TOM
TOM sind alle Vorkehrungen, mit denen Sie Daten vor Verlust und fremdem Zugriff schützen. Technisch sind Passwörter, Verschlüsselung, Sicherungskopien und Zugriffsrechte. Organisatorisch sind Regeln für Menschen: wer darf was, was passiert bei einer Kündigung, wer schließt abends ab. Die DSGVO verlangt, dass Sie beides festlegen und aufschreiben.
Das hier ist keine Rechtsberatung. Wir erklären, was gemeint ist, und setzen den technischen Teil auf Ihrer Webseite um. Ob Ihre Maßnahmen insgesamt angemessen sind, hängt an Ihrem Betrieb und gehört zu einer Datenschutzberatung. Wir bewerten kein Schutzniveau.
Was das genau bedeutet
Die Abkürzung schreckt ab, gemeint ist aber genau das, was jeder Betrieb ohnehin schon macht, nur eben aufgeschrieben. Die Werkstatt wird abends abgeschlossen. Der Schlüssel hängt nicht draußen. Nicht jeder darf an die Kasse. Genau diese Logik, angewandt auf Daten statt auf Werkzeug.
Technisch heißt: Der Zugang zum Server ist mit einem eigenen Passwort geschützt, nicht mit dem, das auch für den Onlinehandel benutzt wird. Die Webseite überträgt verschlüsselt, erkennbar am Schloss in der Adresszeile. Es gibt eine Sicherungskopie, die nicht auf demselben Rechner liegt wie das Original. Jede Person hat ein eigenes Konto, damit man später sehen kann, wer etwas geändert hat.
Organisatorisch heißt: Es ist geklärt, wer welche Zugänge hat. Wenn jemand den Betrieb verlässt, werden diese Zugänge gesperrt, und zwar am selben Tag. Neue Mitarbeitende bekommen einmal gesagt, wie mit Kundendaten umzugehen ist. Für den Fall, dass etwas schiefgeht, weiß eine Person, was zu tun ist. Der organisatorische Teil kostet nichts und wird trotzdem am häufigsten vergessen.
Warum das für Ihr Unternehmen zählt
Der erste Grund ist praktisch: Die meisten Schäden in kleinen Betrieben entstehen nicht durch Angriffe von außen, sondern durch Alltäglichkeiten. Ein Laptop bleibt im Zug liegen. Eine Mitarbeiterin geht, ihr Zugang bleibt Monate aktiv. Der Server war seit zwei Jahren nicht aktualisiert. Gegen all das helfen keine großen Investitionen, sondern klare Absprachen.
Der zweite Grund ist die Beweislage. Wenn doch etwas passiert, wird gefragt, was Sie vorher getan haben. Zwei Betriebe mit demselben Vorfall werden völlig unterschiedlich behandelt, je nachdem ob es vorher eine dokumentierte Regel gab oder nicht. Eine kurze, ehrliche Liste ist an dieser Stelle deutlich mehr wert als eine perfekte Liste, die es nicht gibt.
Drittens fragen Ihre eigenen Auftraggeber zunehmend danach. Wer für Praxen, Kanzleien oder öffentliche Stellen arbeitet, bekommt inzwischen regelmäßig einen Fragebogen zu genau diesem Thema. Wer dann etwas vorzeigen kann, gewinnt Aufträge, für die andere erst nachrüsten müssen.
So gehen Sie vor
- Schreiben Sie auf, wer welche Zugänge hat. Server, E-Mail, Webseite, Buchhaltung, Cloudspeicher, Kasse. Eine Tabelle mit Name, Zugang, seit wann. Allein diese Liste deckt in den meisten Betrieben die Hälfte der offenen Punkte auf, weil regelmäßig Zugänge von Personen auftauchen, die längst weg sind.
- Trennen Sie Konten voneinander. Ein gemeinsames Passwort, das alle kennen, ist keine Maßnahme, sondern das Gegenteil. Jede Person bekommt einen eigenen Zugang. Das kostet meist nichts und ist die wirksamste einzelne Änderung.
- Prüfen Sie, ob es eine Sicherungskopie gibt, die getrennt liegt. Eine Kopie auf demselben Server hilft bei einem Ausfall dieses Servers nicht. Wichtiger als der Rhythmus ist die Frage, ob schon einmal jemand versucht hat, aus dieser Kopie tatsächlich etwas wiederherzustellen.
- Legen Sie fest, was bei einem Personalwechsel passiert. Ein Satz genügt: Am letzten Arbeitstag werden alle Zugänge gesperrt, zuständig ist Person X. Das ist eine organisatorische Maßnahme, und sie ist an einem Nachmittag eingeführt.
- Fassen Sie alles auf zwei Seiten zusammen. Überschriften: Zugänge, Passwörter, Verschlüsselung, Sicherungskopien, Räume, Regeln für Mitarbeitende, Vorgehen bei Vorfällen. Darunter jeweils zwei bis vier Sätze, was Sie tatsächlich tun. Nicht, was Sie tun sollten.
Typische Fehler
Vier Annahmen, die in der Praxis regelmäßig teuer werden.
Wir haben eine Firewall, damit ist das erledigt.
Technik allein deckt nur eine Hälfte ab. Der häufigste Weg zu Ihren Daten führt nicht durch die Firewall, sondern über einen Zugang, den jemand noch hat, obwohl er ihn nicht mehr haben sollte. Ohne den organisatorischen Teil bleibt die beste Technik lückenhaft.
Das schreiben wir auf, wenn jemand danach fragt.
Dann ist es zu spät. Der Sinn der Dokumentation ist der Nachweis, dass die Maßnahmen vorher bestanden. Eine Liste, die erst nach einem Vorfall entsteht, wird als das erkannt, was sie ist.
Bei uns kennt jeder alle Passwörter, das ist praktischer.
Praktisch ja, aber es macht jede spätere Aufklärung unmöglich. Wenn nicht nachvollziehbar ist, wer etwas geändert oder gelöscht hat, steht am Ende der ganze Betrieb ohne Erklärung da. Ein Passwortmanager mit geteilten Einträgen löst das, ohne unbequem zu sein.
Wir sind zu klein, das erwartet niemand von uns.
Angemessen heißt nicht aufwendig, aber es heißt vorhanden. Von einem Dreipersonenbetrieb erwartet niemand ein Sicherheitskonzept nach Industriestandard. Erwartet werden eigene Zugänge, aktuelle Software, eine funktionierende Sicherungskopie und die Fähigkeit, das in zwei Sätzen zu erklären.
Verwandte Begriffe
Wie wir damit umgehen
Den technischen Teil rund um Ihre Webseite übernehmen wir und schreiben ihn so auf, dass Sie ihn weiterverwenden können: verschlüsselte Übertragung, getrennte Zugänge statt eines gemeinsamen Passworts, regelmäßige Aktualisierungen, Sicherungskopien außerhalb des Servers und ein Formular, dessen Eingaben nicht offen per E-Mail durchs Netz gehen. Was in Ihren Räumen und in Ihrem Team gilt, legen Sie selbst fest, dabei hilft Ihnen eine Datenschutzberatung.
Wie sicher steht Ihre Webseite technisch da?
Der Sichtbarkeits-Check prüft unter anderem die verschlüsselte Verbindung und den technischen Zustand Ihrer Seite. Er ersetzt keine Sicherheitsprüfung und keine rechtliche Bewertung, zeigt aber die offensichtlichen Lücken.