Zugangs- und Zugriffskontrolle in den TOM: was kleine Firmen eintragen

Raum, Rechner, Daten

Die drei Begriffe unterscheiden, wo der Schutz ansetzt. Zutrittskontrolle betrifft die Räume: Wer kommt körperlich an die Geräte heran, auf denen Daten verarbeitet werden, also ins Büro, an den Serverschrank oder an den Router. Zugangskontrolle betrifft die Systeme: Wer kann einen Rechner, ein Programm oder ein Online-Konto überhaupt benutzen, etwa mit eigenem Benutzerkonto, Passwort und zweitem Faktor. Zugriffskontrolle betrifft die Daten im System: Wer angemeldet ist, sieht und ändert nur, wofür er berechtigt ist, zum Beispiel nur die Ordner seiner Abteilung.

So standen die Begriffe bis Mai 2018 in der Anlage zu § 9 des alten Bundesdatenschutzgesetzes, dazu fünf weitere Kontrollen von der Weitergabe bis zur getrennten Verarbeitung. Seitdem gilt Art. 32 DSGVO. Er verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und nennt Ziele wie Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. Keine der alten Kontrollen kommt darin vor. Eine feste Gliederung für die TOM schreibt die Verordnung aber auch nicht vor, deshalb können Sie die drei Überschriften weiter nutzen. Unter jeder steht dann, was in Ihrer Firma tatsächlich geschieht.

Der Wortlaut von damals und von heute

Im heutigen BDSG trägt § 9 die Überschrift „Zuständigkeit“, eine Anlage mit Kontrollen hat das Gesetz nicht mehr. Eine ähnliche Liste steht dafür in § 64 Abs. 3 BDSG, mit vierzehn Zwecken von der Zugangs- bis zur Trennbarkeit. Sie gehört zu Teil 3 des Gesetzes. Der gilt nach § 45 für öffentliche Stellen, die Straftaten oder Ordnungswidrigkeiten verfolgen oder Strafen und Geldbußen vollstrecken, und für deren Auftragsverarbeiter. Eine gewöhnliche Firma fällt nicht darunter.

Außerdem verschiebt die Liste die Wörter: In § 64 heißt der Schutz der Verarbeitungsanlagen vor Unbefugten Zugangskontrolle, also das, was im alten Gesetz Zutrittskontrolle war. Die Nutzung der Systeme durch Unbefugte heißt dort Benutzerkontrolle.

Die alten Begriffe in heutigen Vorlagen

Wir erklären uns das so: Wer 2018 eine Musteranlage, eine Checkliste oder einen Vertrag zur Auftragsverarbeitung baute, kannte die alten Kontrollen seit Jahren und hängte die vertrauten Überschriften unter die neuen Ziele aus Art. 32. Die Vorlagen, die wir gelesen haben, passen dazu:

• Handwerkskammer Chemnitz: Das Muster für technische und organisatorische Maßnahmen (PDF) stellt unter die Überschrift „Vertraulichkeit“ eine „Zutritts-, Zugangs-, Speicher- und Datenträgerkontrolle“, danach „Zugangs- und Benutzerkontrolle“ und „Zugriffskontrolle“. Alte Begriffe, Begriffe aus § 64 und die Sprache der DSGVO stehen dort nebeneinander.
• KV Hamburg: Das Muster für den „Datenschutzplan“ der Arztpraxis, das die KV im KVH-Journal 5/2018 vorstellte, übernimmt ab Nummer 10 die Begriffe aus § 64. Unter „Zugangskontrolle“ stehen dort verschließbare Praxistüren und eine besetzte Anmeldung, der Passwortschutz der Rechner folgt unter „Zugriff auf die Computer“.
• Datenschutzkonferenz: Die Hinweise zum Verzeichnis von Verarbeitungstätigkeiten (PDF, Februar 2018) ordnen die Maßnahmen nach den Bereichen aus Art. 32 Abs. 1. Sie schreiben selbst, dass sich nicht jede Maßnahme eindeutig einem Bereich zuordnen lässt.

Die Aufsichtsbehörden beschreiben den Wechsel selbst so: Im Standard-Datenschutzmodell, Version 3.1, schreibt die Datenschutzkonferenz, die DSGVO setze den Weg „von den ehemaligen Kontrollzielen“ des ersten BDSG zu technologieneutralen Gewährleistungszielen fort. Das BSI trennt im IT-Grundschutz, Baustein ORP.4, bis heute Zutrittsberechtigungen (A5), Zugangsberechtigungen (A6) und Zugriffsrechte (A7).

Fragt der Vertrag eines Auftraggebers nach „Zugangskontrolle“, lesen Sie die Erklärung unter dem Begriff. Erst sie zeigt, ob die Tür oder die Anmeldung gemeint ist.

Was ein kleiner Betrieb eintragen kann

Die Beispiele stammen zum großen Teil aus den beiden Mustern von Kammer und KV und passen auf ein Büro mit fünf bis zwanzig Leuten. Tragen Sie nur ein, was wirklich so läuft, und schreiben Sie Zahlen und Zuständige dazu.

Für die Zugriffskontrolle brauchen Sie die Übersicht, wer welche Rolle hat und welche Rechte daran hängen. Wie man sie auf zwei Seiten aufschreibt, steht unter Berechtigungskonzept für kleine Firmen. Für die Zugangskontrolle hilft eine schriftliche Passwortrichtlinie, auf die die TOM verweisen können.

So klingt ein brauchbarer Eintrag

„Passwortschutz vorhanden“ kann niemand prüfen. Besser: „Jede Person meldet sich mit eigenem Konto an. Sammelkonten gibt es nicht. Nach zehn Minuten ohne Eingabe sperrt sich der Rechner.“ Die Datenschutzkonferenz verlangt in den Hinweisen eine allgemeine, einfach nachvollziehbare Beschreibung, die sich auf die betroffenen Daten bezieht.

Wo ein Passwort-Tresor vorkommt und wo nicht

Ein gemeinsamer Tresor für Firmenzugänge taucht in den TOM an vier Stellen auf. Das BSI verlangt in ORP.4.A8, für jedes System ein eigenes Passwort zu verwenden, und rät, die Nutzung eines Passwort-Managers zu prüfen. Damit gehört er zuerst in die Zugangskontrolle.

• Zugangskontrolle: Die Zugänge zu Portalen, Lieferantenkonten und Geräten liegen im Tresor, jede Person hat dort ein eigenes Konto mit eigenem Master-Passwort. Bei Passwortheld gilt: Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Tragen Sie ein, ob alle mit diesen Rollen ihren zweiten Faktor eingerichtet haben.
• Zugriffskontrolle: Die Zugänge liegen in Sammlungen je Abteilung, mit Lese- oder Bearbeitungsrecht. Ehrlich eintragen: Eigentümer und Administratoren der Organisation sehen alle Sammlungen und können Konten wiederherstellen. Diese Rollen stehen deshalb mit Namen in den TOM.
• Verschlüsselung nach Art. 32 Abs. 1 lit. a: Die Inhalte sind Ende-zu-Ende-verschlüsselt und werden erst auf den Geräten der Nutzer entschlüsselt. Der Betreiber sieht Namen und E-Mail-Adressen der Nutzer sowie technische Protokolle.
• Wiederherstellung nach lit. c: Nur eintragen, was wirklich vereinbart ist. Mit dem Backup-Paket gibt es eine tägliche verschlüsselte Sicherung an einem zweiten Ort. Ohne das Paket sichern wir den Tresor nicht, dann steht hier, wer ihn wann selbst verschlüsselt exportiert.

In die Zutrittskontrolle gehört der Tresor nicht, er schließt keine Tür ab. Die Anmeldung am Rechner, die Bildschirmsperre und die Ordnerrechte im Netzwerk ersetzt er auch nicht. Die Einstellung „Passwörter verbergen“ ist keine Zugriffskontrolle: Sie blendet ein Passwort nur in den Apps aus, die Person erhält es technisch trotzdem.

Fehler beim Ausfüllen

• Wechselfrist eintragen, weil die Vorlage danach fragt. Das Muster der Handwerkskammer hat ein Feld für Wechselfristen in Wochen oder Monaten. Das BSI schreibt in ORP.4.A23, rein zeitgesteuerte Wechsel sollten vermieden werden. Wechseln müssen Sie ein Passwort nach ORP.4.A8, wenn Unbefugte es kennen oder der Verdacht besteht. Mehr dazu unter Passwörter regelmäßig ändern.
• Häkchen ohne Dokument. „Schriftliches Berechtigungskonzept vorhanden“ ankreuzen, obwohl es keines gibt. Spätestens wenn ein Auftraggeber das Konzept sehen will, fällt das auf.
• Die TOM des Dienstleisters übernehmen. Ihr IT-Dienstleister oder Hoster beschreibt in seiner Anlage seine eigenen Maßnahmen als Auftragsverarbeiter. Ihr Büro, Ihre Schlüssel und Ihre Ordnerrechte stehen dort nicht.
• Nie wieder ansehen. Art. 32 Abs. 1 lit. d verlangt ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Ein Intervall nennt die Verordnung nicht. Wir raten zu einer Durchsicht im Jahr und nach jedem Wechsel des IT-Dienstleisters oder eines Programms.

Beispiel: eine Druckerei als Auftragsverarbeiter

Ein erfundener Fall: Eine Druckerei mit elf Leuten personalisiert für einen Berufsverband die Mitgliederbriefe und bekommt dafür jedes Quartal eine Adressliste. Der Verband schickt einen Vertrag zur Auftragsverarbeitung, dessen Anlage nach Zutritts-, Zugangs- und Zugriffskontrolle fragt. Nach Art. 28 Abs. 3 lit. c muss die Druckerei darin zusagen, alle nach Art. 32 erforderlichen Maßnahmen zu ergreifen.

Bisher arbeiten beide Mitarbeiter der Druckvorstufe am selben Rechner unter dem Konto „dtp“, und das Passwort für das Upload-Portal des Verbands steht in einer Excel-Liste. Für die Anlage ändert der Inhaber drei Dinge. Den Raum der Druckvorstufe schließt er ab, Schlüssel haben drei Personen.

Jeder Mitarbeiter bekommt ein eigenes Windows-Konto, und der Verband legt für beide eigene Logins im Upload-Portal an. Weil diese Logins auf eine Person laufen, legt jeder seinen im persönlichen Bereich seines Tresorkontos ab. Die Adresslisten liegen in einem Ordner nur für die Druckvorstufe, nach dem Versand löscht die Druckvorstufe sie.

Die übrigen Zugänge kommen in den Tresor: die Sammlung „Kundenportale“ für die Druckvorstufe, die Sammlung „Geschäftsführung“ für den Inhaber, der als einziger Eigentümer der Organisation in den TOM steht. Unter Wiederherstellung trägt er ein, dass er den Tresor einmal im Monat verschlüsselt exportiert und die Datei außer Haus aufbewahrt. Welche Zugänge eine Druckerei sonst hat, zeigt die Seite für Druckereien.

Mit Passwortheld

Wir richten den Tresor auf einem kleinen Server ein, den Ihre Firma bei netcup mietet, und halten ihn aktuell. Ihre Passwörter können wir nicht lesen. Zum Angebot gehört ein Vertrag zur Auftragsverarbeitung. Die TOM Ihrer Firma schreiben Sie oder Ihr Datenschutzbeauftragter, was wir am Tresor tun, steht in der Leistungsbeschreibung. Was sonst vor der Einführung zu klären ist, zeigt Passwort-Manager und DSGVO.

Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, als Festpreis ohne Kosten pro Nutzer und nur für Unternehmer. Dazu kommt die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Backup-Paket kostet 7,99 € im Monat inkl. MwSt., ohne das Paket sichern wir den Tresor nicht. Hilfe im Alltag rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Fragen klären wir im kostenlosen Erstgespräch (15 Minuten), am Telefon oder per Video.