Technische und organisatorische Maßnahmen (TOM) – Übersicht

Übersicht der Maßnahmen nach Art. 32 DSGVO für die Plattform Kursleben. Stand: 2026-07-21. Diese Seite beschreibt tatsächlich implementierte Maßnahmen in allgemeiner Form – es wird keine Zertifizierung behauptet. Die vollständige TOM-Anlage mit weitergehenden technischen Einzelheiten erhalten Kursanbieter als vertrauliche Anlage zum Auftragsverarbeitungsvertrag in ihrem Vertragsbereich.

1. Rollen und Berechtigungen

• Abgestuftes Rollensystem mit serverseitiger Rechteprüfung; Zugriffe erfolgen nur über persönliche Konten.
• Besonders sensible Funktionsbereiche erfordern zusätzliche, ausdrücklich vergebene Berechtigungen.
• Passwörter werden ausschließlich als moderne kryptografische Hashes gespeichert; wiederholte Fehlversuche führen zu Sperrfenstern.

2. Mehrfaktor-Authentifizierung

• Für besonders schützenswerte Verwaltungsbereiche gilt eine Zwei-Faktor-Pflicht (Authenticator-App).
• Kritische Einzelaktionen verlangen eine zusätzliche frische Bestätigung der Identität.

3. Verschlüsselung

• Transportverschlüsselung (HTTPS/TLS) auf Produktivsystemen; Sitzungscookies mit Schutzattributen.
• Besonders sensible gespeicherte Daten werden zusätzlich anwendungsseitig verschlüsselt; die Schlüssel werden getrennt von Code und Datenbank verwaltet.

4. Mandantentrennung

• Die Daten jedes Kursanbieters sind logisch strikt getrennt; die zentrale Datenzugriffsschicht erzwingt die Trennung technisch bei jeder Abfrage.
• Dateiablagen sind je Anbieter getrennt; geschützte Bereiche sind nur über rechtegeprüfte Abrufwege erreichbar, nie über direkte öffentliche Adressen.

5. Protokollierung

• Änderungen an Geschäftsvorgängen werden nachvollziehbar protokolliert (wer, wann, was).
• Besonders prüfungsrelevante Bereiche verwenden manipulationserkennende, fortlaufende Protokollketten.
• IP-Adressen werden datensparsam behandelt und nach kurzer Frist gekürzt bzw. gelöscht.

6. Backups und Wiederherstellung

• Regelmäßige Datensicherungen von Datenbank und Dateiablagen; Sicherungen werden getrennt von den laufenden Systemen aufbewahrt.
• Die Wiederherstellbarkeit wird mit einem dokumentierten Testverfahren geprüft.

7. Löschverfahren und Aufbewahrung

• Versionierte Aufbewahrungsregeln je Dokumentart; bei mehreren einschlägigen Vorschriften gilt dokumentiert die längste Frist.
• Löschungen erfolgen ausschließlich über kontrollierte, protokollierte Prozesse – nie automatisch entgegen Aufbewahrungspflichten.

8. Umgang mit Vorfällen

• Internes Vorfallsregister mit unveränderlicher Historie und Überwachung der 72-Stunden-Prüffrist (Art. 33 DSGVO).
• Meldungen an Aufsichtsbehörden erfolgen nach menschlicher Prüfung – nicht automatisch.

9. Organisatorische Maßnahmen

• Getrennte Entwicklungs- und Testumgebungen mit ausschließlich synthetischen Testdaten.
• Auslieferungen durchlaufen eine Prüfung auf versehentlich enthaltene Zugangsdaten oder Echtdaten.
• Externe Dienstleister werden nur nach Aufnahme in die Unterauftragnehmerliste und mit Auftragsverarbeitungsvertrag eingesetzt; optionale Dienste sind standardmäßig deaktiviert.

Die vollständige TOM-Anlage mit weitergehenden technischen Einzelheiten ist bewusst nicht öffentlich (Schutz vor Ausnutzung sicherheitsrelevanter Informationen) und steht Kursanbietern im Vertragsbereich der Verwaltung zur Verfügung.

Version 1 · gültig ab 21.07.2026 · Prüfsumme 7a67bf71663112ea… · freigegeben