Warum ist IT-Sicherheit bei Zeiterfassungssystemen wichtig?
Zeiterfassungssysteme verarbeiten täglich sensible Daten: wann Mitarbeiter arbeiten, wo sie sich aufhalten (GPS), welche Projekte sie bearbeiten und wie lange. Das sind personenbezogene Daten im Sinne der DSGVO — ihre Verarbeitung ist nur unter strikten Sicherheitsanforderungen zulässig.
Gleichzeitig sind Zeiterfassungsdaten die Grundlage für Lohnabrechnung, Mindestlohnnachweis und Betriebsprüfungen. Ein Datenverlust oder eine Manipulation hat damit nicht nur datenschutzrechtliche, sondern direkte wirtschaftliche Konsequenzen.
IT-Sicherheit bei Zeiterfassungssystemen ist deshalb relevant für alle Betriebe — von der Agentur über den Pflegedienst bis zum Bauunternehmen. Im Handwerk und Bau kommt hinzu, dass mobile Lösungen, wechselnde Baustellen und oft einfachere IT-Infrastruktur besondere Risiken schaffen. Mehr zur DSGVO und Zeiterfassung allgemein im gleichnamigen Beitrag.
Rechtliche Grundlage: Art. 32 DSGVO und TOMs
Art. 32 DSGVO verpflichtet jeden Verantwortlichen, geeignete technische und organisatorische Maßnahmen (TOMs) zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Das gilt auch für Zeiterfassungssysteme — unabhängig von der Betriebsgröße.
TOMs müssen dokumentiert sein — in einem internen Verzeichnis, das bei Datenschutzprüfungen vorgelegt werden kann. Zu den geforderten Maßnahmen zählen:
- Pseudonymisierung und Verschlüsselung personenbezogener Daten
- Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherzustellen
- Fähigkeit, Verfügbarkeit und Zugang bei einem Zwischenfall schnell wiederherzustellen
- Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen
Die wichtigsten IT-Sicherheitsanforderungen im Überblick
1. Verschlüsselung
Zeiterfassungsdaten müssen sowohl bei der Übertragung (in transit) als auch bei der Speicherung (at rest) verschlüsselt sein:
- Transportverschlüsselung: HTTPS/TLS 1.2 oder höher für alle Verbindungen zwischen App, Browser und Server
- Datenverschlüsselung: Daten auf dem Server müssen verschlüsselt gespeichert sein — so dass ein unbefugter Zugriff auf die Datenbank keine lesbaren Informationen liefert
2. Zugriffskontrollen
Nicht jeder darf alle Daten sehen. Ein rollenbasiertes Zugriffskonzept regelt:
- Mitarbeiter sehen nur eigene Zeitdaten
- Vorgesetzte sehen nur die Daten ihrer Teams
- Administratoren haben erweiterten Zugriff — mit besonderer Protokollierung
- Zwei-Faktor-Authentifizierung (2FA) für Admin-Zugänge
3. Audit-Log und Manipulationsschutz
Zeiterfassungsdaten sind Rechtsdokumente — sie müssen manipulationssicher sein. Ein Audit-Log dokumentiert:
- Wer wann welchen Eintrag erstellt, geändert oder gelöscht hat
- Systemänderungen und Admin-Aktionen
- Fehlgeschlagene Anmeldeversuche
Das BAG-Urteil 2022 fordert ein „objektives und verlässliches“ Zeiterfassungssystem — ein Audit-Log ist der Nachweis, dass Einträge nicht unbemerkt geändert werden können.
4. Datensicherung (Backup)
Regelmäßige automatische Backups, die:
- Täglich erstellt werden
- Geografisch getrennt gespeichert sind (nicht auf demselben Server)
- Regelmäßig auf Wiederherstellbarkeit getestet werden
- Für die Aufbewahrungspflicht von mindestens 2 Jahren (§ 17 MiLoG) gesichert sind
5. Serverstandort und Cloud-Sicherheit
Bei Cloud-Zeiterfassung ist der Serverstandort entscheidend:
- Server müssen innerhalb der EU betrieben werden — oder der Anbieter muss ein gleichwertiges Datenschutzniveau nachweisen
- Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt für Cloud-Dienste die Einhaltung des BSI C5-Kriterienkatalogs
- Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist Pflicht
IT-Sicherheit im Handwerk und Bau: Besondere Anforderungen
Im Handwerk gelten zusätzliche Anforderungen durch den Einsatz mobiler Geräte:
Smartphone-Sicherheit. Apps zur Zeiterfassung auf privaten Geräten (BYOD) oder Firmengeräten brauchen eine klare Richtlinie: Geräteverschlüsselung, automatische Bildschirmsperre, Möglichkeit zur Fernlöschung bei Verlust.
Offline-Datensicherheit. Wenn Stempel auf dem Gerät zwischengespeichert werden (Offline-Fähigkeit), müssen diese Daten lokal verschlüsselt liegen — für den Fall eines verlorenen oder gestohlenen Geräts.
GPS-Daten. Standortdaten sind besonders schützenswert. Sie dürfen nur punktuell erfasst werden und müssen denselben Verschlüsselungs- und Zugriffsstandards unterliegen wie alle anderen Zeitdaten. Mehr dazu im Beitrag zum Datenschutz bei GPS-Ortung.
Checkliste: IT-Sicherheit beim Systemauswahlprozess
Beim Kauf oder Wechsel eines Zeiterfassungssystems sollten Betriebe diese Punkte prüfen:
- ☐ Verschlüsselung in transit (HTTPS/TLS) und at rest nachgewiesen?
- ☐ Rollenbasiertes Zugriffskonzept vorhanden?
- ☐ Audit-Log für alle Datenänderungen aktiviert?
- ☐ Serverstandort in der EU?
- ☐ AVV (Auftragsverarbeitungsvertrag) verfügbar?
- ☐ Regelmäßige Backups mit Wiederherstellungstest?
- ☐ Zwei-Faktor-Authentifizierung für Admin-Zugänge?
- ☐ Datenschutzfolgenabschätzung bei GPS-Nutzung durchgeführt?
- ☐ Sicherheitszertifizierung des Anbieters (ISO 27001, BSI C5)?
- Arbeitszeiten mobil erfassen
- Baustellen und Projekte zuordnen
- Urlaub und Abwesenheiten verwalten
- Lohnabrechnung vorbereiten
- Auswertungen per Klick erstellen
Häufige Fragen zur IT-Sicherheit bei Zeiterfassungssystemen
- Warum ist IT-Sicherheit bei Zeiterfassungssystemen Pflicht?Weil Zeiterfassungsdaten personenbezogene Daten sind. Art. 32 DSGVO verpflichtet jeden Verantwortlichen zu technischen und organisatorischen Schutzmaßnahmen.
- Was sind TOMs bei der Zeiterfassung?Technische und organisatorische Maßnahmen — zum Beispiel Verschlüsselung, Zugriffskontrollen, Backup-Systeme und Schulungen. Sie müssen dokumentiert werden und bei Datenschutzprüfungen vorgelegt werden können.
- Muss ein Cloud-Zeiterfassungssystem in Deutschland gehostet sein?Nicht zwingend in Deutschland, aber innerhalb der EU — oder der Anbieter muss ein gleichwertiges Datenschutzniveau nachweisen. Ein AVV nach Art. 28 DSGVO ist immer Pflicht.
- Was ist ein Audit-Log und warum ist er wichtig?Ein Audit-Log protokolliert automatisch alle Änderungen an Zeiterfassungsdaten — wer wann was geändert hat. Er ist der Nachweis, dass das System „objektiv und verlässlich" im Sinne des BAG-Urteils 2022 arbeitet.
- Welche Sicherheitsanforderungen gelten für Smartphone-Apps zur Zeiterfassung?Geräteverschlüsselung, Transportverschlüsselung der App-Kommunikation, sichere Offline-Speicherung und Möglichkeit zur Fernlöschung bei Geräteverlust.
- Was passiert bei einem Datenschutzverstoß im Zeiterfassungssystem?Der Verantwortliche muss den Vorfall binnen 72 Stunden der zuständigen Aufsichtsbehörde melden (Art. 33 DSGVO) und bei hohem Risiko auch die Betroffenen informieren. Bußgelder können bis zu 20 Millionen Euro betragen.