TOM nach Art. 32 DSGVO: 14 prüffeste Maßnahmen für KMU
TL;DR
- TOMs nach Art. 32 DSGVO sind Pflicht für jeden Verantwortlichen — risikoangemessen
- Keine Mindestliste — Stand der Technik (BSI Grundschutz, ISO 27002, ENISA)
- 14 typische TOMs für 30-Personen-Maschinenbauer als Beispiel
- ISO 27001 deckt 80-90 % ab, Lücken bei Beschäftigtendatenschutz + Pseudonymisierung
- Aufsichten prüfen TOMs primär nach Datenpannen — vorab dokumentieren ist Pflicht
1. Was sind TOMs?
Technische und Organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO sind Sicherheitsmaßnahmen zum Schutz personenbezogener Daten. Sie umfassen technische Mittel (Verschlüsselung, MFA, Backup) und organisatorische Verfahren (Berechtigungen, Schulungen, Vier-Augen-Prinzip).
2. Risikobasiert: was 'angemessen' bedeutet
Art. 32 Abs. 1 nennt 4 Kriterien für die Angemessenheit:
- Stand der Technik
- Implementierungskosten
- Art, Umfang, Umstände, Zwecke der Verarbeitung
- Eintrittswahrscheinlichkeit + Schwere des Risikos für Rechte/Freiheiten
3. 14 typische TOMs für KMU
Kurzantwort: Vierzehn TOM-Maßnahmen bilden den Praxis-Standard für KMU: MFA für Admin-Konten, VPN für Remote-Zugriff, Festplattenverschlüsselung, tägliches Backup nach 3-2-1-Prinzip, Need-to-Know-Berechtigungskonzept, jährliche Schulung, Patch-Management mit 30-Tage-Frist für Critical, Vier-Augen-Prinzip, Server-Raum-Zutrittskontrolle, TLS 1.3, Pseudonymisierung in Test-Umgebungen, DIN-66399-Aktenvernichtung, jährlicher Penetrationstest sowie Notfall-Plan mit halbjährlicher Tabletop-Übung.
| # | TOM | Schutzziel | Standard-Lösung |
|---|---|---|---|
| 1 | MFA für alle Admin-Konten | Vertraulichkeit | FIDO2 / TOTP |
| 2 | VPN für Remote-Zugriff | Vertraulichkeit, Integrität | WireGuard / OpenVPN |
| 3 | Festplattenverschlüsselung | Vertraulichkeit | BitLocker, FileVault |
| 4 | Tägliches Backup | Verfügbarkeit | 3-2-1-Prinzip, 30-Tage-Retention |
| 5 | Berechtigungskonzept Need-to-Know | Vertraulichkeit, Zweckbindung | RBAC + jährlicher Review |
| 6 | Schulung jährlich | Organisation | 40-Slides-E-Learning + Quiz |
| 7 | Patch-Management | Integrität, Verfügbarkeit | 30-Tage-Frist für Critical, 90 für High |
| 8 | Vier-Augen-Prinzip | Integrität | Bei Sub-Vergabe, Auszahlungen, Datenexport |
| 9 | Server-Raum-Zutritt | Vertraulichkeit | Verschlossener Schrank/Raum + Zutrittsprotokoll |
| 10 | SSL/TLS für Web-Services | Vertraulichkeit, Integrität | TLS 1.3, BSI TR-02102 |
| 11 | Pseudonymisierung Test-Umgebung | Datenminimierung | Faker-Tools, hash-basiert |
| 12 | Akten-Vernichtung | Vertraulichkeit | DIN 66399 (P-4 oder höher) |
| 13 | Penetrationstest | Wirksamkeit | Jährlich, Stichprobe |
| 14 | Notfall-Plan + Tabletop | Resilienz | Halbjährlich Übung |
4. ISO 27001-Mapping
Kurzantwort: DSGVO-TOMs lassen sich direkt auf ISO-27001-Annex-A-Controls abbilden: Zugangskontrolle entspricht A.9, Verschlüsselung A.10, physische Sicherheit A.11, Backup A.12.3, Schulung A.7.2.2, Vorfallmanagement A.16 und Lieferantenmanagement A.15. Wer ISO 27001 zertifiziert ist, deckt damit die meisten Art.-32-Anforderungen bereits ab.
| TOM-Bereich | ISO 27001 Annex A |
|---|---|
| Zugangskontrolle | A.9 (Access Control) |
| Verschlüsselung | A.10 (Cryptography) |
| Physische Sicherheit | A.11 (Physical Security) |
| Backup | A.12.3 |
| Schulung | A.7.2.2 |
| Vorfälle | A.16 |
| Lieferanten | A.15 |
5. Review-Zyklus + Aufsichts-Praxis
Aufsichten prüfen TOMs primär in zwei Konstellationen:
- Nach einer gemeldeten Datenpanne (Art. 33): waren TOMs angemessen?
- Bei einer DSFA-Konsultation (Art. 36): sind TOMs für das Hochrisiko ausreichend?
Praxis-Standard: jährlicher Review + ad-hoc nach Vorfällen + nach wesentlichen IT-Änderungen.
6. TOM-Anpassung nach Vorfall
Nach jeder Datenpanne MÜSSEN TOMs überprüft werden. Dokumentation der Anpassung ist Audit-relevant. Häufige Anpassungen 2024-2026:
- MFA-Rollout nach Phishing-Vorfall
- Berechtigungs-Reduktion nach Insider-Vorfall
- Backup-Test nach Ransomware-Vorfall
- Schulung nach 'menschlichem Versagen'-Vorfall
Häufig gestellte Fragen
Reicht ISO 27001 als TOM-Nachweis?
Wie oft TOMs aktualisieren?
Wer prüft die TOMs des Auftragsverarbeiters?
Was bedeutet 'Stand der Technik'?
MFA für alle Mitarbeitenden Pflicht?
Was ist mit Pseudonymisierung?
Quellen
- Verordnung (EU) 2016/679 (DSGVO) — deutscher Volltext, EUR-Lex (Stand: 02.05.2026, geltend seit 25.05.2018)
- Bundesdatenschutzgesetz (BDSG) — gesetze-im-internet.de (Stand: laufend, BMJ-Servicestelle)
- Europäische Kommission — Datenschutz-Hauptseite (Stand: laufend)
- EDPB Leitlinien 04/2022 zur Berechnung von Geldbußen (Stand: 02.05.2026)