Daten und Algorithmen sind die neuen Assets
Als Privatpersonen, Unternehmen und als Gesellschaft im Allgemeinen verbringen wir immer mehr Zeit online und hinterlassen einen stetig wachsenden digitalen Fußabdruck. Wir übermitteln Daten, die zu Profilen verdichtet werden und viel über unsere Persönlichkeit sowie unsere politischen Vorlieben und unseren Geschmack als Verbraucher verraten. Wer auch immer Zugang zu diesen Daten hat, kann Menschen beeinflussen, Identitäten stehlen und erheblichen Schaden anrichten.
Doch Daten sind nicht nur aus Sicht des Einzelnen wertvoll, sondern auch ein zentraler Produktionsfaktor für Unternehmen, die im digitalen Raum tätig sind. Während klassische Industrieunternehmen aus Anlagen, Laboren, Hallen und Werkstätten bestanden, sind die Produktionsmittel von heute Algorithmen, Software und Datenbanken.
Deshalb ist der Schutz der technischen Infrastruktur nicht nur wichtig, um die Datenschutzanforderungen zu erfüllen, sondern auch ein grundlegendes Element zur Sicherung der Wertschöpfung in einem modernen Unternehmen. Wenn Betriebsgeheimnisse ausgespäht werden, Daten nach außen dringen oder Ransomware ganze Systeme lahmlegt, kann das leicht das Aus für ein Unternehmen bedeuten.
Wenn der Schutz versagt: Konsequenzen in der Praxis
Die unangenehmen Folgen unzureichenden Datenschutzes sind keineswegs nur hypothetischer Natur. Im August 2024 legte ein Ransomware-Angriff das ERP-System des Wodkaherstellers Stoli Group lahm. Die Buchhaltung musste manuell weitergeführt werden, und das Unternehmen war nicht mehr in der Lage, seinen Kreditgebern aktuelle Finanzberichte zur Verfügung zu stellen. Drei Monate später beantragten die US-Tochtergesellschaften der Gruppe Gläubigerschutz nach Kapitel 11 und nannten den Cyberangriff als einen der entscheidenden Faktoren. Zugegeben: Die Beschlagnahmung der verbliebenen russischen Destillerien durch die Behörden in Russland war ein weiterer Faktor. Der Cyberangriff allein war also nicht die technische Ursache der Insolvenz. Er nahm dem Unternehmen jedoch die Möglichkeit, nachzuweisen, dass es weiterhin zahlungsfähig war.
Ein ähnlicher Fall ereignete sich bei Jaguar Land Rover. Ein Ende August begonnener Cyberangriff brachte die weltweite Fahrzeugproduktion für rund sechs Wochen zum Erliegen. Das britische Cyber Monitoring Centre bezifferte den daraus entstandenen wirtschaftlichen Schaden auf etwa 1,9 Milliarden Pfund und stellte Auswirkungen auf rund 5.000 Unternehmen entlang der Lieferkette fest. Damit war es das teuerste Cyberereignis in der britischen Geschichte.
Diese Fälle sind keine Ausnahmen. Bemerkenswert ist vielmehr, wie ähnlich die Struktur solcher Angriffe ist. Der Global Threat Intelligence Report 2026 von Flashpoint verzeichnet allein für das Jahr 2025 insgesamt 3,3 Milliarden kompromittierte Zugangsdaten und Cloud-Tokens, die von mehr als 11 Millionen mit Information-Stealing-Malware infizierten Geräten abgegriffen wurden.
Die Mechanismen der Cyberkriminalität haben sich verändert: Statt sich gewaltsam Zutritt zu verschaffen, geht es zunehmend darum, sich einzuloggen. Die Eingangstür wurde nicht aufgebrochen – sie wurde mit einem gestohlenen Schlüssel geöffnet.
Datenschutz und eine verlässliche Unternehmens-IT sind ein und dasselbe
Um nicht nur Kunden-, Mitarbeiter- und Lieferantendaten, sondern auch Unternehmens-Know-how, Geschäftsgeheimnisse und digitale Ressourcen und Assets zu schützen, müssen geeignete technische und organisatorische Maßnahmen (TOMs) implementiert werden, um die Integrität, Vertraulichkeit und Verfügbarkeit von Daten zu gewährleisten. Bestehende Schutzmaßnahmen müssen ständig auf Sicherheitslücken überprüft werden, und es müssen Prozesse vorhanden sein, die alle Systeme stets auf dem neuesten Stand halten.
Dies zeigt, dass Unternehmen, die guten technischen Datenschutz betreiben, auch ihr Geschäft schützen - sie schlagen zwei Fliegen mit einer Klappe. Datenschutz, richtig verstanden, ist keine “Zusatzaufgabe”, keine Belastung, keine Bürokratie, kein Bereich neben den eigentlichen Geschäftsaufgaben. Vielmehr ist der Datenschutz eine immer wichtigere und zentralere Basis für das gesamte Geschäft. Und darüber hinaus ist er auch wichtig, um im digitalen Bereich in der Europäischen Union in Zukunft erfolgreich handeln zu können. Gerade vor dem Hintergrund zunehmender Unsicherheiten im internationalen Datentransfer - etwa im Hinblick auf rechtliche Entwicklungen in den USA - gewinnt ein eigenständiger und belastbarer Umgang mit Daten zusätzlich an Bedeutung.
Die Einhaltung der Datenschutz-Grundverordnung (DSGVO) sowie regulatorische Anforderungen wie der NIS-2-Richtlinie und die damit verbundene Wahrung der Datensouveränität in Europa kann zu einem Wettbewerbsvorteil gegenüber anderen Unternehmen werden, die sich nicht oder nur teilweise an die gesetzlichen Vorgaben halten, denn die Aufsichtsbehörden werden strenger und die Verbraucher nehmen diese Dinge ernster.
Mehr als nur Compliance: Schutz von Geschäftsgeheimnissen und Unternehmenswerten
Datenschutz hat eine Dimension, die über die Einhaltung regulatorischer Vorgaben hinausgeht und häufig übersehen wird: den Schutz der eigenen Geschäftsinteressen. Unzureichende Zugriffskontrollen und kompromittierte Identitäten gefährden nicht nur personenbezogene Daten, sondern können auch Geschäftsgeheimnisse, geistiges Eigentum, interne Strategien und andere sensible Unternehmensinformationen offenlegen.
Nach der EU-Richtlinie über den Schutz von Geschäftsgeheimnissen (Richtlinie (EU) 2016/943) gelten Informationen nur dann als Geschäftsgeheimnis, wenn ihr Inhaber angemessene Maßnahmen ergriffen hat, um sie geheim zu halten. Ein Unternehmen, das seine Algorithmen, Kundendatenbanken oder proprietären Prozesse auf Systemen ohne ausreichenden technischen Schutz vorhält, muss unter Umständen feststellen, dass diese Informationen ihren rechtlichen Status als Geschäftsgeheimnis vollständig verloren haben. Im Streitfall kann es dann unter Umständen keinerlei Ansprüche geltend machen – nicht, weil der Diebstahl rechtmäßig gewesen wäre, sondern weil die Informationen von Anfang an nicht angemessen geschützt wurden.
Die Auswirkungen gehen noch weiter. Vertraulichkeitsvereinbarungen (NDAs) mit Geschäftspartnern verpflichten Unternehmen in der Regel dazu, angemessene Maßnahmen zum Schutz der ausgetauschten Informationen zu ergreifen. Kommt es aufgrund unzureichender Zugriffskontrollen zu einem Sicherheitsvorfall, kann das Unternehmen mit Vertragsstrafen und Schadensersatzforderungen der eigenen Geschäftspartner konfrontiert werden.
Und dann ist da noch die Frage der persönlichen Haftung. In den meisten Rechtssystemen trägt die Geschäftsleitung persönlich Verantwortung dafür, das Unternehmen mit der gebotenen Sorgfalt zu führen. Artikel 20 der NIS2-Richtlinie formuliert dies für die Cybersicherheit ausdrücklich: Leitungsorgane müssen die Maßnahmen des Risikomanagements genehmigen und deren Umsetzung überwachen, können für Verstöße haftbar gemacht werden und sind verpflichtet, entsprechende Schulungen zu absolvieren. Ein CEO, der die Multi-Faktor-Authentifizierung als zu teuer abtut und anschließend zusehen muss, wie Zugangsdaten gestohlen werden, könnte sich daher unangenehmen Fragen stellen müssen – und zwar nicht nur von der Aufsichtsbehörde.
Besonders relevant ist dies in Umgebungen, in denen Mitarbeiter, externe Dienstleister oder Partner auf gemeinsame Systeme und vertrauliche Informationen zugreifen. Moderne Authentifizierungsverfahren und ein sicheres Identitäts- und Zugriffsmanagement tragen daher nicht nur zur Einhaltung regulatorischer Vorgaben bei, sondern helfen auch dabei, Wettbewerbsvorteile zu schützen und Geschäftsrisiken zu reduzieren.
Technischer Datenschutz als sicheres Fundament
Natürlich reicht es nicht aus, nur die Infrastruktur zu schützen, damit ein Unternehmen erfolgreich arbeiten kann. Es muss auch sichergestellt werden, dass der organisatorische Rahmen für den Datenschutz vorhanden ist und rechtliche Vorgaben zuverlässig umgesetzt werden.
Ja, es ist wichtig, Standards für die Art und Weise zu haben, wie Papier geschreddert wird, damit sich Dokumente nicht wieder zusammensetzen lassen. Doch in einer Welt, in der ein einziger Satz gestohlener Zugangsdaten den Zugriff auf Millionen von Kundendatensätzen ermöglichen kann, findet der eigentliche Kampf längst nicht mehr am Aktenvernichter statt.
Die entscheidenden Fragen lauten heute anders: Wo werden Daten gespeichert und wer kann darauf zugreifen? Wie werden Identitäten und Zugriffsrechte systemübergreifend verwaltet? Was passiert, wenn die Infrastruktur eines Dienstleisters kompromittiert wird? Und sind die vertraglichen Regelungen so gestaltet, dass Verantwortlichkeiten im Ernstfall eindeutig zugewiesen sind?
Über all diesen Fragen dürfen wir aber die technische Basis nicht vergessen, die die Grundlage für alle anderen Maßnahmen ist: Es reicht nicht aus, nur theoretischen Datenschutz durch ausgefeilte Listen und Verträge zu schaffen. Die Unternehmen müssen den Datenschutz auch tatsächlich praktizieren, und zwar eingebettet in die Struktur des Unternehmens selbst.
Eine der wichtigsten und zugleich am häufigsten vernachlässigten technischen Maßnahmen ist das Identitäts- und Zugriffsmanagement. Wer kann auf welche Systeme zugreifen, unter welchen Bedingungen und wie wird die Identität dieser Person verifiziert? Multi-Faktor-Authentifizierung, rollenbasierte Zugriffskontrollen und moderne Identitätsprotokolle wie OpenID Connect und FIDO2 sind kein Luxus. Sie gehören heute zu den grundlegenden Sicherheitsanforderungen.
Die rechtlichen und praktischen Aspekte der Authentifizierung erläutern wir ausführlicher in unserem Artikel darüber, wann eine Multi-Faktor-Authentifizierung sinnvoll und wann sie verpflichtend ist.
Dieser Anspruch wird durch neue regulatorische Anforderungen weiter verstärkt.
- Der Data Act (seit September 2025 anwendbar) verändert die Verhältnisse bei Maschinendaten und IoT-Daten in Lieferketten grundlegend.
- Der EU AI Act stellt in Artikel 10 umfangreiche Anforderungen an die Daten-Governance für Hochrisiko-KI-Systeme. Diese Vorgaben gelten für eigenständige Hochrisiko-Systeme ab dem 2. Dezember 2027 und für KI, die in regulierte Produkte integriert ist, ab dem 2. August 2028. Die Transparenzpflichten nach Artikel 50 wurden hingegen nicht verschoben und gelten bereits seit dem 2. August 2026.
- Der Cyber Resilience Act verpflichtet ab 2027 Hersteller vernetzter digitaler Produkte zur Sicherheit by design.
Wer bereits saubere Datenschutzstrukturen und eine dokumentierte Datenqualitätssicherung hat, ist für diese nächste Compliance-Welle besser aufgestellt. Damit wird deutlich: Technischer Datenschutz ist kein ergänzender Baustein, sondern das Fundament, auf dem alle weiteren Datenschutzmaßnahmen aufbauen.
Datenschutz ist ein Sales-Tool
Für Unternehmen, die in Lieferketten von Konzernen eingebettet sind oder für staatliche Stellen tätig werden, ist guter Datenschutz oft die Voraussetzung dafür, überhaupt Geschäfte machen zu können. Denn solche Marktteilnehmer müssen aufgrund gesetzlicher Vorgaben ihre Lieferketten durchleuchten und werden nur entsprechend gut aufgestellte Partner in ihre Lieferantenliste aufnehmen. Hier ist Compliance, die vielleicht sogar durch eine Zertifizierung nachgewiesen werden muss, die Eintrittskarte, um überhaupt „mitspielen zu können“.
Die wichtigsten Zertifizierungen mit direktem Bezug zum Datenschutz sind dabei:
- ISO/IEC 27001 (Informationssicherheitsmanagementsystem / ISMS - Branchenstandard und in vielen Ausschreibungen eine Mindestanforderung),
- die Zertifizierung nach Art. 42 DSGVO / EuroPriSe (das in der DSGVO selbst vorgesehene Zertifizierungsinstrument, von Datenschutzaufsichtsbehörden anerkannt und für die Nachweisführung gegenüber Verantwortlichen geeignet),
- SOC 2 Type II (vor allem im SaaS-Umfeld und bei Kunden mit US-amerikanischer oder internationaler Konzernstruktur nachgefragt) sowie BSI C5 (Cloud Computing Compliance Criteria Catalogue des Bundesamts für Sicherheit in der Informationstechnik - zunehmend Voraussetzung in öffentlichen Ausschreibungen und bei KRITIS-relevanten Lieferketten).
Diese Entwicklung dürfte sich weiter verstärken. Am 20. Januar 2026 veröffentlichte die Europäische Kommission ihr Cybersecurity Package: einen Vorschlag für eine Neufassung des Cybersecurity Act (CSA2) sowie gezielte Änderungen an der NIS2-Richtlinie. Die Kommission räumt ausdrücklich ein, dass die Anforderungen der NIS2 an die Lieferkette zu umfangreichen und uneinheitlichen Fragebögen für Dienstleister geführt haben, die sich entlang der Lieferkette weiterreichen. Als Reaktion darauf schlägt sie eine EU-weite Standardisierung vor. Im Rahmen des überarbeiteten Regelwerks soll eine europäische Cybersicherheitszertifizierung künftig die Einhaltung der Risikomanagement-Anforderungen der NIS2 nachweisen können. Behörden sollen dann nicht mehr berechtigt sein, zusätzliche separate Sicherheitsprüfungen zu verlangen.
Beide Vorschläge befinden sich noch im Trilog. Eine politische Einigung wird für Anfang 2027 angestrebt. Für Unternehmen, die ihre Hausaufgaben bereits gemacht haben, bietet diese Entwicklung eine Chance. Für diejenigen, die dies noch nicht getan haben, schließt sich das Zeitfenster.
Ein sicheres und verlässliches Kundenidentitäts- und Zugriffsmanagement (Customer Identity and Access Management, CIAM) ist dabei ein zentraler Baustein, da es die Grundlage für viele digitale Geschäftsprozesse bildet. Gleichzeitig handelt es sich um eine spezialisierte und oft wenig sichtbare Infrastrukturaufgabe, der in der Praxis nicht immer ausreichend Aufmerksamkeit geschenkt wird.
Als IDaaS-Provider helfen wir Unternehmen, in dem wir sichere, konfigurierbare und skalierbare cloudbasierte IAM-Lösungen anbieten.
Wenn Sie mehr darüber erfahren möchten, welche Anforderungen moderne Authentifizierungssysteme heute erfüllen sollten, haben wir die wichtigsten Aspekte in einem separaten Beitrag zusammengefasst. In einem weiteren Artikel gehen wir ausführlich darauf ein, wie sich Serverstandort und Unternehmensstruktur auf den Datenschutz auswirken.
Gerne besprechen wir Ihre individuelle Situation auch persönlich mit Ihnen. Hier gelangen Sie zu unserem Kontaktformular.
Hinweis: Dieser Beitrag wurde erstmals im Februar 2022 veröffentlicht und zuletzt im Oktober 2026 aktualisiert und korrigiert.