1. Datensicherung und Notfallwiederherstellung - tomtec

IT Sicherheitshandbuch für KMU
wenn Straftaten von Mitarbeitern nicht durch technische, organisatorische oder personelle
Maßnahmen verhindert wurden. Als Strafen sind Geldbußen vorgesehen, die je nach Ertragslage
des Verbands und der Schwere des Vergehens bis zu 1,8 Millionen Euro betragen können. Aus
dem VbVG ergeben sich auch verstärkte Anforderungen an die IT-Sicherheitsmaßnahmen eines
Unternehmens: Wenn ein Mitarbeiter eine Straftat unter Verwendung der vom Unternehmen
zur Verfügung gestellten IT-Systeme begeht und das Unternehmen die gebotene Sorgfalt zur
Verhinderung dieser Tat außer Acht gelassen hat, kann das Unternehmen selbst verfolgt werden.
Dazu kann es u.U. ausreichen, wenn ein Mitarbeiter seinen Internetzugang für den Bezug von
Kinderpornographie verwendet und vom Unternehmen keinerlei Vorkehrungen gegen diese
Verwendung getroffen wurden.
Zur Abwehr einer strafrechtlichen Verfolgung muss das Unternehmen nachweisen, dass es seinen
Sorgfaltspflichten nachgekommen ist. Das ist insbesondere durch die Einführung einer straffen,
gut dokumentierten Unternehmensorganisation möglich. Für typische Unternehmensrisiken
sollten eigene Verantwortliche eingesetzt und ein Risikomanagement eingeführt werden.
Für IT-Risiken bedeutet das im Wesentlichen die Bestellung eines IT-Sicherheitsbeauftragten
und die Erstellung von IT-Sicherheitsrichtlinien bzw. einer IT-Sicherheitspolitik.
BESTIMMUNGEN ZU AUFBEWAHRUNGSFRISTEN (DSG, BAO)
Bei der Archivierung von Daten müssen verschiedene gesetzliche Vorschriften zu Aufbewahrungsfristen
beachtet werden. Z.B. schreibt das DSG vor, dass Protokolle, die die Nachverfolgung
von Datenzugriffen ermöglichen, drei Jahre aufbewahrt werden müssen. Die Bundesabgabenordnung
verlangt, dass Bücher, Aufzeichnungen und Belege sieben Jahre aufbewahrt werden;
dies gilt auch für deren Aufbewahrung in elektronischer Form (Buchhaltungsdaten,
elektronische Rechnungen, gegebenenfalls auch E-Mails).
Die Verantwortung für die sichere Aufbewahrung und Wiedergabe dieser Daten liegt dabei beim
Unternehmen, d.h. eine derartige Langzeitarchivierung muss gut geplant werden: Über den
Datenträgerbestand sollte ein Bestandsverzeichnis geführt werden; die archivierten Datenträger
müssen regelmäßig geprüft werden; günstigerweise sollte eine Kopie vorliegen, falls das Original
unlesbar wird. Vor allem aber muss bei der Planung der Langzeitarchivierung darauf geachtet
werden, dass die Daten in einigen Jahren noch nutzbar sind. Bei einem Wechsel oder einer
neuen Version der Buchhaltungssoftware muss geprüft werden, ob die alten Datenbestände
verwendet werden können. Andernfalls müssen die Installationsmedien der alten Software
aufbewahrt oder besser noch eine betriebsfähige Installation des alten Programms, eventuell
auf einem älteren Rechner, beibehalten werden.
52