Datenschutz-News

  • Ihr Schufa-Score: Neue Urteile, mehr Transparenz

    Ihr Schufa-Score: Neue Urteile, mehr Transparenz

    Schufa-Scoring vor Gericht: Was Unternehmen und Verbraucher jetzt über Datennutzung und Transparenz wissen sollten

    Die Bedeutung des Schufa-Scores für Alltag und Geschäft

    Der Schufa-Score ist für viele Menschen ein kritischer Faktor im wirtschaftlichen Leben. Ob es um die Anmietung einer Wohnung, den Abschluss eines Mobilfunkvertrages oder einen Immobilienkauf geht – der Scorewert entscheidet oft darüber, ob ein positives oder negatives Ergebnis erzielt wird. Auch für Unternehmen, insbesondere im Bereich Kreditvergabe und Handel, ist der Schufa-Score ein zentrales Element bei der Risikobewertung ihrer Geschäftspartner oder Kunden. Doch immer wieder stellt sich die Frage: Ist die Datenerhebung und Nutzung zur Erstellung des Scorewerts mit geltendem Datenschutzrecht vereinbar?

    Gerichtsurteil bringt Klarheit zur Rechtmäßigkeit der Schufa-Datenverarbeitung

    Vor dem Landgericht München II wurde kürzlich ein aufsehenerregender Fall verhandelt, in dem ein Kläger sich durch seinen Schufa-Score beruflich und wirtschaftlich benachteiligt sah. Laut seiner Aussage beeinflusste der Scorewert die Entscheidungen von Vertragspartnern negativ, was zu abgelehnten Verträgen führte. Zusätzlich warf der Kläger der Schufa vor, bei der Scoreermittlung unzulässige und besonders sensible Daten, darunter Informationen aus sozialen Netzwerken und Bankbewegungen, einbezogen zu haben.

    Das Gericht kam zu einem klaren Urteil: Die Schufa kann sich bei der Datenverarbeitung auf die rechtlichen Grundlagen der DSGVO und das Bundesdatenschutzgesetz (BDSG) berufen. Es stellte ausdrücklich fest, dass die Erhebung und Verarbeitung personenbezogener Daten beim Scoreprozess zulässig ist, sofern bestimmte Voraussetzungen wie eine transparente Methodik und die Beachtung wissenschaftlicher Grundsätze eingehalten werden. Auch konnte der Kläger nicht nachweisen, dass tatsächlich sensible oder diskriminierende Datenkategorien verwendet wurden oder dass der Score die einzige Grundlage für Vertragsentscheidungen war.

    Schadensersatz- oder Unterlassungsansprüche des Klägers erkannte das Gericht ebenso wenig an, da keine konkreten Datenschutzverstöße belegt werden konnten. Damit bestätigte das Urteil, dass der aktuelle Umgang der Schufa mit personenbezogenen Daten und die Scoreberechnung unter Berücksichtigung bestehender Gesetze grundsätzlich zulässig ist.

    Mehr Transparenz und Datenschutz beim Schufa-Scoring: Was Verbraucher zukünftig erwartet

    Geplante Neuerungen: So sieht der Schufa-Score der Zukunft aus

    Die Diskussion um faire und nachvollziehbare Bonitätsbewertungen reißt nicht ab. Die Schufa hat angekündigt, ab Ende März 2026 einen überarbeiteten Score einzuführen. Was ändert sich? Künftig sollen Verbraucher direkt im sogenannten „Datencockpit“ Zugriff auf alle bonitätsrelevanten Angaben erhalten, die die Schufa speichert. Der neue Score wird auf nur noch 12 Kriterien beruhen und soll für ein höheres Maß an Transparenz sorgen.

    Dennoch bleiben bei genauer Betrachtung viele Details weiterhin undurchsichtig: Die genaue Gewichtung einzelner Faktoren und die mathematische Formel, die hinter der Score-Berechnung steckt, werden auch künftig nicht offen gelegt. Kritik von Verbraucherschützern bleibt daher bestehen, insbesondere da fehlerhafte oder strittige Daten erhebliche Nachteile verursachen können. Ein zentraler Wunsch bleibt, dass Auskunfteien gesetzlich verpflichtet werden, die Richtigkeit und Aktualität der hinterlegten Daten regelmäßig und sorgfältig zu prüfen.

    Das bedeutet die aktuelle Rechtsprechung für Unternehmen und Privatpersonen

    Für Unternehmen gibt es weiterhin Rechtssicherheit beim Einholen und Verwenden von Schufa-Daten, sofern die Vorgaben der DSGVO und des BDSG eingehalten werden. Dies umfasst unter anderem die dokumentierte Interessenabwägung, die transparente Information der Betroffenen sowie den Verzicht auf diskriminierende Merkmale bei der Scorebildung.

    Auch Privatpersonen erhalten durch Gerichtsurteile und die angekündigten Anpassungen ein Stück mehr Kontrolle und Einsicht in die Verarbeitung ihrer Daten. Dennoch gilt: Die Überprüfung des eigenen Scores und der gespeicherten Daten sollte regelmäßig erfolgen, um potenziellen Fehlern oder Missverständnissen rechtzeitig entgegenzuwirken.

    Häufig ist es ratsam, sich professionelle Unterstützung zu holen – sei es bei datenschutzrechtlichen Fragestellungen, bei Unklarheiten zu gespeicherten Scorewerten oder bei der Klärung von Auskunftsansprüchen nach der DSGVO.

    Unser Tipp: Wenn Sie unsicher sind, wie Sie sich bei Problemen mit Ihrem Schufa-Score oder anderen datenschutzrechtlichen Anliegen verhalten sollen, zögern Sie nicht, Kontakt zu uns aufzunehmen. Wir unterstützen Sie kompetent dabei, Ihre Rechte wahrzunehmen und Ihre wirtschaftlichen Interessen zu schützen.

    Handeln Sie proaktiv – sprechen Sie uns an, wenn Sie individuelle Beratung im Bereich Datenschutz, Auskunftsanspruch oder Risikobewertung benötigen! Gemeinsam finden wir die passende Lösung für Ihr Anliegen.

  • Genetische Daten: Datenschutz, der Vertrauen schafft

    Genetische Daten: Datenschutz, der Vertrauen schafft

    Datenschutz bei genetischen Untersuchungen: Was Arztpraxen jetzt beachten müssen

    Genetische Daten – warum sie besonders schützenswert sind

    Genetische Analyseergebnisse zählen zu den sensibelsten Arten personenbezogener Daten im Gesundheitswesen. Denn sie verraten mehr als den aktuellen Gesundheitszustand: Sie erlauben Rückschlüsse auf die Herkunft, das Geschlecht und mögliche zukünftige Erkrankungsrisiken. Ein bewusster und verantwortungsvoller Umgang mit diesen Informationen ist deshalb unerlässlich, um das Vertrauen der Patienten nicht zu gefährden und rechtliche Konsequenzen zu vermeiden.

    Um diesem Schutzbedürfnis gerecht zu werden, reicht die Einhaltung der Datenschutz-Grundverordnung (DSGVO) allein nicht aus. Für alle Arztpraxen und medizinische Einrichtungen, die genetische Diagnostik anbieten, gilt das Gendiagnostikgesetz (GenDG) als ergänzende und konkretisierende gesetzliche Grundlage. Es schützt das Recht der Patienten auf informationelle Selbstbestimmung und legt klare Anforderungen an die Verarbeitung genetischer Daten fest – damit Diskriminierung und Missbrauch ausgeschlossen werden.

    Gendiagnostikgesetz: Diese Vorgaben gelten für die Praxis

    Vor allem die Paragraphen 8 und 12 des GenDG spielen bei der täglichen Praxisarbeit eine entscheidende Rolle. Sie regeln das Einholen der Einwilligung für genetische Untersuchungen sowie die Speicherung und Vernichtung der erhobenen Daten.

    Die Vorgaben des GenDG sind nicht identisch mit denen der DSGVO, sie bestehen zusätzlich. Deshalb ist es wichtig, alle Abläufe im medizinischen Alltag genau auf diese gesetzlichen Anforderungen abzustellen. Das betrifft insbesondere die Einwilligungsprozesse und den Umgang mit Untersuchungsergebnissen.

    Einwilligung und Speicherfristen: Das fordert das Gesetz

    Vor jeder genetischen Untersuchung: Wirksame Einwilligung einholen

    Das GenDG verlangt vor jeder genetischen Untersuchung eine informierte und dokumentierte Einwilligung der betroffenen Person. Diese Einwilligung muss eigenständig erfolgen – unabhängig und gesondert von einer eventuell bereits vorliegenden datenschutzrechtlichen Einwilligung nach der DSGVO.

    Wesentlich hierbei ist, dass Patienten nicht nur transparent über das Ziel und den Umfang der Analyse informiert werden, sondern auch darüber entscheiden können, ob und wie sie das Ergebnis erfahren möchten und was nach der Untersuchung mit den Daten geschehen soll. Die Einwilligung kann schriftlich oder elektronisch erteilt werden, muss aber jederzeit nachweisbar in den Unterlagen dokumentiert sein.

    Besonders zu beachten ist, dass für genetische Untersuchungsergebnisse, die in die elektronische Patientenakte (ePA) überführt werden sollen, eine zusätzliche ausdrückliche Einwilligung erforderlich ist. Hier gelten verschärfte Voraussetzungen, da es sich um besonders schützenswerte Informationen handelt.

    Speicherung und Löschung: Welche Fristen gelten tatsächlich?

    Genetische Untersuchungsergebnisse müssen grundsätzlich zehn Jahre lang aufbewahrt werden. Das schreibt das GenDG vor. Doch es gibt Ausnahmen, die Praxen genau kennen sollten:

    • Keine Speicherung bei entsprechendem Wunsch: Legt der Patient oder die Patientin bereits bei der Einwilligung Wert darauf, dass die Daten nicht gespeichert werden, müssen diese umgehend und vollständig vernichtet werden. Eine Archivierung, auch aus Dokumentationspflichten heraus, ist hier ausdrücklich ausgeschlossen.
    • Widerruf der Einwilligung: Wird die Einwilligung nach der Analyse widerrufen, sind die Daten zu löschen – allerdings nur, solange die betroffene Person das Ergebnis noch nicht zur Kenntnis genommen hat. Ist das Ergebnis bereits mitgeteilt worden, beginnt die reguläre Aufbewahrungsfrist von zehn Jahren zu laufen.
    • Verlängerung der Speicherfrist: Sollte ein besonderes Interesse an einer längeren Aufbewahrung bestehen (beispielsweise auf Wunsch des Patienten oder wenn schutzwürdige medizinische Aspekte vorliegen), kann die Frist schriftlich oder elektronisch verlängert werden. Die Verantwortung hierfür liegt in ärztlicher Hand.
    • Probenmaterial: Während für Untersuchungsergebnisse genaue Fristen gelten, ist mit Probenmaterial anders zu verfahren: Dieses muss unmittelbar vernichtet werden, sobald es keiner weiteren Analyse bedarf oder die Einwilligung widerrufen wurde.

    Diese differenzierten Vorgaben verlangen von Praxen ein hohes Maß an Organisation und detailgenauer Dokumentation, damit Flexibilität bei Sonderfällen wie Löschwünschen oder verlängerten Speicherfristen besteht und keine gesetzlichen Vorgaben verletzt werden.

    Praktische Umsetzung: So gelingt Datenschutz bei genetischen Analysen

    Dokumentation und Prozesse: Wesentliche To-Dos für Ihre Praxis

    Der gesetzkonforme Umgang mit genetischen Daten bedeutet für Praxen, bestehende Abläufe regelmäßig zu überprüfen und anzupassen. Zentral ist, dass alle Mitarbeitenden die entsprechenden gesetzlichen Vorgaben kennen und sicher anwenden können. Es empfiehlt sich, verbindliche Prozessbeschreibungen für folgende Punkte zu erstellen:

    • Transparente und nachweisbare Information für Patienten vor jeder genetischen Untersuchung
    • Einholung und Dokumentation der Einwilligung – auch für mögliche Datenübermittlungen zur ePA
    • Konsequente Umsetzung individueller Lösch- und Speicherwünsche
    • Regelmäßige Überprüfung und Anpassung der Archivierungsprozesse
    • Schulung und Sensibilisierung der Mitarbeitenden zu den Anforderungen des GenDG

    Ein funktionierendes Managementsystem, das flexible Anpassungen bei Sonderfällen ermöglicht, bildet die Grundlage für einen vertrauensvollen und rechtssicheren Umgang mit den Daten Ihrer Patienten.

    Widerruf, Löschung & Verlängerung: Herausforderungen sicher meistern

    Die besondere Komplexität liegt in der Vielfalt möglicher Fallgestaltungen: Patienten können nicht nur ihre Einwilligung widerrufen oder eine frühere Löschung verlangen, sondern es ist auch möglich, dass eine längere Speicherung medizinisch sinnvoll oder erwünscht ist. Hier kommt es auf eine klare und transparente Kommunikation an sowie auf digitale und analoge Werkzeuge, die diese Sonderwünsche verlässlich dokumentieren und umsetzen können. Werden Fristen oder Wünsche übersehen, drohen empfindliche rechtliche Konsequenzen und ein Vertrauensverlust beim Patienten.

    Wesentlich ist, im gesamten Prozess die Dokumentationspflicht lückenlos zu erfüllen – das umfasst die Aufklärung der Patienten, die Einwilligungserklärung und die genaue Festlegung, was mit den Daten nach der Untersuchung geschieht. Eine strukturierte Unterstützung durch digitale Praxismanagement-Systeme oder professionelle Beratungsdienstleister kann hier die Sicherheit deutlich erhöhen.

    Fazit: Rechtssicherer Umgang mit genetischen Daten schützt Patienten und Praxis

    Verlässliche Prozesse schaffen Vertrauen

    Die hohe Sensibilität genetischer Daten erfordert ein besonderes Maß an Sorgfalt, Professionalität und Flexibilität im Praxisalltag. Wer die Vorgaben des GenDG kennt und verlässlich umsetzt – von der informierten Einwilligung über das sichere Datenmanagement bis zur Anpassung an Sonderfälle – sorgt nicht nur für Rechtssicherheit, sondern stärkt nachhaltig das Vertrauen der Patienten in die medizinische Versorgung.

    Gemeinsam sicher: Wir unterstützen Sie bei der Umsetzung

    Sind Sie unsicher, wie Sie die Anforderungen des GenDG optimal in Ihrer Praxis umsetzen können? Benötigen Sie Unterstützung beim Prüfprozess, der Schulung Ihres Teams oder der Überarbeitung Ihrer Dokumentationsabläufe? Unsere Experten stehen Ihnen gern beratend zur Seite und entwickeln mit Ihnen individuelle Lösungen für den Datenschutz bei genetischen Untersuchungen.

    Nehmen Sie Kontakt mit uns auf – wir helfen Ihnen, die gesetzlichen Vorgaben zuverlässig zu erfüllen und einen vertrauensvollen Umgang mit sensiblen Patientendaten sicherzustellen!

  • Das Doppeltürmodell beim behördlichen Datenaustausch

    Das Doppeltürmodell beim behördlichen Datenaustausch

    Datenübermittlung zwischen Behörden: Das Doppeltürmodell im Datenschutz

    Was bedeutet das Doppeltürmodell?

    Das Doppeltürmodell ist ein zentrales Prinzip im deutschen Datenschutzrecht, wenn es um die Übermittlung personenbezogener oder sensibler Informationen zwischen Behörden geht. Es besagt, dass sowohl die auskunftsgebende als auch die anfragende Stelle jeweils eine eigene Rechtsgrundlage für die Übertragung und den Abruf von Daten benötigen. Das Ziel ist, den Schutz betroffener Personen sicherzustellen und zu vermeiden, dass sensible Daten ohne rechtliche Berechtigung übermittelt oder abgefragt werden.

    Konkret bedeutet das: Stellt beispielsweise eine Ausländerbehörde beim Jobcenter eine Anfrage zu Sozialdaten, müssen beide Stellen überprüfen, ob sie für ihr Handeln – sei es Übermittlung oder Abruf – jeweils eine gesetzliche Basis haben. Es reicht also nicht, wenn eine der beiden Behörden eine Befugnis hat; beide „Türen“ müssen offen sein.

    Hintergrund und Bedeutung für Gemeinden und Behörden

    Das Doppeltürmodell spielt insbesondere dann eine Rolle, wenn verschiedene Behörden miteinander kommunizieren sollen, etwa im Rahmen der Aufenthaltsprüfung oder bei sozialrechtlichen Aufgaben. Wenn etwa Sozialleistungsempfänger im Fokus stehen, kann die Ausländerbehörde zur Klärung des Aufenthaltsstatus auf Informationen angewiesen sein, die dem Jobcenter vorliegen.

    Doch nicht jede Datenübermittlung ist automatisch zulässig. Die anfordernde Behörde muss begründen, warum und auf welcher gesetzlichen Grundlage sie Daten anfordert. Ebenso muss die übermittelnde Behörde prüfen, ob und wie sie diese Daten weitergeben darf. Das schützt Grundrechte und verhindert unkontrollierte Datenströme zwischen öffentlichen Stellen.

    Praktische Umsetzung: Was Behörden beachten sollten

    Wer trägt die Verantwortung bei der Datenübertragung?

    Die zentrale Frage bei der behördlichen Kommunikation über personenbezogene Daten lautet: Wer ist letztlich für die Rechtmäßigkeit der Datenübermittlung verantwortlich? In der Regel liegt diese Verantwortung bei der übermittelnden Behörde. Sie muss sicherstellen, dass ihre Weitergabe rechtlich abgesichert ist und im Zweifel mit der Datenschutzaufsicht abgestimmt werden kann.

    Kommt es zwischen zwei Stellen – wie etwa einem kommunalen Amt und einer Bundesagentur – zu unterschiedlichen Rechtsauffassungen, regeln Verwaltungsvorschriften das weitere Vorgehen. Gibt es keine gemeinsame Aufsichtsbehörde, wird die Entscheidung an die jeweils oberste Landesbehörde weitergegeben.

    Typische Stolpersteine in der Praxis

    In der Praxis führen insbesondere Anforderungen durch externe Behörden oder Polizei immer wieder zu Unsicherheiten. Häufig besteht die Annahme, eine behördliche Anordnung reiche aus, um Daten weiterzugeben. Doch das Doppeltürmodell verlangt eine Prüfung, ob eine konkrete, belastbare Rechtsgrundlage für diesen Verarbeitungsschritt besteht – sowohl für die erhobene als auch die weitergabe Stelle.

    Ein häufiger Fehler ist, dass betroffene Behörden Kategorien von Daten übermitteln – etwa über Art, Höhe und Zeitraum von Sozialleistungen – ohne die rechtliche Erforderlichkeit und den Verwendungszusammenhang ausreichend zu dokumentieren. Hier kann es zu Verstößen gegen DSGVO, Sozialgesetzbücher oder anderweitige Datenschutzgesetze kommen, die mit Bußgeldern oder aufsichtsrechtlichen Maßnahmen geahndet werden können.

    Fazit und Handlungsempfehlung für Organisationen

    Warum eine saubere Prüfung der Rechtsgrundlagen unerlässlich ist

    Bevor personenbezogene Informationen, insbesondere Sozialdaten, übermittelt werden, müssen Behörden sorgfältig prüfen, auf welcher genauen gesetzlichen Basis sie handeln. Das Doppeltürmodell hilft, Verantwortlichkeiten zu trennen und Rechtssicherheit für beide Seiten zu schaffen. Behörden sollten für solche Fälle klare Prozesse haben und idealerweise einen Datenschutzbeauftragten einbeziehen, bevor Daten herausgegeben werden.

    Auch für Unternehmen, die als Dienstleister im Auftrag öffentlicher Stellen tätig sind und mit Anfragen von Behörden konfrontiert werden, gilt das Prinzip: Weder eine behördliche Anordnung noch ein bloßer Verweis auf gesetzliche Interessen reicht automatisch als Rechtfertigung. Eine genaue Prüfung der Übermittlungsbefugnis ist immer nötig.

    So vermeiden Sie Datenschutzverstöße bei Auskunftsanfragen

    Für alle Verantwortlichen gilt: Nehmen Sie Auskunftsersuchen oder andere Anfragen zu personenbezogenen Daten niemals auf die leichte Schulter. Prüfen Sie gemeinsam mit Ihrem Datenschutzbeauftragten, welche Befugnisse tatsächlich bestehen. Dokumentieren Sie jede Weitergabe von Daten und deren rechtliche Grundlage sorgfältig. Gehen Sie nicht davon aus, dass die anfragende Seite bereits alle Erfordernisse erfüllt hat – die Verantwortung für die Rechtmäßigkeit bleibt bei Ihnen.

    Unsicherheiten oder Streitfälle sollten stets mit der zuständigen Aufsichtsbehörde oder der internen Datenschutzstelle abgestimmt werden. Das vermeidet nicht nur rechtliche Risiken, sondern zeugt auch von Professionalität und Verantwortung im Umgang mit sensiblen Daten.

    Benötigen Sie Unterstützung bei komplexen Datenschutzfragen, internen Prozessen oder bei der Risikobewertung von Auskunftsanfragen? Kontaktieren Sie unser Team. Wir unterstützen Sie gerne mit unserem Know-how und praxisorientierten Lösungen!

  • Warum Ihr Passwort-Manager über Ihre digitale Sicherheit entscheidet – und worauf Sie unbedingt achten sollten

    Warum Ihr Passwort-Manager über Ihre digitale Sicherheit entscheidet – und worauf Sie unbedingt achten sollten

    Passwort-Manager im Test: Wie sicher sind Ihre digitalen Zugangsdaten wirklich?

    Warum Passwort-Manager heutzutage unverzichtbar sind

    Jeder von uns verwendet täglich eine Vielzahl von Online-Diensten – vom E-Mail-Postfach über soziale Netzwerke bis zu Online-Banking. Für jedes dieser Konten benötigen wir ein eigenes, sicheres Passwort. Das BSI und das FZI Forschungszentrum Informatik haben in aktuellen Untersuchungen bestätigt, wie herausfordernd der sichere Umgang mit Passwörtern ist. Starke Passwörter und individuelle Zugangsdaten für unterschiedliche Services bleiben ein Muss, aber die klassische Zettelwirtschaft oder das Wiederverwenden einfacher Kennwörter stellen massive Sicherheitsrisiken dar.

    Genau hier bieten Passwort-Manager eine effektive Lösung. Sie speichern Zugangsdaten verschlüsselt, generieren auf Wunsch besonders sichere Passwörter und erleichtern die Verwaltung verschiedener Konten erheblich. Doch wie zuverlässig sind diese digitalen Tresore? Und worauf sollten Nutzer achten, um auf der sicheren Seite zu sein?

    Ergebnisse aktueller Tests und was Nutzer daraus lernen können

    Das Ergebnis einer Analyse von zehn gängigen Passwort-Managern zeigt: Nicht alle Anwendungen meistern den Spagat zwischen Komfort, Datenschutz und IT-Sicherheit optimal. In einigen Fällen bestand etwa die Möglichkeit, dass Hersteller theoretisch auf gespeicherte Passwörter zugreifen könnten. Vor allem bei Cloud-basierten Lösungen sollten Nutzer deshalb ganz genau auf Transparenz und Verschlüsselungsstandards achten.

    Trotz einzelner Schwachstellen ist eines klar: Der Verzicht auf Passwort-Manager führt fast immer zu einem schlechteren Sicherheitsniveau. Schwache Passwörter, mehrfach genutzte Zugangsdaten oder unsichere Speicherorte sind für Cyberkriminelle eine Einladung. Die Expertenempfehlung lautet daher, Passwort-Manager verantwortungsvoll zu nutzen und sich vorab über die gewählten Produkte und deren Sicherheitsmerkmale zu informieren.

    So wählen Sie den passenden Passwort-Manager und setzen ihn sicher ein

    Wichtige Kriterien bei der Auswahl

    Die Wahl eines Passwort-Managers sollte mehr sein als ein schneller Download. Achten Sie darauf, dass Ihr Favorit alle Zugangsdaten durch Ende-zu-Ende-Verschlüsselung schützt und die verwendete Kryptographie etablierten Standards wie denen des BSI entspricht. Regelmäßige Sicherheitsupdates sind ebenfalls ein Muss, damit Schwachstellen umgehend geschlossen werden können.

    Nutzen Sie Cloud-basierte Dienste, empfiehlt sich ein kritischer Blick auf den Speicherort und die Datenschutzbestimmungen des Anbieters. Informieren Sie sich, ob der Anbieter transparent darlegt, wie Ihre Daten geschützt werden. Besonders wichtig: Niemand außer Ihnen – auch nicht der Hersteller – sollte Zugang zu Ihren Passwörtern haben.

    Empfehlungen für den Alltag und erhöhte Sicherheit

    Auch der beste Passwort-Manager schützt nur, wenn Sie ihn richtig handhaben. Aktivieren Sie deshalb bei Gelegenheit die Zwei-Faktor-Authentifizierung, um einen weiteren Schutzmechanismus einzubauen. Lassen Sie automatische Software-Updates zu und ändern Sie kompromittierte oder schwache Passwörter umgehend.

    Die Empfehlungen unabhängiger Einrichtungen wie BSI oder VZ NRW sind dabei wertvolle Orientierungshilfen. Viele Hersteller haben nach den jüngsten Untersuchungen ihre Produkte verbessert oder Verbesserungen zugesichert. Das zeigt: Transparenz und Anregungen aus unabhängigen Tests helfen, die Sicherheit für alle Nutzerinnen und Nutzer kontinuierlich zu erhöhen.

    Transparenz, Kontrolle und Datenschutz: Das müssen Hersteller und Nutzer wissen

    Warum Dokumentation und Offenheit so wichtig sind

    Hersteller von Passwort-Managern stehen in der Pflicht, ihre Sicherheitsmechanismen offen zu dokumentieren und unabhängige Prüfungen zuzulassen. Fachberichte, Audit-Ergebnisse und technische Details zu Verschlüsselung und Architektur schaffen Vertrauen. Werden Schwachstellen entdeckt, ist eine schnelle und nachvollziehbare Verbesserung essenziell, damit Nutzerinnen und Nutzer sich auf zuverlässigen Schutz verlassen können.

    Bedenken Sie zudem: Auch Metadaten können sensible Informationen enthalten. Moderne Passwort-Manager sollten sämtliche Nutzerdaten, inklusive Metadaten, verschlüsseln und selbst für Angestellte des Anbieters unlesbar halten. Nur so bleibt die Kontrolle über die eigenen Daten vollumfänglich beim Anwender.

    Datenschutz als Grundlage für die Nutzung digitaler Passwort-Safes

    Datenschutz und IT-Sicherheit gehen bei Passwort-Managern Hand in Hand. Wenn Sie einen neuen Anbieter auswählen, werfen Sie deshalb stets einen Blick in die Datenschutzerklärungen und prüfen Sie, welche Informationen schon beim Registrieren erfasst werden. Vertrauenswürdige Lösungen minimieren die Datenerhebung und speichern Informationen ausschließlich verschlüsselt ab.

    Die jüngsten Analysen zeigen: Die meisten Hersteller reagieren offen auf unabhängige Prüfberichte und verbessern ihre Produkte kontinuierlich. Das ist eine gute Nachricht für alle Nutzer, denn der Wettbewerb um Transparenz und optimale Kryptographie kommt letztlich Ihrer digitalen Sicherheit zugute.

    Fazit: Passwort-Manager richtig nutzen und sicher durch den digitalen Alltag kommen

    Die wichtigsten Tipps für mehr Sicherheit auf einen Blick

    Zusammengefasst gilt: Passwort-Manager sind ein unverzichtbares Werkzeug für mehr Sicherheit im Netz. Wenn Sie bei der Auswahl, Installation und Nutzung einige grundlegende Aspekte beachten, schützen Sie Ihre Konten und Daten vor unbefugtem Zugriff. Wählen Sie einen Anbieter mit nachgewiesener Transparenz, lassen Sie keine Updates aus, führen Sie regelmäßig Backups durch und setzen Sie auf starke, individuelle Zugangsdaten – am besten für jeden Dienst ein anderes Passwort.

    Angesichts der Vielzahl an digitalen Herausforderungen bleibt klar: Schwache oder wiederverwendete Passwörter öffnen Cyberkriminalität Tür und Tor. Ein gut gewählter Passwort-Manager reduziert diese Risiken nachhaltig – vor allem dann, wenn Sie auf etablierte Produkte mit starken Verschlüsselungsstandards setzen.

    Unsere Unterstützung für Ihre IT-Sicherheit

    Sie möchten Ihre Passwort- und IT-Sicherheitsstrategie optimieren, benötigen Hilfe bei der Auswahl des passenden Passwort-Managers oder haben Fragen zum sicheren Umgang mit sensiblen Zugangsdaten? Wir stehen Ihnen kompetent zur Seite – kontaktieren Sie uns gerne für eine persönliche Beratung und individuelle Unterstützung auf dem Weg zu mehr digitaler Sicherheit!

  • Diese 5 Schritte müssen Unternehmen jetzt beim NIS-2-Umsetzungsgesetz beachten

    Diese 5 Schritte müssen Unternehmen jetzt beim NIS-2-Umsetzungsgesetz beachten

    NIS-2-Umsetzungsgesetz: Was Unternehmen jetzt beachten müssen

    Einleitung: Bedeutung des NIS-2-Umsetzungsgesetzes

    Mit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes wurde ein neues Kapitel im Bereich der Informationssicherheit in Deutschland aufgeschlagen. Unternehmen und Organisationen, die unter den Geltungsbereich dieses Gesetzes fallen, müssen sich jetzt aktiv mit ihren neuen Pflichten auseinandersetzen. Egal ob große Konzerne, mittelständische Betriebe oder öffentliche Einrichtungen – die Anforderungen sind umfassend und betreffen wesentliche Prozesse rund um Risikomanagement, Registrierung und Nachweispflichten.

    Wen betrifft das Gesetz?

    Das NIS-2-Umsetzungsgesetz gilt für alle Einrichtungen, die von den Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) als besonders wichtig oder wichtig eingestuft werden. Dazu zählen neben Unternehmen kritische Versorger, Betreiber wesentlicher Infrastrukturen sowie Einrichtungen der Bundesverwaltung. Die genaue Zuweisung erfolgt anhand definierter Kriterien im Gesetz. Wer als Unternehmen unsicher ist, ob die Vorschriften Anwendung finden, sollte dringend eine sogenannte Betroffenheitsprüfung durchführen lassen und dokumentieren. Nur so können spätere Nachfragen durch Behörden zuverlässig beantwortet werden.

    Vom Start bis zur Umsetzung: Die wichtigsten Schritte im Überblick

    1. Betroffenheitsprüfung und Dokumentation

    Der erste Schritt besteht immer in der Prüfung, ob das jeweilige Unternehmen, die Organisation oder die Einrichtung vom Gesetz betroffen ist. Diese Pflicht liegt bei der Geschäftsleitung. Für viele Unternehmen ergeben sich durch die NIS-2-Richtlinie und das Gesetz neue Melde- und Registrierungspflichten. Das Ergebnis dieser Prüfung sollte stets schriftlich festgehalten werden – dies dient im Zweifel als Nachweis gegenüber Behörden.

    Ist klar, dass das Gesetz zutrifft, müssen weitere organisatorische Schritte zeitnah folgen.

    2. Initialplanung und Verantwortlichkeiten

    Nach der Feststellung der Betroffenheit ist die Geschäftsleitung gefragt: Sie trägt die Verantwortung für die Umsetzung aller gesetzlichen Anforderungen. Dazu gehört das Festlegen klarer Zuständigkeiten, die Definition von geregelten Kommunikations- und Meldewegen sowie die Einteilung einer verantwortlichen Kontaktstelle.

    Eine weitere zentrale Anforderung ist die Sicherstellung der notwendigen Kompetenz: Die Geschäftsleitung ist verpflichtet, regelmäßig an entsprechenden Schulungen teilzunehmen, um aktuelles Know-how im Bereich Risiko- und Informationssicherheitsmanagement zu erlangen und aufrechtzuerhalten.

    3. Registrierungspflicht

    Sobald das Unternehmen als besonders wichtige oder wichtige Einrichtung klassifiziert wurde, muss die gesetzliche Registrierung innerhalb von drei Monaten erfolgen. Hierzu ist ein zweistufiges Verfahren vorgesehen: Zuerst die Anlage eines Unternehmenskontos auf Basis der ELSTER-Technologie, danach die eigentliche Registrierung beim BSI-Portal. Die Digitalisierung der Verwaltungsprozesse ermöglicht eine schlanke, sichere und nachvollziehbare Registrierung sowie künftige Meldungen.

    4. Bestandsaufnahme und Gap-Analyse

    Das NIS-2-Umsetzungsgesetz verlangt ein umfassendes Risikomanagement sowie konkrete Maßnahmen zur Steigerung der IT-Sicherheit. Eine gezielte Bestandsaufnahme analysiert, inwieweit Unternehmensprozesse und -systeme bereits den Anforderungen genügen. Dies gelingt am besten durch eine Gap-Analyse: Dabei werden die Ist-Situation und die gesetzlichen Soll-Vorgaben gegenübergestellt. Identifizierte Lücken und Verbesserungsbedarf können dadurch gezielt adressiert werden. Besonders relevant sind dabei Aspekte wie Lieferkettensicherheit, das Management von Informationsvorfällen und Notfallpläne.

    5. Maßnahmenplanung und nachhaltige Umsetzung

    Basierend auf den Ergebnissen der Gap-Analyse, ist ein Maßnahmen- und Zeitplan zu entwickeln. Dabei gilt es, Verantwortlichkeiten, Zuständigkeiten und Ressourcen passend zu planen und vorhandenes Risikomanagement oder vorhandene Sicherheitskonzepte weiterzuentwickeln oder zu ergänzen. Maßnahmen sollten anhand der Priorität und des Risikos umgesetzt werden. Erfolgreiches Management bedeutet zudem, die Wirksamkeit der Maßnahmen kontinuierlich zu überprüfen und Verbesserungen im Prozess zu verankern.

    Zusätzliche Pflichten und laufende Optimierung

    Meldepflichten und Nachweise

    Mit der erfolgreichen Registrierung entstehen weitere Verpflichtungen, darunter:

    • Aktualisierung der übermittelten Registrierungsdaten innerhalb vorgegebener Fristen
    • Meldung erheblicher Sicherheitsvorfälle an das BSI sowie Unterrichtung betroffener Kunden
    • Regelmäßige Nachweispflichten bezüglich der Einhaltung der gesetzlichen Anforderungen, insbesondere für Betreiber kritischer Anlagen

    Erhebliche Sicherheitsvorfälle müssen künftig über das BSI-Meldeportal eingereicht werden. Zwischenzeitig steht ein Online-Formular zur Verfügung. Wichtig: Auch Veränderungen bei den Versorgungskennzahlen oder grundlegender Unternehmensdaten müssen unverzüglich gemeldet werden.

    Regelmäßige Kontrolle und Verbesserungen

    Die Einführung einzelner Maßnahmen allein reicht nicht aus – das Gesetz fordert eine regelmäßige Evaluation der Wirksamkeit. Dazu gehören die Erhebung und Auswertung von Kennzahlen zur Informationssicherheit, die Anpassung an sich ändernde betriebliche Gegebenheiten oder Gesetzesänderungen und die fortwährende Verbesserung nach dem Prinzip „Lessons Learned“. Nur so kann nachhaltig ein robustes Informationssicherheitsniveau erreicht und aufrechterhalten werden.

    Fazit: Jetzt aktiv handeln und compliant werden

    Das NIS-2-Umsetzungsgesetz stellt Unternehmen, Behörden und Einrichtungen vor neue und anspruchsvolle Herausforderungen. Entscheidend ist ein strukturiertes, dokumentiertes Vorgehen: Von der Betroffenheitsprüfung, über die Planung und Umsetzung spezifischer Maßnahmen, bis hin zur kontinuierlichen Weiterentwicklung Ihrer Informationssicherheit. Wer jetzt systematisch startet, schützt nicht nur sensiblen Daten und Systeme, sondern stellt sich auch optimal für künftige Prüfungen der Behörden auf.

    Sie benötigen Unterstützung bei der Gap-Analyse, der Entwicklung und Umsetzung eines ganzheitlichen Risikomanagements oder bei der Schulung Ihrer Geschäftsführung und Mitarbeitenden? Sprechen Sie uns gerne an! Gemeinsam sorgen wir für Ihre Compliance und Sicherheit im Rahmen des NIS-2-Umsetzungsgesetzes.

  • Fluggastdaten im Visier: Was deutsche Behörden wirklich über Ihre Flugreisen wissen – und warum das Folgen für Ihren Datenschutz hat

    Fluggastdaten im Visier: Was deutsche Behörden wirklich über Ihre Flugreisen wissen – und warum das Folgen für Ihren Datenschutz hat

    Fluggastdaten in Deutschland: Kontrolle, Nutzen und Datenschutz im Fokus

    Warum werden Fluggastdaten gesammelt?

    In Deutschland spielt die Analyse von Fluggastdaten eine immer größere Rolle im Bereich der inneren Sicherheit. Sämtliche Passagierdaten, die von Fluggesellschaften an Behörden übermittelt werden, dienen dazu, potenzielle Gefahren und Verdachtsfälle frühzeitig zu erkennen. Diese Informationen, bekannt als Passenger Name Records (PNR), umfassen zahlreiche Angaben, wie Namen, Reisedaten oder Zahlungsinformationen der Fluggäste. Durch den Abgleich dieser großen Datenmengen mit polizeilichen Fahndungsdatenbanken sollen insbesondere Gefahrensituationen wie Terroranschläge oder organisierte Kriminalität besser bekämpft werden.

    Die Menge der jährlich erfassten Fluggastdatensätze wächst kontinuierlich. Im Jahr 2024 wurden beispielsweise fast 548 Millionen Datensätze verarbeitet. Das entspricht einem erheblichen Anstieg im Vergleich zum Vorjahr und verdeutlicht, wie sehr die Überwachung des Flugreiseverkehrs im Fokus der Behörden steht.

    Wie funktioniert die Auswertung und was bringt sie?

    Das Fluggastdaten-Informationssystem der deutschen Behörden ist mit modernster Technik ausgestattet. Die Daten werden automatisiert mit bestehenden polizeilichen Hinweisen und spezifischen Mustern abgeglichen. Sobald ein technischer Treffer gefunden wird, folgt eine manuelle Überprüfung durch Ermittlungsbehörden. Nur verifizierte Verdachtsfälle werden zur weiteren Bearbeitung an Stellen wie den Zoll oder die Bundespolizei weitergegeben.

    Doch trotz der beachtlichen Datenmenge bleibt die sogenannte Erfolgsquote relativ gering. Aus mehreren Hundert Millionen Aufzeichnungen resultieren lediglich einige Tausend konkrete Ermittlungsverfahren – und nur eine vergleichsweise kleine Zahl an tatsächlichen Festnahmen. Für die Behörden ergibt sich daraus ein enormes Arbeitsvolumen, das in keinem Verhältnis zur Anzahl der eingeleiteten Maßnahmen steht. Trotzdem bietet diese Vorgehensweise den Vorteil, potenziell gefährliche Individuen frühzeitig zu erkennen und Maßnahmen zu deren Kontrolle oder Überwachung einzuleiten.

    Datenschutz, Herausforderungen und der gesellschaftliche Diskurs

    Wie wird mit den Fluggastdaten umgegangen?

    Der Umgang mit Fluggastdaten ist in Deutschland streng geregelt. Es gelten genaue Fristen zur Speicherung und Löschung. Beispielsweise werden personenbezogene Daten maximal sechs Monate nach ihrer Erfassung gelöscht oder anonymisiert – jährlich betrifft das Hunderte Millionen Datensätze. Damit wird sichergestellt, dass die Privatsphäre der Reisenden so gut wie möglich gewahrt bleibt. Zusätzlich legen Verwaltungsgerichte Wert darauf, dass die Datenauswertung gezielt und nicht anlasslos erfolgt, um einen Missbrauch der sensiblen Informationen zu verhindern.

    Auch das Thema Kosteneffizienz ist ein wichtiger Aspekt: Neben den technischen und organisatorischen Ausgaben erfordert der Betrieb des Systems erheblichen personellen Aufwand. So sind beim Bundeskriminalamt (BKA) wie auch weiteren Behörden zahlreiche Stellen ausschließlich mit der Verwaltung und Auswertung der Fluggastdaten beschäftigt.

    Chancen, Risiken und der gesellschaftliche Diskurs

    Während die einen in der Sammlung und Nutzung von Fluggastdaten ein wertvolles Instrument zur Risikominimierung sehen, warnen andere vor einer Ausweitung der Überwachung und dem Verlust von Bürgerrechten. Der gesellschaftliche Diskurs dreht sich daher zunehmend um die Frage, inwieweit die Einschränkungen der Privatsphäre angesichts des verhältnismäßig geringen Ermittlungserfolgs gerechtfertigt sind.

    Unbestritten ist aber: Mit zunehmenden Bedrohungslagen wächst auch das Bedürfnis nach effektiven Möglichkeiten, sicherheitsrelevante Vorfälle zu erkennen und abzuwehren. Dennoch bleibt es essentiell, die Balance zwischen Sicherheit und Datenschutz zu wahren – und die Verfahren regelmäßig auf ihre Verhältnismäßigkeit zu überprüfen.

    Benötigen Sie Unterstützung oder haben Sie Fragen zum Umgang mit Fluggastdaten, IT-Sicherheit oder Datenschutz? Kontaktieren Sie uns gerne – wir beraten Sie individuell und kompetent!