So läuft es heute in den meisten Unternehmen
Es beginnt mit einer Spalte. In der Systemliste – meist einer Tabelle mit dem Namen „Systemuebersicht.xlsx" oder einem zweiten Tabellenblatt im Verzeichnis der Verarbeitungstätigkeiten – steht ganz rechts eine Spalte „Schutzbedarf" mit drei möglichen Werten: niedrig, mittel, hoch. Die Spalte ist in zwei Minuten angelegt, und sie sieht nach Methode aus.
Gefüllt wird sie in einer Sitzung. Zwei Stunden, drei Personen: die Datenschutzbeauftragte oder der Datenschutzbeauftragte, jemand aus der IT und die Leitung eines Fachbereichs. Die Liste wird von oben nach unten durchgegangen. Zu jedem System fällt ein Satz wie „Das ist kritisch, das würde ich auf hoch setzen", niemand widerspricht, die Zelle wird gefüllt, das nächste System kommt.
Das Problem ist nicht die Sitzung. Das Problem ist, dass die drei Personen unterschiedliche Maßstäbe im Kopf haben, ohne das zu bemerken. Für die IT ist „hoch" ein System, dessen Ausfall den Betrieb anhält. Für den Datenschutz ist „hoch" ein System mit besonderen Kategorien personenbezogener Daten. Für den Fachbereich ist „hoch", was die eigene Abteilung zum Arbeiten braucht. Alle drei sagen dasselbe Wort und meinen etwas anderes.
Das Ergebnis liest sich schon nach Wochen merkwürdig
Das Bewerbermanagement steht auf „hoch", weil in der Sitzung jemand an unverschlüsselte Anhänge dachte. Das Lohnsystem steht auf „mittel", obwohl dort Gesundheitsdaten, Pfändungen, Konfession und Bankverbindungen zusammenlaufen. Warum die eine Einstufung höher ausfiel als die andere, weiß niemand mehr. Die Begründung wurde gesprochen, nicht dokumentiert. In der Tabelle steht ausschließlich das Ergebnis.
Zwei Jahre später bewertet eine andere Person dieselben Systeme neu – nach einem Personalwechsel, vor einem Audit oder weil ein neues Verzeichnis aufgesetzt wird. Sie kommt zu anderen Stufen, weil sie andere Szenarien vor Augen hat. Beide Bewertungen sind gleich unbegründet, und keine lässt sich gegen die andere verteidigen. Am Ende stehen sie nebeneinander, oft in zwei Dateien, und die Frage, welche gilt, wird vertagt.
Der Moment, in dem es auffällt
Im Alltag fällt das nicht auf. Es fällt in zwei Situationen auf. Die erste: Aus dem Schutzbedarf sollen Maßnahmen und Budgets abgeleitet werden. Für ein System auf „hoch" wird eine Zwei-Faktor-Authentifizierung, ein zweiter Standort oder ein kürzeres Backup-Intervall beantragt – und die Geschäftsführung fragt, woraus sich das ergibt. Die zweite: Eine Auditorin oder ein Auditor fragt nicht nach der Stufe, sondern nach der Begründung. „Wie sind Sie auf hoch gekommen, und warum steht das Lohnsystem auf mittel?" Auf diese Frage hat eine Auswahlliste keine Antwort.
Die Analyse
Fünf Probleme, die jede geschätzte Einstufung erzeugt
Sie entstehen nicht aus Nachlässigkeit, sondern daraus, dass ein einzelnes Auswahlfeld weder Maßstab noch Begründung aufnehmen kann.
Verarbeitungstätigkeiten in preeco ansehenKein gemeinsamer Maßstab
Dieselbe Verarbeitung bekommt je nach bewertender Person eine andere Stufe. Damit sind die Einstufungen untereinander nicht vergleichbar, und eine Priorisierung über die Systemliste hinweg führt in die falsche Reihenfolge.
Die Schutzziele werden vermischt
Ein System kann bei der Vertraulichkeit hoch und bei der Verfügbarkeit niedrig sein. Ein einziger Wert verdeckt diesen Unterschied und führt zu Maßnahmen am falschen Ende: Verschlüsselung, wo Redundanz gebraucht wird, oder umgekehrt.
Keine Begründung, nur ein Ergebnis
Ohne beschriebenes Schadensszenario ist die Stufe nicht überprüfbar. Sie lässt sich weder im Audit erklären noch gegenüber einer Fachabteilung verteidigen, die die Einstufung für übertrieben hält.
Verknüpfte Systeme bleiben unberücksichtigt
Ein System, das Daten aus drei Verarbeitungen bündelt, ist schutzbedürftiger als jede einzelne davon. Dieser Kumulationseffekt fällt in einer Liste aus Einzelzeilen systematisch heraus – und trifft mit Data Warehouse, Archiv und Backup gerade die Systeme, die am meisten enthalten.
Die Bewertung altert unbemerkt
Es kommen neue Datenkategorien hinzu, eine Schnittstelle liefert plötzlich Personalnummern mit, ein Dienstleister übernimmt den Betrieb. Die Stufe bleibt dieselbe, weil niemand einen Anlass hat, sie anzufassen.
Der Soll-Prozess in sechs Schritten
Eine belastbare Feststellung unterscheidet sich von einer Einschätzung nicht durch mehr Aufwand, sondern durch eine feste Reihenfolge. Diese sechs Schritte beschreiben sie – unabhängig vom eingesetzten Werkzeug.
1. Die Schutzziele getrennt bewerten. Vertraulichkeit, Integrität und Verfügbarkeit werden einzeln eingestuft, nicht zu einem Sammelwert verrechnet. Erst dadurch wird sichtbar, dass ein Bewerberportal vor allem ein Vertraulichkeitsthema ist, während die Zeiterfassung vor allem verfügbar sein muss.
2. Je Schutzziel ein Schadensszenario beschreiben. Die eigentliche Aussage ist nicht die Stufe, sondern der Satz darunter: Was passiert konkret, wenn diese Daten offengelegt, verfälscht oder nicht verfügbar sind – für die betroffenen Personen, für den Betrieb, für vertragliche und gesetzliche Pflichten. Diese Formulierung ist die Arbeit, die Stufe ist nur ihr Ergebnis.
3. Das Maximumprinzip anwenden, statt zu mitteln. Eine Verarbeitung mit einem hohen und zwei niedrigen Schutzzielen ist nicht „mittel". Der höchste Wert bestimmt den Gesamtschutzbedarf, weil ein Schaden nicht dadurch kleiner wird, dass andere Aspekte unkritisch sind.
4. Verknüpfte Systeme einbeziehen und die Kumulation bewerten. Wo mehrere Verarbeitungen auf demselben System zusammenlaufen, wird geprüft, ob die Bündelung den Schutzbedarf über den höchsten Einzelwert hinaus anhebt. Das ist der Kumulationseffekt, und er betrifft fast immer Auswertungs-, Archiv- und Sicherungssysteme.
5. Den Schutzbedarf vererben, statt ihn zweimal zu pflegen. Der an der Verarbeitungstätigkeit festgestellte Schutzbedarf fließt in die verknüpften Datenverarbeitungssysteme ein. Eine getrennte, zweite Bewertung derselben Sache entfällt – und mit ihr der Widerspruch zwischen zwei Listen.
6. Die Feststellung exportieren, damit sie prüfbar ist. Zusammenfassung mit Gesamtschutzbedarf, Schadensszenarien-Matrix und den vererbten Quellen, als PDF oder DOCX. Damit wird aus einer Zelle ein Dokument, das man einer Auditorin oder einem Auditor vorlegen kann.
Schutzbedarf oder Risiko – was ist der Unterschied
Beide Begriffe werden oft synonym verwendet, beantworten aber verschiedene Fragen. Der Schutzbedarf beantwortet, wie schwer ein Schaden wäre, wenn er einträte. Die Risikoanalyse beantwortet, wie wahrscheinlich er ist und was dagegen getan wird. Der Schutzbedarf steht deshalb am Anfang: Er begrenzt, welche Maßnahmen überhaupt angemessen sind. Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind – ohne festgestellten Schutzbedarf fehlt der Maßstab für „angemessen". Der Begriff selbst stammt nicht aus der DSGVO, sondern aus dem IT-Grundschutz des BSI, und genau dort liegt auch die Methodik.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: Spalte in der Systemliste | Nachher: Feststellung mit Methode |
|---|---|---|
| Maßstab | Jede Person bewertet nach eigenem Gefühl | Einheitliche Schadensszenarien-Matrix für alle Objekte |
| Schutzziele | Ein Sammelwert für alles | Vertraulichkeit, Integrität und Verfügbarkeit getrennt |
| Begründung | Mündlich in der Sitzung, danach verloren | Je Schutzziel ein beschriebenes Szenario am Objekt |
| Verknüpfte Systeme | Bleiben außen vor | Werden in die Feststellung einbezogen |
| Kumulation | Nicht vorgesehen | Kumulationseffekt wird ausdrücklich bewertet |
| Vererbung | Doppelte Pflege in zwei Listen | Schutzbedarf fließt in die verknüpften Systeme ein |
| Auswertbarkeit | Sortieren einer Textspalte | Schutzbedarf in der Übersichtstabelle sicht- und filterbar |
| Nachweis | Eine Zelle mit einem Wort | Export als PDF oder DOCX mit Matrix und Quellen |
In der Praxis
So sieht das in preeco | datenschutz aus
Die drei Bausteine, die den beschriebenen Ablauf tragen.
Schutzbedarf an der Verarbeitungstätigkeit
Die Feststellung sitzt direkt an der Verarbeitungstätigkeit und läuft über eine Schadensszenarien-Matrix nach dem Maximumprinzip – für Vertraulichkeit, Integrität und Verfügbarkeit, wahlweise manuell oder KI-gestützt. Der ermittelte Schutzbedarf ist in der Übersichtstabelle sicht- und filterbar.
Risikoanalyse und DSFA setzen darauf auf
Die Bewertung der Eintrittswahrscheinlichkeit und die Prüfung nach Art. 35 DSGVO greifen auf denselben Bestand zu. Der Schutzbedarf ist damit nicht ein Nebendokument, sondern die Grundlage, auf der die Risikoanalyse geführt wird.
Vererbung in die verknüpften Systeme
Der Schutzbedarf fließt nach dem Maximumprinzip in die verknüpften Datenverarbeitungssysteme ein, inklusive Kumulationseffekt. Wer auch preeco | informationssicherheit einsetzt, arbeitet dort im Asset-Management mit demselben Bestand statt mit einer zweiten Liste.
Was der Umstieg praktisch bedeutet
Der häufigste Einwand lautet, eine methodische Feststellung dauere zu lange für hundert Systeme. Das trifft auf den ersten Durchlauf zu und danach nicht mehr. Die Szenarien wiederholen sich stark: Personaldaten, Kundendaten, Zahlungsdaten und Zugangsdaten decken die meisten Verarbeitungen ab. Ist ein Szenario einmal formuliert, ist die Einstufung vergleichbarer Verarbeitungen eine Frage von Minuten. Aufwendig sind die Fälle, in denen tatsächlich unklar ist, wie schwer ein Schaden wäre – und genau diese Fälle sind die, die eine Einschätzung bisher übersprungen hat.
Beginnen Sie deshalb nicht mit der vollständigen Liste, sondern mit den Verarbeitungen, die ohnehin geprüft werden: Personal, Bewerbung, Kundendaten, Zahlungsverkehr und die zentralen Auswertungssysteme. Diese wenigen Feststellungen erzeugen die Szenarien, an denen sich alle weiteren ausrichten lassen. Der Rest folgt im Turnus, und zwar dort, wo eine Verarbeitung ohnehin angefasst wird.
Drei Fehler, die die Bewertung wertlos machen
Nur die Stufe festhalten. Wer das Szenario nicht beschreibt, hat die Bewertung nicht dokumentiert, sondern nur ihr Ergebnis. Sechs Monate später ist der Unterschied nicht mehr zu erkennen.
Über die Schutzziele mitteln. Ein Durchschnitt aus drei Schutzzielen wirkt ausgewogen und ist unbrauchbar: Er senkt genau den Wert, der die Maßnahmen bestimmen müsste. Das Maximumprinzip ist keine Vorsichtsmaßnahme, sondern die Logik der Sache.
Die Verarbeitung ohne ihre Systeme bewerten. Solange Verarbeitung und System getrennt eingestuft werden, entstehen zwei Wahrheiten, und die höhere steht meistens in der Datei, die niemand mehr öffnet. Erst die Vererbung macht aus zwei Bewertungen eine.
Woran Sie erkennen, dass es Zeit ist
- Sie können zu keiner Einstufung sagen, welches Schadensszenario dahintersteht.
- Zwei Personen kommen bei derselben Verarbeitung zu unterschiedlichen Stufen.
- Der Schutzbedarf steht in der Systemliste und im Verzeichnis unterschiedlich.
- Aus dem Schutzbedarf sollen Maßnahmen oder Budgets begründet werden.
- Die letzte Bewertung liegt länger zurück als die letzte Systemänderung.
Trifft davon nichts zu, reicht die bestehende Einschätzung. Trifft davon zwei oder mehr zu, wird sie in der nächsten Prüfung nicht halten.
FAQ
Häufige Fragen zur Schutzbedarfsfeststellung
Der Schutzbedarf beschreibt, wie schwer ein Schaden wäre, wenn Vertraulichkeit, Integrität oder Verfügbarkeit verletzt würden. Der Begriff stammt aus dem IT-Grundschutz des BSI, nicht aus der DSGVO. Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind – die Schutzbedarfsfeststellung liefert den Maßstab, an dem sich diese Angemessenheit überhaupt beurteilen lässt.
Der Schutzbedarf beantwortet, wie schwer ein Schaden wäre. Die Risikoanalyse beantwortet, wie wahrscheinlich er ist und welche Maßnahmen ihn senken. Der Schutzbedarf steht am Anfang und begrenzt, welche Maßnahmen angemessen sind; die Risikoanalyse setzt darauf auf. Beides getrennt zu halten verhindert, dass eine unwahrscheinliche Bedrohung einen tatsächlich hohen Schutzbedarf kleinrechnet.
Das Maximumprinzip bedeutet, dass der höchste Einzelwert den Gesamtschutzbedarf bestimmt. Eine Verarbeitung mit hohem Vertraulichkeits- und niedrigem Verfügbarkeitsbedarf ist also hoch, nicht mittel. Ein Durchschnitt würde die Stufe senken, die die Maßnahmen trägt – der Schaden aus einer Offenlegung wird nicht geringer, weil ein Ausfall verkraftbar wäre.
Es gibt keine gesetzliche Frist. Sinnvoll ist eine Überprüfung im festen Turnus, ergänzt um anlassbezogene Prüfungen: neue Datenkategorien, eine neue Schnittstelle, ein Anbieterwechsel oder eine geänderte Nutzergruppe. Wiedervorlagen und Aufgaben erinnern die zuständige Person, damit die Bewertung nicht stiller altert als das System.
Nein, und eine doppelte Pflege ist sogar schädlich, weil sie zwei Stände erzeugt. In preeco | datenschutz wird der Schutzbedarf an der Verarbeitungstätigkeit festgestellt und fließt nach dem Maximumprinzip in die verknüpften Datenverarbeitungssysteme ein. Eigenständig zu bewerten sind nur Systeme, bei denen die Bündelung mehrerer Verarbeitungen den Schutzbedarf zusätzlich anhebt.
Eine Einstufung gemeinsam durchgehen
Nehmen Sie ein System aus Ihrer Liste, das auf „hoch" steht. In 30 Minuten gehen wir die Schadensszenarien durch und zeigen, was die Feststellung daraus macht.