Technische und Organisatorische Maßnahmen

TOMs sind Schutzmaßnahmen, die Sie ergreifen müssen, um personenbezogene Daten angemessen zu schützen. Art. 32 DSGVO verpflichtet zur Implementierung unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art der Verarbeitung.

Die 9 TOM-Kategorien

Übersicht

1. Zutrittskontrolle

Ziel: Verhindern, dass Unbefugte physischen Zugang zu Datenverarbeitungsanlagen erhalten.

2. Zugangskontrolle

Ziel: Verhindern, dass Unbefugte IT-Systeme nutzen können.

3. Zugriffskontrolle

Ziel: Sicherstellen, dass Berechtigte nur auf die für sie bestimmten Daten zugreifen.

4. Pseudonymisierung

Ziel: Personenbezogene Daten so verarbeiten, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr zugeordnet werden können.

5. Verschlüsselung

Ziel: Daten für Unbefugte unlesbar machen.

6. Integrität

Ziel: Sicherstellen, dass Daten unverändert und vollständig sind.

7. Verfügbarkeit

Ziel: Daten und Systeme müssen verfügbar sein, wenn sie benötigt werden.

8. Belastbarkeit

Ziel: Systeme müssen auch unter Last und bei Störungen funktionieren.

9. Wiederherstellung

Ziel: Nach einem Vorfall schnell wieder arbeitsfähig sein.

Implementierungsstatus

Status-Typen

TOM pro Standort

TOMs können standortspezifisch sein:

TOM: Zutrittskontrolle Serverraum
├── Hauptstandort: Umgesetzt (Chipkartensystem)
├── Homeoffice: Nicht anwendbar
└── Außendienst: Nicht anwendbar

TOM: VPN-Pflicht
├── Hauptstandort: Nicht anwendbar (internes Netz)
├── Homeoffice: Umgesetzt (Pflicht)
└── Außendienst: Umgesetzt (Pflicht)

Vorlagen verwenden

Standardvorlagen laden

Klicken Sie auf "Standardwerte laden" für branchenübliche TOMs:

1. Basis-TOMs - Mindestanforderungen für alle Unternehmen
2. Erweiterte TOMs - Für erhöhten Schutzbedarf
3. Cloud-spezifische TOMs - Für Cloud-Nutzung

Standard TOM-Vorlagen

KlarKonform enthält 14 vordefinierte TOM-Vorlagen, die speziell für Microsoft 365 und Cloud-Umgebungen optimiert sind.

Übersicht aller Vorlagen

Microsoft 365 Rechenzentrum-Sicherheit

Kategorie: Zutrittskontrolle Typ: Technisch Schutzziele: Vertraulichkeit, Integrität

Microsoft betreibt hochsichere Rechenzentren mit mehrschichtigen physischen Sicherheitsmaßnahmen.

Implementierte Maßnahmen:

• Biometrische Zugangskontrollen
• 24/7 Sicherheitspersonal
• Videoüberwachung
• Mantrap-Schleusen
• Umzäunung und Perimeterschutz

Anwendbar auf: Alle Microsoft 365 Dienste

Ihre Verantwortung: Diese TOM wird von Microsoft bereitgestellt. Dokumentieren Sie die Nutzung und verweisen Sie auf die Microsoft Trust Center Dokumentation.

Multi-Faktor-Authentifizierung (MFA)

Kategorie: Zugangskontrolle Typ: Technisch Schutzziele: Vertraulichkeit

MFA erfordert mindestens zwei Authentifizierungsfaktoren für den Zugang zu Systemen.

Implementierungsmöglichkeiten:

• Microsoft Authenticator App (Push-Benachrichtigung)
• TOTP-Codes (Authenticator App)
• SMS-Codes (weniger sicher)
• Hardware-Token (FIDO2)
• Windows Hello for Business

Anwendbar auf: Exchange Online, SharePoint, OneDrive, Teams, alle M365-Apps

Best Practice:

• MFA für alle Benutzer aktivieren
• Bevorzugt passwortlose Methoden (Authenticator, FIDO2)
• SMS nur als Fallback verwenden

Passwort-Richtlinien

Kategorie: Zugangskontrolle Typ: Technisch Schutzziele: Vertraulichkeit

Definierte Anforderungen an Passwörter zum Schutz von Benutzerkonten.

Empfohlene Einstellungen:

• Mindestlänge: 12-14 Zeichen
• Komplexitätsanforderungen: Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen
• Passwort-Historie: Letzte 10-24 Passwörter sperren
• Ablauf: Alle 90-365 Tage (oder nie bei MFA)
• Kontosperrung: Nach 5-10 Fehlversuchen

Anwendbar auf: Azure AD, alle M365-Dienste

Microsoft-Empfehlung: Bei aktiviertem MFA kann auf regelmäßigen Passwortwechsel verzichtet werden.

Rollenbasierte Zugriffskontrolle (RBAC)

Kategorie: Zugriffskontrolle Typ: Organisatorisch Schutzziele: Vertraulichkeit, Integrität

Berechtigungen werden über Rollen statt individuell vergeben.

Prinzipien:

• Least Privilege: Nur minimale Rechte vergeben
• Separation of Duties: Kritische Aufgaben auf mehrere Personen verteilen
• Need-to-know: Zugriff nur bei dienstlicher Notwendigkeit

Typische Rollen in M365:

Anwendbar auf: Azure AD, Exchange, SharePoint, Teams

Conditional Access Policies

Kategorie: Zugriffskontrolle Typ: Technisch Schutzziele: Vertraulichkeit

Bedingte Zugriffsregeln basierend auf Kontext wie Standort, Gerät, Risiko und Anwendung.

Typische Regeln:

Beispiel-Policies:

1. Standortbasierte Regeln

   • Zugriff nur aus Deutschland erlauben
   • Bestimmte Länder blockieren

2. Gerätecompliance-Prüfung

   • Nur verwaltete Geräte (Intune)
   • Aktuelles Betriebssystem erforderlich
   • Verschlüsselung aktiv

3. Risikobasierte Authentifizierung

   • Bei erhöhtem Anmelderisiko: MFA
   • Bei hohem Risiko: Zugriff blockieren

4. App-spezifische Regeln

   • Für Azure Portal: Nur Admin-Geräte
   • Für Teams: Browser-Zugriff einschränken

Anwendbar auf: Exchange Online, SharePoint, OneDrive, Teams

Konfiguration: Azure AD > Security > Conditional Access

Mandantentrennung (Tenant Isolation)

Kategorie: Trennungskontrolle Typ: Technisch Schutzziele: Integrität, Vertraulichkeit

Logische Trennung der Daten verschiedener Organisationen in Microsoft 365.

Microsoft-Garantien:

• Jeder Mandant hat eigene Datenpartition
• Keine Cross-Tenant-Datenzugriffe möglich
• Separate Verschlüsselungsschlüssel pro Tenant
• Isolierte Active Directory-Instanz

Ihre Verantwortung:

• B2B-Gastbenutzer kontrollieren
• Externe Freigaben überwachen
• Cross-Tenant-Policies konfigurieren

Anwendbar auf: Alle M365-Dienste

Verschlüsselung bei Übertragung (TLS)

Kategorie: Weitergabekontrolle Typ: Technisch Schutzziele: Vertraulichkeit, Integrität

Alle Datenübertragungen zu und von Microsoft 365 sind verschlüsselt.

Standards:

• TLS 1.2 als Minimum (TLS 1.0/1.1 deaktiviert)
• TLS 1.3 für neue Verbindungen
• Perfect Forward Secrecy (PFS)
• Starke Cipher Suites (AES-256-GCM)

Abgedeckte Verbindungen:

• Client zu M365 (Outlook, Teams, Browser)
• M365 zu M365 (interne Dienste)
• M365 zu On-Premises (Hybrid)
• SMTP zwischen Mailservern (opportunistisch)

Zusätzliche Option: Office 365 Message Encryption für E-Mail-Inhalte

Anwendbar auf: Exchange, SharePoint, OneDrive, Teams

Data Loss Prevention (DLP)

Kategorie: Weitergabekontrolle Typ: Technisch Schutzziele: Vertraulichkeit

Automatische Erkennung und Schutz sensibler Daten vor unbeabsichtigter Weitergabe.

Erkennbare Datentypen:

• Kreditkartennummern
• Sozialversicherungsnummern
• Bankverbindungen (IBAN)
• Personalausweisnummern
• Gesundheitsdaten
• Benutzerdefinierte Muster (RegEx)

Schutzaktionen:

Anwendbar auf: Exchange Online, SharePoint, OneDrive, Teams, Endpoint (Windows)

Audit-Logging

Kategorie: Eingabekontrolle Typ: Technisch Schutzziele: Integrität

Protokollierung aller relevanten Aktivitäten für Nachvollziehbarkeit und Forensik.

Protokollierte Ereignisse:

• Benutzeranmeldungen (erfolgreich/fehlgeschlagen)
• Dateizugriffe und -änderungen
• E-Mail-Aktivitäten
• Admin-Aktionen
• Sicherheitsereignisse
• DLP-Matches

Aufbewahrung:

Zugriff: Microsoft Purview > Audit

Anwendbar auf: Alle M365-Dienste

Microsoft 365 Backup (KlarKonform)

Kategorie: Verfügbarkeitskontrolle Typ: Technisch Schutzziele: Verfügbarkeit, Belastbarkeit

Regelmäßige Sicherung aller Microsoft 365-Daten durch KlarKonform Backup-Modul.

Gesicherte Daten:

• Exchange Online (E-Mails, Kalender, Kontakte)
• SharePoint Online (Dokumente, Sites)
• OneDrive for Business (Benutzerdateien)
• Teams (Chat-Historie über Exchange)

Funktionen:

• Inkrementelle Backups (nur geänderte Dateien)
• Point-in-Time-Recovery
• Granulare Wiederherstellung (einzelne E-Mails/Dateien)
• Unabhängiger Speicherort (S3, SFTP)
• Langzeitarchivierung (bis 10 Jahre)

Warum zusätzliches Backup? Microsoft garantiert Infrastruktur-Verfügbarkeit, aber:

• Versehentlich gelöschte Daten nur 93 Tage wiederherstellbar
• Kein Schutz vor Ransomware-Verschlüsselung
• Keine Langzeitarchivierung

Anwendbar auf: Exchange, SharePoint, OneDrive

Siehe auch: Backup-Modul Dokumentation

Geo-Redundante Speicherung

Kategorie: Verfügbarkeitskontrolle Typ: Technisch Schutzziele: Verfügbarkeit

Daten werden automatisch über mehrere Rechenzentren repliziert.

Microsoft-Implementierung:

• Daten in mindestens 2 Rechenzentren
• Automatisches Failover bei Ausfall
• Replikation innerhalb der Region (z.B. EU)
• RPO: Nahezu 0 (synchrone Replikation)

Rechenzentrumspaare für EU:

• Dublin / Amsterdam
• Frankfurt / Berlin (in Planung)
• Paris / Marseille

Ihre Verantwortung: Dokumentieren Sie die Geo-Redundanz als TOM und prüfen Sie die Datenresidenz.

Anwendbar auf: Alle M365-Dienste

Disaster Recovery

Kategorie: Wiederherstellbarkeit Typ: Organisatorisch Schutzziele: Verfügbarkeit, Belastbarkeit

Geplante Vorgehensweise zur Wiederherstellung nach schwerwiegenden Störungen.

Ihre Aufgaben:

1. Disaster Recovery Plan erstellen

   • Kritische Systeme identifizieren
   • RTO/RPO definieren
   • Verantwortlichkeiten festlegen
   • Kommunikationswege definieren

2. Regelmäßige Tests

   • Jährliche DR-Übung
   • Wiederherstellungstests
   • Dokumentation der Ergebnisse

3. Microsoft-seitige DR

   • Automatisches Failover dokumentieren
   • SLA kennen (99,9% Verfügbarkeit)
   • Support-Prozesse verstehen

Anwendbar auf: Alle M365-Dienste, KlarKonform

Verschlüsselung ruhender Daten

Kategorie: Datenschutz Design Typ: Technisch Schutzziele: Vertraulichkeit

Alle in Microsoft 365 gespeicherten Daten sind verschlüsselt.

Verschlüsselungsebenen:

Schlüsselverwaltung:

• Standard: Microsoft-verwaltete Schlüssel
• Optional: Customer Key (eigene Schlüssel in Azure Key Vault)
• Optional: Double Key Encryption (höchste Kontrolle)

Anwendbar auf: Exchange, SharePoint, OneDrive, Teams

Information Protection Labels (Sensitivity Labels)

Kategorie: Datenschutz Design Typ: Organisatorisch Schutzziele: Vertraulichkeit, Integrität

Klassifizierung und Schutz von Dokumenten und E-Mails basierend auf Sensitivität.

Typische Klassifizierungen:

Funktionen:

• Manuelle oder automatische Klassifizierung
• Visuelle Markierungen (Header, Footer, Wasserzeichen)
• Verschlüsselung und Rechteverwaltung
• Vererbung an Inhalte

Anwendbar auf: Exchange, SharePoint, OneDrive, Office-Apps

TOM-Empfehlungen nach Standorttyp

Je nach Arbeitsumgebung werden unterschiedliche TOMs empfohlen:

Bürostandort

• Microsoft 365 Rechenzentrum-Sicherheit
• Multi-Faktor-Authentifizierung
• Rollenbasierte Zugriffskontrolle
• Audit-Logging
• Verschlüsselung bei Übertragung

Home Office

• Multi-Faktor-Authentifizierung
• Passwort-Richtlinien
• Conditional Access Policies (besonders wichtig!)
• Verschlüsselung bei Übertragung
• Data Loss Prevention

Coworking Space

• Multi-Faktor-Authentifizierung
• Passwort-Richtlinien
• Verschlüsselung bei Übertragung
• Data Loss Prevention
• Conditional Access Policies

Rechenzentrum

• Microsoft 365 Rechenzentrum-Sicherheit
• Geo-Redundante Speicherung
• Disaster Recovery
• Verschlüsselung ruhender Daten
• Audit-Logging

Compliance-Score Einfluss

Der TOM-Bereich beeinflusst 20% des Compliance-Scores:

Bewertungskriterien:

• Alle 9 Kategorien abgedeckt?
• Implementierungsstatus > 80% "Umgesetzt"?
• Dokumentation vollständig?
• Regelmäßige Überprüfung nachgewiesen?

Nachweisführung

Für jeden TOM sollten Sie dokumentieren:

Regelmäßige Überprüfung

TOMs müssen regelmäßig auf Wirksamkeit geprüft werden:

• Jährliche Überprüfung aller TOMs
• Nach Sicherheitsvorfällen
• Bei Änderungen der Risikolage
• Bei neuen Technologien
• Bei Gesetzesänderungen