Der klassische Albtraum eines KMU-Inhabers: nach acht Jahren reicht dein bester Vertriebler die Kündigung ein, sagt „ich gehe zur Konkurrenz, weil die Bedingungen etwas besser sind" — und in den nächsten sechs Monaten wandern zufällig genau deine Kunden in dieselbe Richtung. Ein Wettbewerbsverbot steht im Vertrag, aber geschrieben von einem Anwalt aus dem Jahr 2016. Die Datenbank ist „irgendwie" gesichert. Und du weißt, dass etwas abgeflossen ist.
Das ist kein Text darüber, wie man Enterprise DLP für eine halbe Million aufbaut. Es geht darum, was ein 15-Personen-Unternehmen an einem Freitagnachmittag tun kann, damit dieses Risiko nicht mehr eine offene Wunde ist. Nichts davon gibt dir 100% Schutz. Alles zusammen macht einen riesigen Unterschied.
Fangen wir mit dem Wichtigsten an: einen entschlossenen Menschen, der deine Kunden beim Vornamen kennt, hältst du nicht auf. Ein Vertriebler, der fünf Jahre mit ihnen Kaffee getrunken hat, muss keine Excel-Datei mitnehmen — er hat das alles im Kopf. Der gesamte Rest dieses Textes handelt davon, dass er nicht zusätzlich mit der vollständigen Dokumentation deines Geschäfts als CSV verschwindet.
Ein Vertrag mit echten Zähnen
Überraschend viele Firmen haben mit Vertrieblern Verträge, in denen „Wettbewerbsverbot" drei Sätze ohne Konsequenzen sind. Irgendwer hat mal eine Vorlage aus dem Internet kopiert, für 300 zł beim Anwalt abnicken lassen und vergessen. Das ist Papier ohne Zähne.
Was in der polnischen Realität tatsächlich funktioniert:
- Ein nachvertragliches Wettbewerbsverbot mit konkreter Karenzentschädigung (das polnische Arbeitsgesetzbuch verlangt eine Vergütung — ohne diese ist die Klausel schlicht ungültig). Ein realistischer Zeitraum sind 6–12 Monate, längeres unterschreibt niemand.
- Eine Kundenschutzklausel (Non-Solicitation) — getrennt vom Wettbewerbsverbot, die konkret das Kontaktieren von Kunden aus deiner Liste betrifft.
- Die „Kundendatenbank" als Geschäftsgeheimnis definiert im Sinne des polnischen Gesetzes zur Bekämpfung des unlauteren Wettbewerbs. Ohne diese Definition ist es schwer, vor Gericht etwas durchzusetzen — denn formal „kennt jeder Vertriebler seine Kunden".
- Vertragsstrafen konkret in Zahlen. Ein Gericht kann sie immer noch mindern, aber ein geschriebener Betrag von 30–100 Tausend zł wirkt psychologisch völlig anders als „wir werden zivilrechtlich vorgehen".
Sieh dir die Verträge an, die du gerade unterschrieben hast. Wenn seit der letzten Durchsicht mehr als 5 Jahre vergangen sind und die Klausel ein Absatz ist — dann ist es kein Vertrag, sondern Dekoration.
Das technische Minimum, das du in einer Woche einführen kannst
Ohne Enterprise DLP, ohne Investition in ein SIEM, kann eine 15-Personen-Firma in einer Woche 80% der typischen Abflusswege schließen. Auf Basis eines typischen Stacks (Comarch Optima oder enova365, Microsoft 365, irgendein CRM):
- Beschränke Excel-Exporte aus ERP/CRM. In Comarch Optima kann normalerweise jeder Bediener ganze Kartotheken exportieren. Setz die Berechtigungen so, dass der Export der vollständigen Kontrahentenliste ein eigenes Recht braucht — nicht standardmäßig für jeden Vertriebler an ist. Ein Vertriebler soll seinen Bereich sehen, nicht das ganze Buch.
- Begrenze Massen-Downloads aus dem CRM. Die meisten CRMs (HubSpot, Pipedrive, auch das CRM-Modul in Optima) haben API-Limits und Export-Logs. Aktiviere sie. Das stoppt keinen einzelnen Export, aber die nächsten 40 Downloads pro Woche hinterlassen eine Spur.
- Deaktiviere die automatische Synchronisierung von Outlook-/Teams-Kontakten mit Privathandys. Man vergisst das leicht. Kontakte aus dem Firmenpostfach landen in einer privaten iCloud und niemand weiß wann.
- Blockiere automatische E-Mail-Weiterleitungen außerhalb deiner Domäne. In Microsoft 365 ist das eine Exchange-Option, eine Transportregel, fünf Minuten. Das Ergebnis: niemand kann „leite alles von kunde@ an meinprivat@gmail" einrichten.
- Definiere, welche SharePoint-/OneDrive-Ordner „kritisch" sind und aktiviere darauf Warnungen bei Massen-Downloads (Microsoft 365 kann das in E3/Business Premium). „Massen" heißt z.B. mehr als 100 Dateien pro Stunde.
Bei einem unserer Kunden — ein 18-Personen-Verpackungshersteller, Comarch Optima plus ein eigenes CRM — hat der wichtigste Vertriebler in den drei Wochen vor seinem Weggang 4.200 Kontakte aus Optima exportiert, in Chargen von jeweils ~150 Datensätzen, damit es nicht auffällt. Niemand hat es bemerkt. Erst vier Monate später, als der neue Arbeitgeber genau dieselben Leute zu Terminen einlud, hat der Kunde uns gebeten, die Logs durchzusehen. Alles war da. Zusammen mit dem Kunden haben wir den Umsatzausfall in den folgenden sechs Monaten auf rund 340.000 zł geschätzt. Wären Export-Warnungen von Anfang an aktiv gewesen — sie hätten es vermutlich in Woche 2 gewusst, nicht in Monat 4.
Warnzeichen, auf die zu achten sich lohnt
Es geht nicht um Überwachung. Es geht um eine Handvoll Muster, die in der Praxis fast immer einem Abgang mit der Datenbank vorausgehen:
- Ein plötzlicher Anstieg der Exporte aus CRM/ERP — insbesondere „Liste aller Kunden", „alle Angebote der letzten 12 Monate", „Preisliste".
- Ein privater USB-Stick oder eine externe Festplatte, die angeschlossen wird (Endpoint Protection loggt das).
- Kopieren von SharePoint-Ordnern auf den lokalen Rechner in Mengen, die nicht zum bisherigen Nutzungsverhalten passen.
- E-Mails, die man sich selbst mit Anhängen an ein privates Postfach schickt (SPF/DMARC und Exchange-Logs sehen das).
- Ein plötzlicher Rückgang der Verkaufsaktivität (keine neuen Angebote, keine Termine) bei „normaler" Anwesenheit im Büro — der klassische Fall „innerlich bereits gegangen".
Keins dieser Signale bedeutet für sich allein etwas. Aber wenn drei davon bei derselben Person zeitlich zusammenfallen — dann ist es ein Signal, mit einem Anwalt zu reden, nicht im Großraumbüro in Panik auszubrechen.
Der letzte Tag — ein langweiliges, hartes Verfahren
Der letzte Arbeitstag darf nicht improvisiert sein. Ein Standardverfahren, das man schriftlich haben sollte:
- Zugänge in derselben Stunde entziehen, in der die Erklärung unterschrieben wird. Nicht „am Montag, wenn er den Schlüssel zurückbringt". M365-Konto, VPN, ERP, CRM, SharePoint — alles in einem 30-minütigen Fenster.
- Rückgabe von Laptop und Telefon vor dem Verlassen des Büros, nicht „schicken wir per Kurier". Prüfen, ob das Gerät nicht auf Werkseinstellungen zurückgesetzt wurde.
- Postfach archivieren und für 90 Tage an eine andere Person weiterleiten (fängt offene Themen ein und zeigt, wer sich meldet).
- Ein Export der Aktivitäts-Logs der letzten 3 Monate — gespeichert, für den Fall, dass ein Anwalt sie in zwei Monaten braucht.
- Eine kurze E-Mail der Geschäftsführung an die Kunden dieser Person: „X arbeitet nicht mehr bei uns; deine neue Ansprechperson ist Y". Ein Satz, aber er beendet Diskussionen wie „aber X hat mir gesagt…".
Das klingt unpersönlich. Es soll es sein. Das Verfahren schützt beide Seiten — auch den Mitarbeiter, weil keine Streitereien darüber entstehen, „was er mitgenommen hat".
Was tun, wenn es schon passiert ist
Nehmen wir an, es ist zu spät. Er ist weg, Kunden „erinnern" sich seltsamerweise an einen anderen Lieferanten. Was du wirklich tun kannst:
- Sichere die Beweise. ERP-, CRM-, Exchange- und Endpoint-Logs — sofort exportieren und getrennt ablegen. Die Standard-Aufbewahrung sind 30–90 Tage; wenn du das verpasst, kannst du nichts mehr beweisen.
- Nimm einen Anwalt, der das schon gemacht hat. Nicht denselben, der Mietverträge schreibt. Konkret: Fälle nach dem polnischen Gesetz gegen unlauteren Wettbewerb (Art. 11 und 12). Bitte um ein Abmahnschreiben an den ehemaligen Mitarbeiter und den neuen Arbeitgeber — dieses Schreiben allein erledigt oft 60% der Fälle.
- Kontaktiere die Kunden nicht mit Vorwürfen. Das ist die schlechteste Idee. Ein Kunde geht nicht, weil er dich nicht mag — er geht, weil er eine Beziehung zu einer bestimmten Person hat. Die Beziehung zu reparieren ist ein separates Thema, aber es beginnt damit, professionell zu bleiben, nicht anspruchsvoll.
- Zieh eine Lektion daraus. Feuere nicht die IT, weil sie „es nicht blockiert" hat. Feuere das Verfahren, das es nicht gab. Nimm die passenden Klauseln ins Onboarding jedes neuen Vertrieblers auf, räum die Berechtigungen auf, aktiviere Warnungen. In einem Jahr stehst du anders da.
Nichts davon holt den verlorenen Umsatz zurück. Aber zusammen verwandelt es „man hat uns bestohlen" in „wir haben eine Regel und setzen sie durch". Das sind zwei völlig verschiedene Positionen — vor Gericht, und vor dem nächsten Vertriebler, der zum Gespräch kommt.
Wenn du eine schnelle Durchsicht deiner aktuellen Kontrollen willst — vereinbare ein kostenloses 30-Minuten-Gespräch. Wir gehen deine tatsächliche Konfiguration mit dir durch, zeigen die größten Lücken und was diese Woche geschlossen werden kann.
Einen Menschen, der deine Kunden beim Vornamen kennt, hältst du nicht auf. Aber du kannst dafür sorgen, dass er nicht zusätzlich mit der vollständigen Dokumentation deines Geschäfts in Excel aus der Tür geht.