Häufig gestellte Fragen (FAQ)

Das ist das europäische Datenschutzgesetz. Es schreibt vor, wie du mit Daten von Kunden, Partnern und Mitarbeitern umgehen musst. Wichtig sind vor allem drei Dinge: Du brauchst eine Datenschutzerklärung auf deiner Website, musst Verträge mit Dienstleistern (wie Cloud-Anbietern) abschließen und dokumentieren, welche Daten du wo speicherst.

Eine neue EU-Richtlinie für mehr Cybersicherheit in der Wirtschaft. Sie betrifft vor allem Firmen ab 50 Mitarbeitern in wichtigen Sektoren (wie Energie, Produktion, Logistik). Aber auch kleinere Betriebe müssen aufpassen: Wenn du Zulieferer für einen großen Konzern bist, fordert dieser die NIS-2-Sicherheit oft vertraglich von dir ein.

Ein weltweiter Sicherheitsstandard (Zertifizierung). Es ist kein Gesetz, sondern ein Gütesiegel für deine IT. Viele Kunden verlangen diesen Nachweis heute, bevor sie Aufträge vergeben. Es hilft dir außerdem, gesetzliche Vorgaben wie NIS-2 strukturiert und sauber im Betrieb aufzubauen.

Sowohl die DSGVO als auch NIS-2 sehen drastische Strafen vor. Bei Datenschutz-Verstößen drohen Bußgelder von bis zu 20 Mio. € (oder 4 % des Jahresumsatzes), bei NIS-2 sind es bis zu 10 Mio. €.

Besonders wichtig für Geschäftsführer: Bei NIS-2 haftest du im Ernstfall persönlich mit deinem Privatvermögen, wenn du Sicherheitsregeln grob vernachlässigst.

Das ist eine einfache Übersicht, in der steht, wer in deiner Firma welche personenbezogenen Daten wozu verarbeitet. Zum Beispiel: Kundenadressen im CRM für den Vertrieb, oder Bankdaten im Buchhaltungsprogramm für die Lohnabrechnung. Das Gesetz verlangt diese Liste zwingend – sie wird bei jeder Datenschutzprüfung als allererstes Dokument angefordert.

Ein Vertrag, den du mit jedem externen Dienstleister abschließen musst, der Zugriff auf deine Kundendaten hat oder diese speichert. Typische Beispiele sind dein Cloud-Anbieter, dein externer IT-Supporter oder das genutzte Newsletter-Tool. Mit dem AVV verpflichtet sich der Dienstleister rechtlich, deine Daten sicher zu behandeln und nicht weiterzugeben.

Kunden, Partner oder Mitarbeiter haben das Recht zu erfahren, welche Daten du über sie gespeichert hast. Auf Anfrage musst du ihnen diese Auskunft innerhalb eines Monats kostenlos geben. Wollen sie nicht mehr in deiner Datenbank sein, musst du ihre Daten löschen, sofern keine Aufbewahrungspflichten (wie z. B. steuerliche Fristen für Rechnungen) dagegen sprechen.

Das ist ein "Sicherheits-System" für deine Firma. Es regelt nicht nur technische Details, sondern Abläufe im Team: Wer darf auf welche Serverlaufwerke zugreifen? Was passiert mit den Passwörtern bei Mitarbeiterabgängen? Welche Regeln gelten im Homeoffice? Ein ISMS sorgt dafür, dass Informationssicherheit systematisch im Alltag gelebt wird.

Weil fast jeder erfolgreiche Hackerangriff bei einem Mitarbeiter startet, der aus Versehen auf einen infizierten Anhang oder eine gefälschte E-Mail (Phishing) klickt. Die beste Firewall nützt nichts, wenn das Team nicht wachsam ist. Regelmäßige, praxisnahe Schulungen machen deine Belegschaft zur stärksten Schutzmauer deines Betriebs.

Der feste Plan für den Notfall, falls dein Netzwerk gehackt oder lahmgelegt wird. Dieser Notfallplan regelt ganz genau: Wer zieht den Netzwerkstecker? Welcher IT-Dienstleister hilft uns? Und wann müssen wir den Vorfall laut Gesetz an die Behörden melden? Schnelles, koordiniertes Handeln spart im Ernstfall viel Geld.

Software-Hersteller schließen Sicherheitslücken laufend über Updates. Ein systematisches Patchmanagement sorgt dafür, dass diese kritischen Sicherheitsupdates auf allen Firmenrechnern, Laptops und Handys automatisch und schnell installiert werden. Veraltete Software ist eines der leichtesten Einfallstore für Schadsoftware.

Backups sind deine Lebensversicherung bei Trojaner-Angriffen. Halte dich an die **3-2-1-Regel**: Sichere deine Daten täglich. Verteile sie auf zwei unterschiedliche Medien (z.B. Server und Cloud). Und ganz wichtig: Mindestens ein Backup muss komplett vom Netz getrennt sein (Offline), damit Angreifer es nicht mitverschlüsseln können. Teste regelmäßig das Zurückspielen der Daten.

Das prinzip kennst du vom Online-Banking: Beim Einloggen brauchst du neben deinem normalen Passwort einen zweiten, unabhängigen Code (z. B. auf einer App auf deinem Handy). Das blockiert fast 99 % aller Identitäts-Diebstähle – selbst wenn Hacker dein Passwort herausgefunden haben.

Das ist die Vorsorge für den Ernstfall, wenn die IT komplett ausfällt. Wie arbeitet dein Betrieb weiter, wenn E-Mail oder Warenwirtschaft tagelang blockiert sind? Welche Notfallabläufe auf Papier gibt es? BCM sorgt dafür, dass dein Unternehmen liefer- und arbeitsfähig bleibt, bis der Server geordnet wieder hochgefahren ist.

Das sind Messgrößen für deinen IT-Notfallplan:

• RTO (Recovery Time Objective / Wiederanlaufzeit): Wie viele Stunden oder Tage darf deine IT ausfallen, bis alles wieder laufen muss, ohne dass der Betrieb pleitegeht?
• RPO (Recovery Point Objective / Datenverlustzeitraum): Wie viele Stunden an Datenverlust kannst du verkraften? Ein RPO von 24 Stunden bedeutet z. B., dass du im Notfall mit Datenverlusten von maximal einem Tag arbeiten kannst.