Datenschutz und Datensicherheit anwenden

Als ICT-Fachperson hast du Zugriff auf Kundendaten, Lohnlisten und Mailpostfächer. Dieses Modul zeigt dir, welche Regeln das revidierte Datenschutzgesetz (revDSG) dafür aufstellt und wie du sie im Alltag umsetzt. Du lernst, Daten nach Schutzbedarf einzustufen, passende technische und organisatorische Massnahmen zu wählen und deinen eigenen Arbeitsplatz abzusichern. Ausserdem übst du, richtig zu reagieren, wenn doch etwas passiert: eine Phishing-Mail, ein verlorener Laptop oder ein Auskunftsgesuch einer Kundin.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Personendaten in Systemen erkennen und nach Sensibilität einstufen

   Kompetenz A

   Du erkennst, welche Daten sich auf eine bestimmte oder bestimmbare Person beziehen, und unterscheidest gewöhnliche von besonders schützenswerten Personendaten wie Gesundheit, Religion oder Strafverfahren. Daraus leitest du ab, wie streng die Daten geschützt werden müssen.

   Situation

   Eine Physiotherapiepraxis in Luzern will ihre Termin-Excel durch eine Online-Agenda ersetzen. Die Tabelle enthält Name, Telefonnummer, Geburtsdatum und eine Spalte 'Beschwerden'.

   Deine Aufgabe

   Stufe die Spalten ein und zeige, welche besonderen Schutz brauchen.

   Gutes Ergebnis

   Name, Telefon und Geburtsdatum sind Personendaten. 'Beschwerden' sind Gesundheitsdaten und damit besonders schützenswert. Empfehlung: diese Spalte nicht in die Online-Agenda übernehmen oder nur bei einem Anbieter mit Verschlüsselung und Datenhaltung in der Schweiz oder einem Land mit angemessenem Datenschutz (z.B. EU). Datenhaltung in der Schweiz ist eine Empfehlung, keine Pflicht.

   Personendatenbesonders schützenswerte Personendatenbestimmbare PersonAnonymisierungPseudonymisierung
2. 2

   Die Bearbeitungsgrundsätze des revDSG auf ein Vorhaben anwenden

   Kompetenz A

   Du prüfst bei einem neuen Formular, Tool oder Ablauf, ob nur so viele Daten wie nötig erhoben werden, ob der Zweck für Betroffene erkennbar ist und wann die Daten wieder gelöscht werden. Datenschutz planst du von Anfang an ein und wählst datenschutzfreundliche Voreinstellungen.

   Situation

   Das Marketing eines Velogeschäfts in Bern möchte für die Newsletter-Anmeldung Name, Adresse, Geburtsdatum, Telefonnummer und Mail abfragen.

   Deine Aufgabe

   Prüfe das Formular nach den Grundsätzen Zweckbindung und Verhältnismässigkeit.

   Gutes Ergebnis

   Für den Newsletter genügen Mailadresse und optional Vorname. Geburtsdatum nur, wenn ein Geburtstagsgutschein angeboten und das im Formular erklärt wird. Löschung 30 Tage nach Abmeldung. Häkchen für Werbung ist standardmässig nicht gesetzt.

   ZweckbindungVerhältnismässigkeitDatenminimierungPrivacy by DesignPrivacy by DefaultLöschkonzept
3. 3

   Ein Auskunftsgesuch korrekt und fristgerecht bearbeiten

   Kompetenz B

   Betroffene Personen dürfen erfahren, welche Daten ein Betrieb über sie bearbeitet. Du weisst, welche Informationen in die Antwort gehören, wie du die Identität prüfst und dass die Antwort in der Regel innert 30 Tagen und kostenlos erfolgt.

   Situation

   Ein ehemaliger Kunde eines Online-Shops schreibt: 'Welche Daten habt ihr über mich gespeichert? Ich will alles wissen.'

   Deine Aufgabe

   Bereite die Antwort vor.

   Gutes Ergebnis

   Identität über die hinterlegte Mailadresse bestätigt. Daten aus Shop-Datenbank, Newsletter-Tool und Buchhaltung exportiert. Antwort enthält die Daten, den Zweck, die Aufbewahrungsdauer (Rechnungen 10 Jahre nach OR), die Empfänger (z.B. Versanddienstleister) und ob Daten ins Ausland gehen. Versand nach 12 Tagen.

   AuskunftsrechtInformationspflichtDatenschutzerklärungAufbewahrungsfristBekanntgabe ins Ausland
4. 4

   Den Schutzbedarf nach Vertraulichkeit, Integrität und Verfügbarkeit bestimmen und Massnahmen ableiten

   Kompetenz C

   Du beurteilst für eine Datensammlung, was bei Verlust, Verfälschung oder Ausfall passieren würde. Daraus wählst du technische Massnahmen wie Verschlüsselung und Zugriffsrechte sowie organisatorische Massnahmen wie Weisungen und Schulungen.

   Situation

   Die Lohndaten eines KMU mit 40 Mitarbeitenden liegen auf einem Netzlaufwerk, auf das die ganze Verwaltung Zugriff hat.

   Deine Aufgabe

   Bestimme den Schutzbedarf und schlage Massnahmen vor.

   Gutes Ergebnis

   Vertraulichkeit hoch, Integrität hoch, Verfügbarkeit mittel. Massnahmen: eigener Ordner nur für die Gruppe 'HR-Lohn', Zugriffe protokollieren, Ablage verschlüsselt, Backup täglich, jährliche Rechteprüfung durch die HR-Leitung.

   CIA-TriadeSchutzbedarfTOMNeed-to-knowBerechtigungskonzept
5. 5

   Den eigenen Arbeitsplatz und die eigenen Konten absichern

   Kompetenz D

   Du setzt die wichtigsten Schutzmassnahmen selbst um: lange Passphrasen im Passwortmanager, Mehrfaktor-Authentifizierung, verschlüsselte Datenträger, automatische Updates und Bildschirmsperre. So wirst du nicht selbst zur Schwachstelle.

   Situation

   Du bekommst einen neuen Firmenlaptop und Zugriff auf das Admin-Portal von Microsoft 365.

   Deine Aufgabe

   Sichere Gerät und Konten ab, bevor du produktiv arbeitest.

   Gutes Ergebnis

   BitLocker aktiv und Wiederherstellungsschlüssel in Entra ID hinterlegt. Admin-Konto getrennt vom normalen Konto, beide mit MFA über Authenticator-App. Passwörter im Firmen-Bitwarden. Bildschirmsperre nach 5 Minuten, Windows Update automatisch.

   PassphrasePasswortmanagerMFAFestplattenverschlüsselungLeast Privilege
6. 6

   Eine Datensicherung nach der 3-2-1-Regel planen und den Restore testen

   Kompetenz E

   Du sorgst dafür, dass wichtige Daten in drei Kopien auf zwei verschiedenen Medien vorhanden sind, davon eine ausser Haus. Und du prüfst regelmässig, ob die Wiederherstellung wirklich klappt, denn ein ungetestetes Backup ist nur eine Hoffnung.

   Situation

   Ein Treuhandbüro mit sechs Personen sichert seine Daten auf eine USB-Festplatte, die neben dem Server steht.

   Deine Aufgabe

   Schlage ein besseres Sicherungskonzept vor und plane einen Restore-Test.

   Gutes Ergebnis

   Tägliche Sicherung auf ein NAS im Büro, zusätzlich verschlüsselte Kopie in ein Schweizer Rechenzentrum. Aufbewahrung 30 Tagesstände und 12 Monatsstände. Einmal pro Quartal wird ein zufälliger Ordner zurückgespielt und das Ergebnis protokolliert.

   3-2-1-RegelRestore-TestVersionierungOffsite-KopieRansomware
7. 7

   Phishing und Datenpannen erkennen und richtig reagieren

   Kompetenz F

   Du erkennst typische Merkmale von Phishing und weisst, was bei einem Sicherheitsvorfall zu tun ist: eindämmen, intern melden, dokumentieren. Du kennst die Pflicht, Datensicherheitsverletzungen mit hohem Risiko so rasch wie möglich dem EDÖB zu melden.

   Situation

   Eine Mitarbeiterin hat auf einen Link in einer Mail 'Ihr Microsoft-Konto wird gesperrt' geklickt und ihr Passwort eingegeben.

   Deine Aufgabe

   Leite die richtigen Sofortmassnahmen ein.

   Gutes Ergebnis

   Passwort sofort zurücksetzen, alle Sitzungen beenden, MFA-Methoden prüfen, Posteingangsregeln auf Weiterleitungen kontrollieren. Vorfall der IT-Leitung melden und protokollieren. Prüfung ergibt keinen Datenabfluss, deshalb keine Meldung an den EDÖB, aber Hinweis an alle Mitarbeitenden.

   PhishingSocial EngineeringIncidentMeldepflichtEDÖB

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Elif ist im 2. Lehrjahr als Entwicklerin digitales Business bei Gipfelwerk Outdoor in Chur, einem Online-Shop für Bergsportausrüstung mit 28 Mitarbeitenden. Das Marketing will ein Treueprogramm mit Kundenkonto starten. Elif soll sicherstellen, dass dabei Datenschutz und Datensicherheit stimmen.

1. Kapitel 1

   Was gehört in die Kundendatenbank?

   Das Marketing wünscht sich Name, E-Mail, Geburtsdatum, Kaufhistorie, Schuhgrösse und ein Feld für «Beschwerden wie Knieprobleme» für die Beratung. Elif erstellt eine Datenliste und markiert die Gesundheitsangaben als besonders schützenswert. Mit Zweckbindung und Verhältnismässigkeit argumentiert sie: Für den Geburtstagsgutschein reicht der Monat, und das Gesundheitsfeld fällt weg. Die Datenschutzerklärung wird um das Treueprogramm ergänzt.

   Ziel 1Ziel 2

2. Kapitel 2

   Herr Bianchi will alles wissen

   Ein Kunde verlangt per Mail Auskunft über alle gespeicherten Daten. Elif prüft seine Identität über die hinterlegte Adresse und eine Bestellnummer und sucht dann im Shop, im Newsletter-Tool, in der Buchhaltung und im Support-Postfach. Nach zwölf Tagen erhält er ein PDF mit allen Daten. Seinen Löschwunsch setzt sie für den Newsletter um und erklärt ihm, dass Buchhaltungsbelege zehn Jahre aufbewahrt werden müssen.

   Ziel 3

3. Kapitel 3

   Wer darf an die Kundendaten?

   Elif stuft die Kundendaten bei der Vertraulichkeit als hoch ein. Im Shop-Backend findet sie Erschreckendes: Alle 28 Mitarbeitenden haben Adminrechte, und das Lager nutzt ein gemeinsames Login. Sie schlägt Rollen, persönliche Konten und MFA vor. Bei sich selbst richtet sie Bitwarden ein, prüft BitLocker und ändert ein altes Passwort, nachdem Have I Been Pwned ihre private Adresse in einem Datenleck zeigt.

   Ziel 4Ziel 5

4. Kapitel 4

   Das Backup, das keines war

   Der Hoster sichert die Shop-Datenbank täglich, also scheint alles gut. Elif macht einen Restore-Test auf eine Testumgebung, der drei Stunden dauert, und entdeckt, dass der Ordner mit den Produktbildern im Backup fehlt. Sie plant neu nach der 3-2-1-Regel: Snapshot beim Hoster, nächtlicher Export auf das NAS im Büro und eine wöchentliche verschlüsselte Kopie in eine Schweizer Cloud. Den Restore-Test trägt sie quartalsweise in den Kalender ein.

   Ziel 6

5. Kapitel 5

   Freitag, 17:42 Uhr

   Eine Kollegin hat auf eine Mail «Ihr Shop-Plugin muss dringend aktualisiert werden» geklickt und ihr Backend-Passwort eingegeben. Elif ändert sofort das Passwort, beendet alle Sitzungen und prüft die Logs: Es gab eine Anmeldung von einer ausländischen IP-Adresse, aber keinen Export der Kundenliste. Mit der Geschäftsleitung dokumentiert sie den Vorfall und hält fest, warum keine Meldung an den EDÖB nötig ist. Am Montag wird MFA für alle Backend-Konten Pflicht.

   Ziel 7

1. 1

   Was sind Personendaten?

   ca. 2 Std.

   Du lernst die zentralen Begriffe des revDSG kennen und übst, Daten in echten Beispielen einzustufen.

   • Zehn Datenfelder aus einem CRM, einer Lohnliste und einem Webshop als gewöhnlich oder besonders schützenswert einordnen
   • Die Datenschutzerklärung von zwei Schweizer Websites vergleichen und notieren, was dir fehlt
   • Den Unterschied zwischen Anonymisierung und Pseudonymisierung an einem eigenen Beispiel erklären

   Trainiert Kompetenz A1

   Lernziel1

2. 2

   Grundsätze und Rechte

   ca. 3 Std.

   Du wendest die Bearbeitungsgrundsätze auf Formulare und Abläufe an und lernst, wie ein Auskunftsgesuch abläuft.

   • Ein Kontaktformular auf überflüssige Felder prüfen und eine schlanke Version entwerfen
   • Eine Musterantwort auf ein Auskunftsgesuch mit allen nötigen Angaben schreiben
   • Auf der Website des EDÖB den Leitfaden zu einem Thema deiner Wahl lesen und in fünf Sätzen zusammenfassen

   Trainiert Kompetenz A2B1B2

   Lernziel23

3. 3

   Schutzbedarf und Massnahmen

   ca. 3 Std.

   Du beurteilst Datensammlungen nach Vertraulichkeit, Integrität und Verfügbarkeit und ordnest passende Massnahmen zu.

   • Für drei Ordner deines Lehrbetriebs (anonymisiert) eine Schutzbedarfstabelle erstellen
   • Je zwei technische und zwei organisatorische Massnahmen pro Ordner vorschlagen
   • Ein einfaches Berechtigungskonzept mit Gruppen statt Einzelpersonen skizzieren

   Trainiert Kompetenz C1C2

   Lernziel4

4. 4

   Den eigenen Arbeitsplatz härten

   ca. 2 Std.

   Du setzt die Massnahmen bei dir selbst um und prüfst, wie gut deine Konten geschützt sind.

   • Einen Passwortmanager einrichten und fünf alte Passwörter durch Passphrasen ersetzen
   • MFA für Mail, Cloud-Speicher und Social Media aktivieren
   • BitLocker oder FileVault aktivieren und den Wiederherstellungsschlüssel sicher ablegen
   • Deine Mailadresse bei Have I Been Pwned prüfen

   Trainiert Kompetenz D1D2

   Lernziel5

5. 5

   Backup und Wiederherstellung

   ca. 2 Std.

   Du planst eine Sicherung nach der 3-2-1-Regel und führst einen echten Restore durch.

   • Für ein fiktives KMU ein Backupkonzept mit Rhythmus, Aufbewahrung und Speicherorten erstellen
   • Mit der Windows-Dateiversionsverlauf-Funktion oder einem NAS eine Sicherung anlegen und eine Datei zurückholen
   • Ein Restore-Protokoll mit Datum, Dauer und Ergebnis ausfüllen

   Trainiert Kompetenz E1E2

   Lernziel6

6. 6

   Vorfälle erkennen und bewältigen

   ca. 3 Std.

   Du trainierst, Phishing zu erkennen, und spielst einen Sicherheitsvorfall von der Entdeckung bis zur Meldung durch.

   • Zehn echte Phishing-Beispiele analysieren und die verräterischen Merkmale markieren
   • Einen Ablaufplan 'Was tun bei Verdacht auf Datenpanne?' für einen Kleinbetrieb erstellen
   • Anhand eines Szenarios entscheiden, ob eine Meldung an den EDÖB nötig ist, und begründen

   Trainiert Kompetenz A2F1F2

   Lernziel71

revDSG

Revidiertes Schweizer Datenschutzgesetz, in Kraft seit dem 1. September 2023.

EDÖB

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, die Aufsichtsbehörde für Datenschutz auf Bundesebene und für private Unternehmen.

Personendaten

Alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.

Verantwortlicher

Wer über Zweck und Mittel einer Datenbearbeitung entscheidet, z.B. der Betrieb, der ein CRM nutzt.

Auftragsbearbeiter

Wer Personendaten im Auftrag eines Verantwortlichen bearbeitet, z.B. ein Cloud- oder Hosting-Anbieter.

TOM

Technische und organisatorische Massnahmen zum Schutz von Daten.

DSFA

Datenschutz-Folgenabschätzung: Pflicht bei Bearbeitungen, die ein hohes Risiko für Betroffene mit sich bringen können.

MFA

Mehrfaktor-Authentifizierung: Anmeldung mit mindestens zwei unabhängigen Faktoren, z.B. Passwort und App.

Passende Module