Abschließbare Serverräume, Firewalls, Passwortregeln, Schulungen: Alles, was ein Unternehmen tut, um Daten zu schützen, fällt unter die technischen und organisatorischen Maßnahmen, kurz TOM. In dieser Lektion lernst du, wie sich Datenschutz und Datensicherheit unterscheiden, welche Maßnahmen physisch, technisch oder organisatorisch sind und was hinter Begriffen wie Authentisierung, Autorisierung und Pseudonymisierung steckt.
🛡️ Datenschutz vs. Datensicherheit
Die beiden Begriffe werden im Alltag oft vermischt, in der Prüfung musst du sie sauber trennen:
| Begriff | Was geschützt wird | Beispiel |
|---|---|---|
| Datensicherheit | Alle Arten von Daten, egal ob personenbezogen oder nicht | Backup der Konstruktionszeichnungen, Firewall vor dem Firmennetz |
| Datenschutz | Ausschließlich personenbezogene Daten wie Name, Adresse oder Bankdaten | Löschung von Kundendaten nach Vertragsende, Datenschutzerklärung |
👉 Merke: Datensicherheit ist das Werkzeug, Datenschutz das Ziel für personenbezogene Daten. Die DSGVO verlangt von Unternehmen TOMs, um beides zu gewährleisten.
🏗️ Physische Maßnahmen
Physische Maßnahmen schützen Räume, Geräte und Datenträger vor Zugriff, Diebstahl und Zerstörung:
- Mechanisch: abschließbare Türen und Schränke, Zugangskarten, Tresore für Datenträger
- Baulich: verstärkte Wände, Serverräume mit Brandschutz, Klimatisierung und Notstrom
- Personell: Sicherheitskräfte, Videoüberwachung, Eingangskontrollen und Besucherausweise
💻 Technische Maßnahmen
Technische Maßnahmen setzen direkt an der IT an: Firewalls, Virenschutz, Verschlüsselung von Datenträgern und Übertragungen, regelmäßige Updates.
Zwei Begriffspaare werden in der Prüfung gern verwechselt:
🔑 Zutrittskontrolle regelt, wer in Räume darf (Schlüssel, Zugangskarte). Zugangskontrolle regelt, wer IT-Systeme nutzen darf (Passwort, 2FA, Biometrie). Dazu kommt die Zugriffskontrolle: Wer darf innerhalb des Systems welche Daten lesen oder ändern?
| Begriff | Bedeutung | Beispiel |
|---|---|---|
| Authentisierung | Der Nutzer weist seine Identität nach | Eingabe von Benutzername und Passwort |
| Authentifizierung | Prüfung, ob die Identität bzw. ein Dokument echt ist | System prüft das Passwort; digitale Signatur belegt die Echtheit eines Dokuments |
| Autorisierung | Zuweisung der Rechte, die der Nutzer nach der Anmeldung hat | Sachbearbeiter darf Rechnungen lesen, aber nicht löschen |
Zwei Prinzipien für die Entwicklung sicherer Systeme: Security by Design (Sicherheit wird von Anfang an in die Software eingeplant) und Security by Default (die sicherste Einstellung ist die Voreinstellung).
📋 Organisatorische Maßnahmen
Organisatorische Maßnahmen regeln Abläufe und Verantwortlichkeiten:
- Sicherheitsrichtlinien, z. B. Passwortwechsel alle 90 Tage, Clean-Desk-Regel
- Schulungen und Sensibilisierung der Mitarbeitenden (z. B. gegen Phishing)
- Benutzerrollen und Rechtekonzepte (nur so viele Rechte wie nötig)
- Auftragsverarbeitungsverträge mit externen Dienstleistern, die Daten verarbeiten
- Backup-Strategien, etwa mit RAID-Systemen und regelmäßigen Sicherungen
- Notfallkonzept und regelmäßige Sicherheitsüberprüfungen
💡 Prüfungstipp: In Aufgaben sollst du oft eine Liste von Maßnahmen den Kategorien zuordnen. Frage dich: Braucht es ein Gerät oder Software (technisch), ein Schloss oder eine Wand (physisch) oder eine Regel bzw. Schulung (organisatorisch)?
🎭 Anonymisierung vs. Pseudonymisierung
- Anonymisierung: Die Daten werden so verändert, dass sie sich keiner Person mehr zuordnen lassen, auch nicht mit Zusatzwissen. Sie fallen dann nicht mehr unter die DSGVO.
- Pseudonymisierung: Der Name wird durch einen Alias oder eine Nummer ersetzt. Mit einer separat aufbewahrten Zuordnungstabelle lässt sich die Person wieder ermitteln. Pseudonymisierte Daten bleiben personenbezogen.
🧪 Typische Prüfungsfragen
- Erkläre den Unterschied zwischen Datenschutz und Datensicherheit.
- Nenne je zwei technische und zwei organisatorische Maßnahmen.
- Worin unterscheiden sich Zutrittskontrolle und Zugangskontrolle?
- Grenze Authentisierung, Authentifizierung und Autorisierung ab.
- Erkläre den Unterschied zwischen Anonymisierung und Pseudonymisierung.
🎯 Fazit
TOMs sind alle Maßnahmen, mit denen ein Unternehmen Daten schützt: physisch (Türen, Wände, Wachpersonal), technisch (Firewall, Verschlüsselung, Zugangskontrolle) und organisatorisch (Richtlinien, Schulungen, Backups, Notfallkonzept). Datenschutz betrifft nur personenbezogene Daten, Datensicherheit alle Daten. Merke dir außerdem die Unterschiede zwischen Zutritt, Zugang und Zugriff sowie zwischen Anonymisierung und Pseudonymisierung.
