Technische und organisatorische Maßnahmen

Keine allgemeingültige Maßnahmenliste

Angemessene Maßnahmen hängen von Art, Umfang, Umständen und Zweck der Verarbeitung sowie von den möglichen Folgen für betroffene Personen ab. Eine kleine öffentliche Website benötigt andere Schutzmaßnahmen als ein Kundenportal, eine medizinische Anwendung oder eine umfangreiche Beschäftigtendatenbank.

Zugänge und Berechtigungen

• individuelle Benutzerkonten statt gemeinsam verwendeter Zugänge
• nur die für eine Aufgabe erforderlichen Berechtigungen
• starke Authentisierung und Mehrfaktor-Authentifizierung
• zeitnahe Sperrung nicht mehr benötigter Konten
• regelmäßige Überprüfung privilegierter Zugänge

Vertraulichkeit und sichere Übertragung

• Transportverschlüsselung für Websites und E-Mail-Systeme
• Ende-zu-Ende-Verschlüsselung für besonders schutzbedürftige Inhalte
• Verschlüsselung mobiler Geräte und geeigneter Datenträger
• sichere Verwaltung kryptografischer Schlüssel und Wiederherstellungscodes

Verfügbarkeit und Wiederherstellung

• regelmäßige, automatisierte und ausreichend getrennte Backups
• praktisch getestete Wiederherstellungsverfahren
• Überwachung wichtiger Systeme und ausreichender Speicherkapazitäten
• Notfallkontakte und klare Verantwortlichkeiten

Aktualisierung und Systempflege

• geregeltes Patch- und Schwachstellenmanagement
• Inventar eingesetzter Systeme, Anwendungen und Abhängigkeiten
• Entfernung nicht mehr benötigter Software und Dienste
• sichere Standardkonfigurationen und dokumentierte Änderungen

Protokollierung und Kontrolle

Sicherheitsprotokolle sind für die Erkennung von Angriffen und Fehlern zwingend erforderlich. Gleichzeitig enthalten sie häufig personenbezogene Daten. Deshalb benötigen sie einen klaren Zweck, beschränkte Zugriffsrechte, angemessene Löschfristen und Schutz vor Manipulation.

Löschung und Entsorgung

• nachvollziehbare Löschregeln (sicheres Löschen) für unterschiedliche Datenarten
• sichere Löschung oder Vernichtung ausgemusterter Datenträger
• Berücksichtigung von Kopien, Exporten und Backups
• Kontrolle der Löschung bei eingesetzten Dienstleistern

Organisation und regelmäßige Überprüfung

Technik allein genügt nicht. Beschäftigte benötigen verständliche Vorgaben, passende Schulungen und bekannte Meldewege für Fehler oder mögliche Datenschutzverletzungen. Maßnahmen müssen außerdem regelmäßig auf ihre Wirksamkeit geprüft und an veränderte Risiken angepasst werden.

Eine TOM-Liste ist keine universelle Sicherheitsgarantie. Auswahl, Ausgestaltung und Dokumentation müssen zum tatsächlichen Risiko passen.

← Zurück zur Übersicht Wissen