Ein Leitz-Ordner im Kellerregal wirkt sicherer als eine Cloud-Lizenz – man kann ihn anfassen, sie nicht. Genau dieses Gefühl kostet Bauunternehmer im Ernstfall die Existenz. Datensicherheit im Bauunternehmen hat wenig mit Papierstapeln oder mit Digitalisierung am Bau im Allgemeinen zu tun und sehr viel mit der Frage, ob ein Cloud-Backup Ihre Projektdaten so speichert, dass sie in zehn Jahren noch VOB-rechtssicher vor Gericht Bestand haben. Ich führe einen Betrieb mit 12 Mitarbeitenden im Allgäu, arbeite täglich mit Baumanagement-Software wie Bauprogramm und habe genug kaputte Festplatten und aufgeweichte Aktenordner gesehen, um zu wissen: Das größte Sicherheitsrisiko sitzt fast nie in der Technik selbst, sondern in der Annahme, Papier oder eine externe Festplatte seien automatisch sicherer.
Der Irrtum vom greifbaren Aktenordner
Wasser, Feuer und ein simpler Festplattendefekt sind die eigentlichen Gegner, nicht Hacker. Ein durchweichter Ordner nach einem Rohrbruch im Keller ist ebenso verloren wie eine Excel-Datei auf einem Rechner, der beim Blitzeinschlag durchbrennt. Dass ein Bautagebuch nach VOB-Vorgaben unveränderbar geführt werden muss, ist ein eigenes Thema für sich – hier geht es um die einfachere Frage, ob Ihre Daten den nächsten Wasserschaden überhaupt überstehen. Bei strömendem Regen auf einer Baustelle in Memmingen habe ich selbst erlebt, wie sich unter dem Klapptisch mit meinem aufgeklappten Laptop eine trübe Pfütze bildete, während ein Kollege nebenan den Wassereintritt im Keller schon vollständig auf dem Tablet dokumentiert hatte – Foto, Uhrzeit, GPS-Punkt, in weniger als anderthalb Minuten.
Nach § 13 Abs. 4 VOB/B beträgt die Verjährungsfrist für Mängelansprüche in der Regel vier Jahre, nach § 147 der Abgabenordnung müssen steuerrelevante Belege sogar zehn Jahre archiviert bleiben. Handschriftliche Notizen oder eine Excel-Tabelle, die sich im Nachhinein ohne Spur ändern lässt, halten diesem Zeitraum nicht stand – das weiß jeder Gutachter, der schon einmal ein manipuliertes Bautagebuch vor Gericht auseinandergenommen hat. Die GoBD verlangt deshalb, dass elektronische Unterlagen nur nachvollziehbar verändert werden können, nicht heimlich. Ein handelsüblicher USB-Stick in der Schreibtischschublade erfüllt davon genau eines: nichts.
Ein Backup, das niemand prüft, ist kein Backup
Ein Backup, das monatelang unbemerkt Fehlermeldungen produziert, ist schlimmer als gar kein Backup – es gibt Ihnen ein falsches Gefühl von Sicherheit, bis der Ernstfall kommt. Bei einem Betrieb, den ich kenne, hat genau das mehrere Wochen lang niemand bemerkt, bis der Server mitten in einem laufenden Tiefbau-Projekt den Dienst quittierte. Entscheidend ist dabei nicht der Kaufpreis der Lösung, sondern was ein Totalausfall an Arbeitsstunden kostet, wenn Aufmaße, Fotos und Lieferscheine unwiederbringlich weg sind – diese Rechnung gehört eigentlich in eine eigene Betrachtung der Gesamtkosten, bleibt aber der eigentliche Grund, warum sich ein sauberes Backup überhaupt lohnt.
Weniger Glück hatte ein Bekannter, mit dem ich sonst eher beim Mountainbiken im Lechtal unterwegs bin: Eine Ransomware verschlüsselte über Nacht sämtliche lokalen Daten auf seinem Bürorechner, übrig blieben leere Ordner und eine Lösegeldforderung in Bitcoin. Seine Projektdaten lagen ausschließlich auf einem einzigen Gerät im Büro – keine Spiegelung, kein zweiter Ort. Ob ein System auch offline in einem Funkloch auf der Baustelle zwischenspeichert und erst bei Netz automatisch synchronisiert, ist noch einmal ein anderes Kapitel, aber es zeigt: Verfügbarkeit und Sicherheit hängen enger zusammen, als man denkt.
Muss man Firmen- und Privatgeräte für mehr Sicherheit trennen?
Die naheliegende Antwort vieler IT-Berater lautet: ja, unbedingt trennen. In der Praxis bremst das aber genau die Reaktionen, die im Ernstfall zählen. Wenn ein Mitarbeiter auf der Baustelle einen Riss im Mauerwerk entdeckt, muss er das sofort festhalten – nicht erst, wenn er das Diensttablet aus dem Baucontainer geholt hat. Wir haben eine Zeit lang versucht, die Koordination über eine WhatsApp-Gruppe zu lösen, weil ohnehin jeder sein privates Handy dabei hatte. Das Ergebnis war ein Dokumentenstatus, auf den sich niemand verlassen konnte: Wer hatte das aktuelle Foto gesehen, wer noch die alte Version? Niemand wusste es genau, und im Zweifel hat jeder noch einmal nachgefragt.
Moderne Software löst das anders: Mitarbeiter nutzen ihr eigenes Smartphone, aber das Foto landet direkt im gesicherten Firmen-Account und nirgendwo sonst – wie man Baustellenfotos aus genau diesem WhatsApp-Chaos herausholt, ist noch einmal ein eigenes Thema für sich. Ob dabei ein Mängelprotokoll oder eine Abnahme-Dokumentation entsteht, spielt für die Sicherheit keine Rolle, solange der Weg vom Gerät zum Server derselbe bleibt. Wichtiger als jede Geräterichtlinie ist ohnehin, ob die Mitarbeiter das System überhaupt annehmen – ein Tool, das umständlich wirkt, wird umgangen, und umgangene Sicherheit ist keine Sicherheit mehr.
Kriterien statt Bauchgefühl: Worauf es bei einem sicheren System ankommt
Ein paar Kriterien lassen sich unabhängig vom Anbieter prüfen. Liegt der Serverstandort in der EU, wie es die Datenschutz-Grundverordnung für personenbezogene Daten Ihrer Mitarbeiter und Kunden verlangt? Werden die Daten verschlüsselt übertragen und gespiegelt, sodass ein einzelnes zerstörtes Gerät – ob durch Diebstahl, Sturz in die Baugrube oder Kaffee auf der Tastatur – keinen Datenverlust bedeutet? Und lässt sich jede Änderung an einem Dokument nachvollziehen, statt sie einfach zu überschreiben? Wenn eine dieser drei Fragen mit Nein beantwortet wird, ist das für mich ein Ausschlusskriterium, kein Kompromiss.
Bei SiteVisor ist mir genau das aufgefallen, noch bevor der Schritt von SiteVisor zu Bauprogramm wechseln überhaupt feststand: Eine nachvollziehbare Versionshistorie für einzelne Bautagebuch-Einträge ließ sich dort nicht ohne Weiteres einsehen, man musste jedes Mal den Support fragen, statt es selbst nachzuvollziehen. Das mag für die Schnittstelle zum LV oder die Bauzeitenplanung nebensächlich klingen, wird aber entscheidend, sobald ein Nachtrag oder eine Kostenkontrolle im Streitfall belegt werden muss. Auch der Umstieg von den alten Excel-Listen war bei uns kein Vergnügen, aber im Vergleich zu einem Rechtsstreit ohne belastbare Belege ist das die kleinere Baustelle.
Datensicherheit ist eine Entscheidung, kein Zufall
Datensicherheit ist keine Frage der Technikbegeisterung, sondern eine bewusste Entscheidung gegen den Zufall. Sie entscheiden, ob ein Wasserschaden im Keller über einen Gewährleistungsfall entscheidet oder einfach nur ärgerlich ist, weil der alte Ordner ohnehin nur noch Staub ansetzt. Wenn Sie unsicher sind, wo Ihre Dokumente aktuell tatsächlich liegen, lohnt sich ein Blick darauf, wie ich sichere Projektdaten auf der Baustelle organisiere – nicht als Blaupause, sondern als Ausgangspunkt für die eigene Prüfung.
Die einfachste Prüfung können Sie noch heute machen: Fragen Sie sich, was in den nächsten vier Jahren mit einem Gewährleistungsfall passiert, wenn Ihr Büro-PC morgen ausfällt. Wenn die ehrliche Antwort „ich weiß es nicht genau" lautet, ist das kein IT-Problem, sondern ein unternehmerisches Risiko, das sich mit überschaubarem Aufwand beheben lässt. Genau darum geht es bei Datensicherheit im Bauunternehmen – nicht um ein modernes Image, sondern um die vier und die zehn Jahre, auf die es im Streitfall tatsächlich ankommt.