WissenSicherheit & Datenschutz
Sicherheit & Datenschutz in Zendesk: die Grundlagen mit Schweizer Brille
Sicherheit in Zendesk ist keine Funktion, die man einschaltet, sondern eine Reihe von Entscheidungen: Wer darf was, wie lange bleiben Daten liegen, wo stehen die Server. Für einen regulierten Schweizer Betrieb ist das keine Kür, sondern die Fragen, die im Audit zuerst kommen. Dieser Bauplan ordnet die Grundlagen ohne Prospekt-Ton. Er ist Orientierung, keine Rechtsberatung.
Wo anfangen? Seit 2025 gibt Zendesk dir einen Startpunkt: das Security-Posture-Dashboard unter Admin Center → Account → Security → Security overview. Es zeigt einen Health-Score und konkrete Empfehlungen, welche Einstellungen noch offen sind. Von dort arbeitest du die drei Achsen ab: Zugriff, Daten, Ort.
Zugriff: Rollen, 2FA, SSO
Der erste Hebel ist das Prinzip «so viel Zugriff wie nötig, so wenig wie möglich». Zendesk kennt die Standardrollen Admin, Agent und End-User; dazu Light Agents, die nur interne Kommentare schreiben, aber nichts bearbeiten. Wer feiner steuern will, braucht Custom Roles, die gibt es erst ab den Enterprise-Plänen (bis zu 197 Rollen). Dort liegt der Least-Privilege-Gedanke: Support-Leute sehen Tickets, aber nicht die Kontoeinstellungen.
2FA greift nur beim Zendesk-eigenen Login (E-Mail/Passwort), nicht bei SSO, SAML, JWT oder Google-Login. Erzwingen lässt es sich unter Admin Center → Account → Security → Advanced (Tab Authentication). Unabhängig davon rollt Zendesk eine verpflichtende two-step verification (2SV) aus. Sie ist nicht identisch mit der App-basierten 2FA und greift für Konten mit Zendesk-Authentifizierung. Eine erste Phase lief zwischen 27. Oktober und 5. November 2025, ein Folge-Rollout zwischen 23. Februar und 5. März 2026.
Wer eine zentrale Identität will, nutzt SSO/SAML: Login, MFA, Conditional Access und De-Provisioning laufen dann im eigenen Identity Provider (z. B. Entra ID). Wichtig und leicht übersehen: Bei SSO greift Zendesks eigenes 2FA nicht mehr. Die MFA-Pflicht muss der IdP durchsetzen.
Zendesk modernisiert ausserdem die Authentifizierung für die Programmierschnittstellen. API-Tokens und der Passwort-Login als Methode für API-Anfragen werden abgekündigt (Deprecation 2025/2026); der Weg führt zu OAuth. Wer Integrationen oder Skripte an Zendesk hängt, plant den Umstieg früh, sonst brechen tokenbasierte Aufrufe nach dem Stichtag weg.
Nachvollziehbar wird das über zwei Logs, die man nicht verwechseln sollte: Der audit log (Enterprise und höher, Admin Center → Account → Logs) protokolliert Änderungen am Konto und wird laut Zendesk unbegrenzt aufbewahrt. Der access log zeigt, welche Daten ein Agent angesehen hat (letzte 90 Tage). Der gehört aber zum kostenpflichtigen Advanced Data Privacy and Protection (ADPP) add-on.
public/werkstatt/bauplaene/sicherheit-datenschutz/authentication.png
Daten: Speicherung, Löschung, Ort
Standardmässig löscht Zendesk nichts von selbst. Geschlossene Tickets werden nach 120 Tagen archiviert, und erst archivierte Tickets erfasst eine automatische Löschung. Diese läuft über deletion schedules: für inaktive End-User, archivierte Tickets, Attachments, Bot-only-Conversations (Flow Builder / Answer Bot) und Custom-Object-Records. Ohne add-on ist genau ein Zeitplan pro Typ aktiv; mit ADPP bis zu zehn. Die Bot-Gespräche sind der Punkt, den man leicht vergisst: dort landet PII schnell und unstrukturiert.
Verschlüsselung ist serienmässig da: encryption at rest (primäre und DR-Datenspeicher, Attachments) und in transit (TLS); die Rechenzentren sind ISO-27001- und SOC-2-zertifiziert. Wer eigene Schlüssel verwalten will, braucht ADPP. Dessen advanced encryption bindet ein eigenes KMS an (AWS KMS, Azure Key Vault, Google Cloud KMS oder Thales CipherTrust Manager).
Der Ort ist für die Schweizer Brille zentral: Zendesk läuft auf AWS, und die Standardregion ist nicht zwingend Europa. Ein EU-Hosting gibt es nur über das Data Center Location add-on; eine Schweizer Region existiert nicht. Das add-on ist ab Suite Professional aufwärts kostenlos, muss aber aktiv gewählt werden, am besten schon bei der Kontoerstellung. Ergänzend deckt ADPP die Redaktion ab: manuelles Redigieren (z. B. Kreditkartennummern) geht nativ, aber automatische redaction, data masking und Redaktions-Vorschläge sind ADPP-Funktionen.
Die Schweizer Brille: revDSG
Das revidierte Datenschutzgesetz (revDSG) gilt seit dem 1. September 2023. Für einen Zendesk-Betrieb heisst das konkret drei Dinge: ein Verzeichnis der Bearbeitungstätigkeiten, ein Auftragsbearbeitungsvertrag (ADV/DPA) mit Zendesk als Auftragsbearbeiter, und saubere Regeln zur Bekanntgabe ins Ausland. Der letzte Punkt ist der heikle: Gehen Daten in die USA, braucht es Garantien; für die Schweiz existiert das Swiss-U.S. Data Privacy Framework. Ob Zendesk zertifiziert ist und ob das für deinen Fall trägt, gehört mit der Rechtsberatung geklärt.
Dazu kommen die Betroffenenrechte. Verlangt jemand Auskunft oder Löschung, musst du eine Person samt ihren Tickets gezielt entfernen oder redigieren können. Zendesk löscht einen einzelnen End-User mitsamt seinen Tickets, redigiert PII in einzelnen Tickets und lässt beides über die API automatisieren. Ohne diesen Ablauf bleibt das Recht auf Löschung Theorie.
Praktisch entlastet EU-Hosting die Auslands-Frage, und ADPP liefert die Werkzeuge (access log, Löschpläne, redaction, eigene Schlüssel). Aber Werkzeuge sind nicht Governance: Wer darf was sehen, wie lange bleibt es liegen, wer prüft die Logs, das bleibt deine Aufgabe, nicht die des Produkts.
Und nochmals deutlich: Das hier ist Orientierung, keine Rechtsberatung. Für die verbindliche Beurteilung ziehst du Datenschutz- oder Rechtsberatung bei: DSFA, ADV-Wortlaut, Angemessenheit der Übermittlung.