IT-Sicherheit DSGVO Mittelstand: Warum Datenhoheit und Technik wichtiger sind als Papierformulare

Viele Betriebe im Landkreis Ludwigsburg haben die DSGVO irgendwann abgehakt. Verzeichnis der Verarbeitungstätigkeiten, Datenschutzerklärung, Auftragsverarbeitungsverträge in der Ablage. Auf dem Papier ist die Pflicht dann erledigt, an den Daten hat sich oft wenig geändert. IT-Sicherheit DSGVO Mittelstand entscheidet sich nicht im Formular. Sie entscheidet sich daran, wo die Daten liegen, wer sie lesen kann und ob der Betrieb nach einem Ausfall wieder arbeitet.

Warum die DSGVO im Mittelstand oft nur auf dem Papier endet

Das Missverständnis ist nachvollziehbar. Die Verordnung klingt nach Juristerei, also wandert sie in Vorlagen, Verzeichnisse und Verträge. Artikel 32 meint etwas anderes. Er verlangt geeignete technische und organisatorische Maßnahmen, passend zum Risiko. Stand der Technik, Art und Umfang der Daten, Eintrittswahrscheinlichkeit und möglicher Schaden gehören in dieselbe Abwägung. Eine Liste, die man einmal abhakt, sieht die Norm nicht vor.

Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit stehen dort nebeneinander. Dazu kommt die Fähigkeit, nach einem Zwischenfall den Zugang zu den Daten rasch wiederherzustellen, und ein Verfahren, mit dem die Maßnahmen regelmäßig geprüft werden. Wer nur festhält, dass „ein Backup existiert“, hat den zweiten Teil nicht mitgelesen.

Im Alltag kleiner Betriebe sieht die Lücke oft gleich aus. Ein Server im Büro, daneben ein Cloud-Konto, das jemand für ein Projekt angelegt hat, und eine Sicherung, die seit langem niemand zurückgespielt hat. Kommt ein Verschlüsselungstrojaner oder fällt die Platte aus, hilft das Verarbeitungsverzeichnis nicht. Entscheidend ist, ob die Daten lesbar bleiben und der Betrieb erreichbar ist. Was ein Verlust zusätzlich für Verträge bedeutet, behandeln wir getrennt: Datenverlust und Haftung im Unternehmen klären.

Technische Schutzmaßnahmen nach Art. 32 DSGVO: Was wirklich zählt

Artikel 32 nennt Verschlüsselung und Pseudonymisierung als Beispiele, nicht als vollständige Lösung. Pseudonymisierung hilft, wo ein Vorgang die Person dahinter nicht braucht. Im Mittelstand ist sie selten der erste Hebel. Häufiger entscheiden Verschlüsselung, saubere Rechte und eine Wiederherstellung, die jemand wirklich geprobt hat.

Verschlüsselung dort, wo sie etwas ändert

Zwei Stellen zählen. Einmal der Speicher: Platte, VM, Backup. Gerät das Medium in fremde Hände, soll der Inhalt unlesbar bleiben. Und der Weg, sobald Daten das Haus verlassen. Ein langes Passwort an der Windows-Anmeldung deckt davon nur einen Rand ab.

Ende-zu-Ende-Verschlüsselung klingt nach der strengsten Antwort und hat im Büroalltag einen Preis. Suche, gemeinsames Bearbeiten und ein brauchbares Backup werden zäh, wenn der Betreiber den Inhalt nicht mehr sehen darf. Für einzelne, besonders schützenswerte Unterlagen kann das richtig sein. Für die laufende Projektablage ist eine verschlüsselte Umgebung auf eigener Infrastruktur, mit klaren Rechten, meist der gangbarere Weg. Deshalb betreiben wir Nextcloud auf Systemen in unserem Rechenzentrum in Stuttgart, nicht als loses Konto bei einem Anbieter, dessen Standort sich im Kleingedruckten versteckt.

Integrität ist mehr als eine Signatur

Integrität heißt: Eine Datei ändert sich nicht still. Dafür muss nicht jede Rechnung digital signiert sein. Eingeschränkte Rechte, nachvollziehbare Protokolle und Prüfsummen bringen in vielen Betrieben mehr als ein Werkzeug, das nach der Einführung niemand mehr anfasst. Wird überschrieben oder verschlüsselt, soll das auffallen, solange die Sicherung von gestern noch sauber ist.

Deshalb gehören Monitoring und ein Backup, das nicht auf derselben Maschine liegt, zusammen. Einen Angriff verhindert das nicht in jedem Fall. Es begrenzt den Schaden. Wie wir das bei Erpressungstrojanern einordnen, steht im Beitrag Ransomware Schutz für Unternehmen wirksam umsetzen.

Verfügbarkeit zeigt sich erst im Zwischenfall

Artikel 32 koppelt Verfügbarkeit ausdrücklich an den Ernstfall. Dass die Systeme an einem ruhigen Dienstag laufen, genügt nicht. Es braucht einen Weg, sie nach einem Ausfall wieder benutzbar zu machen. Ob das kurz oder lang dauert, hängt an der Architektur, nicht am Datenschutzordner.

IT-Sicherheit DSGVO Mittelstand: Cloud-Komfort gegen Datenhoheit in Deutschland

Große Cloud-Dienste sind bequem. Postfach, Dateien und Termine hängen an einem Login, Patches macht jemand anderes. Für ein kleines Team ist das verlockend, und nicht jede Anwendung muss ins eigene Rechenzentrum. Die DSGVO verbietet die Cloud nicht. Sie verlangt einen Rahmen, der trägt: Vertrag, Standort, Zugriffe, technische Maßnahmen.

Ein häufiger Irrtum: Personenbezogene Daten dürften nur in Deutschland oder nur in der EU liegen. So steht es nicht in der Verordnung. Übermittlungen in Drittländer sind zulässig, wenn eine Grundlage da ist, etwa ein Angemessenheitsbeschluss oder passende Vertragsklauseln, und wenn der Schutz am Ziel ernsthaft geprüft wurde. Hosting in Deutschland ist damit keine formale Pflicht. Es ist die Entscheidung für kürzere Wege und eine Zuständigkeit, die ein Mittelständler noch überblicken kann. Liegen die Systeme im Stuttgarter Rechenzentrum, bleibt die rechtliche Diskussion näher an dem, was sich tatsächlich steuern lässt. Den Betrieb selbst beschreiben wir unter Server Hosting datenschutzkonform betreiben.

Bei Anbietern mit Sitz in den USA kommt eine zweite Frage dazu. US-Recht kann Unternehmen verpflichten, Daten herauszugeben, auf die sie zugreifen können, auch wenn die Server in Europa stehen. Das ist kein Automatismus für jedes Postfach und ersetzt keine juristische Prüfung im Einzelfall. Es ist ein Risiko, das der Satz „die Server stehen in Frankfurt“ nicht aus der Welt schafft. Wer Kunden-, Personal- oder Projektunterlagen verarbeitet, sollte wissen, wer neben dem eigenen Team technisch an die Daten kommt.

Deshalb arbeiten wir auf eigener Infrastruktur und mit Proxmox VE. Nicht aus Prinzip, sondern weil die Technik zur Kontrolle passt, die Artikel 32 meint. Proxmox ist Open Source, ohne Lizenzfallen und Preissprünge wie bei VMware oder Broadcom, und ohne den Zwang, an einen Hersteller gebunden zu bleiben. Cluster mit Live-Migration und Hochverfügbarkeit, Snapshots und Replikation sind enthalten. Wo ein Cluster steht, kann eine Wartung laufen, während die VM auf einen anderen Knoten zieht. Ohne Cluster bleibt wenigstens der Snapshot, falls ein Update schiefgeht. Die virtuelle Maschine gehört dem Kunden, nicht einem Lizenzvertrag.

Der Komfort der großen Suiten bleibt trotzdem ein Argument. Wer dort schon organisiert arbeitet, muss nicht alles herausreißen. Oft ist die Trennung die ehrlichere Lösung: Austauschbares und wenig Sensibles darf in einem gepflegten Cloud-Dienst bleiben. Das, woran der Betrieb hängt, liegt auf Systemen, deren Standort und Zugriff wir kennen. Hybrid ist dann keine Strategie auf einer Folie, sondern diese Abwägung, System für System.

Backup und Wiederherstellung als Kern der Datensicherheit

Ein Backup, das niemand zurückgeholt hat, ist eine Vermutung. Artikel 32 will die Fähigkeit zur raschen Wiederherstellung und ein Verfahren, das die Maßnahmen regelmäßig auf Wirksamkeit prüft. Beides fällt aus, wenn die Sicherung nachts auf dieselbe Maschine kopiert wird, die am nächsten Tag verschlüsselt ist.

Wir setzen den Proxmox Backup Server ein, weil er zu diesem Anspruch passt: inkrementell, dedupliziert, verschlüsselt, und so gebaut, dass sich eine einzelne VM oder auch nur eine Datei zurückholen lässt. Optional liegt eine weitere Kopie auf Band, also offline und außer Reichweite eines Angriffs, der das Netz schon übernommen hat. Dahinter steckt das Prinzip 3-2-1. Drei Kopien, zwei unterschiedliche Medien, eine davon getrennt vom Tagesbetrieb. Jede Kopie fängt einen anderen Fehler ab: Plattenausfall, Bedienfehler, Verschlüsselung.

Wie oft zu testen ist, schreibt die DSGVO nicht in Tagen vor. Sie verlangt, dass die Prüfung stattfindet und zum Risiko passt. Bei uns gehört der Wiederherstellungstest zum Betrieb, nicht in ein Jahresprotokoll. Erst wenn eine VM startet oder eine Datei wieder da ist, wissen wir, dass die Kette hält. Im Ernstfall geht es dann um eine gezielte Rücksicherung, nicht um eine Rekonstruktion aus dem Gedächtnis. Wie der Aufbau dafür aussehen kann, steht unter Backup-Lösung für Firmen: Daten sicher sichern.

Wie ein KMU im Raum Ludwigsburg das praktisch aufsetzt

Gespräche mit Betrieben aus Ludwigsburg oder Erdmannhausen fangen selten bei der Datenschutzerklärung an. Häufig sitzt uns ein Ingenieurbüro oder eine Agentur gegenüber: Server im Nebenraum, ein paar Cloud-Konten aus einzelnen Projekten, und die Frage der Geschäftsführung, ob die Kundenunterlagen noch da sind, wenn der Keller vollläuft oder jemand einen Anhang öffnet.

Die Kette bauen wir dann in einer Reihenfolge, die sich erklären lässt. Die Systeme laufen auf unserer Infrastruktur im Stuttgarter Rechenzentrum, als virtuelle Maschinen oder, wenn eigene Hardware bleiben soll, per Colocation. Die Daten bleiben in Deutschland. Nextcloud übernimmt die Ablage, verschlüsselt auf dem Speicher, mit Rechten, die zum Team passen, nicht mit einem Admin-Zugang für alle. Darunter arbeitet Proxmox. Steht ein Cluster, verschieben wir eine Maschine vor der Wartung. Der Proxmox Backup Server sichert inkrementell und verschlüsselt, eine weitere Kopie liegt getrennt, bei Bedarf auf Band. Ob das taugt, prüfen wir durch Rücksicherung, nicht durch einen Haken in einer Tabelle.

Monitoring läuft mit, damit eine volle Platte oder ein ungewöhnlicher Prozess nicht erst am Montagmorgen auffällt. Schulungen ersetzen das nicht. Sie senken nur die Chance, dass der erste Klick schon der teure ist. Phishing bleibt ein menschliches Problem. Die Architektur muss den Schaden begrenzen, wenn der Klick trotzdem passiert.

Wer den eigenen Bestand so sortieren will, kann Kostenlos anfragen. Wir schauen, wo die Daten heute liegen und welche Maßnahme nach Artikel 32 den größten Hebel hat. Kein Paket von der Stange, sondern die Architektur, die zum Betrieb passt.

Sicherheit trägt den Betrieb, sie hängt nicht als Anhang daran

IT-Sicherheit DSGVO Mittelstand als reines Papierprojekt scheitert leise. Die Ordner sind vollständig, die Wiederherstellung ist es nicht. Wer Artikel 32 ernst nimmt, baut Vertraulichkeit, Integrität und Verfügbarkeit in den Alltag: Verschlüsselung dort, wo sie hilft, Rechte und Protokolle gegen stille Änderungen, Backups, die jemand zurückholt, und einen Standort, den man benennen kann.

Datenhoheit ist dabei kein Selbstzweck. Sie macht die Maßnahmen prüfbar. Ein System in Stuttgart, betrieben mit Proxmox und einem Backup, dessen Rücksicherung wir kennen, lässt sich der Geschäftsführung erklären, und bei Bedarf auch einem Kunden oder einer Aufsicht. Eine Checkbox in einem Portal leistet das selten.

Die DSGVO wird davon nicht zur Technikübung. Sie bleibt eine Pflicht. Deutlich näher kommt man ihr, wenn die Technik zum Risiko passt und im Ernstfall trägt.

Häufige Fragen

Was sind die wichtigsten technischen Maßnahmen für die IT-Sicherheit DSGVO Mittelstand?

Artikel 32 nennt keine starre Liste, sondern ein Risiko. In der Praxis tragen vier Dinge: Verschlüsselung, wo Daten ruhen oder das Haus verlassen; Rechte und Protokolle, damit Änderungen nicht still passieren; eine Architektur, die nach einem Ausfall weiterläuft oder schnell wieder läuft; und Backups, deren Wiederherstellung geprüft ist. Schulungen gehören zu den organisatorischen Maßnahmen dazu. Sie ersetzen die Technik nicht.

Muss ein Mittelstand seine Daten zwingend in Deutschland hosten, um DSGVO-konform zu sein?

Nein. Die DSGVO schreibt weder Deutschland noch pauschal die EU als einzigen Speicherort vor. Übermittlungen in andere Länder sind unter Bedingungen zulässig. Hosting in Deutschland verkürzt die Frage, welches Recht gilt und wer auf die Systeme zugreifen kann. Bei Anbietern mit US-Bezug bleibt das Risiko, dass ausländische Behörden Daten herausverlangen, auch wenn die Server in Europa stehen. Für sensible Daten ist ein Standort in Deutschland deshalb oft die klarere Lösung, keine formale Pflicht.

Wie unterscheidet sich die IT-Sicherheit DSGVO Mittelstand von der eines großen Konzerns?

Die Pflicht aus Artikel 32 ist dieselbe, der Rahmen nicht. Konzerne haben eigene Security-Teams, Budgets und interne Richtlinien. Im Mittelstand sitzt die Entscheidung bei der Geschäftsführung, oft neben dem Tagesgeschäft, und eine eigene Abteilung für Informationssicherheit ist die Ausnahme. Die Maßnahmen müssen verhältnismäßig sein und im Betrieb tragen, nicht nur im Handbuch. Externe Betreuung ersetzt die Verantwortung nicht. Sie ist häufig der Weg, wie Monitoring, Backup und Wiederherstellung überhaupt stattfinden.

Reicht ein Backup aus, um die Verfügbarkeit nach DSGVO sicherzustellen?

Nein. Artikel 32 verlangt die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen, und ein Verfahren, das die Maßnahmen regelmäßig prüft. Eine Kopie, die nie zurückgespielt wurde, belegt das nicht. Gebraucht wird eine getrennte, verschlüsselte Sicherung und ein Test, bei dem eine Maschine oder eine Datei wirklich zurückkommt. Wie oft, hängt am Risiko, nicht an einem festen Rhythmus aus dem Gesetz.

Welche Rolle spielt Open Source bei der IT-Sicherheit DSGVO Mittelstand?

Open Source ist nicht automatisch sicher. Es muss gepflegt, aktualisiert und verstanden werden. Der Vorteil liegt in der Kontrolle: kein Lizenzmodell mit plötzlichen Preissprüngen, keine Bindung an einen einzelnen Hersteller, und die Möglichkeit nachzuvollziehen, was die Software tut. Mit Proxmox VE und Nextcloud setzen wir das auf eigener Infrastruktur in Stuttgart um. Die DSGVO ist damit nicht erledigt. Standort, Zugriff und Wiederherstellung bleiben aber in einer Hand, die man benennen kann.

Bildhinweis: KI-generiertes Symbolbild.