Leitfaden technische und organisatorische Maßnahmen im Rahmen der DSGVO

2 VoRwoRt m r u w n i e W o t o F © Vorwort Seit dem 25. Mai 2018 – dem Stichtag für das Inkrafttreten der EU-Datenschutz-Grundverord- nung (DSGVo) – hat sich einiges getan: Die österreichischen Betriebe haben sich informiert und weitergebildet, Veranstaltungen besucht und Beratungen in Anspruch genommen, um ihre Unternehmen fit für die neue Rechtslage zu machen: Datenschutz und Datensicherheit sind ins Zentrum der Aufmerksamkeit gerückt. Speziell kleine und mittlere Betriebe konnte die wirtschaftskammer Österreich (wKÖ) mit zahlreichen Anleitungen, Vorlagen und Musterdokumenten unterstützen. Ein Bereich ist aber immer noch von Unsicherheit betroffen: die technisch-organisatorischen Maßnahmen (toMs), die die Unternehmen zum Schutz personenbezogener Maßnahmen umsetzen müssen. Denn der Gesetzestext bleibt hier – mit Absicht – recht vage: Da ist von „Datenschutz nach dem Stand der technik“ die Rede und von einem „dem Risiko angemessenen Schutzniveau“ für personen- bezogene Daten. Mit dem vorliegenden Leitfaden wollen wir vor allem kleinen Betrieben eine Übersicht geben, welche technischen Sicherheitsvorkehrungen sinnvoll sind. Auch die Bedeutung der organisa- torischen Maßnahmen und Regeln im Umgang mit Mitarbeiterinnen und Mitarbeiter und Kunden beleuchtet dieses Handbuch. Für drei exemplarische Kleinunternehmen stellen wir Ihnen außerdem die konkrete Umsetzung der toMs vor. Anhand dieser Fallstudien können Sie die Umsetzung in der Praxis direkt nachvollziehen. wir wünschen Ihnen viel Erfolg mit dem Leitfaden. Robert Bodenstein Obmann der Bundessparte Information & Consulting Wirtschaftskammer Österreich Die Broschüre erscheint im Rahmen von it-safe 2020, einem gemeinsamen Projekt der wirtschaftskammer Österreich und des Bundesministeriums für Digitalisierung und wirtschaftsstandort. 1. Auflage, Dezember 2018 Für den Inhalt verantwortlich: Prof. Mag. Dr. Manfred wöhrl, Mag. Verena Becker, BSc Alle Rechte vorbehalten. Nachdruck – auch auszugsweise – nur mit Quellenangabe und nach vorheriger Genehmigung. trotz sorgfältiger Prüfung sämtlicher Beiträge in dieser Broschüre sind Fehler nicht auszuschließen, die Richtigkeit des Inhalts ist daher ohne Gewähr. Eine Haftung der Autoren oder der wirtschaftskammer Österreich ist ausgeschlossen. Impressum: Medieninhaber/Verleger: wirtschaftskammer Österreich, Bundessparte Information und Consulting, 1045 wien, wiedner Hauptstraße 63; ic@wko.at, https://wko.at/ic Grafische Umsetzung: www.designag.at

3 EINLEItUNG Einleitung warum sollten Sie sich überhaupt Gedanken über It-Sicher- heit und Datenschutz in Ihrem Unternehmen machen? Das Datenschutzrecht schreibt vor, dass Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung personen- bezogener Daten zu treffen sind. Dafür ist es notwendig, die entsprechenden Prozesse im Unternehmen zu lokalisieren, zu dokumentieren und zu optimieren. Nutzen Sie die rechtlichen Vorgaben gleich zu Ihrem unter- nehmerischen Vorteil! Machen Sie sich jetzt Gedanken, wie es mit It-Sicherheit und Datensicherheit in Ihrem Unterneh- men aussieht. Sie schaffen dadurch eine sichere Grundlage für Ihre digitalisierten Geschäftsprozesse, beugen zeit- und kostenintensiven Vorfällen vor und verschaffen sich dadurch einen wesentlichen wettbewerbsvorteil. Datensicherheit und Datenschutz sind Chefsache. Die Geschäftsleitung muss entscheiden, welche Maßnahmen zu treffen sind und die entsprechenden finanziellen und per- sonellen Ressourcen zur Verfügung stellen. Sie ist für die Umsetzung der EU-Datenschutzgrundverordnung (DSGVo) verantwortlich und haftet bei Verletzung der Datenschutz- vorgaben. setz 2018) dar und zeigt Ihnen gleichzeitig sinnvolle Schritte für die optimierung sicherheitsrelevanter Prozesse in Ihrem Unternehmen. Zu Beginn des Leitfadens befassen wir uns mit den technischen Grundlagen. Dann erfahren Sie, welche organisatorischen Grundlagen es gibt und wie Sie auch in kleinen Unternehmen ein sinnvolles Datenschutz- managementsystem (DSM) einführen oder ein bestehendes optimieren können. Das Kapitel TOMs (=technische und organisatorische Maßnahmen) geht auf die konkreten Umsetzungsschritte im Unternehmen ein. Denken Sie auch an Ihre Mitarbeiterinnen und Mitarbeiter! Ein eigenes Kapitel beschäftigt sich mit deren wichtiger Rolle bei der Umsetzung der Maßnahmen im Unternehmen. Selbstverständlich dürfen auch die rechtlichen Grundlagen nicht fehlen. In den Fallbeispielen finden Sie konkrete Formulierungs- beispiele für technische und organisatorische Maßnahmen (toMs) als Unterstützung für Ihre eigene Dokumentation. wir wünschen Ihnen viel Erfolg bei der Umsetzung. Schieben Sie daher eventuell bisher vernachlässigte Schritte im Bereich der Security-Maßnahmen nicht mehr auf die lange Bank und handeln Sie jetzt. Dieser Leitfaden legt in einfacher Form das Zusammenspiel technischer und organisatorischer Maßnahmen im Sinne des Datenschutzrechts (DSGVo und Datenschutz Anpassungsge- Weiterführende Informationen: Datenschutzrecht It-Sicherheit FAQs Datensicherheit nach der EU-Datenschutz-Grundverordnung

4 INHALt Inhalt 1. technische Grundlagen 1.1. Zusammenspiel Server-Client 1.2. Firewall 1.3. Remote Zugriff 1.4. Cloud 1.5. Verschlüsselung 1.6. Digitale Signatur 1.7. Virtual Private Networks (VPN) 1.8. Anonymisierung und Pseudonymisierung 2. Managementsysteme 2.1. Dokumentation und Verarbeitungsverzeichnis 2.2. Prozesse & Verfahren 2.3. Zyklische Kontrolle der wirksamkeit 2.4. Security Management 2.5. Risikomanagement 2.6. Datenschutz-Management 2.7. User Management 3. technische und organisatorische Maßnahmen (TOMs) 3.1. Stand der technik 3.2. Maßnahmen und Auswirkungen allgemein 3.2.1. Datenverlust (Data Breach) 3.3. Vertraulichkeit 3.4. Integrität 3.5. Verfügbarkeit 3.6. Belastbarkeit 3.7. wiederherstellbarkeit 3.7.1. Backupstrategien 3.8. Datenschutz durch technik und durch datenschutzfreundliche Voreinstellungen (Privacy by design/ Privacy by default) 3.8.1 Datenschutz durch technik 3.8.2 Datenschutzfreundliche Voreinstellungen 3.9. Regelmäßige Überarbeitung der toMs 3.9.1. Überprüfung 3.9.2. Bewertung 3.9.3. Evaluierung der wirksamkeit 3.10. Dokumentation 4. Mitarbeiterinnen und Mitarbeiter 4.1. Regelungen für Mitarbeiterinnen und Mitarbeiter 4.2. Verfahren bei personellen Veränderungen 4.3. Regelungen für den Einsatz von Fremdpersonal 4.4. Sicherheitssensiblisierung und -schulung 4.4.1. Abwehr von Social-Engineering- Angriffen 4.5. Clear Desk/Clear Screen Policy 4.6. Entsorgung von Datenträgern und Papierdokumenten 4.7. telearbeit 4.8. technik der Mitarbeiterinnen und Mitarbeiter 4.8.1. Mobiltelefon 4.8.2. E-Mail 4.8.3. Umgang mit verdächtigen E-Mails 4.8.4. E-Mail Verschlüsselung 4.8.5. Remote Arbeitsplatz und teleworking 4.8.6. Mobiles Arbeiten unterwegs 4.8.7. BYoD (Bring Your own Device) 4.8.8. Richtiger Umgang mit mobilen Geräten 4.8.9. Meldung eines Vorfalls 4.8.10. Erfolgskontrolle 5. Rechtliche Grundlagen, Standards, Normen und Zertiﬁkate 5.1. DSGVo und das österreichisches Datenschutzgesetz 5.2. Strafen 5.3. Institutionen 5.4. Zertifikate in der DSGVo 6. Fallstudien 6.1. Ein-Personen-Unternehmen 6.2. Unternehmen mit 5 Mitarbeiterinnen und Mitarbeiter Unternehmen mit 20 Mitarbeiterinnen und Mitarbeiter 6.3. Anhang Anhang 1: Artikel 32 DSGVo Anhang 2: Die Rolle der toMs im DSGVo Lebenszyklus Anhang 3: Vorlage einfacher toMs für Ein-Personen-Unternehmen Anhang 4: Beschreibung von VeraCrypt Verwenden eines File-Containers („Virtuelle-Disk“) Glossar

6 1. tECHNISCHE GRUNDLAGEN Die Technik entwickelt sich rasant weiter, bestehende Technologien werden rasch durch neue ersetzt. Dabei dürfen datenschutzrecht- liche Vorgaben nicht vergessen werden. Die EU-Datenschutz-Grundverordnung (DSGVO) regelt den Umgang mit personenbezogenen Daten. Sie gibt vor, dass technische und organisatorische Maßnahmen (TOMs) zu treffen sind, die den Schutz personenbe- zogener Daten gewährleisten. Diese TOMs sind zu dokumentieren (z.B. mittels Word-Dateien und/oder Tabellen) und in regelmäßigen Abständen auf ihre Wirksamkeit hin zu überprüfen. Außerdem müssen sie dem Stand der Technik ent- sprechen, d.h. sowohl die Maßnahmen als auch die verwendete Technik sind regelmäßig anzupassen. 1.1. Zusammenspiel Server-Client Der Servicegedanke ist zum Kernthema der gesamten It- Industrie geworden: Anwendungen (z.B. office-Paket, Buch- haltungssoftware) laufen auf Servern und werden von Endge- räten (z.B. PC, Smartphone, Drucker) bzw. Benutzern als „Clients“ verwendet. Dadurch entstehen neue Herausforderungen an die Netz- werkorganisation und zugleich auch an die Informationssi- cherheit: Daten - und damit klarerweise auch personenbezo- gene Daten - sind oft bei Partnerfirmen (Rechenzentren) gespeichert, wodurch auch die Datenübertragung zu einem Sicherheitsthema wird. 1.2. Firewall Eine Firewall kontrolliert die Netzwerkverbindungen zwischen Firmennetzwerk und Internet und blockiert alle Verbindungen, die nicht als „erlaubt“ konfiguriert wurden. Der Einsatz von Firewalls gehört heute zum Standard jeder It-Installation, das gilt im besonderen Fall auch für ein Home-office. TIPP Jede Firewall muss richtig installiert und konfiguriert wer- den, um wirksamen Schutz zu bieten. Hinterfragen Sie, wie Ihre Firewall konfiguriert ist und notieren Sie das entspre- chend. In Firewall-Regelwerken kann genau angegeben werden, welche Datenpakete die Firewall passieren dürfen, welche ignoriert oder zurückgewiesen werden.

7 1. tECHNISCHE GRUNDLAGEN Firewalls von heute sind nicht nur mehr „Schutzmauern“ eines lokalen Netzwerkes gegen Angriffe aus dem Internet, sie können auch weitere Sicherheitsaufgaben erfüllen: • Ausführliche Protokollierung des Datenverkehrs • Setzen von Aktionen bei Einbruchsversuchen (Intrusion- Protection-Systems IPS/Intrusion-Reaction-Systems IRS) • Verwaltung sicherer Zugänge von Remote Geräten • Malware-Detection für das zu sichernde LAN TIPP Sehr häufig sind die oben genannten Services in der It- Fernwartung inkludiert und sind dementsprechend im Hinblick auf Datenschutz als spezieller Vertragspunkt in den Auftragsverarbeitungs-Vertrag aufzunehmen. 1.3. Remote Zugriff Ein Fernzugriff auf Rechner in Ihrem Unternehmen kann aus unterschiedlichen Gründen sinnvoll und notwendig sein, z.B.: • Mitarbeiterinnen oder Mitarbeiter benötigen Daten während eines mobilen Einsatzes • die Administration der It wurde extern vergeben In beiden Fällen ist der externe Zugang entsprechend abzu- sichern. Dabei geht es auch darum, den unbefugten physi- schen Zugriff auf die Geräte zu verhindern, von denen auf firmeninterne Server zurückgegriffen wird. TIPP Beachten Sie, dass auch bei einem Home-office betriebs- fremde Personen (Familienmitglieder, Reinigungskraft, Gäste) Zugriff haben können und Schutzmaßnahmen vor unbefugtem Zugriff oder Diebstahl zu treffen sind (z.B. Bild- schirmsperre beim Verlassen Arbeitsplatzes, Versperren von Dokumenten in einem Safe). 1.4. Cloud Cloudlösungen (z.B. office365, icloud, viele E-Mail-Systeme, viele webshop-Lösungen, File-Ablagen zum Datenaus- tausch) sind aus dem unternehmerischen Umfeld nicht mehr wegzudenken. Für die Verwendung von Cloudlösungen ist die Einhaltung einiger Regeln für den DSGVo-konformen Betrieb wichtig. Cloud-Anbieter sind Auftragsverarbeiter im Sinne der DSGVo. Der Verantwortliche darf nur solche Auftragsverar- beiter beauftragen, die eine datenschutzkonforme Verarbei- tung gewährleisten. Der Cloudanbieter muss ebenfalls ge- eignete technische und organisatorische Maßnahmen zur Sicherung personenbezogener Daten treffen und diese auch nachweisen. TIPP Mit dem Gütesiegel „Austrian Cloud“ weisen österreichische Cloud-Anbieter darauf hin, dass die Daten in Österreich ge- speichert werden und die Vorgaben des Datenschutzes und Sicherheitsaspekte eingehalten werden. Austriancloud

8 1. tECHNISCHE GRUNDLAGEN 1.5. Verschlüsselung Verschlüsselung bedeutet, dass ein klar lesbarer text mittels kryptologischer Verfahren in einen „Geheimtext“ umgewan- delt wird und nur mittels eines Schlüssels wieder lesbar ge- macht werden kann. Artikel 32 DSGVo nennt die Verschlüs- selung von Daten ausdrücklich als eine mögliche Maßnahme um Daten zu schützen. Die Verschlüsselung von Daten kann das Risiko eines Vorfalls bei der Datenverarbeitung wesentlich minimieren. Außerdem bringt sie für Unternehmen einen großen Vorteil bei der Meldepflicht. Im Falle eines Datenverlustes (z.B. durch Verlust eines mobilen Gerätes) entfällt bei entspre- chender Verschlüsselung der Daten die Pflicht, dies der Datenschutzbehörde zu melden bzw. auch die betroffenen Personen zu verständigen. Die Qualität einer Verschlüsselung hängt in der It dabei im- mer von drei Parametern ab: VERSCHLÜSSELUNGSMETHODE Derzeit werden nach dem Stand der technik zwei Verfahren eingesetzt: • Symmetrisches Verfahren Für die Verschlüsselung und Entschlüsselung wird derselbe Schlüssel (Key) verwendet, das Verfahren ist schnell, benö- tigt weniger Rechnerressourcen, ist aber bei durchschnittli- cher Key-Länge nicht sehr sicher. Für Realzeitanwendungen (Festplattenverschlüsselung, Verschlüsselung der Daten- übertragung per VPN) ist dieses Verfahren bevorzugt im Ein- satz. Derzeit ist die Verschlüsselungsvariante AES256 als Stand der technik anzusehen. Bei Einsatz von Internet-of-things-Devices zur Erfassung personenbezogener Daten (z.B. Überwachungskameras, Zutrittskontrollsystem), die oft eine sehr geringe Rechenleis- tung besitzen, ist meistens nur ein symmetrisches Verfahren zu Verschlüsselung möglich. Achten Sie hier besonders auf die Einhaltung entsprechender zusätzlicher Sicherheitsvor- kehrungen, wie z.B. einem Firewallschutz bei einem Zugriff über das Internet. In der Praxis wird aus Sicherheitsgründen der symmetrische Key in regelmäßigen Abständen automatisch erneuert. (Bei VPNs zum Beispiel täglich). Der neu generierte Key muss dem Kommunikationspartner übermittelt werden. Damit steigt das Risiko, dass jemand diesen Schlüssel entwendet. Aus diesem Grund wird der neue Key mit dem sicheren asymmetrischen Verfahren übermittelt. • Asymmetrisches Verfahren Für die Verschlüsselung und Entschlüsselung kommen zwei unterschiedliche Keys zum Einsatz, die nach einem komple- xen Algorithmus gemeinsam erzeugt werden. Nur beide Keys zusammen ermöglichen eine sichere Kommunikation: Public-Key: Dieser Schlüssel kann – wie der Name schon sagt – öffentlich abgelegt werden bzw. jedem gewünschten Kommunikationspartner übermittelt werden. Er dient dazu, eine Datei für einen einzigen Adressaten zu verschlüsseln, der den dazu passenden Private-Key besitzt. Damit ist das Problem des Abhörens gelöst: Jeder kann die Datei betrach- ten, sie bleibt für alle – außer dem Empfänger als Besitzer des zugehörigen Private-Keys – ein unbekanntes Bitmuster. Private-Key: Dieser Schlüssel ist sorgfältig zu verwahren, nur dieser ermöglicht das Entschlüsseln einer übertragenen Datei. Klarerweise ist dieser Schlüssel mit einem PIN ge- schützt. In weiterer Folge kann im Rahmen der Erstellung des Schlüsselpaars eine unabhängige organisation (CA für „Certificate-Authority“)bestätigen, dass dieser Private-Key einer ausgewiesenen Person gehört.

9 1. tECHNISCHE GRUNDLAGEN • Länge eines Schlüssels (Keys) Die Länge eines Schlüssels wird in Bit angegeben und sollte ein möglichst zufälliges Bitmuster darstellen. wie auch bei normalen Passwörtern wäre sonst ein Angriff durch Erraten und Probieren („Brute-Force-Attack“) leicht möglich. • Umgang mit dem Schlüssel (Key Management) Gerade dieser Punkt ist mit einem hohen Risiko behaftet, hier spielt der Mensch die wesentliche Rolle. Es beginnt mit der Erstellung des Schlüssels bzw. eines Schlüsselpaares. In weiterer Folge muss der Schlüssel (de facto ein Bitmuster), irgendwo sicher gespeichert werden. Schlüssel sind in der Regel mit einem PIN oder Passwort geschützt, die gut aus- zuwählen und sorgsam zu verwahren sind. 1.6. Digitale Signatur Eine digitale Signatur ist ein Bitmuster, das aus einem Dokument errechnet wird und die Echtheit dieses Doku- ments bestätigt. Diese Bit-Folge wird als Zeichensequenz am Ende des Dokuments angefügt. Folgende Informationen werden durch eine digitale Signatur garantiert: • Unverfälschtheit der Information • Autor des Dokuments (Absender) • Datum der Erstellung • Organisation, die die Echtheit bestätigt Die Qualität einer digitalen Signatur hängt klarerweise mit der Vertrauenswürdigkeit der organisation zusammen, die ein Public/Privat-Key-Paar erstellt. TIPP Mit der „Handy-Signatur“ können Sie PDFs rechtsgültig mit einer elektronischen Unterschrift versehen und so z.B. Verträge schnell und unkompliziert unterzeichnen. Handy-Signatur 1.7. Virtual Private Networks (VPN) Verwenden Sie bei heiklen Geschäften (z.B. onlinebanking, online-Bestellungen) und im Unternehmensbereich immer sichere Datenverbindungen. Dazu wird eine Verschlüsse- lungstechnik benötigt, die eine „private“ Verbindung von Ihrem Arbeitsplatz zum Zielrechner aufbaut. Unter einem Virtual Private Network (kurz VPN) versteht man eine Verbindung von lokalen Netzwerken oder Zu- gängen zu diesen, die durch geeignete Verschlüsselungs- methoden vor fremdem Zugriff geschützt ist. Prinzipiell werden zwei Varianten von VPNs unterschieden: • Sichere Anbindung einer Außenstelle mit dem eigenen lokalen Netzwerk, z. B. in der Firmenzentrale. In diesem Fall wird eine sichere Verbindung über das Internet als VPN von der Firewall der Filiale zur Firewall der Firmen- zentrale geschaltet. • Zugang zum Firmen-LAN mittels einzelner Devices, z.B. einem Notebook oder einem Remote Arbeitsplatzrechner. Bei dieser Lösung erfolgt der Aufbau des VPN vom Client zu einem Zielsystem (in der Regel Server im Firmen LAN) oder einem sogenannten VPN-Konzentrator. Letzteres wird meistens bevorzugt, da ein „terminieren“ des VPN- tunnels auf der Firmenfirewall diese in ihren sonstigen Aufgaben behindern könnte (Performance-Verlust). VPNs sind eine rechenintensive Anwendung.

10 1. tECHNISCHE GRUNDLAGEN TIPP Ein VPN ist eine wichtige Schutzmaßnahme für den weg der Datenübertragung, es schützt aber nicht die Endpunkte! wurde der Server oder Client im Zuge eines Hackerangriffs übernommen, besteht trotz „sicherer“ VPN-Verbindung ein Risiko für den jeweils anderen Endpunkt. Sichern Sie daher zusätzlich beide Endpunkte (Server und Client) ab. 1.8. Anonymisierung und Pseudonymisierung Gemäß DSGVo ist das Pseudonymisieren von Daten eine der empfohlenen Maßnahmen für den Schutz personenbezoge- ner Daten. Pseudonymisierung von Daten bedeutet, dass nur durch Hin- zuziehen weiterer Informationen ein Rückschluss auf perso- nenbezogene Daten erfolgen kann. Das kann zum Beispiel eine Personal-ID sein, deren Personenzuordnung getrennt abgelegt ist. Damit kann man einen Datensatz nach Entfer- nen relevanter Informationen (z.B. Name oder Adresse) an einen Auftragsverarbeiter übermitteln und erreicht so, dass dieser keinen Rückschluss auf die tatsächlich betroffene Person ziehen kann. Bei anonymisierten Daten werden die personenbezogenen Informationen nicht nur getrennt gespeichert, sondern voll- ständig entfernt. Die verbleibenden Informationen sind damit datenschutzrechtlich nicht mehr relevant. TIPP wenn Datensätze pseudonymisiert gespeichert werden, muss im Falle eines Datenverlustes (Data-Breach) keine Meldung an die Datenschutzbehörde gemacht werden, da kein Risiko für Betroffene besteht.

12 2. MANAGEMENtSYStEME In der Praxis bieten Managementsysteme aufeinander abgestimmte Regeln und Dokumente (Prozessdokumentationen, Arbeitsanweisungen, Checklisten usw.) als verbundenes System, um bestimmte Ziele einer Organisation zu erreichen. Die Einführung und der Aufbau von Manage- mentsystemen liegt in der Verantwortung der Unternehmensleitung. Um die inhaltli- che Wirksamkeit von Managementsystemen beurteilen zu können, werden sogenannte Audits – intern oder von externen Spezialis- ten oder Organisationen – in regelmäßigen Abständen durchgeführt. TIPP Speziell bei Ein-Personen-Unternehmen werden Manage- mentsysteme kaum verwendet – alle Daten, Fakten und Ab- läufe für die konkrete Betriebsführung sind dem Unterneh- mer ja selbst bekannt. Denken Sie aber auch hier rechtzeitig an Maßnahmen zur Aufrechterhaltung der Betriebskontinui- tät, z.B. wenn sich das Unternehmen zu einem Kleinunter- nehmen mit mehreren Mitarbeiterinnen und Mitarbeitern entwickelt oder eine Betriebsübergabe geplant ist. 2.1. Dokumentation und Verarbeitungsverzeichnis Die DSGVo sieht vor, dass Verantwortliche und Auftragsver- arbeiter ein „Verzeichnis von Verarbeitungstätigkeiten“ (Verarbeitungsverzeichnis) führen: Der Inhalt ist ähnlich den alten DVR-Meldungen und muss folgende Informationen ent- halten: Den Zweck der Verarbeitung, die Kategorien der be- troffenen Personen und die Kategorien der personenbezoge- nen Daten, die Kategorien von Empfängern, gegebenenfalls die Übermittlung von personenbezogenen Daten an ein Dritt- land und die vorgesehene Speicherdauer. weiters sind die konkreten technischen und organisatorischen Datensicher- heitsmaßnahmen (toMs) ausführlich anzuführen. TIPP Nutzen Sie das verpflichtende Verarbeitungsverzeichnis mit der Aufstellung ihrer toMs und erstellen Sie damit eine erweiterte Version des Verarbeitungsverzeichnisses für rein interne Zwecke, die konkret und detailliert auf die firmenin- ternen Maßnahmen eingeht. Beispiel: Verarbeitungsverzeichnis TOM: Systemadministration interne Version TOM: Konﬁguration der Server inkl. Beschreibung der Softwareversionen Sie erhalten damit eine laufend aktuelle Dokumentation Ihrer Netzwerkumgebung. Dadurch können firmenkritische Ausfälle bei Vorfällen (z.B. Servertausch, technischer Defekt, wechsel des Administrators) reduziert und oft zeit- und kostenintensive Schäden vermieden werden. Verarbeitungsverzeichnis für Verantwortliche Verarbeitungsverzeichnis für Auftragsverarbeiter

13 2. MANAGEMENtSYStEME Aus der DSGVo ergibt sich eine erhebliche Rechenschafts- pflicht, im Rahmen derer Unternehmen nachweisen müssen, dass sie alle Anforderungen erfüllt haben. 2.3. Zyklische Kontrolle der wirksamkeit Auftragsverarbeitungs-Vertrag Für diese Dokumentation der Abläufe im Unternehmen sind das Verarbeitungsverzeichnis und Auftragsverarbeitungs- Verträge verpflichtend vorgesehen. weitere Dokumente zur Dokumentation können z.B. sein: • Richtlinien • Checklisten • Protokolle • to-Do-Listen • Aus- und weiterbildungsunterlagen 2.2. Prozesse & Verfahren In einem Unternehmen laufen eine Reihe verschiedener Prozesse (z.B. der Prozess zur Aufnahme eines neuen Mit- arbeiters) gleichzeitig ab. Die Summe aller Prozesse eines Unternehmens stellen im Prinzip das Unternehmen selbst dar. Im Verarbeitungsverzeichnis werden mehrere Prozesse sinn- voll zu Verfahren zusammengefasst. Zum Beispiel würde im Verarbeitungsverzeichnis bei kleinen Unternehmen das Ver- fahren „Personalmanagement“ genannt werden, bei größe- ren Unternehmen würde dieses in einzelne Verfahren wie z.B. Anstellungsverfahren, Verfahren zum Abteilungswech- sel, etc. aufgesplittet werden. Gemäß DSGVo sind personenbezogene Daten nach dem „Stand der technik“ zu schützen. Da sich dieser Stand der technik genauso wie die Abläufe im Unternehmen ständig weiterentwickeln, sind auch die toMs regelmäßig auf ihre wirksamkeit hin zu überprüfen, damit das definierte Daten- schutzniveau erhalten bleibt. Diese zyklische Vorgangsweise nennt man PDCA-Zyklus: Plan • Plan (Planen) • Check (Überprüfen) • Do (Durchführen) • Act (Anpassen) Act Do Check Sinn dieses bewährten Verfahrens ist es, einen kontinuierli- chen Verbesserungsprozess sicherzustellen. Dabei werden die technischen und organisatorischen Maßnahmen zuerst geplant („plan“), im „Kleinen Kreis“ getestet („do“), danach die wirksamkeit überprüft („check“) und bei Bedarf ange- passt und schließlich „im Großen“ eingeführt („act“). Es han- delt sich dabei um einen nie endenden Kreislauf, sodass si- chergestellt ist, dass nach jeder Verbesserung eine erneute Überprüfung zu erfolgen hat. 2.4. Security Management wenn wir heute über Sicherheit sprechen, meinen wir nicht nur die technischen Aspekte der It-Sicherheit, sondern in einem umfassenderen Begriff die Informationssicherheit, die in der DSGVo – bezogen auf personenbezogene Daten – gefordert wird. Die Basis dafür ist ein sogenanntes Informationssicher- heits-Managementsystem (ISMS) oder konkret in Richtung Datenschutz ein Datenschutz-Managementsystem (DSM).

14 2. MANAGEMENtSYStEME TIPP Auch das wissen in den Köpfen der Mitarbeiterinnen und Mitarbeitern betrifft in vielen Fällen personenbezogene Daten und kann – auch unbewusst – zu unberechtigter weitergabe führen! treffen Sie auch hier entsprechende Vorkehrungen und weisen Sie Ihre Mitarbeiterinnen und Mitarbeiter auf die Datenschutzvorgaben hin. 2.5. Risikomanagement Der Umgang mit Risiken und die Einführung geeigneter Ge- genmaßnahmen sowie deren Kontrolle auf wirksamkeit wird als Risikomanagement bezeichnet. In der Praxis sind Sicherheit und Kosten stets gegeneinander abzuwägen: Im Rahmen einer Risikoanalyse ist abzuschät- zen, ob und welche Sicherheitsmaßnahmen im konkreten Fall sinnvoll sind. Dabei sind die Gesamtkosten (inklusive der Kosten einer allfälligen Betriebsunterbrechung) bei Sicher- heitsvorfällen entsprechend zu berücksichtigen. Ein Beispiel aus der Praxis: Der Ausfall eines Bauteils in einem Kühlsystem (z.B. in einer Klimaanlage) könnte im Schadensfall Kosten von weniger als 1000 € verursachen. Derselbe Bauteil in einem Kühlsystem eines Reaktors könnte einen Millionenschaden nach sich ziehen. Ziel des Risikomanagements muss es sein, Schäden so gering wie möglich zu halten. Einen ähnlichen Ansatz – betrachtet von der positiven Seite – verfolgt das sogenannte Business-Continuity-Management, das dafür sorgen soll, dass alle geschäftskritischen Prozesse – je nach ihrer Klas- sifizierung – auch im Krisenfall (in einem kalkulierbaren Notbetrieb) weiterlaufen können. teil des Risikomanagements ist auch die Einbindung von Partnern. wenn Anbieter (z.B. Cloud-Dienste, Newsletter- Management-Anbieter, It-Dienstleister) personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten, sind diese Auftragsverarbeiter im Sinne der DSGVo. Auch diese müssen DSGVo-konform vorgehen und entsprechende tech- nische und organisatorische Maßnahmen vorsehen. Zur Dokumentation ist ein Auftragsverarbeitungs-Vertrag anzu- schließen. 2.6. Datenschutz-Management Ein Datenschutzmanagementsystem (DSMS) ist die Samm- lung aller Prozesse und deren Dokumentation, die beim Umgang mit personenbezogenen Daten notwendig sind. Eine konkrete Vorschrift über die Form eines DSMS gibt es in der DSGVo nicht. Das kann in einfacher Form für Ein-Perso- nen-Unternehmen als Sammlung von office-Dokumenten bis zu eigenen Programmen für Kleinunternehmen reichen, die Datenbank-basierend in einer benutzerfreundlichen oberfläche die Hauptaufgaben gemäß DSGVo abbilden. Diese, meist kostenpflichtigen Lösungen, bieten die Möglich- keit, ausgehend von einem Verarbeitungsverzeichnis und einer Reihe von gespeicherten Dokumenten, in einfacher Form Auskunftsbegehren zu beantworten und auch Lösch- Verfahren durchzuführen. Beim Aufbau eines DSM kann es hilfreich sein, sich an bereits bestehenden Normen (z.B. BS 10012:2017 „Data Protection - Specification for a personal information ma- nagement system“, die in Abschnitt 8 die DSGVo-Anforde- rungen in das Managementsystem integriert hat) zu orientieren oder ein entsprechendes Zertifikat zu erwerben.

15 2. MANAGEMENtSYStEME 2.7. User Management Die Verwaltung von Benutzern stellt einen kritischen Bereich dar. Durch die Erstellung von Benutzerprofilen sollte genau geregelt werden, wer auf welche Daten zugreifen darf und auch das Recht hat, diese zu verändern oder zu löschen. Kapitel 4.4. Mitarbeiterinnen und Mitarbeiter Administratoren, die diese Aufgaben erfüllen, sind ent- sprechend zu schulen und müssen auch nachweislich den vorgegebenen organisatorischen Regeln folgen. Dazu gehört vor allem die revisionssichere Protokollierung bei der Ein- richtung von Benutzern.

17 3. DSGVo & toMS Die DSGVO fordert in Artikel 32 konkrete technische und organisatorische Sicherheits- maßnahmen zum Schutz personenbezogener Daten. Welche Risiken tatsächlich zu beachten sind und welche Maßnahmen für das Einhalten entsprechender Datenschutz- niveaus zu setzen sind, liegt in der Ver- pﬂichtung des Verantwortlichen, somit der Geschäftsleitung. Basis dieser Entschei- dungen bildet eine Risikoanalyse. 3.1. Stand der technik Der Stand der technik ist ein unbestimmter Rechtsbegriff, sowohl in der DSGVo als auch im Datenschutzgesetz, der in verschiedenen Bereichen Verwendung findet und auf die Entwicklung von wissenschaft und technik Bezug nimmt. Im technischen Umfeld findet eine dynamische weiterent- wicklung statt. Je nach Kernkompetenz eines Unternehmens muss selbst oder durch Hinzuziehen von externen Experten dafür gesorgt werden, dass die gesamte für den Betrieb not- wendige technologie auf dem aktuellen Stand der technik betrieben wird. Das gilt im It-Security-Umfeld ganz speziell, da mögliche Angriffe von innen und außen sich ebenfalls neuester techniken bedienen. Als Stand der technik im Sinne der DSGVo ist für Unterneh- men jeder Größe z.B. der Einsatz einer entsprechend konfi- gurierten Firewall zum Schutz personenbezogener Daten zu sehen. 3.2. Maßnahmen und Auswirkungen allgemein Nach der DSGVo muss jeder Verantwortliche dafür sorgen, dass er die vom Betroffenen übergebenen personenbezo- gene Daten nach dem Stand der technik schützt. Das gilt bei der weitergabe der personenbezogenen Daten auch für den Auftragsverarbeiter.

18 3. DSGVo & toMS 3.2.1. Datenverlust (Data Breach) Data Breach Notification – Meldung an die Datenschutzbehörde Data Breach Notification – Benachrichtigung der betroffenen Person Unter einem „Data Breach“ (Datenverlust) versteht man den Verlust personenbezogener Daten bzw. den Fall, dass Unbe- rechtigte Zugriff auf personenbezogene Daten bekommen. Das reicht vom Verlust eines Datenträgers über den Dieb- stahl eines Notebooks bis hin zu einem Hackerangriff aus dem Internet. Es sind nach dem Stand der technik geeignete technische und organisatorische Maßnahmen zum Schutz der Daten zu treffen. 3.3. Vertraulichkeit Grundsätzlich dürfen nur berechtigte Personen Zugriffe auf personenbezogene Daten durchführen. TIPP Bei Einsatz eines Fileservers dürfen nur Mitarbeiterinnen und Mitarbeiter des jeweiligen Projektes auf einem Projekt- ordner, der personenbezogene Daten enthält, Zugriff haben. Der Schutz kann sich bis auf Datei-Ebene erstrecken. 3.4. Integrität Unter Integrität der Daten versteht man den Schutz perso- nenbezogener Daten vor unberechtigter Veränderung. Ein Angriff auf die Integrität wäre z.B. die Verfälschung von Da- ten, wenn der Empfänger eine andere Nachricht erhält, als vom Sender abgeschickt wurde. Die Integrität kann aber z.B. auch durch fehlerhafte Soft- oder Hardware, die falsche Er- gebnisse liefert, verletzt sein. Vorbeugend kann man Daten z.B. mit einer digitalen Signatur versehen (technische Maß- nahme), damit wäre jede Veränderung sofort erkennbar. Unter Einsatz entsprechender Protokollierung des Zugriffs auf personenbezogene Daten kann über die entsprechenden Logfiles ungewollte oder unberechtigte Veränderung erkannt und zeitnah reagiert werden (organisatorische Maßnahme). 3.5. Verfügbarkeit Die Verfügbarkeit personenbezogener Daten ist nicht nur ein wichtiger Faktor für Geschäftsprozesse des Unternehmens, sondern auch seitens der DSGVo gefordert. Im ersten Schritt ist zu analysieren, wo in meinem Unterneh- men sich sogenannte SPoFs (Single-Point-of-Failure) befin- den, die den Betrieb meiner wichtigsten Geschäftsprozesse unterbrechen könnten. Im Anschluss daran ist jeder SPoF zu klassifizieren und je nach seiner wichtigkeit für das Unter- nehmen entsprechend technisch oder organisatorisch durch geeignete Maßnahmen abzusichern. Diese sollten ganz konkret in den internen toMs abgebildet werden. Ursachen für den Ausfall von Systemen oder teilen davon können sein: SCHWACHSTELLEN IN DER HARDWARE Hier spielt die Qualität der ausgewählten Geräte und damit auch deren Lebensdauer eine wichtige Rolle. In der Praxis gibt es zwei Möglichkeiten zur Absicherung aus technischer Sicht: • „Cold Standby“: Sie haben ein Ersatzgerät ausgeschaltet im Lager, das im Bedarfsfall das ausgefallene Gerät erset- zen kann. Zu beachten ist dabei, wie lange es dauert, bis das Ersatzgerät die Funktion übernommen hat und dass alle notwendigen Konfigurationen richtig eingestellt sind.

19 3. DSGVo & toMS • „Hot Standby“: Ein Ersatzgerät läuft einsatzbereit und TIPP eingeschaltet zum originalgerät, bei Problemen kann das Zweitgerät die Aufgaben des ersten sofort übernehmen. Der Vorteil ist, dass ein Benutzer mitunter den Ausfall des Erstgerätes nicht einmal bemerkt. Der Nachteil darin liegt in den Kosten und leider auch darin, dass man bei vielen Installationen auf Dauer unbemerkt nur mehr mit dem Zweitgerät arbeitet. TIPP Sorgen Sie dafür, dass ein Ersatzgerät in seiner Konfigura- tion immer dem aktuellen Stand entspricht, damit der Be- trieb im Ernstfall nach dem tausch problemlos weiterlaufen kann. Als rein organisatorische Maßnahme zur Absicherung der Hardware können wartungsverträge abgeschlossen werden. Darin sollte aber nicht nur eine Antwortzeit im Falle eines Vorfalls genau definiert sein, sondern auch die Lösungszeit, da diese für das weiterführen des Betriebes wesentlich ist! TIPP Bei hochqualitativen Systemen mit besonders langer Lebensdauer rechnet man mit keinem Ausfall mehr. wenn dieser dann eintritt kann es möglicherweise keine Ersatz- systeme am Markt mehr geben. Dieser Umstand ist unbedingt zu beachten und entsprechend organisatorisch vorzusorgen, z.B. mit geprüften wartungs- verträgen oder einem Ersatzgerät auf Lager! MÄNGEL IN DER SOFTWARE Durch Fehler in der Software kann es zu Programmabstür- zen kommen. Dieser Schwachstellen in der Verfügbarkeit kann man vor allem durch entsprechende Qualitätsmanage- mentmaßnahmen entgegenwirken. Das betrifft vor allem den Update-Prozess einer Software. „Sand-Box-technik“: Führen Sie heikle System- oder Soft- ware-Updates nicht im Echtsystem durch, sondern in einer gesicherten testumgebung und führen Sie diese erst nach Freigabe in den Echtbetrieb über. FEHLER IN DER ORGANISATION organisatorische Risiken für die Verfügbarkeit können durch entsprechende Schulung/Belehrung und entsprechende Richtlinien verringert werden. Ursachen können sein: • Fehlbedienung (z.B. irrtümliches Löschen) • Fehladministration (z.B. falsche Berechtigungen in Benutzer-Profilen) 3.6. Belastbarkeit Eine Überlastung laufender Systeme kann zum Ausfall einzelner Services bis zum Zusammenbruch des Gesamt- systems führen. Die Belastbarkeit ist in engem Zusammenhang mit der Ver- fügbarkeit zu betrachten. Maßnahmen wie der Einsatz von Hot-Stand-by-Systemen zum Ausbalancieren von Serveran- fragen reduzieren die Belastung einzelner Systeme. Eine kontinuierliche Beobachtung der Auslastung einzelner Systeme (speziell der Serversysteme) führt zu einer recht- zeitigen Erkennung von möglichen Engpässen. Damit können in den meisten Fällen zeitgerecht vor Eintreten einer kriti- schen Situation geeignete Maßnahmen ergriffen werden.

20 3. DSGVo & toMS 3.7. wiederherstellbarkeit wie wird ein Backup gemacht? Die Strategie zur wiederherstellung ausgefallener Systeme hängt direkt mit deren Bedeutung für die firmeninternen Prozesse zusammen. Auch hier ist eine rechtzeitige Vorbe- reitung für den Notfall wesentlich. Folgende Fragen sind vorab zu klären: • wie lange darf ein (teil-)System ausfallen? • wird für die Fehlerbehebung eine Ersatzhardware benötigt? • wie lange dauert die Beschaffung eines Ersatzsystems? • wieviel Zeit benötigt die Re-Installation und neuerliche Inbetriebnahme? Speziell der letzte Punkt betrifft personelle Ressourcen und auch entsprechendes Know-how. Darauf ist besonders dann zu achten, wenn Systeme jahrelang fehlerfrei laufen. TIPP Gerade bei der wiederherstellung von ausgefallenen Syste- men ist eine richtige und vor allem aktuelle Dokumentation wesentlich. Sorgen Sie hier vor, dass z.B. Zugangscodes, Konfigurationstabellen oder Lizenzinformationen schnell verfügbar sind. Dies muss auch gewährleistet sein, wenn z.B. der zuständige Mitarbeiter krankheitsbedingt nicht erreich- bar ist. 3.7.1. Backup-Strategien Im Normalfall versteht man unter Backup die Sicherungsko- pien von Dateien. Eine entsprechende Strategie soll die wie- derherstellung im Krisenfall gewährleisten. Dabei ist beson- ders zu beachten: In der Praxis findet man zwei Varianten: • vollständiges Backup: ein gesamtes System (z.B. Server) wird vollständig gesichert • inkrementelles Backup: nur die Änderung seit dem letzten Backup werden gesichert wie oft wird ein Backup gemacht? Für Kleinunternehmen und Ein-Personen-Unternehmen empfiehlt sich ein dreistufiges Backup: • täglich • wöchentlich • Monatlich Sind die Backups vor fremdem Zugriff geschützt? Dieser Schutz kann physisch oder logisch durch Verschlüs- selung erfolgen. Eine Backup-Kopie sollte z.B. als Schutz im Brandfall räumlich getrennt vom Datenträger gelagert sein. Als organisatorische Maßnahme ist die lokale Ablage in einem feuerfesten Daten-tresor sinnvoll. wird der wiederherstellungs-Prozess regelmäßig geprüft? Überprüfen Sie mindestens einmal jährlich die wiederher- stellung der Daten vom Backup. TIPP Machen Sie mit dem online-Ratgeber Datensicherung eine Bestandsaufnahme über die Datensicherung in Ihrem Unter- nehmen und erhalten Sie nützliche tipps, wie Sie die Siche- rung Ihrer Daten optimieren können. online-Ratgeber Datensicherung

21 3. DSGVo & toMS 3.8. Datenschutz durch technik und durch datenschutzfreundliche Vor- einstellungen (Privacy by design/ Privacy by default) Zum Schutz der personenbezogenen Daten haben die Ver- antwortlichen und die Auftragsverarbeiter auch die Grund- sätze des Datenschutzes durch technik (privacy by design) und durch datenschutzfreundliche Voreinstellungen (privacy by default) zu berücksichtigen und geeignete interne Strate- gien festzulegen sowie entsprechende Maßnahmen zu setzen. 3.8.1 Datenschutz durch technik Sowohl bei der Planung als auch bei der Datenverarbeitung selbst haben der Verantwortliche und der Auftragsverarbei- ter geeignete technische und organisatorische Maßnahmen zu berücksichtigen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (z.B. durch Pseudonymisie- rung der Daten). Dabei sind der Stand der technik, die Imple- mentierungskosten, die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedlichen Eintrittswahrscheinlichkeiten und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen zu berück- sichtigen. 3.8.2 Datenschutzfreundliche Voreinstellungen Der Verantwortliche hat geeignete technische und organisa- torische Maßnahmen zu treffen, die sicherstellen, dass durch entsprechende Voreinstellungen grundsätzlich nur solche personenbezogenen Daten verarbeitet werden, deren Verar- beitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten nicht ohne Eingreifen einer Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden. Die Einhaltung eines genehmigten Zertifizierungsverfahrens kann als Faktor herangezogen werden, um die Erfüllung der genannten Maßnahmen nachzuweisen. 3.9. Regelmäßige Überarbeitung der toMs TIPP Überprüfen Sie mindestens einmal jährlich die toMs und ak- tualisieren Sie diese im Bedarfsfall. 3.9.1. Überprüfung Eine Überprüfung ist regelmäßig aus technischer sowie aus organisatorischer Sicht durchzuführen: • Technische Überprüfung Sämtliche technische Vorgaben sind auf deren technische wirksamkeit hin zu überprüfen. Das reicht von der Klärung, ob Notebooks tatsächlich verschlüsselt sind bis zur korrek- ten Konfiguration von Standby-Systemen. TIPP Beim Einsatz von „Cold-Standby“-Systemen für Server, die selten oder kaum ausfallen, werden die Ersatzsysteme oft für andere Zwecke „missbraucht“ und sind dann im Ernstfall nicht einsatzbereit! Überprüfen Sie, ob die Geräte auf dem aktuellen Stand sind und für den Notfall bereitstehen.

22 3. DSGVo & toMS 3.10. Dokumentation Die Dokumentation spielt eine wesentliche Rolle im Rahmen der DSGVo und insbesondere bei den toMs. Sie dient sowohl der Qualitätssicherung, als auch gegebenenfalls der Recht- fertigung gegenüber der Datenschutzbehörde. wie bei allen Managementsystemen sind die Dokumente entsprechend übersichtlich zu gestalten und sollten mindestens folgende Informationen beinhalten: • Autor (eventuell wer das Dokument geprüft und freigegeben hat) • Art des Dokuments Richtlinie, Checkliste, Protokoll… • Datum (eventuell Uhrzeit) • Version (eventuell auch letzte/vorhergehende Version des Dokuments) • Betroffene Personengruppen • Organisatorische Überprüfung Hier ist zu klären, ob vorgesehene Maßnahmen, festgehalten in Richtlinien, von den betroffenen Personen auch tatsäch- lich eingehalten werden. Beispiel: Ein Raum ist gemäß Sicherheits-Richtlinie versperrt zu halten. Bei häuﬁger Benutzung stellt dies für die Mitarbeite- rinnen und Mitarbeiter einen lästigen Mehraufwand dar und kann dazu führen, dass sie den Raum erst am Ende des Arbeitstages abschließen. 3.9.2. Bewertung Die Ergebnisse der Überprüfung der toMs können in einer verbalen Bewertung erfolgen, aber auch unter Hinzuziehung von Kennzahlen. Damit kann im Rahmen einer Erfolgskont- rolle die Nachhaltigkeit der Maßnahmen nachgewiesen bzw. Korrekturen der Maßnahmen durchgeführt werden. 3.9.3. Evaluierung der wirksamkeit Neben der Überprüfung der toMs ist vor allem zu klären, ob sie noch dem Stand der technik entsprechen und vor allem auch ihren Zweck zur Einhaltung eines definierten Daten- schutzniveaus tatsächlich erfüllen. TIPP Führen Sie einmal jährlich eine – interne oder externe – allgemeine Überprüfung der DSGVo-Maßnahmen durch (DSGVo-Audit).

24 4. MItARBEItERINNEN UND MItARBEItER IT-Sicherheit kann auch bei besten techni- schen Maßnahmen nur funktionieren, wenn die Mitarbeiterinnen und Mitarbeiter ausge- prägtes Sicherheitsbewusstsein besitzen und in der Lage sind, die Vorgaben in der täg- lichen Praxis umzusetzen. Schulung und Sensibilisierung für Fragen der IT-Sicherheit sind daher unbedingt notwendig. 4.1. Regelungen für Mitarbeiterinnen und Mitarbeiter Bereits im Rahmen des Bewerbungsverfahrens werden dem Unternehmen personenbezogene Daten bekannt. Schon ab diesem Zeitpunkt sind entsprechende Vorkehrungen betref- fend die interne Personalverwaltung in den toMs zu treffen. Bei der Einstellung von Mitarbeiterinnen und Mitarbeitern sind diese zur Einhaltung einschlägiger Gesetze, Vorschrif- ten und interner Regelungen zu verpflichten. Es empfiehlt sich, insbesondere Richtlinien zu folgenden Be- reichen zu treffen, die in Form einer Verpflichtungserklärung zu unterzeichnen sind. chende Einweisung kennen sie ihre Ansprechpersonen in Sicherheitsfragen nicht und wissen nicht, welche It-Sicher- heitsmaßnahmen einzuhalten sind. In die Stellenbeschreibungen müssen alle sicherheitsrele- vanten Aufgaben und Verantwortlichkeiten explizit aufge- nommen werden. Dies gilt besonders für Mitarbeiterinnen und Mitarbeiter mit speziellen Sicherheitsaufgaben (Daten- schutzbeauftragte, It-Sicherheitsbeauftragte, Applikations- und Projektverantwortliche...). Bei der Einstellung von It-Administratorinnen und Administ- ratoren ist besondere Sorgfalt nötig: Sie haben weitgehende und umfassende Befugnisse, insbesondere sind sie in der Lage, auf alle Daten zuzugreifen, sie zu verändern und Be- rechtigungen so zu vergeben, dass erheblicher Missbrauch möglich ist. Das hierfür eingesetzte Personal muss sorgfältig ausgewählt werden und absolut vertrauenswürdig sein. Für Mitarbeiter-Richtlinien gilt im Besonderen: • sie müssen einfach, klar und verständlich formuliert sein • nicht in zu großem Umfang, maximal 1-2 A4 Seiten • die Formulierung muss an die Zielgruppe angepasst sein, vom Hilfspersonal bis zum It-techniker • für die Einhaltung der Richtlinien sollten Prüfmethoden existieren • im Rahmen von Schulungen und weiterbildungen muss das Verständnis der Regeln überprüft werden • Einhaltung der PC-Benutzungsregeln • Einhaltung der Regeln für die Benutzung von Internet und TIPP E-Mail • Einhaltung der Verpflichtungserklärung auf das Datenge- heimnis (Artikel 32 Abs. 4 DSGVo und § 6 DSG). Neue Mitarbeiterinnen und Mitarbeiter müssen unbedingt auf interne Regelungen, Gepflogenheiten und Verfahrens- weisen im It-Einsatz hingewiesen werden. ohne entspre- Stellen Sie sicher, dass alle (auch neue!) Mitarbeiterinnen und Mitarbeiter die Richtlinien kennen (z.B. durch Schulun- gen und Überprüfungen) und dokumentieren Sie dies mittels Unterschrift. Bei neu eintretenden Mitarbeiterinnen und Mitarbeitern kann dies auch Bestandteil des Dienstvertrags sein.

25 4. MItARBEItERINNEN UND MItARBEItER Die Richtlinien sollten für alle Mitarbeiterinnen und Mitarbei- ter in der aktuellen Version jederzeit zur Verfügung stehen (z.B. online auf einem Fileserver). 4.3. Regelungen für den Einsatz von Fremdpersonal 4.2. Verfahren bei personellen Veränderungen Bei personellen Veränderungen, insbesondere beim Aus- scheiden von Mitarbeiterinnen und Mitarbeitern aus dem Un- ternehmen, sollten folgende grundlegende Punkte beachtet werden: • Sämtliche Unterlagen, ausgehändigte Schlüssel, ausgelie- hene It-Geräte (z.B. Mobilgeräte, Speichermedien, Doku- mentationen) sind zurückzufordern. • Sämtliche Zugangsberechtigungen und Zugriffsrechte müssen angepasst, entzogen oder gelöscht werden. Dies betrifft unter anderem auch Berechtigungen für eventuelle telearbeitszugänge sowie Daten auf privaten Smartphones oder Notebooks. • wenn eine Zugangsberechtigung zu einem It-System zwi- schen mehreren Personen geteilt wurde (z.B. mittels eines gemeinsamen Passwortes), muss nach Ausscheiden einer der Personen die Zugangsberechtigung sofort geändert werden. wenn Administratoren oder andere Schlüsselper- sonen ausscheiden, müssen auch alle anderen Passwörter geändert werden, die ihnen bekannt waren. • Die Neuvergabe eines bestehenden Benutzerkontos an neue Mitarbeiterinnen oder Mitarbeiter sollte möglichst vermieden werden. Es empfiehlt sich eine Checkliste für personelle Veränderun- gen bereitzuhalten. Betriebsfremde Personen wie z.B. Personal von Reinigungs- firmen oder It-Dienstleister können leicht Zugang zu ver- traulichen Unternehmensdaten erhalten und stellen unter Umständen eine erhebliche Bedrohung dar. Einige einfache Regeln sollten beachtet werden, um vertrau- liche Informationen zu schützen: • Externe Mitarbeiterinnen und Mitarbeiter, die über einen längeren Zeitraum in einem Unternehmen tätig sind und Zugang zu vertraulichen Unterlagen und Daten erhalten könnten, müssen schriftlich (im Rahmen von Geheimhal- tungsverpflichtungen) auf die Einhaltung der geltenden einschlägigen Gesetze, Vorschriften und internen Rege- lungen verpflichtet werden. • Für Fremdpersonal, das nur kurzfristig oder einmalig zum Einsatz kommt, gelten die gleichen Regeln wie für Besu- cherinnen und Besucher, d.h. dass etwa der Aufenthalt in sicherheitsrelevanten Bereichen nur in Begleitung von unternehmenseigenem Personal erlaubt ist. • Ist es nicht möglich, betriebsfremde Personen ständig zu begleiten oder zu beaufsichtigen, sollten zumindest die persönlichen Arbeitsbereiche abgeschlossen werden (Schreibtisch, Schrank; Abmeldung/Sperre am PC). 4.4. Sicherheitssensiblisierung und -schulung Um die It-Sicherheit zu verbessern, sollten alle Mitarbeite- rinnen und Mitarbeiter über angemessene Kenntnisse im Umgang mit It-Systemen und den Gefahren und Gegenmaß- nahmen in ihrem eigenen Arbeitsgebiet verfügen. Es liegt in der Verantwortung der Geschäftsführung durch geeignete

26 4. MItARBEItERINNEN UND MItARBEItER Schulungsmaßnahmen die nötigen Voraussetzungen zu schaffen. Darüber hinaus sollte alle Benutzer dazu motiviert werden, sich auch in Eigeninitiative Kenntnisse anzueignen. Die überwiegende Zahl von Schäden im It-Bereich entsteht durch Nachlässigkeit oder Bequemlichkeit. Das Aufzeigen der Abhängigkeit des Unternehmens von Informationen und vom reibungslosen Funktionieren der It-Systeme ist ein ge- eigneter Einstieg in die Sensibilisierung der Mitarbeiterinnen und Mitarbeiter für Sicherheitsanliegen. weitere mögliche Inhalte einer Benutzerschulung sind: • Der richtige Umgang mit Passwörtern • Richtiges Verhalten beim Auftreten von Sicherheitsproblemen • Der Umgang mit personenbezogenen Daten • wirkungsweise und Arten von Schadprogrammen • Erkennen eines Befalls mit Schadprogrammen • Sofortmaßnahmen im Verdachtsfall und Maßnahmen zur Entfernung von Schadprogrammen • Das richtige Verhalten im Internet • Das richtige Verhalten bei unzulässigen Anfragen • Risiken bei der Verwendung mobiler It-Geräte und Datenträger • Die Bedeutung der Datensicherung und ihrer Durchführung It-Sicherheitshandbuch für Mitarbeiterinnen und Mitarbeiter Als Behelf für Benutzerschulungen und zum Selbststudium empfehlen wir das „It-Sicherheitshandbuch für Mitarbeite- rinnen und Mitarbeiter“ aus der it-safe-Reihe. 4.4.1. Abwehr von Social-Engineering-Angriffen Als Social Engineering bezeichnet man das Manipulieren von Personen, um unbefugt Zugang zu vertraulichen Informatio- nen oder It-Systemen zu erhalten. Social Engineering-Angriffe werden meistens über das tele- fon, gelegentlich aber auch über soziale Netzwerke oder durch persönliches Auftreten des „Social Engineers“ geführt: Angreifer geben sich als Mitarbeiter, Kunden oder It-Fach- kräfte aus und überzeugen ihre Gesprächspartner durch ge- schickte täuschung von ihrer vorgetäuschten Identität. Bei geeigneter Gelegenheit – oft erst nach mehrmaligen telefo- naten – gelangen sie so an Informationen, die die opfer übli- cherweise nie herausgeben würden. Gute Social Engineers können unvorbereitete Mitarbeiterinnen und Mitarbeiter zu verschiedensten unerlaubten Handlungen, insbesondere zu Verstößen gegen Sicherheitsauflagen und -richtlinien bewegen. Social Engineering-Angriffe sind häufig erfolgreich, weil sie menschliche Eigenschaften und Schwächen gezielt ausnüt- zen: Hilfsbereitschaft und Höflichkeit, Kundenfreundlichkeit, aber auch Autoritätshörigkeit und Angst. Einige Maßnahmen können aber helfen, das Risiko zu verringern: • Schulungen über Social Engineering-Strategien und -Methoden helfen den Mitarbeiterinnen und Mitarbeitern, sich auf Angriffe dieser Art vorzubereiten. • Alle Mitarbeiterinnen und Mitarbeiter müssen sich regel- mäßig den wert der von ihnen bearbeiteten Daten be- wusstmachen, insbesondere hinsichtlich des Schadens, der entstehen kann, wenn sie in falsche Hände geraten. • Schriftliche Festlegungen, welche Informationen vertrau- lich behandelt werden müssen und welche auch an Unbe- kannte weitergegeben werden dürfen, können Benutzern zur orientierung dienen und dem Unternehmen außerdem als Argumentationshilfe nach Sicherheitsvorfällen nützlich werden.

27 4. MItARBEItERINNEN UND MItARBEItER • Festlegungen zur Anfragenform sind empfehlenswert: Das Anfordern einer Rückrufnummer oder einer schriftlichen Anfrage kann den Social Engineer unter Umständen be- reits zurückschrecken und gibt den betroffenen Mitarbei- terinnen und Mitarbeitern Gelegenheit zur Nachfrage. Auskünfte zu sensiblen Daten sollten generell nur bei per- sönlichem Erscheinen erteilt werden. • Besonders neuen Mitarbeiterinnen und Mitarbeitern sollte empfohlen werden, Anfragen, bei denen sie unsicher sind, ob deren Beantwortung zulässig ist, an Vorgesetzte oder andere erfahrene Personen weiterzuleiten. • Mitarbeiterkommunikation ist wichtig: Bei „verdächtigen“ Anfragen sollten auch die anderen Mitarbeiterinnen und Mitarbeiter informiert werden, um zu verhindern, dass ein abgewiesener Angreifer sein Glück bei anderen, zugängli- cheren Kolleginnen und Kollegen versucht. 4.5. Clear Desk/Clear Screen Policy In ungesicherten Arbeitsumgebungen hilft eine Clear Desk- Policy beim Schutz vertraulicher Dokumente und Daten vor unbefugten Zugriffen. Alle Mitarbeiterinnen und Mitarbeiter sollten bei Abwesen- heit vertrauliche Unterlagen verschließen. Dies gilt insbe- sondere für Großraumbüros, aber auch in anderen Fällen ist dafür Sorge zu tragen, dass keine unberechtigten Personen (Kunden, Besucher, Reinigungspersonal, unbefugte Mitar- beiter etc.) Zugriff auf Schriftstücke oder Datenträger mit heiklen Inhalten haben. Ähnliches gilt auch für die Compu- ter: Beim Verlassen des Arbeitsplatzes muss sich jeder Benutzer vom PC abmelden. wenn nur eine kurze Unterbre- chung der Arbeit erforderlich ist, kann der Computer stattdessen gesperrt werden. Zusätzlich sollte auch eine au- tomatische Sperre bei Nicht-Nutzung, z.B. durch einen pass- wortgeschützten Bildschirmschoner, vorgesehen werden. Es sollte darauf geachtet werden, dass den Mitarbeiterinnen und Mitarbeitern ausreichende Möglichkeiten zum Versper- ren der sensiblen Arbeitsunterlagen zur Verfügung stehen. Alle Benutzer sollten außerdem über die tastenkombinatio- nen (z.B. „windows-taste + L“) zum schnellen Sperren des PCs informiert werden. Falls möglich, sollten besonders in der ersten Zeit auch Kontrollen und wiederholte Aufforde- rungen erfolgen, um die Durchsetzung dieser Anweisungen zu sichern. 4.6. Entsorgung von Datenträgern und Papierdokumenten Datenträger und Dokumente mit vertraulichen Inhalten müs- sen auf sichere Art entsorgt werden, z.B. durch ein dafür zer- tifiziertes Unternehmen. In vielen Unternehmen stellt der Umgang mit Dokumenten ein Sicherheitsrisiko dar. Dokumente mit vertraulichen oder personenbezogenen Inhalten werden mit dem Altpapier ent- sorgt, ohne vorher unlesbar gemacht zu werden. Ähnliches gilt für nicht mehr gebrauchte Datenträger wie z.B. defekte Festplatten, Sicherungsbänder oder USB-Sticks. Unbefugte Personen können auf einfache Art an kritische Daten gelangen, indem sie Altpapiercontainer durchsuchen und entsorgte Datenträger wieder lesbar machen. Daher müssen entsprechende Sicherheitsmaßnahmen befolgt werden: • Die Mitarbeiterinnen und Mitarbeiter müssen über das Entsorgungskonzept informiert und insbesondere darüber in Kenntnis gesetzt werden, welche Dokumente nicht über das Altpapier entsorgt werden dürfen. • Papierdokumente müssen mit einem cross-cut-Shredder oder über ein Entsorgungsunternehmen vernichtet werden.

28 4. MItARBEItERINNEN UND MItARBEItER • Eine ausreichende Anzahl von Entsorgungsmöglichkeiten in erreichbarer Nähe der Mitarbeiterinnen und Mitarbeiter sowie Ansprechpartner für Rückfragen im Zweifelsfall sollten vorgesehen werden. • Datenträger müssen auf sichere Art vernichtet werden: Si- cherungsbänder werden geshreddert, Festplatten müssen physisch zerstört werden (durch Aufschrauben und Zer- trümmern der einzelnen Plattenscheiben). • Bei Festplatten und wechseldatenträgern ist zudem der Einsatz von Löschprogrammen ratsam, die ein sicheres Löschen der Daten gewährleisten. • Die Vernichtung der Datenträger kann auch durch ein ent- sprechendes Entsorgungsunternehmen erfolgen, wobei jedenfalls eine Bestätigung der Vernichtung zu verlangen ist. 4.7. telearbeit Unter telearbeit versteht man tätigkeiten, die räumlich ent- fernt vom Standort des Arbeitgebers durchgeführt werden und deren Erledigung durch eine kommunikationstechnische Anbindung an die It-Infrastruktur des Arbeitgebers unter- stützt wird. Bestimmte Anforderungen sollten möglichst noch vor der Einrichtung und Vergabe von telearbeitszugängen überlegt und definiert werden. Z.B. sollte ein telearbeitsplatz mög- lichst in einem eigenen, von der übrigen wohnung getrenn- ten Zimmer eingerichtet werden und Versperrmöglichkeiten für Datenträger und Dokumente vorsehen. Für die verwendeten Computer müssen ebenfalls bestimmte Auflagen erteilt werden: Aktuelle Virenschutzsoftware ist unbedingt nötig, ebenso der Einsatz eines Zugriffsschutzes durch Benutzeranmeldung und Passworteingabe. Soweit das umsetzbar ist, sollte eine Liste von Software erstellt werden, die auf dem telearbeit-PC aus Sicherheitsgründen nicht be- trieben werden darf. werden diese Auflagen nicht eingehal- ten, darf der telearbeitszugang nicht vergeben oder muss wieder entzogen werden. Aus diesen Gründen ist es oft sinnvoll, den für die telearbeit verwendeten PC vom Unternehmen bereitzustellen. In die- sem Fall sollte schriftlich festgelegt werden, dass der Rech- ner ausschließlich für die berufliche Nutzung verwendet werden darf und dass andere Personen keinen Zugang er- halten dürfen. Auch die Festlegung der Softwareausstattung des telearbeit-PCs und die Vereinbarung zusätzlicher Kont- rollrechte des Arbeitgebers sind in solchen Fällen einfacher möglich. weitere Regelungen, z.B. zur Durchführung regelmäßiger Datensicherungen, zu Sicherheitsmaßnahmen bei sensiblen Daten oder zum Vorgehen bei Problemen, sollten zu einer schriftlichen Richtlinie zusammengefasst werden, die allen telearbeiterinnen und telearbeitern übergeben wird. 4.8. technik der Mitarbeiterinnen und Mitarbeiter 4.8.1. Mobiltelefon Besonders bei der Benutzung des Mobiltelefons sind die Mit- arbeiterinnen und Mitarbeiter durch entsprechende techni- sche und organisatorische Maßnahmen zu unterstützen. Derzeit bieten eine Reihe von Herstellern proprietäre Lösun- gen zum Schutz ihrer Mobiltelefone an. Als ein Beispiel für eine getrennte Benutzerumgebung (unternehmerische und private Nutzung) stellen wir nachstehend das System „KNoX“ von SAMSUNG vor.

29 4. MItARBEItERINNEN UND MItARBEItER Damit kann man auf Mobiltelefonen – ähnlich wie bei Linux Systemen (SE-LINUX: Secure- Enhanced LINUX) – einen Schutz auf Kernel-Ebene anbieten. Mit KNoX kann man auf Systemebene des Mobiltelefons ei- nen getrennten Benutzerbereich einrichten – ähnlich wie bei virtuellen Betriebssystemen - diesen nennt man Knox-Con- tainer. Dieser stellt eine völlig getrennte Benutzerumgebung innerhalb des Android-Profils dar. Damit bietet KNOX zwei interessante Ansätze: • Ein dienstliches mobiles Endgerät darf privat genutzt werden, wobei private und unternehmerische App-Daten voneinander getrennt werden. Außerhalb des Knox- Containers dürfen Apps frei aus dem Play Store installiert werden. Der Knox-Container selbst enthält aber nur vom Unternehmen freigegebene Apps. • Im Falle eines BYoD-Ansatzes (siehe Kapitel 4.8.7.) stellt ein Benutzer sein privates Gerät dem Unternehmen zur Verfügung. Durch den Knox-Container kann das Unter- nehmen Daten getrennt ablegen und es können auch firmeninterne Android-Apps installiert werden. Falls der Benutzer die organisation verlässt, können durch ein einfaches Löschen des Containers die Daten des Unter- nehmens wieder vollständig entfernt werden. In der einfachsten Form kann ein Knox-Container durch Ins- tallation und Einrichtung der App My Knox erstellt werden. Hiermit wird ein (aber nicht zentral verwaltbarer) Knox- Container lokal am Mobiltelefon installiert. Zusätzlich zum individuellen Schutz des Mobiltelefons sollte in einem Unternehmen ein Mobile Device Management (MDM)-System eingerichtet werden. Die wichtigste Grund- funktion dabei ist dabei das Fernlöschen aller am Mobiltele- fon gespeicherten Daten. In weiterer Folge unterstützt ein MDM die sichere Benutzung des Mobiltelefons – und auch eines Notebooks – auf mehreren Ebenen: • Erweiterung des Fernlöschens für Notebooks • Definition von Sicherheitsrichtlinien für Mobile Devices • Ausrollen von Apps • Dokumentation verwendeter mobiler Geräte im Unternehmen 4.8.2. E-Mail TIPP Für einen übersichtlichen Umgang mit personenbezogenen Daten sollten E-Mails und deren Attachments mit personen- bezogenen Daten in den entsprechenden Projektordnern im Filesystem oder einer Datenbank abgelegt und anschließend im E-Mail System vollständig gelöscht werden. Ziel ist es, einem Auskunftsbegehren oder Löschbegehren einer be- troffenen Person korrekt und ohne zu großem Aufwand nachkommen zu können. Eine wichtige organisatorische Maßnahme ist das Erstellen einer Richtlinie für den Umgang mit E-Mails, die folgende Punkte beinhalten sollte: • Wo sollen Attachments gespeichert werden? Bedenken Sie, dass es gerade bei undokumentiertem lokalen Ablegen dazu kommen kann, dass personenbezo- gene Daten später nicht mehr lokalisierbar sind und dadurch z.B. das vollständige Löschen von diesen Daten sehr erschwert oder sogar unmöglich wird. • E-Mails mit personenbezogenen Daten dürfen in keinem Fall an Freemailer-Systeme (z.B. gmx, gmail) weiter- geleitet werden. Das ist besonders zu beachten, wenn private E-Mail-Adressen von Mitarbeiterinnen und Mit- arbeiter in Unternehmen zum Einsatz kommen.

30 4. MItARBEItERINNEN UND MItARBEItER Bei Verwendung von ordnern im E-Mail System fehlt oft eine entsprechende Struktur der gespeicherten Daten wie in gut organisierten Datenbanksystemen, wo Daten de facto nur einmal abgespeichert werden und dann darauf referenziert wird. Beachten Sie auch, dass viele Mitarbeiterinnen und Mitarbeiter ihre E-Mails am Mobiltelefon bearbeiten. Bei Verlust des Mobiltelefons könnte das zu einem Data-Breach führen. Die Absicherung könnte hier z.B. durch die Möglich- keit der Fernlöschung erfolgen. 4.8.3. Umgang mit verdächtigen E-Mails Es ist extrem einfach, den Absender einer E-Mail allein im Mail-Client, den man verwendet, einzustellen, also sich für eine andere Person auszugeben. Daher ist unbedingt notwendig, bei „verdächtigen“ E-Mails, die eventuell gefälscht sein könnten, nochmals beim Absender nachzufragen. 4.8.4. E-Mail Verschlüsselung Grundsätzlich schreibt die DSGVo nicht vor, dass E-Mails mit personenbezogenen Daten verschlüsselt werden müssen. Dennoch stellt dies eine sehr sinnvolle Schutzmaßnahme dar. Verschlüsselung der E-Mail im Rahmen der Übertragung Eine E-Mail kann auf dem Übertragungsweg einfach mittels tLS verschlüsselt werden. Um eine End-to-End Sicherheit zu erreichen, d.h. dass nur der Empfänger die E-Mail öffnen kann, benötigt man eine Identifikation des Empfängers. Dafür wird bei vielen kommerziellen Anwendungen im Hintergrund auf schon seit vielen Jahren bekannte weit ver- breitete Lösungen zurückgegriffen, die beide auf dem Public/ Private-Key-Verfahren basieren (siehe Kapitel 1.5. über Verschlüsselung): PGP („Pretty-Good-Privacy“) und S/MIME (Secure/Multipurpose Internet Mail Extensions) Sollte der Empfänger nicht imstande sein, mit verschlüssel- ten E-Mails dieser technologie umgehen zu können, erfolgt bei manchen Lösungen eine automatische Umlenkung auf einen webbasierenden Ansatz. Die E-Mail wird dann per Passwort zum Download auf einem webserver bereitgestellt. Um ihren E-Mail Client „S/MIME-tauglich“ zu machen, damit Sie sowohl ihre E-Mails als auch ihre Attachments ver- schlüsselt mit einem Geschäftspartner austauschen können, sind folgende zwei Schritte notwendig: Anfordern eines Schlüssels/Zertiﬁkat von einer Zertiﬁzierungsstelle. Einrichten dieses Zertiﬁkats im E-Mail Client am Beispiel outlook Das Zertifikat wird über das „trust-Center“ importiert: Abfolge der Menüpunkte in MS outlook: Datei à optionen à trust Center à Einstellungen für das trust Center à E-Mail-Sicherheit à importieren/exportieren à Durchsuchen (Speicherplatz des Zertifikates auswählen, Aktivierungspasswort eingeben und lokalen Namen für das Zertifikat wählen) à oK Damit ist das Zertifikat in outlook installiert und Sie können E-Mails verschlüsselt versenden und empfangen. In ähnlicher Form erfolgt die Installation des Zertifikates bei anderen E-Mail Clients. Speziell für S/MIME gibt es im Internet eine Reihe von einfachen Schritt für Schritt Anweisungen, wie Sie Ihren E-Mail Client – auch auf ihrem Mobiltelefon – S/MIME- tauglich machen können.

31 4. MItARBEItERINNEN UND MItARBEItER Anstelle der Übertragung per E-Mail könnten personenbezo- gene Daten z.B. über einen sicheren webserver, über den kritische Daten benutzerspezifisch und passwortgeschützt per Upload und Download ausgetauscht bzw. übertragen werden. E-Zustellung TIPP Mittels E-Zustellung können Sie vertrauliche Nachrichten und Dokumente elektronisch, genauso einfach und schnell wie per E-Mail, aber viel sicherer, versenden und empfangen. 4.8.5. Remote Arbeitsplatz und teleworking Selbstverständlich erfordert auch ein Remote-Arbeitsplatz entsprechende Sicherheitsmaßnahmen. Dieser ist vor An- griffen aus dem Internet durch eine Firewallbox („Appliance“) zu schützen, die auch der Endpunkt für den sicheren Zugang in das Unternehmen per VPN sein sollte. TIPP Ähnlich wie bei mobilen Arbeitsplätzen mit einem Notebook ist auch ein fester Remote-Arbeitsplatz mittels Festplatten- Verschlüsselung vor unbefugtem Zugriff auf die Daten zu schützen. Beim teleworking werden einige zusätzliche technische und organisatorische Maßnahmen notwendig, da im Privatbe- reich zusätzliche Risiken durch Unbefugte (z.B. Familienmit- glieder, Besucher, aber auch Einbrecher) auftreten können. Dabei sind folgende Fragen zu klären: • wem gehört das Equipment, das vor ort zum Einsatz kommt? • wer betreut die Systeme des Mitarbeiters in seinem Home-office (PC, Drucker, wLAN, Firewall)? • wie erfolgt der Zugang zu firmeninternen Ressourcen (VPN, Remote-Desktop)? 4.8.6. Mobiles Arbeiten unterwegs Durch eine Netzverbindung zum Internet entstehen Gefah- ren. werden bei mobilem Internetzugang keine zusätzlichen Schutzmaßnahmen eingerichtet, ist die Verbindung in beide Richtungen offen, d.h. es kann von einem beliebigen Rechner auf das ganze Netzwerk zugegriffen werden. Eine richtig konfigurierte Firewall gestattet nur die unbedingt notwendi- gen und tatsächlich gebrauchten Verbindungen und blockiert alle anderen. Für mobiles Arbeiten am Notebook werden in der Regel folgende Zugänge zum Internet verwendet: • GSM Die Anbindung des Notebooks im Internet kann über eine integrierte SIM-Karte erfolgen oder auch über das mobile telefon als eigener wLAN-Hotspot. In beiden Fällen ist zu beachten, dass ein Firewallschutz am Notebook installiert sein muss. • WLAN in einem bekannten LAN Viele Firmen bieten ein wLAN-Gästenetz für Besucher an. Auch in diesem Fall sind entsprechende Schutzmaßnahmen (insbesondere Firewall) auf dem Notebook unerlässlich.

32 4. MItARBEItERINNEN UND MItARBEItER • WLAN in einem öffentlichen Netz (Public Hotspot) Beachten Sie, dass es für kriminelle Hacker sehr einfach ist, öffentliche Netzzugänge dafür zu nutzen Ihre Daten auszu- spähen. Verschlüsseln Sie Ihren Datenverkehr hier unbe- dingt mittels eines sicheren VPN. Deaktivieren Sie Funktionen wie wLAN oder Bluetooth, wenn Sie sie gerade nicht brauchen. Betroffen sind Mobiltelefone, Notebooks, aber auch mobile Datenträger wie zum Beispiel USB-Sticks, digitale Kameras oder Diktiergeräte. weisen Sie die Mitarbeiterinnen und Mitarbeiter (idealerweise in einer entsprechenden Richtlinie) darauf hin, mobile Geräte nie ungeschützt unbeaufsichtigt zu lassen. Insbesondere gilt dies aufgrund der hohen Dieb- stahlsgefahr für das Zurücklassen in PKws (keinesfalls sichtbar!). 4.8.7. BYoD (Bring Your own Device) TIPP Bring Your own Device bedeutet, dass Geräte (vor allem private Smartphones oder Notebooks) betrieblich zum Einsatz kommen, die den Mitarbeiterinnen und Mitarbeitern gehören. Dabei sind folgende wichtige Fragen zu klären: • wer administriert die privatenGeräte? • welche Applikationen dürfen auf dem Gerät laufen? • wie wird der Remote Zugang zu Firmendaten abgesichert? • wie geht man mit Daten auf den privaten Geräten um, wenn die Mitarbeiterin bzw. der Mitarbeiter das Unter- nehmen verlässt? (z.B. im Rahmen eines Mobile Device Management Systems Fernlöschen der betrieblichen Daten entsprechend DSGVo) 4.8.8. Richtiger Umgang mit mobilen Geräten Aufgrund des hohen Verlustrisikos stellen mobile Geräte ein besonderes Risiko beim Umgang mit personenbezogenen Daten dar. Daher ist bei der Gestaltung der toMs auf den Umgang mit mobilen Geräten besonderes Gewicht zu legen. Beachten Sie bei mobilen Geräten besonders: • Verschlüsselung personenbezogener Daten • Unverzügliche Meldung eines Verlustes an die zuständige Stelle • Möglichkeit der Fernlöschung bzw. Fernadministration 4.8.9. Meldung eines Vorfalls Bei vielen Vorfällen ist nicht sofort klar erkennbar, ob es sich um ein Fehlverhalten eines Benutzers, einen technischen Defekt oder vielleicht sogar um einen Hacker-Angriff han- delt. Aus diesem Grund zögern Benutzer manchmal mit der Meldung eines Vorfalls. Jede Mitarbeiterin und jeder Mitarbeiter muss wissen, an wen er sich im Falle des Auftretens oder Erkennens eines Vorfalls zu wenden hat. Diese Meldung hat unverzüglich zu erfolgen, da bei einem Datenverlust unter Umständen eine verpflichtende Meldung an die Datenschutzbehörde durch den Verantwortlichen innerhalb von 72 Stunden gemacht werden muss und betroffene Personen verständigt werden müssen (siehe dazu auch Kapitel 3.2.1 Databreach).

33 4. MItARBEItERINNEN UND MItARBEItER TIPP Sorgen Sie für ein Betriebsklima, in dem das Erkennen und die Meldung von Schwachstellen gefördert wird. 4.8.10. Erfolgskontrolle Die DSGVo fordert eine regelmäßige Kontrolle und Bewer- tung der Maßnahmen, die zum Schutz personenbezogener Daten ergriffen wurden. Dazu zählt auch die Erfolgskontrolle bezüglich der weiter- bildung der Mitarbeiter. In der einfachsten Form kann dies mittels regelmäßig durchgeführter tests durchgeführt werden. Beispiel: Bezüglich Awareness kann als Test für die Wirk- samkeit der Maßnahmen sein, wie viele Mitarbeiterinnen und Mitarbeiter einem gezielten „falschen“ E-Mail nachkommen (gegebenenfalls in Absprache mit dem Betriebsrat). Text E-Mail: „Setzen Sie bitte sofort ihr Passwort auf A3141, wir müssen einen Systemcheck durchführen! Ihr Systemadministrator (bzw. die Geschäftsleitung).“ Im Sinne vorhergegangener Schulungen sollten die Mitarbeiterinnen und Mitarbeiter dieses E-Mail ent- weder ignorieren oder den Systemadministrator kontaktieren.

35 5. RECHtLICHE GRUNDLAGEN, StANDARDS, NoRMEN UND ZERtIFIKAtE 5.1. DSGVo und das österreichisches Datenschutzgesetz Grundlagen des österreichischen Datenschutzrechts sind seit 25. Mai 2018 die DSGVo und das Datenschutzgesetz (DSG) in der Fassung des Datenschutz-Anpassungsgesetzes 2018 und des Datenschutz-Deregulierungs-Gesetzes 2018. Alle Daten- verarbeitungen müssen dieser Rechtslage entsprechen. Die Sicherheit der Verarbeitung personenbezogener Daten ist in Art. 32 DSGVo geregelt: Unternehmen müssen daher unter Berücksichtigung des Stands der technik, der Imple- mentierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedli- chen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeig- nete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewähr- leisten. 5.2. Strafen Die Missachtung der Verpflichtung zu Datensicherheitsmaß- nahmen ist mit bis zu EUR 10 Mio. oder 2% des letztjährigen weltweiten Jahresumsatzes sanktioniert. 5.3. Institutionen Eine Reihe von organisationen beschäftigt sich auf internati- onaler und nationaler Ebene mit dem thema der Informati- onssicherheit und speziell mit dem Schutz personenbezoge- ner Daten. Unterschiedlichste Standards werden dabei von (Normungs-) Gremien definiert, diesbezügliche Ausbildun- gen und Zertifikate angeboten. Für kleine Unternehmen ist oft der weg zur Zertifizierung aufgrund der Kosten nicht sinnvoll. Auf der anderen Seite können entsprechende Zertifikate aber bei Auftragsverarbei- tern als Nachweis für deren Befähigung dienen. Beispiele: • Sie haben eine Cisco-Firewall in ihrem Unternehmen zum Schutz ihrer lokalen Ressourcen im Einsatz. Ihr IT-Dienst- leister kann mit einem Cisco-Zertiﬁkat seine Fähigkeit die Firewall korrekt fehlerfrei konﬁgurieren zu können, nach- weisen. • Sie haben Ihre Webseite inklusive Webshop bei einem großen deutschen Rechenzentrum laufen. Als Nachweis der techni- schen Kompetenz in Richtung Sicherheitsmanagement kann eine ISO/IEC-27001 Zertiﬁzierung dienen. Normen und Standards im It-Security Umfeld sind für Klein- oder gar Ein-Personen-Unternehmen meistens kein thema – allerdings beinhalten sie das wissen und die Erfahrungen aus jahrzehntelanger Praxis von Experten. Die zugrundelie- genden Prinzipien und Methoden können durchaus auch bei kleineren Unternehmen sinnvoll sein. So spielt z.B. die Dokumentation in allen Normen und Stan- dards eine wichtige Rolle und wird von der DSGVo auch im Rahmen der Rechenschaftspflicht von jedem Unternehmen gefordert. International Organization for Standardization (ISO) Die internationale Norm ISo/IEC 27001 spezifiziert die Anfor- derungen für die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicher- heits-Managementsystems. ISo/IEC 27001

36 5. RECHtLICHE GRUNDLAGEN, StANDARDS, NoRMEN UND ZERtIFIKAtE Deutsches Bundesamt für Sicherheit in der Informationstechnik (BSI) Der vom BSI entwickelte It-Grundschutz ermöglicht es, durch ein systematisches Vorgehen notwendige Sicherheits- maßnahmen zu identifizieren und umzusetzen. Die BSI- Standards liefern hierzu bewährte Vorgehensweisen. Österreichisches Informationssicherheitshandbuch Das Handbuch ist ein Standardwerk für Österreich, ähnlich dem deutschen BSI-Grundschutzhandbuch, und wird von A-SIt, dem österreichischen Zentrum für sichere Informati- onstechnologien, herausgegeben. BSI Grundschutz Österreichisches Informationssicherheitshandbuch Datenschutzbehörde Österreichische Datenschutzbehörde Aufgabe der Datenschutzbehörde ist es für die Einhaltung des Datenschutzes in Österreich zu sorgen. Zu Fragen der Standardisierung und Normung bzw. Zertifizierung sind in Österreich u.a. folgende Institutionen zu nennen: tÜV-Austria Austrian Standards International (A.S.I.) CIS-CERt Incite 5.4. Zertifikate in der DSGVo Ein Zertifikat ist ein Zeugnis über eine abgelegte Prüfung oder eine Überprüfung von vorgegebenen Parametern. Diese Prüfung wird in der Regel von einer unabhängigen Instanz („Prüfstelle“) durchgeführt. Diese Instanz muss für diese Aufgabe autorisiert sein („Akkreditierung“), etwa durch eine staatliche Stelle, zum Beispiel ein Ministerium, von der Zent- rale eines Unternehmens, wenn es sich um Firmenzertifi- kate handelt oder – im Bereich der DSGVo – durch die Datenschutzbehörde. Der Begriff Zertifikat per se ist nicht geschützt. Daher findet man derzeit eine Reihe von Ausbildungsinstitutionen, die Zertifikate zum thema DSGVo ausstellen. organisationen wie tÜV, A.S.I., CIS-Cert, Incite usw. haben nach einer internationalen Norm (Personen-Zertifizierung) jeweils einen Anforderungskatalog definiert, nach dem Personen geprüft werden und damit eine Zertifizierung zum Datenschutzexperten oder Datenschutzbeauftragten erlangen können. Seitens der Datenschutzbehörde fehlt derzeit noch die Ak- kreditierung von Prüfstellen inklusive Vorgaben von Inhalten und Anforderungen, damit eine einheitliche Regelung zumin- dest in Österreich gegeben wäre. TIPP Für Unternehmen sind Zertifikate interessant, da damit die eigene Pflicht von Qualitäts-Überprüfungen – speziell im Bereich der toMs – zumindest teilweise an kompetente Institutionen delegiert werden kann.

38 6. FALLStUDIEN 6.1. Ein-Personen-Unternehmen (Unternehmensberater) Alfred Berger nutzt einen Exchange-Anbieter in Österreich für die Abwicklung seiner E-Mails, ein Auftragsdatenverar- beitungs-Vertrag liegt vor. Die Unternehmensberatung „Alfred Berger Consulting e.U.“ wurde vor 3 Jahren als Einzelunternehmen gegründet. Als Bürostandort wurde ein Coworking Center im 15. Bezirk in wien ausgewählt, das Arbeitsplätze und Infrastruktur (Besprechungsräume, Küche etc.) zur gemeinsamen Nutzung anbietet. Dieses stellt für ihre Mieter ein wLAN zur Verfügung und bietet darüber hinaus keine zusätzliche It- Leistungen an. Für seine Beratungstätigkeiten verwendet Alfred Berger ein Apple-Notebook und ein windows-Notebook (im Büro ange- schlossen an eine Dockingstation mit Drucker). In einem deutschen Rechenzentrum betreibt er einen eige- nen Cloud-Server (Private-Cloud: „NextCloud“) für den gesi- cherten Datenaustausch mit seinen Kunden über https. Ein ISo/IEC-27001-Zertifikat dieses Rechenzentrums liegt vor. technische und organisatorische Maßnahmen (DSGVo Art. 30 Abs. 1 lit. g) Alfred Berger Consulting e.U. Datum der Erstellung 24.5.2018 Datum der letzten Änderung 5.12.2018 Pseudonymisierung und Verschlüsselung Art. 32 Abs. 1 lit. a • Verschlüsselung aller mobilen Datenträger und mobilen Geräte mittels VeraCrypt. • verschlüsselte Datenübertragung (SSL/tSL, SSL mit 2048-bit-Key) an Cloud-Anbieter und verschlüsselte Speicherung (AES mit 256-bit-Schlüssel) bei Cloud-Anbieter • verschlüsselte Datenübertragung (SSL) zum Hosted-Exchange-Anbieter

39 6. FALLStUDIEN Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste Art. 32 Abs. 1 lit. b • Passwortschutz aller Geräte • Virenschutz & Firewall aktiv auf den Notebooks • 2-Faktor-Authentifizierung bei online-Diensten, sofern verfügbar • Firewall-Box bei stationärem Einsatz (vor der Dockingstation) • Fernlöschbarkeit: Einsatz von „KNoX“ auf SAMSUNG-Phone • redundante Datenspeicherung auf mehreren Datenträgern an physisch getrennten orten • Synchronisierung mit Hosted-Exchange-Anbieter • wöchentliches Komplett-Backup auf externe Festplatte (Nr. 1) • quartalsweises Komplett-Backup auf externe Festplatte (Nr. 2) • jährliches Komplett-Backup auf externe Festplatte (Nr. 3.) • offline-Verfügbarkeit aller online-Daten im Falle eines Internetausfalls (SYNC aus der eigenen Private Cloud) • redundante Arbeitsplatzumgebung (weiterarbeiten bei Ausfall eines Notebooks durch das zweite Gerät jederzeit möglich) Datenwiederherstellungs- möglichkeiten Art. 32 Abs. 1 lit. c Evaluierungsmaßnahmen Art. 32 Abs. 1 lit. d • Restore aus Cloud-Backup • von Backups auf externen HDD (Nr. 1, 2, 3) • jährliche Überprüfung der Maßnahmen auf DSGVo-Konformität

40 6. FALLStUDIEN 6.2. Unternehmen mit 5 Mitarbeiterin- nen und Mitarbeitern (Handel) Das Handelsunternehmen „Audio4You“ wird als GmbH mit Standort in wien geführt, hat 5 Mitarbeiterinnen und Mitar- beiter und zusätzlich für den Vertrieb seiner Produkte einen webshop. Dieser wird im outsourcing in der Cloud von einem deutschen Anbieter betrieben. Die webshop-Software wurde von einem kleinen österreichischen Softwarehaus erstellt, das ausgehend von einem open Source-Produkt eine adap- tierte Version entwickelt hat. weitere Anpassungen und wei- terentwicklungen erfolgen nach individuellem Auftrag. Das Kundenportfolio erstreckt sich vor allem auf den B2B- Markt (das Produktportfolio der Audioanlagen bewegt sich im technischen/preislichen Highend-Bereich), nur 10 % des Ge- schäftes werden im Laden im Bereich B2C abgewickelt. Die- ser Laden, der je nach Bedarf von ein bis zwei Mitarbeiterin- nen betreut wird, befindet sich im Erdgeschoss, im ersten Stock ist ein kleines Büro mit einem Serverraum eingerichtet. Die interne It-Betreuung und auch alle Aufgaben bezüglich DSGVo hat die Geschäftsführerin persönlich übernommen, da sie eine entsprechende technische Schulausbildung besitzt. Bei kritischen Fragen wird ein externer Berater zugezogen, der auch Remote auf die Systeme per VPN zugreifen kann. technische und organisatorische Maßnahmen der Audio4You GmbH (DSGVo Art. 30 Abs. 1 lit. g) I. ÜBERTRAGUNGSKONTROLLE Sämtliche personenbezogenen Daten werden ausschließlich mit verschlüsselten USB-Platten an Kunden und Ge- schäftspartner übergeben bzw. per VPN übertragen (webshop). technische Maßnahmen: • Verwendung des Verschlüsselung Programmes 7-zip. • VPN (https:) organisatorische Maßnahmen: • Protokollierung der Datenübermittlungen (Logs) • Festlegung von Übermittlungswegen (wie wird an welche Empfängerkategorie übermittelt)

41 6. FALLStUDIEN II. BENUTZERKONTROLLE Der It-Administrator vergibt die Benutzerrechte nach dem Minimalprinzip. Benutzer bekommen nur Rechte auf die Daten, die sie für die Ausübung ihrer tätigkeit benötigen. technische Maßnahmen: • Firewall, Intrusion Detection/Prevention • Benutzeridentifikation • Passwortvorgabe • Absicherung der Geräte/des Netzwerks vor unbefugtem Zutritt organisatorische Maßnahmen: • Protokollierung der Benutzeraktivitäten • Festlegung der Zutrittsberechtigungen der Benutzer • Passwortrichtlinie • Clean-Desk-Policy III. DATENINTEGRITÄT Die Betriebssystem-Updates am Server und auf den Notebooks werden automatisch durchgeführt, sonstige Programme werden manuell auf den neuesten Stand gebracht; technische Maßnahmen: • Datensicherungen in 3 Hierarchien: täglich-wöchentlich-monatlich • Einsatz Virenscanner Kaspersky • PC-Firewall (windows-Defender) • LAN-Firewall (Fortinet) • Spam-Filter • USP am Server (Stromversorgung bei Ausfall) organisatorische Maßnahmen: • Datensicherungs- und wiederherstellungskonzept • Systemüberwachung der Hard- und Software • Serveradministratoren können 24x7x365 in den Serverraum

42 6. FALLStUDIEN IV. DATENTRÄGERKONTROLLE Die Daten liegen ausschließlich auf dem S-Laufwerk des Servers oder einer verschlüsselten Partition auf den Arbeits- platzrechner bzw. Laptops. technische Maßnahmen: • Speichermedien werden versperrt in einem Stahlschrank verwahrt • datenschutzkonforme Löschung bei wiederverwendung von Speichermedien organisatorische Maßnahmen: • protokollierte Entsorgung von Speichermedien • protokollierte Entsorgung von Geräten mit integrierten Datenträgern • Dokumentation der Ausgabe von mobilen Speichermedien • Kontrolle/Protokollierung weitergabe personenbezogener Daten V. EINGABEKONTROLLE Es wird per Logfiles mitprotokolliert, welcher Benutzer zu welchem Zeitpunkt auf welchem Arbeitsplatz eingeloggt ist; diese Protokolle stehen der It-Administration zur Verfügung. technische Maßnahmen: • Benutzeridentifikation organisatorische Maßnahmen: • Festlegung von projektbezogenen Benutzerberechtigungen • sichere Ablage von Protokollen • Löschen der Protokolle am Ende des Folgejahres der Speicherung (Art. 6 Abs 1 lit. f DSGVo – berechtigtes Interesse)

43 6. FALLStUDIEN VI. SPEICHERKONTROLLE Es wird sichergestellt, dass nur befugte (zuständige) Personen die Möglichkeit haben, auf personenbezogene Daten zu- zugreifen und diese zu bearbeiten. technische Maßnahmen: • Benutzeridentifikation • Automatische Sperre des Arbeitsplatzcomputers und der Notebooks nach 10 Minuten Inaktivität • trennung von Administrations- und Produktionsbereich • Speicherung der personenbezogenen Daten auf einer verschlüsselten Partition organisatorische Maßnahmen: • Einsatz einer fein granulierten Zugriffsberechtigung VII. TRANSPORTKONTROLLE Es besteht die dienstliche weisung, dass personenbezogene Daten keinesfalls auf unverschlüsselten mobilen Datenträ- gern (USB-Sticks, Smartphones) gespeichert werden dürfen. Der Laptop/PC darf nur von befugten Personen verwendet werden. technische Maßnahmen: • Verschlüsselte Speicherung auf Datenträger • Remote Server-Zugriff ausschließlich per VPN organisatorische Maßnahmen: • Dienstanweisung für den Umgang mit Datenträgern • Bei weitergabe: Datenträger-Eingangs- und Ausgangsprotokoll

44 6. FALLStUDIEN VIII. WIEDERHERSTELLUNG Backup-Strategie siehe Sicherungskonzept. Die It-Administration kann kurzfristig die Sicherungskopien einspielen, der Restore-Prozess wird zweimal pro Jahr getestet. technische Maßnahmen: • Backup Erstellung täglich-wöchentlich-monatlich auf USB-Platte • Master Backup (Backup des gesamten Datenbestandes) alle sechs Monate auf USB-Platte oder z.B. vor Server wechsel • Server Backups: 1:1 Cold Standby organisatorische Maßnahmen: • Serveradmin-Fernzugriff zu den Servern per VPN • worst-Case: Serveradministratoren können jederzeit lokal in den Serverraum in die Firma (z.B. Standby-Aktivierung) IX. ZUGANGSKONTROLLE Der Serverraum ist versperrt; der Laptop/PC ist nur mit einem Passwort verwendbar; der Zutritt zum Serverraum wird protokolliert ist nur für berechtigte Personen gestattet. technische Maßnahmen: • Gebäudesicherung, Zugriffskontrolle durch Einsatz eines Sicherheitsschlüssel-Systems mit Hochsicherheitszylinder der Firma EVVA mit individueller Zugangsfreigabe und Protokollierung des Zutritts im Bürobereich im 1. Stock. • Alarmanlage mit Polizeimeldung im Laden und im Büro. • Videoüberwachung des Ladens organisatorische Maßnahmen: • Mitarbeiterinnen und Mitarbeiter dürfen Besuchern die Eingangstür zum Büro nur nach Identifikation öffnen, zur Unterstützung existiert am Eingang eine Life-Video-Kamera. • Besucher dürfen die Büro-Räumlichkeiten immer nur in Begleitung betreten. • Jeder Büro-Besucher wird mit Name, Firma, Datum, Uhrzeit und besuchter Person protokolliert • Personenbezogene Daten in gedruckter Form werden ausschließlich in versperrten Stahlschränken aufbewahrt.

46 6. FALLStUDIEN 6.3. Unternehmen, 20 Mitarbeiterinnen und Mitarbeiter (Gastronomie) Vor Beauftragung eines It-Dienstleisters ist bezüglich toMs zu beachten: „Steakhouse – Eat & Drink“ ist ein Steak-Restaurant mit einer Zentrale in wien und einem zweiten Lokalstandort in St. Pölten. Am Hauptstandort sind 14 Mitarbeiterinnen und Mitarbeiter tätig, 6 in Niederösterreich. Sämtliche administ- rative tätigkeiten werden von wien aus erledigt. Die Kernkompetenz der Mitarbeiterinnen und Mitarbeiter und auch der Geschäftsleitung liegt im Bereich der Gastro- nomie. Daher hat sich der Geschäftsführer entschieden, möglichst viele tätigkeiten der It auszulagern. Damit kon- zentriert sich die Verpflichtung des Geschäftsführers im Bereich der toMs auf das Führen eines korrekten Verarbei- tungsverzeichnisses und einem entsprechenden Auftrags- datenverarbeitungs-Vertrags mit dem It-Dienstleister „LAN-Competence-Support GmbH“. Dieser hat für eine ent- sprechende Dokumentation der technischen und organisato- rischen Maßnahmen im Rahmen des Vertrages zu sorgen. • Ist der Dienstleister befugt und befähigt die Betreuung durchzuführen? • Führt der Dienstleister selbst ein Verarbeitungsver- zeichnis? • welche toMs sind in seinem eigenen Unternehmen umgesetzt? Als fachlich kompetenter Geschäftspartner hat er als teil seiner Auftrags-Leistung auch die entsprechenden technischen und organisatorischen Maßnahmen, die er für das Steakhouse einführt und betreut, klar und verständlich gemäß DSGVo zu dokumentieren. Unabhängig davon muss auch der Betreiber der beiden Steak-Lokale seine toMs dokumentieren, die sich verstärkt mit dem organisatorischen Umfeld befassen werden. Details bezüglich weiterer Informationen zu den toMs sind dem An- hang des Auftragsdatenverabeitungsvertrags zu entnehmen. technische und organisatorische Maßnahmen der Steakhouse – Eat & Drink GmbH (DSGVo Art. 30 Abs. 1 lit. g) ZUTRITTSKONTROLLE technische Maßnahmen: • Alarmanlage • Manuelles Schließsystem • Sicherheitsschlösser • Videoüberwachung der Eingänge organisatorische Maßnahmen: • Schlüsselregelung • Schlüsselausgabe/Rückgabeliste

47 6. FALLStUDIEN ZUGANGSKONTROLLE technische Maßnahmen: • Login mit Benutzername und Passwort • Antivirensoftware am Server • Antivirensoftware auf den Clients • Antivirensoftware auf Notebooks • Firewall: Cisco (LANs) • VPN zwischen den Restaurants • Fernlöschung von Mobiltelefonen • Desktop/Notebooksperre nach 10 Minuten Inaktivität • Verschlüsselung von Notebooks/Datenträger organisatorische Maßnahmen: • Einrichten von Benutzern mit entsprechenden Profilen • Zentrale Verwaltung von Berechtigungen und Passwörtern • Zentrale Passwortvergabe • Richtlinie zum Löschen personenbezogener Daten • Mobile Device Richtlinie • Clean Desktop Policy • Richtlinie für die Benutzung des Mobiltelefons (PIN, Apps…) ZUGRIFFSKONTROLLE technische Maßnahmen: • Aktenvernichter mit Kreuzschnitt WEITERGABE KONTROLLE technische Maßnahmen: • Einsatz von VPN/https • Verschlüsselung von E-Mail Attachments mit 7-zip, z.B. bei Übermittlung der Buchhaltungs-unterlagen an den Steuerberater • Verschlüsselung von Datenträgern, die zur Übermittlung verwendet werden VERFÜGBARKEITSKONTROLLE technische Maßnahmen: • Feuer-und Rauchmeldeanlagen • Serverraum klimatisiert • Unterbrechungsfreie Stromversorgung der Server • Datenschutztresor für Backups lokal organisatorische Maßnahmen: • Externe Aktenvernichter (Vertrag) • Externe Datenträgerlöschung (Vertrag) organisatorische Maßnahmen: • Dokumentation der Übergabe und Entgegennahme von Datenträgern • Verlässlichkeits-Überprüfung bei Übergabe von personenbezogenen Daten an transport-Firmen • Protokollierung bei persönlicher Übergabe von personenbezogenen Daten organisatorische Maßnahmen: • Backup und wiederherstellungs-Konzept • Backup extern gelagert • Regelmäßige tests des Restorevorgangs auf Funktion

48 6. FALLStUDIEN ÜBERPRÜFUNG, BEWERTUNG, EVALUIERUNG DER MASSNAHMEN technische Maßnahmen: • Aktualisierung der Firewall und der Virenscanner überprüfen • Überprüfung des Minimalprinzips – es werden nur die für den Zweck notwendigen personenbezogenen Daten gespeichert. organisatorische Maßnahmen: • Mitarbeiter – Vertraulichkeitserklärung • Prozessdefinition für Auskunftsbegehren • Prozessdefinition für die Meldung von Datenschutz- Vorfällen (incidents) • Überprüfung der Gültigkeit von Zertifikaten und toMs von Auftragsverarbeitern, auch bezüglich eventueller neuer Subunternehmer • Regelmäßige Kontrollen bezüglich Einhaltung der Richtlinien durch die Mitarbeiterinnen und Mitarbeiter

ANHANG 1 50 ANHANG 1 Artikel 32 DSGVo: Sicherheit personenbezogener Daten Sicherheit der Verarbeitung 1. Unter Berücksichtigung des Stands der Technik, der Im- plementierungskosten und der Art, des Umfangs, der Um- stände und der Zwecke der Verarbeitung sowie der unter- schiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu ge- währleisten; diese Maßnahmen schließen unter anderem Folgendes ein: a) die Pseudonymisierung und Verschlüsselung personen- bezogener Daten; b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbar- keit und Belastbarkeit der Systeme und Dienste im Zu- sammenhang mit der Verarbeitung auf Dauer sicherzu- stellen; c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. 2. Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind insbesondere durch – ob unbeabsichtigt oder unrechtmäßig – Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von bezie- hungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere weise verarbeitet wurden. 3. Die Einhaltung genehmigter Verhaltensregeln gemäß Arti- kel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 kann als Faktor herangezogen werden, um die Erfüllung der in Absatz 1 des vorliegenden Artikels genannten Anforderungen nachzuweisen. 4. Der Verantwortliche und der Auftragsverarbeiter unter- nehmen Schritte, um sicherzustellen, dass ihnen unter- stellte natürliche Personen, die Zugang zu personenbe- zogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.

52 ANHANG 2 Sollte im Rahmen eines Vorfalls (z.B. Verlust des Notebooks) festgestellt werden, dass für das entsprechende Verfahren ausreichende Sicherheitsmaßnahmen (z.B. durch Verschlüs- selung der Daten) im Rahmen der toMs erfolgt sind, ist nach einem entsprechenden Protokolleintrag keine Meldung an die Datenschutzbehörde durchzuführen, wenn keine Risiken für die Rechte und Freiheiten der Betroffenen bestehen. Gemäß DSGVo sind die toMs regelmäßig auf ihre wirksam- keit hin zu überprüfen und gegebenenfalls (z.B. durch Ände- rung des Standes der technik oder Einführung eines neuen Verfahrens) anzupassen. Führen Sie die zyklische Überprü- fung im Anlassfall (z.B. bei Einführung neuer Methode zur Datenverarbeitung) bzw. zumindest einmal pro Jahr durch. Datenschutzfolgen- Abschätzung Die Rolle der toMs im DSGVo Lebenszyklus Für die Einführung eines neuen Verfahrens zur Bearbeitung personenbezogener Daten ist im ersten Schritt die Recht- mäßigkeit dieser Verarbeitung zu überprüfen. Ist diese erfüllt wird das Verfahren im Verarbeitungsverzeichnis aufgenommen und regelkonform dokumentiert. In weiterer Folge muss sich der Verantwortliche überlegen, wo Risiken für die Rechte von Betroffenen bei der Durchfüh- rung dieses Verfahrens entstehen könnten. Bei entsprechend hohem Risiko ist eine genaue Datenschutzfolgen-Abschät- zung (DSFA) durchzuführen. Aus diesen Überlegungen heraus kommt es zur Definition eines Datenschutzniveaus. Um die Einhaltung dieser Datenschutzniveaus zu garantie- ren, müssen im nächsten Schritt alle technischen und orga- nisatorischen Maßnahmen (TOMs) getroffen werden, um die Einhaltung dieser Datenschutzniveaus zu gewährleisten. Diese toMs sind auch bei der weitergabe personenbezoge- ner Daten an Auftragsverarbeiter (z.B. It-Dienstleister; ex- terner Buchhalter) einzufordern und zu überprüfen – klarer- weise auch wenn diese Auftragsbearbeitung in Drittstaaten (nicht EU-Staaten) erfolgt (z.B. Cloud-Anbieter in den USA). Um der Rechenschaftspflicht (z.B. bei einer möglichen Über- prüfung durch die Datenschutzbehörde) gemäß DSGVo nach- kommen zu können, sind möglichst ausführliche Protokolle im Rahmen der Verarbeitung von personenbezogenen Daten zu erstellen.

53 ANHANG 3 ANHANG 3 Vorlage einfacher toMs für Ein-Personen-Unternehmen technische und organisatorische Maßnahmen gem. Art. 32 Abs. 1 DSGVo f. Verantwortliche (Art. 30 Abs. 1 lit. g) TOM Pseudonymisierung Verschlüsselung Ich habe folgende Maßnahme gesetzt: Kommt bei mir nicht zum Einsatz. Ich verwende ausschließlich windows am Server, PC und Notebook, die alle mit Bitlocker verschlüsselt sind. Externe Datenträger sind mit Veracrypt verschlüsselt. Gewährleistung der Vertraulichkeit Alle Systeme sind passwortgeschützt. Gewährleistung der Integrität Sicherungskopien sind in einem tresor versperrt (lokal und extern). Gewährleistung der Verfügbarkeit Einsatz von RAID-Platten im Server und Verfügbarkeit eines LtE-Modems, falls der normale Internetzugang ausfällt. Gewährleistung der Belastbarkeit Austausch des Servers alle fünf Jahre durch eine neue Hardware. Maßnahmen zur wiederherstellung der Verfügbar- keit nach einem Vorfall Verfahren zur regelm. Überprüfung, Bewertung, Evaluierung der wirksamkeit der toMs Ergänzende Dokumente Dokumentierte Backup Strategie, überprüft einmal pro Jahr DSGVo-Audit einmal pro Jahr durch einen externen Berater. • Datensicherheitsbeschreibung • Netzplan/Netzwerkbeschreibung • Konfigurations-Doku der Systeme • wiederanlaufkonzept • Auftragsverarbeiter Verträge + ext.toMs • Sonstige Dokumentation: – Notfallkontakt-Liste – Passwort-Kuvert im Bank-tresor ___________ Datum _____________________________ Unterschrift

54 ANHANG 4 ANHANG 4 Verschlüsselungs-tool „ VeraCrypt“ Diese Beschreibung zeigt die einfachste Verwendung des Verschlüsselungswerkzeugs VeraCrypt für die Praxis. VeraCrypt ist als Freeware eines der beliebtesten Verschlüs- selungsprogramme für die Sicherheit von Festplatten, SSD, USB-Sticks und SD-Karten. Damit kann man ganze Festplat- ten oder Partitionen verschlüsseln, aber auch nur „Contai- nerfiles“ erzeugen, die quasi als tresor dienen und nach dem Öffnen ein neues „virtuelles“ Laufwerk am PC bilden. So- lange dieses Laufwerk geöffnet ist („mounted“), kann man damit wie mit einem physischen Laufwerk arbeiten. werden die kritischen Daten nicht mehr benötigt, kann man das virtuelle Laufwerk wieder entfernen („dismount“), der Container wird geschlossen und liegt nur mehr als ver- schlüsselte Datei am System. Nach der Installation finden Sie am Desktop das entsprechende Icon  Erzeugen eines File-Containers („Virtuelle-Disk“): Nach Aufruf des Programms erscheint das Einstiegsfenster, das die freien Laufwerksbuchstaben anzeigt. Für das Erstel- len eines neuen File-Containers geben Sie den Ablageort des Containers an und wählen den Button „Create Volume“: VeraCrypt Einer der Links, über die man VeraCrypt kostenlos herunter- laden kann ist: Download VeraCrypt über heise.de

55 ANHANG 4 Im nächsten Fenster wählen Sie aus, ob Sie nur einen krypti- schen File- Container erzeugen oder ein Laufwerk/Partition verschlüsseln wollen. Auch bei der Auswahl des Verschlüsselungs-Algorithmus sind die Standardeinstellungen ein guter Vorschlag. VeraCrypt bietet die Möglichkeit, den File-Container – der im Filesystem als Datei mit der Änderung „vc“ standardmäßig abgelegt wird – zusätzlich zu verbergen. Darauf wird hier der Einfachheit halber nicht eingegangen, daher wählen wir ei- nen Standard-Container. Über den „Next“-Button wählen Sie jetzt die Größe des Con- tainerfiles aus, in das Sie Ihre verschlüsselten Daten hinein- spielen wollen.

56 ANHANG 4 Um den verschlüsselten Container-Inhalt lesbar zu machen setzen Sie ein Passwort ein (Varianten für höheren Sicher- heitslevel möglich). wie bereits erwähnt, entsteht in dem Container-File ein virtu- elles Laufwerk, das auch zu formatieren ist. wie bei jedem Sicherheitsalgorithmus ist eine Basis für den Sicherheitslevel ein Startwert, der möglichst zufällig sein soll. VeraCrypt ver- wendet dafür die zufällige Mausbewegung, diese ist solange zu bewegen, bis der Balken im unteren Bereich grün wird. Für den normalen Betrieb ist ein Passwort mit mindestens zwölf Zeichen und Ziffern bzw. Sonderzeichen ausreichend, für einen höheren Sicherheitslevel sollte man noch längere Passwörter verwenden. Nach Betätigen des Buttons „Format“ wird der kryptische Filecontainer erzeugt, dies kann bei größeren virtuellen Disks im Gigabyte Bereich auch einige Minuten dauern. Nach Fertigstellung erhalten Sie eine Erfolgsmeldung. Jetzt ist der File-Container erzeugt, liegt unter dem entspre- chenden Namen im Filesystem und kann verwendet werden.

57 ANHANG 4 Verwenden eines File-Containers („Virtuelle-Disk“) Nach dem Aufruf von VeraCrypt (kann automatisch beim Hochfahren des Systems erfolgen – dann wird nur mehr das Passwort verlangt) wählen Sie einen der freien Laufwerks- buchstaben und natürlich auch den Containernamen selbst. Der Öffnungsvorgang wird gestartet mit dem Button mount“. Jetzt sind alle Ihre verschlüsselten Daten des Containers un- ter dem Laufwerksbuchstaben „K:“ verfügbar, bis Sie den Container wieder mittels des Buttons „Dismount“ schließen. Der Container wird automatisch beim Herunterfahren des Systems geschlossen. Im nächsten Schritt wird das bei der Erzeugung des Contai- ners festgelegte Passwort verlangt. Sollte man einen krypti- schen Container aus dem Vorläuferprodukt („truecrypt“) verwenden wollen, müsste man den „trueCryptMode“ auswählen.

58 ANHANG 4 Der Container ist als virtuelles Laufwerk im System wie jedes andere Laufwerk zu verwenden: Nach dem „Dismount“ – bzw. im ungeöffneten Zustand – ist das Laufwerk nicht mehr vorhanden, die Containerdatei ist für einen Hacker nur mehr eine nicht entschlüsselbare Bit- Folge. Daher kann man diese Datei auch bei einem externen Dienste-Anbieter lagern, zum Beispiel auch in der Cloud. Klarerweise kann man die Container Datei – wie jedes andere File – auf einen anderen Datenträger kopieren und somit als sicheres Backup gemäß DSGVo – auch extern – lagern. Sollten auf dem Backup–USB-Stick personenbezogene Daten gespeichert sein, muss man auch im Falle eines Ver- lustes des PCs/Notebooks oder auch einer Sicherungskopie keine Meldung an die Datenschutzbehörde machen, eine einfache interne Protokollierung des Verlustes reicht aus.

60 GLoSSAR AES „Advanced Encryption Standard“ ist ein symmetrisches Verschlüsselungsverfahren, derzeit im Einsatz mit einer Schlüssellänge bis zu 256 Bit. Der Algorithmus ist frei ver- fügbar und darf ohne Lizenzgebühren in Soft- und Hardware- Lösungen eingesetzt werden. Bedingt durch seinen relativ geringen Rechenaufwand im Vergleich zu hochsicheren Verschlüsselungstechniken wird AES bevorzugt bei Real- zeitanwendungen, wie zum Beispiel VPNs eingesetzt. Auftragsverarbeiter Ein „Auftragsverarbeiter“ ist gemäß DSGVo eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verant- wortlichen verarbeitet. BYoD BYoD (Bring Your own Device, d.h. „Bring dein eigenes Ge- rät“) ist eine Strategie, Kosten einzusparen und die Mitarbei- termotivation anzuheben, indem die Verwendung privater It-Geräte wie Smartphones oder Notebooks für berufliche Zwecke zugelassen wird. Dabei entstehen allerdings verschiedene Probleme in rechtlicher und sicherheitstechni- scher Hinsicht, die vor dem Einsatz unbedingt geklärt werden müssen. Dateisystem Ein „Dateisystem“ ist gemäß DSGVo jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird. Digitale Signatur Zum Unterschied einer E-Mail Signatur, die nur eine reine Zeichenfolge zur Angabe des Absenders ist und keinen Zu- sammenhang zum Inhalt der E-Mail darstellt, bildet die digi- tale Signatur über einen kryptischen Algorithmus aus dem text der E-Mail-Nachricht eine Zeichenfolge, die eindeutig zeigt, von wem dieser text stammt und dass er während der Übertragung nicht verändert wurde. Sollte auch nur ein Zeichen ausgetauscht oder gelöscht worden sein, passt die digitale Prüfsumme nicht mehr mit dem darüber liegenden text zusammen. Personenbezogene Daten „personenbezogene Daten“ sind gemäß DSGVo alle Informa- tionen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identi- fizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Ken- nung wie einem Namen, zu einer Kennnummer, zu Standort- daten, zu einer online-Kennung oder zu einem oder mehre- ren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Profiling „Profiling“ ist gemäß DSGVo jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhal- ten, Aufenthaltsort oder ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.

61 GLoSSAR Verantwortlicher Ein „Verantwortlicher“ ist gemäß DSGVo eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten ent- scheidet. Pseudonymisierung „Pseudonymisierung“ ist gemäß DSGVo die Verarbeitung personenbezogener Daten in einer weise, dass die perso- nenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzli- chen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden. SPoF “Single-Point-of-Failure” – einzelne Devices oder organisa- torische Einheiten, deren Ausfall systemkritische Folgen nach sich zieht. Diese sollten im Rahmen von toMs beson- ders beachtet, werden wie zum Beispiel eine Firewall, deren Ausfall keinen Internetzugang mehr ermöglicht. SSL/https HttPS ist die Abkürzung für Hypertext transfer Protocol Secure, das durch die Verwendung des Verschlüsselungsver- fahrens SSL ausreichende Sicherheit für die Übertragung sensibler Daten bietet. Mit Hilfe dieses Verfahrens werden einerseits die übertragenen Daten verschlüsselt und abhör- sicher gemacht, andererseits wird durch die Verwendung von digitalen Zertifikaten die Identität des webservers gesichert. Einem Angreifer sollte es – richtige Handhabung vorausge- setzt – nicht möglich sein, sich z.B. als E-Banking-Server auszugeben, um Benutzerinnen und Benutzern ihre Pass- wörter, PINs oder tANs zu entlocken. Dabei ist zu beachten, dass nur der Datenweg und nicht die Front-End-Systeme (Client, Server) damit geschützt werden!