Datensicherheit für Unternehmen

• Datensicherheitspannen gehören zu den unterschätzten Geschäftsrisiken für Unternehmen.
• Die Bedrohungslage für deutsche Unternehmen hat sich weiter verschärft: Im Jahr 2025 stiegen die finanziellen Schäden durch Datendiebstahl, Industriespionage oder Sabotage auf insgesamt 289,2 Milliarden Euro.
• Viele betroffene Unternehmen verschwinden nach einer erheblichen Datenpanne oder erfolgreichen Cyberattacke vom Markt. Nicht jeder Schaden wird gemeldet – die Dunkelziffer ist hoch.
• Auch kleine und mittelständische Unternehmen sind gefährdet und sollten ein wirksames Datensicherheitskonzept entwickeln.
• Datensicherheit und Datenschutz haben verschiedene Ziele. Unternehmen können und sollten jedoch beide über ein gemeinsames Konzept verbinden.
• Auf Basis der Datenschutz-Grundverordnung (DSGVO) ergeben sich für Unternehmen verschiedene Pflichten zur Einhaltung der Datensicherheit. Bei Verstößen drohen hohe Geldbußen.
• Mit technischen und organisatorischen Maßnahmen schützen Sie Ihr Unternehmen gegen Datenverlust und Attacken von außen.

Sicherheit von Daten als zentrale Managementaufgabe

Cloud Disaster Recovery als Teil des Datensicherheitskonzepts

• Datenverschlüsselung: Schützt Daten vor unbefugtem Zugriff. Nur autorisierte Personen können sie mit dem passenden Schlüssel lesen.
• Datenlöschung: Professionelle Tools sorgen dafür, dass gelöschte Daten nicht wiederhergestellt werden können – wichtig bei ausgemusterten Geräten.
• Datenmaskierung: Ersetzt sensible Daten durch nichtsensible oder verfremdete Daten, z.B. für Entwicklung, Analytik, die Zusammenarbeit mit Partnern oder Schulungen.
• Datenresilienz: Sicherstellung der Datenverfügbarkeit trotz Ausfällen oder Angriffen, etwa durch schnelles Wiederherstellen in Cloud-Systemen.

• Die europäische Datenschutz-Grundverordnung (DSGVO) ist eine EU-weite Verordnung zur Verarbeitung personenbezogener Daten.
• Das deutsche Bundesdatenschutzgesetz (BDSG) ergänzt die DSGVO in Deutschland. Es regelt vor allem die Verarbeitung von Beschäftigungsdaten, die Videoüberwachung sowie die Stellung von Datenschutzbeauftragten und weiteren Aufsichtsbehörden.

• Der Datenschutz dient dem Schutz personenbezogener Daten und der Rechte von Bürger:innen gegenüber Dritten. Unternehmen müssen Daten sicher verarbeiten, dürfen nur notwendige Daten erheben und müssen diese regelmäßig löschen – spätestens wenn kein berechtigtes Interesse daran mehr existiert (Recht auf Vergessen). DSGVO und BDSG regeln diese Vorgaben.
• Die Datensicherheit: Die Datensicherheit schützt im Unternehmen alle Daten vor Verlust, Manipulation und unbefugtem Zugriff – unabhängig davon, ob sie personenbezogen sind. Dies wird beispielsweise sichergestellt durch regelmäßige Back-ups, Verschlüsselung und Zugriffskontrollen.

• Datensparsamkeit: Persönliche Daten genießen besonderen Schutz und dürfen nur erhoben werden, wenn nötig.
• Ort und Art der Datenspeicherung: Die Speicherung von Daten außerhalb der EU ist nur mit einem Angemessenheitsbeschluss erlaubt.
• Automatisches Löschen aufgrund von Kriterien: Automatisierte Löschprozesse müssen gesetzliche Fristen berücksichtigen, beispielsweise die Pflicht zur Aufbewahrung von kaufmännischen Unterlagen über zehn Jahre gemäß Abgabenordnung und §238 sowie §257 HGB.

• Sichere Übertragung und Speicherung aller Daten ab ihrer Entstehung an der Datenquelle
• Redundante Strukturen zur Sicherung des Datenbestands
• Schutz von Firmennetzen vor Manipulation, Diebstahl, Hacking und Malware
• Maßnahmen zur Begrenzung von Hacking-Attacken
• Zugriff auf Daten nach definierten Freigabestufen
• Kennzeichnung und gesetzeskonformes Speichern personenbezogener Daten (inklusive Cloud-Security)
• Technische Maßnahmen für das endgültige Löschen persönlicher Daten – auch in Back-ups

Technische Maßnahmen

Organisatorische Maßnahmen

• Zuständigkeiten: Verantwortlichkeiten in Abteilungen und im Gesamtunternehmen klar definieren
• Schulungen: Mitarbeitende regelmäßig für Cyberrisiken und die neusten Tricks von Kriminellen sensibilisieren
• Zugangsregelungen: Kritische Unternehmensbereiche physisch sichern; Zuständigkeiten für diese Bereiche an wenige, ausgewählte Mitarbeiter:innen verteilen
• Pentests: Regelmäßige Tests auf technische und organisatorische Schwachstellen durchführen lassen, um die Anfälligkeit des Unternehmens zu reduzieren – etwa für Attacken wie Social Engineering

1. Ziele definieren: Welche Ziele wollen Sie mit dem Datensicherheitskonzept erreichen
2. Bestandsaufnahme: Wie sieht die aktuelle IT-Struktur aus? Welche Prozesse und zukünftigen Anforderungen gibt es und wie sollen sie kurz- und mittelfristig strukturiert sein?
3. Aufgabenverteilung: Was kann intern umgesetzt werden, wofür braucht es externe Expertise (z.B. Auswahl einer Cloud, Pentests)? Förderprogramme können Kosten senken.
4. Umsetzung & Kontrolle: Konzept festlegen, einführen und regelmäßig prüfen. Datensicherheit ist ein fortlaufender Prozess, kein einmaliges Projekt.

• Offene Fehlerkultur schaffen: Gestalten Sie eine Atmosphäre im Unternehmen, in der Mitarbeiter:innen offen über Fehler und Datenpannen sprechen können. Nur so wird Ihr Unternehmen zum lernenden Unternehmen.
• IT vereinfachen: Lagern Sie Dienste wenn möglich in die Cloud aus und entfernen Sie alte Hardware
• Notfallplan erstellen: Bereiten Sie sich darauf vor, schnell reagieren zu können, auch beispielsweise auf Netzwerkausfälle. Klären Sie, welches Spezialwissen eventuell nötig ist.
• Sicherheitslücken regelmäßig schließen: Suchen Sie regelmäßig aktiv nach Sicherheitslücken und beheben Sie diese unverzüglich. Beseitigen Sie Einfallstore für Schadprogramme auf Ihrer Webseite und an anderen Schnittstellen zur Außenwelt.
• Back-ups und USV-Systeme testen: Prüfen Sie in Testläufen, ob Ihre Back-up-Systeme im Notfall tatsächlich funktionieren. (Funktionieren die Datenträger noch und sind die Daten noch lesbar?)