Bei der Verknüpfung des Datenschutzes (gemäß DSGVO und dem deutschen BDSG) mit dem IT-Support besteht die größte Herausforderung darin, dass IT-Support-Mitarbeiter bei der Fehlersuche oder Wartung von Hard- und Software häufig mit personenbezogenen Daten (wie Mitarbeiter-E-Mails, Kundendatenbanken, HR-Akten und Systemprotokollen) in Kontakt kommen, diese verarbeiten oder Zugriff darauf haben.
Compliance erfordert das Ausbalancieren zwischen effizienter Problemlösung und strengen rechtlichen Schutzmaßnahmen.
Die Regel: Wenn Sie einen externen IT-Dienstleister oder einen konzerneigenen Managed Service Provider einsetzen, schreibt Artikel 28 DSGVO den Abschluss eines Auftragsverarbeitungsvertrags (AVV) vor.
Bedeutung: Der Dienstleister ist legally daran gebunden, Daten nur auf dokumentierte Weisung des Verantwortlichen (MAS TECH) zu verarbeiten, und muss strenge Datensicherheitsstandards einhalten.
Die Regel: Gemäß Artikel 29 und Artikel 32 Abs. 4 DSGVO darf niemand, der dem Verantwortlichen oder dem Auftragsverarbeiter unterstellt ist und Zugang zu personenbezogenen Daten hat, diese Daten außer auf Weisung verarbeiten.
Bedeutung: Interne und externe IT-Support-Mitarbeiter müssen formell auf das Datengeheimnis (Vertraulichkeitsvereinbarung für Mitarbeiter) verpflichtet und regelmäßig zu Grundlagen des Datenschutzes geschult werden (z. B. Umgang mit Tickets, Vermeidung unbefugter Einsichtnahme bei Bildschirmfreigaben).
Die Regel: IT-Support-Techniker sollten nur Zugriff auf genau die Systeme, Dateien und Administratorrechte haben, die zur Lösung eines spezifischen Tickets erforderlich sind.
Bedeutung: Vermeiden Sie die standardmäßige Vergabe von universellen „Domain Admin“-Konten. Nutzen Sie rollenbasierte Zugriffskontrolle (RBAC), Multi-Faktor-Authentifizierung (MFA) für administrative Zugriffe und zeitlich begrenzte Privileged Access Management (PAM)-Lösungen.
Fernwartung (Remote Desktop): Bevor ein IT-Techniker eine Fernwartungssitzung startet, sollte der Endanwender im Idealfall explizit zustimmen oder benachrichtigt werden, damit er private oder sensible Anwendungen (z. B. Online-Banking, HR-Unterlagen) schließen kann. Unbeaufsichtigter Fernzugriff erfordert eine strenge Protokollierung und Überwachung.
Ticket-Systeme: Support-Tickets enthalten häufig sensible Logs, Screenshots von Fehlermeldungen oder Chatverläufe mit personenbezogenen Daten. Stellen Sie sicher, dass Ihr Ticket-System über Löschfristen (Retention Policies) verfügt, die gelöste Tickets nach einem festgelegten Zeitraum automatisch löschen oder anonymisieren.
Die Regel: Techniker sollten niemals Produktionsdatenbanken mit Live-Daten (z. B. personenbezogene Kundendaten) auf lokale Rechner oder in Testumgebungen kopieren, um Fehler zu beheben.
Bedeutung: Wenn das Debugging reale Daten erfordert, nutzen Sie wann immer möglich anonymisierte, pseudonymisierte oder synthetische Testdaten.
Clean Desk & Clean Screen: Setzen Sie Richtlinien durch, nach denen IT-Mitarbeiter ihre Bildschirme sperren, wenn sie ihren Arbeitsplatz verlassen – insbesondere, wenn Support-Bereiche offen zugänglich sind oder von externen Kunden besucht werden.
Sichere Entsorgung von Hardware: Wenn der IT-Support Festplatten, SSDs oder Server austauscht, muss eine zertifizierte Datenvernichtung (nach DIN 66399) sichergestellt und die Übertragungskette (Chain of Custody) dokumentiert werden.
Notfallplan (Incident Response Plan): Gemäß Artikel 33 DSGVO müssen Datenschutzverletzungen (z. B. Ransomware-Befall der IT-Infrastruktur oder ein gestohlener, unverschlüsselter Support-Laptop) innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Der IT-Support muss über ein schnelles Eskalationsprotokoll verfügen.
Richten Sie Datenschutzrichtlinien für ein internes IT-Team ein oder bewerten Sie einen externen IT-Dienstleister?