← Datenschutz & Informationsschutz
Technische und organisatorische Maßnahmen
TOMs risikobezogen auswählen, nachvollziehbar umsetzen und im Betrieb wirksam halten.
Technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO werden nicht als starre Checkliste bestimmt. Verantwortliche und Auftragsverarbeiter wählen sie anhand des Risikos für betroffene Personen, des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung aus. Entscheidend sind klare Verantwortlichkeiten, dokumentierte Entscheidungen, technische Umsetzung und regelmäßige Wirksamkeitsprüfung.
Abgrenzung zu Leistungen und Technologien
TOMs beschreiben risikobezogene Kontrollen und deren Nachweisbarkeit; sie sind kein pauschales Sicherheitsprodukt und kein Konformitätsversprechen.
Ausgangslage
Viele Unternehmen besitzen bereits Sicherheitskontrollen, können deren Bezug zu einzelnen Verarbeitungen, Risiken und Verantwortlichkeiten aber nur unvollständig zeigen. Zugriffe wachsen historisch, Konfigurationen ändern sich und Nachweise liegen in Tickets, Richtlinien oder einzelnen Teams. Eine Maßnahmenliste allein beantwortet deshalb weder, ob sie angemessen ist, noch ob sie tatsächlich betrieben wird.
TOMs verbinden Datenschutz, Informationssicherheit, Fachprozesse und IT-Betrieb. Sie sind keine einmalige Projektaufgabe: Neue Anwendungen, Datenflüsse, Berechtigungen, Sicherheitsereignisse und geänderte Risiken müssen in die Steuerung zurückfließen.
Fachliche Einordnung
Art. 32 DSGVO verlangt unter Berücksichtigung des Stands der Technik und weiterer Kontextfaktoren geeignete Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Norm nennt unter anderem Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, Wiederherstellbarkeit sowie Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit.
Der Kontext reicht weiter: Die Rechenschaftspflicht nach Art. 5 Abs. 2 und die Verantwortlichkeit nach Art. 24 DSGVO verlangen, die getroffenen Maßnahmen und Entscheidungen nachweisen zu können. Art. 25 DSGVO verlangt, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen bereits bei der Festlegung von Mitteln und Verarbeitungen zu berücksichtigen.
Welche Maßnahme erforderlich oder angemessen ist, lässt sich nicht pauschal aus einem Produktnamen ableiten. Ausgangspunkt sind Verarbeitung, Datenarten, Schutzbedarf, Bedrohungen, mögliche Folgen für Betroffene sowie vorhandene Kontrollen. Die rechtliche Bewertung von Verarbeitungsvorgängen bleibt den zuständigen Datenschutz- und Rechtsfunktionen vorbehalten.
Was Unternehmen konkret klären müssen
- Welche Verarbeitungen, Systeme, Schnittstellen und Dienstleister liegen im betrachteten Umfang?
- Welche Risiken für Rechte und Freiheiten betroffener Personen bestehen bei Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit?
- Wer entscheidet über Risikoakzeptanz, wer setzt Maßnahmen um und wer prüft ihre Wirksamkeit?
- Wie werden Identitäten, Berechtigungen, Endgeräte, Daten, Protokolle, Sicherungen und Vorfälle gesteuert?
- Welche Nachweise belegen Entscheidung, Implementierung, Änderung und regelmäßige Kontrolle?
Von der Anforderung zur Umsetzung
Zugriff begrenzen
Risiko: Unbefugte Einsicht oder Änderung
Organisatorische Maßnahme: Rollenmodell, Genehmigungen, regelmäßige Rezertifizierung
Technische Umsetzung: MFA, Least Privilege, Conditional Access
Möglicher Nachweis: Rollenmatrix, Access Reviews, Protokolle
Daten schützen
Risiko: Offenlegung bei Weitergabe oder Verlust
Organisatorische Maßnahme: Klassifizierungsmodell, Vorgaben für Freigabe und externe Zusammenarbeit
Technische Umsetzung: Verschlüsselung, Labels, DLP
Möglicher Nachweis: Richtlinie, Label-Konfiguration, DLP-Ereignisse
Verfügbarkeit sichern
Risiko: Verlust oder Unterbrechung
Organisatorische Maßnahme: Wiederanlauf- und Notfallverfahren, Verantwortlichkeiten
Technische Umsetzung: Sicherungen, Wiederherstellungstests, Monitoring
Möglicher Nachweis: Testprotokolle, Betriebsdokumentation
Wirksamkeit bewerten
Risiko: Kontrolle wirkt nur auf dem Papier
Organisatorische Maßnahme: Kontrollplan, Review-Termine, Abweichungsmanagement
Technische Umsetzung: Audit- und Sicherheitsprotokolle, Alarmierung
Möglicher Nachweis: Review-Ergebnisse, Tickets, Maßnahmenstatus
Ein praktikabler Start ist eine risikoorientierte Bestandsaufnahme. Sie verbindet vorhandene Richtlinien und technische Konfigurationen mit den zuständigen Prozess- und Systemverantwortlichen. Daraus entstehen priorisierte Arbeitspakete statt einer unverbundenen Soll-Liste.
TOM-Nachweismatrix
Für jede relevante Kontrolle sollte eine einheitliche Nachweiszeile gepflegt werden:
Zugriff auf sensible Daten begrenzen
Owner: System- und Prozessverantwortung
Scope: Systeme, Gruppen, Datenklassen
Konfiguration oder Prozess: Rollenmodell, Freigaben, Access Reviews
Prüfmethode: Stichprobe und Konfigurationsprüfung
Prüfintervall: risikobasiert und bei Änderungen
Ergebnis: dokumentierter Prüfstand
Abweichung oder Maßnahme: Ticket, Verantwortlichkeit, Termin
Grenzen und Abhängigkeiten
TOMs können rechtliche Grundlagen, Transparenzpflichten oder Verträge zur Auftragsverarbeitung nicht ersetzen. Ihre Wirksamkeit hängt außerdem von vollständigen Inventaren, gepflegten Identitäten, belastbaren Betriebsprozessen, ausreichenden Ressourcen und der konsequenten Behandlung festgestellter Abweichungen ab. Einzelne Produkte oder Konfigurationen stellen für sich keine Konformität her.
Weiterführende offizielle Quellen
Orientierung
Häufige Fragen
Reicht ein ISO- oder Sicherheitsstandard als TOM-Nachweis?
Ein Standard kann Struktur und Kontrollziele liefern, ersetzt aber nicht die risikobezogene Begründung und den Nachweis der für konkrete Verarbeitungen getroffenen Maßnahmen. Der Kontext der Verarbeitung und die tatsächliche Umsetzung bleiben relevant.
Wie häufig müssen TOMs geprüft werden?
Art. 32 DSGVO nennt regelmäßige Überprüfung, Bewertung und Evaluierung. Der angemessene Rhythmus richtet sich unter anderem nach Risiko, Änderungsgeschwindigkeit, Vorfällen und der Art der Kontrolle. Ereignisbezogene Prüfungen ergänzen feste Review-Termine.
Welche Rolle spielt Microsoft 365 bei TOMs?
Microsoft-365-Funktionen können technische Kontrollen für Identität, Geräte, Informationsschutz und Protokollierung unterstützen. Ihre Eignung hängt von Architektur, Lizenzen, Konfiguration, Datenflüssen und Betrieb ab. Die Zusammenhänge von Identität, Geräten und Zugriffen behandelt Entra, Conditional Access und Intune; Erkennung und Reaktion behandelt Defender, App Control, Monitoring und Incident Response.
Nächster sinnvoller Schritt
Starten Sie mit einer risikoorientierten Bestandsaufnahme und Maßnahmenplanung für die wichtigsten Verarbeitungen und Systeme. Der technische Rahmen ist unter IT-Security & Compliance beschrieben; Rechts- und Datenschutzfunktionen bewerten die rechtlichen Fragen.