WVM-IT
Bei einer Sitzung mit Ihrer Zustimmung sieht der Techniker genau das, was auf Ihrem Bildschirm steht — nicht mehr. Sie sehen die Sitzung mit, können jederzeit abbrechen, und ohne Ihre Freigabe kommt niemand auf das Gerät. Anders ist es bei der Wartung von Servern: Dort besteht ein dauerhafter Zugang, weil Updates nachts laufen müssen. Genau deshalb gehört dieser Zugang protokolliert, auf benannte Personen ausgestellt und im Auftragsverarbeitungsvertrag beschrieben — nicht als gemeinsames Passwort, das alle kennen.
Der Unterschied zwischen Sitzung und Dauerzugang
Zwei Dinge werden oft verwechselt. Eine Fernwartungssitzung beginnt damit, dass Sie einen Code weitergeben oder eine Anfrage bestätigen: Der Techniker sieht Ihren Bildschirm, Sie sehen alles mit, und mit dem Schließen des Fensters ist der Zugang beendet. Ein Wartungszugang zu einem Server ist etwas anderes — er besteht dauerhaft, weil Updates und Prüfungen außerhalb Ihrer Arbeitszeit laufen. Für diesen zweiten Fall gelten strengere Regeln, und wer beides in einen Topf wirft, kann keine davon sinnvoll vereinbaren.
Was technisch möglich wäre — und wie man es begrenzt
Ehrlich gesagt: Wer Administratorrechte auf einem Server hat, kann technisch auf die Daten zugreifen, die dort liegen. Das gilt für jeden IT-Dienstleister und lässt sich nicht wegdiskutieren. Begrenzen lässt es sich aber sehr wohl — durch benannte Zugänge statt Sammelkonten, durch Protokollierung jeder Anmeldung, durch Zwei-Faktor-Anmeldung und dadurch, dass Zugriffe auf Fachanwendungen mit besonders sensiblen Daten gar nicht erst zum Leistungsumfang gehören. Ein Dienstleister braucht Zugriff auf die Technik, nicht auf Ihre Inhalte.
Was im Auftragsverarbeitungsvertrag stehen muss
Wenn ein Dienstleister im Rahmen seiner Arbeit auf personenbezogene Daten zugreifen kann, ist ein Vertrag nach Artikel 28 DSGVO Pflicht — auch dann, wenn er die Daten gar nicht ansehen will. Darin steht, worauf zugegriffen werden darf, wie protokolliert wird, wer beim Dienstleister überhaupt Zugang hat, und was am Vertragsende mit Zugängen und Kopien geschieht. Fehlt dieser Vertrag, fehlt nicht nur ein Papier: Es fehlt die Beschreibung dessen, was jemand mit Ihren Systemen tun darf.
Vier Dinge, die Sie verlangen sollten
Erstens: benannte Zugänge, kein gemeinsames Passwort für „die IT-Firma“. Zweitens: Zwei-Faktor-Anmeldung für jeden Zugang von außen. Drittens: ein Protokoll, das zeigt, wer wann angemeldet war — und die Zusage, es auf Nachfrage herauszugeben. Viertens: eine klare Regel, was passiert, wenn ein Mitarbeiter des Dienstleisters geht. Alle vier kosten nichts außer Sorgfalt, und alle vier fehlen erstaunlich oft.
Warum Fernwartung trotzdem der bessere Weg ist
Die Alternative zur Fernwartung ist nicht mehr Sicherheit, sondern längere Wartezeit. Wer erst anfahren muss, beginnt eine Stunde später — und schaut sich dann dieselben Daten an, nur eben vor Ort. Der Unterschied liegt nicht im Zugriff, sondern in der Nachvollziehbarkeit: Ein Fernzugang lässt sich protokollieren, ein Besuch am Arbeitsplatz nicht.
Kurz gesagt: Fragen Sie nicht, ob jemand zugreifen kann — das kann jeder Administrator. Fragen Sie, wer namentlich zugreift, wie es protokolliert wird und was am Vertragsende damit passiert.
Wir melden uns innerhalb von 24 Stunden.