CRM-Sicherheit: Worauf Sie 2026 achten sollten

CRM-Sicherheit beschreibt, wie ein CRM die Kundendaten schützt, die es speichert. Dazu gehören Verschlüsselung bei Übertragung und Speicherung, Anmelde- und Zugriffskontrollen, Trennung zwischen Kunden und ein Audit-Trail. Ebenso zählen Backups, der Speicherort der Daten und unabhängige Tests, die die Aussagen des Anbieters belegen. Fragen Sie zur Bewertung jeden Anbieter zu jedem Punkt nach Details; die Checkliste unten führt sie auf.

Ihr CRM enthält die sensibelsten Daten Ihres Unternehmens: Namen, E-Mail-Adressen und Telefonnummern von Kunden, Dealwerte, Gesprächsverläufe und interne Notizen. Datensicherheit im CRM ist also ein Kaufkriterium, kein Nebengedanke. Ein Sicherheitsvorfall im CRM ist nicht nur ein technisches Problem, sondern für viele kleine Unternehmen existenzbedrohend.

Dieser Leitfaden zeigt, wie Sie die Sicherheit eines CRM bewerten: worauf Sie achten und welche Fragen jeder Anbieter beantworten können sollte.

Warum ein CRM ein Angriffsziel ist

Ein CRM bündelt genau das, was Angreifer wollen: geprüfte Kontaktdaten, Dealwerte und eine einzige Anmeldung, die alles öffnet. Phishing-Angriffe zielen auf SaaS-Zugangsdaten. Lieferkettenangriffe kompromittieren Integrationen von Drittanbietern. Ransomware-Gruppen nehmen gezielt kleine Unternehmen ins Visier, weil diesen oft eigene Sicherheitsteams fehlen.

Ihr CRM ist aus drei Gründen ein lohnendes Ziel:

1. Gebündelte personenbezogene Daten. Namen, E-Mail-Adressen, Telefonnummern und Adressen jedes Kunden und Interessenten, den Sie je kontaktiert haben.
2. Geschäftswissen. Dealwerte, Pipeline-Daten, Umsatzzahlen und Notizen zum Wettbewerb. Diese Daten sind für Wettbewerber und Kriminelle wertvoll.
3. Kommunikationsverlauf. E-Mail-Verläufe, Meeting-Notizen und interne Diskussionen, die vertrauliche Geschäftsinformationen enthalten können.

Nimmt Ihr CRM-Anbieter Sicherheit nicht ernst, sind Ihre Kundendaten in Gefahr.

Die Sicherheitsfunktionen, die im CRM zählen

Verschlüsselung

Verschlüsselung ist die Grundlage. Jedes CRM sollte Daten auf zwei Ebenen verschlüsseln:

• Bei der Übertragung: TLS 1.2 oder 1.3 für alle Daten zwischen Ihrem Browser und den Servern des CRM. Das verhindert, dass Daten auf dem Weg durchs Internet abgefangen werden.
• Bei der Speicherung: AES-256 für gespeicherte Daten. Verschafft sich jemand physischen Zugang zum Server, sind verschlüsselte Daten ohne den Schlüssel unlesbar.

Was Sie fragen sollten: „Welche Verschlüsselungsstandards nutzen Sie bei Übertragung und Speicherung? Wer verwaltet die Schlüssel?“

Mandantentrennung

Die meisten modernen CRMs sind mandantenfähig: Mehrere Kunden teilen sich dieselbe Infrastruktur. Das ist effizient und wirtschaftlich, stellt aber eine entscheidende Anforderung: Ihre Daten müssen vollständig von den Daten anderer Kunden getrennt sein.

Zu einer guten Mandantentrennung gehören:

• Isolationsregeln auf Datenbankebene. Die Datenbank selbst setzt die Datengrenzen bei jeder Abfrage durch. Die Abfragen eines Kunden können physisch keine Daten eines anderen Kunden liefern, selbst bei einem Fehler in der Anwendung.
• Mehrschichtige Verteidigung. Anwendungsschicht UND Datenbankschicht setzen die Trennung beide durch. Versagt eine Schicht, fängt die andere es ab.
• API-Schlüssel pro Mandant. Der API-Zugriff ist auf Ihre Organisation beschränkt. Ein API-Schlüssel kann nicht auf Daten anderer Mandanten zugreifen.

Was Sie fragen sollten: „Wie trennen Sie die Daten Ihrer Kunden? Setzen Sie die Trennung auf Datenbankebene und in der Anwendung durch? Was passiert, wenn ein Fehler in der Anwendung Ihre Filter in der Anwendungsschicht umgeht?“

Authentifizierung und Zugriffskontrollen

Wer in Ihrem CRM worauf zugreifen darf, sollte streng geregelt sein.

Multi-Faktor-Authentifizierung (MFA)

MFA sollte für alle Nutzer verfügbar und erzwingbar sein. Ein gestohlenes Passwort allein sollte nicht genügen, um auf Ihr CRM zuzugreifen. Achten Sie auf Unterstützung für Authenticator-Apps, Passkeys (Face ID, Touch ID, Windows Hello oder Hardware-Schlüssel) und Backup-Codes.

Rollenbasierte Zugriffskontrolle (RBAC)

Nicht jedes Teammitglied braucht Zugriff auf alles. Mit RBAC legen Sie Rollen mit bestimmten Berechtigungen fest:

• Administrator: voller Zugriff auf Einstellungen, Nutzer und alle Daten
• Vertriebsleitung: Zugriff auf Teamdaten, Berichte und die Steuerung der Pipeline
• Vertriebsmitarbeiter: Zugriff auf die eigenen Kontakte, Deals und Aktivitäten
• Nur Lesen: Lesezugriff für Beteiligte, die Einblick brauchen, aber nichts bearbeiten sollen

Ein gutes RBAC-System ist fein abgestuft. Sie sollten den Zugriff auf drei Ebenen steuern können. Auf Modulebene: Darf diese Rolle Rechnungen sehen? Auf Aktionsebene: Darf sie bearbeiten oder nur ansehen? Auf Datenebene: Sieht sie alle Deals oder nur die eigenen?

Was Sie fragen sollten: „Welche Rollen gibt es? Kann ich eigene Rollen anlegen? Wie fein sind die Berechtigungen abgestuft? Kann ich den Datenzugriff für bestimmte Rollen auf ‚nur eigene Datensätze‘ beschränken?“

Sitzungsverwaltung

Das CRM sollte Sitzungen inaktiver Nutzer nach einer Zeit beenden, Administratoren das Widerrufen von Sitzungen erlauben und aktive Sitzungen sichtbar machen. Verlässt ein Mitarbeiter das Unternehmen, müssen Sie seinen Zugang sofort beenden können.

Audit-Trail

Jede Aktion im CRM sollte protokolliert werden: wer was wann und von wo getan hat. Dazu gehören:

• Anlegen, Aktualisieren und Löschen von Datensätzen
• Anmeldungen und fehlgeschlagene Anmeldeversuche
• Änderungen an Berechtigungen und Rollenzuweisungen
• Datenexporte und Massenaktionen
• API-Zugriffe und Webhook-Aktivität

Ein Audit-Trail erfüllt zwei Zwecke. Erstens schreckt er Innentäter ab, denn Menschen verhalten sich anders, wenn sie wissen, dass ihre Aktionen festgehalten werden. Zweitens ermöglicht er Untersuchungen, wenn etwas schiefgeht: Sie können genau nachvollziehen, was passiert ist und wer verantwortlich war.

Was Sie fragen sollten: „Bieten Sie einen vollständigen Audit-Trail? Wie weit reicht er zurück? Kann ich nach Nutzer, Art der Aktion oder Zeitraum filtern? Ist der Audit-Trail selbst vor Manipulation geschützt?“

Datensicherung und Wiederherstellung

Ihr CRM-Anbieter sollte eine solide Backup-Strategie haben:

• Automatische Backups in regelmäßigen Abständen (mindestens täglich)
• Point-in-Time-Wiederherstellung, damit Sie Daten auf einen bestimmten Moment zurücksetzen können, wenn etwas schiefgeht
• Geografische Redundanz: Backups an einem anderen physischen Standort als die Hauptserver
• Getestete Wiederherstellungen, die regelmäßig geprüft werden (ein nie getestetes Backup ist kein echtes Backup)

Was Sie fragen sollten: „Wie oft werden Daten gesichert? Können Sie auf einen bestimmten Zeitpunkt wiederherstellen? Wo liegen die Backups? Wann haben Sie zuletzt eine Wiederherstellung getestet?“

Compliance und unabhängige Tests

Je nach Branche und Standort muss Ihr CRM unter Umständen bestimmte Compliance-Anforderungen erfüllen. Sie sollten auch wissen, welche externen Tests hinter den Sicherheitsaussagen des Anbieters stehen:

• Unabhängige Sicherheitstests: eine externe Prüfung der Anwendung und der Sicherheitskontrollen des Anbieters. Fragen Sie, welche Tests der Anbieter bestanden hat, wann und welche Nachweise er vorlegen kann.
• SOC 2 Type II: ein Prüfbericht über die Sicherheitskontrollen eines Anbieters über einen Zeitraum. Manche Käufer, oft größere Unternehmen und regulierte Branchen, verlangen ihn von ihren Anbietern.
• DSGVO: Wenn Sie Daten von Personen mit Wohnsitz in Europa speichern, muss Ihr CRM Datenexport, Löschung (Recht auf Löschung) und Einwilligungsverwaltung unterstützen.
• HIPAA: Wenn Sie Gesundheitsdaten verarbeiten, muss das CRM die HIPAA-Anforderungen erfüllen, einschließlich eines Business Associate Agreement (BAA) mit dem Anbieter. Klären Sie das, bevor Sie Patienteninformationen speichern.
• CCPA: die Anforderungen des California Consumer Privacy Act für Unternehmen, die Einwohner Kaliforniens bedienen.

Was Sie fragen sollten: „Welche unabhängigen Sicherheitstests haben Sie bestanden, und welche Nachweise können Sie vorlegen? Haben Sie einen SOC-2-Type-II-Bericht? Wie ist Ihr Stand bei der DSGVO?“

Sicherheitsfunktionen, die viele übersehen

Prüfung und Bereinigung von Eingaben

CRMs nehmen ständig Eingaben entgegen: Namen, Adressen, Notizen, E-Mail-Texte. Jedes Eingabefeld ist ein möglicher Angriffsweg für Cross-Site-Scripting (XSS) oder SQL-Injection. Das CRM sollte alle Eingaben bereinigen, bevor es sie speichert oder anzeigt.

Auf einer Marketingseite lässt sich das nicht prüfen. Aber Sie können fragen: „Wie bereinigen Sie Eingaben? Nutzen Sie parametrisierte Abfragen? Bereinigen Sie HTML-Inhalte vor der Darstellung?“

API-Sicherheit

Hat Ihr CRM eine API (die meisten haben eine), muss sie abgesichert sein:

• Verwaltung von API-Schlüsseln: Schlüssel anlegen, rotieren und widerrufen
• Ratenbegrenzung: verhindert Missbrauch und Brute-Force-Angriffe
• Begrenzte Berechtigungen: API-Schlüssel sollten nur die nötigsten Berechtigungen haben
• Protokollierung von Anfragen: Alle API-Aufrufe sollten für Audits protokolliert werden

Sicherheit von Integrationen

Wenn Ihr CRM sich mit anderen Tools verbindet (E-Mail, Kalender, Buchhaltung, Marketing), schafft jede Integration eine mögliche Angriffsfläche. Prüfen Sie:

• Nutzt das CRM OAuth für Integrationen, statt Passwörter von Drittanbietern zu speichern?
• Können Sie den Zugriff einer Integration widerrufen, ohne das übrige CRM zu beeinträchtigen?
• Benachrichtigt Sie das CRM, wenn eine neue Integration verbunden wird?

Kontrollen für Datenexporte

Die ganze Kontaktdatenbank als CSV exportieren zu können, ist Funktion und Risiko zugleich. Achten Sie auf:

• Exporte nach Berechtigung: Nur Nutzer mit bestimmten Rollen können Daten exportieren
• Protokollierte Exporte: Jeder Export wird im Audit-Trail festgehalten
• Ratenbegrenzung für Exporte: verhindert, dass kompromittierte Konten Daten massenhaft abziehen

Warnsignale

Bei der Bewertung der Sicherheit eines CRM sind das Warnzeichen:

• Keine klare Sicherheitsseite auf der Website. Wer nicht über Sicherheit spricht, hat sie wahrscheinlich nicht als Priorität.
• „Wir nutzen die Cloud, also ist es sicher.“ Cloud-Hosting ist keine Sicherheitsstrategie. Fragen Sie nach konkreten Kontrollen.
• Keine unabhängigen Sicherheitstests. Ein Anbieter, der nicht sagen kann, welche externen Tests er bestanden hat, verlangt, dass Sie ihm seine Sicherheit einfach glauben.
• Zwei-Faktor-Authentifizierung nur im höchsten Tarif. Zwei-Faktor-Authentifizierung ist eine Sicherheitsfunktion, kein Luxus. Die Funktion nur im teuersten Tarif anzubieten, ist ein Warnsignal.
• Keine rollenbasierte Zugriffskontrolle. Hat jeder Nutzer dieselben Rechte, legt ein einziges kompromittiertes Konto alles offen.
• Kein Audit-Trail. Ohne Protokolle sehen Sie nicht, was in Ihrem CRM passiert.

Eine Checkliste für CRM-Sicherheit

Nutzen Sie diese Checkliste bei der Bewertung jedes CRM:

• Verschlüsselung: TLS 1.3 bei der Übertragung, AES-256 bei der Speicherung
• Mandantentrennung: Row-Level-Security auf Datenbankebene
• Authentifizierung: MFA verfügbar und erzwingbar
• RBAC: fein abgestufte, rollenbasierte Berechtigungen mit Einschränkung auf Datenebene
• Audit-Trail: vollständige Protokollierung aller Aktivitäten mit Suche und Filter
• Backups: automatische tägliche Backups mit getesteter Wiederherstellung
• Compliance und Tests: Unterstützung der DSGVO, wenn Sie Daten von Personen mit Wohnsitz in Europa speichern. Hat der Anbieter unabhängige Sicherheitstests bestanden, und hat er den SOC-2-Bericht oder die HIPAA-Bedingungen, die Ihre Kunden oder Ihre Branche verlangen?
• API-Sicherheit: Schlüsselverwaltung, Ratenbegrenzung, begrenzte Berechtigungen
• Sitzungsverwaltung: erzwungenes Sitzungsende, Widerruf von Sitzungen
• Exportkontrollen: nach Berechtigung, protokolliert, mit Ratenbegrenzung

Datenschutz im Zeitalter der KI

Mit KI im CRM kamen drei Datenschutzfragen auf die Liste der Sicherheitsprüfung:

1. Trainiert der Anbieter KI-Modelle mit Ihren Daten? Die richtige Antwort ist Nein, standardmäßig, in jedem Tarif.

   Manche großen CRMs trainieren standardmäßig. Die Einstellung von HubSpot zum Training von KI-Modellen ist standardmäßig aktiviert. Auch die Bedingungen von Freshworks räumen eine Lizenz an Kundendaten (Customer Data) für das KI-Training (AI Training) ein, sofern der Kunde nicht widerspricht. Prüfen Sie die Standardeinstellung, nicht nur die Richtlinie.

2. Wie lange werden Daten aus KI-Anfragen gespeichert? Die richtige Antwort ist: gar nicht. Das Modell verarbeitet die Anfrage, liefert die Antwort und behält nichts. Fragen Sie, wie lange der Anbieter Daten aus KI-Anfragen aufbewahrt und ob er sie zur Produktverbesserung nutzt. Das sollten Sie vor der Unterschrift unter den Auftragsverarbeitungsvertrag wissen.

3. Können Sie KI-bezogene Daten auf Wunsch löschen oder exportieren? Die richtige Antwort ist: per Self-Service in Ihren eigenen Einstellungen, ohne Support-Ticket. Schreibstil-Profile, zwischengespeicherte E-Mail-Inhalte und der Verlauf der KI-Aktivität sollten sich alle entfernen lassen, ohne ein 30-tägiges Verfahren für Betroffenenanfragen (Data Subject Request).

Zusammen mit den klassischen Kontrollen (Verschlüsselung, MFA, RBAC, ein Audit-Trail, der Manipulationen sichtbar macht) bilden diese drei KI-Fragen den Prüfumfang für ein modernes CRM.

Die Antworten von Laureo: Die KI wird nie mit Ihren Daten trainiert. Jede KI-Anfrage geht nur an Anbieter, die nichts davon speichern. Laureo selbst bewahrt die KI-Aktivität auf, die Sie in der App sehen, etwa den Chat und den Ausführungsverlauf der Agenten. So können Sie prüfen, was die KI getan hat.

Export und Löschung Ihrer Daten können Sie in Ihren Kontoeinstellungen anfordern. Laureo wird außerdem unabhängig auf Sicherheit getestet und geprüft.

Sicherheit ist keine Funktion, sondern ein Fundament

Ein CRM mit großartigen Funktionen, aber schwacher Sicherheit ist ein Risiko. Mit einem CRM wählen Sie einen Partner, der Ihre sensibelsten Geschäftsdaten verwahrt. Achten Sie darauf, dass er dieses Vertrauen verdient. Stellen Sie die schwierigen Fragen, und prüfen Sie die Zertifizierungen und die Standardeinstellungen zum Datenschutz bei KI. Wählen Sie eine Plattform, die Sicherheit als Fundament behandelt, nicht als Nebengedanken.