Compliance-Checkliste zur Dateifreigabe für Unternehmen 2026

Eine Compliance-Checkliste für Dateifreigabe in Unternehmen 2026 umfasst zehn Bereiche: Dateninventar und -klassifizierung, Rechtsgrundlage der Verarbeitung, Auftragsverarbeitungsverträge, Verschlüsselung (AES-256-GCM im Ruhezustand, TLS 1.3 während der Übertragung), Zugangskontrollen mit MFA, Aufbewahrungs- und Löschrichtlinien, Audit-Protokollierung mit SIEM-Integration, Meldeverfahren für Datenpannen gemäß DSGVO Artikel 33 und HIPAA Breach Notification Rule, Drittanbieter-Risikomanagement sowie Mitarbeiterschulungen. Jeder Bereich benötigt eine schriftliche Richtlinie, technische Umsetzung und Nachweise für Prüfer. Fehlt auch nur ein Bereich, kann ein reguliertes Unternehmen eine SOC-2-Typ-II-Prüfung nicht bestehen oder riskiert Durchsetzungsmaßnahmen durch Behörden wie den BfDI.

Mit Dateninventar und -klassifizierung beginnen

Vor jeder Tool-Entscheidung muss bekannt sein, welche Daten geteilt werden und wie sensibel sie sind. Ein Inventar aufbauen, geordnet nach Datenkategorie (personenbezogen, finanziell, gesundheitsbezogen, geistiges Eigentum), nach Herkunft (Mitarbeitende, Kunden, Partner) und nach reguliertem Status (DSGVO-personenbezogene Daten, PHI nach HIPAA, Karteninhaberdaten nach PCI DSS). Die Klassifizierung ist an Handhabungsregeln geknüpft. Ein Vier-Stufen-Schema (Öffentlich, Intern, Vertraulich, Eingeschränkt) funktioniert für die meisten Unternehmen. Das Inventar wird vierteljährlich aktualisiert. Tools wie Microsoft Purview, Google DLP und Varonis scannen Systeme und erstellen Klassifizierungsvorschläge. Ohne Inventar und Klassifizierung operiert jede andere Kontrolle auf der Grundlage von Vermutungen.

Rechtsgrundlage und Einwilligungsdokumentation

DSGVO Artikel 6 verlangt eine Rechtsgrundlage für jede Verarbeitungsaktivität. Bei Dateiübertragungen mit personenbezogenen Daten sind übliche Grundlagen die Vertragserfüllung (Zusenden einer Rechnung an einen Kunden), eine rechtliche Verpflichtung (HR-Unterlagen nach Arbeitsrecht), berechtigte Interessen (interne Berichterstattung) oder Einwilligung. Für jede Datenflussart dokumentieren, welche Grundlage gilt. Für besondere Kategorien nach Artikel 9 (Gesundheit, Biometrie, politische Meinungen) gilt die höhere Hürde der ausdrücklichen Einwilligung oder einer anderen spezifischen Bedingung. Einwilligungsnachweise müssen granular, widerrufbar und so lange aufbewahrt werden, wie die Verarbeitung andauert.

Anbieterverträge und Auftragsverarbeitungsverträge

Jeder Dateiübertragungsanbieter, der personenbezogene Daten verarbeitet, benötigt einen AVV nach DSGVO Artikel 28(3). Überprüfen, ob der AVV Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien, Kategorien betroffener Personen, Verantwortlichenpflichten und Auftragsverarbeiterverpflichtungen spezifiziert. Für US-regulierte Kontexte HIPAA Business Associate Agreements ergänzen, wo PHI beteiligt ist. AVVs jährlich und bei wesentlichen Dienstleistungsänderungen überprüfen. Unterzeichnete Exemplare in einem abrufbaren Archiv mit Ablaufbenachrichtigungen aufbewahren. Anbieter ohne AVV oder mit Vorlagen-AVVs, die DSGVO-Spezifika fehlen, sollten die Beschaffung nicht passieren.

Verschlüsselungskonfiguration überprüft

Die kryptografische Konfiguration des Tools mit der Richtlinie abgleichen. Dateien im Ruhezustand mit AES-256 (GCM oder CBC-HMAC) verschlüsselt. Dateien während der Übertragung durch TLS 1.3 mit Forward Secrecy geschützt. Schlüssel in einem HSM oder KMS mit dokumentierter Rotation verwaltet (Hauptschlüssel jährlich, Sitzungsschlüssel pro Verbindung). Für Ende-zu-Ende-verschlüsselte Dienste die Schlüsselableitungsfunktion prüfen (PBKDF2 mit 600.000+ Iterationen oder Argon2id mit kalibrierten Parametern) und überprüfen, dass der Server Schlüssel nicht allein aus Link-Fragmenten wiederherstellen kann. Das kryptografische Architekturdokument des Anbieters anfordern. Für regulierte Workloads bevorzugt Tools verwenden, bei denen eine serverseitige Kompromittierung keinen Klartext exponiert.

Zugangskontrollen und MFA-Durchsetzung

MFA auf jedem Konto ohne Ausnahmen. TOTP, WebAuthn/FIDO2 oder Push-Benachrichtigungs-Apps; SMS nur akzeptabel, wenn nichts anderes verfügbar ist. SSO-Integration mit dem Unternehmens-IdP (Okta, Azure AD, Google Workspace, Ping Identity) für zentrales Kontolebenszyklus-Management. Rollenbasierter Zugang mit geringstem Privileg: separate Rollen für Admin, Audit-Reviewer und regulären Absender. Sitzungs-Timeouts bei 15 bis 30 Minuten Inaktivität. Empfängerzugang über authentifizierte Links, nicht über teilbare URLs. Durchsetzung in den Produkteinstellungen überprüfen und durch den Versuch, MFA auf einem Testkonto zu umgehen, testen.

Aufbewahrungsrichtlinien technisch durchgesetzt

Eine Richtlinie auf Papier reicht Prüfern nicht. Das Tool muss die Aufbewahrung durchsetzen. Standardwerte je nach Datentier setzen: sieben Tage für allgemeine Übertragungen, Ablauf nach erstem Download für sensible Kategorien, länger nur mit dokumentiertem Grund. Sicherstellen, dass die Löschung bei Ablauf erfolgt und dass die Löschmechanismen (Löschung auf Dateiebene versus kryptografische Löschung) den Anforderungen entsprechen. Die Aufbewahrungssperrfunktion muss die Löschung für aufbewahrungspflichtige Dateien blockieren. Die Aufbewahrung testen: eine Beispieldatei hochladen, auf den Ablauf warten und die Unzugänglichkeit überprüfen. Testergebnisse als Prüfnachweis dokumentieren.

Audit-Protokollierung und Monitoring

Protokolle für jeden Upload, Download, Link-Erstellung, Link-Ablauf, Authentifizierungsversuch, MFA-Herausforderung und Admin-Aktion erfassen. Protokolle sollten Zeitstempel, Akteur, IP-Adresse, User Agent, Ressourcenidentifikator und Aktion enthalten. Protokolle an ein SIEM (Splunk, Sentinel, Elastic, Chronicle, Sumo Logic) zur Korrelation mit anderen Unternehmensereignissen streamen. Protokolle für die längste anwendbare Regel aufbewahren: sechs Jahre für HIPAA, sieben für SOX, drei bis fünf für viele staatliche Datenpannengesetze. Anomalien überwachen: Spitzen im Download-Volumen, Zugriff aus unerwarteten Regionen, Admin-Rechteänderungen, Häufung von Authentifizierungsfehlern.

Vorfallreaktion bereit vor dem Bedarf

Vorbereitung rettet die 72-Stunden-DSGVO-Uhr. Dokumentieren: namentlich genannte Incident-Response-Verantwortliche mit 24/7-Kontakt, Eskalationsbaum einschließlich Recht, Kommunikation und Executive-Sponsor, Benachrichtigungsvorlagen für jeden Aufseher (BfDI, zuständige Landesdatenschutzbehörden, ICO, HHS OCR, staatliche Staatsanwälte, Kartenmarken) und vorautorisierte Eindämmungsmaßnahmen (Link-Widerruf, Zugangsdatenrotation, Kontodeaktivierung). Mindestens zwei Tabletop-Übungen pro Jahr durchführen und After-Action-Berichte aufbewahren. Anbieter-Incident-Koordinationskontakte on file und getestet. Datenpannenmeldung innerhalb von 72 Stunden nach Kenntnis für die DSGVO, 60 Tage für HIPAA mit betroffenen Personen, 24 Stunden Frühwarnung für NIS2 bei erheblichen Vorfällen.

Drittanbieter-Risikomanagement

Ein Anbieterinventar mit aktuellem SOC-2-Typ-II- oder ISO-27001-Nachweis pflegen. Jährlich Penetrationstest-Zusammenfassungen anfordern. Externe Sicherheitsbewertungen (BitSight, SecurityScorecard, UpGuard) abonnieren und bei wesentlichen Punktabfällen alarmiert werden. Sicherheitsanforderungen an Unterauftragnehmer weitergeben. Anbieter jährlich oder bei wesentlichen Änderungen (Übernahme, Datenpanne, Technologie-Stack-Wechsel) neu bewerten. Für Finanzunternehmen unter DORA das Informationsregister nach Artikel 28 pflegen. Für kritische Infrastrukturen unter NIS2 die Anforderungen von Artikel 21 Absatz 2 Buchstabe d zur Lieferkettensicherheit erfüllen. Das BSI stellt für deutsche Unternehmen Prüflisten und Orientierungshilfen für das Lieferkettenrisikomanagement bereit.

Schulungen und eine Kultur, die hält

Jährliche Schulungen für alle Mitarbeitenden, die Geschäftsdaten verarbeiten. Rollenspezifische Module für Finanzen (PCI DSS), HR (Mitarbeiterdatenschutz), Gesundheitspersonal (HIPAA) und Recht (Verschwiegenheitsaspekte). Inhalte sollten reale, für das Unternehmen relevante Beispiele enthalten, keine generischen Videos. Vier Phishing-Simulationen pro Jahr. Schulung für neue Mitarbeitende in der ersten Woche. In der Richtlinie dokumentierte und konsequent angewandte Sanktionen bei Verstößen. Metriken zählen: Beteiligungsraten, Quizergebnisse, Rückgang gemeldeter Vorfälle nach Schulungen.

HexaTransfer verwendet clientseitige AES-256-GCM-Verschlüsselung, EU-Hosting, automatische Löschung nach sieben Tagen und exportierbare Protokolle und passt damit sauber zu den meisten der obigen Checklistenpunkte. Jetzt kostenlos testen unter https://hexatransfer.com – kein Konto erforderlich, bis zu 10 GB.

Eine Compliance-Checkliste ist nur nützlich, wenn jeder Punkt einen Verantwortlichen, eine Überprüfungsmethode und ein nächstes Überprüfungsdatum hat. Einmal durch diese zehn Bereiche zu gehen, findet offensichtliche Lücken. Das vierteljährliche Wiederholen hält das Programm aktuell, während sich Regeln weiterentwickeln und das Unternehmen sich verändert. Compliance als kontinuierliche operative Disziplin zu behandeln verwandelt die Dateifreigabe von einer Quelle von Überraschungen bei Prüfungen in ein beherrschtes Risiko.