TOMs für Nicht-Techniker: Wie Sie Ihr Sicherheitskonzept dokumentieren, ohne IT-Studium

Der Begriff « technisch-organisatorische Massnahmen » (TOMs) klingt für viele Kleinunternehmer wie ein Drohbrief vom Finanzamt – kompliziert, technisch und irgendwie bedrohlich. Sie wissen, dass die DSGVO von Ihnen verlangt, ein solches Sicherheitskonzept zu haben und es im Verzeichnis von Verarbeitungstätigkeiten (VVT) zu dokumentieren. Doch die meisten Ratgeber verlieren sich in juristischen Paragrafen oder IT-Fachchinesisch. Man liest von Zutritts-, Zugangs- und Zugriffskontrolle, von Verschlüsselungsalgorithmen und kryptografischen Schlüsseln und fühlt sich schnell überfordert.

Die gute Nachricht ist: Sie müssen kein IT-Studium absolvieren, um Ihre Pflichten zu erfüllen. Als Ihr pragmatischer Berater sage ich Ihnen: Bei den TOMs geht es im Kern nicht um die Implementierung komplexester Systeme. Es geht darum, Ihre alltäglichen, vernünftigen Sicherheitsentscheidungen nachvollziehbar zu dokumentieren. Es ist die offizielle Übersetzung Ihres gesunden Menschenverstandes in eine Sprache, die die Datenschutzbehörde versteht. Es geht darum zu beweisen, dass Sie sich Gedanken gemacht haben.

Doch wo liegt der Unterschied zwischen einer guten, pragmatischen Massnahme und einer, die vor dem Gesetz keinen Bestand hat? Die wahre Kunst besteht darin, die Balance zwischen « angemessenem Schutz » und « wirtschaftlicher Zumutbarkeit » zu finden und dies schriftlich festzuhalten. Dieser Leitfaden bricht die Anforderungen auf das Wesentliche herunter. Wir übersetzen die abstrakten Forderungen in konkrete, alltägliche Beispiele und zeigen Ihnen, wie Sie Ihr Sicherheitskonzept erstellen, ohne sich im Technik-Dschungel zu verirren.

Dieser Artikel führt Sie durch die acht wichtigsten Bereiche, in denen Sie mit einfachen, aber wirkungsvollen Massnahmen die Grundlage für Ihre DSGVO-konforme Dokumentation legen. Wir zeigen Ihnen, wie Sie von der Bürotür bis zum Cloud-Dienstleister eine lückenlose Kette des dokumentierten, gesunden Menschenverstandes schmieden.

Bürotür abschliessen: Warum die « Alarmanlage » in den TOMs stehen muss

Die erste und fundamentalste Massnahme ist die Zutrittskontrolle. Bevor wir über Firewalls und Virenscanner sprechen, geht es um eine simple Frage: Wer kann physisch in Ihre Räumlichkeiten gelangen, in denen Computer stehen, Aktenordner lagern oder Server laufen? Die abgeschlossene Bürotür ist die einfachste TOM überhaupt. In Ihrer Dokumentation schreiben Sie also nicht nur « Büro wird abgeschlossen », sondern definieren den Prozess dahinter. Wer hat einen Schlüssel? Was passiert bei einem Schlüsselverlust? Gibt es Bereiche (z.B. das Server-Eck oder der Aktenschrank), die noch einmal separat gesichert sind?

Diese physische Sicherheit ist keine Nebensächlichkeit. Der Verlust eines unverschlüsselten Firmenlaptops, beispielsweise durch einen Einbruch, stellt eine meldepflichtige Datenpanne dar. Eine solide, dokumentierte Zutrittskontrolle zeigt, dass Sie das Risiko des physischen Diebstahls minimiert haben. Es geht darum, den ersten Schutzwall um Ihre Daten zu ziehen. Denken Sie auch an externe Besucher: Werden Dienstleister (Reinigung, IT-Wartung) begleitet? Gibt es eine Regelung für den Empfang von Kunden? All diese Überlegungen gehören in die Dokumentation Ihrer Zutrittskontrolle. Sie sind der Beweis, dass Sie den « Zutritt Unbefugter zu Datenverarbeitungsanlagen » aktiv verhindern.

Eine gute Dokumentation an dieser Stelle beweist, dass Sie Ihre physische Umgebung im Griff haben. Es ist die Grundlage, auf der alle digitalen Sicherheitsmassnahmen aufbauen.

123456 verboten: Wie Sie Passwortregeln durchsetzen, die Mitarbeiter nicht wahnsinnig machen

Nachdem die Tür zu ist, kommt die nächste Hürde: die Zugangskontrolle. Wer darf sich an einem Computer anmelden und auf das System zugreifen? Das zentrale Werkzeug hierfür sind Passwörter. Jahrelang galt die Lehre: kurz, komplex und häufig wechseln. Das Resultat waren Zettel am Monitor und frustrierte Mitarbeiter. Glücklicherweise hat hier ein Umdenken stattgefunden, das auch vom Bundesamt für Sicherheit in der Informationstechnik (BSI) getragen wird. Die moderne Empfehlung lautet: lang statt komplex.

Eine « Passphrase » – ein langer Satz wie « MeinHundBelloMagAmLiebstenLangeSpaziergängeImSommer! » – ist sicherer und leichter zu merken als « 8$!pQy#b ». Für Ihre Passwortrichtlinie bedeutet das: Setzen Sie auf Länge. Das BSI empfiehlt beispielsweise eine Mindestlänge von 20 Zeichen für Arbeitsplatz-PCs. Der Zwang zum regelmässigen Wechsel alle 90 Tage ist überholt und wird nur noch bei einem konkreten Verdacht auf eine Kompromittierung empfohlen. Dies entlastet Ihre Mitarbeiter und erhöht die tatsächliche Sicherheit, da kreative, aber schwache Passwort-Variationen vermieden werden.

Für Sie als Kleinunternehmer ist eine schriftliche Passwortrichtlinie eine essenzielle TOM. Darin legen Sie die Mindestlänge fest, verbieten triviale Passwörter und empfehlen die Nutzung von Passphrasen. Ein weiterer pragmatischer Schritt ist die Einführung eines Passwort-Managers. Dieser erlaubt es, für jeden Dienst ein einzigartiges, hochkomplexes Passwort zu generieren, ohne dass sich die Mitarbeiter diese merken müssen. Die Investition in ein solches Tool ist oft gering, die Sicherheitssteigerung aber enorm und in den TOMs ein starkes Argument.

Die folgende Tabelle, basierend auf den neuen BSI-Empfehlungen, zeigt den Wandel der Philosophie, den Sie in Ihrer Richtlinie abbilden sollten:

IT-Systeme oder Anwendungen SOLLTEN NUR mit einem validen Grund zum Wechsel des Passworts auffordern. Reine zeitgesteuerte Wechsel SOLLTEN vermieden werden.

– BSI IT-Grundschutz-Kompendium, ORP.4.A23

Eine solche moderne und mitarbeiterfreundliche Passwortrichtlinie ist ein klares Zeichen dafür, dass Ihre TOMs dem « Stand der Technik » entsprechen und Sie Sicherheit pragmatisch und effektiv umsetzen.

Daten unlesbar machen: Der Unterschied zwischen Verschlüsselung und Pseudonymisierung einfach erklärt

Selbst mit der besten Zutritts- und Zugangskontrolle kann es passieren, dass Daten in die falschen Hände geraten – sei es durch einen Hackerangriff oder einen verlorenen USB-Stick. An diesem Punkt greifen Massnahmen, die die Daten selbst schützen: Verschlüsselung und Pseudonymisierung. Obwohl beide Begriffe oft synonym verwendet werden, haben sie fundamental unterschiedliche Ziele und rechtliche Konsequenzen. Diesen Unterschied zu verstehen und korrekt zu dokumentieren, ist eine entscheidende TOM.

Verschlüsselung ist wie ein Brief, den Sie in ein Bankschliessfach legen. Ohne den passenden Schlüssel ist der Inhalt komplett unlesbar und wertlos. Ein klassisches Beispiel ist die Festplattenverschlüsselung (z.B. mit BitLocker bei Windows oder FileVault bei macOS). Wenn ein so verschlüsselter Laptop gestohlen wird, ist das zwar ärgerlich, aber oft keine meldepflichtige Datenpanne, da die Daten ohne das Passwort nicht zugänglich sind. Die Verschlüsselung ist eine Massnahme zur Gewährleistung der Vertraulichkeit.

Pseudonymisierung ist anders. Stellen Sie sich eine Teilnehmerliste vor, auf der statt der Namen nur « Teilnehmer A », « Teilnehmer B » und « Teilnehmer C » stehen. Die Informationen (z.B. Testergebnisse) sind noch auswertbar, aber der direkte Personenbezug ist entfernt. Nur mit einer separaten « Schlüsselliste », die an einem anderen Ort aufbewahrt wird, kann man « Teilnehmer A » wieder Max Mustermann zuordnen. Ein typischer Anwendungsfall ist die Analyse von Verkaufsdaten in einem Online-Shop. Man kann sehen « 20% der Kunden aus Bayern kaufen Produkt X », ohne zu wissen, welche Personen genau das sind. Wichtig: Pseudonymisierte Daten sind laut DSGVO weiterhin personenbezogene Daten, da die Zuordnung prinzipiell möglich ist. Der Schutz ist also geringer als bei der Verschlüsselung.

Die Wahl der richtigen Methode hat direkte rechtliche Auswirkungen, wie diese Gegenüberstellung verdeutlicht:

In Ihrer TOM-Dokumentation sollten Sie klar benennen, wo Sie welche Methode einsetzen. Zum Beispiel: « Alle Notebooks sind mit BitLocker (Verschlüsselung) geschützt. » oder « Für die interne Verkaufsstatistik werden Kundendaten pseudonymisiert (Ersetzung des Namens durch eine zufällige ID). » Dies zeigt, dass Sie sich der Risiken bewusst sind und gezielte Schutzmassnahmen ergriffen haben. Eine Analyse von bussgeldkatalog.org bestätigt, dass diese Unterscheidung bei der Bewertung von Datenpannen eine zentrale Rolle spielt.

Backup-Konzept: Warum ein Backup nur zählt, wenn Sie den « Restore » auch getestet haben

Ein Albtraum für jeden Unternehmer: Ein Ransomware-Angriff verschlüsselt alle Ihre Daten, oder eine defekte Festplatte vernichtet die Buchhaltung der letzten Jahre. In solchen Momenten ist ein funktionierendes Backup-Konzept Ihre letzte und wichtigste Verteidigungslinie. Es ist eine Kernmassnahme zur Gewährleistung der Verfügbarkeit von Daten. Doch ein Backup zu haben, ist nur die halbe Miete. Die entscheidende Frage ist: Funktioniert die Wiederherstellung (der « Restore ») wirklich?

Viele Unternehmen sichern ihre Daten regelmässig, testen aber nie, ob sich diese im Notfall auch wiederherstellen lassen. Das ist, als hätte man einen Feuerlöscher, dessen Druck nie geprüft wurde. In Ihrer TOM-Dokumentation müssen Sie daher nicht nur beschreiben, *was* Sie *wie oft* und *wohin* sichern, sondern auch, dass Sie die Wiederherstellung regelmässig testen. Ein gutes Backup-Konzept folgt oft der 3-2-1-Regel: Halten Sie mindestens drei Kopien Ihrer Daten auf zwei unterschiedlichen Medientypen, wobei eine Kopie extern (ausser Haus) aufbewahrt wird. Laut einer Empfehlung von e-recht24.de für DSGVO-Konformität sollte diese externe Kopie innerhalb der EU gespeichert sein.

Für Ihre TOM-Dokumentation bedeutet das konkret:

• Backup-Plan: Beschreiben Sie, welche Daten (z.B. « Server-Laufwerk P: », « Buchhaltungs-Software-Datenbank ») täglich/wöchentlich auf welches Ziel (z.B. « externe Festplatte im Büro », « Cloud-Speicher in Frankfurt ») gesichert werden.
• Restore-Test-Protokoll: Legen Sie fest, dass Sie beispielsweise quartalsweise eine Stichprobe wiederherstellen. Dokumentieren Sie diesen Test in einem einfachen Protokoll.

Ein solches Protokoll muss nicht kompliziert sein. Es sollte die folgenden Punkte enthalten, um als Nachweis zu dienen:

• Datum des Tests
• Getestetes System oder spezifische Datei
• Verantwortliche Person
• Dauer der Wiederherstellung
• Ergebnis (Erfolgreich / Fehlgeschlagen mit Begründung)
• Schritte zur Verifizierung (z.B. « Datei geöffnet und Inhalt geprüft »)

Nur ein Backup, dessen Wiederherstellung getestet wurde, ist ein echtes Sicherheitsnetz. Diese Tests zu dokumentieren, ist ein unschätzbar wertvoller Baustein Ihrer TOMs, der im Ernstfall Ihre Handlungsfähigkeit sichert und gegenüber Prüfern Professionalität beweist.

TOMs aktualisieren: Wie oft müssen Sie prüfen, ob Ihre Massnahmen noch « Stand der Technik » sind?

Die Erstellung Ihrer TOM-Dokumentation ist kein einmaliges Projekt, das Sie nach Fertigstellung in der Schublade verschwinden lassen können. Die DSGVO verlangt, dass Ihre Massnahmen dem « Stand der Technik » entsprechen. Das ist ein dynamischer Begriff – was heute sicher ist, kann morgen durch eine neue Angriffsmethode oder eine neue Technologie veraltet sein. Daher ist die regelmässige Überprüfung und Aktualisierung Ihrer TOMs selbst eine der wichtigsten organisatorischen Massnahmen.

Aber was bedeutet « regelmässig »? Einmal im Jahr? Alle zwei Jahre? Die Antwort ist: Es kommt darauf an. Statt eines starren Zeitplans sollten Sie Ihre Überprüfung an konkrete Ereignisse knüpfen. Eine jährliche Grundrevision ist eine gute Basis, aber es gibt viele Auslöser, die eine sofortige Anpassung erfordern können. Ihre dokumentierte TOM sollte also einen Prozess zur « regelmässigen Überprüfung, Bewertung und Evaluierung » beschreiben, der durch bestimmte Ereignisse getriggert wird.

Konkrete Auslöser für eine Überprüfung und mögliche Aktualisierung Ihrer TOMs sind zum Beispiel:

• Einführung neuer Software oder Systeme: Ein neues CRM-System oder eine neue Buchhaltungssoftware erfordert eine Neubewertung der Datensicherheit.
• Ausscheiden eines Administrators: Wenn ein Mitarbeiter mit weitreichenden Zugriffsrechten das Unternehmen verlässt, müssen alle seine Zugänge sofort gesperrt und die Berechtigungen überprüft werden.
• Bekanntwerden von Sicherheitslücken: Grosse Sicherheitsvorfälle (wie z.B. « Log4j ») erfordern eine Prüfung, ob Ihre Systeme betroffen sind und Patches notwendig sind.
• Neue Orientierungshilfen der Behörden: Veröffentlicht eine Datenschutzbehörde eine neue Richtlinie (z.B. zu Videokonferenzsystemen), müssen Sie Ihre aktuelle Lösung daran messen.
• Änderung von Geschäftsprozessen: Wenn Sie beginnen, einen Newsletter zu versenden, müssen Sie die TOMs für das genutzte Tool dokumentieren.

Dokumentieren Sie diesen Revisionsprozess. Ein einfacher Satz wie « Die TOMs werden jährlich sowie anlassbezogen (z.B. bei Einführung neuer Systeme oder nach Bekanntwerden kritischer Sicherheitslücken) überprüft und ggf. angepasst. Verantwortlich ist die Geschäftsführung. » ist bereits eine starke organisatorische Massnahme. Er zeigt, dass Ihr Sicherheitskonzept ein lebendiges Dokument ist und Sie proaktiv handeln, um den Schutz der Daten dauerhaft zu gewährleisten.

Laptop verloren: Wann Sie eine Datenpanne binnen 72 Stunden an die Behörde melden müssen

Trotz aller Vorsichtsmassnahmen kann es passieren: Ein Laptop wird im Zug liegengelassen, ein USB-Stick geht verloren oder ein Hacker verschafft sich Zugriff auf Ihr System. In diesem Moment haben Sie eine Datenschutzverletzung (Datenpanne), und die Uhr beginnt zu ticken. Gemäss Artikel 33 DSGVO müssen Sie eine solche Panne « unverzüglich und möglichst binnen 72 Stunden » an die zuständige Aufsichtsbehörde melden, es sei denn, die Verletzung führt « voraussichtlich nicht zu einem Risiko » für die Rechte und Freiheiten der betroffenen Personen.

Hier zeigt sich der wahre Wert Ihrer zuvor dokumentierten TOMs. Die Frage, ob ein Risiko besteht, hängt direkt von Ihren Schutzmassnahmen ab. Ein unverschlüsselter Laptop mit einer vollständigen Kundendatenbank, der verloren geht, stellt ein hohes Risiko dar und ist definitiv meldepflichtig. Ein Verstoss gegen diese Meldepflicht ist kein Kavaliersdelikt. Bei Verstoss gegen die 72-Stunden-Meldepflicht drohen Bussgelder von bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes.

Haben Sie den Laptop jedoch, wie in Ihren TOMs dokumentiert, mit einer starken Festplattenverschlüsselung (z.B. BitLocker) und einem sicheren Passwort geschützt, sieht die Lage anders aus. In diesem Fall können Sie argumentieren, dass die Daten für den Finder unzugänglich sind und somit kein hohes Risiko für die Betroffenen besteht. Die Meldepflicht kann in einem solchen Fall entfallen. Ihre TOM-Dokumentation ist hier Ihr wichtigster Entlastungsbeweis.

Für den Ernstfall sollten Sie einen einfachen Notfallplan als Teil Ihrer TOMs bereithalten: Wer ist intern zu informieren? Wer bewertet das Risiko? Wer ist für eine eventuelle Meldung an die Behörde verantwortlich? Diese Vorbereitung macht Sie im Krisenfall handlungsfähig.

Bring Your Own Key: Warum Sie den Schlüssel zur Cloud selbst halten sollten

Cloud-Dienste wie Microsoft 365, Google Workspace oder spezialisierte Branchensoftware sind aus dem Alltag von Kleinunternehmen nicht mehr wegzudenken. Sie bieten Flexibilität und Effizienz. Doch sie werfen auch eine heikle Frage auf: Wer hat wirklich die Kontrolle über die Daten, die Sie einem US-Anbieter anvertrauen? Auch wenn die Server in Europa stehen, können US-Behörden unter bestimmten Umständen (z.B. über den CLOUD Act) Zugriff auf die Daten verlangen. Dies stellt ein datenschutzrechtliches Problem dar, das nach dem « Schrems II »-Urteil des EuGH relevant ist.

Eine fortgeschrittene, aber immer wichtiger werdende TOM ist hier das Prinzip « Bring Your Own Key » (BYOK). Vereinfacht gesagt, bedeutet das: Sie speichern Ihre Daten zwar in der Cloud des Anbieters, aber Sie verschlüsseln sie mit einem Schlüssel, den nur Sie besitzen und den der Cloud-Anbieter selbst nicht kennt. Der Anbieter stellt nur noch den « Tresor » (den Speicherplatz), aber Sie behalten den einzigen Schlüssel. Selbst wenn der Anbieter zur Herausgabe der Daten gezwungen würde, könnte er nur verschlüsselten, unlesbaren Datenmüll liefern.

Diese Technik stellt sicher, dass Sie die alleinige Hoheit über die Lesbarkeit Ihrer Daten behalten. Es ist die ultimative Form der Zugriffskontrolle in der Cloud. Für viele Kleinunternehmer mag dies nach einer komplexen Enterprise-Lösung klingen, aber das Prinzip wird zugänglicher. Einige Dienste bieten dies als Zusatzfunktion an, oft in Zusammenarbeit mit spezialisierten Sicherheitsfirmen.

Beispielsweise ermöglichen Microsoft und Thales mit MIP geschützte Daten durch einen zweiten zusätzlichen Key so zu verschlüsseln, dass auch Microsoft keinen Zugriff mehr auf die Daten hat.

– Armin Simon, Thales

Auch wenn Sie BYOK heute noch nicht einsetzen, ist es wichtig, das Prinzip zu kennen. Wenn Sie Cloud-Dienste nutzen, sollten Sie in Ihrer Risikobewertung innerhalb der TOMs vermerken, wie der Anbieter die Daten schützt und ob er eine solche « Double Key Encryption » anbietet. Allein die dokumentierte Nachfrage bei Ihrem Anbieter, wie er den Zugriff durch Dritte (insbesondere aus Nicht-EU-Ländern) technisch unterbindet, ist eine wertvolle organisatorische Massnahme. Sie zeigen damit, dass Sie das Risiko verstanden haben und aktiv nach Lösungen suchen.

AVV vergessen? Warum Sie für jeden Freelancer und jedes Tool einen Vertrag brauchen (und wer ihn liefert)

Ihre Datensicherheit endet nicht an den Grenzen Ihres eigenen Unternehmens. Jedes Mal, wenn Sie einen externen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragen, geben Sie einen Teil der Kontrolle ab. Das kann der externe IT-Admin, der Freelancer für das Marketing, der Anbieter Ihrer Buchhaltungssoftware oder sogar das Analysetool auf Ihrer Webseite sein. Für jede dieser Beziehungen benötigen Sie einen Auftragsverarbeitungsvertrag (AVV). Dieser Vertrag ist selbst eine entscheidende organisatorische Massnahme.

Der AVV regelt die Pflichten des Dienstleisters im Umgang mit « Ihren » Daten. Er stellt sicher, dass der Dienstleister ein angemessenes Sicherheitsniveau einhält und nur auf Ihre Weisung handelt. Fehlt dieser Vertrag, haften Sie im Schadensfall vollumfänglich, als hätten Sie die Datenpanne selbst verursacht. Ein häufiges Problem in Unternehmen ist die sogenannte « Schatten-IT », bei der Mitarbeiter eigenständig Tools nutzen, für die das Unternehmen keinen AVV abgeschlossen hat.

Mitarbeiter nutzen häufig Tools ohne Freigabe. Ein dokumentierter Prozess zur Entdeckung und Legitimierung dieser Tools, inklusive Prüfung und Abschluss von AV-Verträgen, sollte als organisatorische Massnahme in den TOMs verankert werden.

– Basierend auf Beobachtungen von Dataguard

Wer liefert diesen Vertrag? In der Regel stellt der Dienstleister (der Auftragnehmer) den AVV bereit. Ihre Aufgabe als Auftraggeber ist es, diesen Vertrag anzufordern und zumindest grundlegend zu prüfen. Sie müssen kein Jurist sein, aber eine kurze Checkliste hilft, die wichtigsten Punkte zu kontrollieren:

• Standort des Auftragnehmers: Ist der Dienstleister in der EU ansässig? Falls nicht, sind zusätzliche Garantien (wie Standardvertragsklauseln) vorhanden?
• Beschreibung der TOMs: Beschreibt der Dienstleister seine eigenen technischen und organisatorischen Massnahmen plausibel?
• Unterauftragnehmer: Werden alle Sub-Dienstleister (z.B. der Hoster der Software) aufgelistet und haben Sie ein Widerspruchsrecht?
• Weisungsrecht und Kontrollrechte: Stellt der Vertrag sicher, dass Sie die Kontrolle behalten?
• Regelungen zur Löschung/Rückgabe: Ist geklärt, was mit den Daten nach Vertragsende passiert?

In Ihrer TOM-Dokumentation listen Sie alle Auftragsverarbeiter auf und vermerken, dass ein gültiger AVV vorliegt. Die systematische Anforderung und Verwaltung dieser Verträge ist ein starkes Signal, dass Sie Datenschutz über die eigenen Bürowände hinaus ernst nehmen.

Der Weg zu einem vollständigen und rechtssicheren Verzeichnis von Verarbeitungstätigkeiten inklusive aller TOMs mag mühsam erscheinen, aber er ist machbar. Beginnen Sie mit den hier beschriebenen, pragmatischen Schritten. Dokumentieren Sie, was Sie bereits tun, und identifizieren Sie, wo Sie nachbessern müssen. Der erste Schritt ist der wichtigste: Fangen Sie an. Erstellen Sie ein einfaches Dokument und füllen Sie es Punkt für Punkt. Dies schützt nicht nur die Daten Ihrer Kunden, sondern vor allem Ihr eigenes Unternehmen.