DSGVO-konforme IT: Die 7 häufigsten technischen Lücken

Viele Unternehmen haben eine sorgfältig formulierte Datenschutzerklärung und einen Datenschutzbeauftragten – aber die technische Seite der DSGVO wird oft vernachlässigt. Dabei entstehen dort die größten Risiken.

Hier sind die sieben häufigsten technischen Lücken, die wir in unserer Praxis immer wieder antreffen.

1. Fehlende Verschlüsselung von Datenträgern

Laptops und mobile Geräte können gestohlen werden oder verloren gehen. Ohne Festplattenverschlüsselung sind alle darauf gespeicherten personenbezogenen Daten sofort lesbar. Windows BitLocker und macOS FileVault sind in modernen Betriebssystemen kostenlos enthalten – und trotzdem oft nicht aktiviert.

2. Keine Trennung von privaten und Unternehmensdaten

Wenn Mitarbeiter Unternehmens-E-Mails auf privaten Smartphones abrufen, ohne dass ein Mobile-Device-Management (MDM) eingesetzt wird, hat das Unternehmen keine Kontrolle über diese Daten. Im Fall einer Datenpanne ist nachzuweisen, wer auf welche Daten Zugriff hatte – das ist ohne MDM kaum möglich.

3. Veraltete Software mit bekannten Sicherheitslücken

Ungepatchte Software ist nicht nur ein Sicherheitsrisiko, sondern auch ein DSGVO-Problem. Artikel 32 der DSGVO verlangt „geeignete technische Maßnahmen", um personenbezogene Daten zu schützen. Wer bekannte Sicherheitslücken nicht schließt, kann dies schwer begründen.

4. Fehlende oder unzureichende Zugriffskontrolle

Wenn alle Mitarbeiter Zugriff auf alle Daten haben – weil „es so einfacher ist" – verletzt das das Prinzip der Datensparsamkeit und der Zugriffsbeschränkung. Jeder Nutzer sollte nur die Daten sehen, die er für seine Tätigkeit braucht. Das gilt auch für Administratoren.

5. Kein Löschkonzept für personenbezogene Daten

Die DSGVO verlangt, dass Daten gelöscht werden, wenn der Zweck ihrer Verarbeitung entfallen ist. In der Praxis haben die wenigsten Unternehmen ein dokumentiertes Löschkonzept. Daten werden gesammelt und nie wieder angefasst – was im Falle einer Anfrage oder Prüfung zum Problem wird.

6. Unsicheres Passwort-Management

Passwörter in Excel-Tabellen, Post-its am Monitor oder im Klartext per E-Mail verschickt – in diesen Fällen ist der Schutz personenbezogener Daten nicht gewährleistet. Ein zentrales Passwort-Management-System (z. B. Bitwarden oder KeePass) schafft hier Abhilfe.

7. Keine Protokollierung von Zugriffen auf sensible Daten

Wer hat wann auf welche personenbezogenen Daten zugegriffen? Diese Frage muss im Fall einer Datenpanne schnell beantwortet werden können. Ohne zentrale Protokollierung (Audit-Logs) ist das nahezu unmöglich.

Was ist zu tun?

DSGVO-konformes IT-Management ist kein Einmalprojekt, sondern ein laufender Prozess. Ein strukturierter IT-Sicherheits-Audit zeigt, wo die größten Lücken bestehen und welche Maßnahmen mit welchem Aufwand zu schließen sind.

SW-Systeme begleitet Unternehmen bei der Bestandsaufnahme und der strukturierten Umsetzung technischer DSGVO-Anforderungen – realistisch, pragmatisch und ohne unnötigen Aufwand.