DSGVO-Penetrationstest Technische Maßnahmen nach Art. 32 nachweisen

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu technischen und organisatorischen Maßnahmen, die ein dem Risiko angemessenes Schutzniveau sicherstellen. Genannt werden Pseudonymisierung und Verschlüsselung, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die rasche Wiederherstellbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit dieser Maßnahmen.

Die DSGVO gilt für jede Stelle, die personenbezogene Daten verarbeitet - unabhängig von der Unternehmensgröße. Erfasst sind Verantwortliche und Auftragsverarbeiter mit Niederlassung in der EU sowie Unternehmen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Auch ein Zwei-Personen-Betrieb mit Kundendatenbank fällt darunter.

Die DSGVO nennt keinen Penetrationstest namentlich. Art. 32 Abs. 1 lit. d verlangt aber ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Sicherheitsmaßnahmen. Ein Penetrationstest ist das etablierte und anerkannte Mittel, diese Anforderung technisch zu erfüllen.

Üblich ist mindestens einmal jährlich sowie nach wesentlichen Änderungen an Systemen, die personenbezogene Daten verarbeiten. Die genaue Frequenz richtet sich nach dem Risiko der Verarbeitung.

Ein manueller DSGVO-Penetrationstest wird bei Sodu Secure individuell nach Aufwand und Tagessätzen kalkuliert - meist zwischen 4.000 und 20.000 €, abhängig vom Umfang der datenverarbeitenden Systeme. Den Einstieg bildet ein automatisierter Schwachstellenscan ab 1.499 €. Den Preis bestimmt hier vor allem, wie viele Verarbeitungstätigkeiten aus Ihrem Verzeichnis technisch geprüft werden sollen, denn jede zusätzliche Anwendung mit personenbezogenen Daten bringt eigene Zugriffsrollen mit.

Ja. Unser Bericht dokumentiert die geprüften Maßnahmen, gefundene Schwachstellen und deren Behebung mit CVSS-Bewertung. Sie erhalten ihn in Deutsch und Englisch, sodass er sich gegenüber Aufsichtsbehörden, im Rahmen von Auftragsverarbeitungs-Audits und bei internationalen Konzernmüttern als Wirksamkeitsnachweis einreichen lässt. Entscheidend ist für Prüfer dabei weniger die Fundliste als der dokumentierte Umgang damit.

Ja. Art. 32 verpflichtet ausdrücklich auch Auftragsverarbeiter. Viele Auftraggeber verlangen vertraglich einen Nachweis wirksamer technischer Maßnahmen - ein Penetrationstest liefert ihn und beschleunigt Lieferantenfreigaben spürbar.

Art. 34 DSGVO verlangt, dass Sie betroffene Personen unverzüglich über eine Datenpanne informieren, wenn diese voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten bedeutet. Die Benachrichtigung kann entfallen, wenn die Daten wirksam verschlüsselt und damit unbrauchbar waren. Ergänzend fordert Art. 33 die Meldung an die Aufsichtsbehörde binnen 72 Stunden.

Im Scoping bestimmen wir gemeinsam die Systeme, die personenbezogene Daten verarbeiten. Danach prüfen unsere Pentester diese Anwendungen, APIs und Netzwerke manuell mit den Techniken realer Angreifer, mit Schwerpunkt auf Authentifizierung, Berechtigungen, Verschlüsselung und Datenabfluss. Im Bericht ordnen wir jedes Finding dem betroffenen Verarbeitungsvorgang zu. Die behobenen Punkte prüfen wir anschließend ohne Aufpreis nach.

Wir testen bevorzugt auf Staging-Systemen mit Testdaten. Ist nur die Produktivumgebung realistisch, schließen wir vorab eine Vereinbarung zur Auftragsverarbeitung und eine Verschwiegenheitserklärung, begrenzen den Zugriff auf das für den Nachweis Nötige und löschen alle erhobenen Daten nach Projektende. Produktivdaten werden weder exportiert noch verändert.

Ein fokussierter Test einer Webanwendung mit Backend dauert typischerweise fünf bis zehn Arbeitstage, größere Umgebungen mit mehreren Anwendungen und internem Netz zwei bis vier Wochen. Den Bericht erhalten Sie kurz nach Testende, gefolgt von einer Nachbesprechung mit Ihrem Team. Muss in der Produktivumgebung getestet werden, stimmen wir das Testfenster vorab mit Ihrem Datenschutzbeauftragten ab.

Für eine erste Bestandsaufnahme ja, als alleiniger Wirksamkeitsnachweis in der Regel nicht. Ein Scanner findet bekannte Schwachstellen in Versionen und Konfigurationen, aber keine fehlerhaften Berechtigungslogiken, keine Wege zu fremden Kundendatensätzen und keine Angriffsketten. Genau diese Fälle sind bei personenbezogenen Daten die kritischen. Sinnvoll ist die Kombination aus laufendem Scan und jährlichem Pentest.