ChatGPT und DSGVO im Unternehmen: Was konkret geprüft werden muss

Das Wichtigste in Kürze:

• Ohne personenbezogene Daten greift die DSGVO gar nicht.
• Mit Personenbezug braucht es Business-Tarif oder API mit AVV plus passende Einstellungen.
• Die größten Risiken sind private Accounts und fehlende Regeln, nicht die Technik.
• Eine Rechtsgrundlage pro Zweck bleibt deine Aufgabe, kein Anbieter nimmt sie dir ab.

„Dürfen wir ChatGPT eigentlich nutzen?“ ist in den meisten Unternehmen die falsche erste Frage, denn genutzt wird es längst. Die realistische Frage lautet anders: Unter welchen Bedingungen ist die Nutzung datenschutzrechtlich vertretbar? Und wie stellen wir diese Bedingungen her? Pauschale Antworten ignorieren, dass die Bewertung von 5 Faktoren abhängt: Tarif, Vertrag, Datenart, Zweck und Konfiguration. Das gilt für „ChatGPT ist DSGVO-widrig“ genauso wie für „mit dem Business-Tarif ist alles erledigt“.

Dieser Artikel geht die 5 Faktoren der Reihe nach durch, mit Risikomatrix samt Gegenmaßnahmen und Prüf-Checkliste am Ende. Er gehört zu unserem Themen-Cluster KI-Governance und ersetzt keine Rechtsberatung: Ich bin KI-Berater, kein Anwalt. Alle rechtlichen Aussagen geben den Stand Juli 2026 wieder. Sie stützen sich auf die verlinkten offiziellen Quellen, vor allem die Orientierungshilfen der Datenschutzkonferenz (DSK), das BSI und die OpenAI-Doku.

Das Problem: ChatGPT ist längst da

Dieses Muster sehe ich in KMU immer wieder. Einzelne Mitarbeitende nutzen ChatGPT mit privaten Free- oder Plus-Accounts für Arbeitsaufgaben. Da landen E-Mail-Entwürfe mit Kundennamen, Bewerbungen zum „Zusammenfassen“ oder interne Konzepte zum „Verbessern“ in einem Consumer-Dienst. Der trainiert in der Standardeinstellung mit diesen Eingaben. Niemand hat das entschieden. Es ist einfach passiert.

Genau davor warnen die Aufsichtsbehörden. Die DSK empfiehlt in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ von 2024 ausdrücklich, dass Arbeitgeber betriebliche Accounts und Geräte bereitstellen. So müssen Beschäftigte nicht mit privaten Accounts arbeiten, und beim Anbieter entstehen keine Nutzungsprofile einzelner Personen. Und sie weist darauf hin: Bleibt unklar, ob und wie KI-Anwendungen genutzt werden dürfen, steigt das Risiko eigenmächtigen Handelns. Das BSI formuliert es im Management-Blitzlicht zu generativer KI als Kernregel: Schatten-IT verhindern, nur genehmigte KI-Systeme verwenden, Firmenaccounts anlegen, datensparsame Konfiguration wählen.

Dieser Artikel richtet sich an Geschäftsführung, Operations, IT und Fachbereiche in KMU. Also an die Menschen, die ohne eigene Rechtsabteilung entscheiden müssen, ob und wie ChatGPT im Unternehmen laufen soll.

Begriffe kurz geklärt

4 Begriffe braucht es für eine saubere Prüfung.

• Personenbezogene Daten. Alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, nicht nur Name und Adresse. Die DSK betont: Namen aus einem Prompt zu entfernen reicht oft nicht, wenn sich der Bezug aus dem Zusammenhang ergibt.

• Verantwortlicher. Wer über Zwecke und Mittel der Verarbeitung entscheidet (Artikel 4 Nummer 7 DSGVO). Beim betrieblichen ChatGPT-Einsatz ist das dein Unternehmen, nicht der Anbieter.

• Auftragsverarbeiter. Verarbeitet Daten im Auftrag des Verantwortlichen auf Basis eines Auftragsverarbeitungsvertrags (AVV, Artikel 28 DSGVO). In Business-Konstellationen ist OpenAI typischerweise Auftragsverarbeiter.

• Offene und geschlossene Systeme. Die DSK unterscheidet Cloud-Dienste, bei denen Eingaben den geschützten Bereich verlassen und für Training oder andere Zwecke weiterlaufen können, von technisch abgeschlossenen Umgebungen mit eng begrenztem Nutzerkreis. Geschlossene Systeme stuft sie als vorzugswürdig ein. ChatGPT als Web-Dienst ist ein offenes System; wie offen, hängt von Tarif und Konfiguration ab.

Damit zu den 5 Prüffragen.

Welche Daten werden eingegeben?

Das ist die erste und wichtigste Frage, denn ohne personenbezogene Daten ist die DSGVO schlicht nicht anwendbar. Die DSK nennt das explizit: Einsatzfelder ohne personenbezogene Daten in Eingaben, Ausgaben und Anmeldeprozess unterliegen nicht dem Datenschutzrecht. Ihr Beispiel: Ein Entwicklungsteam lässt einen LLM-Chatbot Fehler in Code ohne Personenbezug suchen.

In der Praxis heißt das: Erfasse pro Anwendungsfall, was wirklich in Prompts und hochgeladenen Dateien steckt. Für den Anfang reicht eine grobe Einteilung in 3 Klassen.

1. Kein Personenbezug. Allgemeine Texte, Übersetzungen ohne Namen, Code, öffentliche Fachinfos, Brainstorming. Datenschutzrechtlich unkritisch; Geschäftsgeheimnisse sind trotzdem ein eigenes Thema (dazu unten).

2. Personenbezug wahrscheinlich oder versteckt. E-Mail-Entwürfe, Protokolle, Angebote, CRM-Auszüge. Hier steckt der Bezug oft im Kontext. Die DSK bringt ein anschauliches Beispiel: Schon der Prompt „Entwirf ein Arbeitszeugnis im befriedigenden Bereich für einen Kundenberater im Autohaus X“ kann Personenbezug haben. Nämlich dann, wenn erkennbar ist, aus welchem Unternehmen und zu welchem Zeitpunkt er gestellt wurde.

3. Klar personenbezogen oder besonders geschützt. Bewerbungen, Personalunterlagen, Kundendossiers, Gesundheitsangaben. Hier ist die volle Prüfung nötig: Rechtsgrundlage, Vertrag, Konfiguration, falls nötig eine Datenschutz-Folgenabschätzung.

Wichtig ist auch die Gegenrichtung. Die DSK weist darauf hin, dass eine Ausgabe personenbezogene Daten enthalten kann, obwohl die Eingabe keine enthielt, etwa bei gezielten Fragen nach einer Person. Auch dann können Rechtsgrundlage und Informationspflichten (Artikel 14 DSGVO) nötig sein.

Meine Empfehlung aus der Praxis: Verbiete nicht pauschal „Daten in ChatGPT“, sondern definiere positiv, welche Datenklassen in welchem Setup erlaubt sind. Pauschalverbote werden umgangen; konkrete Regeln werden befolgt.

Wer ist Verantwortlicher?

Kurz: dein Unternehmen. Die DSK stellt klar, dass eine Stelle, die eine KI-Anwendung eigenständig für eigene Zwecke einsetzt, in der Regel alleiniger Verantwortlicher ist. Das heißt konkret:

• Du brauchst eine Rechtsgrundlage für jede Verarbeitung personenbezogener Daten in ChatGPT, etwa ein berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO mit dokumentierter Abwägung. „Der Anbieter wird das schon geregelt haben“ ist keine.

• Du trägst die Informationspflichten gegenüber Betroffenen und musst deren Rechte auf Auskunft, Löschung und Berichtigung gewährleisten. Die DSK weist darauf hin, dass der Auftragsverarbeiter dich dabei nach Artikel 28 Absatz 3 Buchstabe e DSGVO unterstützen muss.

• Verstöße treffen dich. Der Bußgeldrahmen der DSGVO reicht nach Artikel 83 Absatz 5 bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Für ein KMU ist das realistischere Risiko aber meist eine Betroffenenbeschwerde oder eine Anfrage der Aufsicht, auf die dokumentierte Antworten fehlen.

2 Sonderfälle verdienen einen Blick. Erstens: Nutzen Beschäftigte private Accounts für Dienstliches, verarbeitet das Unternehmen trotzdem in eigener Verantwortung, nur ohne vertragliche Absicherung und ohne Kontrolle. Das ist die schlechteste denkbare Konstellation. Zweitens: Bei enger Verzahnung mit dem Anbieter oder gemeinsam festgelegten Zwecken kann nach der DSK auch eine gemeinsame Verantwortlichkeit vorliegen (Artikel 26 DSGVO). Für den typischen Einsatz als Kunde eines Business-Tarifs ist die Auftragsverarbeitung die übliche Einordnung.

Praktisch heißt Verantwortlichkeit vor allem: Eine benannte Person verantwortet den ChatGPT-Einsatz im Unternehmen. Die DSK empfiehlt, Datenschutzbeauftragte und Beschäftigtenvertretung früh einzubinden. Wo ein Betriebsrat existiert, kann die Einführung mitbestimmungspflichtig sein.

Welche Verträge und Einstellungen zählen?

Hier entscheidet sich der Großteil der Bewertung, und hier sind die Tarif-Unterschiede am größten. Stand Juli 2026 gilt nach den offiziellen OpenAI-Angaben:

• ChatGPT Free und Plus (Consumer). Eingaben werden in der Standardeinstellung zur Modellverbesserung verwendet. Das lässt sich in den Datenkontrollen abschalten („Für alle verbessern“); der temporäre Chat ist vom Training ausgenommen. Ein AVV fehlt in diesen Tarifen. Für personenbezogene Daten im Unternehmenskontext sind sie deshalb ungeeignet, unabhängig vom Trainings-Schalter.

• ChatGPT Business, Enterprise und Edu. OpenAI verwendet Inhalte aus diesen Tarifen laut eigener Doku standardmäßig nicht für das Training. Dazu kommen ein AVV und Admin-Kontrollen für Nutzerverwaltung, Aufbewahrung und Verknüpfungen.

• API. Daten über die API nutzt OpenAI seit März 2023 nicht für das Training, sofern man nicht ausdrücklich zustimmt. Logs zur Missbrauchserkennung werden laut API-Doku bis zu 30 Tage aufbewahrt. Für geeignete Kunden gibt es Zero Data Retention und eine EU-Datenresidenz (Speicherung und Verarbeitung im EWR) nach Freigabe durch OpenAI.

Der Vertrag ist die eine Hälfte, die Konfiguration die andere. Die DSK fordert ausdrücklich, Accounts datenschutzfreundlich voreinzustellen: Trainingsnutzung ausschließen, Eingabe-Historie nicht über die Sitzung hinaus speichern, Ausgaben nicht automatisch veröffentlichen. Das BSI ergänzt: Löschfristen für Chats und Dokumente setzen. Konkret prüfst du mindestens 4 Punkte.

• Ist die Trainingsnutzung vertraglich und in den Einstellungen ausgeschlossen?
• Wie lange werden Chats und hochgeladene Dateien gespeichert, und wer kann sie einsehen?
• Sind Memory-Funktionen und Verknüpfungen zu Drittdiensten wie Laufwerken oder Kalendern bewusst aktiviert oder deaktiviert?
• Laufen Accounts über die Firmen-Domain mit zentraler Verwaltung oder verstreut über private E-Mail-Adressen?

Die DSK empfiehlt zudem, Accounts möglichst nicht mit Namen einzelner Beschäftigter zu führen, sondern Funktionsadressen zu nutzen, soweit die Anwendung nicht auf eigenen Servern läuft.

Ein Punkt bleibt auch mit bestem Vertrag: ChatGPT wird von einem US-Anbieter betrieben. Drittlandübermittlungen sind nach Kapitel V der DSGVO zu prüfen. Aktuell stützen sich Anbieter auf Angemessenheitsbeschluss und Standardvertragsklauseln. Diesen Teil kannst du nicht konfigurieren, nur dokumentieren und beobachten.

Welche Daten sollten nicht hinein?

Auch im korrekt konfigurierten Business-Tarif gilt Datenminimierung. Es geht hinein, was für den Zweck erforderlich ist, nicht, was gerade praktisch wäre. 4 Kategorien gehören ohne besondere Prüfung und Absicherung nicht in ChatGPT.

1. Besondere Kategorien nach Artikel 9 DSGVO. Gesundheitsdaten, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, biometrische Daten. Die DSK mahnt hier besondere Vorsicht an; die Rechtsgrundlagen sind eng.

2. Beschäftigtendaten mit Bewertungscharakter. Arbeitszeugnisse, Leistungsbeurteilungen, Krankheitsverläufe, Bewerbungen. Neben der DSGVO können Mitbestimmung und je nach Einsatz Pflichten aus der KI-Verordnung greifen. Bewerbungsauswahl per KI fällt nach der Systematik der Verordnung in den Hochrisikobereich.

3. Kundendaten ohne Rechtsgrundlage. Ganze E-Mail-Verläufe, Verträge, Support-Tickets mit Klarnamen. Oft reicht für den Zweck ein gekürzter oder wirklich anonymisierter Auszug. Echte Anonymisierung ist aber schwerer, als Namen zu löschen (siehe oben).

4. Geschäftsgeheimnisse und Verschlusssachen. Kein DSGVO-Thema, aber dasselbe Einfallstor. Die DSK warnt ausdrücklich vor nicht-öffentlichen dienstlichen Informationen in offenen Systemen. Das BSI formuliert als Grundregel, personenbezogene Daten und sensible Geschäftsinfos nie ohne schützende Maßnahmen weiterzugeben.

Dazu kommt die Ausgabeseite, die in Datenschutzdiskussionen gern untergeht. Das BSI rät, KI-Ausgaben nie ungeprüft zu übernehmen und nicht ungeprüft in kritischen Geschäftsprozessen zu verwenden. Ein faktisch falscher, von ChatGPT formulierter Satz über eine reale Person ist nicht nur peinlich. Er kann ein Datenschutzproblem sein, Stichwort Richtigkeitsgrundsatz nach Artikel 5 DSGVO.

Welche Alternativen gibt es?

Passt ChatGPT als Web-Dienst für bestimmte Daten oder Prozesse nicht, heißt das nicht „keine KI“. Es gibt 3 realistische Optionen, grob nach Aufwand sortiert.

• Gleicher Anbieter, engeres Setup. Die OpenAI-API statt der Chat-Oberfläche, mit EU-Datenresidenz, kurzer oder keiner Speicherung (Zero Data Retention nach Freigabe) und eigener Zugriffskontrolle in einer intern gebauten Anwendung. Das senkt Speicherung und Streuung deutlich, erfordert aber Entwicklung und Betrieb.

• Modelle über europäische Cloud- oder Plattformanbieter. Mit EU-Hosting und AVV, funktional oft vergleichbar, vertraglich und geografisch enger gefasst. Die Details ändern sich laufend; entscheidend ist, jedem Anbieter dieselben 5 Prüffragen zu stellen.

• Selbst betriebene Open-Weight-Modelle. Auf eigener oder dedizierter Infrastruktur; das kommt dem von der DSK bevorzugten geschlossenen System am nächsten. Eingaben verlassen das eigene Umfeld nicht. Dafür trägst du Betrieb, Sicherheit und Modellqualität selbst; die DSK-Orientierungshilfe zu technischen und organisatorischen Maßnahmen zeigt, wie viele Pflichten Entwicklung und Eigenbetrieb mitbringen. Für die meisten KMU lohnt das nur für klar umrissene, sensible Fälle.

Ehrlich gesagt: Für viele KMU ist die pragmatische Lösung eine Kombination. Business-Tarif für den Alltag mit klaren Datenregeln, API-Integration für Prozesse mit Kundendaten, und für die wenigen wirklich sensiblen Fälle ein geschlossenes Setup oder bewusster Verzicht.

Risikomatrix: Szenarien und Gegenmaßnahmen

Die Matrix ist mein Arbeitsmodell aus Beratungsprojekten, keine amtliche Vorlage. Sie bewertet die 7 häufigsten ChatGPT-Szenarien in KMU nach Wahrscheinlichkeit und Schadenspotenzial, jeweils mit der wirksamsten Gegenmaßnahme.

• Private Free- oder Plus-Accounts für Arbeitsdaten. Wahrscheinlichkeit: hoch, ohne Regelung passiert es fast immer. Schaden: hoch, denn es drohen Training mit Unternehmensdaten, kein AVV, kein Überblick. Gegenmaßnahme: Business-Accounts bereitstellen, private Nutzung für Dienstliches per Richtlinie ausschließen, Schulung.

• Kundendaten im Prompt ohne Rechtsgrundlage. Wahrscheinlichkeit: mittel. Schaden: hoch über Betroffenenrechte, Beschwerden und Bußgeldrisiko. Gegenmaßnahme: erlaubte Datenklassen definieren, Prompts auf das Erforderliche kürzen, API-Setup für datenhaltige Prozesse.

• Bewerbungs- oder Beschäftigtendaten in ChatGPT, etwa ein Zeugnis-Entwurf. Wahrscheinlichkeit: mittel. Schaden: hoch wegen Artikel 88 DSGVO, Mitbestimmung und möglicher Hochrisiko-Einstufung nach KI-Verordnung. Gegenmaßnahme: HR-Fälle separat prüfen, DSB und Betriebsrat einbinden, im Zweifel ausschließen.

• Versteckter Personenbezug trotz entfernter Namen. Wahrscheinlichkeit: hoch. Schaden: mittel, unbemerkte Verarbeitung ohne Grundlage. Gegenmaßnahme: Sensibilisierung mit konkreten Beispielen, Vier-Augen-Regel bei Uploads ganzer Dokumente.

• Chat-Historie oder Memory sammelt über Monate sensible Fragmente. Wahrscheinlichkeit: mittel. Schaden: mittel durch Profilbildung und Offenlegung bei Account-Kompromittierung. Gegenmaßnahme: Aufbewahrungsfristen setzen, Memory bewusst konfigurieren, Zugriffe und Verknüpfungen minimieren.

• Falsche personenbezogene Ausgabe wird weiterverwendet. Wahrscheinlichkeit: mittel. Schaden: mittel über Richtigkeitsgrundsatz und Reputationsschaden. Gegenmaßnahme: Ausgaben mit Personenbezug immer prüfen, keine automatische Weiterverarbeitung ohne Kontrolle.

• Die Grundlage für Drittlandtransfers ändert sich. Wahrscheinlichkeit: niedrig bis mittel. Schaden: mittel, weil Nachverhandlung oder Anbieterwechsel nötig wird. Gegenmaßnahme: Transfer dokumentieren, Entwicklungen verfolgen, Exit-Option wie API-Abstraktion oder Alternativanbieter einplanen.

Die Reihenfolge ist bewusst gewählt. Die 2 größten Praxisrisiken sind organisatorisch (private Accounts, fehlende Regeln), nicht technisch. Wer nur am Tarif schraubt, aber keine Regeln und Schulungen hat, behandelt das kleinere Problem.

Umsetzung: 5 Schritte zur geregelten Nutzung

So sieht ein realistisches Vorgehen für ein KMU aus. Als Bandbreite: Mit vorhandenem Ansprechpartner für Datenschutz sind die Schritte 1 bis 4 aus Erfahrung in wenigen Wochen machbar, ohne Vorarbeit und mit Betriebsrat entsprechend länger.

1. Ist-Stand erfassen. Wer nutzt heute welche KI-Tools mit welchen Accounts und Daten? Das BSI nennt das Demand Management; ohne diese Bestandsaufnahme regelst du am tatsächlichen Verhalten vorbei.

2. Tarif- und Vertragsentscheidung. Business-Tarif oder API wählen, AVV abschließen, Drittlandtransfer dokumentieren. Consumer-Accounts für dienstliche Zwecke explizit beenden.

3. Konfigurieren. Training ausgeschlossen, Aufbewahrung und Memory bewusst eingestellt, zentrale Account-Verwaltung, Verknüpfungen zu Drittdiensten nur nach Prüfung.

4. Regeln und Schulung. Eine kurze, konkrete KI-Richtlinie mit erlaubten Tools, erlaubten Datenklassen, verbotenen Fällen und Prüfpflicht für Ausgaben. Dazu eine Schulung mit echten Beispielen aus eurem Alltag; die DSK nennt Sensibilisierung ausdrücklich als Maßnahme, und die KI-Verordnung verlangt seit Februar 2025 ohnehin KI-Kompetenz bei den Beschäftigten. Wenn du dafür Unterstützung willst: Genau dafür gibt es unsere KI-Schulungen.

5. Prüfen und nachziehen. Bei riskanten Verarbeitungen die Datenschutz-Folgenabschätzung prüfen (Artikel 35 DSGVO) und Datenschutzbeauftragte einbinden. Die Bewertung regelmäßig wiederholen; die DSK verlangt, rechtliche und technische Entwicklungen laufend zu verfolgen. Ein fester Review-Rhythmus, etwa je Quartal, reicht meist.

Risiken und Grenzen

Zur ehrlichen Bewertung gehören 4 offene Punkte, Stand Juli 2026.

• Keine Konformitätsgarantie. Weder ein Enterprise-Vertrag noch dieser Artikel machen deine Nutzung automatisch rechtmäßig. Die Rechtsgrundlage pro Zweck musst du selbst herstellen und dokumentieren. Im Zweifel gehört die Frage zu Anwalt oder Datenschutzbeauftragtem.

• Das Trainingsdaten-Erbe. Ob die Modelle selbst datenschutzkonform trainiert wurden, kannst du als Anwender weder prüfen noch heilen. Die DSK stellt klar, dass Anwender auf diese Parameter in der Regel keinen Einfluss haben; sicherstellen musst du „nur“, dass sich Fehler des Anbieters nicht auf deine Verarbeitung auswirken. Ein Restrisiko bleibt.

• Bewegliche Rechtslage. Die KI-Verordnung wird gestaffelt anwendbar: Verbote seit Februar 2025, Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck seit August 2025, Transparenzpflichten ab August 2026, Hochrisiko-Pflichten mit Übergangsfristen bis 2027. Auch die Grundlagen für Drittlandtransfers waren historisch nicht stabil. Plane so, dass du wechseln könntest.

• Konfiguration verfällt. Anbieter ändern Funktionen, Voreinstellungen und Tarife laufend; neue Features wie Laufwerks-Verknüpfungen oder Memory verschieben die Bewertung. Ohne regelmäßigen Review veraltet deine Doku schneller, als dir lieb ist.

Wenn du unsicher bist, wo dein Unternehmen steht: Im Rahmen unserer KI-Beratung erfassen wir KI-Nutzung, Datenflüsse und Leitplanken strukturiert. Du bekommst eine priorisierte Liste, was zuerst zu regeln ist. Ein unverbindliches Erstgespräch reicht, um den Umfang einzuschätzen.

Checkliste: ChatGPT-Einsatz prüfen

• Ist-Stand: Alle aktuell genutzten KI-Tools und Accounts erfasst, auch private.

• Datenarten: Pro Anwendungsfall geklärt, ob personenbezogene Daten in Eingaben, Uploads oder Ausgaben vorkommen, inklusive verstecktem Personenbezug.

• Verantwortlichkeit: Interne Zuständigkeit benannt; Datenschutzbeauftragte und falls nötig Betriebsrat eingebunden.

• Rechtsgrundlage: Für jeden Zweck mit Personenbezug bestimmt und dokumentiert.

• Vertrag: Business-Tarif oder API mit AVV; Drittlandtransfer dokumentiert.

• Konfiguration: Training ausgeschlossen, Aufbewahrung und Memory eingestellt, zentrale Verwaltung, Funktions- statt Personen-Accounts wo möglich.

• Datenregeln: Erlaubte und verbotene Datenklassen schriftlich definiert; Artikel-9-Daten, Beschäftigtendaten und Geschäftsgeheimnisse ausgeschlossen.

• Ausgabenkontrolle: Prüfpflicht für Ausgaben mit Personenbezug oder Geschäftsrelevanz festgelegt.

• Schulung: Beschäftigte mit konkreten Beispielen sensibilisiert; KI-Kompetenz nach KI-Verordnung adressiert.

• DSFA: Geprüft, ob eine Datenschutz-Folgenabschätzung nötig ist.

• Review: Fester Rhythmus für die Prüfung von Einstellungen, Verträgen und Rechtslage etabliert.

Wer diese 11 Punkte abarbeitet, hat keine Garantie auf Rechtskonformität. Aber er hat eine belastbare, dokumentierte Grundlage, die den Empfehlungen von DSK und BSI folgt. Und das ist der Unterschied zwischen „wir hoffen, dass nichts passiert“ und „wir wissen, was wir tun“.