Wenn ein Kunde im Fragebogen nach TOMs fragt oder ein Audit ansteht, hilft eine allgemeine Aussage wie «wir schützen unsere Daten» nicht weiter. Entscheidend ist, ob Ihr Unternehmen zeigen kann, wie dokumentiere ich TOMs konkret beantwortet wird: mit nachvollziehbaren Massnahmen, klaren Verantwortlichkeiten und einem Bezug zu den tatsächlichen Bearbeitungen.
TOMs sind technische und organisatorische Massnahmen. Sie beschreiben, wie ein Unternehmen Personendaten und weitere schützenswerte Informationen im Alltag schützt. Dazu gehören nicht nur Firewalls oder verschlüsselte Notebooks, sondern ebenso Eintrittsberechtigungen, Rollen im HR-System, Regeln für mobile Arbeit, Schulungen und der Umgang mit Sicherheitsvorfällen.
Für Schweizer Unternehmen ist eine TOM-Dokumentation kein Dokument für die Schublade. Sie schafft Übersicht, erleichtert die Zusammenarbeit zwischen IT, Fachbereichen und Geschäftsleitung und liefert eine belastbare Grundlage für Kundenanfragen, Auftragsbearbeitungen sowie Datenschutz- und Sicherheitsprüfungen.
Wie dokumentiere ich TOMs praxisnah?
Der sinnvollste Einstieg ist nicht eine lange Musterliste aus dem Internet. Eine solche Liste kann Anhaltspunkte geben, bildet aber selten Ihre tatsächliche Organisation ab. Dokumentieren Sie zuerst, welche Datenbearbeitungen bei Ihnen stattfinden und welche Systeme, Räume, Personen und Dienstleister daran beteiligt sind.
Ein Fitnessstudio bearbeitet etwa Mitgliederdaten, Zahlungsinformationen und allenfalls Gesundheitsangaben. Eine Produktionsfirma verarbeitet Bewerbungsdossiers, Kontaktdaten von Lieferanten und Zugriffsdaten aus der IT. Die Schutzmassnahmen müssen zu diesen Bearbeitungen passen. Wer sensible Daten oder grosse Datenmengen bearbeitet, braucht in der Regel mehr Kontrolle und detailliertere Nachweise als ein kleiner, isolierter Prozess mit wenigen Kontaktdaten.
Eine gute TOM-Dokumentation beantwortet für jede Massnahme vier Fragen: Was wird umgesetzt? Für welche Systeme oder Prozesse gilt die Massnahme? Wer ist verantwortlich? Wie wird die Umsetzung überprüft? Damit wird aus einer Aussage wie «Zugriffe sind beschränkt» ein überprüfbarer Eintrag: «Der Zugriff auf das HR-System erfolgt über persönliche Benutzerkonten und rollenbasierte Berechtigungen. Die HR-Leitung prüft die Berechtigungen halbjährlich sowie bei Ein- und Austritten.»
Mit den Bearbeitungen beginnen, nicht mit der Vorlage
Das Bearbeitungsverzeichnis ist oft der beste Ausgangspunkt. Es zeigt, welche Personendaten Ihr Unternehmen bearbeitet, zu welchem Zweck und mit welchen Empfängern oder Auftragsbearbeitern. Daraus lassen sich die relevanten Risiken und TOMs ableiten.
Nehmen Sie pro Bearbeitung einen kurzen Realitätscheck vor. Wo liegen die Daten? Wer kann darauf zugreifen? Wie gelangen sie ins System? Was passiert bei einem Verlust, Fehlversand oder einem Austritt einer Mitarbeiterin? Welche externen Anbieter sind eingebunden? Diese Fragen machen Lücken sichtbar, ohne dass Sie mit abstrakten Kontrollkatalogen starten müssen.
Trennen Sie dabei nicht künstlich zwischen Datenschutz und Informationssicherheit. Ein fehlendes Offboarding betrifft beides: Ehemalige Mitarbeitende könnten weiterhin auf Systeme mit Personendaten zugreifen. Die Massnahme lautet dann nicht nur «Datenschutz beachten», sondern beispielsweise: Austritte werden über einen definierten Prozess gemeldet, Konten werden deaktiviert, Geräte zurückgegeben und Berechtigungen in Fachanwendungen geprüft.
Die TOMs nach Schutzbereichen strukturieren
Eine übersichtliche Struktur hilft, damit die Dokumentation lesbar bleibt. In der Praxis bewährt sich eine Gliederung nach Schutzbereichen. Nicht jeder Bereich muss für jedes Unternehmen gleich ausführlich sein.
Zugang und Zutritt regeln
Der Zutritt betrifft physische Räume und Geräte. Dokumentieren Sie etwa, wie Büros, Archive, Serverräume oder Aktenschränke geschützt sind. Relevante Fragen sind: Wer besitzt Schlüssel oder Badges? Wie werden Besucher begleitet? Werden Papierakten mit Personendaten verschlossen aufbewahrt? Was geschieht mit ausgedruckten Unterlagen, die nicht mehr benötigt werden?
Der Zugang betrifft digitale Systeme. Halten Sie fest, ob persönliche Benutzerkonten verwendet werden, wie Passwörter und Mehrfaktor-Authentifizierung geregelt sind und wie mit gemeinsam genutzten Geräten umgegangen wird. Bei einem kleinen Betrieb darf die Dokumentation schlank sein. Sie sollte aber den tatsächlichen Ablauf beschreiben und nicht eine Sicherheitsarchitektur vortäuschen, die es nicht gibt.
Berechtigungen und Datenzugriffe steuern
Hier geht es um die Frage, wer innerhalb eines Systems welche Daten sehen, ändern oder exportieren darf. Rollenbasierte Berechtigungen sind besonders hilfreich, weil sie sich an Funktionen statt an Einzelpersonen orientieren. Ergänzen Sie, wer Berechtigungen beantragt, freigibt und regelmässig überprüft.
Wichtig ist auch der Umgang mit Administrationsrechten. Diese sollten nur den Personen zur Verfügung stehen, die sie für ihre Aufgabe benötigen. Falls externe IT-Partner administrative Zugriffe erhalten, gehört dies ebenfalls in die Dokumentation - inklusive der Regelung, wie der Zugriff vergeben, kontrolliert und bei Bedarf entzogen wird.
Datenübermittlung und Auftragsbearbeitung absichern
Personendaten verlassen ein Unternehmen häufiger, als viele Organisationen annehmen: per E-Mail, über Kundenportale, durch Cloud-Anwendungen, bei Lohnbuchhaltungen oder über Supportzugriffe. Dokumentieren Sie, welche Übermittlungswege genutzt werden und welche Vorgaben dafür gelten. Das kann die Verschlüsselung von Geräten, geschützte Austauschplattformen oder Regeln gegen das Versenden sensibler Unterlagen an private E-Mail-Adressen umfassen.
Bei Dienstleistern sollte Ihre TOM-Dokumentation nicht deren umfangreiche Sicherheitsunterlagen kopieren. Sinnvoller ist es, den Dienstleister, die bearbeiteten Daten, die vereinbarten Anforderungen und die interne Zuständigkeit festzuhalten. So bleibt ersichtlich, ob die Auftragsbearbeitung organisatorisch eingebunden ist.
Verfügbarkeit und Wiederherstellung sicherstellen
Datenschutz bedeutet nicht nur Vertraulichkeit. Daten müssen bei einem Systemausfall, Ransomware-Vorfall oder Geräteverlust auch verfügbar und wiederherstellbar sein. Beschreiben Sie deshalb Ihr Backup-Konzept in einer für die Organisation passenden Tiefe: Welche Systeme werden gesichert, wie häufig, wo werden Sicherungen aufbewahrt und wer prüft, ob eine Wiederherstellung funktioniert?
Ein Backup ist erst dann eine wirksame Massnahme, wenn die Wiederherstellung getestet wird. Für ein KMU genügt oft ein dokumentierter, periodischer Test ausgewählter kritischer Systeme. Entscheidend ist, dass Sie das Ergebnis festhalten und erkannte Probleme nachverfolgen.
Nachweise mitführen, statt nur Behauptungen sammeln
Eine TOM-Liste beschreibt den Soll-Zustand. Ergänzen Sie sie mit Nachweisen, die zeigen, dass die Massnahmen umgesetzt und gepflegt werden. Das müssen keine dicken Dossiers sein. Je nach Massnahme reichen ein Berechtigungskonzept, ein Protokoll der jährlichen Rechteprüfung, ein Schulungsnachweis, eine Richtlinie für mobile Geräte oder ein Ticket zur Behebung einer Sicherheitslücke.
Achten Sie auf die richtige Detailtiefe. Interne Sicherheitsdetails wie konkrete Konfigurationen, Passwortrichtwerte oder Netzpläne gehören nicht zwingend in ein Dokument, das Kunden erhalten. Führen Sie daher idealerweise zwei Ebenen: eine verständliche Übersicht der TOMs für Fragebögen und Verträge sowie interne Nachweise mit den nötigen Details. Beide Ebenen müssen inhaltlich übereinstimmen.
Verantwortlichkeiten und Prüfzyklen festlegen
Die beste Dokumentation verliert rasch an Wert, wenn niemand sie aktualisiert. Ordnen Sie jeder Massnahme eine verantwortliche Rolle zu. Das kann die IT-Verantwortung für technische Kontrollen, HR für Eintritts- und Austrittsprozesse oder die Geschäftsleitung für die Freigabe von Richtlinien sein.
Definieren Sie zudem, wann die TOMs überprüft werden. Ein jährlicher Gesamtcheck ist für viele KMU ein praktikabler Mindesttakt. Zusätzlich sollte eine Überprüfung stattfinden, wenn neue Software eingeführt wird, ein wichtiger Dienstleister wechselt, neue Datenkategorien bearbeitet werden oder sich ein Sicherheitsvorfall ereignet hat.
Die Überprüfung muss nicht kompliziert sein. Ein kurzer Termin mit IT, Administration und dem betroffenen Fachbereich kann genügen, wenn offene Punkte, Entscheide und Umsetzungsfristen festgehalten werden. Wer Änderungen direkt in einer zentralen Dokumentation nachführt, verhindert unterschiedliche Excel-Dateien und veraltete Versionen.
Häufige Fehler bei der TOM-Dokumentation
Ein verbreiteter Fehler ist die Übernahme einer generischen Vorlage ohne Bezug zum Unternehmen. Das fällt spätestens auf, wenn darin von biometrischen Zugangssystemen oder einem Security Operations Center die Rede ist, obwohl ein Betrieb mit einfachen Büroräumen und einem extern betreuten Cloud-Arbeitsplatz arbeitet.
Ebenso problematisch sind zu allgemeine Formulierungen. «Daten werden verschlüsselt» sagt nicht, ob es um Geräte, Übertragungen, Backups oder einzelne Anwendungen geht. Präziser ist: «Firmen-Notebooks sind verschlüsselt; der Verlust eines Geräts wird unverzüglich an die IT gemeldet.»
Auch die Trennung von Dokumentation und Betrieb führt zu Lücken. Wenn eine neue Personalsoftware eingeführt wird, müssen Berechtigungen, Auftragsbearbeitung, Datenübermittlungen und Löschprozesse gemeinsam betrachtet werden. Plattformen wie DSMS+ können helfen, TOMs mit Bearbeitungsverzeichnis, Dienstleisterübersicht, Datenschutz-Folgenabschätzungen und Aufgaben zu verbinden. Der Nutzen liegt nicht im Tool allein, sondern darin, dass Verantwortlichkeiten und Änderungen an einem Ort geführt werden.
Ein schlanker Startplan für KMU
Beginnen Sie mit den Bearbeitungen, die für Ihr Unternehmen besonders relevant sind: HR, Kundendaten, Gesundheits- oder Sozialdaten, Finanzdaten sowie zentrale Cloud-Systeme. Erfassen Sie dazu die bestehenden Schutzmassnahmen ehrlich und markieren Sie Lücken als konkrete Aufgaben. Priorität haben in der Regel fehlende Zugriffsregeln, ungeklärte Dienstleister, nicht getestete Backups und Prozesse, die nur vom Wissen einzelner Personen abhängen.
Danach folgt die Konsolidierung: Massnahmen strukturieren, Verantwortlichkeiten zuweisen, Nachweise hinterlegen und einen Überprüfungstermin festlegen. So wächst die TOM-Dokumentation mit dem Betrieb mit, statt einmalig unter Zeitdruck erstellt zu werden.
Eine gute TOM-Dokumentation macht Sicherheitsarbeit sichtbar, ohne sie künstlich aufzublähen. Wenn sie den realen Arbeitsalltag abbildet und bei Veränderungen mitgeführt wird, wird sie vom Pflichtdokument zum praktischen Steuerungsinstrument.