Eine Betriebsplattform, die Arbeitsschutz, Prüffristen und Betriebsabläufe dokumentiert, verarbeitet Daten mit Aussagekraft über Personen und Unternehmen. IT-Leitung und Datenschutzbeauftragte stellen deshalb vor der Einführung dieselben Fragen. Dieser Beitrag ordnet sie und nennt, welche Antworten belegbar sein sollten.
Wo liegen die Daten?
Hosting und Rechenzentrumsstandort in Deutschland sind die Grundlage, aber nicht das Ende der Frage. Entscheidend ist die Mandantentrennung: eine eigene Datenbankinstanz je Kunde statt eines gemeinsam genutzten Mandanten. Dazu gehören regelmäßige automatische Sicherung, Aktualisierungen ohne Betriebsunterbrechung, automatisierte Systemüberwachung und ein definierter Ablauf bei Sicherheitsvorfällen. Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO regelt die Verantwortung.
Wer darf was sehen?
Ein Sicherheitskonzept, das nur Administrator und Nicht-Administrator kennt, ist keins. Feingranulare Berechtigungen, gebündelt zu Rollen nach dem Prinzip der minimalen Rechte, sind der Maßstab. Wer eine Berechtigung nicht hat, sieht den Menüpunkt nicht, öffnet die Seite nicht und erhält auch über die Schnittstelle keine Daten. Mehrfaktor-Anmeldung je Rolle, Sperre nach Fehlversuchen und widerrufbare Sitzungen ergänzen das Konzept.
Wer hat was geändert?
Die Antwort darauf gehört in die Datenbank, nicht in E-Mails. Ein Audit-Log protokolliert jede Datenänderung mit Person, Zeitpunkt, Wert vorher und Wert nachher, filterbar nach Bereich, Datenart, Änderungsart und Zeitraum. Eine getrennte Prozesshistorie zeigt Eingaben und Dateien je Vorgang. Auch Schnittstellenanfragen werden mit Nutzer und Zeitpunkt protokolliert.
Wie wird die Anwendung geschützt?
Verschlüsselte Übertragung für alle Verbindungen, Schutz gegen Einbetten in fremde Seiten, Inhaltssicherheitsregeln, Zugriff nur von freigegebenen Domains, whitelist-basierte Eingabeprüfung, Begrenzung der Anfragefrequenz auf sicherheitsrelevanten Zugängen, geschützte Downloads über Einmal-Freigaben und regelmäßige Aktualisierung eingesetzter Abhängigkeiten. Diese Liste sollte ein Anbieter schriftlich vorlegen können.
Ist das geprüft?
Ein unabhängiger Penetrationstest ist der belastbarste Nachweis, den ein Anbieter für seine Anwendung liefern kann. Das BSI beschreibt in seinem Praxis-Leitfaden, wie solche Tests geplant und bewertet werden. Prüfbericht und Zertifikat sollten auf Anfrage bereitstehen. Ebenso wichtig ist, was ein Anbieter nicht behauptet: Zertifizierungen nach ISO 27001 oder SOC 2, garantierte Verfügbarkeiten oder Wiederherstellungszeiten gehören nur auf eine Website, wenn Nachweise vorliegen.
Was das System bewusst nicht tut
Für Betriebsrat und Datenschutzbeauftragte zählt neben dem Funktionsumfang, was ausgeschlossen ist: keine Ortung von Mitarbeitenden, keine Zeiterfassung, keine Leistungsmessung, keine Verhaltensanalyse, keine automatisierte Einzelentscheidung im Sinne von Artikel 22 DSGVO. Solche Festlegungen gehören in den Systementwurf, nicht in eine Einstellung, die sich umschalten lässt. Besonders schützenswerte Personaldaten sollten in einem technisch getrennten System liegen.
Prüfliste für die IT
- Rechenzentrumsstandort und eigene Datenbank je Kunde
- Auftragsverarbeitungsvertrag und technisch-organisatorische Maßnahmen
- Rollen- und Berechtigungskonzept mit Mehrfaktor-Anmeldung
- Audit-Log mit Vorher-Nachher-Werten
- Penetrationstest mit Prüfbericht
- Schriftliche Liste dessen, was das System nicht tut
