Daten-Governance: Was es ist, warum es wichtig ist und wie man ein Programm aufbaut

Die meisten Unternehmen stellen erst zum ungünstigsten Zeitpunkt fest, dass sie ein Data-Governance-Programm benötigen. Es steht eine behördliche Prüfung an, eine Untersuchung eines Datenschutzverstoßes wird eingeleitet oder es stellt sich heraus, dass eine geschäftliche Entscheidung auf Daten basiert, deren Richtigkeit niemand bestätigen kann. Das Programm wird unter Druck, auf Kosten des Unternehmens und mit Dringlichkeit als treibender Kraft statt mit strategischer Ausrichtung aufgebaut.

Proaktive Datenverwaltung ist deutlich kostengünstiger als reaktive Datenverwaltung. Es ist besser, Richtlinien, Verantwortlichkeitsstrukturen und technische Kontrollmechanismen zu etablieren, die sicherstellen, dass Daten korrekt, zugänglich, sicher und konform sind, bevor etwas schiefgeht, als diese jedes Mal erst unter dem Druck behördlicher Kontrollen einzurichten.

Laut dem „Kaseya State of the MSP Report 2026“ zählen 71 % der MSPs Cybersicherheitsprobleme zu ihren größten geschäftlichen Herausforderungen, wobei Mängel bei der Datenverwaltung sowie Lücken bei der Klassifizierung, der Zugriffskontrolle und den Aufbewahrungsrichtlinien eine der Hauptursachen für die damit verbundenen Compliance-Risiken und die Anfälligkeit für Datenschutzverletzungen sind . Laden Sie den vollständigen Bericht herunter.

Dieser Leitfaden erläutert, was Daten-Governance ist, warum sie in den wichtigsten Rahmenwerken zu einer Compliance-Anforderung geworden ist und wie ein Programm aufgebaut werden kann, das einen echten operativen und prüfungstechnischen Mehrwert bietet.

Compliance über verschiedene Rahmenwerke hinweg verwalten

Compliance Manager GRC Die Lösung bildet die Kontrollmechanismen gemäß „ DSGVO “, HIPAA, CMMC, SOC 2 und weiteren Standards gleichzeitig ab und bietet MSPs damit eine zentrale Plattform, um die Einhaltung der Daten-Governance-Vorgaben für jeden Kunden zu bewerten, nachzuweisen und darüber Bericht zu erstatten.

Entdecken Compliance Manager GRC

Was ist Data Governance?

Daten-Governance ist das Rahmenwerk aus Richtlinien, Standards, Verantwortlichkeiten und Prozessen, das festlegt, wie eine Organisation ihre Datenbestände verwaltet. Es gibt Antworten auf grundlegende Fragen, die viele Organisationen nach wie vor nicht zufriedenstellend beantworten können: Über welche Daten verfügen wir? Wo befinden sie sich? Wer ist dafür verantwortlich? Wie genau sind sie? Wer hat Zugriff darauf? Wie lange sollten wir sie aufbewahren? Was sind unsere gesetzlichen Verpflichtungen in Bezug auf diese Daten?

Governance steht über dem Datenmanagement. Das Datenmanagement ist operativer Natur und umfasst die Werkzeuge und Verfahren zur Speicherung, zum Schutz und zur Wiederherstellung von Daten. Die Daten-Governance ist organisatorischer Natur und umfasst die Regeln, Rollen und Verantwortungsstrukturen, die festlegen, wie diese operativen Aktivitäten durchgeführt werden und von wem.

Ein formelles Rahmenwerk für die Datenverwaltung umfasst in der Regel eine Richtlinie zur Datenverwaltung (welche Regeln gelten), einen Datenverwaltungsrat oder ein Stewardship-Modell (wer trifft Entscheidungen), ein Datenwörterbuch oder einen Datenkatalog (welche Daten vorhanden sind und was sie bedeuten), Datenqualitätsstandards (wie genau und vollständig die Daten sein müssen) sowie Kontrollmechanismen für den Datenzugriff, die Aufbewahrung und die Löschung von Daten.

Daten-Governance vs. Datenmanagement

Diese Begriffe sind zwar miteinander verwandt, aber dennoch unterschiedlich, und ihre Vermischung führt zu unvollständigen Programmen.

Die Daten-Governance legt die Regeln fest: Welche Standards gelten, wer ist verantwortlich, welche Entscheidungen müssen getroffen werden und wie wird die Einhaltung der Vorschriften durchgesetzt? Im Grunde handelt es sich dabei um eine Funktion, die Richtlinien und Verantwortlichkeiten regelt.

Das Datenmanagement setzt folgende Regeln um: Datensicherung, Sicherheit, Zugriffskontrolle, Einhaltung von Aufbewahrungsfristen und Wiederherstellung. Es handelt sich dabei im Wesentlichen um eine betriebliche und technische Funktion.

Eine gute Daten-Governance ohne gutes Datenmanagement führt zu Richtlinien, die niemals durchgesetzt werden. Ein gutes Datenmanagement ohne gute Daten-Governance führt zu technisch kompetenten Abläufen, bei denen jedoch unklar ist, welche Regeln umgesetzt werden oder wer die Verantwortung trägt, wenn etwas schiefgeht. Für ein umfassendes Programm sind beide Aspekte erforderlich.

Warum Data Governance zu einer Compliance-Anforderung geworden ist

Durch die rechtlichen Rahmenbedingungen in verschiedenen Rechtsordnungen ist die Datenverwaltung mittlerweile eher eine gesetzliche Verpflichtung als eine bewährte betriebliche Praxis.

DSGVO (EU/UK) verpflichtet Organisationen dazu, zu wissen, welche personenbezogenen Daten sie speichern, warum sie diese speichern, woher sie stammen, wie lange sie aufbewahrt werden und wer Zugriff darauf hat. Datenschutz-Folgenabschätzungen, Aufzeichnungen über Verarbeitungsvorgänge und die Bearbeitung von Anträgen betroffener Personen beruhen allesamt auf einer Governance-Grundlage, die diese Fragen schnell und präzise beantworten kann.

Die HIPAA (US-Gesundheitsgesetzgebung) schreibt dokumentierte administrative, physische und technische Sicherheitsvorkehrungen für geschützte Gesundheitsdaten vor. Die von der HIPAA geforderten Verantwortlichkeitsstrukturen und Zugriffskontrollen sind per Definition Anforderungen an die Unternehmensführung und keine rein technischen Anforderungen.

Der CCPA/CPRA (Kalifornien) erweitert die Rechte betroffener Personen in Bezug auf Auskunft, Löschung und Widerspruch – Anforderungen, deren Erfüllung davon abhängt, dass Sie wissen, welche personenbezogenen Daten Sie über Einwohner Kaliforniens gespeichert haben. Dies ist nur mit einer entsprechenden Governance-Infrastruktur möglich.

Die NIS2-Richtlinie (EU) schreibt vor, dass Organisationen Risikomanagementrichtlinien umsetzen müssen, die die Datensicherheit und die Verantwortlichkeit für die Informationssicherheit auf Führungsebene abdecken.

Bei SOC-2-Prüfungen wird gezielt überprüft, ob eine Organisation über die Richtlinien und Kontrollmaßnahmen sowie das Governance-Rahmenwerk verfügt, auf deren Grundlage ihre technischen Sicherheitskontrollen umgesetzt werden.

Der rote Faden: Die Aufsichtsbehörden wollen nicht nur wissen, dass die Daten technisch geschützt sind. Sie verlangen Nachweise für eine strukturierte Rechenschaftspflicht und dokumentierte Richtlinien. Genau das bietet die Daten-Governance. Ohne sie reichen technische Kontrollmaßnahmen allein nicht aus, um die Einhaltung der Vorschriften nachzuweisen.

Die Kernkomponenten eines Data-Governance-Programms

Dateninventar und Klassifizierung. Was man nicht kennt, kann man auch nicht steuern. Ein Dateninventar erfasst, über welche Daten das Unternehmen verfügt, wo sie sich befinden (vor Ort, in der Cloud, als SaaS, bei Dritten), was sie enthalten und wie sensibel sie sind. Bei der Klassifizierung werden Sensibilitätsstufen zugewiesen – öffentlich, intern, vertraulich, eingeschränkt –, die die für die jeweilige Datenkategorie geltenden Kontrollmaßnahmen bestimmen. Dies ist der grundlegende Schritt, auf dem alles Weitere aufbaut.

Rollen und Verantwortlichkeiten. Daten-Governance erfordert klar definierte Zuständigkeiten. Ein Datenverantwortlicher (in der Regel ein Leiter eines Geschäftsbereichs) trägt die Verantwortung für die Qualität, die Zugriffsrichtlinien und die Compliance eines Datenbereichs. Ein Datenverwalter kümmert sich um die täglichen Governance-Aktivitäten. Die IT-Abteilung setzt die technischen Kontrollmaßnahmen um, die die Governance-Richtlinien erfordern. Ohne klar benannte Verantwortlichkeiten werden keine Governance-Entscheidungen getroffen, und die Richtlinien weichen im Laufe der Zeit von der Praxis ab.

Datenqualitätsstandards. Zur Governance gehört es, für jeden Bereich festzulegen, wie „gute Daten“ aussehen: Genauigkeitsstandards, Anforderungen an die Vollständigkeit sowie die Prozesse zur Erkennung und Behebung von Problemen. Eine schlechte Datenqualität birgt Geschäftsrisiken (Entscheidungen auf der Grundlage ungenauer Daten) und Compliance-Risiken (ungenaue personenbezogene Datensätze führen zu Verstößen gegen den „ DSGVO “ und das HIPAA).

Zugriffsrichtlinien und -kontrollen. Wer darf unter welchen Bedingungen und nach welchem Genehmigungsverfahren auf welche Daten zugreifen? Die rollenbasierte Zugriffskontrolle (RBAC) setzt die Richtlinie der geringsten Berechtigungen technisch um. Die Unternehmensführung legt fest, wie diese Richtlinien aussehen sollen; die IT-Abteilung setzt sie um.

Richtlinie zur Aufbewahrung und Löschung von Daten. Wie lange verschiedene Datenkategorien aufbewahrt werden (abhängig von gesetzlichen Anforderungen und geschäftlichen Erfordernissen), welche Speicherebene während der Aufbewahrungsfrist gilt und wie Daten am Ende ihrer Lebensdauer sicher gelöscht werden. Die automatisierte Durchsetzung der Aufbewahrungsfristen gewährleistet, dass die Richtlinie konsequent eingehalten wird, anstatt sich auf manuelle Prozesse zu verlassen, die unter Betriebsdruck oft übersprungen werden.

Überwachung der Compliance und Berichterstattung. Regelmäßige Überprüfung der Einhaltung der Richtlinien zur Daten-Governance: Zugriffskontrollen, Datenqualitätsprüfungen, Einhaltung der Aufbewahrungsfristen und Meldung von Vorfällen. Der Nachweis einer kontinuierlichen Governance ist es, der Prüfer und Aufsichtsbehörden bei einer Begutachtung überzeugt.

Daten-Governance für MSPs

MSPs, die Kundendaten verarbeiten, unterliegen neben ihren operativen Aufgaben auch erheblichen Governance-Verpflichtungen.

Vertragliche Datenverwaltung. In Dienstleistungsverträgen sollte festgelegt werden, auf welche Daten der MSP zugreift, wie diese Daten behandelt werden, welche Verpflichtungen der MSP im Falle einer Datenschutzverletzung hat, die Kundendaten betrifft, und was mit den Kundendaten nach Vertragsende geschieht. Vage Vertragsbedingungen führen zu Unklarheiten hinsichtlich der Haftung, was keiner der Parteien zugutekommt, wenn etwas schiefgeht.

Unterstützung bei der Klassifizierung von Kundendaten. MSPs, die ihren Kunden dabei helfen, ihre Daten zu verstehen und zu klassifizieren und dabei das Bestandsverzeichnis sowie die Klassifizierungsstruktur aufzubauen, die Compliance-Rahmenwerke erfordern, positionieren sich als strategische Berater und nicht als reine IT-Dienstleister. Dies ist besonders wertvoll für Kunden in regulierten Branchen (Gesundheitswesen, Finanzwesen, Rechtswesen), die Governance-Verpflichtungen haben, aber nicht über das interne Fachwissen verfügen, um diese zu erfüllen.

Compliance als Managed Service. Governance-Rahmenwerke wie „ DSGVO “, HIPAA und SOC 2 erfordern dokumentierte Kontrollmaßnahmen und den fortlaufenden Nachweis der Compliance. Genau diese Art von Programm können MSPs mit den richtigen Tools als wiederkehrende Dienstleistung anbieten. „ Compliance Manager GRC “ bietet einen strukturierten Workflow für das Compliance-Management, mit dem IT-Fachleute mehrere Compliance-Rahmenwerke gleichzeitig und für verschiedene Kunden von einer einzigen Plattform aus verwalten können. Erfahren Sie mehr unter Compliance Manager GRC.

Dokumentation zur Datenverwaltung pro Kunde. Die Dokumentation zur Datenklassifizierung, zu den Aufbewahrungsrichtlinien und zur Zugriffskontrolle jedes Kunden sollte auf der Dokumentationsplattform des MSP (IT Glue) gepflegt werden – nicht nur im Interesse der betrieblichen Effizienz, sondern auch als Nachweis für die gebotene Sorgfalt bei der Datenverwaltung. Wenn ein Kunde einer Prüfung oder einer Untersuchung eines Vorfalls ausgesetzt ist, befindet sich der MSP, der eine übersichtliche und aktuelle Dokumentation vorlegen kann, in einer wesentlich stärkeren Position als ein MSP, der dazu nicht in der Lage ist.

Aufbau eines praxisorientierten Data-Governance-Programms

Daten-Governance-Programme scheitern, wenn sie von Anfang an zu ehrgeizig angelegt sind. Ein schrittweiser Ansatz ist einer „Big-Bang“-Implementierung durchweg überlegen.

Phase 1: Bestandsaufnahme und Klassifizierung. Machen Sie sich zunächst ein Bild davon, was Sie haben, bevor Sie Richtlinien dafür erstellen. Führen Sie eine Datenerfassung durch (nach Möglichkeit mit Hilfe von Tools), um Datenbestände, Speicherorte und die Sensibilität der Daten zu erfassen. Allein diese Phase deckt die wichtigsten Compliance-Risiken auf und bildet die Grundlage für alle weiteren Schritte. Überspringen Sie sie nicht, um schneller mit der Erstellung der Richtlinien beginnen zu können.

Phase 2: Verantwortlichkeiten zuweisen. Datenverantwortliche für die wichtigsten Datenbereiche benennen. Diese über ihre Aufgaben informieren. Einen schlanken Governance-Rat einrichten, der vierteljährlich zusammentritt, um Entscheidungen zur Governance-Richtlinie zu treffen. Verantwortlichkeit ohne Bürokratie.

Schritt 3: Festlegung und Umsetzung einer Aufbewahrungsrichtlinie. Erstellen Sie Aufbewahrungsfristen auf der Grundlage gesetzlicher Anforderungen und geschäftlicher Erfordernisse. Konfigurieren Sie nach Möglichkeit technische Maßnahmen zur Durchsetzung der Aufbewahrungsfristen: automatisierte Löschworkflows, Übergänge in Archiv-Ebenen. Dokumentieren Sie die Richtlinie und deren Umsetzung.

Schritt 4: Zugriffskontrollen implementieren. Die aktuellen Zugriffsrechte anhand des Prinzips der geringsten Berechtigungen überprüfen. Überflüssige Berechtigungen entfernen. RBAC dort implementieren, wo es noch nicht vorhanden ist. Die Zugriffsrichtlinien nach Datenkategorien dokumentieren.

Phase 5: Überwachung und Nachweisführung. Führen Sie regelmäßige Überprüfungen der Zugriffsrechte, Datenqualitätsaudits und Kontrollen der Einhaltung von Governance-Richtlinien durch. Dokumentieren Sie die Ergebnisse. Diese Dokumentation erfüllt die regulatorischen und Prüfungsanforderungen und unterscheidet Unternehmen, die Audits erfolgreich bestehen, von denen, die sich mühsam durch sie hindurchkämpfen.

Die wichtigsten Erkenntnisse

• Daten-Governance definiert die Regeln, Rollen und Verantwortlichkeiten für den Umgang mit Daten. Sie steht über dem Datenmanagement und wird von den Aufsichtsbehörden bei der Bewertung der Compliance geprüft.
• DSGVO, HIPAA, CCPA, NIS2 und SOC 2 enthalten allesamt Governance-Anforderungen, die über technische Kontrollmaßnahmen hinausgehen. Sie erfordern dokumentierte Richtlinien, Strukturen zur Rechenschaftspflicht und den Nachweis der fortlaufenden Einhaltung der Vorschriften.
• Ein praxisorientiertes Programm beginnt mit einer Bestandsaufnahme und Klassifizierung, bevor Richtlinien erstellt werden. Man kann nicht regeln, was man nicht kennt.
• Für MSPs ist Data Governance sowohl eine vertragliche Verpflichtung als auch eine strategische Chance zur Erbringung von Dienstleistungen, insbesondere für Kunden in regulierten Branchen, die eine Governance-Infrastruktur benötigen, aber nicht über das erforderliche interne Fachwissen verfügen, um diese aufzubauen.