Eine Selbstständige lässt ihren Laptop im Zug liegen. Darauf: Kundenverträge, Rechnungen mit Namen und Adressen, ein Export aus dem CRM. Nach der DSGVO ist das eine Verletzung des Schutzes personenbezogener Daten. Ein kurzer interner Eintrag oder eine Meldung an die Aufsichtsbehörde samt Brief an jeden Kunden? Das hängt vor allem an einer Frage: Waren die Daten verschlüsselt?
- Die DSGVO schreibt kein Produkt vor, nennt aber die Verschlüsselung als Beispiel für angemessene Sicherheit.
- Verschlüsselt, ausgeschaltet, starkes Passwort, Backup: meist genügt eine interne Dokumentation.
- Unverschlüsselt: Eine Meldung an die Behörde binnen 72 Stunden, oft auch an die Kunden, ist wahrscheinlich.
- Verschlüsseln Sie Systemlaufwerk, Kundendateien, USB-Sticks und Backups und dokumentieren Sie es.
Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Für Ihren konkreten Fall fragen Sie einen Fachanwalt für Datenschutz oder Ihren Datenschutzbeauftragten.
Was die DSGVO zur Verschlüsselung sagt
Kein bestimmtes Produkt, aber drei Artikel, die für Laptops entscheidend sind:
In seinen Leitlinien 01/2021 mit Beispielen zur Meldung von Datenpannen vergleicht der Europäische Datenschutzausschuss (EDSA) zwei Diebstähle. Verschlüsselte Tablets, ausgeschaltet, starkes Passwort, Datensicherung: nur interne Dokumentation. Ein unverschlüsseltes Notebook mit Daten von mehr als 100.000 Kunden: beide Meldungen nötig. Gegen den Verlust von Geräten empfiehlt der EDSA die Geräteverschlüsselung, etwa mit BitLocker oder VeraCrypt.
Wann Verschlüsselung wirklich hilft
Laptop verloren: typische Szenarien
- Systemlaufwerk und Kundendateien verschlüsselt, starkes Passwort, Backup vorhanden
- Interne Dokumentation; eine Meldung an die Behörde ist meist nicht nötig
- Nicht verschlüsselt: Meldung an die Behörde binnen 72 Stunden und oft auch an die Kunden ist wahrscheinlich
- Verschlüsselt, aber im Energiesparmodus oder entsperrt gestohlen: Das Laufwerk war offen, also wie unverschlüsselt behandeln
- Unverschlüsselter USB-Stick mit Kundenexport: wie ein unverschlüsselter Laptop
Die abschließende Bewertung liegt bei Ihnen (und Ihrem Anwalt), aber der Unterschied zwischen den Spalten ist enorm.
Checkliste: Dienstlaptops und Datenträger verschlüsseln
Auf C: liegen Windows, temporäre Dateien, der Browser-Cache und die E-Mails. Verschlüsseln Sie es vollständig: BitLocker unter Windows Pro, Enterprise und Education, Geräteverschlüsselung unter Windows Home auf kompatibler Hardware, sonst VeraCrypt (kostenlos, quelloffen).
Siehe Windows 11 Home ohne BitLocker und Verschlüsselungssoftware für Windows.
Ist Windows gestartet, ist C: für jeden am Schreibtisch und für jedes Programm offen. Bewahren Sie Kundendaten an einem eigenen verschlüsselten Ort mit eigenem Passwort auf.
Cryptic Disk verschlüsselt eine Datenpartition oder eine Containerdatei, die als eigenes Laufwerk mit Buchstaben erscheint, und trennt sie automatisch bei gesperrter Sitzung, im Energiesparmodus oder nach Inaktivität. Ein Container pro Kunde oder Projekt ist möglich.
Sie brauchen denselben Schutz wie der Laptop: das ganze Laufwerk verschlüsseln oder einen Container darauf anlegen (Anleitungen für USB-Sticks und Backup-Festplatten). Unter Windows Home gibt es kein BitLocker To Go, Cryptic Disk funktioniert in jeder Edition.
Disk Password Protection fragt ein Passwort ab, bevor Windows startet: nützlich, wenn das Systemlaufwerk per TPM automatisch entsperrt wird.
- Passphrasen aus mehreren zufälligen Wörtern, mindestens 15 Zeichen, wenn das Passwort der einzige Schutz ist (Wie lang sollte ein Passwort sein?).
- Unterschiedliche Passwörter für Windows, den Container und Onlinedienste.
- Bildschirmsperre nach wenigen Minuten, Win + L bei jedem Verlassen des Platzes.
Ein vergessenes Passwort ohne Schlüsselsicherung bedeutet Datenverlust, und fehlende Verfügbarkeit ist auch ein DSGVO-Thema. Bewahren Sie BitLocker-Wiederherstellungsschlüssel und Header-Sicherungen von Cryptic Disk getrennt vom Laptop auf, wo das Unternehmen (nicht nur der Mitarbeiter) darüber verfügt, auch nach dessen Ausscheiden.
Die Einhaltung der DSGVO müssen Sie nachweisen können. Eine einfache Tabelle reicht: Gerät, Nutzer, Verschlüsselung des Systemlaufwerks, wo Kundendaten und Wiederherstellungsschlüssel liegen, letzte Prüfung. Geht ein Laptop verloren, wissen Sie in wenigen Minuten, ob er verschlüsselt war.
Ehrlich gesagt: Die Systempartition kann Cryptic Disk nicht verschlüsseln, es ergänzt BitLocker oder die Geräteverschlüsselung. Die Header-Sicherung ist mit dem Passwort geschützt, das beim Sichern galt: Sie hilft nach einer Passwortänderung, nicht aber, wenn das einzige Passwort vergessen wurde. Disk Password Protection verschlüsselt keine Daten und hindert niemanden daran, das Laufwerk auszubauen oder von USB zu starten: eine zusätzliche Hürde, kein Ersatz für Verschlüsselung.
Dieselben Grundsätze gelten für einen Büroserver oder ein NAS, wo meist deren eigene Verschlüsselungsfunktionen die Aufgabe übernehmen; dieser Leitfaden behandelt Laptops und mobile Datenträger.
Wenn ein Laptop verloren geht oder gestohlen wird
Ist eine Meldung nötig, laufen die 72 Stunden ab dem Zeitpunkt, an dem Ihnen die Panne bekannt wurde.
- Halten Sie fest, wann, wo, welches Gerät, wer es bemerkt hat.
- Prüfen Sie Ihre Dokumentation: verschlüsselt? ausgeschaltet? welche Daten?
- Sperren Sie den Zugriff: Passwörter für E-Mail, Cloud und Geschäftssysteme ändern, alle Sitzungen abmelden, den Zugriff des Geräts widerrufen.
- Orten oder löschen Sie das Gerät aus der Ferne, falls die Gerätesuche im Microsoft-Konto oder ein Verwaltungstool eingerichtet war.
- Bewerten Sie das Risiko und melden Sie, falls nötig.
- Dokumentieren Sie die Panne in jedem Fall: Sachverhalt, Auswirkungen, ergriffene Maßnahmen.
- Stellen Sie die Daten aus dem Backup wieder her.
Cryptic Disk im Team
Jede Person, die es nutzt, braucht eine Lizenz. Einmalzahlung mit einem Jahr Updates und Support; Pakete für 5 bis 100 Benutzer mit Mengenrabatt. Für unterwegs: Datenschutz auf Reisen und Laptop und Daten vor unbefugtem Zugriff schützen.
Häufige Fragen
Schreibt die DSGVO die Verschlüsselung von Laptops vor?
Ein Pflichtwerkzeug nennt sie nicht, verlangt aber eine dem Risiko angemessene Sicherheit, mit Verschlüsselung als Beispiel. Der EDSA empfiehlt sie für Geräte mit personenbezogenen Daten; ohne sie führt ein verlorener Laptop oft zu Meldepflichten.
Muss ich einen verlorenen verschlüsselten Laptop melden?
Oft nicht, wenn die Verschlüsselung stark ist, der Schlüssel nicht kompromittiert wurde und ein Backup existiert. Intern dokumentieren müssen Sie die Panne trotzdem. War der Laptop entsperrt oder im Energiesparmodus, zählt die Verschlüsselung nicht.
Gilt die DSGVO auch für Selbstständige?
Ja, wenn Sie im Rahmen Ihrer Tätigkeit personenbezogene Daten von Kunden, deren Kunden oder Mitarbeitern verarbeiten. Ausgenommen sind nur rein persönliche oder familiäre Tätigkeiten.
Reicht BitLocker aus?
Für das Hauptszenario, einen ausgeschalteten Laptop, der verloren geht oder gestohlen wird, ja. Ein separater Container schützt Kundendateien, solange Windows läuft; USB-Sticks und Backups brauchen eine eigene Verschlüsselung.
Ist ein Startpasswort dasselbe wie Verschlüsselung?
Nein. Disk Password Protection verhindert, dass Windows startet, aber die Daten bleiben unverschlüsselt und lassen sich an einem anderen Computer lesen. Nutzen Sie es zusätzlich zur Verschlüsselung.
Ohne Einschränkungen während der Testphase.
Kostenfreier Test Preise & Kauf