Datensicherheit

Definition: Datensicherheit bezeichnet die Gesamtheit aller technischen und organisatorischen Maßnahmen (TOM), die dazu dienen, Daten vor unbefugtem Zugriff, Verlust, Manipulation, Diebstahl, Zerstörung und anderen Bedrohungen zu schützen. Im datenschutzrechtlichen Kontext ist Datensicherheit ein in Art. 32 DSGVO verankertes Schutzgebot: Verantwortliche und Auftragsverarbeiter sind verpflichtet, ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei müssen sie den Stand der Technik, die Implementierungskosten und die Eintrittswahrscheinlichkeit sowie die Schwere der Risiken berücksichtigen. Datensicherheit und Datenschutz sind verwandte, aber konzeptionell zu unterscheidende Bereiche: Datensicherheit betrifft den Schutz aller Daten – unabhängig davon, ob sie personenbezogen sind oder nicht –, während Datenschutz spezifisch auf den Schutz der Privatsphäre und der Rechte natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten abzielt. Ohne angemessene Datensicherheit ist Datenschutz jedoch nicht realisierbar, weshalb Art. 32 DSGVO Datensicherheit als eine der fundamentalen Pflichten des Verantwortlichen festschreibt. Im Online-Marketing sind insbesondere CRM-Systeme, E-Mail-Marketing-Plattformen, Analytics-Infrastrukturen und Webshops als datensicherheitskritische Systeme einzustufen.

Erläuterung

Art. 32 DSGVO listet als nicht abschließende Beispiele für geeignete technische und organisatorische Maßnahmen auf: Pseudonymisierung und Verschlüsselung personenbezogener Daten, Fähigkeit zur dauerhaften Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Systemen und Diensten, Fähigkeit zur raschen Wiederherstellung der Verfügbarkeit nach einem Vorfall sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen.

Die klassischen Schutzziele der Informationssicherheit – Vertraulichkeit, Integrität und Verfügbarkeit (CIA-Triade) – bilden die konzeptionelle Grundlage. Vertraulichkeit bedeutet, dass Daten nur befugten Personen zugänglich sind. Integrität stellt sicher, dass Daten nicht unbefugt oder unbemerkt verändert werden können. Verfügbarkeit garantiert, dass berechtigte Nutzer die Daten bei Bedarf abrufen können. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ergänzt diese drei Grundziele um Authentizität und Nichtabstreitbarkeit.

Die Verhältnismäßigkeit der Maßnahmen ist ein zentrales Prinzip: Art. 32 DSGVO verlangt keine absolute Sicherheit, sondern ein dem Risiko angemessenes Schutzniveau. Ein kleines E-Commerce-Unternehmen mit einem Newsletter von 500 Abonnenten muss andere Maßnahmen ergreifen als ein Unternehmen mit Millionen von Kundendatensätzen. Die Risikobewertung muss die Wahrscheinlichkeit und Schwere möglicher Schäden für die betroffenen Personen berücksichtigen – nicht nur die Wahrscheinlichkeit eines technischen Vorfalls.

Die Einhaltung von Datensicherheitsstandards wie ISO/IEC 27001 oder dem BSI IT-Grundschutz kann als Nachweis angemessener Maßnahmen nach Art. 32 DSGVO dienen. Für Cloud-basierte Marketing-Infrastrukturen ist der BSI C5 (Cloud Computing Compliance Criteria Catalogue) ein geeigneter Orientierungsrahmen. Viele Marketing-SaaS-Anbieter weisen ihre Datensicherheitsmaßnahmen über SOC-2-Zertifizierungen nach, die insbesondere im US-amerikanischen Raum etabliert sind.

Technische Schutzmaßnahmen (TOM) im Marketing-Kontext

Verschlüsselung: Transport-Verschlüsselung (TLS/HTTPS) für alle Datenübertragungen; Verschlüsselung sensibler Kundendaten in Datenbanken (at-rest encryption); besonders wichtig für CRM, E-Mail-Listen und Zahlungsdaten.
Zugriffskontrollen: Rollenbasiertes Zugriffsmanagement (RBAC) in Marketing-Systemen; Least-Privilege-Prinzip (nur notwendige Zugriffsrechte); regelmäßige Überprüfung und Entzug veralteter Zugriffsrechte.
Zwei-Faktor-Authentifizierung (2FA/MFA): Pflicht für alle Marketing-Plattformen, CRM-Systeme und Werbeplattform-Zugänge; verhindert Kontoübernahmen durch gestohlene Passwörter.
Protokollierung und Monitoring: Lückenlose Protokollierung von Zugriffen auf sensitive Marketing-Datenbanken; Anomalie-Erkennung für ungewöhnliche Zugriffsmuster.
Sicherheitsupdates: Regelmäßige Aktualisierung aller eingesetzten Systeme, Plugins und Software-Abhängigkeiten; besonders kritisch bei CMS-Systemen wie WordPress mit Marketing-Plugins.
Backup und Recovery: Regelmäßige verschlüsselte Backups aller Marketing-Daten; getesteter Wiederherstellungsprozess; Offline-Backup als Schutz gegen Ransomware.
Pseudonymisierung: Trennung identifizierender Merkmale von Analysedaten; reduziert Risiko und erleichtert Datenweitergabe für Analytics-Zwecke.

Organisatorische Schutzmaßnahmen

Sicherheitsrichtlinien: Dokumentierte Regelungen für den Umgang mit Marketing-Daten, Passwortregeln, Clean-Desk-Policy und sicheres Arbeiten im Homeoffice.
Mitarbeiterschulungen: Regelmäßige Security-Awareness-Trainings mit konkreten Szenarien (Phishing-Erkennung, Social Engineering); besonders relevant für Marketing-Teams mit Zugang zu Kundendaten.
Lieferantenkontrolle: Datensicherheitsanforderungen in AVV mit Marketing-Dienstleistern verankern; regelmäßige Prüfung der Sicherheitsmaßnahmen von Auftragsverarbeitern.
Incident-Response: Dokumentierter Notfallprozess für Sicherheitsvorfälle mit klaren Verantwortlichkeiten und Eskalationsstufen.

Praxistipp: Führen Sie regelmäßige Sicherheitschecks Ihrer Marketing-Tools durch – ein jährliches Sicherheitsaudit, bei dem alle Zugriffsrechte, API-Keys und Systemkonfigurationen überprüft werden, ist ein guter Mindeststandard. Aktivieren Sie Zwei-Faktor-Authentifizierung für alle Marketing-Plattformen, Werbeplattform-Zugänge und CRM-Systeme; dieser einzelne Schritt verhindert die meisten Kontoübernahmen. Überprüfen Sie, ob Ihre eingesetzten SaaS-Marketing-Anbieter über aktuelle Sicherheitszertifikate (SOC 2, ISO 27001) verfügen, und fordern Sie deren Sicherheitsberichte als Teil der AVV-Prüfung an.