Sorgfaltspflicht: Geschäftsführer haften für die Datensicherheit

Netzwerkinfrastruktur und Stromversorgung. Nur wenn die IT-Infrastruktur richtig konfiguriert und abgesichert ist, ist das System vor dem Zugriff Externer sicher. Auch ein falsch konfiguriertes WLAN-Netz kann Sicherheitsprobleme verursachen,  zum Beispiel wenn das öffentliche und firmeninterne WLAN nicht von einander getrennt sind.
Auch vor einem Stromausfall muss das gesamte IT-System geschützt werden. Eine USV (unterbrechungsfreie Stromversorgung) stellt sicher, dass kurzfristige Stromschwankungen ausgeglichen und kurze Ausfälle überbrückt werden. Bei einem länger andauernden Stromausfall wird das System geordnet heruntergefahren, um Datenverluste zu verhindern.

Firewall und Internet. Die Firewall agiert wie eine Haustüre: Sie legt fest, wer zu ihnen hinein und heraus darf – und wer nicht. Zum einen steuert sie das VPN (das Virtuelle Private Netzwerk, über das etwa Außendienstmitarbeiter auf die Firmenserver zugreifen) zum anderen verhindert sie, dass sich z.B. Hacker Zugriff zum System verschaffen oder Viren eingeschleust werden. Eine Firewall muss regelmäßig upgedatet werden, damit diese auch die neuesten Virenarten erkennt und abwehren kann.
Im Zuge der Kontrolle der Firewall sollte auch die Internet-Verbindung überprüft werden: Ist die Leitung ausreichend schnell? Sind die bestehenden Verträge noch passend oder gibt es günstigere Möglichkeiten? Kompetente IT-Serviceanbieter haben meist Verträge mit den führenden Internet-Service-Providern und können so nicht nur die passenden sondern auch die günstigsten Angebote empfehlen.

Serversysteme und Datenbackup. Sie sind das Herz eines jeden IT-Systems und entsprechend aufmerksam müssen sie gewartet werden. Das Betriebssystem muss auf dem neuesten Stand sein, die Kapazität muss das zu Datenwachstum bewältigen können. Auch die Kompatibilität von Server und PCs muss durch laufende Updates gewährleistet werden.
Ebenso müssen die Daten Sicherungssysteme regelmäßig überprüft werden: laufen die Backups korrekt und werden die Daten im Notfall zeitnah und vollständig wieder hergestellt ? Diesem Punkt kommt auch in Hinblick auf die DSGVO eine zentrale Bedeutung zu, denn diese schreibt die Wiederherstellbarkeit der Daten vor!
Geschäftsführer sollten über vollständige Dokumentation aller User, Zugriffsberechtigungen, Lizenzen und laufenden Programme verfügen und es muss sichergestellt sein, dass Passwörter regelmäßig gewechselt werden.

PCs und Notebooks. Auch sie sind potentielle „Einfallstore“ ins Firmensystem. Zu überprüfen ist daher: Wie alt sind die Geräte? Sind die Betriebssysteme auf dem neuesten Stand? Sind Software und Lizenzen korrekt eingerichtet? Wie wird etwa bei Außendienstmitarbeitern einem Datenverlust vorgebeugt? Wie sind die Geräte vor dem Zugriff Dritter geschützt?

E-Mail-Service. Ein weiterer sehr wichtiger Bereich, da das Mailprogramm zum Internet offen ist. Dieses muss richtig konfiguriert sein und über einen entsprechenden Anti-Spam Filter verfügen. Das berüchtigte Locky-Virus etwa, das 2017 zahlreiche Rechner – auch von vielen namhaften Unternehmen – lahmlegte, kam über E-Mail und oft über veraltete Windows XP-Betriebssysteme. Bei einem gut konfigurierten Anti-Spam Schutz und einem upgedateten Betriebssystem hatte das Virus kaum eine Chance.
E-Mail Postfächer sollten regelmäßig  kontrolliert werden. Vor allem bei langjährigen Mitarbeitern haben sich oft große Datenmengen angesammelt, die den Betrieb empfindlich verlangsamen. Und schließlich sollten auch Weiterleitungen und E-Mail Verteiler revidiert und dokumentiert werden. Nicht selten wird dabei festgestellt, dass diese nicht mehr aktuell sind und überarbeitet gehören.

DSGVO. Liegt nach der Überprüfung der IT-Systeme eine vollständige Liste der Ergebnisse vor,  sollten sie mit Art. 32 der DSGVO (technische und organisatorische Maßnahmen zum Schutz der Daten) abgeglichen und alle Schwachstellen und Sicherheitslücken behoben werden.