Tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men (TOM)

Orga­ni­sa­tio­nen, die per­so­nen­be­zo­ge­ne Daten erhe­ben, ver­ar­bei­ten oder nut­zen, haben tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men zu treffen.

Ins­be­son­de­re jene, die erfor­der­lich sind, um die Aus­füh­rung der Vor­schrif­ten der Daten­schutz­ge­set­ze zu gewährleisten.

Erfor­der­lich sind Maß­nah­men nur, wenn ihr Auf­wand in einem ange­mes­se­nen Ver­hält­nis zu dem ange­streb­ten Schutz­zweck steht.

Tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men sind unter­teilt in:

Ver­trau­lich­keit

  • Zutritts­kon­trol­le
  • Zugangs­kon­trol­le
  • Zugriffs­kon­trol­le
  • Tren­nungs­kon­trol­le
  • Pseud­ony­mi­sie­rung

Inte­gri­tät

  • Wei­ter­ga­be­kon­trol­le
  • Ein­gangs­kon­trol­le

Ver­füg­bar­keit und Belastbarkeit

  • Ver­füg­bar­keits­kon­trol­le

Tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men nun Punkt für Punkt:

Zutritts­kon­trol­le

Dabei han­delt es sich um Maß­nah­men, die geeig­net sind, Unbe­fug­ten den Zutritt zu Daten­ver­ar­bei­tungs­an­la­gen, mit denen per­so­nen­be­zo­ge­ne Daten ver­ar­bei­tet oder genutzt wer­den, zu verwehren.

Als Maß­nah­men zur Zutritts­kon­trol­le kön­nen zur Gebäu­de- und Raum­si­che­rung unter ande­rem auto­ma­ti­sche Zutritts­kon­troll­sys­te­me, der Ein­satz von Chip­kar­ten und Trans­pon­der, Kon­trol­le des Zutritts durch Pfört­ner­diens­te und Alarm­an­la­gen ein­ge­setzt werden.

Hier­zu sind Ser­ver, Tele­kom­mu­ni­ka­ti­ons­an­la­gen, Netz­werk­tech­nik und ähn­li­che Anla­gen in ver­schließ­ba­ren Ser­ver­schrän­ken zu schützen.

Dar­über hin­aus ist es sinn­voll, die Zutritts­kon­trol­le auch durch orga­ni­sa­to­ri­sche Maß­nah­men (z.B. Dienst­an­wei­sung, die das Ver­schlie­ßen der Dienst­räu­me bei Abwe­sen­heit vor­sieht), zu stützen.

Zugangs­kon­trol­le

Dies sind Maß­nah­men, die geeig­net sind zu ver­hin­dern, dass Daten­ver­ar­bei­tungs­sys­te­me (Com­pu­ter) von Unbe­fug­ten genutzt werden.

Mit Zugangs­kon­trol­le ist die unbe­fug­te Ver­hin­de­rung der Nut­zung von Anla­gen gemeint.

Mög­lich­kei­ten sind bei­spiels­wei­se Boot­pass­wort, Benut­zer­ken­nung mit Pass­wort für Betriebs­sys­te­me und ein­ge­setz­te Soft­ware­pro­duk­te, Bild­schirm­scho­ner mit Pass­wort, der Ein­satz von Chip­kar­ten zur Anmel­dung wie auch der Ein­satz von Callback-Verfahren.

Dar­über hin­aus kön­nen auch orga­ni­sa­to­ri­sche Maß­nah­men not­wen­dig sein, um bei­spiels­wei­se eine unbe­fug­te Ein­sicht­nah­me zu ver­hin­dern (z.B. Vor­ga­ben zur Auf­stel­lung von Bild­schir­men, Her­aus­ga­be von Ori­en­tie­rungs­hil­fen für die Anwen­der zur Wahl eines „guten“ Passworts).

Zugriffs­kon­trol­le

Die­se Maß­nah­men gewähr­leis­ten, dass die zur Benut­zung eines Daten­ver­ar­bei­tungs­sys­tems Berech­tig­ten aus­schließ­lich auf die ihrer Zugriffs­be­rech­ti­gung unter­lie­gen­den Daten zugrei­fen und dass per­so­nen­be­zo­ge­ne Daten bei der Ver­ar­bei­tung, Nut­zung und nach der Spei­che­rung nicht unbe­fugt gele­sen, kopiert, ver­än­dert oder zu ent­fer­nen sind.

Die Zugriffs­kon­trol­le kann durch geeig­ne­te Berech­ti­gungs­kon­zep­te, die eine dif­fe­ren­zier­te Steue­rung des Zugriffs auf Daten ermög­li­chen, gewähr­leis­tet sein.

Dabei gilt sowohl eine Dif­fe­ren­zie­rung auf den Inhalt der Daten vor­zu­neh­men als auch auf die mög­li­chen Zugriffs­funk­tio­nen auf die Daten. Wei­ter­hin sind geeig­ne­te Kon­troll­me­cha­nis­men und Ver­ant­wort­lich­kei­ten zu defi­nie­ren, um die Ver­ga­be und den Ent­zug der Berech­ti­gun­gen zu doku­men­tie­ren und auf einem aktu­el­len Stand zu hal­ten (z.B. bei Ein­stel­lung, Wech­sel des Arbeits­plat­zes, Been­di­gung des Arbeitsverhältnisses).

Eine beson­de­re Auf­merk­sam­keit ist hier auf die Rol­le und Mög­lich­kei­ten der Admi­nis­tra­to­ren zu richten.

Tren­nungs­kon­trol­le

Durch dies Maß­nah­men wird gewähr­leis­ten, dass zu unter­schied­li­chen Zwe­cken erho­be­ne Daten getrennt ver­ar­bei­tet sind.

Die­ses kann bei­spiels­wei­se durch logi­sche und phy­si­ka­li­sche Tren­nung der Daten gewähr­leis­tet sein.

Pseud­ony­mi­sie­rung

Die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten erfolgt in einer Wei­se, dass die Daten ohne Hin­zu­zie­hung zusätz­li­cher Infor­ma­tio­nen nicht mehr einer spe­zi­fi­schen betrof­fe­nen Per­son zuge­ord­net wer­den können.

Sofern die­se zusätz­li­chen Infor­ma­tio­nen geson­dert auf­be­wahrt sind und ent­spre­chen­de tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men unterliegen.

Wei­ter­ga­be­kon­trol­le

Maß­nah­men, die gewähr­leis­ten, dass per­so­nen­be­zo­ge­ne Daten bei der elek­tro­ni­schen Über­tra­gung oder wäh­rend ihres Trans­ports oder ihrer Spei­che­rung auf Daten­trä­ger nicht unbe­fugt gele­sen, kopiert, ver­än­dert oder ent­fernt wer­den kön­nen und dass über­prüft und fest­ge­stellt wer­den kann, an wel­che Stel­len eine Über­mitt­lung per­so­nen­be­zo­ge­ner Daten durch Ein­rich­tun­gen zur Daten­über­tra­gung vor­ge­se­hen ist.

Zur Gewähr­leis­tung der Ver­trau­lich­keit bei der elek­tro­ni­schen Daten­über­tra­gung kön­nen z.B. Ver­schlüs­se­lungs­tech­ni­ken und Vir­tu­al Pri­va­te Net­work ein­ge­setzt werden.

Maß­nah­men beim Daten­trä­ger­trans­port bzw. Daten­wei­ter­ga­be sind Trans­port­be­häl­ter mit Schließ­vor­rich­tung und Rege­lun­gen für eine daten­schutz­ge­rech­te Ver­nich­tung von Datenträgern.

Ein­gangs­kon­trol­le

Durch die­se Maß­nah­men wird nach­träg­lich über­prüft und fest­ge­stellt, ob und von wem per­so­nen­be­zo­ge­ne Daten in Daten­ver­ar­bei­tungs­sys­te­me ein­ge­ge­ben, ver­än­dert oder ent­fernt werden.

Die Ein­ga­be­kon­trol­le wird durch Pro­to­kol­lie­run­gen erreicht, die auf ver­schie­de­nen Ebe­nen (z.B. Betriebs­sys­tem, Netz­werk, Fire­wall, Daten­bank, Anwen­dung) statt­fin­den können.

Dabei ist wei­ter­hin zu klä­ren, wel­che Daten pro­to­kol­liert wer­den, wer Zugriff auf Pro­to­kol­le hat, durch wen und bei wel­chem Anlass/Zeitpunkt die­se kon­trol­liert wer­den, wie lan­ge eine Auf­be­wah­rung erfor­der­lich ist und wann eine Löschung der Pro­to­kol­le stattfindet.

Ver­füg­bar­keits­kon­trol­le

Mit die­sen Maß­nah­men wer­den per­so­nen­be­zo­ge­ne Daten gegen zufäl­li­ge Zer­stö­rung oder Ver­lust geschützt.

Hier geht es um The­men wie eine unter­bre­chungs­freie Strom­ver­sor­gung, Kli­ma­an­la­gen, Brand­schutz, Daten­si­che­run­gen, siche­re Auf­be­wah­rung von Daten­trä­gern, Viren­schutz, Raid­sys­te­me, Plat­ten­spie­ge­lun­gen etc..

Es ist auch erfor­der­lich, Ver­fah­ren zur regel­mä­ßi­gen Über­prü­fung einzusetzen.

Wie zum Beispiel:

  • Inter­ner oder exter­ner Datenschutzbeauftragter
  • Zen­tra­le Doku­men­ta­ti­on aller Ver­fah­rens­wei­sen und Rege­lun­gen zum Daten­schutz mit Zugriffs­mög­lich­keit für Mit­ar­bei­ter nach Bedarf bzw. Berechtigung
  • Ver­pflich­tung der Mit­ar­bei­ter auf Ver­trau­lich­keit und das Datengeheimnis
  • Regel­mä­ßi­ge Sen­si­bi­li­sie­rung der Mit­ar­bei­ter min­des­tens jährlich
  • Eine Über­prü­fung der Wirk­sam­keit der tech­ni­schen Schutz­maß­nah­men wird mind. jähr­lich durchgeführt
  • Die Daten­schutz-Fol­gen­ab­schät­zung (DSFA wird bei Bedarf durchgeführt)
  • Erfül­lung der Infor­ma­ti­ons­pflich­ten nach Art. 13 und 14 der DSGVO
  • Pri­va­cy by design / Pri­va­cy by default, hier­zu wer­den nicht mehr per­so­nen­be­zo­ge­ne Daten erho­ben, als für den jewei­li­gen Zweck erfor­der­lich sind

Eine wesent­li­chen Auf­ga­be des Daten­schutz­be­auf­trag­ten ist es, genau die­se und noch wei­te­re Maß­nah­men im Unter­neh­men zu über­prü­fen bzw. bei der Eta­blie­rung bera­tend tätig zu sein.

Dabei las­sen sich im Rah­men eines (exter­nen) Audits leicht Lücken und Miss­stän­de erken­nen und beheben.

Also las­sen Sie sich gut beraten.

Add Comment