TOM einfach erklärt
Die Abkürzung TOM steht für „technische und organisatorische Maßnahmen“. Gemeint ist alles, was ein Unternehmen tut, damit personenbezogene Daten – also Angaben über Kunden, Beschäftigte oder Patienten – nicht in falsche Hände geraten, verfälscht werden oder verloren gehen.
Ein Vergleich: Ein Juwelier schützt seine Ware mit Tresor, Panzerglas und Alarmanlage. Das sind technische Maßnahmen. Dazu kommen Regeln, wer den Tresor öffnen darf, wer abends abschließt und was bei einem Überfall zu tun ist. Das sind organisatorische Maßnahmen. Erst beides zusammen ergibt echten Schutz.
In der IT zählen zu den technischen Maßnahmen etwa Firewalls, Verschlüsselung, Backups und die Multi-Faktor-Authentifizierung. Organisatorische Maßnahmen sind zum Beispiel ein Berechtigungskonzept, Schulungen, Vertretungsregeln und ein Notfallplan.
Das regelt die DSGVO
Rechtsgrundlage ist Art. 32 der Datenschutz-Grundverordnung (DSGVO). Danach müssen Verantwortliche und Auftragsverarbeiter geeignete TOM treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Zu berücksichtigen sind unter anderem der Stand der Technik – also bewährte, am Markt verfügbare Schutzmaßnahmen –, die Kosten sowie Art, Umfang und Zweck der Verarbeitung. Als Beispiele nennt die Verordnung:
- die Pseudonymisierung und Verschlüsselung personenbezogener Daten – bei der Pseudonymisierung werden etwa Namen durch Kennziffern ersetzt,
- die Fähigkeit, Vertraulichkeit, Integrität (Unverfälschtheit), Verfügbarkeit und Belastbarkeit (Widerstandsfähigkeit) der Systeme auf Dauer sicherzustellen,
- die Fähigkeit, Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen,
- ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.
Der vierte Punkt wird oft unterschätzt: Es reicht nicht, Maßnahmen aufzuschreiben – Sie müssen auch zeigen können, dass sie in der Praxis wirken. Viele Unternehmen gliedern ihre TOM-Dokumentation noch nach den Kontrollzielen des früheren Bundesdatenschutzgesetzes, etwa Zutritts-, Zugangs- und Zugriffskontrolle. Orientierung bieten außerdem das Standard-Datenschutzmodell der Datenschutzaufsichtsbehörden und der IT-Grundschutz des BSI.
Ein Beispiel aus der Praxis
Eine Steuerkanzlei hat ihre TOM sorgfältig dokumentiert: Zugriff auf Mandantendaten nur mit Multi-Faktor-Authentifizierung, tägliche Datensicherung, regelmäßige Updates. Auf dem Papier ist alles in Ordnung.
Ein Penetrationstest zeichnet ein anderes Bild. Ein älterer Webmail-Zugang verlangt nur ein Passwort – die MFA greift dort nicht. Die Datensicherung liegt auf einem Netzlaufwerk, auf das jedes Benutzerkonto schreiben darf. Eine Ransomware hätte also auch die Backups verschlüsselt.
Die Kanzlei schaltet den alten Zugang ab und trennt die Backups vom übrigen Netz. Ein Retest bestätigt, dass die Lücken geschlossen sind. Der Prüfbericht wandert in die Datenschutzdokumentation – als Nachweis, dass die Wirksamkeit der TOM tatsächlich überprüft wurde.
Warum ist das für Unternehmen wichtig?
TOM sind keine Formalie. Die DSGVO verlangt, dass Verantwortliche die Einhaltung ihrer Vorgaben nachweisen können (Rechenschaftspflicht). Fehlen angemessene Maßnahmen, drohen Bußgelder und Schadenersatzforderungen – und nach einem Datenleck oft ein spürbarer Vertrauensverlust bei Kunden und Partnern.
TOM spielen auch im Geschäftsalltag eine Rolle. Wer personenbezogene Daten von einem Dienstleister verarbeiten lässt, darf nur Anbieter beauftragen, die hinreichend Gewähr für geeignete TOM bieten. Im Auftragsverarbeitungsvertrag (AVV) verpflichtet sich der Dienstleister zu den nach Art. 32 erforderlichen Maßnahmen; meist werden die TOM als Anlage beigefügt. Zudem soll das Verzeichnis der Verarbeitungstätigkeiten – die Übersicht, welche personenbezogenen Daten ein Unternehmen wofür verarbeitet – nach Möglichkeit eine allgemeine Beschreibung der TOM enthalten.
Was Unternehmen jetzt tun sollten
- Erfassen Sie, welche personenbezogenen Daten Sie wo verarbeiten, und bewerten Sie das Risiko für die betroffenen Personen.
- Beschreiben Sie Ihre TOM konkret und aktuell – statt mit Floskeln wie „Daten werden geschützt“.
- Legen Sie fest, wer die TOM pflegt, und aktualisieren Sie sie bei jeder größeren Änderung Ihrer IT.
- Prüfen Sie die Wirksamkeit regelmäßig, etwa mit Penetrationstests, Schwachstellenanalysen und Wiederherstellungstests Ihrer Backups.
- Dokumentieren Sie Ergebnisse und behobene Mängel – das ist Ihr Nachweis gegenüber Aufsicht, Kunden und Auditoren.
- Gleichen Sie die TOM Ihrer Dienstleister mit Ihren Anforderungen ab, bevor Sie einen AVV unterschreiben.
Wie Rootsektor unterstützt
Rootsektor prüft, ob Ihre technischen Maßnahmen in der Praxis halten, was die Dokumentation verspricht. Im Penetration Testing untersuchen wir Systeme, Anwendungen und Zugänge mit den Methoden echter Angreifer. Sie erhalten einen Bericht mit Management Summary (einer Zusammenfassung für die Geschäftsleitung), nachvollziehbaren Befunden und Maßnahmenempfehlungen, nach der Behebung einen kostenlosen Retest sowie eine Prüfbescheinigung – eine belastbare Grundlage für Ihre Nachweise nach Art. 32 DSGVO. Ein Festpreisangebot erhalten Sie nach dem Scoping über unser Pentest-Angebot.