Die IT-Sicherheit ist ein zentrales Element der DSGVO (Art. 32). Es reicht nicht, nur ein Datenschutzkonzept auf dem Papier zu haben – du musst auch technisch sicherstellen, dass niemand unbefugt an personenbezogene Daten gelangt. „IT-Sicherheit DSGVO“ bedeutet u. a. starke Passwörter, Verschlüsselung, Firewalls, regelmäßige Updates und ein durchdachtes Notfall-Management. In diesem Artikel beleuchten wir, wie du technische und organisatorische Maßnahmen (TOMs) umsetzt, um Datenpannen zu verhindern und gesetzeskonform zu handeln. Ob KMU oder Konzern: Mit wenigen Schritten kannst du dein Sicherheitsniveau deutlich anheben.
Bulletpoints
- Stand der Technik laut Art. 32 DSGVO anstreben
- Firewall, Verschlüsselung, Updates als Basis
- Rollenkonzept: kein Full-Access für alle
- Security-Audits und Pen-Tests
1. Was fordert die DSGVO konkret?
Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“. Beispiele:
- Pseudonymisierung und Verschlüsselung personenbezogener Daten
- Zugriffskontrolle (Need-to-know)
- Integrität (Daten dürfen nicht unbemerkt manipuliert werden)
- Verfügbarkeit (Backups, Ausfallsicherheit)
Der „Stand der Technik“ ist ein dynamischer Begriff: Du musst dich an aktuellen Best Practices orientieren, z. B. aus den BSI-Grundschutzkatalogen oder ISO-Normen.
2. Typische Bausteine der IT-Sicherheit
- Netzwerksicherheit: Firewall, Intrusion Detection/Prevention, segmentierte Netze.
- Zugangskontrolle: Passwörter, Zwei-Faktor-Authentifizierung, Rollen- und Rechtekonzept.
- Sicheres Software-Management: Regelmäßige Updates, Patchmanagement, keine veralteten Plugins.
- Backup-Strategie: 3-2-1-Regel (3 Kopien, 2 Medien, 1 externer Ort).
- Verschlüsselung (at rest und in transit): Z. B. Festplattenverschlüsselung, TLS-Verbindungen.
3. Organisatorische TOMs
- Datenschutzbeauftragter: Koordiniert, ob die IT-Maßnahmen DSGVO-Standards erfüllen.
- Schulungen: Mitarbeiter sind die größte Schwachstelle (Phishing, Social Engineering).
- Notfallkonzept: Wer macht was, wenn ein Hackerangriff entdeckt wird? Wie meldest du eine Datenpanne in 72 Stunden?
- Protokollierung & Audits: Prüfe regelmäßig Logs und hole ggf. externe Penetrationstests ins Haus.
4. Häufige Schwachstellen
- Veraltete Systeme: Wer noch Windows XP oder ungepatchte Linux-Systeme einsetzt, wird schnell zum Opfer von Angriffen.
- Fehlende Zugangsbeschränkungen: Jeder Mitarbeiter hat Zugriff auf alle Kundendaten – unnötig großes Risiko.
- Keine 2FA: Konten lassen sich mit geleakten Passwörtern leicht kapern.
- Kein Monitoring: Sicherheitslücken bleiben unbemerkt, Hacker können sich monatelang im System tummeln.
FAQ
Nein, IT-Sicherheit erfordert ein gesamtes Konzept: Firewall, Patchmanagement, Berechtigungssystem etc.
Führe ein Sicherheitskonzept oder einen TOM-Katalog, in dem du alle eingesetzten Maßnahmen beschreibst. Das dient als Nachweis.
Ja, aber du bleibst als Verantwortlicher in der Pflicht. Stelle sicher, dass dein Dienstleister zuverlässige Standards erfüllt (Vertrag, Zertifizierungen).
