Michael Kornmann, Autor bei QS Kornmann

LinkedIn-Kontakt ist keine Werbeeinwilligung: Was das Urteil des AG Düsseldorf für Unternehmen bedeutet

Die Nutzung von Business-Netzwerken wie LinkedIn gehört für viele Unternehmen längst zum Alltag.

24 April 2026

Die Nutzung von Business-Netzwerken wie LinkedIn gehört für viele Unternehmen längst zum Alltag. Kontakte werden geknüpft, Beziehungen aufgebaut und potenzielle Kunden identifiziert. Doch ein aktuelles Urteil des Amtsgericht Düsseldorf macht deutlich: Diese Vernetzung ersetzt keine rechtssichere Einwilligung für Werbemaßnahmen – insbesondere nicht für E-Mail-Marketing.

Für Marketing- und Vertriebsverantwortliche im B2B-Bereich ist das ein wichtiger Hinweis, denn hier herrscht oft die Annahme, geschäftliche Kontakte seien automatisch „ansprechbar“. Genau dieser Irrtum wird nun klar korrigiert.

Keine Einwilligung durch Vernetzung

Das Gericht stellt unmissverständlich klar: Allein die Verbindung auf Plattformen wie LinkedIn bedeutet nicht, dass eine Person oder ein Unternehmen Werbe-E-Mails erhalten möchte.

Die Begründung ist nachvollziehbar: Die Zustimmung zur Vernetzung bezieht sich ausschließlich auf die Nutzung innerhalb der Plattform. Eine Übertragung dieser Zustimmung auf andere Kommunikationskanäle – wie E-Mail – ist rechtlich nicht zulässig.

Damit wird ein häufiger Praxisfehler adressiert: Kontakte aus sozialen Netzwerken einfach in Newsletter-Verteiler oder CRM-Systeme zu übernehmen und aktiv zu bewerben.

B2B schützt nicht vor Werberecht

Ein besonders relevanter Punkt für Unternehmen: Die Vorschriften aus dem Gesetz gegen den unlauteren Wettbewerb(UWG) gelten ausdrücklich auch im B2B-Bereich.

Das bedeutet konkret:
Auch Unternehmen können sich gegen unzumutbare Belästigung durch Werbung wehren. Die oft vertretene Meinung, im Geschäftskontext sei mehr erlaubt, ist rechtlich nicht haltbar.

Wichtig ist dabei der Begriff der „Einwilligung“. Gemeint ist eine klare, aktive und nachweisbare Zustimmung zur werblichen Ansprache. Eine bloß angenommene („mutmaßliche“) oder indirekte („konkludente“) Einwilligung reicht nicht aus.

Was gilt für Nachrichten direkt auf LinkedIn?

Das Urteil lässt bewusst offen, wie Direktnachrichten innerhalb von LinkedIn zu bewerten sind. Hier könnte man im Einzelfall argumentieren, dass eine gewisse Erwartung an Kommunikation besteht.

Allerdings gilt auch hier:
Selbst wenn eine Kontaktaufnahme innerhalb der Plattform zulässig sein sollte, lässt sich daraus keine Erlaubnis für externe Werbung ableiten.

Die Grenze verläuft also klar zwischen:

Kommunikation innerhalb der Plattform
und werblicher Ansprache über andere Kanäle

Funktionspostfächer sind kein Sonderfall

Ein weiterer Praxispunkt betrifft allgemeine E-Mail-Adressen wie „info@“ oder „office@“. Auch hier gilt: Unternehmen sollten nicht davon ausgehen, dass solche Adressen frei für Werbung nutzbar sind.

Rechtlich werden diese Funktionspostfächer genauso behandelt wie personenbezogene Adressen. Ohne Einwilligung ist auch hier Werbung unzulässig.

Fazit: Ohne Einwilligung kein rechtssicheres Marketing

Das Urteil des Amtsgerichts Düsseldorf bestätigt eine klare Linie:
Werbung per E-Mail ohne ausdrückliche Einwilligung bleibt unzulässig – unabhängig davon, ob ein Kontakt über LinkedIn entstanden ist oder ob es sich um B2B-Kommunikation handelt.

Für Unternehmen bedeutet das vor allem eines:
Ein strukturiertes und dokumentiertes Einwilligungsmanagement ist keine Option mehr, sondern Voraussetzung für rechtssicheres Marketing. Wer darauf verzichtet, riskiert Abmahnungen und mögliche Bußgelder.

Unsere Top 5

Einwilligungen aktiv einholen: Setzen Sie auf klare, dokumentierte Opt-ins für jede Form der Werbung
LinkedIn nicht zweckentfremden: Nutzen Sie Kontakte nur innerhalb der Plattform oder mit separater Zustimmung
B2B realistisch bewerten: Auch Geschäftskunden sind vor unerwünschter Werbung geschützt
Prozesse sauber dokumentieren: Halten Sie Einwilligungen und Kommunikationswege nachvollziehbar fest
Alle E-Mail-Adressen gleich behandeln: Auch Funktionspostfächer benötigen eine gültige Einwilligung

Dienstleister-Audits nach DSGVO: Warum Kontrolle Pflicht ist – und kein Extra

Wer sie vernachlässigt, riskiert nicht nur Datenschutzverstöße, sondern auch empfindliche Konsequenzen bei Prüfungen.

17 April 2026

Viele Unternehmen verlassen sich darauf, dass ihre Dienstleister den Datenschutz schon „richtig machen“. Doch genau hier liegt ein häufig unterschätztes Risiko: Die Kontrolle von Auftragsverarbeitern ist keine freiwillige Zusatzleistung, sondern eine klare gesetzliche Pflicht. Wer sie vernachlässigt, riskiert nicht nur Datenschutzverstöße, sondern auch empfindliche Konsequenzen bei Prüfungen.

Dieser Beitrag zeigt, worauf es bei Dienstleister-Audits wirklich ankommt – und wie Unternehmen diese Aufgabe pragmatisch und wirksam umsetzen können.

Rechtlicher Rahmen: Verantwortung bleibt beim Unternehmen

Die Datenschutz-Grundverordnung (DSGVO) macht die Rollenverteilung eindeutig: Auch wenn externe Dienstleister personenbezogene Daten verarbeiten, bleibt die Verantwortung beim beauftragenden Unternehmen – dem sogenannten „Verantwortlichen“.

Konkret verlangt Art. 28 DSGVO, dass nur mit Dienstleistern zusammengearbeitet wird, die ausreichende Garantien für geeignete technische und organisatorische Maßnahmen (kurz: TOMs) bieten. Das bedeutet in der Praxis: Unternehmen müssen nicht nur vor Vertragsabschluss prüfen, sondern auch laufend kontrollieren, ob diese Anforderungen eingehalten werden.

Ebenso wichtig: Auftragsverarbeiter sind verpflichtet, Audits zu ermöglichen und aktiv zu unterstützen. Diese Mitwirkung ist kein Entgegenkommen, sondern gesetzlich vorgeschrieben.

Was bei einem Audit tatsächlich geprüft wird

Ein wirksames Dienstleister-Audit geht über reine Formalitäten hinaus. Im Fokus steht die Frage, ob Datenschutz im Alltag tatsächlich gelebt wird.

Die Bewertung orientiert sich an zentralen DSGVO-Grundsätzen wie:

Datenminimierung (nur notwendige Daten werden verarbeitet)
Zweckbindung (Daten werden nur für festgelegte Zwecke genutzt)
Wahrung von Betroffenenrechten (z. B. Auskunft oder Löschung)
Transparenz im Umgang mit Daten
Sicherheit durch Vertraulichkeit, Integrität und Verfügbarkeit

Darüber hinaus wird das gesamte Datenschutzmanagement des Dienstleisters betrachtet: Gibt es klare Prozesse? Werden Mitarbeitende geschult? Wie werden Sicherheitsvorfälle behandelt?

Ein gutes Audit verbindet dabei Dokumentenprüfung mit praxisnahen Einblicken – etwa durch Interviews oder Stichproben.

Auditkonzept statt Einzelmaßnahme

In der Praxis zeigt sich: Einzelne Prüfungen reichen nicht aus. Sinnvoll ist ein strukturiertes Auditkonzept, das festlegt, welche Dienstleister wann und wie geprüft werden.

Ein risikobasierter Ansatz hat sich bewährt. Das bedeutet: Dienstleister, die besonders sensible Daten (z. B. Gesundheitsdaten) oder große Datenmengen verarbeiten, werden intensiver und häufiger geprüft als weniger kritische Partner.

Zudem sollten Auditprozesse klar dokumentiert sein – von der Planung über die Durchführung bis zur Nachverfolgung von Maßnahmen. Das schafft nicht nur Transparenz, sondern ist auch im Falle einer behördlichen Prüfung ein entscheidender Vorteil.

Mehrwert statt Pflichtübung

Dienstleister-Audits werden oft als zusätzlicher Aufwand wahrgenommen. Richtig umgesetzt, sind sie jedoch ein wirkungsvolles Instrument des Risikomanagements.

Sie helfen dabei, Schwachstellen frühzeitig zu erkennen, Prozesse zu verbessern und die Zusammenarbeit mit Dienstleistern zu professionalisieren. Gleichzeitig stärken sie die eigene Compliance und reduzieren Haftungsrisiken.

Am Ende profitieren alle Beteiligten:
Unternehmen gewinnen Rechtssicherheit, Dienstleister optimieren ihre Abläufe – und die Daten der Betroffenen sind besser geschützt.

Unsere Top 5

Auditkonzept festlegen: Klare Kriterien, Zuständigkeiten und Prüfintervalle definieren
Risiken priorisieren: Besonders sensible oder umfangreiche Datenverarbeitungen zuerst prüfen
Verträge schärfen: Auditrechte, Fristen und Maßnahmen verbindlich im AV-Vertrag regeln
Nachweise sinnvoll nutzen: Zertifizierungen einbeziehen, aber nicht blind darauf verlassen
Ergebnisse dokumentieren: Audits sauber protokollieren und Maßnahmen konsequent nachverfolgen

GDNG & Gesundheitsforschung: Was sich für Unternehmen jetzt wirklich ändert

Für Unternehmen bedeutet das Gesundheitsdatennutzungsgesetz vor allem eines – genauer hinschauen und Prozesse sauber aufsetzen.

10 April 2026

Das Gesundheitsdatennutzungsgesetz (GDNG) soll die Nutzung von Gesundheitsdaten für Forschungszwecke erleichtern und Innovationen im Gesundheitswesen vorantreiben. Doch die aktuelle Orientierungshilfe des Bayerischer Landesbeauftragter für den Datenschutz zeigt: Ganz so einfach wird es in der Praxis nicht. Für Unternehmen bedeutet das vor allem eines – genauer hinschauen und Prozesse sauber aufsetzen.

Neue Möglichkeiten – aber keine pauschale Vereinfachung

Mit dem GDNG wurden neue rechtliche Grundlagen geschaffen, die unter bestimmten Voraussetzungen eine Nutzung von Gesundheitsdaten auch ohne ausdrückliche Einwilligung ermöglichen. Besonders relevant sind hier die Regelungen in den §§ 5 und 6, die den Zugang zu Daten für Forschungszwecke erweitern sollen.

Gleichzeitig steht das Gesetz im Zusammenhang mit dem geplanten Europäischer Gesundheitsdatenraum (EHDS), der europaweit den Austausch und die Nutzung von Gesundheitsdaten verbessern soll.

Die zentrale Botschaft der Aufsichtsbehörde ist jedoch eindeutig: Das GDNG führt nicht automatisch zu weniger Aufwand. Einwilligungen bleiben in vielen Fällen erforderlich, und auch bestehende landesrechtliche Regelungen behalten ihre Bedeutung. Unternehmen müssen daher weiterhin genau prüfen, auf welcher Rechtsgrundlage sie Daten verarbeiten.

Datenschutz bleibt ein strategischer Erfolgsfaktor

Gerade in der Gesundheitsforschung ist Vertrauen ein entscheidender Faktor. Patientinnen und Patienten geben sensible Daten nur dann preis, wenn sie sicher sein können, dass diese verantwortungsvoll genutzt werden.

Das bedeutet für Unternehmen: Datenschutz ist nicht nur eine rechtliche Pflicht, sondern ein echter Wettbewerbsvorteil. Wer frühzeitig klare Prozesse etabliert, Risiken bewertet und Schutzmaßnahmen umsetzt, schafft die Grundlage für nachhaltige Forschung und stabile Kooperationen.

Die Orientierungshilfe betont daher, wie wichtig es ist, Datenschutzanforderungen bereits in der Projektplanung mitzudenken – statt sie erst im Nachhinein zu berücksichtigen.

Was Unternehmen jetzt konkret tun sollten

Für Unternehmen im Gesundheitsbereich – ob Forschungseinrichtung, Hersteller oder Dienstleister – wird es entscheidend sein, die neuen Rahmenbedingungen aktiv zu interpretieren und in bestehende Abläufe zu integrieren.

Ein praktischer Ansatzpunkt ist das vom BayLfD bereitgestellte Musterformular für Anträge nach § 6 Abs. 3 GDNG. Es bietet eine hilfreiche Struktur, um Projekte datenschutzkonform zu planen und umzusetzen. Gleichzeitig sollten interne Prozesse regelmäßig überprüft und gegebenenfalls angepasst werden, um den neuen Anforderungen gerecht zu werden.

Unsere Top 5

Orientierungshilfe des BayLfD gezielt nutzen und in Projekte einfließen lassen
Für jedes Vorhaben die passende Rechtsgrundlage sauber prüfen
Landesrechtliche Vorgaben frühzeitig berücksichtigen
Musterformulare als strukturierte Arbeitshilfe einsetzen
Transparenz gegenüber Betroffenen konsequent sicherstellen

AVV vs. SLA: Wenn Verträge die Informationssicherheit ausbremsen

Unternehmen schließen täglich Verträge, um Zusammenarbeit, Leistung und Sicherheit zu regeln.

03 April 2026

Unternehmen schließen täglich Verträge, um Zusammenarbeit, Leistung und Sicherheit zu regeln. Besonders relevant sind dabei Auftragsverarbeitungsverträge (AVV) und Service-Level-Agreements (SLA). Doch genau diese Regelwerke können im Ernstfall zum Problem werden: Dann nämlich, wenn schnelle Entscheidungen gefragt sind – und vertragliche Vorgaben die nötige Flexibilität einschränken.

Gerade im Kontext von Business Continuity, also der Sicherstellung kritischer Geschäftsprozesse im Notfall, entstehen hier Spannungsfelder, die in der Praxis häufig unterschätzt werden.

Wenn Regelwerke kollidieren

Ein AVV regelt, wie personenbezogene Daten im Auftrag verarbeitet werden dürfen – inklusive der Frage, welche Sub-Dienstleister eingesetzt werden dürfen. Änderungen sind in der Regel zustimmungspflichtig.

Ein SLA hingegen definiert messbare Leistungsziele, etwa Verfügbarkeiten oder Reaktionszeiten bei Störungen.

Das Problem liegt auf der Hand: Während ein SLA schnelle Reaktionen verlangt, kann ein AVV genau diese Reaktionsfähigkeit einschränken. Im IT-Notfall entsteht so ein Zielkonflikt zwischen Vertragstreue und operativer Handlungsfähigkeit.

Ein typisches Praxisbeispiel

Ein Unternehmen nutzt einen festgelegten Sub-Dienstleister für den automatisierten E-Mail-Versand. Kommt es zu einem Ausfall, kann die vereinbarte Verfügbarkeit aus dem SLA nicht mehr eingehalten werden.

Naheliegend wäre es, kurzfristig auf einen alternativen Anbieter auszuweichen. Doch genau das ist durch den AVV untersagt – zumindest ohne vorherige Zustimmung des Kunden.

Die Verantwortlichen stehen vor einer schwierigen Entscheidung:
Soll ein SLA-Verstoß in Kauf genommen werden?
Oder ist es vertretbar, ohne Zustimmung einen anderen Dienstleister einzusetzen, um größeren Schaden abzuwenden?

Solche Entscheidungen müssen oft unter hohem Zeitdruck getroffen werden – und bergen rechtliche wie operative Risiken.

Warum diese Situation so kritisch ist

In der Theorie sind Verantwortlichkeiten klar geregelt. In der Praxis jedoch treffen unterschiedliche Interessen aufeinander: Rechtssicherheit, Datenschutz, Verfügbarkeit und Unternehmensrisiken müssen gleichzeitig berücksichtigt werden.

Besonders herausfordernd wird es, wenn mehrere Hierarchieebenen oder externe Ansprechpartner eingebunden sind. Schnelle Abstimmungen sind dann kaum möglich – und genau das kann im Notfall entscheidend sein.

Hinzu kommt: Viele Verträge wurden in stabilen Zeiten erstellt und berücksichtigen keine dynamischen Bedrohungsszenarien oder akuten Krisensituationen.

Lösungsansätze für mehr Handlungssicherheit

Um solche Konflikte zu vermeiden, lohnt sich ein proaktiver Blick auf Vertragsgestaltung und Notfallplanung.

Sinnvoll sind beispielsweise klar definierte Notfallklauseln, die den Einsatz alternativer Dienstleister unter bestimmten Bedingungen erlauben. Ebenso wichtig ist eine mehrstufige Dienstleisterstrategie: Wer bereits im Vorfeld mögliche Ersatzanbieter identifiziert und vertraglich eingebunden hat, kann im Ernstfall deutlich schneller reagieren.

Ein weiterer zentraler Punkt ist die Verzahnung von Business-Continuity-Management und Vertragsmanagement. Notfallpläne sollten nicht nur technische Abläufe beschreiben, sondern auch rechtliche Rahmenbedingungen berücksichtigen.

Regelmäßige Überprüfungen der bestehenden Verträge helfen zudem, diese an aktuelle Risiken und technologische Entwicklungen anzupassen.

Fazit

AVV und SLA erfüllen wichtige Funktionen – können aber im Zusammenspiel unbeabsichtigte Hürden schaffen. Eine pauschale Lösung gibt es nicht. Entscheidend ist vielmehr, potenzielle Konflikte frühzeitig zu erkennen und vertraglich zu entschärfen.

Unternehmen, die ihre Verträge regelmäßig prüfen und Notfallszenarien aktiv mitdenken, schaffen sich einen entscheidenden Vorteil: Sie bleiben auch in kritischen Situationen handlungsfähig.

Unsere Top 5

Notfallklauseln frühzeitig verhandeln und klar definieren
Alternative Dienstleister strategisch vorbereiten und absichern
Business Continuity und Vertragsmanagement eng verzahnen
Verträge regelmäßig prüfen und anpassen
Kritische Abhängigkeiten erkennen und gezielt reduzieren

Phishing-Angriffe 2026: So schützt du dein Unternehmen wirksam

Phishing bleibt 2026 die häufigste Angriffsform auf Unternehmen. Wirksamer Schutz erfordert mehr als technische Lösungen.

27 März 2026

Phishing bleibt 2026 die häufigste Angriffsform auf Unternehmen. Die Angriffe werden immer raffinierter – KI-generierte E-Mails und Deepfake-Telefonate täuschen selbst geschulte Mitarbeiter. Wirksamer Schutz erfordert mehr als technische Lösungen.

Die Bedrohungslage hat sich verschärft: Cyberkriminelle nutzen KI-Tools, um täuschend echte E-Mails zu erstellen, die perfekt auf das Zielunternehmen zugeschnitten sind. Spear-Phishing-Angriffe auf Führungskräfte (CEO-Fraud) und Finanzabteilungen nehmen zu. Deepfake-Technologie ermöglicht gefälschte Telefon- oder Videoanrufe vermeintlicher Geschäftspartner.

Technische Schutzmaßnahmen sind wichtig, aber nicht ausreichend: E-Mail-Filter mit KI-Erkennung, Spam- und Phishing-Schutz, Multi-Faktor-Authentifizierung (MFA) für alle Zugänge, DMARC, SPF und DKIM zur E-Mail-Authentifizierung sowie regelmäßige Sicherheitsupdates und Patch-Management. Der entscheidende Faktor bleibt aber der Mensch.

Organisatorische Maßnahmen und Awareness-Training: Regelmäßige Phishing-Simulationen zur Sensibilisierung, klare Meldeprozesse für verdächtige E-Mails, Vier-Augen-Prinzip bei finanziellen Transaktionen sowie Notfallpläne für erfolgreiche Phishing-Angriffe. Die Kombination aus Technik, Prozessen und geschulten Mitarbeitern bietet den besten Schutz.

Fazit

Phishing-Angriffe werden durch KI immer raffinierter. Technische Schutzmaßnahmen allein reichen nicht mehr – der Faktor Mensch ist entscheidend. Regelmäßige Schulungen, Phishing-Simulationen und klare Meldeprozesse sind unverzichtbar. Wer Technik und Awareness kombiniert, minimiert das Risiko erheblich.

Top 5 Empfehlungen:

1. Multi-Faktor-Authentifizierung (MFA) einführen: Schütze alle Zugänge mit MFA – gestohlene Passwörter allein genügen dann nicht mehr.

2. Regelmäßige Phishing-Simulationen durchführen: Teste deine Mitarbeiter mit simulierten Angriffen und schulle gezielt nach Schwachstellen.

3. Klare Meldeprozesse etablieren: Mitarbeiter müssen wissen, wie sie verdächtige E-Mails melden können – ohne Angst vor Konsequenzen.

4. Vier-Augen-Prinzip bei Zahlungen: Finanzielle Transaktionen sollten immer von zwei Personen freigegeben werden.

5. Notfallplan für Phishing-Vorfälle: Definiere vorab, was bei einem erfolgreichen Angriff zu tun ist – schnelles Handeln minimiert Schäden.

Home-Office und Datenschutz: Was Arbeitgeber 2026 beachten müssen

Home-Office ist gekommen, um zu bleiben. Wir zeigen, worauf es bei der mobilen Arbeit mit personenbezogenen Daten ankommt.

20 März 2026

Home-Office ist gekommen, um zu bleiben. Doch viele Arbeitgeber unterschätzen die datenschutzrechtlichen Anforderungen. Wir zeigen, worauf es bei der mobilen Arbeit mit personenbezogenen Daten ankommt.

Art. 32 DSGVO verlangt ein angemessenes Schutzniveau – auch im Home-Office. Das bedeutet: Arbeitgeber müssen technische und organisatorische Maßnahmen treffen, um personenbezogene Daten zu schützen. In der Praxis heißt das: Sichere Geräte (verschlüsselte Festplatten, aktuelle Software, Virenschutz), VPN-Verbindungen für den Zugriff auf Unternehmensnetzwerke, klare Regelungen zu privatem WLAN (sichere Passwörter, Gastnetzwerke) sowie Verpflichtung zur Vertraulichkeit und Clean-Desk-Policy.

Häufige Fehler in der Praxis: Mitarbeiter nutzen private Geräte ohne ausreichende Sicherheitsmaßnahmen, sensible Dokumente werden ausgedruckt und liegen offen herum, keine Regelung für die Entsorgung von Dokumenten oder Familienmitglieder haben Zugriff auf dienstliche Geräte. Diese Schwachstellen können zu Datenpannen führen – und der Arbeitgeber haftet.

Lösung: Erstelle eine Home-Office-Richtlinie, die technische Anforderungen, organisatorische Vorgaben und Verhaltensregeln klar definiert. Schulungen sensibilisieren Mitarbeiter für Risiken. Die Einhaltung sollte regelmäßig überprüft werden, etwa durch Stichproben oder Self-Assessments.

Fazit

Home-Office erfordert besondere datenschutzrechtliche Maßnahmen. Arbeitgeber müssen technische und organisatorische Vorkehrungen treffen und diese in einer Richtlinie festhalten. Schulungen und regelmäßige Kontrollen sind unverzichtbar, um Datenpannen zu vermeiden.

Top 5 Empfehlungen:

1. Home-Office-Richtlinie erstellen: Definiere klare technische und organisatorische Anforderungen für die mobile Arbeit.

2. Sichere Geräte bereitstellen: Stelle verschlüsselte Firmengeräte zur Verfügung – BYOD (Bring Your Own Device) erhöht das Risiko.

3. VPN-Pflicht durchsetzen: Zugriff auf Unternehmensnetzwerke nur über sichere VPN-Verbindungen.

4. Clean-Desk-Policy einführen: Sensible Dokumente dürfen nicht offen liegen – auch nicht im Home-Office.

5. Regelmäßige Schulungen durchführen: Sensibilisiere Mitarbeiter für Risiken wie Phishing, unsichere WLANs und Social Engineering.

Löschkonzepte nach DSGVO: Warum viele Unternehmen hier scheitern

Die Speicherbegrenzung gehört zu den Grundprinzipien der DSGVO – dennoch scheitern viele Unternehmen an der Umsetzung.

13 März 2026

Die Speicherbegrenzung gehört zu den Grundprinzipien der DSGVO – dennoch scheitern viele Unternehmen an der Umsetzung. Fehlende Löschkonzepte sind ein häufiger Kritikpunkt bei Audits und können teuer werden.

Art. 5 Abs. 1 lit. e DSGVO fordert: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. Klingt einfach, ist in der Praxis aber komplex. Denn verschiedene Daten unterliegen unterschiedlichen Aufbewahrungsfristen – gesetzlich (Handelsrecht, Steuerrecht), vertraglich (Gewährleistung, Verjährung) oder betrieblich (Dokumentationspflichten).

Typische Fehler in der Praxis: Keine definierten Löschfristen für verschiedene Datenkategorien, fehlende technische Prozesse zur automatischen Löschung, Altdaten in Legacy-Systemen, die niemand anfasst sowie keine Dokumentation durchgeführter Löschungen. Das Problem: Ohne Löschkonzept kann die Rechenschaftspflicht nicht erfüllt werden. Bei Auskunftsanfragen oder Kontrollen durch Aufsichtsbehörden wird das schnell zum Problem.

Die Lösung ist ein strukturiertes Löschkonzept mit: Kategorisierung aller Datenarten nach Verarbeitungszweck, Definition konkreter Löschfristen (unter Berücksichtigung gesetzlicher Vorgaben), technischen Löschprozessen (automatisiert oder manuell mit Erinnerungsfunktion) sowie Dokumentation durchgeführter Löschungen (Nachweis für Rechenschaftspflicht).

Fazit

Löschkonzepte sind keine Kür, sondern Pflicht. Wer personenbezogene Daten verarbeitet, muss nachweisen können, wann und wie diese gelöscht werden. Ein strukturiertes Löschkonzept schützt vor Bußgeldern und erleichtert die Erfüllung von Betroffenenrechten. Die Investition lohnt sich.

Top 5 Empfehlungen:

1. Dateninventar erstellen: Erfasse alle Kategorien personenbezogener Daten und ordne sie den Verarbeitungszwecken zu.

2. Löschfristen definieren: Lege für jede Datenkategorie konkrete Löschfristen fest (gesetzlich, vertraglich, betrieblich).

3. Automatisierung nutzen: Implementiere technische Lösungen zur automatischen Löschung – manuelle Prozesse sind fehleranfällig.

4. Legacy-Systeme bereinigen: Räume Altdatenbestände systematisch auf – ungenutzte Daten sind Risikofaktoren.

5. Löschungen dokumentieren: Halte fest, welche Daten wann gelöscht wurden – das ist für die Rechenschaftspflicht unverzichtbar.

Ransomware-Abwehr 2026: Neue Bedrohungen, bewährte Schutzmaßnahmen

Wirksamer Schutz erfordert mehrschichtige Strategien.

06 März 2026

Ransomware-Angriffe werden 2026 noch gezielter und professioneller. Double Extortion (Verschlüsselung + Datendiebstahl) ist Standard, Triple Extortion (zusätzlich DDoS-Angriffe) nimmt zu. Wirksamer Schutz erfordert mehrschichtige Strategien.

Die Bedrohungslage hat sich verschärft: Cyberkriminelle nutzen KI für gezielte Angriffe, infiltrieren Netzwerke monatelang vor dem Zuschlagen und greifen gezielt Backup-Systeme an. Besonders perfide: Angreifer drohen nicht nur mit Verschlüsselung, sondern auch mit Veröffentlichung sensibler Daten und DDoS-Angriffen auf kritische Systeme.

Technische Schutzmaßnahmen bilden die erste Verteidigungslinie: Segmentierung der Netzwerke (Zero Trust-Prinzip), Offline-Backups mit 3-2-1-Regel (3 Kopien, 2 Medien, 1 offline), Endpoint Detection and Response (EDR) statt klassischem Virenschutz, Privileged Access Management (PAM) zur Absicherung administrativer Zugriffe sowie regelmäßige Vulnerability-Scans und Patch-Management.

Organisatorische Maßnahmen sind gleichwertig wichtig: Incident Response Plan mit definierten Rollen und Eskalationswegen, regelmäßige Backup-Tests und Wiederherstellungsübungen, Cyber-Versicherung mit klarer Risikoanalyse sowie Notfall-Kommunikationsplan für interne und externe Stakeholder. Die Kombination aus Prävention, Detektion und schneller Reaktion minimiert Schäden.

Fazit

Ransomware ist 2026 die größte Cyber-Bedrohung für Unternehmen. Wirksamer Schutz erfordert mehr als Virenschutz – es braucht mehrschichtige technische Maßnahmen, belastbare Backups und klare Notfallpläne. Wer präventiv investiert, spart im Ernstfall Millionen.

Top 5 Empfehlungen:

1. Offline-Backups sicherstellen: Implementiere die 3-2-1-Regel mit mindestens einer offline/air-gapped Kopie.

2. Netzwerksegmentierung umsetzen: Verhindere die laterale Ausbreitung durch Zero Trust-Architektur.

3. EDR statt Antivirus: Moderne Endpoint Detection and Response-Lösungen erkennen auch unbekannte Angriffe.

4. Incident Response Plan testen: Übe Ransomware-Szenarien regelmäßig – Theorie hilft im Ernstfall nicht.

5. Privileged Access absichern: Schütze administrative Zugänge besonders – sie sind das Hauptziel von Angreifern.

Cyber Resilience Act: Neue Sicherheitspflichten für Produkte mit digitalen Elementen

Von IoT-Geräten bis zu Industriesteuerungen – wer Produkte in der EU verkauft, muss handeln.

27 Februar 2026

Der EU Cyber Resilience Act (CRA) tritt 2026 schrittweise in Kraft und verpflichtet Hersteller von Produkten mit digitalen Elementen zu umfassenden Cybersicherheitsmaßnahmen. Von IoT-Geräten bis zu Industriesteuerungen – wer Produkte in der EU verkauft, muss handeln.

Der CRA gilt für alle Produkte mit digitalen Elementen – von Smart-Home-Geräten über Industrieroboter bis zu medizinischen Geräten. Ausgenommen sind nur Produkte, die bereits durch sektorspezifische Regelungen (z.B. MDR, Kfz-Typgenehmigung) abgedeckt sind. Die Verordnung verfolgt einen risikobasierten Ansatz: Produkte werden in drei Klassen eingeteilt (Standard, wichtig, kritisch), je nach Risiko für Cybersicherheit.

Zentrale Anforderungen für Hersteller: Security by Design und Security by Default ab Entwicklungsbeginn, Schwachstellenmanagement über den gesamten Produktlebenszyklus (mindestens 5 Jahre), Meldepflicht für aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden, sichere Software-Updates und Patch-Management sowie CE-Kennzeichnung mit Cybersicherheitsnachweis.

Besonders kritisch: Die Haftungsregelungen. Hersteller haften für Schäden durch Sicherheitslücken. Bußgelder bei Verstößen können bis zu 15 Mio. Euro oder 2,5% des weltweiten Jahresumsatzes betragen. Die Übergangsfrist läuft – Hersteller sollten jetzt mit der Implementierung beginnen.

Fazit

Der Cyber Resilience Act ändert die Spielregeln für Produkthersteller grundlegend. Security by Design wird zur Pflicht, nicht zur Option. Wer jetzt nicht handelt, riskiert nicht nur Bußgelder, sondern auch den Marktzugang in der EU. Eine frühzeitige Vorbereitung ist unverzichtbar.

Top 5 Empfehlungen:

1. Betroffenheit prüfen: Analysiere dein Produktportfolio – welche Produkte fallen unter den CRA?

2. Security by Design implementieren: Integriere Cybersicherheit von Anfang an in den Entwicklungsprozess.

3. Schwachstellenmanagement aufbauen: Etabliere Prozesse zur Identifikation, Bewertung und Behebung von Sicherheitslücken.

4. Update-Strategie entwickeln: Plane langfristige Software-Updates (mindestens 5 Jahre Support) und automatische Patch-Mechanismen.

5. Dokumentation sicherstellen: Erstelle die erforderliche technische Dokumentation für die CE-Kennzeichnung frühzeitig.

ISO 9001 und Risikomanagement: Die unterschätzte Verbindung

Risikomanagement ist seit der ISO 9001:2015 fester Bestandteil des Qualitätsmanagements – wird aber in der Praxis oft stiefmütterlich behandelt.

20 Februar 2026

Risikomanagement ist seit der ISO 9001:2015 fester Bestandteil des Qualitätsmanagements – wird aber in der Praxis oft stiefmütterlich behandelt. Dabei bietet ein gut aufgebautes Risikomanagement echte Mehrwerte für die Organisation.

Die ISO 9001 fordert in Kapitel 6.1 die Identifikation und Bewertung von Risiken und Chancen, die die Erreichung der QM-Ziele beeinflussen können. Viele Unternehmen erfüllen diese Anforderung nur oberflächlich – etwa mit einer jährlichen Risikobewertung in der Managementbewertung. Dabei geht es um mehr: Risikomanagement soll systematisch in alle Prozesse integriert werden.

Praktische Umsetzung bedeutet: Risiken und Chancen bei Prozessänderungen bewerten, Lieferantenrisiken systematisch erfassen und bewerten, Produktrisiken in der Entwicklung berücksichtigen sowie Compliance-Risiken (DSGVO, NIS-2, Lieferkettengesetz) integrieren. Die Verzahnung von QM und Risikomanagement schafft Synergien – etwa bei der Vorbereitung auf Audits oder der Erfüllung gesetzlicher Anforderungen.

Ein häufiger Fehler: Risikomanagement wird als separate Excel-Tabelle geführt, ohne Anbindung an das QM-System. Besser: Integration in bestehende Prozesse, etwa in Managementbewertungen, interne Audits oder Lieferantenbewertungen.

Fazit

Risikomanagement nach ISO 9001 ist mehr als eine Pflichtübung. Wer Risiken systematisch identifiziert und bewertet, schafft echte Mehrwerte: bessere Entscheidungsgrundlagen, frühzeitige Problemerkennung und höhere Rechtssicherheit. Die Integration in bestehende QM-Prozesse spart Zeit und erhöht die Akzeptanz.

Top 5 Empfehlungen:

1. Risikomanagement in Prozesse integrieren: Bewerte Risiken und Chancen systematisch bei Prozessänderungen, nicht nur einmal jährlich.

2. Compliance-Risiken berücksichtigen: Integriere DSGVO, NIS-2 und andere gesetzliche Anforderungen in dein Risikomanagement.

3. Lieferantenrisiken bewerten: Erfasse systematisch Risiken in der Lieferkette (z.B. Lieferkettengesetz, Abhängigkeiten).

4. Digitale Tools nutzen: Excel-Tabellen sind ein Anfang – professionelle QM-Software erleichtert die Integration erheblich.

5. Chancen nicht vergessen: Risikomanagement heißt auch Chancenmanagement – nutze systematische Bewertungen für strategische Entscheidungen.