Sicherheit im Marketing-Stack

Ein Marketing-Stack lässt sich sicherer betreiben, wenn für jedes wichtige System vier Fragen geklärt sind: Wer kann weitreichende Änderungen vornehmen? Welche externen Zugänge bestehen? Wie werden personenbezogene Daten verarbeitet? Wer kann bei einem Ausfall handeln? Beginnen Sie mit Diensten, deren Fehlbedienung oder Ausfall laufende Kampagnen, Kundendaten oder Veröffentlichungen unmittelbar betrifft.

Kritische Sicherheitsfragen für den Marketing-Stack

Die wichtigen Systeme erfassen

Erfassen Sie etwa CRM, Versandplattform, CMS, Analysewerkzeuge, Werbekonten und angebundene Dienste. Notieren Sie fachliche Verantwortung, technische Administration und Vertretung. Halten Sie fest, von welchem Anmeldedienst der jeweilige Zugang abhängt.

Vergleichen Sie Vertrags- und Zuständigkeitslisten mit den Einstellungen der genutzten Konten. Kennzeichnen Sie unbekannte Angaben als offen.

Risiken nach Schutzziel ordnen

Bewerten Sie bei personenbezogenen Daten mögliche Auswirkungen auf die Rechte und Freiheiten der betroffenen Personen. Der Europäische Datenschutzausschuss empfiehlt, Risiken für Vertraulichkeit, Integrität und Verfügbarkeit getrennt zu betrachten: unbefugter Zugriff, unbeabsichtigte Veränderung oder Verlust beziehungsweise fehlender Zugriff.

Notieren Sie mögliche interne und externe Ursachen sowie die betroffenen unterstützenden Werte. Dazu zählen menschliche Quellen wie Administrierende, Nutzende oder externe Angreifer, aber auch nichtmenschliche Ursachen wie Wasserschäden oder Schadsoftware; betroffen sein können Hardware, Software, Kommunikationswege und Papierunterlagen.

Schutzziele für personenbezogene Daten im Marketing-Stack

Administrative Rechte prüfen

Suchen Sie nicht allein nach Konten mit dem Namen „Admin“. Rechte können auch aus Gruppen, übergeordneten Konten oder Partnerverknüpfungen stammen. Lassen Sie für jeden weitreichenden Zugang bestätigen, welche aktuelle Aufgabe ihn erfordert.

Produktrollen unterscheiden sich. Prüfen Sie deshalb die wirksamen Rechte und den gebuchten Umfang je Produkt. In HubSpot legen Berechtigungen fest, was Nutzende in den ihnen zugänglichen Tools ansehen, erstellen, bearbeiten oder löschen können; Super Admins können diese Berechtigungen festlegen.

Agenturzugänge begrenzen

Ordnen Sie jeden externen Zugang einem Auftrag, den betroffenen Konten und einer internen Ansprechperson zu. Prüfen Sie auch Verknüpfungen mit Verwaltungskonten und deren wirksame Rechte. Entfernen Sie solche Rechte, wenn sie für den Auftrag nicht erforderlich sind.

Planen Sie das Auftragsende mit ein. Prüfen Sie vor dem Entfernen einer Verknüpfung, ob dadurch laufende Arbeitsabläufe oder benötigte Zugänge betroffen sein könnten. Entfernen Sie anschließend verbliebene direkte oder technische Zugänge und kontrollieren Sie den Zustand im Kundenkonto.

Datenhaltung anhand des Dienstes beurteilen

Erfassen Sie für personenbezogene Daten Zweck, Datenarten, Empfänger, Speicher- und Verarbeitungsorte, mögliche Zugriffe, Aufbewahrung und Löschung. Prüfen Sie Unterlagen für den gebuchten Dienst und den vorgesehenen Datenweg. Eine Angabe zum EU-Serverstandort erklärt nicht sämtliche Empfänger oder Zugriffsmöglichkeiten.

Wenn der Empfänger personenbezogener Daten als Auftragsverarbeiter handelt, ist laut EDPB ein Vertrag erforderlich. Werden Daten einer anderen Organisation außerhalb des Europäischen Wirtschaftsraums zugänglich gemacht, sind zusätzlich die Regeln für internationale Übermittlungen zu prüfen. Welche Regeln im Einzelfall greifen, hängt vom tatsächlichen Empfänger und Datenweg ab.

Klären Sie auch die Rollen der beteiligten Organisationen. Verantwortlich ist, wer Zweck und Mittel der Verarbeitung bestimmt. Ein Auftragsverarbeiter verarbeitet Daten nur nach Weisung.

Ein Unterauftragsverarbeiter darf nur mit schriftlicher Genehmigung eingesetzt werden. Der Auftragsverarbeiter muss mit ihm einen bindenden Vertrag mit gleichwertigem Datenschutz vereinbaren.

Für eine Übermittlung außerhalb des Europäischen Wirtschaftsraums gelten laut EDPB drei Kriterien gemeinsam. Der Verantwortliche oder Auftragsverarbeiter unterliegt für die Verarbeitung der DSGVO. Er macht personenbezogene Daten einer anderen Organisation verfügbar; diese Organisation befindet sich außerhalb des EWR oder ist eine internationale Organisation. Eine Übermittlung benötigt eine Grundlage nach Kapitel V DSGVO, etwa einen Angemessenheitsbeschluss oder geeignete Garantien.

Die DSGVO verlangt technische und organisatorische Maßnahmen, deren Sicherheitsniveau dem Risiko angemessen ist. Bei der Auswahl sind laut EDPB der Stand der Technik, der Verarbeitungskontext und das Risiko für betroffene Personen zu berücksichtigen.

Wichtige Datenschutzanforderungen nach EDPB

Ausfälle vorbereiten

Klären Sie für jedes kritische System, wer bei Abwesenheit einer Schlüsselperson oder Ausfall des üblichen Anmeldewegs handeln kann. Ein zweiter regulärer Administrator kann für den ersten Fall genügen, aber ebenfalls vom ausgefallenen Anmeldedienst abhängen. Prüfen Sie deshalb die tatsächlichen Abhängigkeiten.

Microsoft empfiehlt für Microsoft Entra ID zwei oder mehr Notfallkonten, die nur genutzt werden, wenn reguläre Administrationskonten nicht funktionieren. Als mögliche Fälle nennt Microsoft den Ausfall eines föderierten Anmeldedienstes oder nicht verfügbare registrierte Geräte beziehungsweise einen Ausfall des Mehr-Faktor-Dienstes. Für andere Marketingdienste müssen die verfügbaren Administrations-, Wiederherstellungs- und Supportwege eigens geklärt werden.

Offene Punkte entscheiden

Ordnen Sie Lücken nach ihrer möglichen Wirkung. Ein einziges erreichbares Administratorkonto, ein nicht mehr benötigter Agenturzugang oder ungeklärte Verarbeitung von Kundendaten verdienen frühe Aufmerksamkeit. Halten Sie je Punkt Dienst, Befund, verantwortliche Person, Entscheidung und Termin fest. Aktualisieren Sie die Übersicht nach Rollenwechseln, Agenturwechseln und neuen Datenanbindungen.

Berücksichtigen Sie bei der Priorisierung auch mögliche Folgen eines Sicherheitsvorfalls: Der EDPB nennt unter anderem einen Vertrauensverlust, Kosten für die Wiederherstellung und einen Stillstand der Geschäftstätigkeit. Bei personenbezogenen Daten ist zusätzlich die mögliche Auswirkung auf die Rechte und Freiheiten der betroffenen Personen ein wichtiges Kriterium.

Sicherheitsprüfung für kritische Marketing-Systeme