Wie schützt man sensible Unternehmensdaten in einer vernetzten Softwarelandschaft?

Sensible Unternehmensdaten liegen selten an einem einzigen Ort. Kundendossiers befinden sich im CRM, Finanzinformationen im ERP, Personaldaten in der Personalsoftware und Vertragsdokumente in Cloud-Speichern. Hinzu kommen E-Mail-Anhänge, lokale Downloads und automatisierte Schnittstellen, über die Informationen zwischen Anwendungen zirkulieren. Jede zusätzliche Kopie und jeder neue Zugriffsweg kann die Kontrolle über vertrauliche Informationen erschweren.

Ein angemessener Schutz beginnt deshalb nicht mit dem Kauf einer Sicherheitssoftware, sondern mit drei Fragen: Welche Daten sind besonders schützenswert? Wer benötigt für welche Aufgabe Zugriff darauf? Wo werden diese Daten gespeichert, übertragen oder vervielfältigt? Aus den Antworten lassen sich technische und organisatorische Massnahmen ableiten, die zum tatsächlichen Risiko passen.

Für Schweizer Unternehmen ist dabei zwischen dem Schutz vertraulicher Geschäftsinformationen und den gesetzlichen Pflichten beim Umgang mit Personendaten zu unterscheiden. Eine wirksame Sicherheitsstrategie berücksichtigt beides, ohne sämtliche Informationen gleich zu behandeln. Entscheidend ist, dass Schutzmassnahmen auch dann funktionieren, wenn Mitarbeitende, Geschäftsprozesse oder Anwendungen wechseln.

Warum landen vertrauliche Unternehmensdaten in E-Mails, Downloads und Schatten-IT?

Vertrauliche Unternehmensdaten gelangen häufig in E-Mails, Downloads und nicht freigegebene Anwendungen, weil Mitarbeitende damit praktische Hindernisse ihrer täglichen Arbeit umgehen. Fehlende Schnittstellen, komplizierte Freigaben oder eingeschränkte Exportfunktionen fördern zusätzliche Datenkopien. Schatten-IT ist deshalb nicht nur ein Verhaltensproblem, sondern kann auf Schwächen der bestehenden Softwarelandschaft hinweisen.

Ein typisches Beispiel ist die Zusammenarbeit zwischen Vertrieb und Buchhaltung. Benötigt die Buchhaltung Informationen aus dem CRM, aber es fehlt eine geeignete Schnittstelle, exportiert ein Mitarbeitender möglicherweise eine Kundenliste und verschickt sie als Excel-Datei. Die Datei bleibt anschliessend im Download-Ordner, im E-Mail-Postfach und möglicherweise auf weiteren Geräten gespeichert.

Der ursprünglich sinnvolle Arbeitsschritt schafft damit mehrere zusätzliche Speicherorte. Berechtigungsänderungen im CRM erfassen diese Kopien nicht mehr. Zudem lässt sich möglicherweise nicht nachvollziehen, welche Version der Datei noch verwendet wird.

Für eine erste Selbstdiagnose genügen drei Beobachtungen:

• E-Mail-Anhänge: Wie häufig werden Dateien mit Kunden-, Personal- oder Finanzdaten zwischen Abteilungen versendet?
• Private Speicherorte: Werden persönliche Cloud-Konten oder nicht freigegebene Anwendungen für betriebliche Dokumente genutzt?
• Exportverantwortung: Ist nachvollziehbar, wer sensible Daten exportieren darf, wo Kopien entstehen und wann diese gelöscht werden?

Wichtig ist die Unterscheidung zwischen bewusstem und unbeabsichtigtem Datenabfluss. Ein geplanter Export kann über Freigaben, Protokolle und definierte Speicherorte kontrolliert werden. Bei automatischer Synchronisation oder unbemerkten lokalen Kopien muss dagegen zunächst die technische Entstehung nachvollzogen werden.

In der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz (DSG). Bei Verletzungen der Datensicherheit von Personendaten kann nach Art. 24 DSG eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten erforderlich werden. Voraussetzung ist insbesondere, dass die Verletzung voraussichtlich ein hohes Risiko für die Persönlichkeit oder Grundrechte betroffener Personen verursacht. Die Informationen des EDÖB zur Meldung von Datensicherheitsverletzungen erläutern die entsprechenden Anforderungen.

Nicht jeder unkontrollierte Dateiversand löst automatisch eine Meldepflicht aus. Dennoch können solche Vorgänge Vertraulichkeit, vertragliche Verpflichtungen und betriebliche Abläufe gefährden.

Erst wenn diese zusätzlichen Datenwege sichtbar sind, lässt sich beurteilen, welche Informationen tatsächlich besonderen Schutz benötigen.

Wie klassifiziert man Unternehmensdaten nach Schutzbedarf und Zugriffsrisiko?

Unternehmensdaten werden am sinnvollsten nach den möglichen Folgen einer Offenlegung, Veränderung oder eines Verlusts klassifiziert. Anschliessend wird beurteilt, wie viele Personen und Systeme darauf zugreifen und wie häufig die Informationen verarbeitet werden. Aus Schutzbedarf und Zugriffsrisiko ergibt sich, welche Kontrollen erforderlich sind und wo Investitionen zuerst wirken sollten.

Eine praxistaugliche Klassifizierung beginnt nicht bei der Software, sondern bei den Informationen selbst. Eine Kundendatei kann gleichzeitig im CRM, in einer Tabellenkalkulation und in einem E-Mail-Anhang vorkommen. Ihr Schutzbedarf verändert sich dadurch nicht automatisch. Wohl aber ändern sich die Zugriffsmöglichkeiten und die technischen Risiken.

Als Ausgangspunkt eignet sich eine Einteilung in drei Schutzstufen:

• Normal: Eine unbeabsichtigte Offenlegung hätte geringe geschäftliche Auswirkungen. Allgemeine betriebliche Schutzmassnahmen sind angemessen.
• Vertraulich: Eine Offenlegung könnte Kundenbeziehungen, Geschäftsinteressen oder vertragliche Verpflichtungen beeinträchtigen. Zugriffe sollten gezielt eingeschränkt werden.
• Besonders schützenswert: Ein Vorfall könnte schwerwiegende rechtliche, finanzielle oder betriebliche Folgen haben. Strenge Berechtigungen, erhöhte Überwachung und zusätzliche Schutzmassnahmen sind zu prüfen.

Diese Kategorien sind ein organisatorisches Beispiel und keine gesetzlichen Klassifizierungsstufen. Insbesondere dürfen sie nicht mit dem gesetzlichen Begriff besonders schützenswerter Personendaten nach dem Schweizer DSG gleichgesetzt werden.

Die Klassifizierung wird aussagekräftiger, wenn auch das Zugriffsrisiko berücksichtigt wird. Zwei Datenbestände mit vergleichbar hohem Schutzbedarf können unterschiedliche technische Massnahmen benötigen.

Die Einteilung muss anschliessend technisch umsetzbar sein. Wenn etwa ein ERP-System keine ausreichende Differenzierung zwischen Lese-, Änderungs- und Exportrechten ermöglicht, muss diese Einschränkung bei der Risikobewertung berücksichtigt werden. Denkbar sind organisatorische Freigaben, eine restriktivere Rollenvergabe oder zusätzliche technische Kontrollen.

Ein häufiger Fehler besteht darin, ganze Anwendungen pauschal als sensibel oder unkritisch einzustufen. Dadurch können vertrauliche Inhalte ausserhalb der vermeintlich geschützten Systeme übersehen werden. Massgeblich bleiben Inhalt, Nutzung und mögliche Schadensfolgen.

Mit dieser Klassifizierung lässt sich entscheiden, ob die Sicherheitsregeln zentral oder innerhalb der einzelnen Anwendungen durchgesetzt werden sollten.

Zentraler Datenschutz oder Schutz pro Anwendung: Welches Modell ist robuster?

Ein zentral gesteuertes Sicherheitsmodell kann bei vielen vernetzten Anwendungen konsistentere Regeln ermöglichen. Der Schutz pro Anwendung bietet dagegen Vorteile, wenn wenige, eng integrierte Systeme eingesetzt werden. Keines der Modelle ist grundsätzlich robuster: Entscheidend sind die tatsächlichen Datenflüsse, die technische Integration und die Fähigkeit, Berechtigungen bei Veränderungen zuverlässig anzupassen.

Bei einem zentralen Ansatz werden übergreifende Sicherheitsfunktionen wie Identitätsverwaltung, Authentifizierung oder Zugriffsrichtlinien möglichst einheitlich organisiert. Ein anwendungsbezogenes Modell nutzt hingegen die jeweiligen Sicherheitsfunktionen von CRM, ERP, Dokumentenverwaltung und anderen Systemen.

In der Praxis schliessen sich beide Ansätze nicht aus. Eine zentrale Identitätsverwaltung kann beispielsweise die Anmeldung koordinieren, während die Fachanwendung weiterhin bestimmt, welche Datensätze eine Person bearbeiten darf.

Die Entscheidung sollte anhand konkreter Betriebsbedingungen erfolgen. Ein Schweizer KMU mit verschiedenen spezialisierten Cloud-Anwendungen benötigt möglicherweise eine übergreifende Verwaltung von Benutzeridentitäten und Anmeldungen. Ein Unternehmen mit wenigen Anwendungen kann dagegen mit sauber konfigurierten internen Rollenrechten auskommen.

Beim zentralen Modell sind insbesondere der Ausfall einer zentralen Komponente und die Kompromittierung privilegierter Konten zu berücksichtigen. Beim dezentralen Modell wächst das Risiko, dass ehemalige Mitarbeitende oder Abteilungen in einzelnen Systemen überflüssige Berechtigungen behalten.

Die Architektur sollte deshalb nicht allein nach administrativer Bequemlichkeit gewählt werden. Massgeblich ist, ob sicherheitsrelevante Regeln über den gesamten Lebenszyklus der Daten durchgesetzt und überprüft werden können.

Besonders wichtig ist dieser Entscheid bei der Einführung neuer Verwaltungssoftware. Bereits während der Auswahl sollte geklärt werden, ob die Anwendung bestehende Identitätsdienste unterstützt, Zugriffe nachvollziehbar protokolliert und sensible Daten kontrolliert exportieren kann.

Selbst eine sorgfältig geplante Sicherheitsarchitektur kann ihre Wirkung verlieren, wenn Mitarbeitende im Alltag unsichere Umwege bevorzugen.

Welche internen Gewohnheiten erhöhen das Risiko für sensible Unternehmensdaten?

Gemeinsam genutzte Passwörter, unkontrollierte Dateianhänge, persönliche Ablageorte und informelle Freigaben erhöhen das Risiko für sensible Unternehmensdaten. Besonders kritisch sind manuelle Übergänge zwischen Anwendungen, bei denen Informationen kopiert, exportiert oder erneut gespeichert werden. Dauerhafte Verbesserungen entstehen, wenn sichere Arbeitsabläufe einfacher und zuverlässiger sind als unsichere Alternativen.

In kleineren Teams entwickeln sich häufig pragmatische Gewohnheiten. Ein gemeinsam verwendetes Benutzerkonto erspart vermeintlich administrative Arbeit. Eine schnell verschickte Datei ersetzt eine strukturierte Freigabe. Ein privater Messenger wird genutzt, weil Informationen dort leichter erreichbar erscheinen.

Solche Abläufe können jedoch die Nachvollziehbarkeit einschränken. Bei einem gemeinsamen Konto lässt sich beispielsweise schwerer feststellen, wer eine Änderung vorgenommen hat. Persönliche Ordner erschweren die geregelte Übergabe von Dokumenten beim Austritt eines Mitarbeitenden.

Besondere Aufmerksamkeit verdienen folgende Situationen:

• Mehrere Mitarbeitende verwenden dasselbe Passwort oder Benutzerkonto.
• Vertrauliche Dokumente werden dauerhaft in persönlichen Verzeichnissen gespeichert.
• Freigaben erfolgen über weiterleitbare Anhänge statt über kontrollierte Zugriffslinks.
• Informationen werden in privaten Messengern, Screenshots oder informellen Kommunikationskanälen weitergegeben.
• Daten werden aus einer Anwendung exportiert, manuell verändert und in eine andere importiert.

Gerade der letzte Punkt verdient eine systematische Überprüfung. Beim Übergang zwischen Anwendungen können Kopien ohne geregelte Löschung entstehen, Klassifizierungen verloren gehen oder Informationen an Personen gelangen, die im ursprünglichen System keine entsprechende Berechtigung besitzen.

Eine reine Richtlinie mit dem Hinweis, vertrauliche Dateien nicht ungeschützt zu versenden, beseitigt diese Ursachen nicht. Wenn der vorgesehene Prozess umständlich bleibt, bestehen die Anreize für Umgehungslösungen weiterhin.

Für eine Gewohnheitsanalyse können Verantwortliche ausgewählte Arbeitsprozesse gemeinsam mit den betroffenen Teams nachvollziehen: Wo entstehen Screenshots? Welche Daten werden regelmässig heruntergeladen? Für welche Übergaben fehlen integrierte Funktionen? Die Ergebnisse sollten als Hinweise auf Prozessprobleme behandelt werden, nicht als pauschale Schuldzuweisung.

Wo möglich, lassen sich E-Mail-Anhänge durch kontrollierte Dokumentenfreigaben mit begrenzter Gültigkeit, klaren Empfängern und Widerrufsmöglichkeiten ersetzen. Gleichzeitig sollte geprüft werden, welche Zugriffs- und Exportfunktionen die vorhandene Software bereits bereitstellt.

Wer diese Verhaltensweisen verändert, muss anschliessend regelmässig prüfen, ob neue Anwendungen oder organisatorische Veränderungen erneut unsichere Umwege entstehen lassen.

Wann muss der Schutz sensibler Daten neu bewertet werden?

Der Schutz sensibler Unternehmensdaten sollte bei wesentlichen technischen, organisatorischen oder rechtlichen Veränderungen neu bewertet werden. Zusätzlich ist eine periodische Grundprüfung sinnvoll, auch wenn kein konkreter Vorfall aufgetreten ist. Denn neue Anwendungen, veränderte Rollen und über Jahre gewachsene Berechtigungen können eine ursprünglich angemessene Sicherheitskonfiguration schrittweise unwirksam machen.

Eine anlassbezogene Neubewertung ist insbesondere bei folgenden Veränderungen angezeigt:

• Einführung, Migration oder Ablösung einer Kernsoftware
• Neue Abteilungen, Rollen oder grössere organisatorische Veränderungen
• Austritt oder Funktionswechsel von Personen mit weitreichenden Zugriffsrechten
• Neue Dienstleister, externe Schnittstellen oder Verträge mit sensiblen Datenflüssen
• Datensicherheitsverletzungen oder wesentliche Änderungen relevanter rechtlicher Anforderungen

Bei solchen Ereignissen genügt häufig eine gezielte Prüfung der betroffenen Prozesse. Wird beispielsweise eine neue Personalsoftware eingeführt, stehen die Übertragung bestehender Personaldaten, Zugriffsrollen, Schnittstellen und Löschregeln im Mittelpunkt.

Daneben braucht es eine umfassendere periodische Kontrolle. Für viele KMU kann eine jährliche Überprüfung als organisatorischer Ausgangspunkt dienen. Bei besonders kritischen Systemen oder häufigen Veränderungen können kürzere Intervalle angemessen sein. Ein allgemeiner gesetzlicher Jahresturnus für sämtliche Zugriffsrechte lässt sich daraus nicht ableiten.

Die zentrale Prüffrage lautet: Wer kann heute auf welche sensiblen Informationen zugreifen, und ist dieser Zugriff für die aktuelle Aufgabe noch erforderlich?

Zur Beantwortung werden Benutzerkonten, Rollen, besonders privilegierte Zugriffe, externe Freigaben und relevante Schnittstellen mit den aktuellen Aufgabenprofilen verglichen. Festgestellte Abweichungen sollten einer verantwortlichen Person zur Entscheidung zugewiesen werden.

Das NIST Cybersecurity Framework 2.0 behandelt unter anderem die Festlegung, Verwaltung, Durchsetzung und Überprüfung von Zugriffsberechtigungen. Es ist ein technischer Orientierungsrahmen, begründet jedoch keine eigenständigen schweizerischen Rechtspflichten.

Die anlassbezogene Prüfung reagiert auf eine konkrete Veränderung. Die periodische Prüfung bewertet dagegen das Gesamtsystem und dessen schleichende Entwicklung. Beide Verfahren ergänzen sich, ersetzen einander aber nicht.

Die gewonnenen Erkenntnisse bilden zugleich die Grundlage für ein Berechtigungsmodell, das sich konsequent an den tatsächlichen Aufgaben der Mitarbeitenden orientiert.

Wie setzt man das Prinzip der minimalen Rechte im Unternehmensalltag um?

Das Prinzip der minimalen Rechte bedeutet, dass Benutzerkonten nur jene Berechtigungen erhalten, die für ihre konkreten Aufgaben notwendig sind. Dafür werden Geschäftsrollen mit Systembereichen und Zugriffsebenen verknüpft. Entscheidend sind ein nachvollziehbarer Genehmigungsprozess, die Begrenzung zeitlich befristeter Zugriffe und die regelmässige Entfernung nicht mehr benötigter Berechtigungen.

Minimale Rechte bedeuten nicht, allen Mitarbeitenden grundsätzlich nur Lesezugriff zu gewähren. Eine Person in der Buchhaltung benötigt möglicherweise Änderungsrechte für Rechnungen, aber keinen Zugriff auf vertrauliche Personaldossiers. Eine Teamleitung darf bestimmte Vorgänge freigeben, sollte jedoch nicht automatisch sämtliche administrativen Systemfunktionen erhalten.

Eine Rollenmatrix macht solche Unterschiede konkret. Die folgende Darstellung ist ein vereinfachtes Organisationsbeispiel; tatsächliche Berechtigungen müssen anhand der Geschäftsprozesse festgelegt werden.

Bei bestehenden Systemen ist die Ausgangslage oft schwieriger: Historisch gewachsene Konten verfügen teilweise über weitreichende Rechte. Eine sofortige, pauschale Einschränkung kann dann betriebliche Abläufe blockieren.

Ein kontrollierter Übergang beginnt deshalb mit neuen, klar definierten Rollen. Bestehende Konten können anschliessend anhand einer Risikopriorisierung migriert werden, beispielsweise bei Rollenwechseln, organisatorischen Anpassungen oder Softwaremigrationen. Kritische Überberechtigungen sollten jedoch nicht bis zu einem solchen Anlass bestehen bleiben.

Besonders relevant sind temporäre Projektzugriffe. Werden Berechtigungen nur mündlich oder per E-Mail genehmigt, fehlt möglicherweise ein geregelter Widerruf. Technisch hinterlegte Ablaufdaten oder ein verbindlicher Entzugsprozess reduzieren dieses Risiko.

Auch die organisatorische Verantwortung muss eindeutig sein. Eine Fachverantwortliche kann entscheiden, ob eine Person einen geschäftlichen Zugriff benötigt. Die IT setzt die Berechtigung technisch um und überprüft, ob sie den freigegebenen Umfang einhält. Bei besonders kritischen Rechten ist eine getrennte Genehmigung sinnvoll.

Ein einfacher und schneller Antragsweg ist dabei wesentlich. Wenn Mitarbeitende für legitime Aufgaben tagelang auf Freigaben warten müssen, steigt der Anreiz, vorhandene Konten oder informelle Zugriffswege zu verwenden.

Bevor zusätzliche Sicherheitsprodukte beschafft werden, sollte geklärt werden, welche dieser Kontrollen bereits mit vorhandenen Systemen umgesetzt werden können.

Wie priorisiert man Sicherheitslösungen bei begrenztem IT-Budget?

Bei einem begrenzten IT-Budget sollten Unternehmen Sicherheitsinvestitionen nach möglichen Schadensfolgen und nicht nach der Anzahl verfügbarer Produkte priorisieren. Vorrang haben Kontrollen, deren Ausfall kritische Geschäftsprozesse gefährdet: Zugangsschutz, Wiederherstellbarkeit von Daten und die Absicherung besonders sensibler Informationen. Bestehende, ungenutzte Sicherheitsfunktionen verdienen dabei besondere Aufmerksamkeit.

Die erste Budgetfrage lautet nicht, welches Produkt den grössten Funktionsumfang bietet. Entscheidend ist, welches konkrete Risiko reduziert werden soll und welche Auswirkungen ein Sicherheitsvorfall auf den Geschäftsbetrieb hätte.

Kann ein Unternehmen nach dem Verlust seiner zentralen Verwaltungsdaten nicht mehr fakturieren oder Kundenaufträge bearbeiten, hat eine nachweisbar funktionierende Wiederherstellung hohe Priorität. Sind hingegen privilegierte Benutzerkonten unzureichend geschützt, können sichere Authentifizierung und restriktive administrative Berechtigungen dringlicher sein.

Ein zweiter Schritt besteht darin, die bereits verfügbaren Funktionen zu erfassen. Manche ERP-, Cloud- und Verwaltungssoftwarelösungen bieten beispielsweise Rollenverwaltung, Sicherheitsprotokolle oder Backup-Einstellungen, die im Unternehmen noch nicht konsequent konfiguriert wurden.

Neue Investitionen sollten deshalb anhand mehrerer Kriterien geprüft werden:

• Schadenspotenzial: Welche betrieblichen, finanziellen oder rechtlichen Folgen vermindert die Massnahme?
• Abdeckung: Schützt die Lösung mehrere kritische Prozesse oder nur eine einzelne Anwendung?
• Betriebsaufwand: Welche internen Ressourcen sind für Einrichtung, Wartung und Überwachung erforderlich?
• Integrationsfähigkeit: Funktioniert die Lösung mit den bestehenden Identitäts-, Daten- und Verwaltungsprozessen?
• Schrittweise Umsetzung: Können zuerst die risikoreichsten Systeme abgesichert werden?

Zum wirtschaftlichen Vergleich gehören auch mögliche Kosten eines Vorfalls: Wiederherstellung, Betriebsunterbruch, externe Unterstützung, Benachrichtigungen und vertragliche Konsequenzen.

Das schweizerische Datenschutzgesetz sieht für bestimmte vorsätzlich begangene Pflichtverletzungen Bussen von bis zu 250’000 CHF vor. Grundsätzlich richtet sich die strafrechtliche Verantwortlichkeit gegen natürliche Personen. Eine Datenpanne führt nicht automatisch zu einer Busse. Weitere Voraussetzungen und Ausnahmen erläutern die Erläuterungen des EDÖB zu den Strafbestimmungen des DSG.

Eine wirtschaftliche Sicherheitsplanung sollte diese rechtlichen Risiken berücksichtigen, ohne theoretische Höchstbeträge als wahrscheinliche Vorfallskosten darzustellen. Sinnvoller ist eine dokumentierte Einschätzung konkreter Schadensszenarien und der Wirksamkeit möglicher Gegenmassnahmen.

Hoch entwickelte Speziallösungen sind nicht automatisch wirtschaftlich, solange wesentliche Grundlagen fehlen. Wenn beispielsweise Datensicherungen vorhanden sind, ihre Wiederherstellung aber nie überprüft wurde, kann ein Wiederherstellungstest einen unmittelbareren Nutzen bieten als eine weitere isolierte Überwachungsfunktion.

Aus dieser Bewertung ergibt sich schliesslich, welche konkreten Sicherheitslösungen das Unternehmen tatsächlich benötigt und welche zusätzlichen Produkte vorerst keinen ausreichenden Nutzen versprechen.

Welche speziellen Sicherheitslösungen braucht ein Unternehmen wirklich?

Unternehmen benötigen vor allem Sicherheitslösungen, die ihre wichtigsten Datenbestände und Geschäftsprozesse zuverlässig schützen. Dazu gehören kontrollierte Zugriffe, angemessene Verschlüsselung, geschützte und getestete Backups sowie nachvollziehbare Sicherheitsprotokolle. Zusätzliche Spezialwerkzeuge sind sinnvoll, wenn eine konkrete Risikoanalyse zeigt, dass diese Grundfunktionen bestimmte Gefährdungen nicht ausreichend abdecken.

Die Auswahl sollte mit einer Übersicht der Daten beginnen: Welche vertraulichen Informationen liegen in welchen Anwendungen? Wo werden sie übertragen oder exportiert? Wer darf darauf zugreifen? Erst danach lässt sich beurteilen, welche technische Kontrolle erforderlich ist.

Für viele Schweizer KMU bilden vier Sicherheitsfunktionen eine zweckmässige Grundlage.

Diese Kontrollen erfüllen unterschiedliche Aufgaben. Verschlüsselung schützt beispielsweise Daten unter bestimmten Bedingungen vor unbefugter Einsicht, ersetzt aber keine Zugriffsrechte innerhalb einer laufenden Anwendung. Protokollierung hilft, verdächtige Vorgänge zu erkennen oder nachträglich zu untersuchen, verhindert jedoch nicht jeden unberechtigten Zugriff.

Backups wiederum müssen nicht nur existieren, sondern im Ernstfall verwendbar sein. Dabei sind der Schutz der Sicherungskopien vor unbefugten Änderungen, die Verfügbarkeit benötigter Schlüssel und die tatsächliche Wiederherstellbarkeit zu berücksichtigen.

Weitergehende Sicherheitswerkzeuge wie Data Loss Prevention, erweiterte Angriffserkennung oder spezialisierte Cloud-Sicherheitskontrollen können erforderlich sein, wenn konkrete Datenflüsse, Bedrohungen oder regulatorische Anforderungen dies rechtfertigen. Ihr Nutzen hängt jedoch davon ab, ob ausreichend Fachwissen und Ressourcen für den laufenden Betrieb vorhanden sind.

Vor der Beschaffung sollte zudem die technische Integration geprüft werden. Eine Lösung, die wichtige Ereignisse aus der bestehenden Verwaltungssoftware nicht verarbeiten kann oder für jede Datenübertragung manuelle Exporte benötigt, kann zusätzliche operative Risiken schaffen.

Die wirksamste Sicherheitsarchitektur ist daher nicht zwangsläufig die umfangreichste. Sie verbindet die erforderlichen technischen Kontrollen mit klaren Zuständigkeiten, überprüfbaren Prozessen und einer überschaubaren Anzahl sinnvoll integrierter Systeme.

Als nächster Schritt empfiehlt sich eine gemeinsame Bestandsaufnahme durch IT, Geschäftsleitung und zuständige Fachbereiche. Dabei sollten zunächst die wichtigsten Datenbestände, Berechtigungen und Wiederherstellungsprozesse überprüft und daraus wenige, priorisierte Verbesserungsmassnahmen mit klarer Verantwortung abgeleitet werden.