Technische und organisatorische Maßnahmen: Warum „Wir haben eine Firewall“ nicht reicht
Montagmorgen, kurz nach acht Uhr. In einem mittelständischen Unternehmen können mehrere Mitarbeiter plötzlich keine Dateien mehr öffnen. Auf dem gemeinsamen Laufwerk tragen fast alle Dokumente merkwürdige Dateiendungen, auf mehreren Rechnern erscheint eine Lösegeldforderung. Betroffen sind nicht nur Angebote und Rechnungen, sondern auch Personalakten, Bewerbungsunterlagen und die Lohnbuchhaltung. Die Backups liegen dummerweise dauerhaft mit dem Netzwerk verbunden auf einem NAS-System – auch sie sind verschlüsselt.
Genau an diesem Punkt beginnt für viele Unternehmen die eigentliche Auseinandersetzung mit dem Thema technische und organisatorische Maßnahmen (TOM). Und genau hier zeigt sich auch der häufigste Irrtum: Die DSGVO verlangt nicht, irgendwo einen Virenscanner zu installieren und einmal ein Dokument mit der Überschrift „TOM“ abzulegen. Sie verlangt ein System, mit dem Risiken für personenbezogene Daten erkannt, durch geeignete Maßnahmen reduziert und die Wirksamkeit dieser Maßnahmen dauerhaft überprüft wird.
Der Begriff wird oft mit „Datensicherheit“ gleichgesetzt – das ist nicht falsch, aber zu eng gedacht. Technische Maßnahmen wirken über Technik: Verschlüsselung, Firewall, Mehr-Faktor-Authentifizierung, Bildschirmsperren, Berechtigungssysteme, Protokollierung oder Datensicherungen. Organisatorische Maßnahmen wirken über Zuständigkeiten, Regeln und Abläufe: Berechtigungskonzepte, Vertretungsregelungen, Schulungen, Ein- und Austrittsprozesse für Mitarbeiter oder ein Notfallplan.
In der Praxis greifen beide Bereiche fast immer ineinander. Ein technisch hervorragendes Berechtigungssystem hilft wenig, wenn niemand festgelegt hat, wer Berechtigungen vergeben darf. Und die schönste Passwortrichtlinie nützt nichts, wenn eine Anwendung trotzdem allen Mitarbeitern dasselbe Passwort erlaubt.
Wichtig ist außerdem: TOM sind kein reines Sicherheitsthema. Art. 24 DSGVO verlangt allgemein geeignete Maßnahmen zur Einhaltung der DSGVO, Art. 25 DSGVO fordert Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, und erst Art. 32 DSGVO konzentriert sich speziell auf die Sicherheit der Verarbeitung. Ein Löschkonzept ist zum Beispiel eine organisatorische Maßnahme zur Umsetzung der Speicherbegrenzung; eine Software, die Daten nach Fristablauf automatisch zur Löschung vormerkt, setzt dieselbe Vorgabe zusätzlich technisch um.
Es gibt nicht „die“ TOM
Viele Unternehmen suchen im Internet nach einer fertigen Vorlage und übernehmen ein mehrseitiges Dokument mit Kategorien wie Zutrittskontrolle, Zugangskontrolle oder Verfügbarkeitskontrolle. Diese Kategorien stammen noch aus der alten Anlage zu § 9 BDSG und gelten als grobe Orientierung, nicht als verbindlicher Maßnahmenkatalog. Art. 32 DSGVO selbst enthält ausdrücklich keine abschließende Liste. Die richtige Frage lautet deshalb nicht „Welche TOM schreibt die DSGVO vor?“, sondern: „Welche Risiken bestehen bei dieser konkreten Verarbeitung, und welche Maßnahmen reduzieren sie auf ein angemessenes Niveau?“
Ein kleiner Handwerksbetrieb mit überschaubaren Kunden- und Personaldaten braucht andere Maßnahmen als ein Abrechnungsdienstleister, der Gesundheitsdaten von hunderttausenden Personen verarbeitet. Und „angemessen“ bedeutet dabei ausdrücklich nicht „maximal möglich“. Die Implementierungskosten dürfen berücksichtigt werden, sind aber kein Freibrief, notwendige Maßnahmen aus Kostengründen wegzulassen.
Der Europäische Gerichtshof hat diese Logik in seinem Urteil vom 14. Dezember 2023 (C‑340/21) präzisiert: Zu prüfen ist zunächst, welche Risiken mit der Verarbeitung verbunden sind, und anschließend, ob die gewählten Maßnahmen – unter Berücksichtigung von Stand der Technik, Kosten und der konkreten Verarbeitung – zu diesen Risiken passen. Zugleich stellte der EuGH klar: Ein erfolgreicher Hackerangriff beweist für sich genommen noch nicht, dass die TOM unzureichend waren. Datenschutzrecht verlangt Risikominimierung, keine Garantie absoluter Sicherheit. Der Verantwortliche muss allerdings nachweisen können, warum seine Maßnahmen angemessen waren – und genau diese Beweislast macht eine saubere Dokumentation so wertvoll.
Technische und organisatorische Maßnahmen wirken nur im Zusammenspiel: Erst durch geeignete technische Schutzmechanismen, klare organisatorische Regeln und regelmäßige Wirksamkeitskontrollen entsteht ein angemessenes Datenschutz- und Sicherheitsniveau.
Die vier Ziele – und ein fünftes, das oft übersehen wird
Integrität (Daten dürfen nicht unbefugt verändert werden),
Verfügbarkeit (Daten und Systeme müssen rechtzeitig bereitstehen) und
Belastbarkeit (Systeme müssen auch bei Störungen funktionsfähig bleiben oder sich kontrolliert wiederherstellen lassen).
Die Datenschutzkonferenz geht mit dem Standard-Datenschutzmodell (aktuell Version 3.1a, beschlossen auf der 107. DSK-Sitzung am 14. Mai 2024) einen Schritt weiter und ergänzt
Datenminimierung,
Transparenz,
Nichtverkettung und
Intervenierbarkeit.
Der Grund: Ein System kann technisch hervorragend gegen Angreifer geschützt sein und trotzdem datenschutzrechtlich schlecht gestaltet, etwa wenn ein CRM sämtliche Kundendaten für jeden Mitarbeiter sichtbar macht oder Löschungen technisch kaum möglich sind.
Wo es in der Praxis am häufigsten hakt
Berechtigungen sind der unterschätzte Klassiker. In vielen Betrieben ist die Rechtestruktur historisch gewachsen: Ein Mitarbeiter sammelt über Jahre immer mehr Zugriffe an, alte Rechte werden beim Aufgabenwechsel selten entzogen. Das Need-to-know-Prinzip – Zugriff nur für tatsächlich benötigte Daten – ist hier die einfachste Leitlinie, wichtig ist vor allem der letzte Schritt: Beim Ausscheiden eines Mitarbeiters müssen Konten zeitnah deaktiviert werden, was in der Praxis erstaunlich oft vergessen wird.
Bei Passwörtern gilt die klassische Kombination aus Mindestlänge, Sonderzeichen und regelmäßigem Wechsel nicht mehr als der einzig richtige Weg. Aktuelle Empfehlungen – auch von einem BSI-Beirat – setzen stärker auf lange, einzigartige Passphrasen, Passwortmanager und zusätzliche Faktoren statt auf ständige Zwangswechsel. Für besonders sensible Zugänge wie Administratorkonten, Cloud-Dienste oder VPN gehört Mehr-Faktor-Authentifizierung heute in jede Risikobetrachtung.
Bei Updates und Patchmanagement reicht die Aussage „Wir installieren Updates“ allein nicht aus. Entscheidend ist, ob bekannt ist, welche Systeme überhaupt im Einsatz sind, wer deren Update-Verfügbarkeit überwacht und was mit Systemen passiert, für die der Hersteller keine Sicherheitsupdates mehr bereitstellt – ein Punkt, den auch das Bayerische Landesamt für Datenschutzaufsicht in seinen Prüfungen ausdrücklich einfordert.
Datensicherungen sind erst dann eine wirksame Maßnahme, wenn die Wiederherstellung nachweislich funktioniert. Gerade Ransomware zeigt die Schwäche vieler Sicherungskonzepte: Bleibt das Backup-Medium dauerhaft mit dem Netzwerk verbunden, kann es ebenfalls verschlüsselt werden. „Tägliche Sicherung auf getrenntem System, monatlicher Prüfbericht, vierteljährlicher Wiederherstellungstest“ ist deutlich aussagekräftiger als der bloße Satz „Wir machen ein Backup“.
Bei E-Mails ist der Klassiker der Fehlversand. Bei einer normalen Terminvereinbarung reicht häufig die Regel, den Empfänger vor dem Absenden zu prüfen. Werden dagegen regelmäßig Lohnabrechnungen oder Gesundheitsdaten verschickt, kann eine reine Verhaltensregel zu wenig sein – dann liegt es näher, sensible Dokumente über ein zugriffsgeschütztes Portal statt als Anhang zu verschicken. Wichtig zu wissen: Ein Kundenwunsch nach unverschlüsseltem Versand hebt die Pflichten aus Art. 32 DSGVO nicht automatisch auf. Die Datenschutzkonferenz hat in einem Beschluss vom 24. November 2021 klargestellt, dass TOM auf objektiven Rechtspflichten beruhen. Nur in dokumentierten Einzelfällen und auf ausdrücklichen, eigeninitiativen Wunsch der betroffenen Person kann davon in vertretbarem Umfang abgewichen werden.
Und schließlich bleibt Papier ein Datenschutzthema: Ein vertraulicher Ausdruck, der stundenlang im Gemeinschaftsdrucker liegt, kann genauso zu einer Verletzung führen wie eine falsch gesetzte Ordnerberechtigung.
Auch Dienstleister sind kein Bequemlichkeitsargument
Viele kleine Unternehmen betreiben kaum noch eigene Server – E-Mail, Buchhaltung, CRM und Lohnabrechnung laufen über externe Anbieter. Das reduziert eigene technische Aufgaben, beseitigt aber nicht die datenschutzrechtliche Verantwortung. Art. 28 Abs. 1 DSGVO verlangt ausdrücklich, dass nur mit Auftragsverarbeitern zusammengearbeitet wird, die hinreichende Garantien für geeignete TOM bieten. Ein akzeptierter Auftragsverarbeitungsvertrag allein genügt dafür nicht. Die Sicherheitsmaßnahmen des Dienstleisters müssen zumindest so weit geprüft werden, dass ihre Eignung plausibel beurteilt werden kann – und je höher das Risiko der Verarbeitung, desto intensiver sollte diese Prüfung ausfallen.
Dokumentieren, was wirklich passiert – nicht, was möglich wäre
Eine der häufigsten Schwächen von TOM-Dokumentationen: Sie beschreiben einen idealisierten Zustand. Im Dokument steht „Mehr-Faktor-Authentifizierung“, tatsächlich ist sie nur beim Geschäftsführer aktiviert. Es steht „regelmäßige Rechteprüfung“, aber niemand weiß, wann die letzte stattgefunden hat. Eine solche Dokumentation ist im Ernstfall riskanter als eine ehrliche Beschreibung des Ist-Zustands, denn die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt Nachweisbarkeit.
Bewährt hat sich deshalb eine Struktur, die zu jeder Maßnahme nicht nur benennt, was getan wird, sondern auch: welchen Anwendungsbereich sie hat, wer verantwortlich ist, seit wann sie umgesetzt ist und wie ihre Wirksamkeit überprüft wird. Genau dieser letzte Punkt – die Wirksamkeitskontrolle nach Art. 32 Abs. 1 lit. d) DSGVO – wird in der Praxis am häufigsten vernachlässigt. Ein Backup, das nie zurückgespielt wurde, ein Berechtigungskonzept, das nie mit den tatsächlichen Zugriffsrechten abgeglichen wurde, oder eine Richtlinie, die kein Mitarbeiter kennt, sind auf dem Papier vorhanden, aber im Ernstfall wirkungslos.
Was die Rechtsprechung und Bußgeldpraxis zeigen
Drei Fälle machen besonders greifbar, worauf es ankommt:
Im 1&1-Verfahren verhängte der Bundesbeauftragte für den Datenschutz 2019 zunächst ein Bußgeld von 9,55 Millionen Euro, weil Anrufer im Callcenter allein durch Namen und Geburtsdatum weitreichende Kundendaten erfragen konnten – ein Verstoß gegen Art. 32 DSGVO. Das Landgericht Bonn bestätigte 2020 zwar den Verstoß dem Grunde nach, reduzierte das Bußgeld aber um rund 90 Prozent auf 900.000 Euro, weil es die ursprüngliche Bemessungsmethode der Behörden für unangemessen hielt. Für die Praxis zeigt der Fall zweierlei: TOM betreffen nicht nur Serverräume, sondern auch ganz alltägliche Fragen wie die telefonische Identifikation von Kunden – und Bußgeldbescheide sind vor Gericht durchaus überprüfbar und korrigierbar.
Beim Onlineportal Knuddels wurden nach einem Hackerangriff Passwörter von rund 330.000 Nutzern entwendet, weil sie ungehasht im Klartext gespeichert waren. Die badenwürttembergische Aufsicht verhängte 2018 ein vergleichsweise moderates Bußgeld von 20.000 Euro – ausdrücklich auch deshalb, weil das Unternehmen transparent kooperierte und seine Sicherheitsarchitektur schnell verbesserte.
Bei der AOK Baden-Württemberg waren technische und organisatorische Maßnahmen zwar vorhanden – interne Richtlinien und Schulungen sollten sicherstellen, dass Gewinnspieldaten nur mit Einwilligung für Werbung genutzt werden –, funktionierten aber nicht zuverlässig: Über 500 Teilnehmer erhielten trotzdem Werbung ohne Einwilligung. Die Aufsichtsbehörde verhängte 2020 ein Bußgeld von 1,24 Millionen Euro. Der Fall zeigt sehr deutlich: Es reicht nicht, dass eine Maßnahme existiert – sie muss auch tatsächlich greifen.
Die vier Schutzziele von Art. 32 DSGVO: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit müssen durch geeignete technische und organisatorische Maßnahmen sichergestellt und am konkreten Risiko ausgerichtet werden.
Seit Ende 2025 zusätzlich relevant: NIS2 und das neue BSI-Gesetz
Für Unternehmen aus bestimmten Sektoren kommt seit Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 eine zusätzliche Prüfung hinzu. § 28 BSIG definiert – abhängig von Branche und Größe, häufig ab 50 Mitarbeitern – „wichtige“ und „besonders wichtige“ Einrichtungen. Für erfasste Unternehmen verlangt § 30 BSIG geeignete Risikomanagementmaßnahmen, etwa Risikoanalyse, Backup- und Wiederherstellungskonzepte, Lieferkettensicherheit oder Mehr-Faktor-Authentifizierung. § 38 BSIG verpflichtet zudem die Geschäftsleitung persönlich zur Umsetzung, Überwachung und regelmäßigen Schulung. Wer betroffen ist, kann die entsprechenden TOM-Prüfungen in der Praxis meist sinnvoll mit den DSGVO-Anforderungen verbinden, auch wenn die gesetzlichen Grundlagen unterschiedlich sind.
So lässt sich das Thema praktisch angehen
Ein risikobasiertes Vorgehen lässt sich auf wenige Kernschritte verdichten: Zunächst den tatsächlichen Ablauf einer Verarbeitung verstehen – welche Daten, welche Systeme, welche Zugriffe, welche Dienstleister. Danach fragen, was schiefgehen kann, und zwar nicht nur mit Blick auf Hacker, sondern auch auf Fehlversand, verlorene Notebooks oder ausgeschiedene Mitarbeiter mit weiterhin aktivem Konto. Anschließend die Folgen für die betroffenen Personen bewerten, den Ist-Zustand der vorhandenen Maßnahmen ehrlich erfassen, das verbleibende Risiko mit zusätzlichen Maßnahmen absichern, Verantwortlichkeiten klar benennen, die tatsächlichen TOM dokumentieren – und die Maßnahmen regelmäßig testen: eine Sicherung zurückspielen, Benutzerrechte stichprobenartig prüfen, Meldewege durchspielen. Ein jährlicher Gesamtcheck ist für viele kleine und mittlere Unternehmen ein sinnvoller Mindestrhythmus, ergänzt um anlassbezogene Prüfungen nach einem Sicherheitsvorfall, einer neuen Anwendung oder einem Wechsel des IT-Dienstleisters.
Zusammenfassung
Technische und organisatorische Maßnahmen sind kein Katalog, der einmal ausgefüllt und dann abgeheftet wird. Die Logik dahinter ist simpel: Erst verstehen, welche Daten in welchem Ablauf verarbeitet werden und was dabei schiefgehen kann. Dann bewerten, welche Folgen das für die betroffenen Personen hätte. Und darauf aufbauend Maßnahmen auswählen, tatsächlich umsetzen, dokumentieren und regelmäßig auf ihre Wirksamkeit prüfen. Art. 32 DSGVO verlangt kein vollkommen risikofreies Unternehmen – der EuGH hat ausdrücklich bestätigt, dass auch bei angemessenen Schutzmaßnahmen Datenschutzverletzungen passieren können. Gefordert ist ein nachvollziehbares, dem konkreten Risiko angemessenes Sicherheitsniveau. Eine kurze, ehrliche und gepflegte TOM-Dokumentation mit wirksamen Maßnahmen ist deshalb wesentlich wertvoller als ein zwanzigseitiger Katalog, der nur beschreibt, wie ein Unternehmen theoretisch organisiert sein könnte.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
