Was sind technische und organisatorische Maßnahmen (TOM)?
TOM steht für Technische und organisatorische Maßnahmen.
TOM sind die technischen und organisatorischen Maßnahmen, mit denen ein Betrieb personenbezogene Daten vor Verlust, Veränderung und unbefugtem Zugriff schützt.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite4 Abschnitte
Einfach erklärt
Technische und organisatorische Maßnahmen, kurz TOM, sind alles, was Sie tun, damit personenbezogene Daten nicht verloren gehen, verändert werden oder in falsche Hände geraten. Technisch sind das etwa Passwörter, Verschlüsselung, Backups und Updates. Organisatorisch sind es Regeln und Abläufe: wer auf die Lohnakten zugreifen darf, wer einen Schlüssel zum Büro hat und was beim Austritt eines Mitarbeiters passiert. Wie beim Schutz eines Hauses gehören Schloss und Alarmanlage ebenso dazu wie die Regel, wer einen Schlüssel bekommt.
Wie viel genug ist
Die DSGVO schreibt keine feste Liste vor. Art. 32 verlangt einen Schutz, der zum Risiko passt. Eine Kundenkartei braucht weniger Aufwand als die Gesundheitsdaten einer Arztpraxis. Ausdrücklich genannt werden Verschlüsselung, die dauerhafte Sicherheit der Systeme, die rasche Wiederherstellung nach einem Ausfall und die regelmäßige Überprüfung, ob die Maßnahmen wirken.
Wo TOM aufgeschrieben werden
TOM begegnen Ihnen an zwei Stellen: in Ihrem eigenen Verzeichnis von Verarbeitungstätigkeiten und als Anlage zu jedem AVV Ihrer Dienstleister. Dort beschreibt der Dienstleister, wie er Ihre Daten schützt.
Was Sie tun können
Schreiben Sie auf, was es schon gibt, und prüfen Sie einmal im Jahr, ob es noch stimmt. Besonders wichtig ist der Test, ob sich ein Backup wirklich zurückspielen lässt. Die technischen Punkte beschreibt Ihr IT-Dienstleister. Die organisatorischen Regeln legen Sie selbst fest.
Einordnung: Welches Schutzniveau für Ihre Daten angemessen ist, bewerten Sie am besten gemeinsam mit Ihrem Datenschutzbeauftragten.
Anforderungen nach Art. 32
Art. 32 Abs. 1 DSGVO verlangt eine Abwägung: Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos. Genannt werden unter anderem:
- lit. a: Pseudonymisierung und Verschlüsselung
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer
- lit. c: rasche Wiederherstellung von Verfügbarkeit und Zugang nach einem physischen oder technischen Zwischenfall
- lit. d: ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit
Abs. 2 nennt die Risiken, gegen die geschützt wird: Vernichtung, Verlust, Veränderung, unbefugte Offenlegung und unbefugter Zugang. Genehmigte Verhaltensregeln nach Art. 40 oder Zertifizierungsverfahren nach Art. 42 können als Anhaltspunkt für den Nachweis dienen (Abs. 3).
Methode und Kataloge
Die Datenschutzkonferenz ordnet die Anforderungen im Standard-Datenschutzmodell (SDM, Version 3.1, beschlossen am 14. Mai 2024) sieben Gewährleistungszielen zu: Datenminimierung, Verfügbarkeit, Integrität, Vertraulichkeit, Transparenz, Nichtverkettung und Intervenierbarkeit. Konkrete Sicherheitsmaßnahmen beschreiben das IT-Grundschutz-Kompendium des BSI oder Anhang A der ISO/IEC 27001.
Beispiel einer TOM-Anlage, gegliedert nach Art. 32:
lit. a Verschlüsselung Datenträger der Server verschlüsselt, Transport nur TLS 1.2 und 1.3
lit. b Zugriff Rollenkonzept, Zwei-Faktor-Anmeldung für alle Administratorkonten
lit. b Belastbarkeit Monitoring mit Alarmierung, Sicherheitsupdates binnen 14 Tagen
lit. c Wiederherstellung tägliches Backup an zweitem Standort, Restore-Test vierteljährlich
lit. d Überprüfung jährliche Prüfung dieser Anlage, Ergebnis mit Datum protokolliert
Typische Fehler
- Kopierte Anlage. Die TOM beschreiben ein Musterunternehmen, nicht die tatsächlichen Systeme.
- Nur die acht alten Kontrollen. Die Gliederung nach der Anlage zu § 9 BDSG in der bis Mai 2018 geltenden Fassung (Zutritt, Zugang, Zugriff, Weitergabe, Eingabe, Auftrag, Verfügbarkeit, Trennung) nennt Belastbarkeit, Wiederherstellung und regelmäßige Überprüfung nicht ausdrücklich.
- Wiederherstellung nie getestet. lit. c verlangt die Fähigkeit zur Wiederherstellung, nicht nur ein Backup.
- Kein Überprüfungsverfahren. Ohne Datum und Ergebnis lässt sich lit. d nicht belegen.
- Veralteter Stand der Technik. TLS 1.0 und 1.1 sind seit RFC 8996 abgekündigt. Fernzugänge ohne zweiten Faktor passen ebenfalls nicht mehr dazu.
Prüfen
Einzelne Angaben der Anlage lassen sich von außen nachprüfen, etwa welche TLS-Versionen ein Server annimmt:
nmap --script ssl-enum-ciphers -p 443 ihre-firma.de
In der Ausgabe dürfen TLSv1.0 und TLSv1.1 nicht auftauchen. Einen Überblick über Mail, Domain und Website gibt der IT-Sicherheitscheck.