Das Wichtigste in Kürze
Ein Passwort-Manager, 2FA auf allen wichtigen Konten und getrennte Geräte im Homeoffice senken das Risiko der häufigsten Datenschutzvorfälle deutlich und sind in einer Stunde eingerichtet.
KI-generiert
Der Zettel unter der Tastatur, ein einziges Passwort für Mailkonto, Vergleichsportal und Maklerverwaltung, abends noch schnell etwas am privaten Laptop erledigt: So sieht der Alltag in vielen kleinen Maklerbüros aus. Das ist kein böser Wille, sondern gewachsene Gewohnheit. Das Problem daran ist, dass genau diese drei Punkte, schwache Passwörter, fehlender zweiter Faktor und vermischte Geräte, zu den häufigsten Einfallstoren für einen Datenschutzvorfall gehören. Das Grundgerüst dagegen richten Sie in etwa einer Stunde ein, mit Werkzeugen zwischen 0 und 15 Euro.
Dieser Beitrag ist ein praktischer Ratgeber und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Bei kniffligen Fragen ziehen Sie Ihren Datenschutzbeauftragten oder die zuständige Aufsichtsbehörde hinzu.
Die meisten Kontoübernahmen beginnen nicht mit einem raffinierten Hackerangriff, sondern mit einem Passwort, das ohnehin schon im Umlauf ist. Kriminelle sammeln Zugangsdaten aus Datenlecks und probieren sie automatisiert bei anderen Diensten durch. Wer dasselbe Passwort für das E-Mail-Postfach und für das Maklerverwaltungsprogramm nutzt, verliert bei einem einzigen Leck den Zugang zu beidem.
Besonders heikel ist das E-Mail-Konto. Über die Funktion „Passwort vergessen“ lassen sich fast alle anderen Zugänge zurücksetzen. Wer Ihr Postfach kontrolliert, kontrolliert damit indirekt Ihre gesamte digitale Ablage samt Kundendaten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI, bsi.bund.de) empfiehlt heute Länge statt komplizierter Zeichenkombinationen. Ein langer Satz als Passphrase, etwa aus vier bis fünf zufälligen Wörtern, ist leichter zu merken und schwerer zu knacken als ein kurzes Kryptogramm. Ein regelmäßiger Zwangswechsel ist nicht mehr empfohlen, solange das Passwort nicht kompromittiert wurde. Datenschutzrechtlich verlangt Artikel 32 der DSGVO ohnehin „geeignete technische und organisatorische Maßnahmen“, und ein Passwortkonzept gehört zum Minimum.
Sie müssen sich mit einem Passwort-Manager genau ein starkes Master-Passwort merken. Den Rest erzeugt und speichert das Programm, für jeden Dienst ein eigenes, langes, zufälliges Passwort. Drei bewährte Optionen:
Preise ändern sich, prüfen Sie vor dem Abschluss den aktuellen Tarif. Für den Start gilt: Wählen Sie eines der Werkzeuge, legen Sie ein langes Master-Passwort als Passphrase fest und tragen Sie zuerst die wichtigsten fünf Konten ein. Bei jedem weiteren Login lassen Sie sich vom Manager ein neues Passwort erzeugen und das alte überschreiben. Für gemeinsam genutzte Portalzugänge im Team richten Sie einen geteilten Tresor ein, statt Passwörter per E-Mail oder Chat weiterzugeben.
Ein zweiter Faktor macht ein gestohlenes Passwort für die meisten Angreifer wertlos, weil zusätzlich der Code aus Ihrer Hand fehlt. Die Zwei-Faktor-Authentifizierung ist für Makler der Schritt mit dem besten Verhältnis von Aufwand zu Wirkung.
Nutzen Sie nach Möglichkeit eine Authenticator-App statt der SMS. Kostenlose Apps wie Microsoft Authenticator, Google Authenticator, Aegis oder 2FAS erzeugen alle 30 Sekunden einen neuen Code, ohne Mobilfunknetz. SMS-Codes gelten als schwächer, weil Angreifer sich per SIM-Swap Ihre Nummer übertragen lassen können. Setzen Sie SMS nur ein, wenn ein Dienst nichts anderes anbietet.
Aktivieren Sie 2FA in dieser Reihenfolge:
Wichtig: Bei jeder Aktivierung zeigt der Dienst Wiederherstellungscodes an. Speichern Sie diese im Passwort-Manager. Ohne sie sperren Sie sich beim Handywechsel womöglich dauerhaft aus.
Am saubersten trennen Sie beruflich und privat mit einem eigenen Arbeitsgerät, auf das die Familie keinen Zugriff hat. Wo das nicht sofort geht, schaffen Sie zumindest ein getrenntes, passwortgeschütztes Benutzerkonto nur für die Maklertätigkeit.
Vier Einstellungen, die schnell erledigt und wirksam sind:
Ein pauschales Verbot gibt es nicht, aber die Verantwortung bleibt bei Ihnen. Als Verantwortlicher nach der DSGVO müssen Sie für angemessene Schutzmaßnahmen sorgen (Artikel 32 DSGVO), unabhängig davon, wem das Gerät gehört. Ein Familienlaptop ohne Verschlüsselung, mit gemeinsamem Benutzerkonto und ungeschützt gespeicherten Kundenlisten erfüllt das nicht.
Wenn Sie ein privates Gerät nutzen, sorgen Sie mindestens für ein eigenes Arbeitskonto, Verschlüsselung, aktuelle Updates und einen Sperrbildschirm. Vermeiden Sie es, Kundendaten unverschlüsselt lokal abzulegen, und arbeiten Sie möglichst direkt in Ihrem Maklerverwaltungsprogramm oder der Cloud. Eine schriftliche Regel, welche Geräte wie genutzt werden dürfen, gehört in Ihre technischen und organisatorischen Maßnahmen. Die Details dazu finden Sie in unserer TOM-Checkliste fürs Maklerbüro. Bei Unsicherheit klärt Ihr Datenschutzbeauftragter oder die Aufsichtsbehörde, was in Ihrem Fall angemessen ist.
Unterwegs ist das Verlustrisiko am höchsten. Ein liegengelassenes Notebook im Café oder ein gestohlenes Handy aus dem Auto kann eine meldepflichtige Datenpanne auslösen. Diese Vorkehrungen halten den Schaden klein:
Denken Sie unterwegs auch an den Faktor Mensch. Gefälschte Nachrichten mit angeblichem Passwort-Ablauf sind der häufigste Angriffsweg. Wie Sie solche Maschen erkennen, zeigt der Beitrag zu Phishing-Mails im Maklerbüro.
Nehmen Sie sich einen ungestörten Block und arbeiten Sie die Liste ab. Die Zeitangaben sind Richtwerte:
Nach dieser Stunde haben Sie die drei größten Einfallstore geschlossen. Der Rest ist Routine: Bei jedem neuen Login ein Passwort vom Manager erzeugen lassen und bei jedem wichtigen Dienst 2FA aktivieren. So wächst Ihr Schutzniveau ganz nebenbei weiter. Wer es genauer wissen will, findet beim BSI unter bsi.bund.de verständliche Leitfäden für kleine Betriebe.
Dieser Beitrag ist ein allgemeiner Ratgeber und ersetzt keine individuelle Rechts- oder Steuerberatung.
Weiterlesen