DSGVO in der IT-Infrastruktur: was zu tun ist

DSGVO in der IT-Infrastruktur heißt vor allem vier Dinge technisch sauber umzusetzen: geregelte Zugriffskontrolle, nachvollziehbare Protokollierung, funktionierende Löschkonzepte und ein Überblick über alle Auftragsverarbeiter, die an Ihre Daten kommen. Viele Betriebe haben eine Datenschutzerklärung auf der Website und einen Ordner mit Formularen – aber die eigentliche Arbeit findet in der Infrastruktur statt: in Berechtigungen, Protokollen, Backup-Routinen und Verträgen mit IT-Dienstleistern. Wer diesen Teil nicht sauber hat, hat auch mit der besten Erklärung keine DSGVO-konforme Infrastruktur.

Warum IT-Infrastruktur der Ort ist, an dem DSGVO technisch entschieden wird

Die DSGVO verlangt unter anderem geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau sicherzustellen – was im Einzelfall angemessen ist, muss aber immer für den jeweiligen Betrieb bewertet werden, nicht pauschal aus einem Gesetzestext abgeleitet. In der Praxis heißt das: die Firewall-Konfiguration, das Berechtigungskonzept im Fileserver, die Backup-Strategie und die Frage, wer sich mit welchem Passwort ins ERP-System einloggt, sind alles Datenschutzthemen, auch wenn sie in der Verantwortung der IT liegen und nicht in der des Datenschutzbeauftragten allein. Wird IT-Infrastruktur ohne diesen Blick geplant, entstehen Lücken, die später mit deutlich mehr Aufwand nachgezogen werden müssen, als sie von Anfang an eingeplant zu haben.

Zugriffskontrolle: wer darf worauf zugreifen

Der Ausgangspunkt ist eine einfache Frage, die in gewachsenen Netzwerken oft überraschend schwer zu beantworten ist: Wer hat aktuell Zugriff auf welche Daten, und warum? In vielen KMU-Netzwerken sind Freigaben über Jahre gewachsen, Mitarbeiter haben Berechtigungen aus früheren Rollen behalten, und ein zentrales Berechtigungskonzept existiert nur in den Köpfen einzelner Personen. Technisch sauber umgesetzte Zugriffskontrolle bedeutet, Berechtigungen nach dem Prinzip der geringsten notwendigen Rechte zu vergeben, sie an Rollen statt an Einzelpersonen zu koppeln und sie bei Rollenwechsel oder Austritt konsequent anzupassen.

• Berechtigungen nach Rollen statt nach Einzelpersonen vergeben, damit Wechsel nicht zu Karteileichen führen
• Zugriff auf sensible Daten (Personal, Finanzen, Kundendaten) enger fassen als auf allgemeine Ablagen
• Regelmäßige Durchsicht bestehender Berechtigungen statt einmaliger Einrichtung ohne Wiedervorlage
• Zentrale Verwaltung von Konten und Rechten statt lokaler Zugänge auf einzelnen Systemen

Protokollierung: was passiert, wenn etwas passiert

Zugriffskontrolle allein reicht nicht, wenn im Ernstfall niemand nachvollziehen kann, wer wann auf welche Daten zugegriffen oder was verändert hat. Protokollierung ist deshalb kein Selbstzweck, sondern die Grundlage dafür, einen Vorfall überhaupt aufklären zu können – ob das ein externer Angriff ist oder eine interne Unregelmäßigkeit. Wichtig ist dabei ein Gleichgewicht: Es geht um Nachvollziehbarkeit sicherheitsrelevanter Ereignisse, nicht um eine lückenlose Überwachung der Belegschaft, die datenschutzrechtlich selbst wieder eine eigene Rechtsgrundlage bräuchte.

• Sicherheitsrelevante Ereignisse protokollieren: Anmeldungen, fehlgeschlagene Zugriffsversuche, Änderungen an Berechtigungen
• Protokolle zentral sammeln, statt sie verteilt auf einzelnen Geräten liegen zu lassen, wo sie im Ernstfall nicht mehr auffindbar sind
• Aufbewahrungsdauer für Protokolle festlegen, statt sie unbegrenzt oder gar nicht zu speichern
• Zugriff auf die Protokolle selbst wieder beschränken – Protokolldaten sind ebenfalls sensible Daten

Löschkonzepte: Daten dürfen nicht ewig liegen bleiben

Ein häufiger Schwachpunkt ist nicht das Sammeln, sondern das Nicht-Löschen von Daten. Ehemalige Mitarbeiter-Postfächer, Bewerbungsunterlagen abgelehnter Kandidaten, alte Kundendatenbanken auf Servern, die niemand mehr aktiv nutzt – all das sammelt sich über Jahre an, ohne dass jemand aktiv entscheidet, es zu behalten. Ein Löschkonzept legt fest, welche Datenkategorien wie lange aufbewahrt werden und wie die Löschung technisch tatsächlich stattfindet, statt nur auf dem Papier zu existieren.

• Datenkategorien mit jeweiliger Aufbewahrungsfrist festlegen (z. B. Bewerbungsunterlagen, Postfächer ausgeschiedener Mitarbeiter, Protokolldaten)
• Löschroutinen technisch automatisieren, wo möglich, statt sich auf manuelle Erinnerung zu verlassen
• Backups bei der Löschplanung mitdenken – gelöschte Daten liegen sonst unbemerkt in Sicherungen weiter
• Löschung dokumentieren, damit im Zweifel nachweisbar ist, dass sie stattgefunden hat

Auftragsverarbeitung: wenn Dienstleister mit im Boot sind

Kaum ein Betrieb betreibt seine gesamte IT komplett selbst – Cloud-Speicher, E-Mail-Hosting, Buchhaltungssoftware, Backup-Dienstleister: Sobald ein externer Anbieter personenbezogene Daten im Auftrag verarbeitet, braucht es dafür einen Auftragsverarbeitungsvertrag, der unter anderem Weisungsgebundenheit, Sicherheitsmaßnahmen und Löschung nach Vertragsende regelt. In der Praxis fehlt dieser Überblick oft komplett: Niemand hat eine vollständige Liste aller eingesetzten Dienstleister, geschweige denn die zugehörigen Verträge griffbereit.

• Vollständige Liste aller Dienstleister führen, die Zugriff auf personenbezogene Daten haben oder haben könnten
• Auftragsverarbeitungsverträge einholen und zentral ablegen, statt sie verstreut in E-Mail-Postfächern zu suchen
• Serverstandort und Drittlandtransfer bei jedem Dienstleister klären, besonders bei Cloud-Diensten außerhalb der EU
• Bei Wechsel eines Dienstleisters die alten Zugänge und Daten aktiv abbauen, nicht nur den neuen einrichten

Technisch-organisatorische Maßnahmen: was in der Praxis dazugehört

Technisch-organisatorische Maßnahmen (TOMs) sind der Sammelbegriff für all das oben Genannte plus die klassische IT-Sicherheit: Firewall, Verschlüsselung, Netzwerksegmentierung, Backup-Strategie, Updates und Patch-Management. Eine TOM-Dokumentation, die diese Maßnahmen konkret für die eigene Infrastruktur beschreibt, ist nicht nur eine Fleißaufgabe – sie ist die Grundlage, um im Zweifel zeigen zu können, dass ein angemessenes Schutzniveau tatsächlich umgesetzt ist, statt nur behauptet zu werden. Wer eine solche Dokumentation neu erstellt oder eine bestehende überarbeitet, sollte sie an der real eingesetzten Infrastruktur ausrichten, nicht an einer generischen Vorlage aus dem Internet.

Wo Sie anfangen, wenn noch nichts davon dokumentiert ist

Wer bei null anfängt, muss nicht sofort alle Punkte gleichzeitig lösen – wichtiger ist, mit einer ehrlichen Bestandsaufnahme zu starten, statt gleich mit einer neuen Firewall-Regel oder einem neuen Tool. Die Reihenfolge, in der die einzelnen Bausteine angegangen werden, sollte sich danach richten, wo aktuell das größte Risiko liegt, nicht danach, was am schnellsten erledigt ist.

1. 01Bestandsaufnahme: welche Systeme verarbeiten personenbezogene Daten, und wer hat aktuell Zugriff darauf
2. 02Zugriffskontrolle bereinigen: verwaiste Berechtigungen entfernen, bevor neue Regeln aufgesetzt werden
3. 03Löschkonzept für die größten Datenbestände festlegen, bevor kleinere Ablagen im Detail geregelt werden
4. 04Liste der Auftragsverarbeiter vervollständigen und fehlende Verträge nachholen
5. 05TOM-Dokumentation auf Basis der ersten vier Schritte erstellen, statt sie vorher aus einer Vorlage abzuschreiben