DSGVO-Kontrollen konfigurieren, die jedem Audit standhalten

DSGVO-Compliance umfasst eine Reihe von Datenschutzanforderungen, die Unternehmen bei der Verarbeitung personenbezogener Daten von Personen aus der EU einhalten müssen. Dieser Leitfaden zeigt Ihnen, wie Sie DSGVO-Kontrollen in Konfigurationen übersetzen, die einer Prüfung standhalten und Compliance nachweisbar machen.

DSGVO-Framework zum Konfigurieren und Nachweisen von Compliance

Compliance lässt sich nicht allein durch Konfigurationen erreichen und sicherstellen. Sie erfordert wiederkehrende Praktiken, die den Grundsätzen Ihrer Verordnung entsprechen. Die folgenden Methoden verwandeln die Anforderungen der DSGVO in Kontrollen, die sich durch Audits, Dokumentation und kontinuierliche Überwachung nachweisen lassen.

📌 Voraussetzungen:

• Ein Ablageort für Audit-Nachweise wie Exporte, Screenshots und Logs
• Ein bestehendes Inventar der gespeicherten Daten, ihrer Speicherorte und der Zugriffsberechtigten
• Administrativer Zugriff auf Microsoft 365 Purview und Tools für das Endpunkt-Management
• Festgelegte Rechtsgrundlage für die Erhebung sowie Aufbewahrungsziele je Verarbeitungstätigkeit

Schritt 1: Compliance-Verantwortlichkeiten DSGVO-Kontrollen und Schutzmaßnahmen zuordnen

Wenn Sie rechtliche Anforderungen in operative Schutzmaßnahmen übersetzen, werden aus Ihren Kontrollen konkrete Konfigurationen, die zu den Möglichkeiten Ihres Stacks passen. Durch die Kombination von Compliance-Anforderungen mit passend dimensionierten Maßnahmen ist jede Datenverarbeitungstätigkeit im Einklang mit den DSGVO-Vorgaben geschützt.

Verarbeitungstätigkeiten und Compliance-Pflichten auflisten

Erstellen Sie zunächst ein Inventar aller Workflows, in denen personenbezogene Daten vorkommen, etwa Personalakten, Kundenkontakte und Geräteprotokolle. Bestimmen Sie für jede Tätigkeit die rechtliche Pflicht, die zur Einhaltung der Compliance erforderlich ist. So ordnen Sie jedem Datenfluss das passende Schutzniveau zu.

DSGVO-Kontrollen den Workflows zuweisen

Bei verarbeitenden Systemen und Services dreht sich DSGVO-Compliance um die zentralen Sicherheitsgrundsätze: Vertraulichkeit, Integrität, Verfügbarkeit und Rechenschaftspflicht. Definieren Sie für jede Verarbeitungstätigkeit mindestens eine Kontrolle pro Säule.

Verantwortliche, Prüfverfahren und Nachweise dokumentieren

Halten Sie fest, wer für eine Kontrolle verantwortlich ist, wie sie überprüft wurde und welche Nachweise dazu vorliegen. Damit belegen Sie nicht nur die vorhandenen Kontrollen, sondern auch, wie Sie sie überwachen und validieren.

Schritt 2: Datenschutz- und Zugriffskonfigurationen auf Endpunkten durchsetzen

Jeder Endpunkt, der mit personenbezogenen Kundendaten in Berührung kommt, also Laptops, Desktops oder verwaltete Geräte, kann ausgenutzt werden. Verkleinern Sie Ihre Angriffsfläche, indem Sie Datenschutz- und Zugriffsrichtlinien auf datenverarbeitenden Endpunkten umsetzen.

Empfohlener Maßnahmenplan:

1. Legen Sie Richtlinien fest, die den Zugriff von Betriebssystem und Apps auf Kontoinformationen standardmäßig erlauben oder verweigern.
2. Setzen Sie einheitliche Regeln für den Dateizugriff und verwalten Sie Kunden über Gruppen statt über einzelne Benutzer:innen.
3. Aktivieren Sie den überwachten Ordnerzugriff (Controlled Folder Access, CFA) für sensible Verzeichnisse wie Lohnbuchhaltung, Kundendatenbanken oder HR-Datenordner.
4. Implementieren Sie sichere Konfigurationen, lokale Firewalls, Regeln zur Reduzierung der Angriffsfläche und Richtlinien zum Schutz von Anmeldeinformationen.
5. Erzwingen Sie eine vollständige Festplattenverschlüsselung auf allen Laptops und Workstations, die personenbezogene Daten verarbeiten.

Schritt 3: Eine Checkliste mit DSGVO-Kontrollen für Microsoft 365-Daten erstellen

In Microsoft 365 liegen E-Mails, Dateien, Chats und Datensätze, die personenbezogene Daten enthalten können. Eine saubere Data Governance sorgt dafür, dass personenbezogene Daten geschützt und nachvollziehbar bleiben, einschließlich ihrer Speicherung, Aufbewahrung und Zugriffsrichtlinien.

Purview Data Loss Prevention (DLP) nutzen

Konfigurieren Sie Microsoft Purview DLP, um personenbezogene Datentypen wie Ausweisnummern und Kontaktdaten zu schützen. Leiten Sie Alarmierungen nach Verstößen gegen Datenschutzrichtlinien an ein eigenes Triage-Postfach oder eine Warteschlange. Passen Sie Schwellenwerte und Aktionen im Lauf der Zeit an, um Fehlalarme zu reduzieren und die Richtlinien für sensible Inhalte zu verschärfen.

Aufbewahrungsbezeichnungen anwenden

Bewahren Sie Daten passend zum Zweck der jeweiligen Verarbeitungs-Workflows auf, entsprechend dem Grundsatz der Speicherbegrenzung der DSGVO. Setzen Sie Aufbewahrungsbezeichnungen konsequent durch und kennzeichnen Sie bestimmte Datenbestände, um vorzeitiges Löschen oder Ändern zu verhindern.

Regelmäßige Scans planen

Scannen Sie besonders wichtige Bereiche wie Teams-Kanäle und OneDrive-Ordner, um Lücken, falsch klassifizierte Daten oder Dateien außerhalb der Aufbewahrungsbereiche zu finden. Dokumentieren Sie Erkenntnisse und Korrekturmaßnahmen mit Screenshots, exportierten Logs oder Prüfnotizen, damit für spätere Reviews ein nachvollziehbarer Audit-Trail entsteht.

Schritt 4: DSGVO-Kontrollen einheitlich im gesamten Stack anwenden

Manche Umgebungen stützen sich auf zahlreiche Tools, Plattformen und Apps, die personenbezogene Daten auf unterschiedliche Weise verarbeiten. Der Geltungsbereich Ihres DSGVO-Frameworks sollte deshalb nicht bei den Microsoft 365-Services enden, sondern sich einheitlich über alle relevanten Tools erstrecken.

Einwilligung, Datenaufbewahrung und Aufbewahrungsfristen je App prüfen

Prüfen Sie, wie jedes Tool mit Einwilligungen, Datenaufbewahrung und Löschung umgeht. Richten Sie die Standardeinstellungen an den Vorgaben Ihres Unternehmens aus, etwa durch einheitliche Aufbewahrungsfristen über Plattformen wie Microsoft 365, Kundenbeziehungsmanagement und HR-Systeme hinweg.

Logs und Zugriffskontrollen aktivieren

Aktivieren Sie plattformübergreifend Audit-Logging und Datenschutzeinstellungen, die administrative Aktionen, Datenexporte oder Berechtigungsänderungen erfassen. Stellen Sie sicher, dass die Aufbewahrungsfrist für Logs lang genug ist, um Audits und Reviews zu unterstützen.

Verfahren für Datenexport und Anonymisierung prüfen

Prüfen Sie, wie jedes System personenbezogene Daten exportiert oder anonymisiert, wenn es Auskunftsersuchen betroffener Personen (Data Subject Access Requests, DSARs) beantwortet. Standardisieren Sie Ausgabeformate und Schwärzungsregeln, damit Sie schnell reagieren und Risiken über alle Quellen hinweg verringern.

DSGVO-Kontrollen der Anbieter als Referenz verwenden

Wenn Ihr Anbieter Konfigurationsseiten zu DSGVO oder Datenschutz bereitstellt, nutzen Sie diese beim Erstellen eines Runbooks als Vorlage. Übernehmen Sie deren Struktur, um Ihr Compliance-Modell plattformübergreifend einfacher zu standardisieren.

Schritt 5: Backup- und Wiederherstellungsbereitschaft für die DSGVO-Compliance sicherstellen

Artikel 32 der DSGVO verlangt, dass Unternehmen beschädigte, nicht verfügbare oder verlorene Daten zeitnah und korrekt wiederherstellen können. Wer die Backup- und Wiederherstellungsbereitschaft aufrechterhält, stellt nicht nur sicher, dass Backups existieren, sondern auch, dass sie zuverlässig und integer sind.

Empfohlener Maßnahmenplan:

1. Sichern Sie Microsoft 365-Services und Software-as-a-Service-Anwendungen, die DSGVO-relevante Daten enthalten und verarbeiten.
2. Führen Sie quartalsweise Wiederherstellungstests durch, um Zuverlässigkeit und Integrität der Backups zu prüfen, und dokumentieren Sie jedes Testergebnis in Ihrem Nachweispaket.
3. Definieren Sie Ihre Zeitvorgabe für Wiederherstellungszeit (RTO) und Ihr Ziel des Wiederherstellungspunktes (RPO) für jedes System entsprechend der Sensibilität und Bedeutung der verarbeiteten Daten.
4. Vergleichen Sie die Testergebnisse mit Ihren Wiederherstellungszielen, um Lücken zu erkennen und Verbesserungen abzuleiten.

Schritt 6: Durchgehende Kontrolle über alle DSGVO-Kontrollen behalten

Überwachung, Audits und das Sammeln von Nachweisen halten Ihre Strategie aktuell, nachvollziehbar und belastbar. Kurz gesagt verhindern diese Maßnahmen, dass Ihre DSGVO-Kontrollen mit der Zeit unbemerkt abweichen.

Empfohlener Maßnahmenplan:

1. Planen Sie regelmäßige Prüfungen von Verschlüsselungsstatus, CFA-Status, Mitgliedschaften in privilegierten Gruppen, Patch-Stand und Purview-Aktivitätsübersichten. Dokumentieren Sie jede Prüfung samt Testergebnissen und Verantwortlichkeiten.
2. Exportieren Sie monatliche Übersichten zu Purview-DLP-Vorfällen, zur Nutzung von Klassifizierungsbezeichnungen und zur Abdeckung durch automatische Bezeichnungen.
3. Pflegen Sie ein Template für eine Vorfallschronologie mit Erkennungszeitpunkt, Reaktionsmaßnahmen, Eindämmungsverfahren und Alarmierungsprozessen.
4. Fassen Sie alle erstellten Checklisten, Exporte, Übersichten und Nachweise jeden Monat in einem einzigen Nachweispaket zusammen. Versehen Sie es mit dem Datum und legen Sie es in einem sicheren Ordner ab.

Schritt 7: Betroffenenrechte in DSGVO-Compliance-Frameworks einbeziehen

Ein standardisierter DSAR-Workflow vereinfacht die Bearbeitung von Betroffenenrechten und sorgt dafür, dass Sie Auskunftsersuchen durchgängig schnell und korrekt beantworten. Bauen Sie dafür einen DSAR-Prozess mit klaren Phasen auf, darunter Suchabfragen, rechtliche Prüfung, Schwärzung und sichere Übermittlung.

Erfassen Sie, wie lange jede Phase dauert, und speichern Sie alle Artefakte je Phase in einem Nachweisordner. Das dient als belastbarer Nachweis und belegt in Audits, dass DSARs im Einklang mit den DSGVO-Anforderungen bearbeitet werden.

Schritt 8: DSGVO-Kontrollen für sichere Datenbewegungen konfigurieren

Datenschutz muss sich auf jeden Cloud-Service, jede Integration und jeden ausgelagerten Dienstleister erstrecken, der Teil Ihres Datenverarbeitungssystems wird. Selbst wenn Ihre internen Systeme lückenlos abgesichert sind, können Sie gegen die Compliance verstoßen, sobald personenbezogene Daten Ihren direkten Einflussbereich verlassen.

Empfohlener Maßnahmenplan:

1. Erstellen Sie ein Anbieterverzeichnis mit allen Dritten, die personenbezogene Daten verarbeiten oder speichern. Führen Sie darin Datenart, genutzte Übermittlungsmechanismen und die Prüfungen auf, mit denen Sie den Datenschutz sicherstellen.
2. Klären Sie, wo jeder Anbieter Ihre Daten speichert und verarbeitet, und prüfen Sie die Übereinstimmung mit den Anforderungen der DSGVO an Datenübermittlungen. Fordern Sie zusätzlich Nachweise an, die die Verschlüsselung ruhender Daten und von Daten während der Übertragung belegen.

Schritt 9: DSGVO-Kontrollen durch kontinuierliche Verifizierung aufrechterhalten

Regelmäßige Tests belegen, dass jede eingerichtete Compliance-Kontrolle dauerhaft wie vorgesehen funktioniert. Durch geplante Tests verfügen Sie jederzeit über ein aktuelles, vollständiges und strukturiertes Nachweispaket, das Ihre Compliance belegt.

Empfohlener Maßnahmenplan:

1. Führen Sie monatlich Prüfverfahren für die wichtigsten DSGVO-Kontrollen durch: Alarmierungen sichten, Ausnahmen schließen und Artefakte für Ihr Nachweispaket erfassen.
2. Führen Sie quartalsweise Wiederherstellungstests und Zugriffsprüfungen durch, um die Wiederherstellbarkeit sicherzustellen und überzogene Berechtigungen abzubauen.
3. Optimieren Sie Purview-DLP-Regeln oder Bezeichnungsrichtlinien, damit sie neu beobachtete Vorfallmuster abbilden.
4. Veranstalten Sie jährlich Planspiele, um zu beurteilen, wie effizient Ihr Team echte Vorfälle oder Aufgaben bewältigt, etwa simulierte Datenschutzverletzungen, DSARs oder Anbieteranfragen. Dokumentieren Sie die Reaktionszeiten Ihres Teams.

Automatisierungspraktiken zur Unterstützung bestehender DSGVO-Kontrollen

Automatisierung sorgt dafür, dass Ihre Compliance-Kontrollen einheitlich und zeitnah greifen, und reduziert zugleich manuelle Arbeitsschritte für Techniker:innen

So lässt sich Compliance durch Automatisierung stärken:

• Prüfen Sie den Endpunktschutz, indem Sie den BitLocker-Verschlüsselungsstatus erfassen und für alle Endpunkte kontrollieren, ob CFA aktiviert ist.
• Rufen Sie monatlich Berichte zu Purview-DLP-Vorfällen und zur Bezeichnungsabdeckung ab, um die Wirksamkeit der Richtlinien zu verfolgen und Trends zu erkennen.
• Testen Sie die Backup-Integrität mit Stichproben-Wiederherstellungen über die Microsoft 365-Services hinweg, um Integrität und Wiederherstellbarkeit personenbezogener Daten sicherzustellen.
• Automatisieren Sie die Erstellung des Nachweispakets, inklusive der relevanten DSGVO-Artikel und der zugewiesenen Verantwortlichen für die Kontrollen.

Automatisierungsfunktionen von NinjaOne für einfachere Compliance

Die integrierten Tools von NinjaOne für Backup, Verschlüsselung und Skript-Bereitstellung sorgen dafür, dass Ihre Endpunkte, E-Mails und Software-as-a-Service-Dienste standardmäßig compliant bleiben.

• Lösung zur E-Mail-Archivierung: Mit dem E-Mail-Archiv von NinjaOne stellen Sie sicher, dass E-Mail-Kommunikation und SaaS-Daten mit personenbezogenen Informationen sicher, unveränderbar und jederzeit abrufbar gespeichert sind.
• Verschlüsselung: Das SaaS-Backup von NinjaOne nutzt eine 256-Bit-Verschlüsselung (AES) für Daten während der Übertragung und im Ruhezustand und sichert so Datentransfer und Speicherung ab.
• Remote-Skript-Bereitstellung: Planen Sie Skripte für Verifizierung und Endpunkt-Baselines mit NinjaOne zentral für alle verwalteten Endpunkte.
• Microsoft 365 Backup: NinjaOne unterstützt inkrementelle Backups für Microsoft 365-Services und reduziert so die Datenexposition bei begrenztem Speicherbedarf.

DSGVO-Kontrollen in Ihrer gesamten Umgebung durchsetzen

Wenn Sie Compliance-Anforderungen mit einer klaren Kontrolle verknüpfen, diese Einstellungen einheitlich anwenden und sie mit regelmäßigen Prüfungen kombinieren, wird Compliance Teil Ihres Tagesgeschäfts. Automatisierung, klare Verantwortlichkeiten und eine durchgängige Dokumentation machen aus Audits einen wiederholbaren Prozess, der Ihre Compliance belegt.

Verwandte Themen:

• Ein umfassender Leitfaden zum Schutz von Kundendaten
• Datenschutz- und Compliance-Technologien zur operativen Umsetzung von CCPA- und DSGVO-Compliance
• Was ist DSGVO-Compliance? So bleiben Sie konform
• Vollständiger Leitfaden: Microsoft Purview (Compliance Center) für KMU-Kunden einrichten
• DORA vs. DSGVO: Die wichtigsten Unterschiede erklärt