Das Steuer und die Lupe – Band 5b

Eine Anmerkung an den Leser vor dem Einstieg in den Band.

Der vorangegangene Band handelte davon, ein System zu bauen. Dieser handelt davon, es prüfen zu lassen — und zwar von zwei Menschen, die aus verschiedenen Richtungen kommen und dieselbe Frage stellen. Der erste arbeitet im Haus oder für die Gesellschaft, die es besitzt; er kennt die Abkürzungen, die Gewohnheiten und die Gründe, und er sieht deshalb manches nicht mehr. Der zweite betritt das Haus zum ersten Mal, hat drei Tage Zeit und muss in diesen drei Tagen verstehen, was andere in Jahren gewohnt geworden sind.

Beide prüfen dasselbe. Sie prüfen nicht, ob ein Hotel sicher ist — das kann niemand feststellen, und wer es behauptet, verkauft etwas. Sie prüfen, ob zwischen dem, was ein Haus tut, und dem, was es aufgeschrieben hat, noch eine Verbindung besteht. Das klingt bescheiden und ist die einzige Frage, die sich überhaupt beantworten lässt.

Die Schriftenreihe «Das Steuer und die Lupe» behandelt die großen Normen des Managements, jede aus zwei Blickwinkeln. Das Steuer ist die Sicht der Eigentümerschaft und der Leitung: Was wollen wir, was tragen wir, was entscheiden wir. Die Lupe ist die Sicht dessen, der nachsieht. Dieser Band ist die Lupe für die Norm über die Sicherheit der Information, und er ist zugleich der zweite und letzte Band des Paares.

Eine Norm, die nachgewiesen werden muss

Es gibt Anforderungen, die man erfüllen kann, ohne es zu zeigen. Die Sicherheit der Information gehört nicht dazu. Wer sie behauptet, wird danach gefragt — von einem Firmenkunden mit einem Fragebogen, von einer Bank vor einem Kredit, von einem Versicherer vor einer Police, von einer Aufsichtsbehörde nach einem Vorfall und, wenn ein Haus sich dafür entscheidet, von einer Zertifizierungsstelle in einem geregelten Verfahren.

Aus dieser Lage folgt der Gegenstand dieses Bandes. Er handelt vom Nachweis: davon, was ein Nachweis überhaupt ist, wie er entsteht, wer ihn erhebt, was er wert ist und wodurch er verloren geht. Das ist eine handwerkliche Frage, und sie wird in der Literatur dieser Disziplin erstaunlich selten gestellt. Über den Aufbau eines Managementsystems ist viel geschrieben worden. Über den Nachmittag, an dem jemand am Tresen steht und mitschreibt, fast nichts.

Die zweite Hälfte des Gegenstands ist die Prüfung von außen, und sie folgt anderen Regeln als die Prüfung von innen. Eine Zertifizierungsstelle ist nicht frei in dem, was sie tut. Sie arbeitet nach einem eigenen Regelwerk, sie wird selbst überwacht, ihre Auditzeiten sind vorgegeben, ihre Feststellungen haben festgelegte Folgen, und ihre Entscheidung trifft nicht der Auditor, der im Haus war. Ein Hotel, das diese Regeln kennt, geht anders in ein Audit als eines, das sie für Verhandlungssache hält.

Woher die Prüfung kommt

Die Vorstellung, dass ein Dritter bestätigt, was ein Unternehmen über sich behauptet, ist älter als jede Managementnorm. Sie stammt aus dem Warenverkehr: Wer aus der Ferne kauft, kann nicht selbst hinsehen, und irgendwann ist jemand dafür bezahlt worden, es an seiner Stelle zu tun. Aus Warenprüfern wurden Prüflaboratorien, aus Prüflaboratorien Zertifizierungsstellen, und mit ihnen entstand die unvermeidliche nächste Frage: Wer prüft die Prüfer?

Die Antwort, auf die sich die Industriestaaten in Jahrzehnten geeinigt haben, ist keine Behörde, sondern eine Aufsicht in Stufen. Jedes Land unterhält eine einzige nationale Akkreditierungsstelle. Sie begutachtet die Zertifizierungsstellen, sie begleitet deren Auditoren stichprobenweise bei der Arbeit, und sie unterwirft sich ihrerseits der gegenseitigen Begutachtung durch die entsprechenden Stellen anderer Länder. Auf dieser letzten Stufe ruht die Vereinbarung, die bewirkt, dass ein Zertifikat aus Deutschland in Japan gilt und eines aus der Schweiz in Brasilien.

Die Norm dieses Bandes trat spät in dieses Gefüge ein. Sie begann Mitte der neunziger Jahre als britischer Leitfaden, wurde internationale Norm, erhielt in den Jahren darauf ihre heutige Struktur und 2022 eine gründlich überarbeitete Fassung ihres Anhangs. Hotels kamen noch später. Die meisten, die kamen, wurden geschoben: von einem Firmenkunden, von einem Konzernvertrag, von einer Ausschreibung, gelegentlich von einem Vorfall im Nachbarhaus. Sehr wenige kamen, weil sie es wollten.

Das ist keine Kritik. Es erklärt nur, warum dieser Band so viele Abschnitte darauf verwendet, Selbstverständlichkeiten des Verfahrens zu erklären. In Branchen, die seit dreißig Jahren zertifiziert werden, weiß jeder Betriebsleiter, was eine Hauptabweichung ist. In der Hotellerie weiß es oft nicht einmal die Direktion.

Das interne Audit hat eine andere Herkunft, und sie erklärt seine Schwäche. Es stammt nicht aus dem Handel, sondern aus dem Inneren der Organisation: aus der Erfahrung, dass große Betriebe sich selbst nicht mehr kennen und dass es billiger ist, das planmäßig festzustellen als zufällig. Genau deshalb steht es in jeder Managementnorm, und genau deshalb wird es überall zuerst gekürzt, wenn Zeit fehlt. Ein internes Audit hat keinen äußeren Gläubiger. Es fällt niemandem auf, wenn es unterbleibt, außer im dritten Jahr, wenn jemand von außen kommt.

Warum Hotels anders geprüft werden

Ein Managementsystem wird überall nach denselben Anforderungen geprüft, und trotzdem ist die Prüfung eines Hotels eine eigene Aufgabe. Fünf Eigenheiten machen sie dazu, und sie kehren in diesem Band immer wieder.

Die erste ist die Halle. Ein Hotel verarbeitet einen erheblichen Teil seiner Information in einem Raum, den jeder betreten darf, an einem Möbelstück, das für Sichtkontakt gebaut ist, vor Menschen, die warten. Kein Büro, keine Bank und kein Krankenhaus arbeitet so. Wer die Risiken eines Hauses in seinen Systemen sucht, sucht am zweitwichtigsten Ort.

Die zweite ist der Takt. Ein Hotel hat keine Bürozeiten, sondern Spitzen: die Anreise am späten Nachmittag, der Auszug am Morgen, der Schichtwechsel der Nacht, die Woche eines Kongresses, das Ende einer Saison. Jede Abweichung, die dieser Band beschreibt, entsteht in einer dieser Spitzen, und keine von ihnen liegt zwischen neun und siebzehn Uhr.

Die dritte ist der Wechsel. In kaum einer Branche gehen so viele Menschen und kommen so viele neue, in so vielen Vertragsformen: fest, Saison, Aushilfe, Praktikum, Leihpersonal, Fremdfirma. Jede dieser Formen endet anders, und jedes Ende ist ein Zugang, der geschlossen werden muss.

Die vierte ist die Auslagerung. Das Verwaltungssystem, die Buchungsstrecke, die Zahlung, die Schließanlage, die Gebäudetechnik, die Wäscherei, die Reinigung, die Reservierungszentrale — das meiste, was Information hält oder berührt, gehört jemand anderem. Ein Audit, das den Anbieterordner auslässt, prüft die kleinere Hälfte.

Die fünfte ist die Diskretion. Sie ist das älteste Schutzverfahren dieser Branche, sie wird von Menschen geübt, sie steht nirgends geschrieben, und sie funktioniert besser als die meisten dokumentierten Maßnahmen. Sie nachzuweisen, ohne sie zu brechen, ist eine eigene Kunst; ein Abschnitt dieses Bandes handelt von nichts anderem.

Der Rechtsstand dieses Bandes

Dieser Band gibt das Recht in Deutschland, Österreich und der Schweiz mit dem Stand vom 28. September 2026 wieder. Das Datum steht nicht aus Formgründen dort. Ein Band, der Gesetze beim Namen nennt, Paragrafen zitiert und Fristen angibt, veraltet an genau diesen Stellen, und der Leser hat ein Recht darauf zu wissen, ab wann er nachsehen muss.

Mehrere Zeilen dieses Bandes werden sich ändern, bevor viele Leser das Buch in Händen halten. Die europäischen Regelungen zur Netz- und Informationssicherheit werden in den drei Ländern zu unterschiedlichen Zeitpunkten und in unterschiedlicher Tiefe umgesetzt. Die Rechtsprechung zu Ausweiskopien, zu biometrischen Verfahren beim digitalen Check-in und zur Verantwortlichkeit in Hotelgruppen ist in Bewegung. Die Anerkennung von Drittstaaten für die Übermittlung personenbezogener Daten ist eine politische Entscheidung und war es immer. Und die Regeln der Zertifizierung selbst werden von den internationalen Gremien fortgeschrieben, mit Übergangsfristen, die verbindlich sind.   …

Eröffnung

Das Hotel hat hundertachtzehn Zimmer in Baden-Baden, an der Lichtentaler Allee, und gehört zu jenen Häusern, deren eigentliches Produkt nicht das Zimmer ist. Seine Gäste kommen aus vier Richtungen: aus den Privatkliniken der Stadt, von den Festspielen, aus dem Kurhaus mit seiner Spielbank und aus einem Geschäftsleben, das Wert darauf legt, nicht gesehen zu werden. Die Direktorin, Charlotte Behringer, führt das Haus in dritter Generation der Familie.

Das Haus war seit vier Jahren zertifiziert. Das zweite Überwachungsaudit führte eine Auditorin durch, die neu auf dem Haus war, Ruth Kellermann, und die am ersten Vormittag nach einem Bereich fragte, den die beiden vorherigen Audits nicht berührt hatten: nach dem Umgang mit Informationen über die Anwesenheit von Gästen.

Frau Behringer hat die Frage bereitwillig beantwortet. Das Haus erteile keine Auskünfte. Keine Bestätigung, keine Verneinung, gegenüber niemandem, auch nicht gegenüber Angehörigen, Journalisten oder Anrufern, die sich als Behörde ausgeben. Das gelte seit jeher, jeder im Haus wisse es, und es sei das Fundament des Betriebs.

Frau Kellermann fragte nach dem Nachweis.

Es gab keinen. Kein Verfahren, keine Schulungsaufzeichnung zu diesem Punkt, keine Aufzeichnung über Anfragen und ihre Behandlung, keinen Eskalationsweg. Es gab, wie die Direktorin erklärte, etwas Besseres: eine Kultur.

Am Nachmittag legte sie ein Blatt vor, das die Rechtsabteilung der Familiengesellschaft aufgesetzt hatte. «Erklärung zur Wahrung der Vertraulichkeit». Darin bestätigte die Geschäftsführung, dass im Haus Vertraulichkeit gewahrt, Auskünfte nicht erteilt und Mitarbeitende entsprechend angewiesen würden. Unterschrieben, gestempelt, datiert.

Frau Kellermann hat das Blatt gelesen, sich bedankt und gesagt, es sei kein Nachweis, sondern eine Behauptung — eine glaubwürdige, aber eine, die sie nicht prüfen könne. Nachweis sei, was ein Dritter unabhängig feststellen könne: eine Aufzeichnung, eine Beobachtung, eine Bestätigung von anderer Seite.

Charlotte Behringer hat widersprochen, und ihr Widerspruch war der beste des ganzen Audits. Man könne Diskretion nicht nachweisen, ohne sie zu brechen. Jedes Papier, das belege, wie mit der Anwesenheit eines Gastes umgegangen werde, sei selbst ein Papier über die Anwesenheit dieses Gastes. Wer Nachweise verlange, verlange, das Geheimnis aufzuschreiben.

Frau Kellermann hat geantwortet, das sei der Kern des Missverständnisses, und sie werde in den nächsten drei Tagen zeigen, warum. Dann hat sie gesucht, und sie hat gefunden.

In der Schublade des Concierge-Pults lag ein handschriftliches Blatt mit vierzehn Namen und Kürzeln. K für Klinik, S für Spielbank, P für Presse-sensibel, dazu Zimmernummern und einzelne Vermerke. Das Blatt wurde seit Jahren fortgeschrieben und gelegentlich neu abgeschrieben, wenn es unleserlich wurde. Niemand hatte es angeordnet, niemand verantwortete es, und es war das genaueste Dokument im ganzen Haus.

Die drei Concierges unterhielten außerdem eine Nachrichtengruppe auf ihren privaten Telefonen, in der Anreisen, Wünsche und Besonderheiten weitergegeben wurden, weil ihre Dienste sich nicht überschnitten.

Im Verwaltungssystem enthielt das Freitextfeld «Bemerkungen» bei etwa einem Fünftel der Stammgäste Angaben, die weit über die Organisation eines Aufenthalts hinausgingen: Hinweise auf Behandlungen in den Kliniken, auf Gehhilfen und Diäten, auf religiöse Gewohnheiten, auf familiäre Verhältnisse, auf Trinkverhalten, in zwei Fällen auf ein laufendes Verfahren. Die Einträge waren über Jahre entstanden, von wechselnden Personen, in bester Absicht.

Und im Protokoll der Nachtrezeption fand sich ein Eintrag vom Februar: Ein Anrufer, der sich als Mitarbeiter einer Landesbehörde ausgegeben hatte, hatte nach der Anwesenheit eines Gastes gefragt, und der diensthabende Nachtportier hatte sie bestätigt. Der Eintrag lautete: «Anfrage Behörde, erledigt.»

Frau Kellermann hat in der Abschlussbesprechung einen Satz gesagt, den Charlotte Behringer seither in jeder Einarbeitung verwendet. Ihr Haus habe die beste Diskretion, die sie je gesehen habe. Es habe sie nur nirgends — außer in einer Schublade, auf drei Privattelefonen und in einem Freitextfeld.

Das Problem

Der erste Fehler ist die unterschriebene Erklärung. Eine Selbstauskunft ist in einem Audit das schwächste aller Papiere, weil sie nichts hinzufügt: Sie behauptet, was ohnehin behauptet wird. Objektiver Nachweis ist, was unabhängig überprüfbar ist — eine Aufzeichnung über einen tatsächlichen Vorgang, eine eigene Beobachtung des Auditors, die übereinstimmende Aussage mehrerer Personen, eine Bestätigung von außen. Wer eine Erklärung vorlegt, wo ein Nachweis fehlt, macht das Fehlen aktenkundig.

Es kommt hinzu, dass eine Erklärung im Ernstfall nichts trägt. Gegenüber einer Aufsichtsbehörde, einem Gericht oder einem Firmenkunden mit Lieferantenprüfung ist ein Blatt, auf dem ein Unternehmen sich selbst bescheinigt, dass es sich ordentlich verhält, das erste Papier, das beiseitegelegt wird. Es ist nicht falsch. Es ist ohne Gewicht.

Der zweite Fehler ist Diskretion als Kultur statt als Verfahren. Kultur trägt weit, solange dieselben Menschen da sind. Sie trägt nicht über den Wechsel eines Nachtportiers, nicht über die Hochsaison mit Aushilfen, nicht über eine Saisonkraft im zweiten Dienst und nicht über den Tag, an dem jemand am Telefon überzeugend klingt. Genau an diesen vier Stellen versagt sie, und genau diese vier Stellen prüft ein Auditor.

Der dritte Fehler ist die Gleichsetzung von «nicht aufschreiben» mit «nicht nachweisbar». Das Haus glaubte, ein Nachweis verlange, das Geheimnis zu dokumentieren. Das Gegenteil ist der Fall: Nachgewiesen wird die Regel und ihre Einhaltung, nicht der Inhalt, den sie schützt. Man belegt, dass keine Auskunft erteilt wird — nicht, über wen keine Auskunft erteilt wurde.

Der vierte Fehler ist die Schattenliste, und er ist die Strafe für den dritten. Wo ein Haus keinen geordneten Weg anbietet, entsteht ein ungeordneter, weil die Arbeit getan werden muss. Das Blatt in der Schublade war nicht Ausdruck von Nachlässigkeit, sondern von Professionalität ohne Werkzeug. Es enthielt besonders heikle Angaben, war gegen niemanden gesichert, tauchte in keinem Verzeichnis auf, unterlag keiner Frist und wäre bei einem Auskunftsverlangen nicht gefunden worden.

Der fünfte Fehler ist die Nachrichtengruppe auf privaten Telefonen. Sie ist in Häusern dieser Art allgegenwärtig und in jeder Hinsicht die schlechteste denkbare Lösung: Verarbeitung auf Geräten, über die das Haus keine Verfügung hat, bei einem Anbieter, mit dem kein Vertrag besteht, ohne Löschung, ohne Zugriffsschutz und mit dem Gerät des Mitarbeitenden auch dann noch, wenn dieser das Haus längst verlassen hat.

Der sechste Fehler ist das Freitextfeld. Es ist der gefährlichste Ort in jedem Verwaltungssystem, weil es keine Struktur und damit keine Grenze hat. Angaben zu Gesundheit, Religion, Herkunft, familiären und finanziellen Verhältnissen sind besonders geschützt; sie geraten dort nicht durch Böswilligkeit hinein, sondern durch Dienstleistungswillen. Und sie kommen bei einem Auskunftsverlangen vollständig wieder heraus, samt Formulierung.