Sie verwenden einen veralteten Browser. Um im Internet auch weiterhin sicher unterwegs zu sein, empfehlen wir ein Update.

Nutzen Sie z.B. eine aktuelle Version von Edge, Chrome oder Firefox

TOM: technische und organisatorische Maßnahmen

Personenbezogene Daten sind nicht nur auf rechtlicher Ebene, sondern auch auf technischer und organisatorischer Ebene zu schützen. Dies bezeichnet man auch als Datensicherheit. Nötig sind dafür die sogenannten technischen und organisatorischen Maßnahmen, meist abgekürzt als TOM.

➜ Technische und organisatorische Maßnahmen praktisch umsetzen

Bluetooth-Sicherheit symbolisiert durch das Bluetooth-Symbol
Bild: Eugene Delamure / Hemera / Thinkstock
Sicherheitstipps

Früher galt Bluetooth als Kabelersatz und als Kurzstrecken-Funk. Die neuen Versionen ermöglichen jedoch auch Verbindungen über größere Distanzen. Die Folge: Sie brauchen mehr Sicherheits-Maßnahmen. Das gilt besonders im Internet of Things (IoT).

Download

Bluetooth-Verbindungen sind angreifbar. Und die Entwicklung hin zum Internet of Things macht die Sache nicht besser. Was können Sie tun, um Bluetooth abzusichern?

Grundsätze der Datenverarbeitung, Teil 7

Jemand arbeitet am Flughafen am Laptop. Ein Reisender schaut ihm unbemerkt über die Schulter und liest sensible Informationen mit. In einem anderen Fall bleiben vertrauliche Unterlagen im Besprechungsraum zurück. Das sind Klassiker, bei denen die betreffenden Personen die Grundsätze der Vertraulichkeit und Integrität nicht beachtet haben.

Checkliste

Vertraulichkeit und Integrität sind kein Zufall! Ob unbemerkte Blicke über die Schulter am Flughafen oder zurückgelassene Dokumente im Besprechungsraum – solche Klassiker können sensible Informationen gefährden. Unsere Checkliste zeigt Ihnen, wie Sie mit einfachen technischen und organisatorischen Maßnahmen solchen Situationen vorbeugen können.

Schritt für Schritt zum Berechtigungskonzept
Bild: KrulUA / iStock / Thinkstock
Schlüssel zum Datenschutz

Das Berechtigungskonzept muss abbilden, welche Zugriffe im Datenschutz jeweils erlaubt sind und welche nicht. Ist das Berechtigungskonzept zu strikt, hemmt es die Produktivität. Ist es zu lasch, sind die Daten in Gefahr. Trends wie KI, Cloud, Mobility, Big Data und IoT machen es nicht leichter, ein solches Konzept auf die Beine zu stellen. Wir zeigen, worauf es ankommt.

Ohne ein wasserdichtes Berechtigungskonzept fehlt ein ganz wichtiger Baustein für Datenschutz und Datensicherheit im Betrieb. Die Checkliste zeigt die wesentlichen Punkte, die zu einem solchen Konzept gehören.

Datenschutz-Grenzen für Künstliche Intelligenz

Richtlinien für Training und Nutzung generativer KI geben oft vor, auf welche Datenquellen die KI unter welchen Bedingungen zugreifen darf. Doch die Regelung allein kann nicht sicherstellen, dass eine KI nicht doch die Grenzen überschreitet. Es gibt aber bereits technische Lösungen, um solche KI-Vorgaben durchzusetzen. Wir geben einen Überblick.

Für den sicheren Einsatz generativer KI sind klare Richtlinien und technische Maßnahmen erforderlich, um den Datenzugriff zu kontrollieren und Missbrauch zu verhindern. Diese Checkliste fasst die wichtigsten Anforderungen an Lösungen zusammen.

Viele Schnittstellen zum Datenschutz

Die EU-Verordnung DORA (Digital Operational Resilience Act) soll die digitale Resilienz im EU-Finanzsektor stärken und die Vorgaben harmonisieren. DORA legt zahlreiche Sicherheits- und Berichtspflichten fest, damit Finanzunternehmen widerstandsfähiger gegen Cyberangriffe und andere Risiken der IKT-Nutzung – etwa Outsourcing-Risiken – werden.

Unternehmen müssen laut DSGVO die Belastbarkeit ihrer IT-Systeme sicherstellen.
Bild: solarseven / iStock / Thinkstock
Tools für die DSGVO

Eine Forderung der Datenschutz-Grundverordnung (DSGVO / GDPR) an die Sicherheit der Verarbeitung ist die Belastbarkeit oder Resilienz. Doch wie lässt sich die Belastbarkeit gewährleisten, wie lässt sie sich prüfen? Hier helfen Tools.

1 von 9

Die Datenschutz-Grundverordnung (DSGVO) fordert, nicht nur die personenbezogenen Daten an sich zu schützen, sondern auch die Dateien, Datenbanken, Datenträger, IT-Systeme und -Komponenten, in denen sie gespeichert oder verarbeitet werden (technische Maßnahmen). Zudem sind organisatorische Maßnahmen zum Schutz der Daten zu treffen (z.B. Arbeitsanweisungen).

Es genügt, solche TOM zu treffen, deren Aufwand in einem angemessenen Verhältnis zum Nutzen stehen. Es ist nicht notwendig, „mit Kanonen auf Spatzen zu schießen“. Was das konkret im Einzelfall bedeutet, kann jedoch auslegungsbedürftig sein.

TOM-Maßnahmen zur Datensicherheit

Die DSGVO fordert, dass Verantwortliche personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen schützen müssen (Art. 32 DSGVO). Dabei müssen sie nicht jede Maßnahme, die denkbar ist, auch umsetzen – sondern nur solche, die angemessen sind.

Angemessenheit der TOM bestimmen

Um die Angemessenheit von technisch-organisatorischen Maßnahmen zu bestimmen, gilt es, laut Gesetz folgende Kriterien zu berücksichtigen:

Folgende Ziele sollen die technischen und organisatorischen Maßnahmen unter anderem erreichen:

    • Zutrittskontrolle
    • Zugangskontrolle
    • Zugriffskontrolle
    • Trennungskontrolle
    • Weitergabekontrolle
    • Eingabekontrolle
    • Verfügbarkeitskontrolle
    • Auftragskontrolle
  • eine rasche Wiederherstellung der Verfügbarkeit und des Zugangs zu den personenbezogenen Daten nach einem Zwischenfall
  • Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der getroffenen Maßnahmen. Dazu wird mindestens eine IT-Risiko-/Schwachstellenanalyse erforderlich sein. Durch ein Kontrollverfahren müssen Verantwortliche zudem die TOM in regelmäßigen Abständen überprüfen und verbessern.

Verhaltensregeln helfen

Der Datenverarbeiter muss nachweisen, dass er die Datensicherheit gemäß Art. 32 DSGVO gewährleistet (Rechenschaftspflicht). Zu seiner eigenen Erleichterung darf er dabei auf genehmigte Verhaltensregeln gemäß Art. 40 DSGVO oder auf genehmigte Zertifizierungsverfahren gemäß Art. 42 DSGVO zurückgreifen (Art. 32 Abs. 3 DSGVO).

Das erleichtert auch die Rechenschaft gegenüber Dritten.

Verarbeitung nur aufgrund von Weisungen

Die Mitarbeitenden, die personenbezogene Daten verarbeiten, müssen den Anweisungen des Verantwortlichen folgen. Der Verantwortliche muss dies seinerseits durch geeignete Maßnahmen sicherstellen (Art. 32 Abs. 4 DSGVO). Dabei kann er die Mitarbeiter als organisatorische Maßnahme auf die Vertraulichkeit bzw. das Datengeheimnis verpflichten.

Datenschutz PRAXIS - Der Podcast
Vielen Dank! Ihr Kommentar muss noch redaktionell geprüft werden, bevor wir ihn veröffentlichen können.