Was sind technische und organisatorische Maßnahmen (TOM) nach DSGVO?

Angemessen statt universell

Die DSGVO schreibt keine einheitliche Checkliste vor, sondern verlangt eine individuelle Risikoabwägung. Ein Handwerksbetrieb mit wenigen Kundenadressen steht vor anderen Anforderungen als eine Plattform mit Millionen Nutzerprofilen. Maßstab ist der Stand der Technik — das, was nach aktuellem Wissensstand technisch möglich und wirtschaftlich vertretbar ist. Dieser Maßstab verschiebt sich: Was vor Jahren als sicher galt, etwa veraltete Hash-Verfahren oder schwache WLAN-Verschlüsselung, kann heute einem Audit nicht mehr standhalten. Bei der Risikoabwägung zählen die Art und Sensibilität der Daten, der Umfang der Verarbeitung, die Eintrittswahrscheinlichkeit von Bedrohungen und die möglichen Folgen für Betroffene — das Ergebnis muss dokumentiert werden.

Die acht Schutzziele nach DSGVO

• Vertraulichkeit — nur befugte Personen dürfen auf personenbezogene Daten zugreifen, technisch durch Verschlüsselung, organisatorisch durch Berechtigungskonzepte.
• Integrität — Daten dürfen nicht unbemerkt verändert werden, gesichert durch Hashverfahren, Protokollierung und Versionierung.
• Verfügbarkeit — Daten müssen bei Bedarf zugänglich sein, abgesichert durch Backups, Redundanzen und Notfallpläne.
• Belastbarkeit — Systeme müssen auch unter Last oder nach Angriffen stabil und funktionsfähig bleiben.
• Pseudonymisierung — der Personenbezug wird getrennt gespeichert, sodass Daten ohne Zusatzwissen nicht zuordenbar sind.
• Verschlüsselung — sowohl im Ruhezustand als auch bei der Übertragung.
• Zutrittskontrolle — physischer Zugang zu Räumen mit Datenverarbeitung wird kontrolliert und protokolliert.
• Zugangskontrolle — digitaler Zugang zu Systemen wird durch starke Authentifizierung, etwa Mehrfaktor, abgesichert.

Konkrete TOM-Beispiele nach Kategorie

• Rechenzentrum und Infrastruktur: Serverräume mit Zugangskontrolle (Chipkarte, PIN, Kamera), klimatisierte und gesicherte Schränke, unterbrechungsfreie Stromversorgung, Brandschutzanlagen, redundante Internetanbindung. Bei externem Hosting: den Auftragsverarbeitungsvertrag prüfen und mindestens ISO-27001- oder SOC-2-Zertifizierung des Rechenzentrums verlangen.
• Netzwerk und Systeme: Firewall mit definierten Regelwerken, Netzwerksegmentierung (z. B. getrennte VLANs für produktive Systeme und Gäste), regelmäßige Patch- und Update-Zyklen, Intrusion-Detection-Systeme, Protokollierung von Zugriffen und Anomalien, verschlüsselte VPN-Verbindungen für Fernzugriffe.
• Zugang und Identität: rollenbasierte Zugriffsrechte nach dem Prinzip der minimalen Rechtevergabe, Mehrfaktor-Authentifizierung für externe und privilegierte Accounts, automatische Sperrung nach Inaktivität, zentrales Identity- und Access-Management, sofortige Deaktivierung von Accounts ausgeschiedener Mitarbeitender.
• Organisation und Prozesse: dokumentiertes Löschkonzept mit definierten Aufbewahrungsfristen, Verpflichtung aller Mitarbeitenden auf Vertraulichkeit, standardisierte Prozesse für Datenpannen, Auftragsverarbeitungsverträge mit allen relevanten Dienstleistern, regelmäßige Datenschutz-Folgenabschätzungen für risikoreiche Verarbeitungen.

Dokumentation ist Pflicht, nicht Kür

Ein Antivirenprogramm allein ist kein TOM-Konzept. Fehlende Dokumentation ist ein eigenständiger DSGVO-Verstoß, der unabhängig von einem tatsächlichen Vorfall zu Bußgeldern führen kann. Der Weg zu einer belastbaren Dokumentation beginnt beim Verzeichnis der Verarbeitungstätigkeiten: Jede Verarbeitung bildet die Grundlage für eine eigene TOM-Bewertung. Darauf folgt eine Risikobewertung, die Zuordnung konkreter Maßnahmen zu jeder Risikoklasse, der Nachweis der tatsächlichen Umsetzung — Konfigurationsexporte, Zertifikate, Auditberichte — sowie feste Review-Termine, mindestens jährlich, mit dokumentiertem Ergebnis.

Orientierung an anerkannten Standards

ISO 27001 und der BSI IT-Grundschutz sind nicht identisch mit der TOM-Pflicht der DSGVO, überschneiden sich aber stark. Für den Mittelstand, der keine formelle Zertifizierung anstrebt, lohnt es sich trotzdem, die Maßnahmenkataloge dieser Standards als Orientierung zu nutzen — der BSI-Grundschutz-Kompendium ist kostenlos verfügbar. Typische Schwachstellen sind dabei weniger böser Wille als fehlende Priorität im Tagesgeschäft: veraltete Netzwerkdokumentation, ungetestete Backups, fehlende Verträge mit Cloud-Diensten oder Mitarbeitende ohne Datenschutz-Grundschulung.