Datenschutzrecht schreibt selten konkrete Technik vor. Es verlangt angemessene Sicherheit und überlässt es dem Unternehmen, sie zu definieren. Die technischen und organisatorischen Massnahmen sind die Antwort darauf — und sie sind es, die nach einem Vorfall geprüft werden.
Die Schutzziele
Die Datenschutzverordnung nennt als Ziele der Datensicherheit Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit. Die DSGVO nennt in Art. 32 unter anderem Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmässigen Überprüfung der Wirksamkeit. Beide Regelwerke koppeln die Angemessenheit an das Risiko, den Stand der Technik und die Kosten.
Technische Massnahmen
Für eine typische SaaS-Anwendung: Verschlüsselung bei der Übertragung und im Ruhezustand, starke Authentifizierung mit Mehrfaktor und Single Sign-on, Mandantentrennung auf Datenbankebene etwa mit Row Level Security, Rollen und minimale Rechte, Protokollierung sicherheitsrelevanter Ereignisse, regelmässige Backups mit getesteter Wiederherstellung nach definierten RPO und RTO, Härtung und Aktualisierung von Abhängigkeiten, Pseudonymisierung wo möglich und ein Penetrationstest vor wichtigen Releases.
Organisatorische Massnahmen
Zuständigkeiten für Datenschutz und Informationssicherheit, Weisungen zum Umgang mit Daten, Schulung der Mitarbeitenden, ein Prozess für Eintritte, Wechsel und Austritte mit Entzug von Zugängen, Verträge mit Auftragsbearbeitern, ein vorbereiteter Ablauf für Datenschutzverletzungen und eine regelmässige Überprüfung, ob die Massnahmen wirken. Organisatorische Lücken sind in der Praxis häufiger Ursache von Vorfällen als technische.
Dokumentation
TOM müssen nicht nur bestehen, sondern beschrieben sein. Kunden verlangen sie als Anhang zum Auftragsbearbeitungsvertrag, Revisoren und Behörden fragen danach, und das Bearbeitungsverzeichnis soll sie zumindest allgemein beschreiben. Eine gute TOM-Beschreibung ist konkret genug, um prüfbar zu sein, und allgemein genug, um nicht bei jeder Konfigurationsänderung neu geschrieben zu werden.
Häufige Fehler
Ein TOM-Dokument aus einer Vorlage, das Massnahmen behauptet, die es nicht gibt. Backups, deren Wiederherstellung nie getestet wurde. Administratorrechte für alle, weil es einfacher ist. Und Massnahmen, die für das Hauptsystem gelten, aber nicht für die Nebensysteme, in denen dieselben Daten als Export liegen. Wir prüfen TOM im Rahmen unseres DSGVO-Audits für SaaS gegen die tatsächliche Umsetzung.