Bei der Jahresabschlussprüfung eines mittelständischen Unternehmens stellt der Wirtschaftsprüfer gravierende Sicherheitsmängel in der IT-gestützten Buchhaltung fest. Zugriffsrechte sind nicht nachvollziehbar vergeben, Änderungen an buchungsrelevanten Daten nicht protokolliert. Der Prüfer kann kein positives Testat erteilen — mit unmittelbaren Folgen für die Kreditwürdigkeit des Unternehmens.
Verstöße gegen Gesetze oder Regelungen (G 0.29) entstehen oft dort, wo die Informationssicherheit nicht mit den rechtlichen Anforderungen Schritt hält. Das BSI listet diese Gefährdung als eine der breitesten im Grundschutzkatalog.
Was steckt dahinter?
Die Rechtslandschaft rund um Informationssicherheit ist komplex und entwickelt sich ständig weiter. Organisationen müssen eine Vielzahl von Gesetzen, Verordnungen und vertraglichen Pflichten gleichzeitig einhalten — und deren Relevanz für ihre spezifische Situation korrekt einschätzen.
Regulatorische Bereiche
- Datenschutz — DSGVO, BDSG und Landesdatenschutzgesetze regeln den Umgang mit personenbezogenen Daten. Verstöße können zu Bußgeldern von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes führen.
- Handels- und Steuerrecht — HGB und AO fordern die ordnungsgemäße Verarbeitung buchungsrelevanter Daten, einschließlich Nachvollziehbarkeit und Revisionssicherheit.
- Gesellschaftsrecht — KonTraG, GmbHG und AktG begründen Sorgfaltspflichten der Geschäftsführung im Bereich Risikomanagement und Informationssicherheit.
- Branchenspezifische Regulierung — KRITIS-Betreiber unterliegen dem IT-Sicherheitsgesetz, Finanzdienstleister den BAIT/VAIT, Gesundheitseinrichtungen dem SGB V.
- Vertragliche Verpflichtungen — In der Automobilbranche beispielsweise verpflichten Hersteller ihre Zulieferer zur Einhaltung bestimmter Sicherheitsstandards (TISAX). Verstöße können Vertragsstrafen oder den Verlust der Geschäftsbeziehung nach sich ziehen.
Schadensausmass
Gesetzesverstöße verursachen mehrdimensionale Schäden: Bußgelder, Vertragsstrafen, zivilrechtliche Schadensersatzansprüche, strafrechtliche Konsequenzen für verantwortliche Personen und Reputationsverlust. Der Reputationsschaden kann den finanziellen Schaden langfristig übersteigen — besonders bei Datenschutzverletzungen, die öffentlich werden.
Praxisbeispiele
Datenschutzverstoß durch fehlende Löschroutinen. Ein Unternehmen speichert Kundendaten aus Vertragsbeziehungen, die vor über zehn Jahren endeten. Die Daten wurden nie gelöscht, ein Löschkonzept existiert nicht. Bei einer Aufsichtsprüfung wird der Verstoß gegen die Speicherbegrenzung (DSGVO Art. 5) festgestellt. Es folgt ein sechsstelliges Bußgeld.
Zulieferer verliert TISAX-Freigabe. Ein Automobilzulieferer versäumt es, die vom Auftraggeber geforderten Sicherheitsmaßnahmen umzusetzen. Beim TISAX-Assessment fällt das Unternehmen durch. Der Auftraggeber setzt eine Nachbesserungsfrist von drei Monaten. Werden die Anforderungen nicht erfüllt, droht die Beendigung der Geschäftsbeziehung — ein existenzgefährdendes Risiko für den Zulieferer.
Fehlende Protokollierung bei Wirtschaftsprüfung. Die Buchhaltung eines Unternehmens nutzt ein ERP-System, in dem Änderungen an Buchungssätzen nicht revisionssicher protokolliert werden. Der Wirtschaftsprüfer kann die Integrität der Finanzdaten nicht bestätigen und verweigert das uneingeschränkte Testat. Banken und Investoren werten dies als Alarmsignal.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 79 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.5.31 — Gesetzliche, regulatorische und vertragliche Anforderungen: Systematische Identifikation und Dokumentation aller relevanten Anforderungen.
- A.5.34 — Datenschutz und Schutz personenbezogener Daten: Spezifische Maßnahmen zur Einhaltung datenschutzrechtlicher Anforderungen.
- A.5.36 — Einhaltung von Richtlinien und Standards: Regelmäßige Überprüfung, ob Richtlinien und Standards eingehalten werden.
- A.6.3 — Informationssicherheitsbewusstsein: Schulungen zu rechtlichen Anforderungen und Konsequenzen bei Nichteinhaltung.
Erkennung:
- A.5.35 — Unabhängige Überprüfung der Informationssicherheit: Interne und externe Audits decken Compliance-Lücken auf.
- A.8.15 — Protokollierung: Revisionssichere Protokollierung als Nachweis für Prüfer und Aufsichtsbehörden.
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Meldepflichten bei Datenschutzverletzungen (72-Stunden-Frist nach DSGVO Art. 33).
- A.5.5 — Kontakt mit Behörden: Etablierte Kommunikationswege zu Aufsichtsbehörden, Datenschutzbehörden und anderen relevanten Stellen.
BSI IT-Grundschutz
G 0.29 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- ORP.5 (Compliance-Management) — Anforderungen an die systematische Einhaltung rechtlicher und vertraglicher Vorgaben.
- ORP.2 (Personal) — Arbeitsrechtliche Aspekte und Pflichten der Mitarbeitenden.
- CON.1 (Kryptokonzept) — Einhaltung regulatorischer Vorgaben zur Kryptographie.
- DER.3.1 (Audits und Revisionen) — Interne und externe Überprüfung der Compliance.
Quellen
- BSI: Die Lage der IT-Sicherheit in Deutschland — Jahreslagebericht mit Bezug zu regulatorischen Entwicklungen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.29 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 5.31 — Umsetzungshinweise zu gesetzlichen und regulatorischen Anforderungen