Hat sich die Angewohnheit Ihres Managed Service Providers, „alles zu behalten“, stillschweigend zu einem strategischen Risiko entwickelt?
Jedes Protokoll, Ticket und Backup als permanente Absicherung zu betrachten, mag früher günstig erschienen sein, birgt für Managed Service Provider (MSPs) heute aber unnötige Risiken, Kosten und erschwert Audits. Werden Daten nie gelöscht, wiegen Sicherheitslücken schwerwiegender, die rechtlichen Ermittlungen werden aufwändiger und ISO 27001- und Datenschutzprüfungen ziehen sich über Daten hin, die weder Ihnen noch Ihren Kunden nützen. Ein bewusster, ISO-konformer Ansatz ermöglicht es Ihnen, diese Risiken zu minimieren, Ihre Entscheidungen nachvollziehbar zu machen und Ihren Kunden zu beweisen, dass ihre Daten geschützt und nicht gehortet werden.
Die meisten Managed Service Provider haben nie bewusst ein Datenaufbewahrungsmodell entworfen. Es entstand aus den Standardeinstellungen von Backup-Tools, der Vorsicht der Techniker, die Protokollierungsfenster „nur für alle Fälle“ verlängerten, und dem Beharren der Kunden darauf, dass niemals etwas gelöscht wird, was in einem Rechtsstreit einmal hilfreich sein könnte. Das war akzeptabel, solange Kunden nur allgemeine Sicherheitsfragen stellten; heute ist es weitaus weniger vertretbar, da Aufsichtsbehörden, Beschaffungsabteilungen und Wirtschaftsprüfer prüfen, wie lange verschiedene Datensätze aufbewahrt werden und was nach Vertragsende geschieht.
Die Mehrheit der im Bericht „State of Information Security 2025“ aufgeführten Organisationen gab an, im vergangenen Jahr von mindestens einem Sicherheitsvorfall im Zusammenhang mit Drittanbietern oder Lieferanten betroffen gewesen zu sein.
Diese Informationen dienen der allgemeinen Orientierung und stellen keine Rechtsberatung dar. Für konkrete rechtliche Verpflichtungen sollten Sie sich an einen qualifizierten Rechtsanwalt in den jeweiligen Rechtsordnungen wenden.
Die wahre Kontrolle über Daten beginnt damit, dass man entscheidet, was nicht gespeichert werden soll.
Ihren tatsächlichen Datenabdruck sehen
Sie erkennen Ihren tatsächlichen Datenbestand, indem Sie abbilden, wo Kundeninformationen gespeichert werden, wie lange sie dort verbleiben und ob dies Ihren Zusagen entspricht. Sobald Sie diese Realität mit Ihren Verträgen und Richtlinien vergleichen, können Sie übermäßige Datenspeicherung als definiertes Risiko und nicht als unangenehmes Gefühl betrachten, „zu viele Daten zu speichern“.
Für viele Managed Service Provider (MSPs) deckt eine kurze Bestandsaufnahme der Support-, Monitoring-, Fernzugriffs-, Kollaborations-, Backup- und Technikergeräte deutliche Diskrepanzen zwischen Richtlinien, Verträgen und der Realität auf. Kommentare zur Datenaufbewahrung und -minimierung bestätigen dieses Muster häufig: Unternehmen dokumentieren zwar Lebenszyklusregeln, wenden diese aber in der Praxis nicht konsequent an. Sobald diese Lücken sichtbar sind, können sie als konkrete Lebenszyklusrisiken und nicht als vage Sorge um „zu viele Daten“ behandelt werden.
Ein praktischer Ausgangspunkt ist eine einfache Kartierungsübung:
- Listen Sie Ihre wichtigsten Systeme auf – Service Desk, Fernüberwachung und -verwaltung, Überwachung, Fernzugriff, Datei- und Mailplattformen, Backups, Dokumentation, Datenspeicher und Technikergeräte.
- Für jeden Eintrag ist zu dokumentieren, welche Kundendaten gespeichert werden, wem diese gehören, wie lange sie aktuell aufbewahrt werden und in welchem Zusammenhang dies mit Verträgen, Datenschutzhinweisen und internen Richtlinien steht.
- Verknüpfen Sie dieses Inventar mit Ihrem Risikoregister, sodass Datenlebenszyklusrisiken neben bekannten Problemen wie Patching, Zugriffskontrolle und Lieferantenausfall berücksichtigt werden.
Innerhalb weniger Stunden stößt man in der Regel auf veraltete Postfächer mit jahrelang gesammelten Tickets, Protokollsysteme mit praktisch unendlicher Historie, nie bereinigte Backup-Ketten und Techniker, deren Laptops noch alte Kundendaten zwischengespeichert haben. Diese Realität, und nicht das, was in den Richtlinien steht, bildet die Grundlage für Angriffe, die Arbeit von Aufsichtsbehörden oder Anwälten, falls etwas schiefgeht.
Sobald man den tatsächlichen Fußabdruck erkennen kann, wird es einfacher, drei Arten von Retention zu unterscheiden:
- Informationen, die Sie aufgrund von Gesetzen, Vorschriften oder Verträgen aufbewahren müssen.
- Informationen, die Sie aufbewahren, weil sie für den Betrieb, den Support oder forensische Untersuchungen hilfreich sind.
- Informationen, die Sie versehentlich speichern, weil niemand jemals einem System gesagt hat, es solle aufhören.
Nur die ersten beiden lassen sich rechtfertigen. Die dritte ist reine Enthüllung.
Eine Plattform wie ISMS.online kann in dieser Phase helfen, indem sie Ihnen einen strukturierten Ort bietet, um Ihr Dateninventar zu erfassen, jeden Standort mit Risiken und Kontrollen zu verknüpfen und der Führungsebene einen klaren Überblick darüber zu geben, wo Aufbewahrung und Löschung derzeit nicht kontrolliert werden.
Alles in eine quantifizierte Risikogeschichte umwandeln
Sie machen aus allem eine quantifizierbare Risikogeschichte, indem Sie Ihre aktuellen Gewohnheiten mit einfachen Zahlen und Szenarien verknüpfen, damit die Führungsebene sie gegen andere Prioritäten abwägen kann. Anstatt abstrakt über Prinzipien zu diskutieren, zeigen Sie, was Ihre bisherige Historie bei einem Verstoß, einer Streitigkeit oder einer Prüfung bedeutet und wie viel zusätzlichen Aufwand Vorfälle verursachen, weil nichts gelöscht wird.
Sie können die Kundenbindung als strategisches Risiko neu definieren, indem Sie Fragen stellen wie:
- Wenn ein bestimmter Kunde von einem Datenleck betroffen ist, wie viele Jahre an Kundendaten befinden sich dann in Ihren Systemen und Backups?
- Wie viel zusätzliche Zeit benötigt man bei einem schwerwiegenden Vorfall, um riesige Protokoll- und Ticketverläufe im Vergleich zu einem klar definierten Zeitfenster zu durchforsten?
- Wenn Sie mit einer Klage konfrontiert wären, wie weit könnten die Ermittlungen angesichts Ihrer derzeitigen Aufbewahrungspraxis zurückreichen?
Man braucht keine perfekten Statistiken, um eine überzeugende Geschichte zu erzählen. Einfache Vergleiche, wie beispielsweise die Tatsache, dass wir derzeit sieben Jahre vollständige Postfachsicherungen für diesen Kunden aufbewahren, obwohl dies weder vertraglich noch gesetzlich vorgeschrieben ist, genügen, um zu zeigen, dass die aktuellen Vorgehensweisen nie eine bewusste Risikoentscheidung waren. Anschließend kann man besonders sensible Datensätze hervorheben, wie Identitätsdatenbanken, Protokolle privilegierter Zugriffe, Zahlungsinformationen, Gesundheits- oder Kinderdaten oder Tickets mit Screenshots und Datenbankauszügen. Wenn diese Daten über mehrere Systeme und lange Sicherungsketten hinweg auftreten, wird der Nachteil einer unkontrollierten Aufbewahrung deutlich.
Zusammengenommen ergibt sich aus dieser Ausgangslage eine überzeugende Argumentation: Ihr Unternehmen trägt unsichtbare Risiken und Kosten durch Daten, die es eigentlich nicht benötigt. Dies bietet eine klare Grundlage für die Entwicklung eines ISO-27001-konformen Ansatzes, der Ihr Unternehmen schützt, Kunden Sicherheit gibt und Ihren Managed Service Provider (MSP) als erfahrenen, vertrauenswürdigen Partner positioniert – und nicht als jemanden, der Daten hortet.
KontaktWas genau erwartet ISO 27001 von Managed Service Providern (MSPs) in Bezug auf Datenaufbewahrung und -löschung?
ISO 27001 erwartet von Ihrem Managed Service Provider (MSP), dass er ein risikobasiertes Informationslebenszyklusmodell entwickelt und betreibt, anstatt für jedes Protokoll oder Ticket feste Werte anzugeben. Dieser risikobasierte Ansatz prägt das Informationslebenszyklusmanagement gemäß ISO 27001 und den zugehörigen Leitlinien. Der Fokus liegt dabei auf dem Verständnis des Kontextes und der Behandlung von Risiken, anstatt universelle Fristen vorzuschreiben. Branchenkommentare, beispielsweise von der Cloud Security Alliance, bestätigen diese Interpretation. Sie müssen die rechtlichen und kundenseitigen Erwartungen verstehen, klare Aufbewahrungs- und Löschregeln definieren, diese den Kontrollen in Anhang A zuordnen und den Auditoren anschließend nachweisen, dass Sie diese Regeln konsistent über alle Tools, Kunden und Verträge hinweg anwenden. Der Standard legt weit mehr Wert auf die Kohärenz und Funktionsweise dieses Modells als auf einen einzelnen Zeitraum. Spezifische Zeiträume sollten daher stets mit Rechtsberatern in den jeweiligen Jurisdiktionen, in denen Sie und Ihre Kunden tätig sind, abgestimmt werden.
Rund zwei Drittel der im Bericht „State of Information Security 2025“ befragten Organisationen geben an, dass die Geschwindigkeit und das Ausmaß der regulatorischen Änderungen die Einhaltung der Vorschriften zunehmend erschweren.
Die Klauseln des Managementsystems legen die Erwartungen fest. Sie müssen die Bedürfnisse der beteiligten Parteien (einschließlich Kunden und Aufsichtsbehörden) verstehen, rechtliche und vertragliche Anforderungen identifizieren, Informationsrisiken bewerten und geeignete Kontrollmaßnahmen auswählen. Anschließend definieren Sie Richtlinien und Ziele, implementieren operative Kontrollen, überwachen die Leistung, führen interne Audits durch und treiben die kontinuierliche Verbesserung voran. Aufbewahrung und Löschung sind wie alle anderen Kontrollmechanismen in diesen Prozess integriert und sollten im gleichen Rhythmus wie Zugriffsmanagement oder Schwachstellenmanagement überprüft werden.
Anhang A verdeutlicht den Lebenszyklusaspekt. Die Revision von 2022 führte mehrere Kontrollen ein und stärkte diese, die zusammengenommen definieren, wie die Aufbewahrung von Daten zu handhaben ist. Zusammenfassungen der Aktualisierung von ISO 27001 aus dem Jahr 2022 heben neue und überarbeitete Kontrollen in Anhang A zu Datenlöschung, Datensicherung und Protokollierung hervor. Diese beeinflussen, wie Organisationen Aufbewahrung und Datenlöschung als Teil des gesamten Kontrollsystems gestalten. Unabhängige Übersichten zu den Änderungen von 2022, wie sie beispielsweise von spezialisierten Cybersicherheitsquellen veröffentlicht werden, unterstreichen diese Schwerpunktverlagerung.
Fast alle Organisationen, die an der ISMS.online-Umfrage 2025 teilnehmen, nennen das Erreichen oder Aufrechterhalten von Sicherheitszertifizierungen wie ISO 27001 oder SOC 2 als Priorität.
- Schutz von Aufzeichnungen: Sicherstellen, dass wichtige Aufzeichnungen so lange wie nötig aufbewahrt und geschützt werden.
- Informationsklassifizierung: Sicherstellen, dass Informationen klassifiziert werden, da Aufbewahrung und Vernichtung je nach Klasse unterschiedlich sind.
- Datensicherung: Sicherstellen, dass die Datensicherungen den dokumentierten Aufbewahrungs- und Wiederherstellungsregeln entsprechen.
- Datenlöschung: Sicherstellen, dass Daten gelöscht werden, sobald sie nicht mehr benötigt werden, und dass diese Löschung die Wahrscheinlichkeit der Wiederherstellung verringert.
- Sichere Entsorgung oder Wiederverwendung von Geräten: Sicherstellen, dass Speichermedien bei der Wiederverwendung oder Zerstörung keine Daten verlieren.
- Protokollierung und Überwachung: Protokolle werden so lange aufbewahrt, wie es für Sicherheit und Compliance erforderlich ist, und anschließend ordnungsgemäß entsorgt.
Für Managed Service Provider (MSPs) manifestieren sich diese Erwartungen in drei praktischen Dimensionen.
Sie bringen Datenschutzrechte, Aufbewahrungspflichten und Kundenerwartungen in Einklang, indem Sie bewusste und dokumentierte Entscheidungen zur Datenspeicherung treffen, anstatt dies den Ingenieuren oder Account Managern zu überlassen. ISO 27001 erwartet, dass Sie in Ihren Risikobewertungen, Richtlinien und Verträgen sehen, wie Sie Datenminimierung, Aufbewahrungspflichten und den instinktiven Wunsch, alles zu speichern, in Einklang bringen.
Man befindet sich oft im Spannungsfeld dreier Kräfte:
- Datenschutzgesetze und die Erwartungen der Kunden an den Datenschutz betonen die Datenminimierung und festgelegte Aufbewahrungsfristen. Aufsichtsbehörden wie das britische Information Commissioner's Office heben in ihren Leitlinien zur Aufbewahrung und Löschung von Daten ausdrücklich die Bedeutung von Speicherbegrenzung, Datenminimierung und klaren Aufbewahrungsfristen hervor.
- Branchen- und unternehmensspezifische Aufbewahrungsvorschriften, die vorschreiben, dass bestimmte Daten jahrelang aufbewahrt werden müssen.
- Kunden und Ingenieure, die standardmäßig alles behalten, weil es sich sicherer anfühlt.
ISO 27001 erwartet, dass Sie diese Spannung explizit auflösen, anstatt sie ad hoc entstehen zu lassen. Diese Auflösung sollte sichtbar sein in:
- Ihre Risikobewertung, in der Sie das Risiko der Unter- und Überretention sowie die Gründe für die gewählten Zeiträume dokumentieren.
- Richtlinien und Verfahren, die festlegen, wie lange verschiedene Kategorien von Informationen aufbewahrt und wie sie gelöscht oder archiviert werden.
- Verträge, SLAs und Datenverarbeitungsvereinbarungen, die festlegen, wer die Aufbewahrungsfristen bestimmt, wie Löschanträge bearbeitet werden und was am Ende eines Vertrags geschieht.
Sie benötigen außerdem eine klare Position zu Datenschutzrechten wie dem Recht auf Löschung. Einige Rahmenwerke erlauben die Aufbewahrung von Daten, wenn eine rechtliche Verpflichtung besteht oder diese zur Verteidigung gegen Rechtsansprüche benötigt werden, selbst wenn jemand die Löschung verlangt. ISO 27001 hebt dies nicht auf, erwartet aber, dass Sie diese Rechtsgrundlagen dokumentieren und die übermäßige Aufbewahrung von Daten als eigenständiges Risiko behandeln.
Die Normensprache in ein funktionierendes Lebenszyklusmodell umwandeln
Sie wandeln die Sprache von Standards in ein funktionierendes Lebenszyklusmodell um, indem Sie Klauseln und Kontrolllisten in eine einfache Abfolge übersetzen, die aufzeigt, wo Daten erstellt, verwendet, gespeichert, archiviert und gelöscht werden. Wenn Entwickler und Account-Teams erkennen können, an welcher Stelle dieses Lebenszyklus tatsächliche Entscheidungen getroffen werden, wird die Aufbewahrung nicht länger zu einer abstrakten Diskussion über Formulierungen, sondern zu einer konkreten Designbesprechung.
Teams verstehen Lebenszyklen viel leichter als lange Listen von Kontrollreferenzen. Wenn man die Anforderungen der ISO 27001 in einen einfachen, wiederholbaren Lebenszyklus übersetzt, wird deutlich, wo Aufbewahrungs- und Löschentscheidungen tatsächlich getroffen werden.
Ein einfacher Lebenszyklus könnte folgendermaßen aussehen:
Schritt 1 – Erstellen und Erfassen
Kundendaten gelangen zunächst über Tickets, Monitoring, Onboarding-Formulare, Remote-Sitzungen oder Integrationen in Ihre Systeme. Sie entscheiden, welche Daten erfasst und wie sie klassifiziert werden.
Schritt 2 – Nutzen und teilen
Ingenieure und Tools verarbeiten diese Daten für Support, Änderungen, Überwachung, Abrechnung oder Berichterstattung. Zugriffskontrolle und Zweckbindung sind hierbei wichtig.
Schritt 3 – Aufbewahren und schützen
Die Daten befinden sich in Live-Systemen, Protokollen, Datenbanken und Postfächern und werden in Backups, Archiven und Analysen repliziert. Aufbewahrungsfristen und Schutzmechanismen gelten.
Schritt 4 – Archivieren und einschränken
Aus rechtlichen oder geschäftlichen Gründen werden Live-Daten reduziert, zusammengefasst oder in Langzeitspeicher verschoben. Die verbleibenden Online-Daten werden bewusst verkleinert.
Schritt 5 – Löschen oder anonymisieren
Informationen, die nicht mehr benötigt werden, werden sicher gelöscht oder unwiderruflich anonymisiert, und zwar in allen primären und sekundären Kopien, einschließlich Backups und Replikaten.
Jeder Schritt ist spezifischen ISO-27001-Kontrollen sowie bestimmten Systemen und Teams zugeordnet. Sobald dieser Zusammenhang erkennbar ist, werden Diskussionen über die Datenaufbewahrung weniger abstrakt und konkreter: Welche Kontrollen gelten für welche Daten, in welcher Phase des Lebenszyklus und mit welchen Nachweisen?
Sobald Sie dieses mentale Modell entwickelt haben, besteht der nächste Schritt darin, daraus eine Standard-Aufbewahrungsrichtlinie und einen entsprechenden Zeitplan für Ihren Managed Service Provider (MSP) zu erstellen, anstatt jedem Kunden oder Produktverantwortlichen zu überlassen, seine eigenen Regeln zu erfinden.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Wie können Sie eine standardisierte Aufbewahrungsrichtlinie und einen Zeitplan entwerfen, den Ihr MSP verteidigen kann?
Sie entwickeln eine nachvollziehbare Aufbewahrungsrichtlinie für Ihren Managed Service Provider (MSP), indem Sie einen risikobasierten Zeitplan erstellen, der alle wichtigen Datenkategorien abdeckt. Dieser Zeitplan verwendet wenige Standardzeiträume mit klaren Begründungen und wird anschließend durch Richtlinien, Verantwortlichkeiten und Änderungsmanagement ergänzt. So erhalten Sie eine einheitliche Struktur, die Sie Prüfern, Kunden und Technikern verständlich erklären können – anstelle von fehleranfälligen Einzelvereinbarungen oder Dutzenden individueller Regeln, die in der Praxis nicht konsistent umsetzbar sind.
Eine nachvollziehbare Aufbewahrungsrichtlinie versucht nicht, jeden Sonderfall vorherzusehen. Sie definiert klare, an Vorschriften und Risiken gekoppelte Standardregeln und bietet eine strukturierte Vorgehensweise für den Umgang mit berechtigten Ausnahmen. Für Managed Service Provider (MSPs) bedeutet dies, einen Zeitplan und eine Richtlinie zu entwickeln, die sich über viele Dienste und Kunden erstrecken und gleichzeitig einfach zu implementieren und zu erläutern sind.
Ausgangspunkt ist ein zentraler Aufbewahrungsplan. Dies ist eine einheitliche interne Ansicht von:
- Welche Kategorien von Informationen Sie speichern, z. B. Sicherheitsprotokolle, Support-Tickets, Konfigurationsdaten, Überwachungsdaten, E-Mails, Vertragsunterlagen und Sicherungsabbilder.
- Der Zweck jeder Kategorie und ob sie personenbezogene Daten, sensible Informationen oder Aufzeichnungen mit ausdrücklichen gesetzlichen Aufbewahrungspflichten enthält.
- Die Mindest- und Höchstfristen für die Aufbewahrung sowie die Begründung (Gesetz, Vertrag, betriebliche Notwendigkeit, Risikobereitschaft).
- Was sollte am Ende dieses Zeitraums geschehen: löschen, in einem anderen Speicher archivieren, anonymisieren oder zusammenfassen?
Anstatt Hunderte von individuellen Zeiträumen zu erfinden, sind die meisten Managed Service Provider (MSPs) mit einer kleinen Anzahl von Standardzeiträumen besser bedient, wie z. B. dreißig Tage, neunzig Tage, ein Jahr, drei Jahre, sieben Jahre und „Vertragsende plus X“. Jede Kategorie wird standardmäßig einem dieser Zeiträume zugeordnet, mit dokumentierter Begründung.
Dieses Beispiel zeigt, wie eine kleine Auswahl an Bändern viele Bedürfnisse abdecken kann:
| Kategorie | Typische Band | Hauptbegründung |
|---|---|---|
| Sicherheitsprotokolle | Neunzig Tage – ein Jahr | Erkennungs- und Untersuchungsfenster |
| Support-Tickets | Drei bis sieben Jahre | Streitigkeiten und Servicehistorie |
| Konfigurationsdaten | Vertragsende plus eins | Wiederherstellung und Fehlerbehebung |
| Backups (Images) | Neunzig Tage – sieben Jahre | Rückforderung und rechtliche Verpflichtungen |
| Verträge | Sieben Jahre oder länger | Rechts- und Finanzbuchhaltung |
Dies sind Beispiele, keine Vorschriften, aber sie veranschaulichen, wie man die Anzahl der Bänder gering halten und dennoch unterschiedliche Bedürfnisse erfüllen kann. Wichtig ist, dass jede Periode einen klaren Zweck hat und begründet werden kann.
Von der Terminplanung über die Richtlinien bis hin zur Eigentumsfrage
Sie machen einen Aufbewahrungsplan zu etwas, das Ihr Managed Service Provider (MSP) selbst verwalten kann, indem Sie ihn mit Richtlinien, klaren Verantwortlichkeiten und einfachen Workflows zum Abstimmen und Ändern von Regeln umgeben. Ohne diese Rahmenbedingungen wird selbst ein gut durchdachter Plan mit der Zeit an seine Grenzen stoßen, und die Techniker werden stillschweigend wieder zur alten Vorgehensweise zurückkehren: „Alles aufbewahren“.
Ihre Aufbewahrungs- und Löschrichtlinie sollte Folgendes enthalten:
- Nennen Sie die Grundsätze, die Sie befolgen: Minimierung, Zweckbindung, Sicherheit, Einhaltung gesetzlicher Bestimmungen und Transparenz gegenüber dem Kunden.
- Weisen Sie ausdrücklich auf den Zeitplan als maßgebliche Quelle der Aufbewahrungsregeln hin und beschreiben Sie, wie dieser gepflegt wird.
- Ordnen Sie diese Regeln den Anforderungen der ISO 27001 und allen anderen Rahmenwerken zu, an die Sie sich angeblich halten.
- Verpflichten Sie sich zu sicheren Löschmethoden und verlängern Sie die Aufbewahrungsfrist nur nach einem formellen Entscheidungsprozess.
Ebenso wichtig ist die Festlegung, wer für den Terminplan verantwortlich ist. Bei vielen Managed Service Providern (MSPs) ist dies eine gemeinsame Verantwortung, aber jemand muss klar die Zuständigkeit haben.
Man kann Eigentumsverhältnisse anhand einer einfachen Darstellung wie dieser erklären:
| Rollen | Hauptverantwortung |
|---|---|
| Leiter Sicherheit/Compliance | Übereinstimmung mit Standards, Gesetzen und Risikobereitschaft |
| Operationen führen | Technische Implementierung über verschiedene Tools und Plattformen hinweg |
| Account-/Rechtsteams | Kommerzielle und vertragliche Auswirkungen der Entscheidungen zur Kundenbindung |
| Führung/Vorstand | Genehmigung wesentlicher Änderungen und Risikoabwägungen |
Änderungen von Aufbewahrungsfristen oder kundenspezifische Ausnahmen sollten einem einfachen Workflow folgen: Vorschlag, Folgenabschätzung, Risikobewertung, Genehmigung, Implementierung und Nachweisführung. Eine ISMS-Plattform wie ISMS.online unterstützt Sie dabei, indem sie Richtlinien und Zeitpläne speichert, Genehmigungen nachverfolgt, jede Regel mit Risiken und Kontrollen verknüpft und einen transparenten Prüfpfad für interne und externe Prüfer bereitstellt.
Die unübersichtliche Realität unstrukturierter Daten abdecken
Sie begegnen der komplexen Realität unstrukturierter Daten, indem Sie E-Mails, Chats, gemeinsame Laufwerke und persönliche Arbeitsbereiche als gleichwertige Datenquellen in Ihrem Aufbewahrungsplan behandeln und nicht vernachlässigen. Das bedeutet, einfache Regeln zu definieren, die Ihre Plattformen durchsetzen können, Entwicklern und Account-Teams deren Verständnis zu erleichtern und realistische Szenarien zu testen. So können Sie erklären, was mit unstrukturierten Daten geschieht, wenn Kunden das Unternehmen verlassen, Aufsichtsbehörden Ermittlungen einleiten oder Einzelpersonen ihr Recht auf Löschung ausüben.
Unstrukturierte Daten bringen einen ansonsten übersichtlichen Zeitplan oft durcheinander. E-Mails, Chats, gemeinsam genutzte Laufwerke und persönliche Arbeitsbereiche können große Mengen an Kundeninformationen enthalten, die selten durch formale Aufbewahrungsregeln abgedeckt sind.
Um Ihren Zeitplan und Ihre Strategie wirklich vertretbar zu gestalten, sollten Sie Folgendes tun:
- Unstrukturierte Speicher sollten im Zeitplan als erstklassige Datenquellen behandelt werden, nicht als nachträgliche Überlegung.
- Definieren Sie Aufbewahrungsregeln, die mit den Funktionen Ihrer gewählten Plattformen kompatibel sind, z. B. die Aufbewahrung von Nachrichten in Kollaborationstools oder die Archivierung und anschließende Löschung älterer E-Mails.
- Seien Sie realistisch in Bezug darauf, was Ingenieure und Account-Teams befolgen können; übermäßig komplexe Regeln in diesem Bereich werden wahrscheinlich ignoriert.
Bevor Sie den Entwurf als abgeschlossen erklären, sollten Sie einige realistische Szenarien durchspielen:
- Ein langjähriger Kunde verlässt das Unternehmen und bittet Sie um eine Erklärung, was wann gelöscht, was archiviert und was aus rechtlichen Gründen aufbewahrt werden muss.
- Eine Aufsichtsbehörde untersucht einen Vorfall, der einen bestimmten Kunden betrifft, und fragt, wie weit man zurückblicken darf und warum.
- Die betroffene Person kann ihr Recht auf Löschung ausüben, und Sie müssen nachweisen, wo ihre Daten gespeichert waren und was Sie diesbezüglich unternommen haben.
Wenn Ihr Zeitplan und Ihre Richtlinien in solchen Szenarien klare und glaubwürdige Antworten liefern können, sind Sie bereit, das Modell an unterschiedliche SLAs von Kunden anzupassen, ohne die Kontrolle abzugeben.
Klare Grenzen verwandeln unübersichtliche Datengewohnheiten in überschaubare, nachvollziehbare Praktiken.
Wie können Sie Ihr Standardmodell an unterschiedliche SLAs Ihrer Kunden anpassen, ohne die Kontrolle zu verlieren?
Sie passen Ihr Standard-Kundenbindungsmodell an die unterschiedlichen SLAs Ihrer Kunden an, indem Sie einen kleinen Katalog vordefinierter Optionen anbieten, die alle auf Ihren Masterplan abgestimmt sind, anstatt in jedem Vertrag individuelle Zahlen auszuhandeln. So können Vertrieb und Kundenbetreuung flexibel auf die jeweiligen Branchenbedürfnisse reagieren, während Betrieb und Sicherheit weiterhin ein einheitliches Lebenszyklusmodell verfolgen. Außerdem vermeiden Sie Kundenbindungsversprechen, die Sie realistischerweise nicht einhalten können.
Der Bericht „State of Information Security 2025“ zeigt, dass Kunden zunehmend erwarten, dass Lieferanten sich an formalen Rahmenwerken wie ISO 27001, ISO 27701, DSGVO oder SOC 2 orientieren, anstatt sich auf allgemeine bewährte Verfahren zu verlassen.
Kunden-SLAs und -Verträge sind der Punkt, an dem Ihre internen Vorgaben auf externe Erwartungen treffen. Wenn jeder neue Vertrag individuelle Kundenbindungszusagen erfordert, wird Ihr Zeitplan schnell undurchführbar. Die Lösung: Präsentieren Sie Ihr Standardmodell mit wenigen, klaren Optionen und legen Sie die geteilten Verantwortlichkeiten explizit fest.
Anstatt Vertrieb oder Kunden willkürliche Zahlen festlegen zu lassen, erstellen Sie einen Katalog mit Kundenbindungsoptionen für wichtige Serviceelemente:
- Für Protokolle: dreißig, neunzig oder dreihundertfünfundsechzig Tage Online-Sicherheitsprotokolle, mit vereinbarten Archivierungsoptionen.
- Für Backups: Tägliche Backups für neunzig Tage, monatliche Images für zwölf Monate und jährliche Images für sieben Jahre für regulierte Kunden.
- Für Ticketdaten gilt standardmäßig eine Gültigkeitsdauer von drei Jahren, in Sektoren mit längeren Streitbeilegungsfristen sind längere Zeiträume vorgesehen.
- Für gehostete Anwendungsdaten: Vertragslaufzeit zuzüglich einer kurzen Kulanzfrist.
Jede Option lässt sich nahtlos einem Band in Ihrem Zeitplan zuordnen. Die Vertriebsteams können die Vor- und Nachteile erläutern, und die operativen Teams wissen genau, wie sie diese umsetzen.
Gemeinsame Verantwortlichkeiten sichtbar machen
Sie machen geteilte Verantwortlichkeiten transparent, indem Sie klar definieren, wer die Aufbewahrungsfrist festlegt, wer Löschungen veranlasst und wer rechtliche Sperren anordnen kann, anstatt davon auszugehen, dass alle dasselbe Verständnis haben. Klare Rollenverteilung zwischen Ihnen, Ihren Kunden und allen Drittanbietern verhindert unangenehme Überraschungen bei der Ablösung von Daten, Untersuchungen oder Audits.
Die Verantwortlichkeiten für Aufbewahrung und Löschung werden oft eher angenommen als schriftlich festgehalten. Das führt zu Konflikten, wenn ein Kunde erwartet, dass Daten gelöscht sind, diese aber noch in Backups vorhanden sind, oder wenn er davon ausgeht, dass Protokolle länger aufbewahrt werden, als Ihre Tools es zulassen.
Die Verwendung eines einfachen RACI-Modells (Verantwortlich, Rechenschaftspflichtig, Beratend, Informiert) kann dies verhindern. Für jede wichtige Aktivität, wie z. B. die Festlegung einer Aufbewahrungsfrist, die Genehmigung oder Ablehnung eines Löschantrags, die Durchführung einer Datenlöschung zum Vertragsende oder die Anordnung einer rechtlichen Sperre für Daten, können Sie Folgendes festlegen:
- Wofür Sie verantwortlich sind, z. B. für die Konfiguration von Tools, die Pflege von Backups, die Durchführung von Löschvorgängen und die Bereitstellung von Nachweisen.
- Wofür der Kunde verantwortlich ist, z. B. die Entscheidung, wie lange er bestimmte Aufzeichnungen aufbewahren möchte, und die schriftliche Anweisung an Sie, diese zu löschen oder aufzubewahren.
- Wenn die Verantwortung geteilt wird, beispielsweise wenn Sie die Fähigkeiten bereitstellen, der Kunde aber entscheidet, wie diese angewendet werden.
- Was Drittanbieter tun und wo Ihre Aufsichtspflichten beginnen und enden.
Diese Modelle sollten nicht nur in internen Dokumenten existieren. Sie sollten in Rahmenverträgen, SLAs und Datenverarbeitungsvereinbarungen verankert sein. Klare, standardisierte Formulierungen zum Umgang mit Daten am Ende der Servicezeit, zu Löschfristen, zur Unterstützung bei der Migration und zu den Erwartungen an Nachweise machen den Offboarding-Prozess vorhersehbarer und deutlich weniger konfliktträchtig.
Sie sollten auch ehrlich darüber sein, was Ihre Plattformen leisten können und was nicht. Die Zusage einer punktgenauen Wiederherstellung für zehn Jahre an Backups, wenn Ihre Tools und Ihr Budget nur drei Jahre unterstützen, ist nicht nur ein kommerzielles Risiko; gemäß ISO 27001 stellt es ein Problem hinsichtlich der Gestaltung und Wirksamkeit von Kontrollmechanismen dar.
Kunden bei der Auswahl unterstützen und Abwägungen dokumentieren
Sie unterstützen Mandanten bei der Auswahl von Aufbewahrungsoptionen und der Dokumentation von Abwägungen, indem Sie in verständlicher Sprache erläutern, was die einzelnen Vorgehensweisen für Untersuchungen, Datenschutz, Kosten und Vertragsrisiken bedeuten. Dadurch verschiebt sich der Fokus von der Frage „Wählen Sie eine Zahl“ hin zur Frage „Wählen Sie ein Ergebnis“ und Sie erhalten schriftliche Entscheidungen, auf die Sie bei Vorfällen, Audits und Vertragsverlängerungen zurückgreifen können.
Kunden kommen selten mit einem vollständigen Überblick über ihren Bedarf an Kundenbindungsmaßnahmen. Sie schaffen echten Mehrwert, indem Sie ihnen helfen, die Auswirkungen verschiedener Optionen zu verstehen und diese Entscheidungen klar zu dokumentieren, sodass sie nicht bei jedem Vorfall oder jeder Prüfung erneut aufgegriffen werden müssen.
Sie können gute Entscheidungen unterstützen, indem Sie:
- Eine einfache Erklärung, was die verschiedenen Optionen für Ermittlungen, Datenschutz und Kosten bedeuten.
- Wir helfen unseren Kunden, branchenspezifische Anforderungen frühzeitig im Verkaufsprozess zu formulieren, damit Sie diese realistischen Mustern zuordnen können.
- Die gewählten Optionen und deren Begründung zu dokumentieren, nicht nur die Zahlen.
Ein Kunde aus dem Finanzdienstleistungssektor könnte sich beispielsweise für eine längere Aufbewahrung von Protokollen und Tickets entscheiden, um Betrugsermittlungen zu unterstützen, während ein Kunde aus dem Gesundheitstechnologiebereich bestimmte Daten möglicherweise aggressiver löscht, um das Datenschutzrisiko zu minimieren. Beide Optionen lassen sich in Ihr System integrieren, sofern sie bewusst getroffen, dokumentiert und technisch umsetzbar sind.
Sobald Sie diese Muster erkannt haben, können Sie Ihre Tools und Prozesse darauf ausrichten. Das ist der nächste Schritt: sicherzustellen, dass Backup-, Protokollierungs- und Kollaborationsplattformen die Vorgaben Ihrer Verträge und Richtlinien auch tatsächlich umsetzen.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Wie bringen Sie Backups, Protokolle und gehostete Anwendungen in Einklang mit Ihrem Aufbewahrungsmodell?
Sie richten Backups, Protokolle und gehostete Anwendungen an Ihrem Aufbewahrungsmodell aus, indem Sie jeden Eintrag in Ihrem Zeitplan in konkrete Einstellungen, Skripte und Workflows auf den Systemen umsetzen, die Kundendaten enthalten, und diese Konfigurationen anschließend im Zeitverlauf überwachen. Ziel ist es, dass Ihre Tools Ihre gewählten Aufbewahrungsintervalle widerspiegeln und nicht deren Standardeinstellungen. Sie können diese Ausrichtung gegenüber Auditoren oder Kunden nachweisen, indem Sie darlegen, wie Richtlinien, Verträge und ISO-27001-Kontrollen in realen Konfigurationen umgesetzt werden.
Ein Zeitplan und SLA-Muster sind wenig wert, wenn die Systeme, die Ihre Daten speichern, anders funktionieren. Für Managed Service Provider (MSPs) besteht die größte Herausforderung oft darin, das Modell in Einstellungen, Skripte und Workflows für eine heterogene Tool-Landschaft zu übersetzen.
Datensicherungen haben in der Regel höchste Priorität. Früher behandelten viele Managed Service Provider (MSPs) Backup-Systeme als Speicher, die einmalig beschrieben und dann unbegrenzt erweitert werden konnten. Unter ISO 27001 und den heutigen Datenschutzbestimmungen ist dies nicht mehr tragbar. Sowohl die Kommentare zu ISO 27001/27002 als auch Diskussionen über Datenminimierung und Speicherbegrenzung im Zusammenhang mit Datenschutzstandards weisen darauf hin, dass eine unbegrenzte Aufbewahrung von Backups nur schwer zu rechtfertigen ist, sofern keine eindeutige rechtliche oder vertragliche Verpflichtung besteht.
Sie müssen für jeden Sicherungsdatensatz entscheiden:
- Wie oft Sie Kopien anfertigen und in welcher Detailgenauigkeit.
- Wie viele Versionen Sie aufbewahren und wie lange Sie diese aufbewahren.
- Wenn Daten abgelaufen sind oder aus primären und sekundären Sicherungsspeichern entfernt wurden.
- Ob Verschlüsselungsschlüssel zerstört werden können, um alte Daten unzugänglich zu machen.
Diese Entscheidungen müssen in den Backup-Richtlinien berücksichtigt werden und dürfen nicht einfach den Standardeinstellungen überlassen werden. Sie sollten mit den Wiederherstellungszielen und den rechtlichen Anforderungen übereinstimmen, und Sie sollten Prüfern und Kunden nachweisen können, wo diese Einstellungen gespeichert sind und wie Sie sie überwachen.
Protokolle und Archive in den Griff bekommen
Sie behalten die Kontrolle über Protokolle und Archive, indem Sie diese klassifizieren, realistische Aufbewahrungsfristen festlegen und Ihre Protokoll- und Archivierungstools zur Umsetzung und Überwachung dieser Entscheidungen nutzen. Protokolle, die einst harmlos erschienen, können zu erheblichen Datenschutz- und Speicherrisiken werden, wenn sie unbegrenzt aufbewahrt werden. Daher sollten sie dem gleichen Zeitplan wie alle anderen Daten unterliegen und nicht isoliert gespeichert werden.
Protokolldateien stellen eine häufige Falle dar. Sicherheitsteams benötigen oft lange Speicherfenster, um Bedrohungen aufzuspüren und auf Vorfälle reagieren zu können. Datenschutz- und Risikoteams achten darauf, identifizierbare Daten nicht länger als nötig zu speichern. Speicher- und Performance-Teams sorgen sich um Datenvolumen und Kosten.
Der Weg hindurch ist folgender:
- Protokolle sollten nach Zweck und Vertraulichkeit klassifiziert werden. Ein Authentifizierungsprotokoll unterscheidet sich von einem ausführlichen Debug-Protokoll.
- Legen Sie Aufbewahrungsfristen fest, die den tatsächlich benötigten Zeiträumen für Erkennung, Untersuchung und Compliance entsprechen, und untermauern Sie diese Entscheidungen mit Risikobewertungen. Für einige Managed Service Provider (MSPs) kann dies mehrere Monate für Sicherheitsereignisse und kürzere Zeiträume für große Mengen an Debug-Daten bedeuten.
- Verwenden Sie Log-Management- oder Security-Information- und Event-Management-Tools, um diese Zeiträume zu implementieren und Daten zusammenzufassen oder zu anonymisieren, wenn eine detaillierte Historie nicht mehr erforderlich ist.
Archive, ob für Post, Tickets oder Bilder, benötigen ebenfalls besondere Aufmerksamkeit. Archivsysteme können leicht zu einem langfristigen Datenspeicher werden, den niemand zu löschen wagt. Um sie in den Planungsprozess einzubeziehen, müssen folgende Punkte definiert werden:
- Was eignet sich zur Archivierung anstatt zur direkten Löschung?
- Wie lange Archive aufbewahrt werden und in welchem Format.
- Wie Archive geschützt werden und wer Zugang zu ihnen hat.
- Wie Löschung oder Anonymisierung am Lebensende aussieht.
Die Dokumentation dieser Antworten in Ihrem ISMS und deren Verknüpfung mit Kontrollen und Risiken erleichtert die Gespräche mit Wirtschaftsprüfern und Kunden erheblich.
Umgang mit Mandantenfähigkeit und Cloud-Umgebungen
Sie bewältigen die Anforderungen von Mandanten- und Cloud-Umgebungen, indem Sie logische Trennungs- und Löschmuster entwickeln, die den technischen Gegebenheiten entsprechen, und diese Muster anschließend in Ihren Verträgen und Datenschutzhinweisen klar erläutern. Auch wenn Sie die Daten eines einzelnen Kunden möglicherweise nicht jederzeit physisch isolieren können, lassen sich berechtigte Erwartungen durch die Verwendung von Mandantenkennungen, Verschlüsselung und zeitlich begrenzter Aggregation dennoch erfüllen.
Viele Managed Service Provider (MSPs) bieten ihre Dienste auf Multi-Tenant-Plattformen an: Log-Aggregatoren, die Ereignisse vieler Kunden zusammenführen, Backup-Systeme, die Images nebeneinander speichern, und Cloud-Dienste, die Mandantendaten gemeinsam verwalten. Dies wirft schwierige Fragen auf, wenn ein einzelner Kunde das Unternehmen verlässt oder seine Rechte an seinen Daten geltend macht.
Sie können diese Gegebenheiten bewältigen, indem Sie:
- Die Gestaltung logischer Trennungen, wie z. B. Mandantenkennungen für Protokolle und Daten, ermöglicht es, die Informationen eines einzelnen Kunden zu filtern und zu isolieren.
- Auswahl von Löschverfahren, die den Anforderungen von Multi-Tenant-Systemen gerecht werden, z. B. die Vernichtung von Schlüsseln für verschlüsselte Datensätze oder das Entfernen von Mandantenkennungen aus aggregierten Protokollen nach einer bestimmten Zeitspanne.
- In Verträgen und Datenschutzhinweisen sollte klar angegeben werden, was aus gemeinsam genutzten Umgebungen gelöscht werden darf und was nicht.
Es ist außerdem wichtig, Aufbewahrungsrichtlinien in Ihren Änderungsmanagementprozess zu integrieren. Bei der Aktualisierung von Tools oder der Anpassung von Konfigurationen sollte überprüft werden, ob die Aufbewahrung von Protokollen, Backups und Archiven weiterhin Ihrem Zeitplan entspricht. Andernfalls kann die mühsam erreichte Übereinstimmung mit der Zeit unbemerkt verloren gehen.
Sobald Ihre Systeme Ihre Aufbewahrungsregeln widerspiegeln, können Sie glaubwürdig über sicheres Löschen sprechen: nicht nur über das Löschen eines Datensatzes, sondern auch darüber, sicherzustellen, dass er unwiederbringlich gelöscht wird, wenn dies der Fall sein soll, ohne die Wiederherstellungsversprechen zu untergraben.
Wie kann man Daten sicher löschen, ohne die Wiederherstellungsversprechen zu verletzen?
Sie erreichen eine sichere Löschung, ohne die Wiederherstellung zu beeinträchtigen, indem Sie genehmigte Methoden für Live-Systeme, Datenträger und Backups definieren und diese mit Ihrem Aufbewahrungsplan und Ihren Wiederherstellungszielen abstimmen. In der Praxis bedeutet dies in der Regel die Kombination von Löschung auf Anwendungsebene, Datenträgerbereinigung und – bei verschlüsselten Backups – Schlüsselvernichtung mit klaren Regeln für die Anwendung der einzelnen Methoden, deren Autorisierung und den Nachweis, dass gelöscht tatsächlich unwiederbringlich ist.
Die sichere Löschung für einen Managed Service Provider (MSP) ist keine einzelne Methode oder Technik, sondern eine Reihe von Vorgehensweisen, die gemeinsam dafür sorgen, dass Informationen nach Ablauf ihrer Frist unwiederbringlich gelöscht werden können, während gleichzeitig die Möglichkeit erhalten bleibt, das wiederherzustellen, was Kunden berechtigterweise erwarten.
Die richtige Herangehensweise variiert je nach Medium und Kontext:
- In Live-Systemen: Löschen oder Anonymisieren von Datensätzen in Anwendungen und Datenbanken gemäß Ihrem Zeitplan, mit Audit-Trails.
- Bei Speichermedien durch sicheres Überschreiben, kryptografisches Löschen oder physische Zerstörung vor Wiederverwendung oder Entsorgung.
- Bei Backups und Replikaten werden Daten gemäß Aufbewahrungsrichtlinien gelöscht oder Schlüssel vernichtet, die ältere verschlüsselte Datensätze unlesbar machen.
Für jeden wichtigen Datentyp und Speichertyp, den Sie verarbeiten, sollten Sie festlegen, welche Methoden in welchen Situationen zulässig sind und wer diese autorisieren kann. Diese Definitionen sollten in Ihrem Informationssicherheitsmanagementsystem (ISMS) neben anderen betrieblichen Verfahren verankert und gegebenenfalls in Verträgen berücksichtigt werden.
Der Beweis dafür, dass gelöscht wirklich weg bedeutet
Sie beweisen, dass Löschung tatsächlich „weg“ bedeutet, indem Sie Ihre Prozesse testen, die Ergebnisse dokumentieren und deren Bezug zu Ihren Aufbewahrungsvorschriften und rechtlichen Verpflichtungen aufzeigen. Kunden und Wirtschaftsprüfer fragen zunehmend nicht nur nach dem Inhalt Ihrer Löschverfahren, sondern auch nach deren Wirksamkeit. Berufsverbände und Branchenleitfäden zur sicheren Datenlöschung betonen daher, dass neben dokumentierten Verfahren auch die praktische Überprüfung der technischen Wirksamkeit der Löschung unerlässlich ist, beispielsweise durch Tests von Löschmethoden an repräsentativen Systemen.
Kunden und Wirtschaftsprüfer fragen zunehmend nicht nur, was in Ihren Löschverfahren steht, sondern auch, ob sie funktionieren.
Sie können Ihr Selbstvertrauen stärken, indem Sie:
- Durchführung von Löschtests auf repräsentativen Systemen und Backup-Sets. Beispielsweise werden Daten für einen Testdatensatz gelöscht und anschließend das Fehlen in Anwendungen, Berichten und Backups nach dem vorgesehenen Zeitpunkt überprüft.
- Der Nachweis, dass Backup-Rotation, Ablaufdatum und Schlüsselverwaltung wie vorgesehen funktionieren, auch für unveränderliche und externe Kopien.
- Die durchgeführten Tests, die Ergebnisse und etwaige Korrekturmaßnahmen sollten im Rahmen des internen Auditprogramms dokumentiert werden.
Es ist außerdem unerlässlich, die Aufbewahrung von Daten gemäß rechtlichen Bestimmungen zu integrieren. Es wird Situationen geben, in denen Sie die Löschung für einen bestimmten Mandanten, eine Einzelperson oder einen Datensatz aufgrund von Rechtsstreitigkeiten, Ermittlungen oder behördlichen Anweisungen aussetzen müssen. Ihr ISMS, Ihr Ticketsystem und Ihre Datensicherungssysteme sollten Folgendes unterstützen:
- Daten oder Kunden als gesperrt kennzeichnen.
- Verhindert die automatische Löschung dieser Bereiche, solange die Sperre aktiv ist.
- Protokollierung, wer die Sperrung genehmigt hat, warum und wie lange.
- Nach Ablauf der Sperrfrist werden die normale Aufbewahrung und Löschung wieder aufgenommen.
Ohne diese Integration sind die Ingenieure auf Improvisation angewiesen, und es kann leicht passieren, dass Beweismittel unbeabsichtigt gelöscht oder unkontrolliert und weit über das ursprünglich Beabsichtigte hinaus aufbewahrt werden.
Ingenieuren praktische Anleitungen geben
Sie geben Ingenieuren praktische Anleitungen, indem Sie Ihre Aufbewahrungs- und Löschregeln in klare, systemspezifische Handbücher und Checklisten für häufige Aufgaben umwandeln, insbesondere bei Ereignissen wie der Ablösung eines Kunden oder der Stilllegung eines Systems. Ohne diesen Detaillierungsgrad werden selbst gute Richtlinien uneinheitlich angewendet, und Sie können Prüfern die Arbeitsabläufe nicht ohne Weiteres nachvollziehen.
Richtlinien und Risikobewertungen sind notwendig, aber sie sagen einem Ingenieur nicht, was er am Montagmorgen anklicken soll.
Um eine sichere Löschung zu gewährleisten, sollten Sie Folgendes bereitstellen:
- Klare Handlungsanweisungen für häufige Aufgaben, wie z. B. die Außerbetriebnahme eines Servers, das Löschen eines für den Remote-Support verwendeten Laptops, das Entfernen eines Clients von einer Überwachungsplattform oder das Löschen eines Mandanten aus einem Backup-System.
- Toolspezifische Anleitungen, die berücksichtigen, dass verschiedene Backup- oder Cloud-Plattformen unterschiedliche Funktionen bieten und dass „Löschen“ nicht immer das ist, was es scheint.
- Einfache Checklisten für die Aktivitäten zum Vertragsende, damit die Ingenieure genau wissen, welche Schritte sie systemübergreifend durchführen müssen und wie sie die Fertigstellung dokumentieren.
Eine kurze, wiederholbare Checkliste für die Löschung zum Vertragsende könnte wie folgt aussehen:
Schritt 1 – Systeme im Geltungsbereich identifizieren
Listen Sie alle Plattformen, Backups und Archive auf, die die Daten des Kunden enthalten, einschließlich gemeinsam genutzter und mandantenfähiger Tools.
Schritt 2 – Vereinbarte Löschungen ausführen
Wenden Sie die konfigurierten Lösch- oder Anonymisierungsschritte in jedem System gemäß Ihren genehmigten Runbooks an.
Schritt 3 – Abwesenheiten und Ausnahmen prüfen
Vergewissern Sie sich, dass die Daten nicht mehr in den Live-Systemen vorhanden sind und dass alle vorhandenen Kopien klar dokumentiert sind.
Schritt 4 – Nachweise und Genehmigungen erfassen
Protokollieren Sie Tickets, Berichte und Genehmigungen, damit Sie nachweisen können, was wann und von wem erledigt wurde.
Diese Runbooks können in Ihrer ISMS-Plattform zusammen mit den zugehörigen Richtlinien und Aufbewahrungsfristen gespeichert werden. So haben Sie bei Regelaktualisierungen oder Tool-Änderungen einen zentralen Ort zur Prozessverwaltung und können Prüfern transparent darlegen, wie die Mitarbeiter die erforderlichen Maßnahmen umsetzen.
Nachdem die sichere Löschung betrieblich integriert wurde, besteht das letzte Puzzleteil darin, überzeugend und ohne Panik nachweisen zu können, dass Ihr Aufbewahrungs- und Löschverfahren funktioniert, wenn Kunden oder Wirtschaftsprüfer danach fragen.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Wie weisen Sie gegenüber Wirtschaftsprüfern und Kunden Ihre Aufbewahrungs- und Löschprozesse nach?
Sie belegen Ihre Aufbewahrungs- und Löschprozesse, indem Sie einen klaren Zusammenhang zwischen Absicht und Umsetzung aufzeigen: dokumentierte Richtlinien und Zeitpläne, abgestimmt auf die ISO 27001-Kontrollen und Kundenzusagen, untermauert durch Konfigurationen, Tickets und Prüfungen, die Ihre Zusagen dokumentieren. Auditoren und Kunden erwarten Kohärenz, Offenheit und den Nachweis, dass Sie aus Fehlern lernen – keine Illusion von Perfektion.
Rund 41 % der Organisationen gaben in der ISMS.online-Umfrage 2025 an, dass das Management von Drittparteirisiken und die Überwachung der Lieferantenkonformität zu ihren größten Herausforderungen im Bereich der Informationssicherheit gehören.
Bei ISO 27001 und anspruchsvollen Kundenaudits wird selten Perfektion verlangt; vielmehr wird Systematik, Risikobewusstsein und Ehrlichkeit im Umgang mit Schwächen gefordert. Die Erläuterungen der ISO selbst beschreiben die Norm als risikobasiertes Management-Framework, das auf kontinuierlicher Verbesserung beruht und keine fehlerfreie Kontrollleistung verlangt – eine Erwartung, die dieser Vorstellung entspricht.
Der Nachweis Ihres Datenlebenszyklusmodells besteht darin, zu demonstrieren, dass Sie einen Plan haben, dass Sie ihn umsetzen und dass Sie ihn überwachen und verbessern.
Ein gutes Beweismaterial für die Aufbewahrung und Löschung enthält typischerweise Folgendes:
- Richtlinien und Standards für den Informationslebenszyklus, die Aufbewahrung, Löschung, Datensicherung und Entsorgung.
- Der Aufbewahrungsplan und alle dokumentierten Ausnahmen.
- Beispiele für Systemkonfigurationen, die die Aufbewahrungseinstellungen in wichtigen Tools zeigen.
- Aufzeichnungen über Löschanträge, Aktivitäten zum Vertragsende und Datenträgervernichtung.
- Ergebnisse interner Tests oder Audits, einschließlich der festgestellten Befunde und der eingeleiteten Korrekturmaßnahmen.
Ziel ist es nicht, Prüfer oder Kunden mit Screenshots zu überhäufen. Vielmehr soll ein klarer Überblick über die Intention (Richtlinien und Risikobewertung), die Gestaltung (Zeitplan und SLAs), den Betrieb (Einstellungen und Tickets) und die Überwachung (Kennzahlen und Überprüfungen) geschaffen werden.
Die Lebenszyklussteuerung innerhalb Ihres MSP transparent machen
Sie machen die Verwaltung des Datenlebenszyklus in Ihrem Managed Service Provider (MSP) transparent, indem Sie Aufbewahrung und Löschung als fortlaufenden Verwaltungsprozess und nicht als hektische Vorbereitung auf ein Audit behandeln. Wenn Führungskräfte, Auditoren und Kunden die Kennzahlen zum Datenlebenszyklus neben anderen Sicherheitsindikatoren sehen, verstehen sie, dass die Daten während ihres gesamten Lebenszyklus bei Ihnen verwaltet werden, nicht nur zum Zeitpunkt der Zertifizierung.
Sie können die Steuerung des Lebenszyklus in den normalen Managementrhythmus integrieren, indem Sie:
- Erstellung einfacher Dashboards oder Berichte, die aufzeigen, welche Systeme mit dem Aufbewahrungsplan übereinstimmen, wo Ausnahmen bestehen und wo Maßnahmen überfällig sind.
- Es empfiehlt sich, einige wenige aussagekräftige KPIs zu verfolgen, wie beispielsweise die Bearbeitungszeit von Löschanfragen, den Anteil der Systeme mit verifizierten Aufbewahrungseinstellungen oder die Anzahl der Vorfälle im Zusammenhang mit der Aufbewahrung. Beispielsweise könnte man anstreben, dass mehr als 95 % der relevanten Systeme über eine jährlich bestätigte Aufbewahrungskonfiguration verfügen.
- Die Einbeziehung von Lebenszyklusthemen in Managementbewertungen neben anderen ISO 27001-Kennzahlen, Vorfällen und der Kontrollleistung.
Dies bereitet Sie nicht nur besser auf externe Prüfungen vor, sondern erleichtert auch die Rechtfertigung von Lager- und Werkzeugkosten, da Sie der Führungsebene genau aufzeigen können, welche Aufbewahrungsentscheidungen getroffen wurden und welche Kosten für deren Einhaltung anfallen.
Es bietet Ihnen auch eine überzeugende Argumentation gegenüber Ihren Kunden: Sie behandeln ihre Daten nicht als Nebensache, sondern als ein während ihrer gesamten Lebensdauer bei Ihnen verwaltetes Gut.
Erkenntnisse wiederverwenden und Feedback geben
Sie reduzieren Ihren Aufwand und verbessern Ihre Kontrollen, indem Sie Audit- und Kundenfragen als Chancen zur Optimierung Ihrer Nachweisgrundlagen und Ihres Lebenszyklusmodells begreifen, anstatt sie als einmalige Aufgaben zu behandeln. Wiederverwendung und Feedback sind der Punkt, an dem das Versprechen der kontinuierlichen Verbesserung gemäß ISO 27001 sichtbar wird und an dem Sie Ihren Kunden zeigen können, dass ihr Feedback Ihre Arbeitsweise verändert.
Mit einer sorgfältig zusammengestellten Sammlung von Dokumenten und Berichten können Sie Kundenfragebögen und Audits deutlich effizienter beantworten. Anstatt die Materialien jedes Mal von Grund auf neu zusammenzustellen, können Sie:
- Bitte stellen Sie standardisierte, redigierte Beispiele für Löschtickets, Zertifikate zur Medienvernichtung und Konfigurationsexporte bereit.
- Erläutern Sie Ihr Lebenszyklusmodell und Ihren Zeitplan und zeigen Sie, wie es auf die Dienstleistungen dieses Kunden Anwendung findet.
- Zeigen Sie auf, welche Verbesserungen Sie in letzter Zeit aufgrund von gewonnenen Erkenntnissen, Prüfungsergebnissen oder Kundenfeedback erzielt haben.
Kontinuierliche Verbesserung ist in der ISO 27001 nicht nur ein Slogan; sie ist eine echte Stärke, wenn Kunden sehen, dass man ihre Anliegen und regulatorischen Änderungen ernst nimmt und diese in Aktualisierungen der Kontrollen widerspiegelt.
Eine ISMS-Plattform wie ISMS.online kann dies erheblich vereinfachen, indem sie:
- Es dient als zentrale Anlaufstelle für Ihre Richtlinien, Aufbewahrungsfristen, Risiken, Kontrollzuordnungen, internen Audits und Maßnahmenpläne.
- Durch die Verknüpfung einzelner Beweismittel mit Kontrollen und Klauseln können Sie schnell zielgerichtete Pakete für verschiedene Zielgruppen zusammenstellen.
- Wir bieten einfache Berichts- und Überprüfungstools, mit denen Sie sowohl internen als auch externen Stakeholdern zeigen können, wie sich Ihr Aufbewahrungs- und Löschansatz im Laufe der Zeit entwickelt.
Wenn Sie diese Geschichte erst einmal klar erzählen können, ist die Verlagerung Ihrer Prozesse auf eine dedizierte ISMS-Plattform kein Luxus mehr, sondern ein praktischer nächster Schritt, um bei Ihrem Wachstum alles aufeinander abzustimmen.
Buchen Sie noch heute eine Demo mit ISMS.online
ISMS.online unterstützt Sie dabei, Ihre Datenaufbewahrung und -löschung von einer unstrukturierten Sammlung von Gewohnheiten in ein einheitliches, auditierbares System zu überführen, das ISO 27001 und anspruchsvolle SLAs Ihrer Kunden erfüllt. Wenn Sie bereit sind, Tabellenkalkulationen und Ad-hoc-Handbücher hinter sich zu lassen, zeigt Ihnen eine kurze Demo, wie Ihre aktuellen Vorgehensweisen in ein Lebenszyklusmodell integriert werden können, das gegenüber Auditoren und Kunden leichter zu begründen ist.
Innerhalb der Plattform können Sie Ihre Richtlinien zum Informationslebenszyklus dokumentieren, Ihren Master-Aufbewahrungsplan definieren und ihn den Kontrollen gemäß Anhang A, rechtlichen Verpflichtungen und Kundenzusagen zuordnen. Sie können Verantwortlichkeiten zuweisen, Genehmigungen für Ausnahmen erfassen und jede Entscheidung mit den betroffenen Risiken und Kontrollen verknüpfen. Aufgaben und Workflows ermöglichen die Koordination von Aufbewahrungs- und Löschvorgängen zwischen Service Desk, Betrieb und Sicherheitsteams – mit übersichtlichen Prüfprotokollen anstelle von E-Mail-Ketten.
Wenn Kunden oder Zertifizierungsstellen nach Ihrem Umgang mit Aufbewahrung und Löschung fragen, können Sie gezielte Nachweise aus demselben System generieren, das Sie auch für Ihr ISMS nutzen, anstatt mühsam alte Screenshots und Tickets zusammensuchen zu müssen. Da ISMS.online für die kontinuierliche Datenverwaltung und nicht für einmalige Zertifizierungsprojekte konzipiert ist, unterstützt es die Überprüfungen und Verbesserungen, die Normen und Aufsichtsbehörden heutzutage im Hinblick auf den Datenlebenszyklus erwarten.
Wenn Sie Ihren eigenen Managed Service Provider (MSP) in der Masse der unstrukturierten Datenaufbewahrung, der „Alles-behalten“-Backups und der unsicheren Antworten bei Audits wiedererkennen, ist jetzt der richtige Zeitpunkt zum Handeln. Wenn Sie Ihre Datenlebenszyklus-Strategie optimieren möchten, wählen Sie ISMS.online als Ihre ISMS-Plattform und vereinbaren Sie eine kurze Demo. So sehen Sie, wie schnell Sie Ihre aktuelle Situation abbilden, ein auf Ihre Kundenbasis zugeschnittenes Aufbewahrungs- und Löschframework entwickeln und es sicher in Betrieb nehmen können.
Häufig gestellte Fragen (FAQ)
Wie sollte ein Managed Service Provider (MSP) die Datenaufbewahrung und -löschung strukturieren, um die Anforderungen von ISO 27001 und unterschiedlichen SLAs der Kunden zu erfüllen?
Die größte Kontrolle und den geringsten Nachbearbeitungsaufwand haben Sie, wenn Sie bauen ein ISO-konformes Aufbewahrungsrahmenwerk innerhalb Ihres ISMSDann können die Kunden-SLAs aus einer kleinen Auswahl an Standardoptionen auswählen, die sich damit verbinden lassen.
Beginnen Sie mit einem einzigen internen Retentionsmodell
Design Hauptaufbewahrungsplan die Ihrer Organisation gehören und alle verwalteten Dienste umfassen:
- Definiere eine kleine Menge von Datenklassen die in den meisten Verträgen vorhanden sind: Service-Tickets, Überwachungs- und Sicherheitsprotokolle, Konfigurationsdaten, Dokumentation, Backups, E-Mails und Chats, gemeinsam genutzte Dateien, Verträge und Finanzunterlagen.
- Wählen Sie eine begrenzte Anzahl von Zeitbänder (z. B. 30 / 90 / 365 Tage, drei Jahre, sieben Jahre, „Vertragsende plus X“) anstatt für jedes Geschäft neue Zeiträume zu erfinden.
- Für jede Klasse ein Dokument erstellen:
- Die Grundlage (Gesetz oder Verordnung, Vertrag, Branchenkodex, Streitbeilegungsfenster oder interne Risikoentscheidung).
- Die Maßnahmen am Lebensende (löschen, anonymisieren, archivieren oder in die gerichtliche Aufbewahrungspflicht überführen).
Wenn dieser Zeitplan in Ihr Informationssicherheitsmanagementsystem (ISMS) integriert ist, passt er auf natürliche Weise zu dem Fokus der ISO 27001 auf Kontext, Verpflichtungen, Risiko und Kontrolle und lässt sich gegenüber Auditoren und Kunden viel leichter verteidigen.
Bieten Sie SLA-Muster anstelle von einmaligen Versprechen an.
Zeigen Sie diesen Zeitplan den Kunden als Kurzmenü der SLA-Muster, anstatt in jedem Vertrag eine individuelle Formulierung zu verwenden. Zum Beispiel:
- „Sicherheitsprotokolle – Standard“ → 12 Monate online, 12 Monate Archiv.
- „Sicherheitsprotokolle – erweitert“ → insgesamt drei Jahre für regulierte Sektoren.
- „Backups – operationell“ → 30-Tage-Rollback plus monatliche Backups für 12 Monate.
- „Backups – Compliance“ → siebenjährige Aufbewahrungsfrist für Finanzdaten.
Ihre SLAs und Datenverarbeitungsvereinbarungen dann Diese Muster anhand ihres Namens referenzierenAusnahmen gelten nur, wenn spezifische Gesetze oder Vorschriften ein abweichendes Vorgehen erfordern. Ingenieure, Vertriebs- und Rechtsabteilungen sprechen über dieselben Vorgehensweisen, anstatt Regeln in E-Mail-Verläufen immer wieder neu zu erstellen.
Wenn Sie Katalog und Genehmigungen über eine Plattform wie ISMS.online verwalten, können Sie den aktuellen Zeitplan, die Zuordnungen und die getroffenen Entscheidungen bei Audits und Ausschreibungen anzeigen. Dadurch wird die Frage „Wie lange speichern Sie unsere Daten?“ oft von einer unangenehmen Frage zu einem Beweis dafür, dass Ihr ISMS strukturiert und ausgereift ist.
Verantwortlichkeiten und Abwägungen explizit machen
Nutzen Sie Verträge, Sicherheitspläne und Datenschutzhinweise, um ein einfaches Problem zu beheben. Modell der geteilten Verantwortung:
- Wer wählt das Muster für jeden Dienst und jede Datenklasse aus?
- Wer kann die Löschung, den Export oder die Aufbewahrung von Dokumenten beantragen und wie werden diese Anträge authentifiziert?
- Wer bedient welche Kontrollfunktionen auf den einzelnen Plattformen (Sie als Kunde oder ein Drittanbieter)?
- Wie Sie mit Situationen umgehen, in denen Rechtliche Verpflichtungen erfordern eine längere Aufbewahrungsfrist. als eine Kundenpräferenz.
Diese Klarheit hilft Ihren Account-Teams, unter Druck übertriebene Versprechungen zu vermeiden, und ermöglicht Ihnen einen direkten Zugriff auf die ISO-27001-Klauseln zu Kontext (4), Führung (5) und Planung (6). Wenn alles in Ihrem ISMS dokumentiert ist, können Sie Auditoren und Kunden auf dasselbe einheitliche Rahmenwerk verweisen, anstatt Entscheidungen aus dem Gedächtnis rekonstruieren zu müssen.
Welche Klauseln der ISO 27001:2022 und welche Kontrollen des Anhangs A sind für die Datenaufbewahrung und -löschung bei Managed Service Providern (MSPs) am wichtigsten?
Für einen Managed Service Provider (MSP) befinden sich Aufbewahrung und Löschung dort, wo Kontext, Risiko, Betriebsabläufe und Beweise Treffen. Ein eng beieinanderliegendes Bündel von ISO 27001-Klauseln und Annex A-Kontrollen liefert Ihnen die Designvorgaben für Ihren Informationslebenszyklus.
Verankern Sie Ihren Ansatz in den Kernklauseln.
Ihr Aufbewahrungs- und Löschmodell sollte sich eindeutig auf diese Klauseln zurückführen lassen:
- Klausel 4 – Kontext der Organisation: Sie haben festgestellt, welche Gesetze, Regulierungsbehörden, Verträge und Branchennormen Sie steuern, wie lange bestimmte Daten aufbewahrt werden und wie sich dies je nach Rechtsordnung unterscheidet.
- Klausel 5 – Führung: Das Management hat eine Einzelretentionsmodell, anstatt Entscheidungen einzelnen Verkaufsgeschäften zu überlassen.
- Klausel 6 – Planung: Aufbewahrung und Löschung werden in Ihrem Risikobewertung und Risikobehandlungsplaneinschließlich der Spannungen zwischen gesetzlichen Pflichten, Kundenerwartungen und Betriebskosten.
- Klausel 8 – Betrieb: Die Verfahren für Bereitstellung, Protokollierung, Datensicherung, Support und Offboarding beziehen sich alle auf denselben Masterplan, sodass die Mitarbeiter keine Ad-hoc-Anrufe tätigen müssen.
- Klausel 9 – Leistungsbeurteilung: Sie überprüfen, ob der Zeitplan und die Kontrollmechanismen noch angemessen sind und ob sie eingehalten werden.
- Klausel 10 – Verbesserung: Vorfälle, Beschwerden oder Prüfungsfeststellungen im Zusammenhang mit übermäßiger Aufbewahrung oder fehlgeschlagener Löschung führen zu messbaren Änderungen Ihrer Kontrollen.
Wenn in Ihrem ISMS explizit auf diese Klauseln in Ihrem Zeitplan, Ihren Verfahren und Ihrem Risikoregister verwiesen wird, können die Prüfer erkennen, dass Aufbewahrung und Löschung Teil des Systems sind und nicht nachträglich hinzugefügt wurden.
Anhang A als praktische Checkliste verwenden
Eine Handvoll Anhang A 2022 Kontrollen tragen den größten Teil der Last für MSPs:
- A.5.32 – Schutz von Aufzeichnungen: welche Aufzeichnungen Sie aufbewahren müssen, wie lange und wie diese geschützt und wiederauffindbar sind.
- A.8.10 – Löschung von Informationen: sicherstellen, dass Informationen gelöscht oder unwiderruflich anonymisiert werden, sobald sie nicht mehr benötigt werden.
- A.8.13 – Datensicherung: Die Datensicherungen folgen dokumentierten Aufbewahrungs- und Wiederherstellungsregeln und nicht dem Prinzip „Alles für immer aufbewahren“.
- A.7.14 – Sichere Entsorgung oder Wiederverwendung von Geräten: Löschung und Vernichtung von Datenträgern, Bändern und Geräten, die Kundendaten enthielten.
- A.8.15 – Protokollierung: und A.8.16 – Überwachung: wie lange die Protokolle aufbewahrt werden, wie sie gedreht werden und wann sie entfernt werden.
Eine einfache Möglichkeit, dies in die Praxis umzusetzen, besteht darin, Kennzeichnen Sie Ihren Aufbewahrungsplan und Ihre Verfahren mit diesen Kontroll-IDs.Bewahren Sie anschließend die wichtigsten Nachweise auf: den Zeitplan selbst, wichtige Konfigurationsexporte, Vernichtungszertifikate und Prüfvermerke. Die Speicherung dieser Daten in einer ISMS-Plattform wie ISMS.online ermöglicht es, dieselbe Zuordnung für interne Audits, ISO-Zertifizierungen und anspruchsvolle Kundenbewertungen zu nutzen, ohne dass Sie sie jedes Mal neu erstellen müssen.
Wie kann ein Managed Service Provider (MSP) einen realistischen Datenaufbewahrungsplan entwerfen, der für viele Kunden und Rechtsordnungen geeignet ist?
Zeitpläne, die im MSP-Maßstab praktikabel sind, beginnen bei was Sie bereits betreibenFügen Sie dann Recht, Verträge und Risikomanagement hinzu, bis Sie eine kompakte Struktur haben, die Ihre Teams tagtäglich bedienen können.
Erstellen Sie zunächst eine Karte Ihrer realen Datenlandschaft.
Beginnen Sie damit, aufzulisten, was Sie für einen typischen Kunden tatsächlich erledigen:
- Die Systeme Sie verwalten: Service Desk, Tools für Fernüberwachung und -verwaltung, Sicherheits- und Leistungsüberwachung, Dokumentations-Wikis, Passwort-Tresore, Cloud-Portale, E-Mail- und Kollaborationssuiten, Dateispeicher, Backup- und DR-Plattformen sowie alle von Ihnen administrierten Drittanbieterdienste.
- Die Eingänge die die Kundenbindung beeinflussen: Kundenverträge und SLAs, Branchenanforderungen (z. B. Finanzen, Gesundheitswesen, öffentlicher Sektor), Datenschutzbestimmungen wie DSGVO oder CCPA sowie übliche Streit- oder Verjährungsfristen in den Ländern, in denen Sie tätig sind.
- logisch Datenklassen die sich bei verschiedenen Kunden wiederholen: Sicherheitsprotokolle, operative Telemetriedaten, Störungsmeldungen, Konfigurationsdatensätze, Betriebshandbücher und Dokumentationen, Finanzdokumente, Rohdatensicherungen, E-Mails, Chats und unstrukturierte Dateien.
Das gibt Ihnen eine konkrete Grundlage. Sie entwerfen nicht theoretisch, sondern entscheiden, was mit bestimmten Datenklassen geschieht, die Sie täglich sehen.
Komplexität in einer kleinen Bibliothek von Zeitbändern komprimieren
Als Nächstes definieren Sie ein beschränkte Menge von Zeitbändern die Sie Kunden, Aufsichtsbehörden und Ingenieuren erklären können:
- Kurze Zeitintervalle (z. B. 7 / 30 / 90 Tage) für verrauschte Telemetrie- und transiente Diagnosedaten.
- Mittlere Zeiträume (z. B. ein oder drei Jahre), die auf Serviceverpflichtungen, Vertragsbedingungen und typische Streitbeilegungszeiträume abgestimmt sind.
- Lange Aufbewahrungszeiträume (z. B. sieben Jahre) für Steuerunterlagen oder Daten mit ausdrücklicher gesetzlicher Aufbewahrungspflicht.
- Relative Zeiträume wie „Vertragsende plus 6/12/24 Monate“ für mieterspezifische Inhalte und Konfigurationen.
Für jede Datenklasse:
- Bestimmen Sie Ihre Mindestretention wo Gesetze oder Verordnungen einen Mindestwert festlegen.
- Wähle ein Standardzeitraum Sie werden dies in den meisten Verträgen vorschlagen.
- Fangen Sie ein Begründung in einfacher Sprache unter Bezugnahme auf spezifische Vorschriften, Branchenkodizes, Verträge oder interne Risikoentscheidungen.
- Definiere das Endzustand: löschen, anonymisieren, archivieren oder unter gerichtlicher Aufsicht aufbewahren.
Dies lässt sich üblicherweise in einer einzigen Tabelle darstellen: „Datenklasse → Aufbewahrungsdauer → Grundlage → Aktion am Ende des Lebenszyklus“. Wenn diese Tabelle in Ihrem ISMS enthalten und in Richtlinien, Verfahren und SLA-Vorlagen integriert ist, müssen Ihre Teams nicht mehr von Grund auf neu verhandeln, und Sie verfügen über eine nachvollziehbare, ISO-konforme Dokumentation, unabhängig davon, ob sich der Kunde in Manchester, Dublin oder Sydney befindet.
Eine ISMS-Plattform wie ISMS.online hilft dabei, indem sie Ihnen eine zentrale Anlaufstelle bietet, um die Tabelle, Genehmigungen und Nachweise zu verwalten und dasselbe Muster in ISO 27001, ISO 27701, SOC 2, NIS 2 und anderen Rahmenwerken wiederzuverwenden.
Wie können Managed Service Provider (MSPs) im Rahmen von ISO-Audits und Kundenbesprechungen die zuverlässige Datenlöschung, einschließlich Backups und Protokollen, nachweisen?
Prüfer und Kunden wollen sehen, dass Sie sich auskennen. wie „gut“ aussieht und dass es einen wiederholbaren Nachweis dafür gibt, dass es tatsächlich passiert. Das erreicht man, indem man sein Konzept sichtbar macht und es mit alltäglichen Beispielen untermauert.
Gestalten Sie Ihr Löschschema leicht verständlich.
Formulieren Sie Ihre Erwartungen in einer Sprache, die auch Nicht-Fachleute verstehen:
- Bücher Verfahren für Datenlöschung und -entsorgung, die sich auf Ihren Aufbewahrungsplan und die Kontrollen in Anhang A beziehen, wie z. B. A.8.10 (Löschung) und A.7.14 (Datenträgerentsorgung).
- Betriebsablaufpläne: beschreibt, was mit Tickets, Konfigurationen, Zugriffsrechten, Dokumentationen, Protokollen und Backups geschieht, wenn ein Kunde aus dem System entfernt wird.
- Standards für den Umgang mit Medien: dies umfasst Datenträger wie Discs, Bänder und andere Datenträger, einschließlich der Fälle, in denen Lieferanten Vernichtungszertifikate vorlegen müssen.
- Transparent Backup- und Protokollaufbewahrungsregeln diese Angaben zeigen, wie lange Daten online bleiben, wie lange sie im Archiv gespeichert werden und wann Systeme sie löschen oder entfernen.
Wenn diese Dokumente in Ihrem ISMS zusammengeführt werden, können Sie die Prüfer von übergeordneten Richtlinien über schrittweise Vorgehensweisen bis hin zu spezifischen Systemeinstellungen führen, ohne dass sie in verstreuten Ordnern suchen müssen.
Untermauern Sie das Design mit praktischen Betriebserfahrungen.
Sammeln Sie eine kleine Auswahl an Artefakten, die die Funktionsweise der Bedienelemente veranschaulichen:
- ITSM-Tickets oder Workflow-Datensätze: die Offboarding- und Löschvorgänge mit Genehmigungen, Zeitstempeln und den zuständigen Teams anzeigen.
- Berichte und Protokolle: von Backup-Plattformen, SIEM-Systemen, Speichersystemen und Cloud-Tenants, die bestätigen, dass Ablaufaufträge, Aufbewahrungsrichtlinien und Löschvorgänge ausgeführt wurden.
- Vernichtungszertifikate: verknüpft mit spezifischen Seriennummern oder Asset-IDs, die zeigen, wie physische Datenträger bereinigt oder vernichtet wurden.
- Konfigurationsexporte oder Screenshots: von Aufbewahrungs- und Ablaufeinstellungen in wichtigen Plattformen wie Backup-Jobs, Log-Management-Tools, E-Mail-Aufbewahrungsregeln und Kollaborationssuiten.
- Ausgaben von regelmäßige Prüfungenzum Beispiel durch Wiederherstellung aus der ältesten Sicherung, die Sie angeblich besitzen, oder durch Überprüfung, ob Daten, die über den Aufbewahrungszeitraum hinausgehen, tatsächlich nicht verfügbar sind.
Wenn Sie auf unveränderliche Backups oder langfristige Protokollarchive angewiesen sind, dokumentieren Sie die Gründe dafür, wie z. B. Betrugsuntersuchungen oder Branchenrichtlinien, und halten Sie kompensierende Maßnahmen wie starke Verschlüsselung, eingeschränkten Zugriff und spezielle Legal-Hold-Verfahren fest.
Viele Managed Service Provider (MSPs) bündeln diese in einem Paket. Standard-Beweismittelpaket Die Daten werden in einer ISMS-Plattform wie ISMS.online gepflegt, sodass dieselben sorgfältig ausgewählten Materialien für ISO-Audits, Kundenfragebögen zur Sorgfaltspflicht und Erneuerungsprüfungen verwendet werden können. Das reduziert den Vorbereitungsaufwand und zeigt, dass Sie das Löschen als kontrollierten Prozess und nicht als einmalige Aktion betrachten.
Wie sollten Managed Service Provider (MSPs) mit Konflikten zwischen Kunden-SLAs, gesetzlichen Aufbewahrungspflichten und dem risikobasierten Modell der ISO 27001 umgehen?
Spannungen zwischen Was ein Kunde wünscht, was das Gesetz vorschreibt und was eine gute Sicherheitsvorkehrung nahelegt Das Problem wird früher oder später auftauchen. Am sichersten ist es, eine einfache, dokumentierte Hierarchie anzuwenden und die Begründung im ISMS festzuhalten.
Eine klare Rangordnung anwenden
Stimmen Sie intern überein und legen Sie dann unmissverständlich fest, dass Ihre Entscheidungen dieser Reihenfolge folgen:
- Recht und Regulierung – einschließlich der Leitlinien der Aufsichtsbehörden und der Branchenregeln.
- Verträge und SLAs – einschließlich Datenverarbeitungsvereinbarungen und Sicherheitsplänen.
- Dokumentierte Risikobehandlungsentscheidungen – die Balance zwischen Sicherheit, Datenschutz und Geschäftsanforderungen finden.
Wenn ein Kunde eine sehr kurze Aufbewahrungsfrist oder eine sofortige Löschung wünscht, die im Widerspruch zu Steuervorschriften, Protokollierungsrichtlinien oder regulatorischen Bestimmungen steht, können Sie Folgendes tun:
- Erklären Sie, dass Sie kann nicht vertraglich umgangen werdenGesetzliche Pflichten haben daher Vorrang vor vertraglichen Präferenzen.
- Biete die ähnlichstes kompatibles Muster aus Ihrem Standard-Aufbewahrungsmenü, z. B. kürzere Online-Aufbewahrungsdauer mit längerer verschlüsselter Archivierung.
- Protokollieren Sie die Diskussion, Ihre Entscheidung und alle weiteren Angaben. Ausgleichsmaßnahmen wie beispielsweise strengere Zugriffskontrollen, Verschlüsselung, reduzierter Datenumfang oder zusätzliche Überwachung.
Bei konsequenter Vorgehensweise verhindert dies, dass Verkaufsgespräche Verpflichtungen begründen, die Ihre Betriebs- oder Rechtsabteilung später nicht mehr sicher erfüllen kann.
Behandeln Sie diese Entscheidungen als Teil des ISMS.
ISO 27001 erwartet, dass Sie diese Konflikte innerhalb des Systems behandeln, nicht als Randnotizen:
- Fangt sie ein als Risiken in Ihrer Risikobewertung, in der Sie beschreiben, wo Sie Daten länger aufbewahren müssen, als es einigen Interessengruppen lieb ist, oder wo Sie aus kommerziellen Gründen bewusst eine kürzere Aufbewahrungsdauer akzeptieren.
- Ordnen Sie diese Risiken und Behandlungen den relevanten Kategorien zu. Anhang A-Kontrollen in Ihrer Anwendbarkeitserklärung, damit Ihre Begründung bei Prüfungen sichtbar wird.
- Definierung Auslöser für Überprüfungen beispielsweise neue Vorschriften, der Eintritt in neue Sektoren oder wichtige technologische Veränderungen, sodass Sie zeigen können, dass Ihre Haltung überdacht und nicht auf unbestimmte Zeit unverändert bleibt.
- Schulen Sie Vertriebs-, Rechts- und Kundenbetreuer in dieser Hierarchie, damit sie sie in einfachen Worten erklären und Versprechen vermeiden können, die Ihr ISMS untergraben.
Wenn Sie die Risiken, Entscheidungen und Belege in einer ISMS-Plattform wie ISMS.online protokollieren, können Sie Anfragen von Aufsichtsbehörden, Prüfungsfragen oder Herausforderungen von Kunden mit einer gut belegten Position beantworten, anstatt in alten E-Mail-Verläufen wühlen zu müssen.
Welche Prozesse und Kontrollen helfen Managed Service Providern (MSPs), die Datenlöschung zum Vertragsende zu automatisieren und nachzuweisen?
Nach Vertragsende verstecken sich oft vergessene Kopien: Test-Tenants, alte Backups, verwaiste Konten oder Dokumentationen in persönlichen Archiven. Standard-Offboarding-PlaybookDurchdachte Automatisierung und solide Aufzeichnungen sorgen dafür, dass dies unter Kontrolle bleibt und erleichtern die Demonstration gegenüber Dritten.
Verwenden Sie ein einheitliches Offboarding-Playbook für alle Kunden.
Erstelle einen Offboarding-Runbook dass jeder Kunde die Vorgaben befolgt, und diese dann für jeden Service individuell anpassen:
- Erstellen Sie zunächst eine Masterliste der Systeme und Speicher, die Sie möglicherweise verwalten: Service Desk, RMM, Überwachungstools, Dokumentationsplattformen, Passwort-Tresore, Backup- und DR-Systeme, Cloud-Tenants, E-Mail- und Kollaborationstools, gemeinsam genutzte Laufwerke, Geräteverwaltung und Dienste von Drittanbietern.
- Für jede Kategorie sind die einzelnen Schritte detailliert aufzulisten: Zugriff widerrufen oder übertragen, vereinbarte Datensätze exportieren, die richtigen Aufbewahrungsrichtlinien anwenden, Löschung oder Anonymisierung planen und prüfen, ob rechtliche Sperren oder offene Streitigkeiten vorliegen.
- Weisen klare Eigentumsverhältnisse Daher ist jedem Schritt ein internes Team oder ein Lieferant zugeordnet.
Integrieren Sie dieses Runbook in Ihr ITSM- oder ISMS-Tool als strukturierter Arbeitsablauf oder Checkliste, sodass das Offboarding zu einer vorhersehbaren Abfolge wird und nicht zu einer improvisierten Aufgabe, die davon abhängt, wer sich an welches System erinnert.
Automatisieren Sie wiederkehrende Aktionen und schließen Sie mit einem sauberen Datensatz ab.
Nutzen Sie die Plattformfunktionen und Skripte, um manuellen Aufwand und Fehler zu reduzieren:
- Krawatte Kontodeaktivierung und Datenablauf Vertragsendetermine, sofern dies durch die verwendeten Tools unterstützt wird.
- Zentrale Anwendung Aufbewahrungsetiketten und Richtlinien für E-Mails, Chats und Dateispeicherung, sodass Daten gemäß Ihrem Zeitplan ohne individuelles Eingreifen automatisch gelöscht werden.
- Skripten Sie Massenaktionen über APIs für Aufgaben wie das Beenden von Sicherungsaufträgen, das Bereinigen von Mandanten oder das Entfernen alter Konfigurationen, sofern dies effizient und sicher ist.
Schließen Sie jeden Offboarding-Prozess mit einer prägnanten Zusammenfassung ab. Zusammenfassung, oft ein Ticket, das Folgendes erfasst:
- Was wurde gelöscht oder anonymisiert, in welchen Systemen und an welchen Daten?
- Was wurde wie lange einbehalten und auf welcher rechtlichen oder vertraglichen Grundlage?
- Links oder Anhänge zu Berichten, Protokollen, Screenshots und Vernichtungszertifikaten.
- Jedes Ausnahmen oder Sperren, mit Querverweisen zu Ihrem Aufbewahrungsplan und Risikoregister.
Die zentrale Speicherung von Betriebshandbüchern, Arbeitsabläufen und Aufzeichnungen in einer ISMS-Plattform wie ISMS.online ermöglicht es Ihnen, ehemaligen Kunden auf deren Frage „Was ist mit unseren Daten passiert?“ eine klare Antwort zu geben. Zudem erhalten Auditoren ein wiederholbares Muster, das den Anforderungen der ISO 27001 an Betrieb, Leistungsbewertung und -verbesserung entspricht. Darüber hinaus hebt es Sie unauffällig von Managed Service Providern (MSPs) ab, die nach dem Ausscheiden von Kunden immer noch auf Ad-hoc-Tabellen und unstrukturiertes Wissen angewiesen sind.
