Sprachassistenten wie Amazon Alexa oder Google Assistant bzw. dessen Nachfolger Gemini sind längst nicht mehr nur im privaten Alltag präsent. Auch im beruflichen Kontext – insbesondere im Home-Office – ist die Versuchung groß, per Sprachbefehl schnell einen Termin einzutragen, Informationen abzurufen oder eine Nachricht zu diktieren. Gerade in betrieblichen Umgebungen und im Home-Office bergen die Geräte jedoch unterschätzte Risiken für Informationssicherheit und Datenschutz.
Durch Änderungen der Anbieter Google und Amazon sind zudem neue sicherheits- und datenschutzrelevante Fragen entstanden, die Unternehmen berücksichtigen sollten. Dieser Beitrag zeigt, was sich geändert hat, welche Risiken bestehen und wie Unternehmen und Mitarbeitende sicher und verantwortungsvoll mit Sprachassistenten umgehen.
Was hat sich bei Google und Amazon geändert?
Neue Funktionen trotz deaktivierter Aktivitätenprotokollierung
Seit Sommer 2025 kann Googles Assistent Gemini auf bestimmte App-Funktionen zugreifen – auch dann, wenn die Protokollierung der App-Aktivitäten deaktiviert ist.
Zwischenspeicherung von Sprachaufnahmen
Google speichert Unterhaltungen mit dem Assistenten bis zu 72 Stunden – unabhängig von den individuellen Aktivitätseinstellungen.
Wegfall einer Datenschutzoption bei Amazon Echo
Amazon hat Ende März 2025 die Option entfernt, Sprachaufnahmen bei Echo-Geräten ausschließlich lokal verarbeiten zu lassen. Laut Medienberichten werden Sprachbefehle seitdem in der Cloud verarbeitet – auch bei Nutzerinnen und Nutzern, die diese Übermittlung bisher bewusst deaktiviert hatten.
Fehlaktivierungen bleiben möglich
Auch im Standby-Modus können Sprachassistenten durch ähnlich klingende Geräusche oder Wörter versehentlich aktiviert werden und dann Gesprächsinhalte aufzeichnen.
Profilbildung durch Sprachdaten
Untersuchungen weisen darauf hin, dass Anbieter Ton- und Sprachaufnahmen auch zur Bildung von Nutzerprofilen (z. B. Interessen und Vorlieben) heranziehen – selbst wenn die Sprachbefehle selbst keine expliziten Angaben dazu enthalten.
Diese Entwicklungen erhöhen die Gefahr, dass vertrauliche Unternehmensinformationen oder personenbezogene Daten unbeabsichtigt verarbeitet oder übermittelt werden.
Datenschutzrisiken beim Einsatz von Sprachassistenten
- Die Verarbeitung der Sprachdaten erfolgt meist in Systemen von Anbietern mit Sitz in den USA oder anderen Drittländern. Im betrieblichen Kontext erfordert das besondere vertragliche Regelungen, etwa für den internationalen Datentransfer.
- Werden personenbezogene Daten verarbeitet, bestehen nach der DSGVO umfassende Informationspflichten gegenüber den betroffenen Personen. Das gilt aus betrieblicher Sicht auch für Sprachassistenten im Home-Office – und erstreckt sich auf Teilnehmende von Telefon- oder Videokonferenzen, die von einem Sprachassistenten „mitgehört“ werden.
Diese Anforderungen in der Praxis zu erfüllen, ist für Unternehmen eine erhebliche Herausforderung. Unterstützung bei der Umsetzung bietet unsere Datenschutzberatung gemäß DSGVO.
Home-Office: eine besondere Risikolage
Im Home-Office ist die Grenze zwischen privater und beruflicher Nutzung oft fließend (siehe auch unseren Beitrag Homeoffice als Sicherheitsrisiko). Sprachassistenten im Wohn- oder Arbeitszimmer können:
- Gespräche aus Besprechungen unbeabsichtigt „mithören“,
- mehreren Personen im Haushalt Zugriff auf geschäftsrelevante Daten ermöglichen,
- Datenverkehr über private Netze ohne Schutzmaßnahmen des Unternehmens abwickeln,
- unternehmensrelevante Gesprächsinhalte in Cloud-Speicher übertragen, die das Unternehmen nicht kontrollieren kann.
Typische Risiken und Empfehlungen im Überblick
| Risiko | Beschreibung / Beispiel | Empfehlung |
|---|---|---|
| „Mithören“ sensibler Inhalte | Während eines Teams-Meetings wird der Assistent versehentlich aktiviert und zeichnet Gesprächsinhalte auf. | Mikrofon stummschalten bzw. Sprachassistenten während Besprechungen und Telefonaten deaktivieren oder ausschalten. |
| Gemeinsam genutzte Geräte | Bei mehreren Nutzenden kann der Assistent Zugang zu beruflichen Daten ermöglichen. | Separate Geräte oder Nutzerprofile verwenden bzw. Einschränkungen (z. B. Gastmodus) einstellen. |
| Gerät im Raum ohne bewusste Nutzung | Ein Sprachassistent in unmittelbarer Nähe kann auch Gespräche in angrenzenden Bereichen erfassen. | Platzierung bewusst wählen, Gerät ausschalten oder den Hardware-Schalter des Mikrofons nutzen. |
| Unsichere Geräte und fehlende Updates | Vernachlässigte Updates oder veraltete Firmware eröffnen Angriffsvektoren. | Nur vertrauenswürdige Geräte zulassen und regelmäßige Updates sicherstellen. |
Leitlinien und Maßnahmen für Unternehmen
Um Informationswerte, personenbezogene Daten und Geschäftsdaten zu schützen, braucht es klare Regelungen. Bewährt haben sich die folgenden fünf Handlungsfelder.
1. Unternehmensrichtlinie für Sprachassistenten
- Festlegen, ob und in welchem Umfang Sprachassistenten im Büro und im Home-Office eingesetzt werden dürfen.
- Anforderungen an Geräte definieren (z. B. Verschlüsselung, Firmware-Updates).
- Vorgaben zur Deaktivierung in sensiblen Situationen treffen.
2. Einstellungen und Einschränkungen
- Aktivitätseinstellungen prüfen: Mitarbeitende setzen die Einstellungen zur Speicherung von App-, Sprach- und Audioaktivitäten bewusst (Opt-in statt Standard).
- Gastmodus oder vergleichbare Modi nutzen, damit Gespräche nicht automatisch dem Benutzerprofil zugeordnet werden.
- Aktivierungsempfindlichkeit anpassen: In den Geräteeinstellungen lässt sich meist die Empfindlichkeit für das Aktivierungswort (z. B. „Hey Google“) reduzieren, um Fehlaktivierungen zu vermeiden.
- Keine geschäftliche Kommunikation per Sprachassistent: Das Diktieren von E-Mails, Kalendereinträgen oder Dokumenten per Sprachbefehl ist nicht zulässig.
- Deaktivierung während der Arbeitszeit: In Telefon- und Videokonferenzen sind Sprachassistenten im Arbeitsbereich ausgeschaltet oder stummgeschaltet – ebenso bei vertraulichen Gesprächen.
- Private Sprachassistenten befinden sich nicht in Hörweite des Arbeitsplatzes oder sind idealerweise vom Strom getrennt.
3. Technische Maßnahmen und Sicherheitskontrollen
- Entkopplung: Unternehmensgeräte bleiben von Sprachassistenten getrennt.
- Netzwerksegmentierung: Sprachassistenten laufen – sofern zugelassen – in einem separaten, eingeschränkten Netzsegment, nicht im produktiven Netz.
- Private Geräte im Home-Office werden nicht mit dem Unternehmensnetzwerk verbunden.
- Zugriffsrechte begrenzen: Der Assistent erhält keine oder möglichst wenige Rechte auf Daten und Anwendungen.
- Hardware-Kontrolle: Geräte mit physischem Mikrofonschalter werden bevorzugt.
- Dienstliche Endgeräte: Sprachassistenten sind standardmäßig deaktiviert; Ausnahmen genehmigt ausschließlich das Unternehmen.
- Logging und Monitoring: Überwachen, ob und wann Sprachassistenten Befehle ausführen oder Datenverbindungen aufbauen.
- Kontrollierte Pilotnutzung: Neue Einsatzszenarien zunächst in einem begrenzten Rahmen testen.
- Sicherheitsprüfungen: Werden Sprachassistenten in Systeme eingebunden, sollten Sicherheitsaudits bzw. ein Penetrationstest erfolgen.
- Wirksamkeitskontrolle: Stichprobenartig prüfen, ob die Vorgaben umgesetzt werden.
4. Sensibilisierung und Schulung
- Mitarbeitende über Risiken und Schutzmaßnahmen informieren.
- Checklisten und Anleitungen zur sicheren Konfiguration und Deaktivierung bereitstellen.
- Bewusstsein schaffen: Wann ist es angemessen, das Gerät zu aktivieren – und wann muss es aus sein?
- Verantwortung klar regeln: Mitarbeitende sind für die sichere Konfiguration im Home-Office mitverantwortlich.
Passende Formate für Ihre Belegschaft finden Sie unter Bewusstsein – Unterweisung – Schulung.
5. Datenschutz und Compliance
- Rechtsgrundlage für die Verarbeitung personenbezogener Daten ermitteln.
- Eine Datenschutz-Folgenabschätzung (DSFA) durchführen, falls Sprachassistenten personenbezogene Daten mit voraussichtlich hohem Risiko verarbeiten.
- Verträge mit den Anbietern prüfen – z. B. Auftragsverarbeitung, Zugriffe externer Dritter und internationaler Datentransfer.
- Mitarbeitende und externe Betroffene transparent informieren: Welche Daten werden erhoben, wie lange gespeichert und wer kann darauf zugreifen?
- Änderungen bei Google, Amazon und anderen Anbietern laufend beobachten.
Take-away: Handlungsempfehlungen für Mitarbeitende
- Sprachassistenten während Meetings und vertraulicher Gespräche ausschalten oder stummschalten.
- Einstellungen regelmäßig prüfen – etwa, ob Audioaufnahmen gespeichert werden.
- Gastmodus oder Einschränkungen nutzen, wenn der Assistent im Home-Office in Betrieb ist.
- Geräte so platzieren, dass Gespräche in sensiblen Bereichen nicht versehentlich aufgenommen werden.
- Geräte und Firmware stets aktuell halten und nur geprüfte Geräte verwenden.
Fazit
Sprachassistenten sind im privaten Alltag nützlich – im beruflichen Kontext bergen sie jedoch erhebliche Risiken für Informationssicherheit und Datenschutz. Deshalb gilt:
- Unternehmen schaffen klare Regelungen und Vorgaben.
- Sprachassistenten werden nicht für Geschäftsprozesse genutzt.
- Im Home-Office werden sie abgeschaltet – insbesondere während Besprechungen.
- Im Zweifel halten Mitarbeitende Rücksprache mit der IT-Sicherheit oder dem Datenschutz.
Nur ein bewusster und verantwortungsvoller Umgang mit Sprachassistenten schützt sensible Daten und stellt sicher, dass gesetzliche, vertragliche und regulatorische Verpflichtungen eingehalten werden.
Unterstützung durch mabs-compliance
Sie möchten eine Richtlinie für Sprachassistenten und smarte Geräte erstellen, Ihre Home-Office-Regelungen überprüfen oder Mitarbeitende gezielt sensibilisieren? Wir unterstützen Sie – von der Risikobewertung über die Richtlinie bis zur Schulung, auf Wunsch auch im Rahmen unseres Angebots ISB als Service. Sprechen Sie uns an.