting

Anrufen Wegbeschreibung Website

Datenschutz und IT-Sicherheit für HR & Personalwesen ... DSGVO & Datenschutz sind super! 😉👍

20/10/2026

𝐍𝐞𝐰𝐬𝐥𝐞𝐭𝐭𝐞𝐫 𝐛𝐞𝐬𝐭𝐞𝐥𝐥𝐭 – 𝐓𝐫𝐚𝐜𝐤𝐢𝐧𝐠 𝐠𝐥𝐞𝐢𝐜𝐡 𝐦𝐢𝐭𝐠𝐞𝐛𝐮𝐜𝐡𝐭?

Eine Personalberatung versendet einen Talent-Newsletter. Die Empfänger haben dem Versand zugestimmt. Im Hintergrund misst das System Öffnungen und Klicks – standardmäßig und personenbezogen.

Genau hier lohnt ein zweiter Blick.

Ein aktueller Fachbeitrag beschreibt die strengere Linie französischer und italienischer Aufsichtsbehörden: Zustimmung zum Newsletter und Zustimmung zur Erfolgsmessung sollen getrennt eingeholt werden. Die Messung muss eigenständig abwählbar und ihr Nachweis dokumentiert sein. Für Deutschland ist offen, ob die Aufsicht dieselbe Granularität verlangt. § 25 TDDDG und die technische Verarbeitung sprechen aber für eine vorsichtige Prüfung.

Für Recruiting und Active Sourcing bedeutet das: 𝐕𝐞𝐫𝐬𝐚𝐧𝐝 𝐮𝐧𝐝 𝐌𝐞𝐬𝐬𝐮𝐧𝐠 𝐬𝐢𝐧𝐝 𝐳𝐰𝐞𝐢 𝐕𝐨𝐫𝐠ä𝐧𝐠𝐞.

• Tracking-Funktionen je Aussendung inventarisieren
• Einwilligung für Versand und Messung trennen
• beide Entscheidungen unabhängig widerrufbar machen
• Preference Center und CRM-Datenmodell anpassen
• Altbestände und vorhandene Messdaten bewerten

Wer auf personenbezogene Messung verzichtet, kann weiterhin ohne Tracking versenden. 𝐓𝐫𝐚𝐧𝐬𝐩𝐚𝐫𝐞𝐧𝐳 𝐦𝐮𝐬𝐬 𝐢𝐧 𝐝𝐞𝐫 𝐓𝐞𝐜𝐡𝐧𝐢𝐤 𝐚𝐧𝐤𝐨𝐦𝐦𝐞𝐧 – nicht nur im Datenschutzhinweis.

Können Ihre Kontakte den Newsletter behalten und nur die Messung ablehnen?

-MailMarketing

20/10/2026

Ich bin Stephan Frank – und ich sage etwas, das in der Zertifizierungsbranche nicht jeder gern hört:

Zertifikate schaffen Vertrauen.
Aber sie verhindern keine Krisen.

ISO-Siegel an der Wand beruhigen Stakeholder.
Auditberichte füllen Ordner.
Compliance erzeugt das Gefühl von Kontrolle.

Und trotzdem werden Unternehmen gehackt.
Trotzdem fallen Systeme aus.
Trotzdem sind Verantwortlichkeiten im Ernstfall unklar.

Warum?

Weil Zertifizierung oft mit Sicherheit verwechselt wird.

Viele Organisationen optimieren auf das Audit – nicht auf den Ernstfall.
Sie bauen Prozesse, die prüfbar sind.
Aber keine Strukturen, die unter Druck funktionieren.

Ich denke wie ein CISO – und ein CISO weiß:
Ein Zertifikat misst Reife auf dem Papier.
Eine Krise misst Reife in der Realität.

Ich greife nicht Zertifizierungen an.
Ich greife die Illusion an, dass ein bestandenes Audit gleichbedeutend mit Resilienz ist.

Die entscheidende Frage lautet nicht:
„Bestehen wir das Audit?“

Sondern:
„Überleben wir den Vorfall?“

Sicherheit beginnt nicht beim Zertifizierer.
Sie beginnt bei der Führung.

Und wer glaubt, dass man Verantwortung outsourcen kann,
hat das Risiko bereits falsch verstanden.

19/10/2026

Wenn’s um Datenschutz geht, sind viele Geschäftsführer:innen echte Detektiv:innen. 🕵️‍♂️
Kaum ist eine Datenpanne passiert, wird mit dem Fernglas nach dem Schuldigen gesucht – Hauptsache, man selbst war’s nicht.

Aber sobald das Wort „eigene Verantwortung“ fällt, scheint plötzlich Nebel aufzuziehen. 🌫️
Dann sieht man nichts mehr, hört nichts mehr – und ist ganz überrascht, dass Geschäftsführung und Haftung irgendwie zusammenhängen könnten.

👉 Datenschutz ist keine Abteilung.
👉 Informationssicherheit ist kein IT-Thema.
👉 Und Verantwortung lässt sich nicht outsourcen.

Vielleicht also lieber vorher hinschauen, statt hinterher blind zu sein. 😉

19/10/2026

„Personaldienstleister glauben oft, sie seien kein Cyber-Ziel.“

Ich arbeite viel mit Geschäftsführern in der Personaldienstleistung.

Und ich höre häufig:
„Wir sind doch kein Konzern.“
„Wir machen doch nur Personal.“

Sie speichern:

- Lebensläufe
- Gehaltsdaten
- Krankheitsinformationen
- Bewerberpools
- Kundendaten
- Vertragsdaten

Sie sind Daten-Drehscheibe zwischen:
Kandidaten, Kunden, Payroll, externen IT-Dienstleistern.

Sie sind nicht uninteressant.
Sie sind ein ideales Ziel.

Und wenn etwas passiert, geht es nicht nur um IT.

Es geht um:

- Vertrauensverlust bei Bewerbern
- Reputationsschaden bei Kunden
- Vertragskündigungen
- Haftung der Geschäftsführung

Viele investieren in Datenschutz-Dokumente.
Wenige investieren in echte Sicherheitsarchitektur.

Viele glauben, Einwilligungen lösen Probleme.
Sie lösen keine Ransomware.

Sicherheit in der Personaldienstleistung ist kein IT-Thema.
Es ist ein Vertrauensversprechen.

Und Vertrauen ist Ihr Geschäftsmodell.

Wenn das bricht, bricht nicht nur ein Server.
Dann bricht Ihr Markt.

16/10/2026

Homeoffice-Risiken kompakt

- Bildschirm sperren
- Keine Dokumente offen liegen lassen
- Keine Nutzung der Firmengeräte durch Familienmitglieder
- VPN verwenden
- Ausdrucke vernichten

Remote Work braucht strukturierte Regeln.

👉 SFC | Stephan Frank Consulting unterstützt bei Richtlinien & Awareness.

13/10/2026

𝐄𝐢𝐧 𝐑𝐞𝐜𝐫𝐮𝐢𝐭𝐢𝐧𝐠-𝐏𝐫𝐨𝐳𝐞𝐬𝐬 𝐢𝐬𝐭 𝐧𝐮𝐫 𝐬𝐨 𝐬𝐭𝐚𝐛𝐢𝐥 𝐰𝐢𝐞 𝐬𝐞𝐢𝐧𝐞 𝐋𝐢𝐞𝐟𝐞𝐫𝐤𝐞𝐭𝐭𝐞.

Montagmorgen: Das Bewerbermanagement läuft. Trotzdem können keine Stellen veröffentlicht werden, weil der Multiposting-Dienst ausfällt. Kurz danach stocken Signatur, Terminbuchung und Kandidatenkommunikation.

Aus mehreren kleinen Diensten wird plötzlich ein großer Stillstand.

Der ENISA-Bericht zur Bedrohungslage 2026 zeigt, warum digitale Abhängigkeiten stärker in den Fokus gehören. Lieferketten- und Drittanbieterangriffe können großflächige Auswirkungen verursachen. 73 Prozent der erfassten Zielorganisationen waren wesentliche oder wichtige Einrichtungen im Sinne von NIS2. Ransomware bleibt besonders folgenreich.

Für Personaldienstleister lautet der Wendepunkt: 𝐒𝐚𝐚𝐒 𝐢𝐬𝐭 𝐤𝐞𝐢𝐧𝐞 𝐀𝐮𝐬𝐥𝐚𝐠𝐞𝐫𝐮𝐧𝐠 𝐝𝐞𝐫 𝐕𝐞𝐫𝐚𝐧𝐭𝐰𝐨𝐫𝐭𝐮𝐧𝐠.

• kritische Recruiting-Dienste und Datenflüsse erfassen
• Unterauftragnehmer und technische Abhängigkeiten abfragen
• Sicherheits- und Patchnachweise vereinbaren
• Meldefristen und Ansprechpartner festlegen
• Ersatzwege für Bewerbung, Disposition und Kommunikation testen

Ein ISMS oder NIS2-Lieferkettencheck verbindet Verträge, Technik und Notfallbetrieb. 𝐄𝐧𝐭𝐬𝐜𝐡𝐞𝐢𝐝𝐞𝐧𝐝 𝐢𝐬𝐭 𝐧𝐢𝐜𝐡𝐭 𝐧𝐮𝐫, ob ein Anbieter ausfällt, sondern wie kontrolliert das Unternehmen weiterarbeitet.

Welche drei externen Dienste würden Ihr Recruiting heute sofort zum Stillstand bringen?

13/10/2026

Die Richtlinie ist unterschrieben. Doch niemand kann belegen, ob der Heimarbeitsplatz sicher ist.

Stellen Sie sich vor: Ein SaaS-Unternehmen arbeitet vollständig remote. Im Audit liegen VPN-Regelung und Mitarbeiterbestätigung bereit. Für die Stichprobe fehlen jedoch individuelle Freigabe, ausgegebene Arbeitsmittel und aktueller Sicherheitsstatus des Laptops.

Eine neue Fachanalyse zu ISO/IEC 27001 A.6.7 zeigt den Wendepunkt: Nicht das Dokument allein zählt, sondern die nachweisbar umgesetzte Maßnahme. Der Leitfaden bündelt die Evidenz in Autorisierung, Ausstattung, technischer Durchsetzung und spezifischer Bestätigung.

Meine Empfehlung:
1. Zwei Remote-Beschäftigte als Auditstichprobe auswählen.
2. Für beide alle vier Nachweisarten zusammenführen.
3. Lücken mit Verantwortlichem und Termin behandeln.

Als externer ISB und ISO-27001-Auditor unterstütze ich dabei, Remote Work vom Richtlinientext zur belastbaren Kontrolle zu entwickeln. Wäre Ihre Nachweiskette heute vollständig?

Quelle: https://post.stephan-frank.com/CEcFf

13/10/2026

Die E-Mail war verschlüsselt. Sie ging trotzdem an den falschen Empfänger.
Stellen Sie sich vor: Ein Personaldienstleister sendet Kandidatenunterlagen über einen abgesicherten Kanal. Technisch funktioniert alles – doch Empfängerprüfung, Freigabe und Datenklasse sind nicht nachvollziehbar. Verschlüsselung schützt den Transport, nicht die Entscheidung.
Eine neue Fachanalyse zu ISO/IEC 27001 A.5.14 zeigt den blinden Fleck: Informationsübertragung umfasst elektronische Wege, physische Datenträger und Gespräche. Für jeden Kanal braucht es passende Regeln, Verfahren oder Vereinbarungen und Nachweise.
Meine Empfehlung:
1. Übertragungskanäle vollständig inventarisieren.
2. Je Kanal Datenklassen, Freigaben und Verfahren festlegen.
3. Einen Transfer bis zum Protokoll, Vertrag oder Empfangsnachweis verfolgen.
Als externer ISB und ISO-27001-Auditor unterstütze ich dabei, aus Regeln eine prüfbare Nachweiskette zu entwickeln. Welcher inoffizielle Kanal fehlt in Ihrem Register?
Quelle: https://post.stephan-frank.com/wqN7V

Adresse

Kopernikusplatz
Nuremberg
90459

Telefon

+4991114885292

Website

http://www.stephan-frank.com/

Benachrichtigungen

Erfahren Sie als Erste/r von Neuigkeiten und Aktionen: Wir schicken Ihnen eine E-Mail, wenn SFC - Stephan Frank Consulting etwas veröffentlicht. Ihre E-Mail-Adresse wird für keinen anderen Zweck verwendet, und Sie können sich jederzeit abmelden.