Neue Herausforderungen für IT-Dienstleister Hornetsecurity unter Proofpoint: Auswirkungen auf Verträge und digitale Souveränität

Anbieter zum Thema

YourIT

kiwiko eG

peoplefone GmbH

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Da hat man als IT-Dienstleister einen deutschen Security-Anbieter im Portfolio und ehe man sich versieht, wird er an ein amerikanisches Unternehmen verkauft. Darüber sind nicht alle glücklich. Doch was bedeutet das nun mit Blick auf den Cloud Act und die Kunden?

Proofpoint kauft Hornetsecurity. Was auf den ersten Blick wie eine gängige Übernahme-Meldung wirkt, birgt dennoch Zündstoff und sorgt für rege Diskussionen im IT-Channel. Gerade angesichts der laufenden Debatte über Digitale Souveränität. Denn Hornetsecurity ist ein deutscher Anbieter von Security-Software – unter anderem von Spam-Filtern, „in deren DNA es liegt, dass sie Postfächer und Mails quasi ‚mitlesen‘ müssen, um schädliche Mails zu identifizieren und zu eliminieren“, kommentiert Thomas Ströbele, Geschäftsführer von YourIT und Hornetsecurity-Partner.

Welche Rolle spielt der Cloud Act?

Im DACH-Raum hat Hornetsecurity laut Website etwa 120 Partner, die wiederum unzählige Kunden bedienen – vor allem aus dem klassischen Mittelstand. Viele dieser Partner, so Ströbele, haben Hornetsecurity unter anderem deshalb in ihr Portfolio aufgenommen, um einen deutschen Anbieter in ihrem Portfolio zu haben und damit bei ihren Kunden zu werben.

Wenn nun also ein amerikanisches Unternehmen Hornetsecurity kauft, stellt sich die Frage: Wie sicher ist man vor der möglichen Anwendung des Cloud Act? Bei diesem können US-Behörden die Einsicht und Herausgabe von Unternehmensdaten fordern, die ihrer Jurisdiktion unterstehen. Dieser Fall ist bei Proofpoint gegeben. Wenn die Spam-Filter von Hornetsecurity die Inhalte der Postfächer ihrer Kunden kennen, könnten da durchaus sensible Daten dabei sein, argumentiert Ströbele. Das Versprechen der Dienstleister an ihre Kunden, dass durch den Einsatz von Hornet-Software ihre Daten Cloud-Act-resistent seien, sei damit hinfällig. Und genau da liegt das Problem. Ströbele: „Hornetsecurity spielt diese Problematik herunter. Da die Geschäftsführung bleibe und sich auch sonst nichts verändere, sehe man kein Problem. So ist deren Argumentation.“

Dienstleister in der Pflicht ihren Kunden gegenüber

Ströbele ist nicht nur Geschäftsführer des schwäbischen Dienstleisters, sondern begleitet seit über zehn Jahren Systemhaus-Partner und mittelständische Unternehmen als Berater für Datenschutz und Informationssicherheit. Aus dieser Doppelrolle heraus bewertet er die Situation nicht nur technisch, sondern vor allem regulatorisch. „Die Frage ist nicht, ob ein Zugriff über den Cloud Act stattfindet – sondern wie wir das gegenüber unseren Kunden bewerten und dokumentieren müssen“, erklärt er. Als externer Datenschutzbeauftragter sieht er viele Systemhäuser in der Pflicht, „ihre Kunden zu informieren, AV-Verträge anzupassen und die Lieferkette kritisch zu prüfen – nicht zuletzt aufgrund von NIS2 und ISO 27001.“

Denn wer das Thema jetzt aussitze, laufe Gefahr, beim nächsten Kundencheck ins Straucheln zu geraten – insbesondere, wenn AV-Verträge veraltet sind oder keine Bewertung der US-Rechtslage vorliegt.

IT-Dienstleister: Mit einer Stimme sprechen

Für ihn stellt sich aber auch die Frage, wie man sich als Systemhaus vor derartigen Situationen schützen kann. „Wir sollten uns als Dienstleister zusammentun, um hier mit einer Stimme zu sprechen“, schlägt er vor. Denn einer allein bewirke wenig. „Wenn außereuropäische Aufkäufer aber damit rechnen müssen, dass die Partneranzahl drastisch schwindet, wenn sie ein Unternehmen kaufen, dann kann man diesem Problem vielleicht ein wenig Herr werden.“ Denn letztlich hat sich Proofpoint nicht nur die Lösung von Hornetsecurity gekauft, sondern eben auch den Marktzugang nach Deutschland und Europa. Und dieser läuft nun einmal über den Channel.

Ein Fall für die Kooperationen?

Eigentlich ein klassischer Fall, bei dem Kooperationen ins Spiel kommen könnten, da sich dort die Partner ja austauschen. Sandra Balz, Vorständin bei Kiwiko, hat sich bereits bei den Mitgliedern umgehört. „Innerhalb des IT-Expertennetzwerks beschäftigt die Thematik selbstverständlich auch. Die Frage, die immer wieder aufkommt ist, welche konkreten Alternativen es gibt. Auf der anderen Seite gibt es Partner, denen die Tragweite und die möglichen Auswirkungen noch nicht so bewusst ist. Insofern ist es wichtig, dass sich die Kooperationen hier austauschen und über die Risiken aufklären. Die Entscheidung liegt letztlich bei jedem Partner selbst. “

Was sagt Hornetsecurity dazu?

Auf die Frage, welche Auswirkungen die Übernahme von Hornetsecurity durch Proofpoint in Bezug auf den Cloud Act habe, antwortet Daniel Hofmann, CEO bei Hornetsecurity: „Proofpoint und Hornetsecurity verfügen beide über umfassende Erfahrungen im Umgang mit komplexen regulatorischen Rahmenbedingungen, und wir verpflichten uns weiterhin, Partner- und Kundendaten zu schützen. Die Daten europäischer Kunden bleiben in der EU.“

Weiterhin ist Hoffmann überzeugt: „Unsere Vertriebspartner und IT-Dienstleister in Europa werden dank dieses Deals von weiteren Investitionen und Engagements profitieren. Zudem werden wir weiterhin regionale Datenspeicherung über zertifizierte Rechenzentren mit Compliance zu DSGVO, DPA 2018, ISO 27001 sicherstellen. Hornetsecurity hat allein in Europa 11 lokale Büros und 7 Datenzentren. Dies wird wachsen.“

Proofpoint erkenne das starke Partnerfundament, das Hornetsecurity hat, und plant, darauf aufzubauen, und nicht, es zu ersetzen. „Wir werden das Proofpoint Essentials-Geschäft übernehmen, was es den Proofpoint-Partnern in diesem Bereich ermöglicht, ihr Wachstum zu beschleunigen und ihre Margen durch die wettbewerbliche Differenzierung zu verbessern, die unsere 365 Total Protection-Pläne bieten. Unsere Vertriebspartner können mit neuen und verbesserten AI-gesteuerten Lösungen rechnen, um ihr Portfolio zu erweitern, das bequem über das Control Panel angeboten wird.“

Wir verpflichten uns weiterhin, Partner- und Kundendaten zu schützen.

Daniel Hofmann, CEO Hornetsecurity

Rechtliche Implikationen

Dennoch: Die Übernahme von Hornetsecurity durch Proofpoint wirft Fragen auf hinsichtlich Digitaler Souveränität und in Bezug auf die Verträge, die Dienstleister mit ihren Kunden haben. Die Übernahme zeigt exemplarisch, wie wichtig es für Unternehmen ist, sich mit der Frage der Datensouveränität auseinanderzusetzen. Ströbele: „Wir müssen uns darauf einstellen, dass Kunden solche Übernahmen künftig nicht nur technisch, sondern juristisch hinterfragen – und das mit Recht.“

M365-, MSP- und KMU-Fokus lockt die Amerikaner

Update: Proofpoint kauft Hornetsecurity

(ID:50455899)