Von Windows frei, aber nicht von Pflichten: Was KMU bei Linux & Open Source beachten müssen

1. Verantwortlichkeiten klären

• Wer ist IT-verantwortlich, wer Datenschutzbeauftragter, wer kümmert sich um Security?
• Gibt es einen Verfahrensverantwortlichen pro Fachprozess (z. B. Vertrieb, HR)?

Ohne klare Rollen versanden Maßnahmen – gerade in kleinen Teams.

2. Technische & organisatorische Maßnahmen (TOM) nach DSGVO

Egal ob Open Source oder nicht – die DSGVO verlangt u. a.:

• Zugriffskontrolle: Rollen- & Rechtekonzept, keine geteilten Accounts, starke Passwörter, MFA.
• Verschlüsselung:
• Protokollierung & Monitoring:
• Backups & Recovery:

3. Linux-Server & -Desktops richtig härten

• Distro & Supportmodell bewusst wählen (LTS, Sicherheitsupdates, Supportzyklen).
• Patch-Management-Prozess: Wer spielt wann Updates ein? Wie werden kritische Lücken behandelt?
• Minimalprinzip: Nur notwendige Dienste & Pakete installieren.
• Standard-Hardening: Firewall, SSH-Härtung, Deaktivierung unnötiger Ports, sichere Defaults.

Open Source heißt: Man kann alles sehen – aber man muss sich auch aktiv darum kümmern.

4. Nextcloud & Kollaborationstools

• Hosting-Modell prüfen:
• Auftragsverarbeitungsvertrag (AVV) abschließen, wenn ein Dienstleister beteiligt ist.
• Apps & Plugins restriktiv auswählen: Weniger ist mehr – jedes Plugin erweitert die Angriffsfläche.
• Freigabelinks & externe Freigaben regeln: Policies festlegen (Ablaufdaten, Passwortschutz, Empfängerkreise).

5. Office & Dokumentenmanagement

• Standardisierte Speicherorte: Keine Datenwildwuchs auf Desktops & USB-Sticks.
• Berechtigungskonzepte:
• Versionierung & Nachvollziehbarkeit: Wer hat wann was geändert?

6. Datenschutz-Dokumentation nicht vergessen

• Verzeichnis von Verarbeitungstätigkeiten (VVT) führen – auch im KMU.
• Rechtsgrundlagen pro Prozess klar benennen (Vertrag, Einwilligung, berechtigtes Interesse etc.).
• Löschkonzept:
• Datenschutz-Folgenabschätzung (DSFA) prüfen bei besonders sensiblen Daten.

7. Security Awareness im Team

Die beste Technik hilft nichts, wenn:

• Links aus Phishing-Mails bedenkenlos geklickt werden.
• Dateien unverschlüsselt über unsichere Kanäle geteilt werden.
• Passwörter wiederverwendet oder geteilt werden.

Regelmäßige, kurze Schulungen & klare Richtlinien (Password Policy, Clean Desk, Umgang mit Mobilgeräten) sind Pflicht.

Linux + Open Source ist eine starke Basis für sichere, datenschutzfreundliche IT. 

DSGVO-Konformität und Informationssicherheit sind aber kein „automatischer Bonus“, nur weil die Software Open Source ist.

Sie entstehen durch klar geregelte Verantwortlichkeiten, saubere Prozesse, dokumentierte Maßnahmen und Sensibilisierung der Mitarbeitenden.

Wenn dich das Thema interessiert: Ich unterstütze KMU dabei, ihre Open-Source-Landschaft sicher, DSGVO-konform und praxistauglich aufzustellen – von der Bestandsaufnahme bis zur Umsetzung der Maßnahmen.