Informationssicherheit und Datenschutz sind nicht dasselbe

Datenschutz und Informationssicherheit werden häufig gleichgesetzt. Beide Bereiche überschneiden sich, verfolgen jedoch unterschiedliche Ziele.

Der Datenschutz schützt natürliche Personen und ihre personenbezogenen Daten. Dazu gehören beispielsweise:

• Kunden- und Patientendaten
• Mitarbeiterdaten
• E-Mail-Adressen und Telefonnummern
• Vertrags- und Abrechnungsdaten
• Gesundheitsdaten
• Standort- und Nutzungsdaten
• Benutzerkonten und Protokolldaten

Informationssicherheit betrachtet dagegen sämtliche schützenswerten Informationen und Systeme eines Unternehmens.

Dazu gehören auch:

• Geschäftsgeheimnisse
• Konstruktions- und Produktionsdaten
• Kalkulationen und Angebote
• Verträge und Finanzinformationen
• Passwörter und kryptografische Schlüssel
• Server, Netzwerke und Cloud-Dienste
• Produktions- und Steuerungssysteme
• Backups und Notfallverfahren

Ein Angriff kann deshalb die Informationssicherheit eines Unternehmens erheblich beeinträchtigen, auch wenn keine personenbezogenen Daten betroffen sind.

Sobald personenbezogene Daten betroffen sind, kommen zusätzlich die datenschutzrechtlichen Anforderungen hinzu.

Datenschutz schützt Menschen und ihre Daten. Informationssicherheit schützt die Vertraulichkeit, Integrität und Verfügbarkeit aller wichtigen Informationen und Systeme.

Gibt es ein einziges Gesetz zur IT-Sicherheit für alle Unternehmen?

Ein einziges allgemeines IT-Sicherheitsgesetz, das für jedes Unternehmen identische Maßnahmen vorschreibt, gibt es nicht.

Die Verpflichtungen ergeben sich vielmehr aus mehreren Rechtsgebieten, die je nach Unternehmen unterschiedlich zusammentreffen.

Zu den wichtigsten Regelungsbereichen gehören:

• Datenschutz-Grundverordnung und Bundesdatenschutzgesetz
• BSI-Gesetz und NIS-2-Umsetzungsgesetz
• DORA für den Finanzsektor
• Cyber Resilience Act für Produkte mit digitalen Elementen
• branchenspezifische Vorgaben für Gesundheit, Energie und Telekommunikation
• gesellschaftsrechtliche Sorgfalts- und Überwachungspflichten
• Handels- und steuerrechtliche Aufbewahrungspflichten
• Gesetz zum Schutz von Geschäftsgeheimnissen
• vertragliche Sicherheitsanforderungen von Kunden und Auftraggebern

Die erste Aufgabe eines Unternehmens besteht deshalb darin, festzustellen, welche Regelungen tatsächlich anwendbar sind.

Erst danach lässt sich beurteilen, welche organisatorischen und technischen Maßnahmen erforderlich sind.

Die DSGVO gilt für nahezu jedes Unternehmen

Nahezu jedes Unternehmen verarbeitet personenbezogene Daten. Bereits die Verwaltung von Beschäftigten, Kunden, Lieferanten und geschäftlichen Ansprechpartnern fällt grundsätzlich in den Anwendungsbereich der Datenschutz-Grundverordnung.

Auch kleine Unternehmen sind nicht grundsätzlich von den Sicherheitsanforderungen der DSGVO befreit.

Die Größe des Unternehmens beeinflusst zwar, welche Maßnahmen wirtschaftlich und organisatorisch angemessen sind. Die grundsätzliche Verpflichtung, personenbezogene Daten zu schützen, besteht jedoch unabhängig davon.

Die DSGVO verpflichtet Unternehmen insbesondere dazu:

• personenbezogene Daten rechtmäßig zu verarbeiten
• Daten nur für festgelegte Zwecke zu verwenden
• nur erforderliche Daten zu erheben
• Daten sachlich richtig und aktuell zu halten
• Lösch- und Aufbewahrungsfristen zu beachten
• Betroffenenrechte zu ermöglichen
• Auftragsverarbeiter sorgfältig auszuwählen
• angemessene technische und organisatorische Maßnahmen umzusetzen
• Datenschutzverletzungen zu erkennen, zu bewerten und gegebenenfalls zu melden
• die Einhaltung der Anforderungen nachweisen zu können

Artikel 32 DSGVO: Sicherheit der Verarbeitung

Artikel 32 DSGVO gehört zu den zentralen Vorschriften für die technische und organisatorische Sicherheit.

Unternehmen müssen ein Schutzniveau herstellen, das zu den vorhandenen Risiken passt.

Bei der Bewertung sind unter anderem zu berücksichtigen:

• der Stand der Technik
• die Kosten der Umsetzung
• Art und Umfang der Verarbeitung
• der Zweck der Verarbeitung
• die Eintrittswahrscheinlichkeit eines Vorfalls
• die möglichen Folgen für betroffene Personen
• die Sensibilität und Menge der Daten

Die DSGVO verlangt damit keine für alle Unternehmen identische technische Ausstattung.

Sie verlangt jedoch eine nachvollziehbare Risikobewertung und Maßnahmen, die angesichts des festgestellten Risikos angemessen sind.

Artikel 32 nennt insbesondere:

• Verschlüsselung und Pseudonymisierung
• Sicherstellung von Vertraulichkeit, Integrität und Verfügbarkeit
• Widerstandsfähigkeit der eingesetzten Systeme und Dienste
• zeitnahe Wiederherstellung nach einem technischen oder physischen Vorfall
• regelmäßige Prüfung und Bewertung der Sicherheitsmaßnahmen

Ein Backup zu besitzen reicht nicht aus. Das Unternehmen muss auch beurteilen, ob es vollständig, geschützt und tatsächlich wiederherstellbar ist.

Was sind technische und organisatorische Maßnahmen?

Technische und organisatorische Maßnahmen werden häufig mit der Abkürzung TOM bezeichnet.

Sie beschreiben, wie ein Unternehmen personenbezogene Daten und informationstechnische Systeme schützt.

Typische technische Maßnahmen

• Firewall und sichere Netzwerkkonfiguration
• aktuelle Sicherheitsupdates und geregeltes Patchmanagement
• Endpoint-Security und Malware-Schutz
• Mehrfaktor-Authentifizierung und Passkeys
• Festplatten- und Transportverschlüsselung
• rollenbasierte Zugriffsrechte
• Netzwerksegmentierung
• E-Mail-Schutz und Spamfilter
• regelmäßige und getrennt gespeicherte Backups
• Monitoring und Protokollauswertung
• Schutz administrativer Benutzerkonten
• zentrale Verwaltung geschäftlicher Endgeräte

Typische organisatorische Maßnahmen

• klare Zuständigkeiten
• Benutzer- und Berechtigungskonzepte
• Eintritts-, Wechsel- und Austrittsprozesse für Beschäftigte
• Freigabeprozesse für administrative Zugänge
• Verträge zur Auftragsverarbeitung
• Schulung und Sensibilisierung der Beschäftigten
• Notfall- und Wiederanlaufpläne
• Verfahren für Datenschutz- und Sicherheitsvorfälle
• regelmäßige Überprüfung externer Dienstleister
• Dokumentation von Systemen, Maßnahmen und Verantwortlichkeiten

Eine technische Lösung ohne geregelten Prozess kann ebenso unzureichend sein wie eine umfangreiche Richtlinie, die im Betrieb nicht umgesetzt wird.

Die Nachweispflicht der DSGVO

Unternehmen müssen Datenschutz nicht nur einhalten. Sie müssen die Einhaltung auch nachweisen können.

Diese Rechenschaftspflicht ist besonders relevant, wenn es zu einem Datenverlust, einem Cyberangriff oder einer Prüfung durch eine Aufsichtsbehörde kommt.

Ein nachvollziehbarer Nachweis kann beispielsweise umfassen:

• Verzeichnis der Verarbeitungstätigkeiten
• Dokumentation technischer und organisatorischer Maßnahmen
• Risikoanalysen
• Datenschutz-Folgenabschätzungen, soweit erforderlich
• Berechtigungs- und Löschkonzepte
• Auftragsverarbeitungsverträge
• Schulungsnachweise
• Patch- und Wartungsprotokolle
• Backup- und Wiederherstellungsnachweise
• Protokolle über Sicherheitsvorfälle
• regelmäßige Prüfberichte

Nicht dokumentierte Maßnahmen lassen sich im Nachhinein nur schwer belegen.

Ein Unternehmen kann technisch durchaus Sicherheitsmaßnahmen umgesetzt haben und trotzdem Probleme bekommen, wenn weder Zuständigkeiten noch Prüfungen und Entscheidungen nachvollziehbar dokumentiert wurden.

Wann muss eine Datenschutzverletzung gemeldet werden?

Eine Datenschutzverletzung liegt nicht nur dann vor, wenn Daten öffentlich im Internet erscheinen.

Mögliche Datenschutzverletzungen sind beispielsweise:

• Versand einer E-Mail an den falschen Empfänger
• Verlust eines unverschlüsselten Notebooks
• Ransomware-Angriff auf personenbezogene Daten
• unberechtigter Zugriff auf ein E-Mail-Konto
• Offenlegung von Kunden- oder Patientendaten
• versehentliche Löschung wichtiger personenbezogener Daten
• längerer Ausfall eines Systems mit sensiblen Informationen
• Manipulation personenbezogener Datensätze

Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen, muss die zuständige Datenschutzaufsichtsbehörde grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden informiert werden.

Besteht ein hohes Risiko, können zusätzlich die betroffenen Personen ohne unangemessene Verzögerung zu informieren sein.

Auch Datenschutzverletzungen, die nicht gemeldet werden müssen, sind intern zu dokumentieren.

Unternehmen benötigen deshalb einen vorbereiteten Ablauf, mit dem ein Vorfall rechtzeitig erkannt, technisch eingegrenzt, rechtlich bewertet und dokumentiert werden kann.

NIS-2 und das neue BSI-Gesetz

Seit dem 6. Dezember 2025 ist das deutsche Gesetz zur Umsetzung der NIS-2-Richtlinie in Kraft.

Das BSI-Gesetz unterscheidet unter anderem zwischen:

• besonders wichtigen Einrichtungen
• wichtigen Einrichtungen
• Betreibern kritischer Anlagen

Ob ein Unternehmen betroffen ist, hängt insbesondere von seiner Branche, seiner Größe, seiner Tätigkeit und möglichen gesetzlichen Sondertatbeständen ab.

Erfasste Bereiche umfassen unter anderem:

• Energie
• Transport und Verkehr
• Banken und Finanzmarktinfrastrukturen
• Gesundheitswesen
• Trinkwasser und Abwasser
• digitale Infrastruktur
• Cloud-, Rechenzentrums- und Managed-Service-Anbieter
• öffentliche Verwaltung
• Post- und Kurierdienste
• Abfallwirtschaft
• Chemie
• industrielle Lebensmittelproduktion
• bestimmte Bereiche des verarbeitenden Gewerbes
• Anbieter digitaler Dienste

Eine pauschale Einstufung allein anhand des Firmennamens oder einer groben Branchenbezeichnung ist nicht ausreichend.

Unternehmen sollten ihre Betroffenheit anhand der gesetzlichen Einrichtungsarten, Unternehmenskennzahlen und angebotenen Leistungen nachvollziehbar prüfen.

Welche Pflichten ergeben sich aus NIS-2?

Betroffene Einrichtungen müssen geeignete, verhältnismäßige und wirksame Maßnahmen zum Management ihrer Cybersicherheitsrisiken umsetzen und dokumentieren.

Zu den zentralen Bereichen gehören:

• Risikoanalyse und Sicherheitskonzepte
• Erkennung und Bewältigung von Sicherheitsvorfällen
• Business Continuity und Krisenmanagement
• Backup-Management und Wiederherstellung
• Sicherheit von Lieferanten und Dienstleistern
• sichere Beschaffung, Entwicklung und Wartung von IT-Systemen
• Schwachstellen- und Patchmanagement
• regelmäßige Prüfung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Mitarbeiterschulungen
• Kryptografie und Verschlüsselung
• Personalsicherheit
• Zugriffskontrolle und Verwaltung von IT-Ressourcen
• Mehrfaktor-Authentifizierung und sichere Kommunikation

Betroffene Einrichtungen müssen sich zudem beim Bundesamt für Sicherheit in der Informationstechnik registrieren und erhebliche Sicherheitsvorfälle innerhalb gesetzlich festgelegter Fristen melden.

Die NIS-2-Meldefristen

Für erhebliche Sicherheitsvorfälle sieht das BSI-Gesetz ein mehrstufiges Meldeverfahren vor.

Grundsätzlich sind vorgesehen:

1. eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung
2. eine ausführlichere Meldung innerhalb von 72 Stunden
3. gegebenenfalls Zwischenmeldungen auf Anforderung
4. eine Abschlussmeldung grundsätzlich spätestens einen Monat nach der Meldung

Diese Fristen laufen deutlich schneller ab als eine normale technische Ursachenanalyse.

Betroffene Unternehmen benötigen deshalb bereits vor einem Vorfall ein dokumentiertes Verfahren mit klaren Eskalationswegen.

Wer im Sicherheitsvorfall erst klären muss, wer entscheiden, dokumentieren und melden darf, verliert wertvolle Zeit.

NIS-2 macht Informationssicherheit zur Aufgabe der Geschäftsleitung

Bei besonders wichtigen und wichtigen Einrichtungen liegt die Verantwortung nicht allein bei der IT-Abteilung oder einem externen Dienstleister.

Die Geschäftsleitung muss die erforderlichen Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen.

Mitglieder der Geschäftsleitung müssen außerdem regelmäßig an Schulungen teilnehmen, damit sie Cybersicherheitsrisiken und die Auswirkungen der ergriffenen Maßnahmen beurteilen können.

Die technische Umsetzung kann selbstverständlich durch interne Fachkräfte oder einen IT-Dienstleister erfolgen.

Die gesetzliche Leitungsverantwortung lässt sich dadurch jedoch nicht vollständig abgeben.

Die Geschäftsleitung muss insbesondere nachvollziehen können:

• welche wesentlichen Risiken bestehen
• welche Maßnahmen beschlossen wurden
• welche Maßnahmen bereits umgesetzt sind
• welche offenen Schwachstellen verbleiben
• wer für die Umsetzung verantwortlich ist
• ob die Maßnahmen regelmäßig überprüft werden
• wie auf erhebliche Vorfälle reagiert wird

DORA für Unternehmen des Finanzsektors

Die europäische Verordnung über die digitale operationale Resilienz im Finanzsektor – DORA – gilt seit dem 17. Januar 2025.

Sie betrifft unter anderem zahlreiche Banken, Versicherungen, Zahlungsdienstleister, Wertpapierunternehmen und weitere regulierte Finanzunternehmen.

Zentrale Anforderungen betreffen:

• Management von Informations- und Kommunikationstechnologierisiken
• Erkennung und Meldung schwerwiegender IKT-Vorfälle
• Tests der digitalen Betriebsstabilität
• Notfall- und Wiederherstellungsplanung
• Steuerung von Risiken durch IT-Drittanbieter
• Vertragsanforderungen an Cloud- und IT-Dienstleister
• Dokumentation und Berichterstattung gegenüber Aufsichtsbehörden

DORA kann sich auch auf IT-Dienstleister auswirken, die selbst kein Finanzunternehmen sind, aber regulierte Kunden betreuen.

Diese Kunden müssen ihre IT-Lieferketten kontrollieren und verlangen daher zunehmend vertragliche Nachweise, Sicherheitsinformationen, Mitwirkungsrechte und geregelte Meldewege.

Cyber Resilience Act für Hersteller digitaler Produkte

Der Cyber Resilience Act richtet sich insbesondere an Hersteller, Importeure und Händler von Produkten mit digitalen Elementen.

Dazu können Hardwareprodukte, vernetzte Geräte und Software gehören, sofern sie unmittelbar oder mittelbar mit einem Gerät oder Netzwerk verbunden werden können.

Die Verordnung verlangt unter anderem:

• sichere Produktentwicklung
• Schutz gegen bekannte Schwachstellen
• Sicherheitsupdates über den vorgesehenen Unterstützungszeitraum
• Schwachstellenmanagement
• technische Dokumentation
• Meldeverfahren für aktiv ausgenutzte Schwachstellen
• Berücksichtigung von Cybersicherheit über den Produktlebenszyklus

Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten ab dem 11. September 2026. Die Verordnung gilt im Übrigen weitgehend ab dem 11. Dezember 2027.

Hersteller sollten die erforderlichen Entwicklungs-, Update- und Dokumentationsprozesse deshalb nicht erst kurz vor dem vollständigen Geltungsbeginn aufbauen.

Besondere Anforderungen für Arztpraxen

Arzt- und Psychotherapiepraxen verarbeiten besonders sensible Gesundheitsdaten.

Neben der DSGVO, dem Bundesdatenschutzgesetz und berufsrechtlichen Verschwiegenheitspflichten müssen Vertragsarztpraxen zusätzliche Anforderungen der IT-Sicherheitsrichtlinie nach dem Sozialgesetzbuch beachten.

Die Vorgaben betreffen unter anderem:

• Schutz von Praxisverwaltungssystemen
• sichere Benutzerkonten und Zugriffsrechte
• regelmäßige Aktualisierung der eingesetzten Systeme
• Virenschutz und Firewall
• Datensicherung und Wiederherstellung
• sichere Nutzung mobiler Geräte
• Schutz der Telematikinfrastruktur
• Schulung der Beschäftigten
• geregelte Nutzung von Internet, E-Mail und Wechseldatenträgern

Verantwortlich für die Umsetzung bleibt grundsätzlich der Praxisinhaber. Ein IT-Dienstleister kann unterstützen und technische Maßnahmen umsetzen, übernimmt aber nicht automatisch die gesamte rechtliche Verantwortung der Praxis.

Geschäftsgeheimnisse benötigen angemessene Schutzmaßnahmen

Auch Informationen ohne Personenbezug können gesetzlich schutzbedürftig sein.

Das Gesetz zum Schutz von Geschäftsgeheimnissen setzt voraus, dass der Inhaber angemessene Geheimhaltungsmaßnahmen getroffen hat.

Ohne solche Maßnahmen kann es deutlich schwieriger werden, eine Information rechtlich als Geschäftsgeheimnis zu behandeln.

Angemessene Maßnahmen können beispielsweise sein:

• Beschränkung der Zugriffsrechte
• Klassifizierung vertraulicher Informationen
• Verschlüsselung
• Geheimhaltungsvereinbarungen
• Protokollierung sensibler Zugriffe
• Schutz vor unkontrollierter Weitergabe
• geregeltes Ausscheiden von Beschäftigten
• Kontrolle externer Dienstleister

Ein vertraulicher Vermerk allein ist noch kein belastbares Sicherheitskonzept.

Vertragliche Pflichten werden zunehmend wichtiger

Selbst wenn ein Unternehmen nicht unmittelbar unter NIS-2 oder DORA fällt, können vergleichbare Anforderungen über Verträge und Lieferketten an das Unternehmen weitergegeben werden.

Größere Auftraggeber verlangen von ihren Lieferanten zunehmend:

• Informationssicherheitsrichtlinien
• Nachweise über technische Schutzmaßnahmen
• Meldepflichten bei Sicherheitsvorfällen
• geregeltes Patch- und Schwachstellenmanagement
• Notfall- und Wiederherstellungskonzepte
• Kontrolle von Unterauftragnehmern
• regelmäßige Sicherheitsüberprüfungen
• ISO-27001-, TISAX- oder vergleichbare Nachweise

ISO 27001 und TISAX sind nicht für jedes Unternehmen automatisch gesetzlich vorgeschrieben.

Sie können jedoch durch Kundenverträge, Ausschreibungen, Branchenanforderungen oder Lieferantenbedingungen praktisch zur Voraussetzung für eine Zusammenarbeit werden.

Haftet ein Unternehmen automatisch nach jedem Cyberangriff?

Ein erfolgreicher Cyberangriff bedeutet nicht automatisch, dass das betroffene Unternehmen gegen seine Pflichten verstoßen hat.

Kein Sicherheitskonzept kann jedes denkbare Ereignis vollständig verhindern.

Entscheidend ist vielmehr, ob das Unternehmen vor dem Vorfall angemessene und risikogerechte Maßnahmen getroffen hat.

Bei einer Bewertung können unter anderem relevant sein:

• War das Risiko bekannt oder erkennbar?
• Entsprachen die Maßnahmen dem Stand der Technik?
• Wurden kritische Updates zeitnah installiert?
• Waren Berechtigungen angemessen beschränkt?
• Gab es ein funktionierendes Backup?
• Wurde die Wiederherstellung getestet?
• Waren Beschäftigte geschult?
• Gab es Monitoring und geregelte Reaktionsprozesse?
• Wurden bekannte Schwachstellen dokumentiert und behandelt?
• Kann das Unternehmen seine Entscheidungen nachweisen?

Das Gesetz verlangt keine absolute Unangreifbarkeit. Es verlangt einen angemessenen, risikobasierten und nachvollziehbar betriebenen Schutz.

Welche Folgen können Verstöße gegen die DSGVO haben?

Verstöße gegen Sicherheits-, Dokumentations- und Meldepflichten können nach der DSGVO mit erheblichen Bußgeldern geahndet werden.

Für Verstöße gegen Pflichten aus den Artikeln 25 bis 39, zu denen auch die Sicherheit der Verarbeitung und die Meldung von Datenschutzverletzungen gehören, sieht die DSGVO Bußgelder von bis zu 10 Millionen Euro oder bis zu zwei Prozent des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist.

Bei Verstößen gegen grundlegende Verarbeitungsprinzipien, Betroffenenrechte oder Vorgaben für internationale Datenübermittlungen kann der Rahmen bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes reichen.

Die konkrete Höhe hängt vom Einzelfall ab.

Berücksichtigt werden beispielsweise:

• Art, Schwere und Dauer des Verstoßes
• Anzahl der betroffenen Personen
• Art der betroffenen Daten
• Vorsatz oder Fahrlässigkeit
• umgesetzte technische und organisatorische Maßnahmen
• Reaktion und Schadensbegrenzung
• Zusammenarbeit mit der Aufsichtsbehörde
• frühere Verstöße
• ordnungsgemäße oder unterlassene Meldung

Schadenersatz nach der DSGVO

Neben einem behördlichen Bußgeld können betroffene Personen Schadenersatz verlangen.

Artikel 82 DSGVO erfasst sowohl materielle als auch immaterielle Schäden.

Mögliche materielle Schäden sind beispielsweise:

• finanzielle Verluste
• Kosten infolge eines Identitätsmissbrauchs
• notwendige Schutz- und Wiederherstellungsmaßnahmen

Mögliche immaterielle Schäden können betreffen:

• Verlust der Kontrolle über persönliche Daten
• Rufschädigung
• erhebliche Belastungen durch eine unzulässige Offenlegung
• Beeinträchtigung der Privatsphäre

Ein Schadenersatzanspruch setzt eine konkrete rechtliche Prüfung des jeweiligen Falls voraus. Nicht jede Datenschutzverletzung führt automatisch zu einer Zahlung.

Welche Bußgelder sieht das BSI-Gesetz vor?

Das BSI-Gesetz sieht für Verstöße gegen zentrale NIS-2-Pflichten abgestufte Bußgelder vor.

Dazu gehören unter anderem Verstöße gegen:

• Risikomanagementmaßnahmen
• Dokumentationspflichten
• Meldepflichten für Sicherheitsvorfälle
• Registrierungs- und Auskunftspflichten
• vollziehbare Anordnungen des BSI

Bei besonders wichtigen Einrichtungen können für bestimmte Kernverstöße Bußgelder bis zu 10 Millionen Euro verhängt werden.

Bei wichtigen Einrichtungen kann der entsprechende Rahmen bis zu 7 Millionen Euro betragen.

Für Unternehmen mit einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro können bei bestimmten Verstößen umsatzbezogene Obergrenzen von bis zu zwei Prozent bei besonders wichtigen beziehungsweise bis zu 1,4 Prozent bei wichtigen Einrichtungen gelten.

Kann die Geschäftsleitung persönlich haften?

Geschäftsführungen und Vorstände tragen bereits nach allgemeinen gesellschaftsrechtlichen Vorschriften Verantwortung für eine ordnungsgemäße Unternehmensführung und ein angemessenes Risikomanagement.

Geschäftsführer einer GmbH müssen die Sorgfalt eines ordentlichen Geschäftsmannes anwenden. Verletzen sie ihre Pflichten schuldhaft, können sie der Gesellschaft für den entstandenen Schaden haften.

Für Vorstände einer Aktiengesellschaft gelten vergleichbare Sorgfalts- und Überwachungspflichten.

Das BSI-Gesetz konkretisiert diese Verantwortung für Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen.

Die Geschäftsleitung muss die Cybersicherheitsmaßnahmen billigen, deren Umsetzung überwachen und sich regelmäßig fortbilden.

Eine persönliche Haftung entsteht nicht automatisch durch jeden Sicherheitsvorfall.

Relevant wird sie insbesondere, wenn eine Leitungspflicht schuldhaft verletzt wurde und daraus ein Schaden für die Gesellschaft entsteht.

Beispiele möglicher Pflichtverletzungen können sein:

• bekannte erhebliche Risiken werden dauerhaft ignoriert
• es existiert kein geregeltes Backup- und Wiederherstellungsverfahren
• wiederholt gemeldete kritische Schwachstellen bleiben unbearbeitet
• es gibt keine Kontrolle administrativer Berechtigungen
• gesetzliche Meldepflichten werden organisatorisch nicht vorbereitet
• Sicherheitsmaßnahmen werden weder beschlossen noch überwacht
• die Geschäftsleitung erhält keine Berichte über wesentliche Cyberrisiken

Die Verantwortung kann nicht dadurch erfüllt werden, dass das Thema pauschal an die IT-Abteilung oder einen externen Dienstleister weitergegeben wird.

Die operative Durchführung kann delegiert werden. Entscheidungen, Kontrolle und angemessene Überwachung bleiben jedoch Aufgabe der Unternehmensleitung.

Weitere wirtschaftliche Folgen unzureichender Informationssicherheit

Bußgelder und Schadenersatz bilden nur einen Teil des möglichen Schadens.

Weitere Folgen können sein:

• Produktions- und Betriebsausfall
• Verlust oder Verschlüsselung wichtiger Daten
• Kosten für Wiederherstellung und Incident Response
• Benachrichtigung von Kunden und Betroffenen
• Vertragsstrafen und Schadenersatzansprüche von Geschäftspartnern
• Verlust von Aufträgen oder Lieferantenstatus
• höhere Versicherungsprämien
• Ablehnung oder Kürzung von Versicherungsleistungen
• Reputationsverlust
• langfristiger Verlust von Kundenvertrauen

Die wirtschaftlichen Folgen eines mehrtägigen Ausfalls übersteigen in vielen Fällen die unmittelbaren Kosten des technischen Angriffs.

Eine Cyberversicherung ersetzt keine Sicherheitsmaßnahmen

Eine Cyberversicherung kann einen Teil des verbleibenden wirtschaftlichen Risikos absichern.

Sie ersetzt jedoch keine gesetzlich erforderlichen technischen und organisatorischen Maßnahmen.

Versicherer verlangen zunehmend konkrete Angaben zu:

• Mehrfaktor-Authentifizierung
• Patchmanagement
• Backups und Wiederherstellungstests
• Endpoint-Security
• Netzwerksegmentierung
• administrativen Berechtigungen
• Mitarbeiterschulungen
• Notfall- und Reaktionsplänen

Falsche oder unvollständige Angaben können im Schadenfall zu erheblichen Auseinandersetzungen über den Versicherungsschutz führen.

Welche Sicherheitsmaßnahmen benötigt ein typisches kleines Unternehmen?

Nicht jedes kleine Unternehmen benötigt sofort ein vollständig zertifiziertes Informationssicherheitsmanagementsystem.

Es benötigt jedoch eine belastbare und dokumentierte Grundabsicherung.

Eine solche Basis umfasst typischerweise:

• vollständige Übersicht über Geräte, Benutzer und Dienste
• geregeltes Patchmanagement
• Endpoint-Security mit zentraler Überwachung
• Mehrfaktor-Authentifizierung für Cloud- und Fernzugriffe
• getrennte Administratorkonten
• regelmäßige, automatisierte und überwachte Backups
• getrennte oder unveränderbare Sicherungskopien
• regelmäßige Wiederherstellungstests
• Firewall und sichere Netzwerkkonfiguration
• Schutz von Microsoft 365 und E-Mail-Konten
• geregelte Benutzer- und Berechtigungsverwaltung
• Monitoring sicherheitsrelevanter Ereignisse
• Notfallkontakte und klarer Eskalationsweg
• verständliche Schulung der Beschäftigten
• nachvollziehbare Dokumentation

Welche Maßnahmen zusätzlich erforderlich sind, ergibt sich aus dem tatsächlichen Schutzbedarf des Unternehmens.

Dokumentation ist Teil der Sicherheitsmaßnahme

Dokumentation wird häufig als bürokratischer Zusatz betrachtet. Tatsächlich ist sie ein wesentlicher Bestandteil eines funktionierenden Sicherheitsbetriebs.

Ohne Dokumentation ist häufig unklar:

• welche Systeme vorhanden sind
• welche Daten verarbeitet werden
• wer welche Rechte besitzt
• welche Maßnahmen umgesetzt wurden
• wer für eine Aufgabe verantwortlich ist
• wann eine Prüfung zuletzt stattgefunden hat
• welche Risiken bewusst akzeptiert wurden
• wie im Notfall vorzugehen ist

Eine gute Dokumentation muss nicht unnötig umfangreich sein.

Sie muss aktuell, verständlich, auffindbar und für die tatsächlichen Betriebsabläufe nutzbar sein.

Wie Unternehmen ihre Pflichten strukturiert umsetzen können

Die Umsetzung sollte nicht mit dem Kauf einzelner Sicherheitsprodukte beginnen.

Sinnvoll ist ein schrittweises Vorgehen:

1. Anwendbare Anforderungen feststellen: DSGVO, NIS-2, Branchenvorgaben und vertragliche Pflichten prüfen.
2. Systeme und Daten erfassen: Geräte, Benutzer, Cloud-Dienste, Anwendungen und externe Dienstleister dokumentieren.
3. Risiken bewerten: Kritische Prozesse, mögliche Ausfälle und besonders schützenswerte Daten bestimmen.
4. Bestehende Maßnahmen prüfen: Schutzlücken bei Identitäten, Endgeräten, Netzwerk, Backup und Monitoring feststellen.
5. Maßnahmen priorisieren: Zuerst die Risiken behandeln, die einen hohen Schaden verursachen können.
6. Zuständigkeiten festlegen: Verantwortliche Personen, Dienstleister und Eskalationswege benennen.
7. Nachweise aufbauen: Entscheidungen, Kontrollen und technische Maßnahmen nachvollziehbar dokumentieren.
8. Wirksamkeit überwachen: Sicherheitsmaßnahmen regelmäßig kontrollieren und an Veränderungen anpassen.

Ziel ist kein einmaliges Projekt, sondern ein dauerhaft funktionierender Sicherheitsprozess.

Informationssicherheit für Unternehmen im Ruhrgebiet

Unternehmen im Ruhrgebiet sind in hohem Maß von funktionierenden IT-Systemen, Cloud-Diensten, E-Mail-Kommunikation und digitalen Lieferketten abhängig.

Ob in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Castrop-Rauxel, Hattingen, Duisburg, Oberhausen oder Mülheim an der Ruhr: Auch kleinere Unternehmen, Praxen, Kanzleien, Handwerksbetriebe und soziale Einrichtungen verarbeiten schützenswerte Daten und betreiben geschäftskritische Systeme.

Viele dieser Unternehmen verfügen jedoch nicht über eine eigene Informationssicherheitsabteilung.

Gesetzliche Pflichten müssen deshalb in den vorhandenen IT-Betrieb eingebunden werden, ohne daraus einen für das Unternehmen unverhältnismäßigen Sicherheitsapparat zu machen.

Entscheidend sind klare Prioritäten, nachvollziehbare Zuständigkeiten und ein Sicherheitsniveau, das regelmäßig überprüft und praktisch aufrechterhalten wird.

Fazit: Informationssicherheit ist eine unternehmerische Pflicht

Unternehmen sind verpflichtet, personenbezogene Daten, Geschäftsgeheimnisse und betriebsnotwendige Systeme angemessen zu schützen.

Welche konkreten Anforderungen gelten, hängt von Branche, Unternehmensgröße, Datenarten und angebotenen Leistungen ab.

Die DSGVO betrifft nahezu jedes Unternehmen. NIS-2 erweitert die Anforderungen für wichtige und besonders wichtige Einrichtungen erheblich.

DORA, der Cyber Resilience Act und branchenspezifische Regelungen schaffen zusätzliche Pflichten für bestimmte Unternehmen.

Die Geschäftsleitung muss dafür sorgen, dass wesentliche Cyberrisiken erkannt, bewertet und angemessen behandelt werden.

Bei Pflichtverletzungen können Bußgelder, Schadenersatz, Vertragsansprüche und persönliche Haftungsrisiken entstehen.

Informationssicherheit ist nicht erfüllt, wenn Sicherheitssoftware gekauft wurde. Sie ist erfüllt, wenn Risiken, Maßnahmen, Zuständigkeiten, Überwachung und Reaktion dauerhaft zusammenarbeiten.

Unternehmen benötigen deshalb keinen unübersichtlichen Katalog aus Einzelprodukten, sondern einen nachvollziehbaren und bezahlbaren Sicherheitsbetrieb.

Wichtiger Hinweis

Dieser Beitrag gibt einen allgemeinen Überblick über gesetzliche und organisatorische Anforderungen im Bereich Informationssicherheit und Datenschutz.

Er stellt keine Rechtsberatung dar und ersetzt keine individuelle Prüfung durch einen Datenschutzbeauftragten, Rechtsanwalt, Wirtschaftsprüfer oder eine zuständige Aufsichtsbehörde.

Welche Vorschriften und Pflichten für ein konkretes Unternehmen gelten, hängt unter anderem von dessen Rechtsform, Größe, Branche, Tätigkeit, Kundenstruktur, Datenverarbeitung und Einbindung in Lieferketten ab.

Technische und organisatorische Maßnahmen müssen regelmäßig überprüft und an neue Risiken, gesetzliche Änderungen und den Stand der Technik angepasst werden.