Ein Operating Model für Data Governance im Telekommunikationsbereich steuern

# Ein Operating Model für Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen → im Telekommunikationsbereich steuern

Um 2:47 Uhr erhält ein Fraud-Analyst bei einem Tier-1-Operator eine automatische Warnmeldung: Es liegt eine Anfrage von Strafverfolgungsbehörden nach Echtzeit-Standortdaten eines Teilnehmers vor, doch die Anfrage enthält kein Aktenzeichen. Das Netzteam kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte die Daten technisch in weniger als einer Minute ziehen. Legal sagt, die Anfrage erfülle die Standards für Speicherung und Offenlegung nicht. IT betreibt die PipelinePipelineAll active sales opportunities across the stages of the sales process, together with their combined potential value and probability of closing.Vollständige Definition ansehen →, über die der Query ausgeführt würde. Niemand im Raum kann mit Sicherheit sagen, wer die Befugnis hat, Nein zu sagen. Genau diese Lücke, nicht die Technologie, soll ein Operating Model für Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen → schließen.

Warum Telekommunikation ein Sonderfall für Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen → ist

Telekommunikationsanbieter verfügen über einige der sensibelsten personenbezogenen Daten überhaupt: Call Detail Records (CDRs, also die Protokolle darüber, wer wen wann und wie lange angerufen hat), Echtzeit- und historische Standortdaten aus der Triangulation von Funkzellen und zunehmend Verhaltensdaten aus Apps und IoT-Geräten (Internet of Things), die über ihre Netze laufen.

Diese Daten sind gleichzeitig für drei sehr unterschiedliche Gruppen wertvoll:

• Network Operations, die sie für Kapazitätsplanung und Fraud Detection benötigen.
• Marketing und Analytics, die sie für Churn Prediction und gezielte Angebote nutzen wollen.
• Strafverfolgung und Regulatoren, die im Rahmen von Lawful-Intercept-Regimen Zugriff erzwingen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen.

Jede Gruppe hat einen legitimen Anspruch. Jede erzeugt auch ein eigenes Missbrauchsrisiko. Governance ist die Struktur, die vorab entscheidet, wer Ja sagen darf.

Das regulatorische Rückgrat: was Telekommunikationsdaten regelt

Drei regulatorische Regime sind für die Planung 2026 am wichtigsten:

Die DSGVO (Datenschutz-Grundverordnung), durchgesetzt von den nationalen Datenschutzbehörden (Data Protection Authorities, DPAs) in der EU, behandelt Standortdaten als personenbezogene Daten, deren Verarbeitung eine Rechtsgrundlage erfordert (Einwilligung, Vertrag oder berechtigtes Interesse). Die ePrivacy-Richtlinie, gelegentlich „Cookie-Gesetz“ genannt, deckt speziell Verkehrs- und Standortdaten aus elektronischer Kommunikation ab und verlangt in der Regel Einwilligung oder Anonymisierung, bevor sie für etwas anderes als die Abrechnung genutzt werden.

In den USA setzt die Federal Communications Commission (FCC) Section 222 des Communications Act durch, die Standort- und Anrufdaten als Customer Proprietary Network Information (CPNI) einordnet und deren Nutzung und Weitergabe einschränkt. Die FCC hat in den vergangenen Jahren erhebliche Bußgelder gegen Carrier verhängt, die Standortdaten ohne Einwilligung an Drittanbieter-Aggregatoren verkauft haben; die CPNI-Enforcement-Seite der FCC ist eine nützliche Primärquelle, um diese Verfahren zu verfolgen.

CALEA (Communications Assistance for Law Enforcement Act) in den USA und entsprechende Lawful-Intercept-Rahmenwerke in der EU (national umgesetzt) verpflichten Anbieter rechtlich, Abhörfähigkeiten für autorisierte Anfragen von Strafverfolgungsbehörden aufzubauen. Daraus entsteht eine dauerhafte Spannung: dieselbe Infrastruktur, die Compliance ermöglicht, ist bei schwachen Zugriffskontrollen ein Missbrauchsrisiko.

Das Governance Council aufbauen

Ein glaubwürdiges Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen → Council im Telekommunikationsbereich ist kein Compliance-Häkchen. Es ist ein ständiges Gremium mit echtem Vetorecht, typischerweise um drei Sitze herum aufgebaut:

Network/Engineering. Verantwortet die Daten am Entstehungspunkt (Funkzellen, Core-Network-Elemente). Diese Seite versteht die technische Machbarkeit: was tatsächlich geloggt, anonymisiert oder gelöscht werden kann.

IT/Datenplattform. Verantwortet Pipelines, Warehouses und Zugriffsschichten. Sie ist dafür verantwortlich, wer *technisch* was abfragen kann, und für das Logging jedes Zugriffs.

Legal/Privacy (oft unter einem Data Protection Officer, DPO, einer Rolle, die die DSGVO für Organisationen mit großen Volumina sensibler Daten vorschreibt). Verantwortet die Auslegung der Rechtsgrundlage und der jurisdiktionsspezifischen Anforderungen und hat die Befugnis, einen Data-Use-Case zu blockieren, selbst wenn ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → technisch fertig ist.

Ein vierter Sitz, der häufig zu gering gewichtet wird, ist Business/Commercial (Marketing, Produkt), denn von dort kommen die Vorschläge für neue Nutzungen wie standortbasierte Werbung oder Monetarisierungsdeals mit Dritten. Sie sollten mit am Tisch sitzen, aber ohne Vetorecht, gerade weil sie den stärksten Anreiz haben, Grenzen zu verschieben.

Eine RACI aufbauen, die einen Vorfall übersteht

Eine RACI-Matrix (Responsible, Accountable, Consulted, Informed) ist nur dann nützlich, wenn sie unter Druck hält, also während eines echten Breachs oder einer Anfrage des Regulators, nicht nur im Foliensatz.

Für einen Use Case wie „Standortdaten werden mit einem externen Analytics-Anbieter für Retail-Footfall-Insights geteilt“:

| Aktivität | Network | IT/Daten | Legal/DPO | Business |

|---|---|---|---|---|

| Rechtsgrundlage definieren | Consulted | Consulted | Accountable | Responsible (formuliert Use Case) |

| Design von Anonymisierung/Aggregation | Responsible | Responsible | Consulted | Informed |

| Zugriffsvergabe an den Anbieter | Consulted | Accountable | Consulted | Informed |

| Laufendes Audit der Anbieternutzung | Informed | Responsible | Accountable | Informed |

| Breach Response bei Missbrauch durch den Anbieter | Consulted | Responsible | Accountable | Informed |

Die entscheidende Designentscheidung: Legal/DPO ist Accountable für die Rechtsgrundlage und für die Breach Response, nicht IT. Das ist wichtig, denn wenn Regulatoren untersuchen (wie europäische DPAs es bei mehreren Anbietern wegen Verstößen gegen die ePrivacy-Richtlinie getan haben), fragen sie „Wer hat diesen Use Case genehmigt?“, nicht „Wer hat den Query geschrieben?“. Liegt die Accountability bei IT, hat der Anbieter praktisch keine verteidigungsfähige Governance-Story.

Praktische Checks und Audits

Governance Councils scheitern, wenn sie nur auf dem Papier existieren. Die Checks, die sie real machen:

1. Rezertifizierung von Zugriffen, quartalsweise. Jede Person und jedes System mit Query-Zugriff auf CDR- oder Standorttabellen wird überprüft. Ruhende Zugriffe (ein Mitarbeiter, der vor sechs Monaten die Rolle gewechselt hat) sind der häufigste Einzelfund in Telekommunikations-Datenaudits.

2. Audits zur Zweckbindung. Ziehen Sie monatlich eine Stichprobe von Queries gegen Teilnehmerdaten und prüfen Sie sie gegen den dokumentierten Geschäftszweck. Das testet unmittelbar das Prinzip der Zweckbindung der DSGVO.

3. Retention-Sweeps. CDRs und Standort-Logs sollten definierte Aufbewahrungsfristen haben (gängige Branchenpraxis hält detaillierte CDRs für die Fenster von Abrechnungsstreitigkeiten, oft rund 12 bis 24 Monate, wobei die exakten Fristen anbieter- und jurisdiktionsspezifisch sind und gegen die veröffentlichte Retention Policy jedes Anbieters geprüft werden sollten). Automatisierte Jobs sollten bestätigen, dass die Löschung tatsächlich erfolgt, und nicht nur, dass eine Policy existiert.

4. Vertragsprüfungen bei Datenweitergabe an Dritte. Jeder Anbieter, der auch nur aggregierte Standortdaten erhält, sollte jährlich gegen seine Auftragsverarbeitungsvereinbarung neu geprüft werden (DPA in DSGVO-Terminologie, ein Vertrag, der regelt, wie ein Auftragsverarbeiter Daten im Auftrag eines Verantwortlichen behandelt).

5. Logging von Lawful-Intercept-Anfragen. Jede Anfrage von Strafverfolgungsbehörden, ob genehmigt oder abgelehnt, wird mit Zeitstempel, Requester-ID und zitierter Rechtsgrundlage protokolliert. Dieses Log selbst wird zum Beweismittel in kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ünftigen Streitigkeiten oder regulatorischen Prüfungen.

Ein einfaches Audit-Query-Muster, das IT-Teams häufig nutzen, um Verstöße gegen die Zweckbindung zu markieren, sieht so aus:

SELECT query_id, user_id, table_accessed, stated_purpose, query_timestamp
FROM data_access_log
WHERE table_accessed IN ('cdr_records', 'location_pings')
  AND stated_purpose NOT IN (
    SELECT approved_purpose FROM governance_use_case_registry
  );

Jede zurückgegebene Zeile ist eine Governance-Ausnahme, die eine Eskalation an das Council erfordert, und kein stiller Fix durch die IT.

Wenn das Modell getestet wird: das Incident-Szenario

Zurück zur Anfrage um 2:47 Uhr. Ein funktionierendes Governance-Modell bedeutet, dass der Analyst einen dokumentierten Eskalationspfad hat: Anfragen ohne Aktenzeichen werden standardmäßig abgelehnt, unklare Fälle gehen an einen Legal/DPO-Kontakt in Rufbereitschaft, und die Entscheidung wird unabhängig vom Ergebnis protokolliert. Ohne das lautet das Standardverhalten unter Zeitdruck meist: erst liefern, später fragen. Genau dieses Muster hat in den letzten Jahren sowohl in den USA als auch in der EU zu regulatorischen Bußgeldern geführt.

Für eine tiefere Primärquelle dazu, wie europäische Regulatoren telekommunikationsspezifische Datenschutzpflichten sehen: Die Leitlinien des Europäischen Datenschutzausschusses (EDPB) veröffentlichen periodisch aktualisierte Sektor-Guidance.

Wichtigste Erkenntnisse

• Governance Councils im Telekommunikationsbereich brauchen drei Sitze mit echter Befugnis: Network, IT/Datenplattform und Legal/DPO, wobei Legal die Accountability für Rechtsgrundlage und Breach Response hält, nicht nur die technischen Teams.
• Standortdaten und CDRs werden in Europa konkret durch die DSGVO und die ePrivacy-Richtlinie geregelt, in den USA durch Section 222 (CPNI), durchgesetzt von der FCC, sowie durch Lawful-Intercept-Pflichten unter CALEA-äquivalenten Regimen.
• Eine RACI-Matrix ist nur glaubwürdig, wenn sie die Accountability der Rolle zuweist, die ein Regulator tatsächlich zur Verantwortung ziehen kann. Testen Sie sie gegen einen hypothetischen Breach, nicht nur gegen den Routinebetrieb.
• Führen Sie wiederkehrende, automatisierbare Checks durch: quartalsweise Rezertifizierung von Zugriffen, Query-Audits zur Zweckbindung, Retention-Sweeps und DPA-Prüfungen bei Dritten. Protokollieren Sie jede Lawful-Intercept-Anfrage und deren Ausgang.
• Designen Sie für den Grenzfall um 2 Uhr morgens, nicht für den Normalbetrieb. Governance-Modelle, die nur bei ruhigen, geplanten Reviews funktionieren, versagen genau dann, wenn Regulatoren am genauesten hinsehen: während eines Vorfalls.