Ein ehemaliger Mitarbeitender hat noch Zugriff auf das CRM. Ein gemeinsames Login liegt in der Werkstatt aus. Oder ein Backup läuft zwar täglich, wurde aber nie zurückgespielt. Solche Situationen sind selten ein Zeichen von Nachlässigkeit einzelner Personen. Meist zeigen sie, dass technische und organisatorische Massnahmen nicht durchgängig in den Arbeitsalltag integriert sind. Die sieben TOM-Lücken in KMU treten besonders häufig dort auf, wo Prozesse wachsen, Systeme hinzukommen und Verantwortlichkeiten nicht klar nachgeführt werden.
TOM steht für technische und organisatorische Massnahmen. Gemeint sind alle Vorkehrungen, mit denen ein Unternehmen personenbezogene Daten angemessen schützt - von Zugriffsrechten und Verschlüsselung bis zu Schulungen, Verträgen und klaren Abläufen bei Sicherheitsvorfällen. Das seit dem 1. September 2023 geltende Schweizer Datenschutzgesetz verlangt keinen starren Massnahmenkatalog. Entscheidend ist, dass Schutzmassnahmen zum Risiko, zu den bearbeiteten Daten und zur eigenen Organisation passen.
Warum TOMs im KMU oft Lücken aufweisen
In kleinen und mittleren Unternehmen ist IT häufig über Jahre organisch entstanden. Die Buchhaltung nutzt eine Cloud-Lösung, der Vertrieb ein CRM, die Produktion eigene Geräte und die Personaladministration einen separaten Dienstleister. Jede Lösung kann für sich sinnvoll sein. Problematisch wird es, wenn niemand den Gesamtüberblick über Datenflüsse, Berechtigungen und Zuständigkeiten hält.
TOMs sind deshalb keine einmalige IT-Aufgabe. Sie verbinden Geschäftsleitung, Fachabteilungen, IT und externe Anbieter. Wer sie nur für ein Audit dokumentiert, schafft Papier. Wer sie an konkrete Prozesse koppelt, reduziert Reibung im Alltag und kann Kundenanfragen, interne Kontrollen oder Sicherheitsereignisse strukturierter bearbeiten.
Die sieben TOM-Lücken in KMU
1. Zugriffsrechte folgen nicht den Aufgaben
Viele Mitarbeitende erhalten beim Eintritt Zugriff auf mehrere Systeme. Beim Stellenwechsel oder Austritt werden Berechtigungen jedoch nicht immer angepasst. Gerade bei gemeinsam genutzten Plattformen bleiben Konten, Gruppenmitgliedschaften oder administrative Rechte länger aktiv als nötig.
Die praktische Gegenmassnahme beginnt mit einem einfachen Berechtigungskonzept: Welche Rolle braucht Zugriff auf welche Daten und weshalb? Darauf aufbauend sollten Eintritt, Rollenwechsel und Austritt als feste Schritte im HR- und IT-Prozess definiert sein. Besonders sensible Rechte, etwa für Personalakten, Finanzdaten oder Systemadministration, verdienen eine regelmässige Überprüfung durch die zuständige Fachstelle.
2. Gemeinsame Konten verhindern Nachvollziehbarkeit
Ein Login wie «Werkstatt», «Empfang» oder «Administration» spart zunächst Aufwand. Gleichzeitig lässt sich später kaum nachvollziehen, wer Daten eingesehen, verändert oder exportiert hat. Auch bei einem Verdacht auf Fehlbedienung wird die Klärung unnötig schwierig.
Nicht jede Anwendung erlaubt technisch für alle Personen ein separates Konto. Wo individuelle Konten möglich sind, sollten sie genutzt werden. Wo gemeinsame Geräte oder Funktionskonten nötig bleiben, braucht es kompensierende Massnahmen: klar geregelte Nutzung, eingeschränkte Rechte, sichere Aufbewahrung von Zugangsdaten und eine dokumentierte Verantwortlichkeit. Bei extern erreichbaren Diensten ist eine Mehrfaktor-Authentisierung in vielen Fällen ein sinnvoller zusätzlicher Schutz.
3. Mobile Geräte und Homeoffice sind nicht geregelt
Laptops, Smartphones und private Arbeitsplätze gehören in vielen KMU selbstverständlich zum Betrieb. Die Lücke entsteht oft nicht durch Homeoffice selbst, sondern durch fehlende Mindeststandards. Unverschlüsselte Geräte, automatisch gespeicherte Downloads oder vertrauliche Gespräche in ungeeigneter Umgebung können die Vertraulichkeit von Personendaten beeinträchtigen.
Ein praxistauglicher Standard muss nicht kompliziert sein. Er kann beispielsweise vorsehen, dass Geräte mit Bildschirmsperre und aktuellem Betriebssystem eingesetzt werden, geschäftliche Daten nicht unkontrolliert auf privaten Speichern landen und verlorene Geräte rasch gemeldet werden. Ob private Geräte zugelassen werden sollen, hängt von Datenarten, technischer Verwaltung und Unternehmensgrösse ab. Wichtig ist eine bewusste Entscheidung statt einer stillschweigenden Praxis.
4. Backups existieren, ihre Wiederherstellung ist aber ungeprüft
Ein Backup ist erst dann ein verlässlicher Teil der Sicherheitsorganisation, wenn sich daraus Daten und Systeme innerhalb einer realistischen Zeit wiederherstellen lassen. Defekte Sicherungen, fehlende Zugänge oder unklare Zuständigkeiten fallen häufig erst auf, wenn sie dringend gebraucht werden.
KMU sollten festlegen, welche Systeme und Daten gesichert werden, wie lange Sicherungen aufbewahrt bleiben und wer eine Wiederherstellung auslösen darf. Ebenso zentral ist ein periodischer Test. Dabei muss nicht jedes Mal die gesamte Umgebung wiederhergestellt werden. Schon ein dokumentierter Test einer repräsentativen Datenmenge zeigt, ob Verfahren, Zugänge und Verantwortlichkeiten funktionieren.
5. Auftragsbearbeiter werden nur beim Einkauf geprüft
Cloud-Software, Lohnbuchhaltung, IT-Support oder Marketingtools bearbeiten häufig Personendaten im Auftrag des Unternehmens. Vor dem Vertragsabschluss wird oft kurz abgeklärt, ob ein Anbieter geeignet ist. Danach verschwindet das Thema in der Ablage, obwohl sich Leistungen, Unterauftragnehmer oder Datenstandorte ändern können.
Eine aktuelle Übersicht aller Auftragsbearbeiter schafft Transparenz. Dazu gehören Zweck der Bearbeitung, betroffene Daten, verantwortliche interne Stelle und die vertragliche Regelung. Bei besonders sensiblen Daten oder weitreichenden Zugriffsrechten kann eine vertiefte Prüfung sinnvoll sein. Nicht jeder kleine Dienstleister braucht denselben Kontrollaufwand. Massgebend sind Umfang, Sensibilität und mögliche Auswirkungen einer Störung.
6. Sicherheitsvorfälle haben keinen klaren Ablauf
Eine verdächtige E-Mail, ein fehlendes Gerät oder eine falsch adressierte Datei löst oft zuerst Hektik aus. Ohne definierten Ablauf wird zu spät eskaliert, werden Informationen überschrieben oder betroffene Stellen nicht einbezogen. Das erschwert eine sachliche Beurteilung der Lage.
Ein schlanker Incident-Prozess beantwortet vier Fragen: Wer nimmt eine Meldung entgegen? Wer entscheidet über Sofortmassnahmen? Welche Informationen werden dokumentiert? Und wann werden Geschäftsleitung, IT, externe Fachpersonen oder Betroffene einbezogen? Mitarbeitende müssen dafür keine Datenschutzexpertinnen und -experten sein. Sie müssen wissen, dass sie Auffälligkeiten rasch und ohne Schuldzuweisung melden sollen.
7. Dokumentation und gelebte Praxis passen nicht zusammen
Diese Lücke ist besonders verbreitet: Ein TOM-Dokument beschreibt Passwortregeln, Löschfristen oder Berechtigungskontrollen, doch im Alltag kennt niemand die Vorgaben oder sie werden anders umgesetzt. Dokumentation wird dann zur Momentaufnahme statt zum Steuerungsinstrument.
Besser ist es, Massnahmen so zu dokumentieren, dass Verantwortliche sie überprüfen können. Jede relevante TOM sollte einen Bezug zu einem Prozess, einer zuständigen Rolle und einem konkreten Nachweis haben - etwa ein Berechtigungsreview, ein Schulungsnachweis oder ein Testprotokoll. Damit wird sichtbar, welche Massnahmen tatsächlich leben und wo Anpassungen nötig sind.
So schliessen Sie TOM-Lücken mit überschaubarem Aufwand
Der sinnvollste Einstieg ist selten die vollständige Überarbeitung aller Richtlinien. Starten Sie mit einer Standortbestimmung: Welche Personendaten bearbeiten Sie, in welchen Systemen liegen sie und wer hat Zugriff? Anschliessend priorisieren Sie die Lücken nach Risiko und Umsetzbarkeit. Ein ehemaliges Administrationskonto oder fehlende Wiederherstellungstests haben oft höhere Priorität als eine sprachliche Optimierung bestehender Dokumente.
Danach lohnt es sich, wenige wiederkehrende Abläufe verbindlich festzulegen: Berechtigungen bei Eintritt und Austritt, Meldung von Vorfällen, Prüfung von Auftragsbearbeitern sowie periodische Kontrollen. Diese Abläufe sollten bei den Personen verankert sein, die sie tatsächlich ausführen. Eine Richtlinie, die ausschliesslich bei der Geschäftsleitung liegt, hilft dem Support oder der Personaladministration wenig.
Für die dauerhafte Pflege ist eine zentrale Struktur entscheidend. In einer Lösung wie DSMS+ lassen sich Bearbeitungsverzeichnis, TOMs, Auftragsbearbeitungen, Risiken und Nachweise miteinander verknüpfen. Das reduziert Suchaufwand und erleichtert es, Veränderungen wie ein neues Tool, einen Dienstleisterwechsel oder eine neue Abteilung sauber nachzuführen. Software ersetzt jedoch keine Verantwortlichkeiten. Sie schafft den Rahmen, damit diese verlässlich wahrgenommen werden können.
TOMs werden dann wirksam, wenn sie nicht als Datenschutzprojekt neben dem Betrieb stehen, sondern Teil der normalen Arbeitsabläufe werden. Beginnen Sie bei der Lücke, die heute am meisten Unsicherheit schafft - und machen Sie daraus einen klaren, überprüfbaren Prozess.