Verschlüsseln Sie Kundendaten im Ruhezustand und bei der Übertragung, lagern Sie sie auf Servern in Deutschland oder der EU, und regeln Sie den Zugriff über Rollenkonzepte mit Zwei-Faktor-Authentifizierung. Dazu gehört ein dokumentiertes Backup-Konzept mit klaren Wiederherstellungszielen. Wer das umsetzt, erfüllt gleichzeitig die Kernanforderungen aus Artikel 32 und 33 der DSGVO sowie, bei Zahlungsdaten, die Vorgaben des PCI-DSS-Standards.
Drei Schritte lassen sich sofort anstoßen:
- Verschlüsselung für Datenbanken und Übertragungswege aktivieren (mindestens TLS 1.2).
- Zugriffsrechte nach dem Prinzip „so wenig wie möglich“ vergeben, und 2FA einführen.
- Ein Verzeichnis der Verarbeitungstätigkeiten anlegen, falls noch nicht vorhanden.
Profi-Tipp: Beginnen Sie nicht mit der Technik, sondern mit der Bestandsaufnahme. Sie können keine Daten schützen, von deren Existenz Sie nichts wissen.
Wichtige Erkenntnisse
Kundendaten sicher speichern gelingt KMU nur mit der Kombination aus Verschlüsselung, Zugriffssteuerung, getestetem Backup-Konzept und dokumentierten TOM.
| Thema | Details |
|---|---|
| Serverstandort wählen | Server in Deutschland oder der EU vereinfachen DSGVO-Konformität und Datenübermittlung. |
| Zugriff begrenzen | Rollenbasierte Rechte und 2FA verhindern, dass zu viele Personen Zugriff auf sensible Daten haben. |
| Backups testen | Ein Backup ohne regelmäßigen Restore-Test bietet im Ernstfall keine echte Sicherheit. |
| Zahlungsdaten auslagern | Kartendaten gehören zu zertifizierten Zahlungsdienstleistern wie Stripe, PayPal oder Klarna, nicht auf eigene Server. |
| Praktische Umsetzung sichern | Codenexa unterstützt KMU mit DSGVO-konformem Hosting in Deutschland und dokumentierten Backup-Konzepten. |
Inhaltsverzeichnis
- Schnelle To-Do-Checkliste für die nächsten 30 bis 90 Tage
- Verschlüsselung, Zugriff und Backups technisch umsetzen
- DSGVO-konform speichern und dokumentieren
- Wie handhaben KMU Zahlungsdaten rechtssicher?
- Worauf KMU bei Hosting-Anbietern in Deutschland achten sollten
- Wie Codenexa KMU bei sicherer Datenspeicherung unterstützt
- Quellen
Schnelle To-Do-Checkliste für die nächsten 30 bis 90 Tage
Kundendaten sicher speichern gelingt nicht über Nacht, aber in drei überschaubaren Etappen. Geschäftsführung, IT und Datenschutzbeauftragte teilen sich dabei die Verantwortung, und jede Phase baut auf der vorherigen auf.
In den ersten 30 Tagen geht es um Bestandsaufnahme, nicht um Umbau. Erstellen Sie ein Verzeichnis der Verarbeitungstätigkeiten, prüfen Sie, wo Ihre Server tatsächlich stehen, und klassifizieren Sie Ihre Daten nach Sensibilität. Adressdaten sind unkritisch, Zahlungs- oder Gesundheitsdaten verlangen deutlich schärfere Kontrollen.
- Verzeichnis der Verarbeitungstätigkeiten anlegen oder aktualisieren.
- Serverstandorte aller genutzten Dienste dokumentieren.
- Kritische Datenkategorien markieren (Zahlungsdaten, Gesundheitsdaten, besondere Kategorien nach Art. 9 DSGVO).
Tage 31 bis 60 drehen sich um technische Umsetzung. Aktivieren Sie Verschlüsselung dort, wo sie fehlt, führen Sie ein Rollenkonzept mit 2FA ein, und legen Sie fest, wie oft und wohin gesichert wird.
- Verschlüsselung für ruhende und übertragene Daten prüfen und aktivieren.
- Rollenbasierte Zugriffsrechte (RBAC) einführen, Sammelkonten abschaffen.
- RPO und RTO für Ihr Backup-Konzept festlegen.
Ab Tag 60 wird es organisatorisch: Verträge mit Auftragsverarbeitern prüfen, Mitarbeitende schulen, Wiederherstellung testen. Diese letzte Phase kostet meist am wenigsten Geld, aber am meisten Disziplin, denn ein ungetestetes Backup ist im Ernstfall wertlos.
Verschlüsselung, Zugriff und Backups technisch umsetzen
Bei ruhenden Daten ist die Verwendung von starker Verschlüsselung wie AES-256 empfohlen, bei der Übertragung sollten aktuelle TLS-Protokollversionen genutzt werden. Wichtig ist das Schlüsselmanagement: Wer Verschlüsselungsschlüssel zusammen mit den verschlüsselten Daten sichert, hat im Grunde nichts gewonnen. Schlüssel gehören getrennt aufbewahrt, idealerweise in einem eigenen Tresor oder Hardware-Sicherheitsmodul.
Beim Zugriff zählt das Prinzip der minimalen Berechtigung. Jeder Mitarbeitende bekommt eine eindeutige Benutzerkennung, keine geteilten Logins. Rollenbasierte Zugriffsrechte (RBAC) sorgen dafür, dass die Buchhaltung keine Kundenverträge einsehen kann und der Vertrieb nicht in der Gehaltsabrechnung landet. Zwei-Faktor-Authentifizierung sollte laut Empfehlungen der Datenschutzaufsicht mittlerweile Standard für jeden Zugang mit sensiblen Daten sein, nicht die Ausnahme.
Firewalls und Intrusion-Detection-Systeme ergänzen diese Maßnahmen auf Netzwerkebene, regelmäßiges Patch-Management schließt bekannte Sicherheitslücken, bevor sie ausgenutzt werden.
Beim Backup lohnt sich ein Blick auf die Details, die oft übersehen werden:
| Aspekt | Empfehlung für KMU |
|---|---|
| Häufigkeit | Regelmäßige Sicherungen gemäß Backup-Konzept, abhängig von Art der Daten und Geschäftsanforderungen |
| Aufbewahrungsort | Räumlich getrennt vom Primärsystem, idealerweise zweiter Standort |
| Verschlüsselung | Auch Sicherungskopien verschlüsseln, nicht nur die Live-Datenbank |
| Testintervall | Mindestens vierteljährlich ein echter Restore-Test |
Profi-Tipp: RAID ersetzt kein Backup. RAID schützt vor Festplattenausfall, aber nicht vor einem Verschlüsselungstrojaner, der alle verbundenen Laufwerke gleichzeitig verschlüsselt. Ein Backup-Konzept nach den Vorgaben des BSI braucht eine physisch oder logisch getrennte Kopie.
DSGVO-konform speichern und dokumentieren
Artikel 32 der DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“, ohne eine feste Liste vorzugeben. Das bedeutet: Sie müssen selbst begründen können, warum Ihre Maßnahmen zum Risiko Ihrer Verarbeitung passen. Bei hohem Risiko, etwa bei umfangreicher Profilbildung, wird eine Datenschutz-Folgenabschätzung verpflichtend.
Die Dokumentationspflicht trifft jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhängig von der Größe. Drei Dokumente sollten griffbereit sein:
- Verzeichnis der Verarbeitungstätigkeiten mit Zweck, Rechtsgrundlage und Speicherdauer je Datenkategorie.
- Dokumentation der technischen und organisatorischen Maßnahmen (TOM), die Sie tatsächlich umgesetzt haben.
- Auftragsverarbeitungsverträge (AVV) mit jedem Dienstleister, der Zugriff auf Kundendaten hat, inklusive Standortklausel.
Geschäftsführer haften nach überwiegender Auffassung persönlich, wenn Datenschutzverstöße auf fehlende oder unzureichende Maßnahmen zurückgehen. Das macht Datenschutz zur Chefsache, nicht zur reinen IT-Angelegenheit. Löschkonzepte gehören ebenfalls dazu: Rechnungsdaten müssen nach § 257 HGB zehn Jahre aufbewahrt werden, viele andere Kundendaten dagegen nur so lange, wie der Verarbeitungszweck besteht. Wer mehr Felder sammelt als nötig, erhöht laut datenschutzrechtlicher Einschätzung im Schadensfall auch das eigene Haftungsrisiko, ganz unabhängig von der Absicht dahinter.
Homeoffice und private Endgeräte verdienen eigene Regeln: VPN-Pflicht, keine Kundendaten auf privaten Cloud-Speichern, klare Meldewege bei Verlust eines Geräts.
Profi-Tipp: Schulen Sie Mitarbeitende nicht einmalig, sondern jährlich. Die meisten Datenschutzvorfälle in KMU entstehen durch Unachtsamkeit, nicht durch komplexe Angriffe.
Wie handhaben KMU Zahlungsdaten rechtssicher?
Kartennummern und Prüfziffern gehören grundsätzlich nicht auf eigene Server. Wer Zahlungsdaten selbst verarbeitet, unterliegt vollständig dem PCI-DSS-Standard, einem aufwendigen Regelwerk mit jährlichen Audits. Für die meisten KMU lohnt sich das schlicht nicht.
Die praxisnähere Lösung: Zahlungsdienstleister wie Stripe, PayPal oder Klarna übernehmen die Kartendaten komplett über Tokenisierung und Ende-zu-Ende-Verschlüsselung. Ihr System sieht dann nie die echte Kartennummer, sondern nur ein Token. Stripe selbst beschreibt, dass dieser Ansatz die PCI-DSS-Last für Händler drastisch senkt, oft auf eine einfache Selbstauskunft.
Fragen Sie jeden Zahlungsdienstleister konkret nach:
- Zertifizierungsstufe (PCI-DSS Level 1 gilt als höchste Stufe).
- Ob Tokenisierung und Ende-zu-Ende-Verschlüsselung standardmäßig aktiv sind.
- Verarbeitungsstandort der Zahlungsdaten.
- Reaktionszeiten und Prozess bei einem Sicherheitsvorfall.
Worauf KMU bei Hosting-Anbietern in Deutschland achten sollten
Der Serverstandort entscheidet mit darüber, wie einfach Sie DSGVO-Anforderungen erfüllen können. Hosting in Deutschland oder der EU vereinfacht Datenübermittlungsfragen erheblich, während Anbieter außerhalb der EU zusätzliche Vertragsmechanismen verlangen.
Achten Sie bei der Anbieterwahl auf diese Punkte:
- Serverstandort explizit im Vertrag festgehalten, nicht nur mündlich zugesichert.
- Zertifizierung nach ISO 27001 oder vergleichbarem Standard.
- Verfügbarkeits-SLA mit konkreten Prozentwerten, nicht nur „bestmögliche Verfügbarkeit“.
- Auftragsverarbeitungsvertrag inklusive Liste eingesetzter Subunternehmer.
- Nachweisbare Restore-Tests und Protokollierung von Zugriffen.
Rote Flaggen sind schnell erkennbar: unklare Angaben zum Serverstandort, kein AVV verfügbar, keine Auskunft über Backup-Häufigkeit. Ein Anbieter, der solche Fragen ausweicht, gehört in vielen Fällen nicht in die engere Auswahl.
Profi-Tipp: Fragen Sie im Erstgespräch konkret nach dem letzten durchgeführten Restore-Test. Die Antwort verrät mehr über die tatsächliche Sicherheitskultur eines Anbieters als jedes Hochglanz-Zertifikat.
Ein praktischer Blick auf sichere Kundendatenspeicherung
Codenexa begleitet Kunden regelmäßig bei genau diesen Fragen: Hosting in Deutschland, Backup-Konzepte mit dokumentierten Wiederherstellungszeiten, DSGVO-konforme technische Umsetzung für Websites und Onlineshops. Der typische Fall sieht so aus, dass ein KMU wachsen will, aber die Datenbasis dafür weder verschlüsselt noch dokumentiert ist. Details zur eigenen Verarbeitung finden sich in der Datenschutzerklärung von Codenexa, Ansprechpartner für Rückfragen ist Abdulrahim.
Wie Codenexa KMU bei sicherer Datenspeicherung unterstützt
Codenexa ist die praktische Alternative zur internen IT-Abteilung, die viele kleinere Unternehmen schlicht nicht haben: DSGVO-konformes Hosting in Deutschland, ein dokumentiertes Backup-Konzept und eine technische Grundausstattung, die nicht erst nach dem ersten Vorfall nachgerüstet wird.
Zum Leistungsspektrum gehören ein DSGVO-Check für bestehende Websites und Shops, Hosting mit Serverstandort Deutschland, Backup-Konzepte mit klar definierten Wiederherstellungszeiten und die Integration geprüfter Zahlungsdienstleister. Wer gerade einen Onlineshop plant oder überarbeitet, findet im Leitfaden zum Aufbau einer E-Commerce-Website konkrete Hinweise zu sicheren Zahlungsintegrationen und Datenhaltung. Mitarbeiterschulungen zur Cybersicherheit lassen sich sinnvoll über spezialisierte E-Learning-Angebote ergänzen, während Codenexa die technische Seite übernimmt.
Wer wissen möchte, wo die eigene Website oder der eigene Shop aktuell in Sachen Datensicherheit steht, kann über die Kontaktseite von Codenexa einen ersten, unverbindlichen Check anfragen. Das ist der einfachste erste Schritt, bevor größere Anpassungen anstehen.
Quellen
Wer tiefer einsteigen möchte, findet bei der BfDI praxisnahe Checklisten, beim BSI detaillierte Vorgaben zu Backup-Konzepten und beim EDPB einen kompakten Leitfaden für KMU zur DSGVO-Umsetzung.
Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.
Kommentar schreiben