Januar 4, 2026

Anhang A 8.12 Verhinderung von Datenlecks

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Datenlecks entstehen, wenn Informationen unbeabsichtigt oder unbefugt nach außen gelangen, beispielsweise durch Fehlbedienung, technische Schwächen oder vorsätzlichen Missbrauch. Solche Vorfälle können erhebliche rechtliche, wirtschaftliche und reputative Schäden verursachen. Dieses Control stellt sicher, dass geeignete Maßnahmen implementiert werden, um den Abfluss sensibler Informationen zu verhindern oder frühzeitig zu erkennen.

Zweck des Controls

A 8.12 soll gewährleisten, dass sensible Informationen vor unbefugter Offenlegung geschützt sind. Ziel ist es, Datenlecks zu verhindern, Risiken durch menschliche und technische Faktoren zu minimieren und die Vertraulichkeit von Informationen über ihren gesamten Lebenszyklus hinweg sicherzustellen.

Anforderungen und Maßnahmen

1. Identifikation schützenswerter Informationen

Organisationen müssen festlegen, welche Informationen besonders vor Datenlecks zu schützen sind, insbesondere:

  • personenbezogene Daten
  • vertrauliche Geschäfts- und Kundendaten
  • geistiges Eigentum
  • regulatorisch oder vertraglich geschützte Informationen

Die Identifikation muss sich an der Informationsklassifizierung orientieren.

2. Festlegung von Schutzanforderungen gegen Datenlecks

Schutzanforderungen müssen definiert werden:

  • zulässige und unzulässige Übertragungswege
  • Anforderungen an Speicherung und Verarbeitung
  • Schutzbedarf je Informationsklasse
  • Verantwortlichkeiten für die Umsetzung

Die Anforderungen müssen dokumentiert sein.

3. Einsatz technischer Maßnahmen zur Datenleckprävention

Geeignete technische Maßnahmen müssen eingesetzt werden, zum Beispiel:

  • Data-Loss-Prevention-(DLP)-Lösungen
  • Kontrolle von E-Mail-, Web- und Dateiübertragungen
  • Überwachung von Schnittstellen und Endpunkten
  • Einschränkung externer Datenträger

So wird unbefugter Datenabfluss reduziert.

4. Kontrolle von Datenübertragungen

Datenübertragungen müssen kontrolliert erfolgen:

  • Überprüfung ausgehender Kommunikationskanäle
  • Einschränkung oder Freigabe bestimmter Übertragungswege
  • Einsatz von Verschlüsselung
  • Protokollierung relevanter Übertragungen

Dies erhöht Transparenz und Sicherheit.

5. Vermeidung unbeabsichtigter Offenlegung

Maßnahmen müssen unbeabsichtigte Datenlecks verhindern:

  • klare Vorgaben für den Umgang mit Informationen
  • technische Einschränkungen bei Kopieren oder Weitergabe
  • Schutz vor Fehladressierung oder Fehlkonfiguration
  • Berücksichtigung mobiler und externer Arbeitsumgebungen

So werden menschliche Fehler reduziert.

6. Überwachung und Erkennung von Datenlecks

Potenzielle Datenlecks müssen erkannt werden:

  • Monitoring verdächtiger Aktivitäten
  • Alarmierung bei Regelverstößen
  • Integration in Incident-Management-Prozesse
  • Analyse von Ereignissen und Vorfällen

Dies ermöglicht schnelles Eingreifen.

7. Sensibilisierung der Mitarbeitenden

Mitarbeitende müssen für Risiken von Datenlecks sensibilisiert werden:

  • Schulungen zu sicherem Umgang mit Informationen
  • Awareness für typische Fehlerquellen
  • klare Meldewege bei Verdachtsfällen
  • regelmäßige Auffrischungen

Der Mensch ist ein zentraler Schutzfaktor.

8. Dokumentation und kontinuierliche Verbesserung

Maßnahmen zur Datenleckprävention müssen dokumentiert werden:

  • Richtlinien und technische Maßnahmen
  • Verantwortlichkeiten
  • Vorfälle und getroffene Maßnahmen
  • regelmäßige Überprüfung und Anpassung

Dies unterstützt Wirksamkeit und Compliance.

Zusammenfassung

A 8.12 fordert, dass Organisationen geeignete organisatorische und technische Maßnahmen zur Verhinderung von Datenlecks implementieren. Durch Identifikation schützenswerter Informationen, klare Schutzanforderungen, Einsatz von DLP-Technologien, Kontrolle von Datenübertragungen, Sensibilisierung der Mitarbeitenden sowie kontinuierliche Überwachung wird sichergestellt, dass sensible Informationen nicht unbeabsichtigt oder unbefugt offengelegt werden. Das Control ist ein zentraler Bestandteil der technischen Sicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 8.12 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 8.12 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Welche Daten wollen Sie am Abfluss hindern?“
Ohne Festlegung der schützenswerten Daten lässt sich keine Maßnahme auslegen.
„Über welche Wege könnten Daten abfließen?“
E-Mail, Cloud-Speicher, USB, Messenger, Druck: Die Wege müssen benannt sein, bevor man sie überwacht.
„Welche Maßnahmen sind umgesetzt?“
Von der Sperrung bis zur Überwachung – das Control verlangt Maßnahmen, nicht zwingend ein DLP-Produkt.
„Wie gehen Sie mit Alarmen um?“
Ein System, dessen Meldungen niemand bearbeitet, erfüllt das Control nicht.
Das Dokument dazu

A 8.12-1 Richtlinie zur Verhinderung von Datenlecks

Schützenswerte Daten und mögliche Abflusswege · umgesetzte Maßnahmen je Weg · Bearbeitung von Alarmen mit Zuständigkeit. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick