Warum der „Stand der Technik“ bei Datenschutz und Informationssicherheit unverzichtbar ist

Im digitalen Zeitalter ist kein Unternehmen mehr vor Angriffen auf seine IT-Systeme sicher.

Ob es sich um kleine und mittlere Unternehmen, große Konzerne oder öffentliche Einrichtungen handelt – Cyberkriminelle nutzen jede Schwachstelle, die sich bietet.

Deshalb ist es nicht nur sinnvoll, sondern auch gesetzlich vorgeschrieben, den sogenannten „Stand der Technik“ zu berücksichtigen, wenn es um Datenschutz und Informationssicherheit geht.

Was bedeutet „Stand der Technik“?

Der Begriff beschreibt den Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen oder Betriebsweisen, deren praktische Eignung zur Erreichung des Schutzziels gesichert erscheint. Er liegt damit zwischen den „allgemein anerkannten Regeln der Technik“, die sich in der Praxis bereits durchgesetzt haben, und dem „Stand von Wissenschaft und Technik“, der die neuesten Forschungserkenntnisse umfasst (grundlegend BVerfG, Beschluss vom 8.8.1978 – 2 BvL 8/77; Legaldefinition etwa in § 3 Abs. 6 BImSchG). Er ist dynamisch – was heute als sicher gilt, kann morgen bereits veraltet sein.

Ein Beispiel: Vor einigen Jahren galt die Transportverschlüsselung mit TLS 1.0 noch als ausreichend. Heute gelten TLS 1.0 und 1.1 als unsicher und sind offiziell abgekündigt (RFC 8996, 2021). Das BSI empfiehlt in der Technischen Richtlinie TR-02102-2 (Version 2026-01) TLS 1.3 und lässt TLS 1.2 mit geeigneten Cipher-Suites weiterhin zu. Wer noch TLS 1.0 einsetzt, wird den Anforderungen an den Stand der Technik nach Art. 32 DSGVO in aller Regel nicht gerecht und setzt sich unnötigen Risiken aus.

Rechtliche Pflicht nach DSGVO und Co.

Die Datenschutz-Grundverordnung (DSGVO) verlangt in Art. 32, dass Verantwortliche und Auftragsverarbeiter „unter Berücksichtigung des Stands der Technik“ – neben den Implementierungskosten, der Art und den Zwecken der Verarbeitung sowie den Risiken – geeignete technische und organisatorische Maßnahmen (TOM) treffen. Dazu zählen unter anderem:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten,
• Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme,
• rasche Wiederherstellung der Verfügbarkeit nach einem Zwischenfall,
• regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.

Auch bei der Gestaltung von Verarbeitungen ist der Stand der Technik zu berücksichtigen (Art. 25 Abs. 1 DSGVO). Für Unternehmen, die als wichtige oder besonders wichtige Einrichtungen unter das BSI-Gesetz fallen, verlangt § 30 BSIG in der seit dem 6. Dezember 2025 geltenden Fassung des NIS2-Umsetzungsgesetzes Risikomanagementmaßnahmen, die den Stand der Technik einhalten sollen (Umsetzung von Art. 21 der NIS2-Richtlinie (EU) 2022/2555). Normen wie ISO/IEC 27001:2022 inkl. Amd 1:2024 oder der BSI IT-Grundschutz sind dagegen keine Gesetze, sondern anerkannte Rahmenwerke, mit denen sich ein dem Stand der Technik entsprechendes Sicherheitsniveau strukturiert umsetzen und nachweisen lässt. Mit anderen Worten: Der Stand der Technik ist der Maßstab, an dem sich die Angemessenheit der Maßnahmen messen lassen muss.

Warum betrifft das Hardware, Software und Systeme gleichermaßen?

1. Hardware

Veraltete Hardware ist ein Sicherheitsrisiko. Alte Firewalls, Router oder PCs erhalten oft keine Sicherheitsupdates mehr. Wer Geräte jenseits des Herstellersupports betreibt, schafft Angriffsflächen, die sich nicht mehr schließen lassen. Beispiel: Mit dem Supportende von Windows 7 im Januar 2020 blieben zahlreiche Rechner ohne Sicherheitsupdates weiter im Einsatz.

2. Software

Veraltete Betriebssysteme oder Programme sind häufig das Einfallstor für Angriffe. Ein klassisches Beispiel ist EternalBlue, eine Schwachstelle im Windows-SMB-Protokoll, die Microsoft im März 2017 geschlossen hatte (MS17-010). Unternehmen, die das Update nicht eingespielt hatten, wurden im Mai 2017 Opfer der WannaCry-Ransomware.

3. Systeme und Prozesse

Auch ganze IT-Systeme müssen regelmäßig modernisiert werden. Ein Unternehmen, das für kritische Zugänge nur Passwörter ohne Mehrfaktor-Authentifizierung einsetzt, bewegt sich nicht mehr auf dem Stand der Technik. Für Einrichtungen nach dem BSIG ist der Einsatz von Mehrfaktor-Authentifizierung ausdrücklich als Maßnahme genannt (§ 30 Abs. 2 Nr. 10 BSIG). Moderne Systeme nutzen zudem Zero-Trust-Ansätze, um Angreifer abzuwehren.

Konkrete Beispiele aus der Praxis

• Ein Krankenhaus speichert Patientendaten unverschlüsselt auf veralteten Servern. Ein Angriff führt zu Datenabfluss – das Krankenhaus verstößt sowohl gegen die DSGVO als auch gegen Patientenrechte.
• Ein Mittelständler nutzt eine alte Exchange-Server-Version ohne aktuelle Patches. Ergebnis: Ein Angreifer verschafft sich Zugang zu allen E-Mail-Konten und verschickt Phishing-Mails im Namen des Unternehmens.
• Ein Onlinehändler setzt noch auf einfache Passwörter und kein MFA. Ein Angreifer erbeutet Kundendaten – das Unternehmen muss erhebliche Mittel für Schadensbegrenzung aufwenden und mit einem Bußgeld rechnen.

Die Folgen bei Missachtung

Unternehmen, die den Stand der Technik ignorieren, setzen nicht nur ihre Daten und Systeme aufs Spiel. Sie riskieren auch:

• Bußgelder nach DSGVO: Verstöße gegen Art. 25 und Art. 32 können mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO); für Verstöße etwa gegen die Grundsätze des Art. 5 DSGVO gilt der höhere Rahmen von bis zu 20 Millionen Euro oder 4 % (Art. 83 Abs. 5 DSGVO),
• Haftungsansprüche durch Kunden, Geschäftspartner oder Betroffene, etwa nach Art. 82 DSGVO,
• Reputationsschäden, die Vertrauen und Marktstellung beeinträchtigen.

Fazit

Der Stand der Technik ist keine theoretische Anforderung, sondern ein praktischer Maßstab, der täglich über Sicherheit oder Unsicherheit entscheidet. Unternehmen, die ihre Hardware, Software und Systeme konsequent modernisieren, erfüllen nicht nur gesetzliche Vorgaben, sondern schaffen auch Vertrauen bei Kunden und Partnern.

Es gilt also: Datenschutz und Informationssicherheit sind nur dann wirksam, wenn der Stand der Technik eingehalten wird – und dieser verändert sich ständig. Wer rechtzeitig investiert, vermeidet später Kosten und Ärger.

Handlungsempfehlungen für KMU: So stellen Sie den Stand der Technik sicher

Gerade kleine und mittlere Unternehmen (KMU) stehen oft vor der Herausforderung, mit begrenzten Ressourcen hohe Anforderungen an Datenschutz und Informationssicherheit erfüllen zu müssen. Folgende Maßnahmen helfen, den Stand der Technik im Blick zu behalten:

1. Hardware regelmäßig erneuern

• Führen Sie eine Bestandsaufnahme aller eingesetzten Geräte durch (Server, Router, Firewalls, Endgeräte).
• Prüfen Sie die Hersteller-Support-Zyklen (End of Life / End of Support).
• Ersetzen Sie Hardware rechtzeitig, bevor Updates und Patches eingestellt werden.
• Beispiel: Der reguläre Support für Windows 10 endete am 14. Oktober 2025. Organisationen können über das kostenpflichtige Programm „Extended Security Updates“ längstens drei Jahre weiter Sicherheitsupdates beziehen. Ohne ESU sollte ein Windows-10-PC nicht mehr produktiv eingesetzt werden; Geräte, die Windows 11 nicht unterstützen, sind zu ersetzen.

2. Software aktuell halten

• Richten Sie ein zentrales Patchmanagement ein, um Updates zeitnah und möglichst automatisiert einzuspielen.
• Nutzen Sie nur Software, die vom Hersteller aktiv gepflegt wird.
• Prüfen Sie bei Eigenentwicklungen und Nischenprodukten, ob Wartung und Sicherheitsupdates langfristig gesichert sind.
• Beispiel: Office-Versionen ohne Sicherheitsupdates (z. B. Office 2010, Office 2016 oder Office 2019) entsprechen nicht mehr dem Stand der Technik.

3. Systeme modernisieren

• Setzen Sie auf Mehrfaktor-Authentifizierung (MFA) für alle kritischen Systeme.
• Verwenden Sie aktuelle Verschlüsselungsverfahren (z. B. TLS 1.3, AES-256).
• Planen Sie eine regelmäßige Überprüfung der Sicherheitsarchitektur (z. B. durch externe Audits oder Penetrationstests).
• Beispiel: Ein VPN-Zugang ohne MFA ist nach unserer Einschätzung nicht mehr zeitgemäß und hochriskant.

4. Informationssicherheits-Management etablieren

• Richten Sie ein ISMS (Informationssicherheits-Managementsystem) ein, z. B. nach ISO/IEC 27001:2022 inkl. Amd 1:2024 oder BSI IT-Grundschutz.
• Dokumentieren Sie technische und organisatorische Maßnahmen (TOM).
• Schulen Sie Mitarbeitende regelmäßig zu Cyberrisiken (Phishing, Social Engineering).

5. Kontinuierliche Risikoanalyse durchführen

• Bewerten Sie mindestens jährlich, welche Bedrohungen für Ihr Unternehmen relevant sind.
• Vergleichen Sie Ihre Schutzmaßnahmen mit aktuellen Empfehlungen von BSI und ENISA sowie mit einschlägigen Normen.
• Passen Sie Ihre Sicherheitsstrategie an neue Bedrohungslagen an.

Kurzcheck für KMU: Sind Sie noch auf dem Stand der Technik?

• Werden alle Systeme regelmäßig gepatcht?
• Ist MFA flächendeckend eingeführt?
• Nutzen Sie verschlüsselte Verbindungen (TLS 1.2 oder höher)?
• Sind alle Geräte und Systeme noch im Hersteller-Support?
• Gibt es ein dokumentiertes ISMS oder Sicherheitskonzept?

Wenn eine dieser Fragen mit „Nein“ beantwortet werden muss, besteht Handlungsbedarf. Sprechen Sie uns gern an.