So erstellen Sie eine sichere Richtlinie für Datei-Uploads im Kundenservice
Ein praxisnaher Richtlinienrahmen, um nur notwendige Kundendateien anzufordern, unerwartete Anhänge zu behandeln und Sicherheits-, Datenschutz- und Barrierefreiheitsfragen an die richtigen Personen weiterzuleiten.
Eine Upload-Schaltfläche ist keine Richtlinie für Datei-Uploads
Screenshots, Rechnungen, Fotos und Dokumente können bei der Klärung eines Falls helfen. Jeder Anhang schafft jedoch auch eine betriebliche Entscheidung: Was wird benötigt, wer darf ihn sehen, ist er sicher zu öffnen, wie lange wird er aufbewahrt und was geschieht, wenn der Kunde etwas Unangemessenes oder Riskantes sendet?
Eine Richtlinie für Datei-Uploads im Kundenservice macht aus diesen Entscheidungen wiederholbare Anweisungen für Kunden, Mitarbeitende im First-Level-Support, Vorgesetzte, Datenschutzverantwortliche und Sicherheitsverantwortliche. Sie sollte über die von Ihrem Team genutzten Gesprächskanäle hinweg einheitlich gelten und gleichzeitig berücksichtigen, dass sich Kanalverhalten und interne Verarbeitung unterscheiden können.
Setzen Sie auf mehrschichtige Sicherheit. OWASP weist darauf hin, dass keine einzelne Validierungstechnik für von Nutzern bereitgestellte Dateien ausreicht. Eine solide Richtlinie kombiniert daher Datenminimierung, eng gefasste zulässige Kategorien, von Ihrer Organisation geprüfte technische Kontrollen, Mitarbeitendenprozesse, Zugriffsbeschränkungen und Eskalationsregeln.
- Verantwortlichkeit für die Richtlinie: Benennen Sie die für Support Operations zuständige Person sowie die Genehmigenden aus Datenschutz, Sicherheit und Dokumentenmanagement.
- Geltungsbereich: Listen Sie jeden abgedeckten Supportkanal, jede Warteschlange, Abteilung und Fallart auf.
- Entscheidungsregel: Fordern Sie eine Datei nur an, wenn sie zur Lösung, Prüfung oder Untersuchung des angegebenen Falls erforderlich ist.
- Menschlicher Kontaktweg: Geben Sie jedem Kunden die Möglichkeit, mit einer Person fortzufahren, wenn er keine Datei hochladen kann oder sollte.
Klassifizieren Sie die Supportaufgabe, bevor Sie einen Anhang anfordern
Die sicherste Datei ist diejenige, die Sie nie erheben. Bevor ein Mitarbeitender oder ein automatisierter Ablauf zum Upload auffordert, klassifizieren Sie den Nachweis in eine von drei Gruppen: erforderlich, hilfreich oder verboten.
Erforderliche Nachweise sind Informationen, ohne die das Team eine bestimmte Supportmaßnahme vernünftigerweise nicht durchführen kann. Hilfreiche Nachweise können die Diagnose beschleunigen, sind aber nicht notwendig; bieten Sie sie optional an und erläutern Sie die Alternative. Verbotene Informationen dürfen nicht über den gewöhnlichen Supportchat angefordert oder entgegengenommen werden.
Dieser Ansatz unterstützt Zweckbindung und Datenminimierung. Soweit die DSGVO gilt, sollten personenbezogene Daten für einen festgelegten Zweck erhoben und auf das für diesen Zweck notwendige Maß beschränkt werden.
- Erforderlich: Ein zugeschnittener Screenshot einer angezeigten Fehlermeldung, wenn der Text nicht anders bereitgestellt werden kann.
- Hilfreich: Ein Foto mit sichtbarem Transportschaden, wenn der Kunde stattdessen den Zustand beschreiben und eine Bestellreferenz angeben kann.
- Nicht erheben: Passwörter, Einmalcodes, Prüfnummern von Zahlungskarten, PINs, vollständige Track-Daten, private Schlüssel oder nicht relevante Identitätsdokumente.
- Prüfen Sie jede wiederkehrende Upload-Anforderung: Kann dieselbe Entscheidung anhand einer Bestellnummer, Fallnummer, Textbeschreibung oder eines sicheren, speziell dafür vorgesehenen Prozesses getroffen werden?
Legen Sie zulässige Kategorien fest und formulieren Sie Kundenanweisungen vor dem Upload
Definieren Sie für jede Fallart eine kurze Positivliste, anstatt standardmäßig breite Dateikategorien zuzulassen. OWASP empfiehlt, nur geschäftskritische Dateierweiterungen zu erlauben und die am wenigsten schädlichen, risikoärmsten Typen zu wählen, die den Geschäftszweck erfüllen. Akzeptieren Sie keine Archivdateien, sofern es dafür keinen dokumentierten Grund gibt und Ihre technischen Verantwortlichen keine sichere Verarbeitung genehmigt haben; die Verarbeitung von Archiven bringt Risiken durch dekomprimierte Größe und Extraktion mit sich.
Formulieren Sie die Upload-Anforderung in klarer Sprache, bevor der Kunde handelt. Die Anweisung sollte den Supportzweck, den erforderlichen Mindestinhalt, akzeptierte Formate und jede für diesen Kanal geprüfte relevante Größenbeschränkung nennen. Sie sollte außerdem erklären, was entfernt werden soll und was nicht gesendet werden darf.
Barrierefreie Anweisungen sind nicht optional. WCAG 2.2 verlangt Beschriftungen oder Anweisungen, wenn Nutzereingaben erforderlich sind, und Upload-Steuerelemente benötigen einen Textnamen, der ihren Zweck beschreibt. Verlassen Sie sich nicht allein auf Farbe, ein Symbol oder ein Bild.
- Zweck: „Um das Lieferproblem zu prüfen, senden Sie bitte ein Foto von der Außenseite des Pakets und vom beschädigten Artikel.“
- Mindestinhalt: „Bitte verdecken Sie Ihre Adresse, Telefonnummer, Kontonummer und alle Informationen, die nicht erforderlich sind, um das Problem zu zeigen.“
- Format: Nennen Sie nur Formate, die Ihr Team für diese Aufgabe genehmigt hat, etwa gegebenenfalls einen Screenshot oder ein Foto.
- Verbot: „Senden Sie keine Passwörter, Bestätigungscodes, Karten-PINs, Kartenprüfcodes oder vollständigen Zahlungskartendaten.“
- Alternative: „Wenn Sie keine Datei hochladen können, beschreiben Sie den Fehlertext, Datum und Uhrzeit sowie Ihre beabsichtigte Aktion. Ein Mitarbeitender kann helfen.“
Behandeln Sie unerwartete und sensible Anhänge ohne erneute Anforderung
Kunden senden manchmal eine Datei, bevor sie darum gebeten wurden, hängen den falschen Inhalt an oder fügen in einen Screenshot sensibles Material ein. Mitarbeitende sollten sie nicht bitten, denselben sensiblen Inhalt erneut über denselben Chat zu senden. Wiederholungen vergrößern die Offenlegung, ohne das zugrunde liegende Verarbeitungsproblem zu lösen.
Erstellen Sie ein einfaches Skript zur Eindämmung und einen Weiterleitungsweg. Der Mitarbeitende sollte den Fall bestätigen, die weitere Erhebung des sensiblen Materials stoppen, nur die nach dem internen Verfahren erforderlichen Mindestfakten dokumentieren und den Fall an das zuständige Datenschutz-, Zahlungs-, Kontosicherheits- oder Sicherheitsteam weiterleiten.
Zahlungsumgebungen benötigen besonders klare Regeln. Kartenprüfcodes, PINs und vollständige Track-Daten sind sensible Authentifizierungsdaten und für Anhänge im gewöhnlichen Supportchat ungeeignet. Wenn Zahlungsinformationen eingehen, befolgen Sie das genehmigte Verfahren Ihrer Organisation für Vorfälle mit Zahlungsdaten und deren Entsorgung, statt sie in Notizen, Vorlagen oder einen anderen Chat zu kopieren.
- Versehentlich übermittelte Zugangsdaten oder Bestätigungscodes: Teilen Sie dem Kunden mit, nichts Weiteres zu senden, raten Sie ihm, die Zugangsdaten über den genehmigten Kontoweg zu ändern oder abzusichern, und eskalieren Sie an die Kontosicherheit.
- Zahlungsdaten: Beenden Sie die Besprechung der Daten, wiederholen Sie sie nicht und eskalieren Sie über den genehmigten Zahlungs- beziehungsweise Datenschutzprozess.
- Nicht für den Fall benötigtes Identitätsdokument oder Information besonderer Kategorie: Bestätigen Sie den Eingang, ohne Details zu wiederholen, und eskalieren Sie an die Datenschutzverantwortlichen.
- Falsche oder nicht relevante Datei: Bitten Sie um eine sicherere Alternative oder die mindestens relevanten Informationen, nicht um ein erneutes Senden des ursprünglichen Materials.
Geben Sie Mitarbeitenden sichere Regeln zum Öffnen, Beschreiben und Teilen von Dateien
Mitarbeitende im First-Level-Support sollten Entscheidungen über Malware oder Datenschutz nicht allein treffen. NIST rät Nutzern, verdächtige Anhänge nicht allein deshalb zu öffnen, weil der Absender bekannt ist. Ein vertrauter Kundenname, ein erwartetes Fallthema oder ein plausibler Dateiname sind kein Beweis dafür, dass eine Datei sicher ist.
Schulen Sie Mitarbeitende darin, nur die für den Fall notwendigen Informationen und ausschließlich in genehmigten Werkzeugen zu prüfen. Sie sollten eine Datei nicht auf ein persönliches Gerät herunterladen, an eine private E-Mail-Adresse weiterleiten, zu einem nicht genehmigten Dienst hochladen oder in einer großen internen Gruppe teilen, nur um Hilfe zu erhalten.
Ein vom Kunden bereitgestellter Content-Type- oder MIME-Wert ist kein verlässlicher Nachweis für den tatsächlichen Dateityp. Technische Kontrollen können, soweit verfügbar, Positivlisten für Erweiterungen, erwartete Dateisignaturen, Größenbeschränkungen sowie Malware-Scans oder Sandboxing nutzen. OWASP warnt jedoch, dass dies ergänzende Schutzmaßnahmen und keine eigenständigen Garantien sind.
- Öffnen Sie eine Datei auf normalem Weg nur, wenn sie erwartet wird, für den aktiven Fall relevant ist, nach Richtlinie zulässig ist und über genehmigte Verfahren behandelt werden kann.
- Behandeln Sie einen Anhang als verdächtig, wenn er unerwartet oder irrelevant ist, wie eine ausführbare Datei wirkt, ein nicht richtlinienkonformes Archiv ist, ungewöhnlich groß oder irreführend benannt ist oder mit Druck verbunden wird, ihn dringend zu öffnen.
- Bei verdächtigen Dateien: Öffnen, Vorschau, Ausführung oder Untersuchung nicht mit gewöhnlichen Desktop-Werkzeugen durchführen; Fallreferenz bewahren und an die Sicherheit eskalieren.
- Wenn Sie eine Datei intern beschreiben, erfassen Sie nur die nützlichen Mindestfakten: Fall-ID, Empfangszeit, scheinbare Kategorie, Eskalationsgrund und ergriffene Maßnahmen. Geben Sie sensible Inhalte nicht in Notizen wieder.
Prüfen Sie die Grenze zwischen Kanälen, Postfächern und Ihren eigenen Schutzmaßnahmen
Verfassen Sie keine Richtlinie, die voraussetzt, dass ein Messaging-Kanal, Chat-Widget oder Postfach Malware-Scanning, Durchsetzung von Dateitypen, Aufbewahrungskontrollen, Löschabläufe oder rollenbasierte Zugriffskontrollen bereitstellt, sofern diese Funktionen nicht ausdrücklich für die exakt eingesetzte Konfiguration geprüft wurden. Scanning und Sandboxing sind implementierungsspezifische Schutzmaßnahmen, keine Standardannahmen.
webchat.vip stellt ein gemeinsames Postfach für WebChat- und WhatsApp-Unterhaltungen bereit. Dateien werden für jeden Omnichannel-Dienst in einem isolierten Apification-Cloud-Unterkonto gespeichert. Diese Fakten beschreiben die Produktarchitektur, belegen jedoch für sich allein nicht die erforderlichen Kontrollen Ihrer Organisation für Scanning, Aufbewahrung, Zugriffsprüfung oder Incident Response.
Machen Sie die technische Prüfung zu einer formellen Voraussetzung für die Inbetriebnahme, für die die zuständigen Verantwortlichen aus Sicherheit, Datenschutz und Plattform zuständig sind. Dokumentieren Sie für jede Kontrolle die Antwort, den Nachweis, die verantwortliche Person, das Prüfdatum und jedes Restrisiko.
- Welche Dateiformate, Dateigrößen und Anforderungsgrößen werden in jedem eingesetzten Kanal tatsächlich akzeptiert?
- Wird eine Datei gescannt, unter Quarantäne gestellt oder in einer Sandbox verarbeitet? Falls ja: Wer betreibt die Kontrolle, welche Abdeckung hat sie und was geschieht bei einer Erkennung?
- Wer kann Kundenanhänge im konfigurierten Postfach und in verbundenen Systemen anzeigen, herunterladen, exportieren, weiterleiten und löschen?
- Wo werden Dateien gespeichert, wie werden Zugriffsprotokolle bezogen und wie funktionieren Löschung oder Durchsetzung der Aufbewahrung in der Praxis?
- Kann das Team nutzergesteuerte Dateinamen oder Pfade verhindern, und werden Dateien gegebenenfalls von webbasiert bereitgestellten Inhalten getrennt?
- Welcher Prozess gilt, wenn ein Kunde Auskunft, Löschung, Berichtigung oder Informationen über eine hochgeladene Datei verlangt?
Nutzen Sie risikobasierte Eskalation mit einer benannten verantwortlichen Person
Jede Richtlinie benötigt einen Eskalationsweg, der auch außerhalb der Geschäftszeiten funktioniert und nicht davon abhängt, dass ein Mitarbeitender den Schweregrad errät. Definieren Sie, wer den Fall erhält, wie die Kontaktaufnahme erfolgt, welche Fakten zu bewahren sind und was der First-Level-Support dem Kunden während der laufenden Prüfung mitteilen darf.
Mögliche Datenschutzvorfälle müssen unverzüglich bewertet werden. Soweit die DSGVO gilt, müssen Auftragsverarbeiter Verantwortliche unverzüglich informieren, nachdem sie von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt haben. Verantwortliche müssen relevante Fakten, Auswirkungen und Abhilfemaßnahmen dokumentieren. Eine meldepflichtige Benachrichtigung der Aufsichtsbehörde ist, soweit möglich, grundsätzlich innerhalb von 72 Stunden nach Kenntniserlangung erforderlich, sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat; andernfalls kann die Ausnahme nach Art. 33 Abs. 1 greifen.
Die Aufgabe des Supportteams ist Eindämmung und eine genaue Übergabe, nicht die rechtliche Einordnung. Datenschutz- und Sicherheitsverantwortliche sollten das Ereignis anhand der anwendbaren Pflichten bewerten und die Kommunikation steuern.
- Verdächtiger Anhang: Leiten Sie ihn sofort an die Kontaktstelle für Sicherheitsvorfälle weiter; öffnen Sie ihn nicht mit Standardwerkzeugen.
- Mögliche Kontoübernahme, Offenlegung von Zugangsdaten oder Identitätsvortäuschung: Leiten Sie an die Kontosicherheit weiter und folgen Sie dem genehmigten Prozess zum Kundenschutz.
- Versehentlich übermittelte sensible personenbezogene Daten oder fehlgeleitete Datei: Leiten Sie an die Datenschutzleitung oder Datenschutzkontaktstelle weiter.
- Rechtliche Aufforderung, Aufbewahrungsanordnung oder Kontakt durch Strafverfolgungsbehörden: Leiten Sie an die Verantwortlichen für Recht und Dokumentenmanagement weiter; Mitarbeitende dürfen nicht eigenständig Löschung zusagen oder Dateien offenlegen.
- Unmittelbare Nachricht an den Kunden: Bestätigen Sie, dass die Datei über den geeigneten Prozess geprüft wird, bitten Sie darum, keine weiteren sensiblen Informationen zu senden, und bieten Sie einen menschlichen Kontaktweg an.
Legen Sie Erwartungen für Aufbewahrung, Löschung, Zugriff und Audit fest
Anhänge sollten nicht unbegrenzt aufbewahrt werden, nur weil sie praktisch sind. Legen Sie einen Aufbewahrungsplan nach Fallart und Zweck fest und bestimmen Sie dann das Ereignis, das die Frist auslöst, die genehmigte Lösch- oder Entsorgungsmethode, Ausnahmen wie rechtliche Aufbewahrungsanordnungen und die Person, die Ausnahmen genehmigt.
Die Speicherbegrenzung nach DSGVO verlangt, dass identifizierbare personenbezogene Daten nicht länger aufbewahrt werden, als es für ihren Zweck erforderlich ist. PCI-Leitlinien verlangen ebenfalls Richtlinien für Aufbewahrung und Entsorgung, die die Speicherung auf rechtliche, regulatorische oder geschäftliche Anforderungen begrenzen und nicht mehr benötigte Daten sicher löschen oder unwiederbringlich machen.
Der Zugriff sollte sich nach der Supportaufgabe richten, nicht nach allgemeiner Neugier. Beschränken Sie den Dateizugriff auf Personen, die nach dokumentierten Organisationsanweisungen handeln, überprüfen Sie Zugriffsrechte regelmäßig und bewahren Sie genügend Audit-Informationen auf, um eine unangemessene Behandlung zu untersuchen und die Einhaltung der Richtlinie nachzuweisen.
- Führen Sie für jede Anhangskategorie einen Aufbewahrungsplan, einschließlich Zeitpunkten für die reguläre Löschung und einer verantwortlichen Person für Ausnahmen.
- Dokumentieren Sie, wie Löschungen über das Postfach, den Speicher und jedes genehmigte nachgelagerte System angefordert, durchgeführt und bestätigt werden.
- Wenden Sie den Zugriff nach dem Prinzip des geringstmöglichen Zugriffs je Abteilung und Rolle an; entziehen Sie Zugriffe bei Aufgabenwechsel.
- Protokollieren Sie wesentliche Anhangereignisse: Upload, gegebenenfalls interne Übertragung, Eskalation, Löschanfrage, Löschaktion und Richtlinienausnahme.
- Führen Sie regelmäßige Wirksamkeitsprüfungen technischer und organisatorischer Schutzmaßnahmen durch, wie es Ihr Governance-Programm verlangt.
Häufig gestellte Fragen
Was sollte eine Richtlinie für Datei-Uploads im Kundenservice enthalten?
Sie sollte die Supportzwecke enthalten, die Uploads rechtfertigen, zulässige und verbotene Dateikategorien, Kundenanweisungen, sicheres Verhalten der Mitarbeitenden, die Prüfung technischer Kontrollen, Eskalationskontakte, Regeln für Aufbewahrung und Löschung, barrierefreie Alternativen, Schulungen, Tests und Kennzahlen.
Sollten Supportteams Identitätsdokumente im Chat akzeptieren?
Nur wenn ein spezifischer, genehmigter Prüfprozess sie tatsächlich erfordert. Der gewöhnliche Supportchat sollte Identitätsdokumente nicht standardmäßig erheben. Stellen Sie eine speziell dafür vorgesehene Alternative oder einen menschlichen Eskalationsweg bereit, wenn eine Identitätsprüfung erforderlich ist.
Können Mitarbeitende einer Dateierweiterung oder einem Content-Type-Wert vertrauen?
Nein. Ein vom Nutzer bereitgestellter Content-Type kann manipuliert werden, und eine Erweiterung allein beweist nicht, dass eine Datei sicher ist. Technische Teams sollten ergänzende Kontrollen einsetzen, und Mitarbeitende sollten verdächtige Dateien eskalieren statt sie zu öffnen.
Was sollte ein Mitarbeitender tun, wenn ein Kunde ein Passwort oder einen Kartenprüfcode sendet?
Wiederholen, kopieren oder fordern Sie die Information nicht erneut an. Stoppen Sie die weitere Erhebung, folgen Sie dem genehmigten Skript zur Eindämmung und eskalieren Sie je nach Fall an die für Kontosicherheit, Zahlungen oder Datenschutz zuständige Person. Geben Sie dem Kunden einen sichereren Weg, sein Konto zu schützen oder die Aufgabe abzuschließen.
Bietet webchat.vip automatisch Malware-Scanning oder Aufbewahrungskontrollen für Anhänge?
Gehen Sie nicht davon aus. webchat.vip stellt ein gemeinsames Postfach für WebChat- und WhatsApp-Unterhaltungen bereit, und Dateien werden für jeden Omnichannel-Dienst in einem isolierten Apification-Cloud-Unterkonto gespeichert. Ihr Team sollte das Verhalten für Scanning, Aufbewahrung, Zugriff, Export und Löschung für die eingesetzte Konfiguration prüfen, bevor es sich auf eine Kontrolle verlässt.
Wie kann Automatisierung Dateien sicher anfordern?
Nutzen Sie Automatisierung nur für eng definierte, von Menschen geprüfte Anforderungen. Nennen Sie Zweck und erforderlichen Mindestinhalt, erheben Sie gegebenenfalls validierte Antworten, verzweigen Sie zu sichereren Textalternativen und ermöglichen Sie stets die Übergabe an eine Person. Automatisieren Sie keine Anforderung sensibler Materialien, die der nachgelagerte Prozess nicht sicher behandeln kann.
Quellen und weiterführende Literatur
Primäre und maßgebliche Referenzen zur Prüfung der faktischen Grundlage dieses Leitfadens.
- File Upload Cheat Sheet — OWASP Foundation
- Input Validation Cheat Sheet — OWASP Foundation
- Web Content Accessibility Guidelines (WCAG) 2.2 — W3C
- Forms Tutorial — W3C Web Accessibility Initiative
- Regulation (EU) 2016/679 (GDPR) — EUR-Lex / European Union
- NIST Privacy Framework 1.1: Using the Framework — National Institute of Standards and Technology
- Security and Privacy Controls for Information Systems and Organizations — National Institute of Standards and Technology
- Computer Security Incident Handling Guide — National Institute of Standards and Technology
- Can card verification codes be stored for card-on-file or recurring transactions? — PCI Security Standards Council
- What is the maximum period of time that cardholder data can be stored? — PCI Security Standards Council