Allgemeine technische und organisatorische Maßnahmen gem. §26 KDG

Name der Schule und Anschrift

Kontakt-Emailadresse der verantwortlichen Stelle

Inhaltsverzeichnis

1	Pseudonymisierung (§26 Abs. 1 lit. a) KDG)	Fehler! Textmarke nicht definiert.

2	Verschlüsselung (§26 Abs. 1 lit. a) KDG)	Fehler! Textmarke nicht definiert.

3	Gewährleistung der Vertraulichkeit (§26 Abs. 1 lit. b) KDG)	Fehler! Textmarke nicht definiert.

3.1	Zutrittskontrolle	Fehler! Textmarke nicht definiert.

3.2	Zugangskontrolle	Fehler! Textmarke nicht definiert.

3.3	Zugriffskontrolle	Fehler! Textmarke nicht definiert.

3.4	Trennungskontrolle	Fehler! Textmarke nicht definiert.

4	Gewährleistung der Integrität (§26 Abs. 1 lit. b) KDG)	Fehler! Textmarke nicht definiert.

4.1	Weitergabekontrolle	Fehler! Textmarke nicht definiert.

4.2	Eingabekontrolle	Fehler! Textmarke nicht definiert.

5	Gewährleistung der Verfügbarkeit und Belastbarkeit der Systeme (§26 Abs. 1 lit. b) KDG)	Fehler! Textmarke nicht definiert.

6	Rasche Wiederherstellbarkeit (§26 Abs. 1 lit. c) KDG)	Fehler! Textmarke nicht definiert.

7	Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (§26 Abs. 2 KDG)	Fehler! Textmarke nicht definiert.

7.1	Datenschutz-Management	Fehler! Textmarke nicht definiert.

7.2	Incident-Response-Management	Fehler! Textmarke nicht definiert.

7.3	Datenschutzfreundliche Voreinstellungen (§27 KDG)	Fehler! Textmarke nicht definiert.

7.4	Auftragskontrolle (§29 KDG)	Fehler! Textmarke nicht definiert.

Pseudonymisierung (§26 Abs. 1 lit. a) KDG)

Maßnahmen:

Namen werden durch Verwendung einer Kunden-/Mandanten-/Lieferanten-/Personalnummer pseudonymisiert

Interne Anweisung, personenbezogene Daten im Falle einer Weitergabe oder auch nach Ablauf der gesetzlichen Löschfrist, sofern möglich, zu anonymisieren/ pseudonymisieren

Verschlüsselung (§26 Abs. 1 lit. a) KDG)

Maßnahmen:

Verschlüsselung personenbezogener Daten und schutzwürdiger Daten bei erforderlichem Versand nach extern

Verschlüsselung von mobilen Datenträgern (USB, externe Festplatte etc.)

Verschlüsselung von mobilen Datensystemen (Laptop, Mobiltelefon etc.)

Gewährleistung der Vertraulichkeit (§26 Abs. 1 lit. b) KDG)

Zutrittskontrolle

Maßnahmen, mit denen Unbefugten der Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, verwehrt wird:

Maßnahmen:

Alarmanlage

Automatisches Zugangskontrollsystem

Biometrische Zugangssperren

Chipkarten / Transpondersysteme

Manuelles Schließsystem

Sicherheitsschlösser

Schließsystem mit Codesperre

Absicherung der Gebäudeschächte

Türen mit Knauf Außenseite

Klingelanlage mit Kamera

Videoüberwachung der Eingänge

Zwei-Faktor-Authentifizierung für kritische Bereiche

Schlüsselregelung / Liste

Empfang / Rezeption / Pförtner

Besucherbuch / Protokoll der Besucher

Mitarbeiter- / Besucherausweise

Besucher nur in Begleitung durch Mitarbeiter

Zugangskontrolle

Maßnahmen, mit denen die Nutzung von Datenverarbeitungssystemen durch Unbefugte verhindert werden:

Maßnahmen:

Anti-Viren-Software Clients

Anti-Viren-Software mobile Geräte

Firewall

Anti-Viren-Software Server

Angriffserkennungssystem (Intrusion Detection System)

Mobile Device Management

Einsatz VPN bei Remote-Zugriffen

Gehäuseverriegelung

BIOS Schutz (separates Passwort)

Sperre externer Schnittstellen (USB)

Lösch-/Sperrkonzept

Passwortrichtlinie (u. a. zentrale Passwortvergabe, keine Gruppenpasswörter)

Erstellen und Verwalten von Benutzerprofilen

Login mit Benutzername + Passwort

Login mit biometrischen Daten

Dokumentierte Verfahrensanweisung für Ausgabe und Rückgabe der Zugangsmittel

Dokumentierte Verfahrensanweisung für die Meldung eines Zugangsmittels

Clean-Desk-Richtlinie (z. B. automatische Desktopsperre, Ausrichtung Bildschirme usw.)

Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugangsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt, gelesen kopiert, verändert oder entfernt werden können:

Maßnahmen:

Einsatz von Aktenvernichtern (Berücksichtigung der mindestens notwendigen Schutzklasse)

Externe Datenvernichtung

Sichere Aufbewahrung von Datenträgern (z. B. Datenschutztresor)

Physische Löschung von Datenträgern

Protokollierung von Zugriffen auf Anwendungen, konkret bei der Eingabe, Änderung und
Löschung von Daten

Verfahren zur Data Leak Prevention (Erkennung unerwünschter Datenabflüsse)

Festlegung und Kontrolle der Nutzung von Kommunikationskanälen (z. B. Messengerdienste)

Einsatz Rechte-/Rollenkonzept

Verwaltung Benutzerrechte durch Administratoren

Auf das notwendige Maß reduzierte Anzahl von Administratoren

Richtlinie Heimarbeits-/mobile Arbeitsplätze

Trennungskontrolle

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können:

Maßnahmen:

Trennung von Produktiv- und Testsystem

Physikalische Trennung (Systeme / Datenbanken / Datenträger)

Mandantenfähigkeit relevanter Anwendungen (Software-Systeme, auf denen gleichzeitig mehrere Mandanten/Kunden/Auftraggeber bearbeitet werden, ohne dass gegenseitig Einblick in deren Daten, Benutzerverwaltung und Ähnliches möglich ist)

Netzinterne Abgrenzung bei erforderlichen Gastzugriffen

Datensätze sind mit Zweckattributen versehen

Gewährleistung der Integrität (§26 Abs. 1 lit. b) KDG)

Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transportes oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können:

Maßnahmen:

Email-Verschlüsselung

Verschlüsselter Mailanhang

Einsatz von VPN

Protokollierung der Zugriffe und Abrufe

Sichere Transportbehälter

Festlegung von Transportwegen/-verfahren

Bereitstellung über verschlüsselte Verbindungen wie sftp, https, tls

Verwaltung Schlüssel und Zertifikate (durch: )

Nutzung von Signaturverfahren

Dokumentation der Datenempfänger sowie der Dauer der geplanten Überlassung bzw. der Löschfristen

Übersicht regelmäßiger Abruf- und Übermittlungsvorgängen

Weitergabe in anonymisierter oder pseudonymisierter Form

Sorgfalt bei Auswahl von Transportpersonal und -fahrzeugen

Persönliche Übergabe mit Protokoll

Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssystem eingegeben, verändert oder entfernt worden sind:

Maßnahmen:

Technische Protokollierung der Eingabe, Änderung und Löschung von Daten

Erfassung Aktivitäten von Heimarbeitern / mobilen Arbeitsplätzen

Protokollierung Onlineeingaben

Manuelle oder automatisierte Kontrolle der Protokolle

Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können

Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (keine Benutzergruppen)

Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Rechte- und Rollenkonzepts

Prozess zur Aufrechterhaltung der Aktualität von Daten

Aufbewahrung von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen wurden

Zuständigkeitsregelung für Löschungen

Gewährleistung der Verfügbarkeit und Belastbarkeit der Systeme
(§26 Abs. 1 lit. b) KDG)

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind:

Maßnahmen:

Feuer- und Rauchmeldeanlagen

Feuerlöscher im Serverraum

Geräte zur Überwachung von Temperatur und Feuchtigkeit im Serverraum

Serverraum klimatisiert

USV (redundante unterbrechungsfreie Stromversorgung)

Schutzsteckdosenleisten Serverraum (Überspannungsschutz)

Serverräume oberhalb der Wassergrenze

Datenschutztresor (S60DIS, S120DIS, andere geeignete Normen mit Quelldichtung etc.)

RAID System / Festplattenspiegelung

Rechenzentrum mit vollständigem PRTG-Monitoring

Zertifizierte Rechenzentren

alle Systeme sind speziell auf die jeweilige Aufgabe ausgewählt und konfiguriert

Videoüberwachung Serverraum

Alarmmeldung bei unberechtigtem Zutritt zu Serverraum

Backup & Recovery-Konzept

Kontrolle des Sicherungsvorgangs

Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse

Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums

Keine sanitären Anschlüsse/Räume im oder oberhalb des Serverraums

Existenz eines Notfallplans (z.B. BSI IT-Grundschutz 100-4)

Getrennte Partitionen für Betriebssysteme und Daten

Rasche Wiederherstellbarkeit (§26 Abs. 1 lit. c) KDG)

Maßnahmen:

Datensicherungskonzept

Datenwiederherstellungskonzept

tägliche Backups auf gespiegeltem Disksystem

wöchentliche Backup-Disk-to-Disk (Raumtrennung)

Sicherstellung einer schnellen Beschaffung von Hardware durch Einkauf/Partner

Serviceverträge mit Lieferanten/Dienstleistern

regelmäßige Prüfung der Rücksicherung

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (§26 Abs. 2 KDG)

Datenschutz-Management

Maßnahmen:

Software-Lösungen für Datenschutzmanagement im Einsatz

Zentrale Dokumentation aller Verfahrensweisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf / Berechtigung (z.B. Wiki, Intranet …)

Sicherheitszertifizierung nach ISO 27001, BSI IT-Grundschutz oder ISIS12

Interner / externer Datenschutzbeauftragter Name / Firma / Kontaktdaten

Datenschutzrichtlinie

Mitarbeiter auf Vertraulichkeit/Datengeheimnis verpflichtet

Regelmäßige Schulung der Mitarbeiter

Formalisierter Prozess zur Umsetzung der Informationspflichten nach Art. 13 und 14 DSGVO

Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden

Prozess zum Umgang mit Datenschutzverletzungen

Umsetzung Datenschutzmanagementsystem anhand eines „Umsetzungsplans“

Die Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf durchgeführt

Incident-Response-Management

Unterstützung bei der Reaktion auf Sicherheitsverletzungen

Maßnahmen:

Einsatz von Firewall und regelmäßige Aktualisierung

Einsatz von Spamfilter und regelmäßige Aktualisierung

Einsatz von Virenscanner und regelmäßige Aktualisierung

Intrusion Detection System IDS (Angriffserkennungssystem)

Intrusion Prevention System IPS (Abwehr von Angriffen)

Regelmäßige Datenschutzaudits

Notfallkonzept

Vertretungsregelungen (Urlaub, Krankheit etc.)

Vier-Augen-Prinzip bei wichtigen Datenverarbeitungen

Schwachstellenanalyse (Geländeschutz, Gebäudeschutz, Rechnernetze)

Dokumentierter Prozess zur Erkennung von und Umgang mit Sicherheitsvorfällen

Dokumentierter Prozess zur Erkennung von und Umgang mit Datenpannen (auch im Hinblick auf Meldepflicht gegenüber Aufsichtsbehörde)

Datenschutzfreundliche Voreinstellungen (§27 KDG)

Privacy by design / Privacy by default

Maßnahmen:

Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind (Datenminimierung Art. 5 Abs. 1 lit. c) DSGVO)

Einfache Ausübung des Widerrufrechts des Betroffenen durch technische Maßnahmen

Automatisierung von Sperr- und Löschroutinen

Dokumentation von Tests, der Freigabe und ggf. der Datenschutz-Folgenabschätzung von neuen oder geänderten Verarbeitungstätigkeiten

Auftragskontrolle (§29 KDG)

Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Unter diesen Punkt fällt neben der Datenverarbeitung im Auftrag auch die Durchführung von Wartung und Systembetreuungsarbeiten sowohl vor Ort als auch per Fernwartung. Sofern der Auftragnehmer Dienstleister im Sinne einer Auftragsverarbeitung einsetzt, sind die folgenden Punkte stets mit diesen zu regeln.

Maßnahmen:

Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation

Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (in Bezug auf Datenschutz und Datensicherheit)

Abschluss eines Basisvertrags / einer Kundenvereinbarung (soweit personenbezogene Daten verarbeitet werden zusätzlich Abschluss eines Auftragsverarbeitungsvertrag)

Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Schriftliche Weisungen an den Auftragnehmer

Verpflichtung der Mitarbeiter des Auftragnehmers auf Vertraulichkeit/Datengeheimnis

Regelung / Wahrung von Betroffenenrechten

Verpflichtung zur Bestellung eines Datenschutzbeauftragten durch den Auftragnehmer bei Vorliegen einer Bestellpflicht

Vereinbarung wirksamer Kontrollrechte gegenüber dem Auftragnehmer

Regelung zum Einsatz weiterer Subunternehmer

Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags

Fernzugriff wird nur zweckgebunden und nach dem Vier-Augen-Prinzip gewährt