Die Datenschutz-Grundverordnung verlangt an mehreren Stellen, den „Stand der Technik“ zu berücksichtigen. Besonders relevant ist der Begriff bei den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Doch was ist eigentlich der Stand der Technik? Welche Sicherheitsmaßnahmen gehören dazu? Und wie können Unternehmen feststellen, ob die von ihnen eingesetzten Maßnahmen noch ausreichend sind?

Eine hilfreiche und sehr umfangreiche Orientierung bietet die Handreichung „Stand der Technik in der IT-Sicherheit“ des Bundesverbands IT-Sicherheit e. V. (TeleTrusT). Die aktuelle Ausgabe stammt aus dem Jahr 2025 und wurde gegenüber früheren Fassungen vollständig überarbeitet und erweitert. (TeleTrusT)

Dieser Beitrag stellt die wesentlichen Inhalte dieser umfangreichen Arbeitshilfe für die Datenschutzpraxis vor. Die Handreichung selbst und die darin entwickelte Methodik stammen vom TeleTrusT-Arbeitskreis „Stand der Technik“ und den dort mitwirkenden Experten. Dieser Arbeitskreis wurde bereits 2015 ins Leben gerufen, um Unternehmen Orientierung bei der Bestimmung des Stands der Technik zu geben.

Wo verlangt die DSGVO den Stand der Technik?

Eine zentrale Vorschrift ist Art. 32 DSGVO. Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Bei der Auswahl dieser Maßnahmen sind verschiedene Faktoren zu berücksichtigen. Dazu gehören Art, Umfang, Umstände und Zwecke der Verarbeitung, die Risiken für die Rechte und Freiheiten natürlicher Personen, die Implementierungskosten – und der Stand der Technik.

Auch Art. 25 DSGVO verlangt bei Datenschutz durch Technikgestaltung und datenschutzfreundlichen Voreinstellungen die Berücksichtigung des Stands der Technik.

Das Problem: Die DSGVO verwendet den Begriff, definiert ihn aber nicht. Genau darauf weist auch die TeleTrusT-Handreichung hin.

Was bedeutet „Stand der Technik“?

TeleTrusT ordnet den Begriff anhand der sogenannten Drei-Stufen-Theorie ein. Danach ist zu unterscheiden zwischen:

Stand der Wissenschaft und Forschung → Stand der Technik → allgemein anerkannte Regeln der Technik

Der Stand der Technik befindet sich damit zwischen einer noch sehr innovativen, möglicherweise noch nicht hinreichend praktisch erprobten Entwicklung und einer Technik, die bereits allgemein anerkannt und in der Praxis weit verbreitet ist.

TeleTrusT beschreibt den Stand der Technik verkürzt als die am Markt verfügbare Bestleistung einer IT-Sicherheitsmaßnahme zur Erreichung des gesetzlichen IT-Sicherheitsziels. Dabei spielen insbesondere Effektivität und Effizienz einer Sicherheitsmaßnahme eine Rolle.

Das ist für die Datenschutzpraxis ein wichtiger Punkt: Eine Maßnahme ist nicht schon deshalb Stand der Technik, weil sie weit verbreitet ist oder „schon immer so gemacht wurde“.

Stand der Technik ist kein fester Maßnahmenkatalog

Ebenso wenig gibt es die eine Sicherheitsmaßnahme, die für jedes Unternehmen und jede Datenverarbeitung den Stand der Technik darstellt.

Welche Maßnahmen erforderlich sind, hängt unter anderem vom Schutzbedarf, der konkreten Bedrohungslage, der eingesetzten Infrastruktur und der jeweiligen Verarbeitung ab. Es können daher unterschiedliche Maßnahmen oder Maßnahmenkombinationen geeignet sein.

Hinzu kommt ein weiteres Problem: Der Stand der Technik verändert sich.

Eine heute angemessene Sicherheitslösung kann durch technische Entwicklungen überholt werden. Das gilt beispielsweise, wenn bessere Schutzmechanismen verfügbar werden, bekannte Schwachstellen auftreten oder ein Produkt das Ende seines Lebenszyklus erreicht und vom Hersteller nicht mehr unterstützt wird. TeleTrusT weist ausdrücklich darauf hin, dass solche Maßnahmen nicht weiter eingesetzt werden dürfen, wenn vorhandene Schwachstellen leicht ausgenutzt werden können.

TOM müssen deshalb regelmäßig überprüft werden

Für Verantwortliche folgt daraus eine praktische Konsequenz: Technische und organisatorische Maßnahmen dürfen nicht einmal festgelegt und anschließend jahrelang unverändert übernommen werden.

Nach der TeleTrusT-Handreichung reicht es für den Nachweis einer Orientierung am Stand der Technik nicht aus, eine Maßnahme einmalig zu bewerten und anschließend lediglich Updates oder Patches einzuspielen. Erforderlich ist vielmehr eine regelmäßige Bewertung und ein Vergleich mit verfügbaren Alternativen.

Das passt auch zur Systematik der DSGVO. Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen.

Wie kann der Stand der Technik bewertet werden?

Besonders nützlich ist die Handreichung, weil TeleTrusT nicht bei der abstrakten Definition stehen bleibt.

Der Arbeitskreis bewertet Sicherheitsmaßnahmen anhand verschiedener Kriterien. Untersucht wird beispielsweise,
wie eine Maßnahme von Fachexperten beurteilt wird,
  • ob sie Eingang in nationale oder internationale Normen gefunden hat,
  • ob Fachverbände oder Regulierungsstellen sie empfehlen,
  • ob ihre Eignung unabhängig überprüft wird,
  • wie innovativ die Maßnahme ist,
  • ob sie bereits praktisch erprobt wurde,
  • ob wirksamere oder effizientere Alternativen vorhanden sind und
  • wie häufig eine konzeptionelle Weiterentwicklung erfolgt.

Unternehmen erhalten damit Kriterien, mit denen sich die eigenen TOM wesentlich strukturierter überprüfen und dokumentieren lassen.

Von MFA bis Incident Management: Die Handreichung wird sehr konkret

Die aktuelle Ausgabe umfasst mehr als 140 Seiten und behandelt zahlreiche konkrete Sicherheitsmaßnahmen.

Dazu gehören beispielsweise: 

  • Multifaktor-Authentifizierung, 
  • starke Passwörter, 
  • kryptographische Verfahren, 
  • Datenträger- und Dateiverschlüsselung, 
  • E-Mail-Verschlüsselung, 
  • VPN, Cloud-Sicherheit, 
  • Messenger, 
  • mobile Geräte, 
  • Systemhärtung, 
  • Endpoint Detection & Response, 
  • SIEM und Netzwerksegmentierung.

Auch organisatorische Maßnahmen werden behandelt, darunter: 

  • Informationssicherheitsmanagement, 
  • sichere Softwareentwicklung, 
  • Patch- und Schwachstellenmanagement, 
  • Risikomanagement, 
  • der Umgang mit Dienstleistern, 
  • Awareness, 
  • Asset Management, 
  • Incident Management sowie 
  • Notfall- und Krisenmanagement.

Gerade für die Überprüfung und Dokumentation von TOM nach Art. 32 DSGVO ist die Handreichung deshalb eine interessante Arbeitshilfe.

Ist die TeleTrusT-Handreichung verbindlich?

Nein. Sie ist weder Gesetz noch verbindliche technische Norm.

TeleTrusT weist selbst darauf hin, dass die Handreichung keine rechtsverbindliche Auslegung darstellt und die individuelle rechtliche, technische oder organisatorische Bewertung nicht ersetzt. Sie kann nach der eigenen Einordnung von TeleTrusT aber als anerkannter Branchenkonsens in Fachkreisen, bei Audits oder bei der Auslegung unbestimmter Rechtsbegriffe herangezogen werden.

Damit ist sie genau das, was der Name verspricht: eine Handreichung und Orientierungshilfe – kein verbindlicher TOM-Katalog.

Wo gibt es die Handreichung?

Der Bundesverband IT-Sicherheit e. V. (TeleTrusT) stellt die aktuelle Handreichung „Stand der Technik in der IT-Sicherheit“ auf seiner Website zur Verfügung. Dort kann die aktuelle Ausgabe kostenlos heruntergeladen werden. 

TeleTrusT: Stand der Technik in der IT-Sicherheit – Handreichung und Download

Fazit

Die DSGVO sagt nicht, welche Firewall, welche Verschlüsselung oder welches Authentisierungsverfahren in einem konkreten Unternehmen eingesetzt werden muss. Sie verlangt stattdessen ein angemessenes Sicherheitsniveau unter Berücksichtigung des Stands der Technik.

Gerade deshalb ist der Begriff in der Praxis schwierig.

Die von TeleTrusT erarbeitete Handreichung kann Datenschutzbeauftragten und Verantwortlichen dabei helfen, den abstrakten gesetzlichen Maßstab in konkrete Prüfkriterien zu übersetzen. Besonders wichtig ist dabei die Erkenntnis, dass der Stand der Technik kein statischer Zustand ist. Wer technische und organisatorische Maßnahmen dokumentiert hat, ist damit nicht für alle Zukunft fertig. Ihre Wirksamkeit und ihre technische Angemessenheit müssen regelmäßig überprüft werden.