Artikel 32 verlangt, dass das Unternehmen und seine Auftragsverarbeiter ein angemessenes Sicherheitsniveau gewährleisten. Die meisten Sicherheitsverletzungen entstehen nicht durch raffinierte Angriffe, sondern durch alltägliche Fehler. Hier sind die Gewohnheiten, die am meisten bewirken.
Zugang und Passwörter
- Verwenden Sie lange und einmalige Passwörter. Ein langer Satz ist besser als ein kurzes, kompliziertes Wort. Nehmen Sie nie dasselbe Passwort für die Arbeit und für private Konten.
- Nutzen Sie einen Passwortmanager, wenn das Unternehmen einen anbietet.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo es möglich ist. Geben Sie Ihre Zugangsdaten nie weiter, auch nicht an Kollegen oder die IT.
- Sperren Sie den Bildschirm, wenn Sie Ihren Platz verlassen.
- Sie dürfen nur Daten öffnen, die Sie für Ihre Arbeit brauchen. Eine bekannte Person oder einen Kollegen aus Neugier nachzuschlagen ist keine Arbeit und kann ein Verstoß sein.
- Prüfen Sie den Empfänger, bevor Sie auf Senden klicken. Die automatische Vervollständigung wählt leicht den Falschen mit demselben Vornamen.
- Wenn Sie an viele senden, die sich nicht kennen, nutzen Sie Bcc. Sonst geben Sie die E-Mail-Adressen aller weiter.
- Vertrauliche und sensible Daten sollten grundsätzlich verschlüsselt sein, wenn sie per E-Mail über das Internet gesendet werden. Das ist die Einschätzung der Datatilsynet, was eine angemessene Sicherheit ist. Nutzen Sie die sichere E-Mail-Lösung, die das Unternehmen gewählt hat.
- Schreiben Sie keine personenbezogenen Daten in die Betreffzeile.
Papier, Geräte und Homeoffice
- Halten Sie Ihren Schreibtisch aufgeräumt. Legen Sie Papiere mit personenbezogenen Daten in eine geschlossene Schublade.
- Nutzen Sie den Aktenvernichter des Unternehmens oder den abgeschlossenen Abfallbehälter, nicht den normalen Papierkorb.
- Speichern Sie keine Daten auf privaten Geräten, USB-Sticks oder privaten Cloud-Diensten, es sei denn, das Unternehmen hat es erlaubt.
- Nutzen Sie keine externen KI-Werkzeuge, und kopieren Sie keine Kunden- oder Mitarbeiterdaten hinein, es sei denn, das Unternehmen hat das Werkzeug für den Zweck freigegeben. Was Sie eingeben, verlässt oft das Unternehmen.
- Von zu Hause aus: Nutzen Sie eine sichere Verbindung, lassen Sie die Familie nicht auf den Bildschirm sehen, und lassen Sie das Gerät nicht entsperrt im Auto oder im Café liegen.
- Sprechen Sie nicht laut, etwa im Zug, über Kunden oder Patienten.
Phishing
Phishing sind gefälschte E-Mails, SMS oder Anrufe, die Sie dazu bringen sollen, Daten preiszugeben, auf einen Link zu klicken oder zu zahlen. Typische Anzeichen:
- Zeitdruck („das Konto wird heute geschlossen“) oder Drohungen
- ein Absender, der einem bekannten ähnelt, aber eine etwas andere Adresse hat
- ein Link, dessen Adresse nicht zum Absender passt
- Anhänge, die Sie nicht erwartet haben
- ein „Chef“, der plötzlich eine schnelle Zahlung oder Geschenkkarten haben will, oder ein Kollege, der nach Ihren Zugangsdaten fragt
Was Sie tun:
- Nicht klicken, nicht öffnen und nicht antworten.
- Prüfen Sie über einen anderen Kanal. Rufen Sie den Absender unter einer Nummer an, die Sie kennen.
- Melden Sie die E-Mail Ihrer IT oder Ihrer Sicherheitsansprechperson. Wenn Sie bereits geklickt oder etwas eingegeben haben, sagen Sie es sofort. Eine schnelle Meldung kann den Schaden begrenzen.
Die Styrelsen for Samfundssikkerhed (die dänische Behörde für Bevölkerungsschutz, früher Center for Cybersikkerhed) gibt auf samsik.dk Ratschläge zu Phishing.
Updates und unbekannte Programme
Installieren Sie Sicherheitsupdates, wenn Ihre IT-Abteilung darum bittet. Viele Angriffe nutzen Fehler aus, für die es längst ein Update gibt. Installieren Sie keine Programme, Apps oder Erweiterungen auf eigene Faust, und schließen Sie keine unbekannten USB-Sticks an. Wenn auf Ihrem Computer etwas seltsam aussieht, melden Sie es, bevor Sie selbst versuchen, es zu beheben.
Sagen Sie es, ohne sich zu schämen
Jeder kann getäuscht werden. Das Schlimmste ist zu schweigen. Das Unternehmen kann nur eingreifen, wenn es rechtzeitig von dem Fehler erfährt.