Good Practice bei technischen und organisatorischen Maßnahmen Generischer Ansatz nach Art. 32 DS-GVO zur Sicherheit
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Bayerisches Landesamt für
Datenschutzaufsicht
Good Practice bei technischen und
organisatorischen Maßnahmen
Generischer Ansatz nach Art. 32 DS-GVO zur Sicherheit
Stand: 13. Oktober 2020
Ziel und Inhalt dieses Papiers
Die DS-GVO fordert von Verantwortlichen und Auftragsverarbeitern in Art. 32 DS-GVO ein Schutzniveau, das dem Risiko
für die Rechte und Freiheiten natürlicher Personen angemessenen ist. Dabei sollen zur Gewährleistung der Sicherheit
der insbesondere die Risiken berücksichtigt werden, die aus einer Verletzung der Verfügbarkeit, Vertraulichkeit und
Integrität der personenbezogenen Daten, der an deren Verarbeitung beteiligten IT-Systeme, Dienste und Fachprozesse
hervorgehen können. Ziel ist es, diese Risiken einzudämmen, indem wirksame technische und organisatorische Maß-
nahmen (TOM) umgesetzt werden.
Da die DS-GVO technikneutral formuliert wurde, finden sich darin keine konkreten Maßnahmen, die Schritt für Schritt
abgearbeitet werden können. Stattdessen steht es grundsätzlich jedem Verantwortlichen frei, selbst diejenigen TOM
auszuwählen, die passend zu der eigenen Art der Verarbeitung und Unternehmensgröße sind, sofern damit ein wirksa-
mes angemessenes Schutzniveau erreicht werden kann.
Die in diesem Papier dargestellten TOM stellen keinesfalls einen Anspruch auf Vollständigkeit dar, sondern sollen als
Empfehlung eines gelebten Good-Practice verstanden werden. Dies bedeutet, dass nicht alle genannten Maßnahmen –
auch unter Berücksichtigung der Implementierungskosten – zwangsläufig umgesetzt werden müssen, sondern vielmehr
jeder Verantwortlicher im eigenen Betrieb festzustellen hat, welche der Kriterien für die eigene Anwendung relevant
und welche dagegen über dieses Papier hinaus weiter zu ergänzen sind, um den gesetzlichen Vorgaben zu genügen.
Diese Checkliste dient deshalb insbesondere dazu, kleinen und mittleren Unternehmen eine Auswahl an TOM anzubie-
ten, die bei geläufigen Verarbeitungstätigkeiten innerhalb eines Betriebs verwendet werden können. Entsprechend wer-
den häufig in der Praxis adressierte Punkte behandelt wie bauliche Schutzmaßnahmen, Einsatz von mobilen Endgeräten,
internetfähige Arbeitsplatzumgebung und Sensibilisierung von Mitarbeitern – dies entspricht einem generischen Ansatz
bei IT-gestützten Datenverarbeitungen. Spezialisierte Anwendungen wie vernetzte Fahrzeuge, künstliche Intelligenz o-
der Cloud-Computing-Services würden dagegen deutlich spezifischere und teils abweichende Maßnahmen benötigen.
Das Abstraktionsniveau der Maßnahmen dieser Liste unterscheidet sich insgesamt sehr stark – teilweise sind z. B. sehr
wirksame technische Einstellungen bei Systemen im Detail aufgeführt, teilweise auch grundsätzliches Vorgehen auf
Konzeptebene. Zur Auswahl von Auftragsverarbeitern nach Art. 28 DS-GVO sind diese Kriterien nur bedingt geeignet.
Manche Punkte könnten von IT-Dienstleistern bspw. aus Sicherheitsgründen nicht im Detail veröffentlicht werden. Zu-
künftige Zertifizierungen nach Art. 42 DS-GVO werden daher die daraus resultierenden praktischen Herausforderungen
der Wirksamkeitsprüfung bei Auftragsverarbeitungen schließen.
Von der Struktur der Gliederung dieses Papier findet eine starke Orientierung an der Veröffentlichung zur Sicherheit
personenbezogener Daten der französischen Datenschutzaufsichtsbehörde statt. Diesen Ansatz, der sich vom Prinzip
auch in internationalen Normen zur Informationssicherheit wiederfindet, betrachten wir gerade für klassische Verarbei-
tungen bei kleinen und mittleren Unternehmen als einen möglichen und interessanten Weg. Hinweisen möchten wir
an dieser Stelle auf weitere Maßnahmen des technischen Datenschutzes zur Umsetzung einer Risikoeindämmung des
Art. 25 Abs.1 DS-GVO (Datenschutz durch Technikgestaltung), bei denen die TOM zur Sicherheit der Verarbeitung nach
Art. 32 DS-GVO nur eine Teilmenge darstellen. Eine weitere Checkliste mit „Privacy-by-Design“-Maßnahmen ist geplant.
Das Dokument ist trotz seines Umfangs nicht abschließend und soll mit der Zeit fortlaufend weiterentwickelt werden.
Als geeignete Basis hierfür dienen auch Veröffentlichungen anderer Behörden und Institutionen, die wir gerne an dieser
Stelle referenzieren.
Verweise:
Security of Personal Data, CNIL (Frankreich): www.cnil.fr/en/new-guide-regarding-security-personal-data
Handbook on Security of Personal Data Processing, ENISA (EU): www.enisa.europa.eu/publications/handbook-
on-security-of-personal-data-processing
IT-Grundschutz-Kompendium, BSI: www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/
itgrundschutzKompendium_node.html
Checklisten zu verschiedenen Schwerpunkten, BayLDA: www.lda.bayern.de/de/checklisten.html
ISO/IEC 27002:2019
Seite 1 von 8Bayerisches Landesamt für
Datenschutzaufsicht
Selbst-Check: Sicherheit der Verarbeitung nach Art. 32 DS-GVO
1 Management und Organisation Klare Regelungen zum Umgang mit Besuchern (z. B. Beglei-
tung, Sicherheitszonen, Besucherausweise, Protokollierung,
Mangelhafte Sicherheitsstrukturen in einer Organisation Zuständiger Mitarbeiter für Besucher) als Bestandteil des
können den Betriebsablauf erheblich gefährden. Konzepts
Bestehende Fachkompetenzen sind daher zu nutzen. Gelebte Regelungen zum Umgang auch mit externen
Dabei ist nicht nur der IT-Verantwortliche, sondern auch Dienstleistern (z. B. bei Werkverträge, Handwerker, Wartung
der Datenschutzbeauftragte (DSB) im Prozess der von Systemen) – wie Verschwiegenheitserklärung, persönli-
Umsetzung von Sicherheitsanforderungen einzubinden. che Begleitung in Sicherheitszonen oder Protokollierung
Schaffung von verschiedenen Sicherheitszonen (z. B. Besu-
Eine geeignete Organisationstruktur für Informationssicher-
cherbesprechungen, Serverräume, Arbeitsplätze, For-
heit ist vorhanden und die Informationssicherheit ist in die
schungsbereich)
organisationsweiten Prozesse und Abläufe integriert
Bei Sicherheitszonen: Aktuelle Übersicht zur Berechtigungs-
Sicherheitsricht- und -leitlinien sind definiert, von der Ge-
verwaltung (Welcher Mitarbeiter darf in welche Zone?)
schäftsleitung genehmigt und dem Personal kommuniziert
Bei Sicherheitszonen: Zugang zu Sicherheitszonen mit
Die Rollen der einzelnen Mitarbeiter im Sicherheitsprozess
geeigneter Technik begrenzen (über Schlüsseln/Chipkarten,
sind eindeutig festgelegt
ggf. auch weiteren Faktoren)
Regelmäßige Überprüfung der Wirksamkeit der technischen
Bei Sicherheitszonen: Bei Zonenübergang selbstschließende
und organisatorischen Maßnahmen nach dem PDCA-Zyklus
Türen einsetzen
(Plan-Do-Check-Act)
Bei Sicherheitszonen: Ggf. Beschilderung, welche Zone nicht
Konzepte und Dokumentationen im Sicherheitsumfeld
betreten werden soll/darf
werden regelmäßig überprüft und aktuell gehalten
Sichere Schließsysteme samt dokumentierter Schlüsselver-
Je nach Unternehmensgröße: Einsatz eines geeigneten
waltung
Informationssicherheitsmanagementsystem (ISMS), z. B.
nach ISO/IEC 27001, BSI-Standards oder ISIS12 Es besteht ein Konzept zum Brandschutzkonzept
Die Rollen und Verantwortlichkeiten im Bereich der Sicher- Verwendung von Feuer-/Rauchmeldeanlagen (im Rahmen
heit sind im eigenen Betrieb bekannt und besetzt (u. a. des Brandschutzkonzepts)
Informationssicherheitsbeauftragter (ISB), IT-Leiter, Daten- Einsatz von automatischen Löschsystemen in Serverräumen
schutzbeauftragter (DSB)) (z. B. CO2-Löschung) unter Berücksichtigung von Arbeits-
Konsequente Einbindung des DSB bei Sicherheitsfragen schutzvorschriften
Ausreichende fachliche Qualifikation des DSB für sicherheits- Feuerhemmende Schränke/Tresore zur Lagerung essentieller
relevante Fragestellungen und Möglichkeiten zur Komponenten (z. B. Backup-Bänder, wichtige Originaldoku-
Fortbildung für dieses Thema mente)
Durchführung von regelmäßigen Audits des DSB nach Das Gebäude (z. B. Wände, Fenster) und die Infrastruktur
Art. 32 DS-GVO zur Sicherheit der Verarbeitung (z. B. Leitungen, Gefahrenmeldeanlagen) werden regelmäßig
geprüft und gewartet
Kenntnis der zuständigen Datenschutzaufsichtsbehörde
sowie Wissen über die Meldeverpflichtungen nach Art. 33 Umzäunung des Betriebsgeländes
und 34 DS-GVO (Verletzung der Sicherheit) Stabile, einbruchshemmende Fenster und Türen im EG (z. B.
Vorhandensein von Eskalationsprozessen bei Sicherheitsver- nach DIN EN 1627)
letzungen (Wer ist wann wie zu informieren?), u. a. im Not- Einsatz von Alarmanlagen zur Einbruchserkennung, insbe-
fallmanagement sondere außerhalb der Arbeitszeit
Konsequente Dokumentation bei Sicherheitsvorkommnissen Einsatz von Sicherheitspersonal (ggf. extern)
(Security Reporting)
Einsatz von Videoüberwachungssystemen unter
Aktive Unterstützung der Zusammenarbeit des DSB mit dem Berücksichtigung datenschutzrechtlicher Anforderungen
ISB durch die Unternehmensleitung (Monitoring des Zugangsschutzes)
Erkenntnisse über (neue) digitale Bedrohungen sind zu sam- Ausreichende Klimatisierung von Serverräumen
meln und potentielle Auswirkungen auf den eigenen Betrieb
Keine (zu öffnenden) Fenster in Serverräumen
abzuleiten
Einsatz von Anlagen zur Sicherstellung der Stromversorgung
von Serversystemen (unterbrechungsfreie Stromversorgung
2 Physikalische Sicherheit der Infrastruktur (USV)), insbesondere bei kurzfristigen Stromausfällen oder
Schwankungen
Der persönliche Zugang zu IT-Systemen und personen-
Elementargefahren vorbeugen (insb. Feuer, Rauch, Erschüt-
bezogenen Daten muss Unbefugten erschwert werden.
terungen, chemische Reaktionen, Überschwemmungen,
Ebenso sind gravierende Schäden durch (Natur-)Ereig-
Stromausfälle, Explosionen und Anschläge/Vandalismus)
nisse wie Feuer oder Wasser bestmöglich zu verhindern.
Risiken durch Überflutung/Starkregen prüfen, insbesondere
Es besteht ein umfassendes Gesamtkonzept zur Gebäudeab- bei Serverräumen im Keller oder anderen gefährdeten Berei-
sicherung im Allgemeinen (z. B. Brandschutz, Zutrittsbe- chen
schränkung und -kontrolle)
Es besteht ein Konzept zu Zutrittsregelungen und zur physi-
schen Zugangskontrolle (Perimeterschutz)
Selbst-Check: Sicherheit der Verarbeitung nach Art. 32 DS-GVO Seite 2 von 8Bayerisches Landesamt für
Datenschutzaufsicht
3 Awareness der Mitarbeiter Vermeidung von Gruppenkennungen
Bei zwingender Nutzung von Gruppenkennungen: Einsatz
Beschäftige stehen mittlerweile verstärkt im Fokus von
von datenschutzkonformer Protokollierung der dazugehöri-
Cyberattacken. Mittels raffinierten Social Engineering gen Nutzeraktivitäten
Techniken sollen sie dazu verleitet werden, sicherheits-
Verwendung von starken Passwörtern und Veröffentlichung
kritische Aktionen auszuführen. Mitarbeiter müssen
einer Richtlinie dafür – z. B. mind. 10-tellig bei zufälligen
daher gerade in Sicherheitsfragen geschult sein, um komplexen Zeichen oder mind. 16-stellig bei einfacheren
solche Angriffe zu vereiteln. Zeichenfolgen ohne direkte Verwendung von üblichen
Wörtern
Das gesamte Personal der Organisation sollte eine ange-
messene Schulung für Informationssicherheit und Daten- Möglichst automatische Umsetzung der Passwortrichtlinie
schutz erhalten, soweit dies für die jeweilige Funktion für starke Passwörter in den Systemen mit Nutzerkennungen
relevant ist Verhinderung der Auswahl schwacher Passwörtern bei An-
Datenschutzschulungen für neue Beschäftigte zeitnah nach wendungen (z. B. über Richtlinien oder technisch erzwungen
Aufnahme des Beschäftigungsverhältnisses über das Identity Management System)
Regelmäßige Auffrischungsschulungen für bestehendes Ggf. Überprüfung der Regel, dass Passwörter nach festge-
Personal (z. B. einmal pro Jahr) legten Zeiträumen (z. B. 60 Tage) geändert werden müssen –
falls diese Passwörter „stark“ sind, kann ein anlassloses Pass-
Regelmäßige Informationen im Betrieb an alle über Neuig-
wortwechselintervall deutlich länger ausfallen (z. B. einmal
keiten zum Datenschutz und der IT-Sicherheit (z. B. per Mail,
pro Jahr)
Intranet, Kollaborationsplattform, Aushang)
Passwörter werden nach einem Sicherheitsvorfall, auch im
Relevante Richtlinien, z. B. zur E-Mail-/Internetnutzung, Um-
Verdacht, gesperrt und müssen vom Nutzer neu vergeben
gang mit Schadcodemeldungen, Einsatz von Verschlüsse-
werden
lungstechniken, werden aktuell gehalten und sind leicht
auffindbar (z. B. im Intranet) Bei erstmaligem Login eines neuen Nutzers oder Zurückset-
zung des Passworts durch IT (z. B. bei Vergessen des Pass-
Datenschutzhandbuch (welches z. B. auch Schulungsinhalte
worts) muss eine Passwortänderung durch den Nutzer
bereitstellt) ist zugänglich für alle betroffenen Mitarbeiter
erfolgen
Schulungsinhalte: Ausgewählte Mitarbeiter, die bei der Er-
Passwörter dürfen nicht weitergegeben werden (auch nicht
kennung von Sicherheitsverletzungen beteiligt sind (wie z. B.
an Kollegen, Vorgesetze oder die IT-Abteilung) – im Ausnah-
IT, DSB, Geschäftsführung, Führungskräfte, Geschäftsstelle,
mefall (z. B. längere Erkrankung) wird das Passwort durch die
ggf. Telefonzentrale oder Sekretariat) kennen die internen
IT zurückgesetzt und dieser Vorgang dokumentiert
Prozesse zum Umgang mit Vorfällen (u. a. Meldung nach
Art. 33 DS-GVO, Notfallplan) Unterrichtung der Beschäftigten, dass Passwörter nicht auf
Zettel oder Pinnwänden aufgezeichnet werden dürfen
Schulungsinhalte: Beschäftigten lernen kennen, wie
Cyberangriffe mittels Social-Engineering eingeleitet werden Keine Speicherung von Passwörtern im Browser ohne
(Hilfe zur Selbsthilfe) Sicherung durch ein Masterpasswort
Schulungsinhalte: Beschäftigten erfahren von den Gefahren Keine Mehrfachverwendung eines Passworts für verschie-
der E-Mail-Kommunikation, insbesondere bei verschlüssel- dene Dienste, sofern kein zentrales Identitätsmanagement
ten E-Mail-Anhängen (z. B. Zip-Datei mit Passwort) (z. B. Active Directory) verwendet wird
Schulungsinhalte: Beschäftigten erkennen gefälschte E-Mails Keine Passwörter per E-Mail übermitteln (z. B. für einen
(z. B. Absenderadressen, Auffälligkeiten, eingebettete Links) Firmenaccount zu einem Cloud-Dienst)
Sensibilisierung des Personals, das mit Externen wie z. B. Für lokale Admin-Konten besonders starke Passwörter (z. B.
Lieferanten interagiert, in Bezug auf angemessene Einsatzre- mind. 16-stellig, komplex und ohne übliche Wortbestand-
geln, Richtlinien, Prozesse und Verhalten (u. a. welche Daten teile sowie unterschiedlich für jeden PC)
dürfen in welcher Form weitergegeben werden, was kann Einsatz von Verfahren zur Zwei- oder Mehr-Faktor-Authenti-
sicherheitskritisch sein) fizierung bei Verarbeitungstätigkeiten mit hohem Risiko
Von Heimarbeit betroffenen Mitarbeiter werden die sichere (z. B. Chipkarten, USB-Sticks, Token)
Nutzung von Home Office Lösungen erläutert und spezifi- Soweit möglich konsequenter Einsatz von Verfahren zur
sche Gefahren aufgezeigt Zwei-Faktor-Authentifizierung für Administratorkonten bei
Anwendungen
Bei Zwei-Faktor-Authentifizierung ist der Einsatz von
4 Authentifizierung
biometrischen Merkmalen (z. B. Fingerprint) bei zentralen
Digitale Zugangsbeschränkungen helfen im Alltag. Systemen (z. B. Zugangssteuerung zu Sicherheitszone) nur in
Nutzer von IT-Systemen und Diensten müssen daher Ausnahmefällen anzuwenden – lokale Speicherung (z. B.
Ihre Zugangsberechtigung mit geeigneten Mitteln nach- iPhone) ist dagegen häufiger zu realisieren
weisen. Automatische Sperrung von Zugängen bei zu vielen Fehlver-
suchen durch falsches Passwort: Entweder zeitbasiert (eine
Einweisung aller Mitarbeiter in den Umgang mit Authentifi-
Stunde, sechs Stunden, 24 Stunden) oder komplett (Kontakt-
zierungsverfahren und -mechanismen
aufnahme mit IT notwendig)
Geregelter Prozess zur zentralen Verwaltung von Benutzeri-
Zeitverzögerung zwischen einzelnen Login-Versuchen (ins-
dentitäten, insbesondere zur Anlage (z. B. neuer Mitarbeiter),
besondere bei über das Internet erreichbaren Anwendun-
Änderung (z. B. Namenswechsel nach Heirat) und Löschung
gen) zur Erschwerung von automatischen Online-Angriffen
(z. B. Weggang Mitarbeiter)
Vergabe von eindeutigen Kennungen für jeden Nutzer
Selbst-Check: Sicherheit der Verarbeitung nach Art. 32 DS-GVO Seite 3 von 8Bayerisches Landesamt für
Datenschutzaufsicht
Darstellung der Anzahl der fehlgeschlagenen Logins für ei- Automatisches Sperren nach einer gewissen Zeitspanne der
nen Nutzer, der sich erfolgreich anmeldet. Ziel: Transparenz Inaktivität, falls manuelles Sperren bei Verlassen des Ein-
für stattgefundene Angriffe bzw. Angriffsversuche schaffen. flussbereichs nicht gewährleistet werden kann
Passwörter nicht im Klartext speichern sondern geeignete Blickschutzfolien bei potentieller unbefugter Einsichtnahme
kryptographische Verfahren einsetzen (z. B. bcrypt mit Salt) (z. B. im Kundenempfangsbereich) bei Monitoren und Note-
Regelungen zum automatischen Sperren von Passwörtern bookbildschirmen anbringen
nach einem Sicherheitsvorfall treffen (z. B. Passwort-Hash so Aktivierung einer Firewall, die unerwünschte Servicedienste
abändern, dass kein Klartextpasswort dazu besteht) auf dem Endgerät blockiert (z. B. versehentlich installierter
Falls Chipkarten als Mitarbeiterausweise eingesetzt werden, Webserver)
prüfen, ob diese für Standardauthentifizierungen (z. B. Verwendung einer Anti-Viren-Lösung bzw. eines Endpoint-
Betriebssystem-Login) verwendet werden können Protection-System mit regelmäßigen, mindestens tagesaktu-
Standard-Authentifizierungsinformationen durch Hersteller ellen Signatur-Updates und Regelungen, wie im Falle einer
bei Software sollten nach der Installation geändert werden Warnmeldung zu verfahren ist
Zentrale Erfassung von Schadcode-Alarmmeldungen durch
die IT-Administration
5 Rollen-/Rechtekonzept Ablaufplan der IT-Administration bei Schadcode-Befall
Nutzer sollen nur auf die personenbezogenen Daten zu- Konzept zum Patch Management vorhanden (u. a. Update-
greifen können, die für ihre Tätigkeit erforderlich sind. Plan mit Übersicht der eingesetzten Software)
Durch Einführung von Benutzerrechten zu bestimmten Regelmäßige Auswertung von Informationen zu Sicherheits-
Rollen (z. B. Buchhaltung, IT-Administration) werden un- lücken der eingesetzten Software wie Betriebssysteme,
terschiedliche Rechte an konkrete Personen zugewiesen. Office-Software und Fachanwendungen (z. B. durch E-Mail-
Newsletter, Herstellerveröffentlichungen, Fachmedien,
Erstellen von Rollenprofilen für die Beschäftigten unter Ein-
Sicherheitswarnungen)
beziehung der Einträge des Verzeichnisses der Verarbei-
tungstätigkeiten Automatisches Einspielen von Sicherheitsupdates des Be-
triebssystems, der installierten Software (z. B. PDF-Reader)
Über das Rollen-/Rechtekonzept den Zugang zu Informatio-
oder von Softwarebibliotheken (z. B. Java), sofern möglich
nen und Gebäuden/Bereichen gezielt steuern und regle-
mentieren Personenbezogene Daten sollten auf einem Speicherme-
dium gespeichert werden, das von dem Backup erfasst wird
Regelungen zur Verwaltung der Rollen (Zuweisung, Entzug)
(z. B. Netzlaufwerk)
an die Mitarbeiter etablieren
Einbindung von externen Geräten durch technische Maß-
Regelmäßige Überprüfung (z. B. einmal pro Jahr), ob die Zu-
nahmen auf das erforderliche Mindestmaß begrenzen (z. B.
weisung der Rollen den Vorgaben entspricht sowie, ob die
bei USB-Sticks, Smartphones, externe Festplatten)
Rollen noch den Anforderungen der Geschäftstätigkeit ent-
spricht Auto-Start von externen Medien (z. B. USB-Sticks) deaktivie-
ren
Keine Administratorkennungen für Nutzer, die keine admi-
nistrativen Tätigkeiten ausführen Fernwartung für Clients zu IT-Administrationszwecken aus-
schließlich über verschlüsselte Verbindungen nach Authenti-
Verschiedene administrative Rollen (z. B. Anlage neuer
fizierung durch den Administrator und Freigabe durch den
Benutzer, Durchführung von Backups, Konfiguration der
Nutzer
Firewall) für die IT-Administration erstellen
Nur Betriebssysteme und Software einsetzen, für die noch
Die Nutzung von Superuser (z. B. root unter Linux) soweit
Sicherheitsupdates zeitnah zur Verfügung gestellt werden
möglich nicht verwenden
Verhinderung der Ausführung von (aus dem Internet) herun-
Für Beschäftigte mit IT-Administrationsaufgaben zwei Be-
tergeladener Software, deren Quellen als unsicher gekenn-
nutzerkennungen einrichten: eine Administrationskennung
zeichnet werden
und eine normale Nutzerkennung (für nicht-administrative
Zwecke wie z. B. das Surfen im Internet) Der Zugang zu Websites sollte restriktiv verwaltet werden,
sodass das Risiko einer Kompromittierung z. B. durch Mal-
Regelung etablieren, dass nicht unter Nutzung von
ware verringert und der Zugriff auf nicht autorisierte Websi-
Administratorenrechten im Internet gesurft oder E-Mails
tes verhindert wird (z. B. über Web-Proxy mit aktuellen
gelesen/versendet werden
Sperrlisten)
Verhinderung der automatischen Ausführung von Program-
6 Endgeräte (Clients) men aus dem temporären Download-Verzeichnis des Inter-
netbrowsers
Die für die tägliche Arbeit genutzten Endgeräte der
Anwendungen sind an den Endgeräten möglichst ohne
Nutzer müssen dauerhaft abgesichert werden. Keine oder
Administratorrechte auszuführen
nur unzureichende Regelungen führen meist zu offenen
Prozess zur wirksamen Datenlöschung vor Vergabe eines
Schwachstellen auf Clientsystemen, von denen dann eine
Endgeräts an einen anderen Mitarbeiter aufsetzen
erhebliche Gefährdung für die gesamte Organisation
Ein Sicherheitskonzept für den Einsatz von Druckern, Kopie-
ausgehen kann.
ren und Multifunktionsgeräten ist vorhanden (z. B. keine un-
Eine Geräteverwaltung (Wer setzt welche Geräte in welchem erlaubte Einsicht in ausgedruckte Dokumente, ausreichender
Bereich ein?) ist vorhanden Schutz gespeicherter Informationen, ordnungsgemäße Ent-
sorgung)
Selbst-Check: Sicherheit der Verarbeitung nach Art. 32 DS-GVO Seite 4 von 8Bayerisches Landesamt für
Datenschutzaufsicht
7 Mobile Datenspeicher Geregelter Prozess zum zeitnahen Einspielen von Sicherheit-
supdates der Server – kritische Updates müssen unverzüg-
Der weit verbreitete Einsatz von USB-Datenträgern, Note- lich eingespielt werden
books und Smartphones macht Regelungen zur Nutzung Verwendung von eigenen Administrations-Endgeräten (über
und auch für den Verlustfall erforderlich. Ungeschützte dezidierte Netzwerkverbindung)
Speichermedien ermöglichen ansonsten Unbefugten
Soweit möglich konsequenter Einsatz von Verfahren zur
ohne großen Aufwand Zugriff auf sensible Daten. Zwei-Faktor-Authentifizierung bei Anwendungen, die dies
Einsatz starker Verschlüsselung der mobilen Endgeräte (z. B. insbesondere für Administratoren unterstützen
Festplattenverschlüsselung, Container-Lösungen) Deaktivierung/Deinstallation von Standard Server-Diensten,
Einsatz von Backup- und Synchronisierungsmechanismen die nicht benötigt werden (z. B. Webserver, Printserver)
zur Verhinderung eines größeren Datenverlusts bei Verlust Serverlokale Dienste über Firewall auf Servern vor Außenzu-
und Diebstahl griff blockieren
Bei Smartphones: Zugang ausschließlich nach Authentifizie- Weitere Härtungsmaßnahmen für das eingesetzte Serverbe-
rung (z. B. PIN, Passwort) – Länge der Kennung in Abhängig- triebssystem prüfen
keit von automatischen Sperr- und Löschfunktionen Versendung von Telemetriedaten an Hersteller deaktivieren,
Bei Smartphones: Einsatz von biometrischen Zugangsverfah- sofern diese nicht als erforderlich eingeschätzt werden
ren nur bei ausschließlich lokaler Speicherung der biometri-
schen Templates innerhalb eines Secure-Chips auf dem
Smartphone und bei personenbezogenen Daten mit keinem 9 Websites und Webanwendungen
hohen Risiko Webseiten und Webanwendungen stellen meist leicht
Bei Smartphones: Cloud-Speicher für Datenbackup erst nach zugängliche Plattformen für Angriffe dar, die mit bekann-
sorgfältiger Prüfung der datenschutzrechtlichen Anforderun- ten Best-Practice-Ansätzen meist gut abgesichert werden
gen einsetzen (auch Beschäftigtendatenschutz bei „Find my
können.
Phone“-Funktionen)
Bei Smartphones: Mobile Device Management Lösungen zur Verwendung des HTTPS-Protokolls nach Stand der Technik
Konfiguration und Verwaltung der Geräte, der installierten (TLS1.2 oder TLS1.3)
Apps sowie dem Auffinden/Löschen im Verlustfall Absicherung von Datenbanken auf dem Webserver mittels
Bei Smartphones: Nur sichere Quellen werden für die Instal- Firewalls
lation von Apps verwendet. Apps werden vorher getestet Fernzugang zu Webservern nur mit verschlüsselter Verbin-
und freigegeben dung und Zwei-Faktor-Authentifizierung (z. B. SSH mit
Regelungen prüfen, ob es ausreichend ist, bei Nutzung Client-Zertifikaten)
mobiler Arbeitsplätze (z. B. Notebook auf Dienstreise) auf Limitierung von Administrationsbereichen der Webanwen-
weniger Daten als innerhalb des internen Unternehmensnet- dungen auf bestimmte IP-Adressen (z. B. Unternehmens-
zes zugreifen zu können Gateway)
Diebstahlsicherungen (z. B. Anbringung von verschließbaren Nur geschulte bzw. kompetente Personen dürfen Administ-
Stahlkabeln) für Notebooks bei Bedarf zur Verfügung stellen rationstätigkeiten auf den Servern durchführen
Regelungen zur Privatnutzung bei Notebooks und Smart- Geregelter Prozess zur Information über Sicherheitsupdates
phones schaffen - Empfehlung: Keine Privatnutzung und zeitnahes Einspielen derselben, insbesondere bei gängi-
Die Mitarbeiter kennen die Regelungen bei Verlust eines gen Content-Management-Systemen (CMS)
mobilen Endgerätes, z. B. Verlustmeldung beim Unterneh- Durchführung von Sicherheitstests auf Webanwendungen
men und/oder Polizei nach Good-Practice-Vorgehen (z. B. OWASP Testing Guide)
Bei mobilen Datenträgern: Es gibt eine Richtlinie zum Keine Übertragung personenbezogener Daten (z. B. Mail-
sicheren Umgang mit mobilen Datenträgern. Die Mitarbeiter Adresse) per HTTP-GET-Request, da diese in den Webserver-
kennen diese Richtlinie und sind im Umgang mit mobilen Log-Dateien gespeichert werden und durch eingesetzte
Datenträgern geschult Website-Tracker ausgeleitet werden können
Bei mobilen Datenträgern: Sicheres Löschen der Datenträger Trennung von Webserver, Anwendungslogik und Datenhal-
vor und nach der Verwendung ist sichergestellt tung einer Webanwendung durch eigene Server, die in eine
geeignete Firewall-Architektur (z. B. DMZ – Demilitarisierte
Zone) eingebunden sind
8 Serversysteme Sperrung der Auffindung von Inhalten durch Suchmaschinen
Serversysteme müssen mit besonderer Sorgfalt (über robots.txt), sofern diese Inhalte nicht durch eine Such-
abgesichert werden, da Sicherheitsverletzungen dort maschine gefunden werden sollen
i. d. R. aufgrund der großen Menge personenbezogener
Daten enorme Auswirkungen haben können.
Nur kompetent geschulte Personen dürfen Administrations-
tätigkeiten auf den Servern durchführen
Verschiedene Administrationsrollen mit Rechten nach dem
Least-Privileg-Prinzip für unterschiedliche Administrations-
aufgaben (z. B. Softwareupdates, Konfiguration, Backup) ein-
setzen
Selbst-Check: Sicherheit der Verarbeitung nach Art. 32 DS-GVO Seite 5 von 8Bayerisches Landesamt für
Datenschutzaufsicht
10 Netzwerk 11 Archivierung
Angriffe über das Internet auf das eigene Netzwerk sind Archivdaten werden zwar für die tägliche Arbeit nicht
in vielen Organisationen möglich. Damit sich dadurch mehr benötigt, müssen aber mitunter aufgrund gesetzli-
z. B. kein Schadcode ausbreiten kann, ist die eigene Netz- cher Aufbewahrungsfristen eine bestimmte Zeit lang wei-
werkstruktur vor solchen negativen Fremdeinflüssen aktiv terhin aufbewahrt werden. Eine Absicherung der enthal-
zu schützen. tenen personenbezogenen Daten ist daher auch dann zu
gewährleisten.
Geeignete Netzwerksegmentierung durchführen: Restriktive
(physikalische) Trennung sensitiver Netze (z. B. medizinische Regelungen etablieren, welche Daten auf welcher Rechts-
Netze in Krankenhäusern oder Personalverwaltung) von Ver- grundlage aufbewahrt werden müssen und wie lange die
waltungsnetzen (mittels Firewall-Systemen) Aufbewahrungsfrist ist
Einsatz einer Firewall am zentralen Internetübergang Zugänge zu den Archivdateien festlegen: Dokumentieren,
Blockierung aller nicht benötigten Dienste (z. B. VoIP, Peer- Umsetzen und Prüfen
to-Peer, Telnet) Archivdaten müssen nach Ablauf der Aufbewahrungsfrist
Einsatz eines Web-Proxies über den alle HTTP(S)-Verbindun- wirksam gelöscht werden
gen gehen müssen Keine Archivierung auf Datenträgern, die für eine lange
Blockierung von HTTP(S)-Verbindungen abseits des Web- Speicherdauer ungeeignet sind (z. B. wiederbeschreibbare
Proxies – Ausnahmeregeln vermeiden DVDs)
Protokollierung und Blockierung von IOCs (Indicators of Keine Aufbewahrung von Archivdaten in Produktivdaten-
Compromise, meist URL und IP-Hashes) banken, sondern Überspielen von Archivdaten aus Produk-
tivsystemen in die Archivsysteme
Regelmäßige Aktualisierung der IOCs aus geeigneten Quel-
len Verschlüsselung von Archivdateien mit geeignetem Schlüs-
selmanagement: Entschlüsselungsschlüssel an mind. zwei
Einsatz geeigneter Firewall-Architekturen zur Absicherung
(örtlich) getrennten Stellen aufbewahren
rein interner Systeme (z. B. Arbeitsplatz, Drucker) zu den
über das Internet erreichbaren Servern (z. B. Mail-Server, Geeignete Datenformate für die Archivierung von Doku-
Web-Server, VPN-Endpunkt) - Gängig: Konzept einer DMZ menten wurden ausgewählt, damit eine langfristige Lesbar-
(Demilitarisierten Zone) keit der Daten gewährleistet ist
Einsatz von Funkzugängen per WLAN nur auf aktuellen
WLAN-Routern mit wirksamen Zugangsmechanismen (z. B.
12 Wartung durch Dienstleister
WPA-2 mit mind. 24-stelligem Passwort, WP3-Enterprise o-
der Einsatz eines Radius-Servers) Die Tätigkeiten von externen IT-Dienstleistern, insbeson-
Nutzung eines WLAN-Gastzugang ohne Zugangsmöglich- dere bei Wartung, müssen überwacht und dokumentiert
keit zum internen Netzwerk werden. Um eine ungewollte Datenweitergabe zu verhin-
Geregelter Prozess zur ordnungsmäßigen Konfiguration der dern, müssen personenbezogene Daten auf ausgemus-
Firewalls und regelmäßige Überprüfung der selbigen (z. B. terter Hardware sorgfältig gelöscht werden.
zu der Notwendigkeit von Freigaben)
Aufzeichnung aller Tätigkeiten von externen Dienstleistern
Protokollierungen auf Firewall-Ebene, um auch unbefugte
Verschwiegenheitsverpflichtung in den Dienstleistungsver-
Zugriffe zwischen den Netzen festzustellen und zu analysie-
trag aufnehmen oder von dem externen Mitarbeiter unter-
ren
zeichnen lassen
Automatische Benachrichtigungen an die IT-Administration
Internen Mitarbeiter festlegen, der die Tätigkeiten des
bei Verdacht auf unbefugte Verarbeitungen
externen Dienstleistern überwacht (bzw. ggf. begleitet) und
Regelmäßige Überprüfung der ordnungsgemäßen Konfigu- dokumentiert
ration der Firewall (z. B. mittels Portscans auf die eigenen IP-
Regelungen zur wirksamen Datenlöschung auf Hardware
Adressen von extern und periodischer Pentests)
(z. B. PCs, Drucker, Smartphones) schaffen, die vom Dienst-
Einsatz von ausreichend qualifiziertem Personal/Dienstleister leister oder Hersteller zurückgenommen werden (z. B. bei
zur Konfiguration der Firewall Defekten, Abschreibung)
Prüfung eingehender E-Mails mittels Anti-Malwareschutz Bei Einsatz von Fernwartungssoftware regelmäßig
Blockieren von gefährlichen Email-Anhängen (z. B. .exe, .doc, Sicherheitsupdates einspielen und auf Informationen über
.cmd) bekannte Schwachstellen oder Fehlkonfigurationen achten
Keine unverschlüsselten Protokolle (z. B. FTP, Telnet) ver- Fernwartung externer Dienstleister protokollieren und den
wenden Zugang nur auf das zu wartende System begrenzen – sofern
möglich, durch einen Mitarbeiter am Bildschirm des gewar-
Einsatz von Intrusion-Detection-Systemen (IDS) oder Intru-
teten Systems digital nachverfolgen
sion-Prevention-Systemen (IPS)
Anbindung von Niederlassungen oder Homeoffice über
stark verschlüsselte VPN-Verbindungen mit Client-Zertifi-
katsauthentifizierung
Selbst-Check: Sicherheit der Verarbeitung nach Art. 32 DS-GVO Seite 6 von 8Bayerisches Landesamt für
Datenschutzaufsicht
13 Protokollierung Verhinderung einer automatischen Ausführung von herun-
tergeladenen Programmen (z. B. Software Restriction Policy
Mittels geeigneter Protokollierungen können Sicherheits- und Sandboxing)
verletzungen nach Art. 33 DS-GVO auch im Nachhinein Deaktivierung von Windows Script Hosts (WSH) auf Clients
erkannt und aufgearbeitet werden. Ohne Auflistung von (sofern nicht zwingend benötigt) der Prüfung, ob die Ein-
Benutzeraktivitäten kann dagegen meist keine valide schränkung von Powershell-Skripten mit dem „Constrained-
Bewertung stattfinden, ob und in welchem Umfang ein Language Mode“ auf Windows-Clients sinnvoll durchführbar
unbefugter Datenzugriff erfolgte. ist der Nutzen eines Web-Proxys mit (tages-)aktuellen
Sperrlisten von Schadcode-Download-Seiten (IOCs)
Konzept zur Protokollierung von Benutzeraktivitäten, techni-
Notfallplan beinhaltet den Umgang mit Verschlüsselungs-
schen Systemereignissen, Fehlerzuständen und Internetakti-
trojanern – dieser liegt auch in Papierform vor
vitäten unter Berücksichtigung datenschutzrechtlicher An-
forderungen (u. a. auch Beschäftigtendatenschutz) erstellen Überprüfung der Backup- und Recovery-Strategie, die
sicherstellt, dass Backups durch die Ransomware nicht
Speicherung der Log-Dateien auf einem eigenen Log-Server
verschlüsselt werden können
Die Uhren der verwendeten Informationsverarbeitungssys-
teme (PCs, Notebooks, etc.) sollten mit geeigneten Zeitquel-
len synchronisiert werden, um eine gezielte Analyse bei 15 Kryptographie
Sicherheitsereignissen zu ermöglichen
Mittels kryptographischen Verfahren nach Stand der
Einhaltung der Zweckbindung der Log-Dateien muss sicher-
Technik kann die Vertraulichkeit, Integrität und Authenti-
gestellt werden: Die Personalvertretung ist ggf. einzubinden
zität von Daten, Systemen und Entitäten sichergestellt
Regelmäßige anlasslose Auswertung der Log-Dateien zur
werden.
Erkennung von ungewöhnlichen Einträgen – bevorzugt:
Automatische Heuristiken Regeln für die effektive Nutzung der Kryptographie, ein-
schließlich der Schlüsselverwaltung, sollten definiert werden
Mit Hash-Verfahren kann die Integrität von Daten, Software
14 Business Continuity und IT-Systemen erreicht werden – Stand der Technik sind
Die Verfügbarkeit der Geschäftsprozesse und der damit u. a SHA-256, SHA-512, SHA-3, bcrypt, Blowfish
verbundenen IT-Systeme und Daten ist zu gewährleisten. Passwortspeicherung nur dann mit „normalen“ Hashfunktio-
Im Rahmen des Backup-Konzepts ist daher ein geordne- nen (z. B. SHA-Klasse), wenn Passwort mind. 12 Stellig ist –
tes Zusammenspiel beim Wiedereinspielen gespeicherter Einsatz von Salt-Werten als Schutz vor Eintrag in verfügba-
Datenbestände wichtig, um im Notfall weiter betriebsfä- ren Datenbanken (Rainbow Tables)
hig zu bleiben. Passwortspeicherung mit Salt nach Stand der Technik mit
z. B. HMAC/SHA256, bcrypt, scrypt, PBKDF2
Erstellung eines Notfallplans zur Business Continuity: Rege-
lungen, welche Systeme in welcher Reihenfolge wieder in- Symmetrische Verschlüsselung nach Stand der Technik mit
standgesetzt werden, welche (externen) Personen/Dienst- z. B. AES-256 mit CBC/GCM Modus
leister im Notfall zu Rate gezogen werden können sowie Asymmetrische Verschlüsselung nach Stand der Technik mit
welche Meldeverpflichtungen es gibt z. B. RSA-2048 Bit (oder höher), EC-256 Bit (oder höher)
Der Notfallplan wird regelmäßig überprüft, z. B. durch Tests Wirksame Schlüsselverwaltung (Generierung, Ausgabe, Sper-
und Notfallübungen rung) ist bei Einsatz kryptographischer Verfahren essentiell
Vorhandensein eines schriftlich fixiertes Backup-Konzepts Schutz von geheimen Schlüsseln durch starke Passwörter
Durchführung von Backups nach der 3-2-1 Regel: 3 Daten- mit mindestens 16 Stellen. Bei hohem Risiko Einsatz von
speicherungen, 2 verschiedene Backupmedien (auch „Off- HSM (Hardware Security Modulen) prüfen
line“ wie Bandsicherungen) und 1 davon an einem externen SSL-Zertifikate bei vertrauenswürdigen Zertifizierungsstellen
Standort beschaffen
Geeignete physische Aufbewahrung von Backupmedien HTTPS nach Stand der Technik (z. B. mind. 2048-Bit RSA,
(z. B. Tresor, unterschiedliche Brandabschnitte, Gefahr von Perfect Forward Secrecy, HSTS, ggf. Client Zertifikate) einset-
Wasserschäden, …) zen
Regelmäßige Überprüfung, ob mindestens ein Backup Keine kryptographischen Verfahren mit bekannten Schwach-
täglich durchgeführt wird stellen oder zu kurzer Schlüssellänge mehr verwenden, z. B.
Regelmäßige Tests, ob alle relevanten Daten im Backup-Pro- DES, 3-DES, MD5, SHA-1 – falls Altsystem diese noch erfor-
zess enthalten sind und die Wiederherstellung funktioniert dern, ist eine individuelle Risikoanalyse durchzuführen
Mindestens ein Backup-System ist durch Schadcode nicht
verschlüsselbar, z. B. spezielles Datensicherungsverfahren
wie Pull-Verfahren des Backup-Systems oder Air-Gap-
getrennt (offline) nach Abschluss des Backup-Prozesses
Weitestgehender Verzicht auf Makros in Office-Dokumenten
im Betriebsalltag zum Schutz vor Ransomware
Zulassen ausschließlich signierter Microsoft Office-Makros
oder (regelmäßige) Information, bspw. einmal pro Jahr, der
Beschäftigten über Risiken einer Makro-Aktivierung (z. B. in
Microsoft Word)
Selbst-Check: Sicherheit der Verarbeitung nach Art. 32 DS-GVO Seite 7 von 8Bayerisches Landesamt für
Datenschutzaufsicht
16 Datentransfer Sicherstellung, dass ein fortlaufender Plan zur Überwachung,
Bewertung und Anwendung von Updates oder Konfigurati-
Sowohl der Datenaustausch mit anderen Stellen über onsänderungen für die gesamte Lebenszeit einer Software-
elektronische Kommunikationsnetze als auch der anwendung besteht
physikalische Transport von mobilen Datenträgern und
Dokumenten müssen derart abgesichert werden, dass die
Vertraulichkeit und Integrität der personenbezogenen 18 Auftragsverarbeiter
Daten nicht beeinträchtigt wird. Dienstleister, die personenbezogene Daten im Rahmen
einer Auftragsverarbeitung behandeln, benötigen
Regeln sollten für alle Arten von Datentransfers sowohl in-
nerhalb der Organisation als auch zwischen der Organisa-
geeignete Garantien, damit auch die Sicherheit der
tion und anderen Parteien bestehen Verarbeitung gewährleistet werden kann.
Insbesondere für Cloud-Dienste sind Verfahren zur Nutzung Nur Dienstleister verwenden, die die Garantien (in Form von
zu etablieren (inklusive einer möglichen Ausstiegsstrategie, Dokumenten) zur Verfügung stellen können
um Abhängigkeiten zu einzelnen Cloud-Diensten zu redu- Sicherheitsmaßnahmen nach Art. 32 DS-GVO als Bestandteil
zieren) eines AV-Vertrags müssen zur Dienstleistung passen – das
Verschlüsselung von mobilen Datenträgern (wie DVD, USB- Abstraktionsniveau der Maßnahmen ist mitunter leicht
Sticks, Festplatte) nach Stand der Technik höher als bei internen TOM-Listen eines Verantwortlichen
Bei E-Mail, Cloud-Plattformen: Transportverschlüsselung von Die Wirksamkeit der Garantien kann durch geeignete Zertifi-
personenbezogenen Daten nach Stand der Technik bei nor- zierungen (ansatzweise) nachgewiesen werden – Bsp.: ISO
malem Risiko 27001 bei Rechenzentrum mit Scope Physikalische Sicher-
Bei E-Mail, Cloud-Plattformen: Transportverschlüsselung und heit ist meist aussagekräftig
Inhaltsverschlüsselung von personenbezogenen Daten nach Eine Vor-Ort-Kontrolle durch den Verantwortlichen darf
Stand der Technik bei hohem Risiko nicht ausgeschlossen werden
Bei Messenger: Transport- und Inhaltsverschlüsselung der Der Auftragsverarbeiter darf keine weiteren Subdienstleister
Nachrichten und Dateien ohne Information des Auftraggebers aufnehmen – dieser hat
Sicherstellung der Integrität von personenbezogenen Daten dann ein Widerspruchsrecht
durch digitale Signaturen zumindest bei hohem Risiko Der Auftragsverarbeiter muss Prozesse bei der Erkennung
Bei HTTPS: Einsatz von Client-Zertifikaten zum Nachweis der von Datenschutzverletzungen haben und diese unverzüglich
Authentizität bei geschlossenem Nutzerkreis dem Verantwortlichen im Sinne der DS-GVO melden
Verschlüsselte Nutzung von DNS-Diensten (DNSSec, Transfers in unsichere Drittländer sind ggf. nur mit weiteren
DNS-over-TLS) prüfen technischen Schutzmaßnahmen, primär dem Einsatz von
kryptographischen Verfahren, möglich
Daten werden bei Auftragsverarbeitung (spätestens) nach
17 Entwicklung und Auswahl von Software Vertragsende wirksam gelöscht
Datenschutz und Sicherheit müssen frühzeitig bei der Angaben zur Löschmethodik können bei Bedarf zur
Entwicklung von eigenen Softwaresystemen bzw. bei der Verfügung gestellt werden
Auswahl von Softwareprodukten im eigenen Betrieb Regelmäßige Überprüfung des Auftragsverarbeiters bezüg-
berücksichtigt werden. lich Sicherheitspraktiken und Dienstleistungserbringung
Relevante Mitarbeiter sind darüber geschult, dass Security-
by-Design (Sicherstellung der Vertraulichkeit, Verfügbarkeit Aktuelle Version zum Download:
und Integrität) als Teilmenge von Data-Protection-By-De- www.lda.bayern.de/checkliste_tom
sign eine gesetzliche Datenschutzanforderung ist und Ein-
fluss auf zentrale Designentscheidungen (Produktauswahl,
zentral vs. dezentral, Pseudonymisierung,
Herausgeber und Kontakt:
Verschlüsselung, Land eines Dienstleisters) hat Bayerisches Landesamt für Datenschutzaufsicht
(BayLDA) | Promenade 18 | 91522 Ansbach
Es findet eine Trennung von Produktivsystem zu Entwick-
lungs-/Testsystem statt www.lda.bayern.de | Tel.: 0981 180093-100
poststelle@lda.bayern.de
Den Zugang zum Source-Code bei der Entwicklung von
Software beschränken
Keine personenbezogene Daten oder Zugangsdaten in der
Source-Code-Verwaltung ablegen
System- und Sicherheitstests, wie z. B. Code-Scan und
Penetrationstests, sollten durchgeführt werden
Ausreichende Testzyklen werden berücksichtigt
Fortlaufendes Inventarisieren der Versionen von Software
oder Komponenten (z. B. Frameworks, Bibliotheken) sowie
deren Abhängigkeiten
Standardsoftware und entsprechende Updates werden nur
aus vertrauenswürdigen Quellen bezogen
Selbst-Check: Sicherheit der Verarbeitung nach Art. 32 DS-GVO Seite 8 von 8Sie können auch lesen
