Was bedeutet Stand der Technik?
Stand der Technik heißt: Eine Schutzmaßnahme entspricht dem, was fortschrittlich, am Markt erhältlich und unter Fachleuten als wirksam anerkannt ist. Das Gesetz verweist auf den Begriff, statt Maßnahmen aufzuzählen, damit die Pflicht mit der Technik mitwandert. Eine Maßnahme, die vor fünf Jahren genügte, kann deshalb heute zu wenig sein, und die Einordnung müssen Sie selbst begründen.
Das BSIG definiert den Begriff nicht. Die TeleTrusT-Handreichung „Stand der Technik in der IT-Sicherheit“ (V 1_2025-06) beschreibt ihn als die „im Waren- und Dienstleistungsverkehr verfügbaren Verfahren, Einrichtungen oder Betriebsweisen“, deren Anwendung die gesetzlichen Schutzziele wirkungsvoll gewährleisten kann. Verkürzt nennt sie ihn die „am Markt verfügbare Bestleistung einer IT-Sicherheitsmaßnahme zur Erreichung des gesetzlichen IT-Sicherheitsziels“. Die Handreichung erklärt selbst, keine rechtsverbindliche Auslegung und keine technische Norm zu sein.
Welche Gesetze verlangen den Stand der Technik?
Den Stand der Technik verlangen in der IT-Sicherheit das BSI-Gesetz, die NIS-2-Richtlinie, die DSGVO und das Telekommunikationsgesetz, mit unterschiedlicher Verbindlichkeit.
| Fundstelle | Adressat | Formulierung | Verbindlichkeit |
|---|---|---|---|
| § 30 Abs. 2 Satz 1 BSIG | besonders wichtige und wichtige Einrichtungen | Maßnahmen „sollen den Stand der Technik einhalten“ | Soll-Vorschrift: einhalten |
| § 31 Abs. 2 BSIG | Betreiber kritischer Anlagen, für Systeme zur Angriffserkennung | „Dabei soll der Stand der Technik eingehalten werden.“ | Soll-Vorschrift: einhalten |
| Art. 21 Abs. 1 Unterabs. 2 Richtlinie (EU) 2022/2555 | Mitgliedstaaten, für wesentliche und wichtige Einrichtungen | „unter Berücksichtigung des Stands der Technik“ | berücksichtigen, abgewogen mit den Kosten |
| Art. 32 Abs. 1 DSGVO | Verantwortliche und Auftragsverarbeiter | „Unter Berücksichtigung des Stands der Technik, der Implementierungskosten …“ | berücksichtigen, abgewogen mit Kosten und Risiko |
| Art. 25 Abs. 1 DSGVO | Verantwortliche | Datenschutz durch Technikgestaltung „unter Berücksichtigung des Stands der Technik“ | berücksichtigen |
| § 165 Abs. 1 TKG | wer Telekommunikationsdienste erbringt oder daran mitwirkt | „Dabei ist der Stand der Technik zu berücksichtigen.“ | berücksichtigen |
| § 3 Abs. 1 Satz 2 Nr. 27 BSIG | BSI | beschreibt und veröffentlicht einen Stand der Technik sicherheitstechnischer Anforderungen an IT-Produkte | Aufgabe der Behörde, keine Pflicht für Unternehmen |
§ 30 BSIG gilt nicht für Finanzunternehmen nach DORA und grundsätzlich nicht für Betreiber öffentlicher Telekommunikationsnetze, Anbieter öffentlich zugänglicher Telekommunikationsdienste und Energieversorger nach EnWG (§ 28 Abs. 5 und 6 BSIG). Für sie gelten die Anforderungen aus DORA, dem TKG oder den §§ 5c bis 5e EnWG. Welche Maßnahmen § 30 BSIG im Einzelnen verlangt, ordnet der NIS2-Leitfaden.
Einhalten oder berücksichtigen?
Einhalten ist strenger als berücksichtigen. Wer den Stand der Technik nur berücksichtigen muss, wie nach Art. 32 DSGVO, wägt ihn gegen Implementierungskosten und Risiko ab und begründet das Ergebnis. Behandeln Sie das „soll“ in § 30 Abs. 2 Satz 1 BSIG als Regelfall und halten Sie jede Abweichung mit Begründung fest.
Auch das BSIG verlangt eine Abwägung. § 30 Abs. 1 BSIG fordert „geeignete, verhältnismäßige und wirksame“ Maßnahmen und nennt die Kriterien der Verhältnismäßigkeit: Ausmaß der Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen.
Derselbe Absatz verpflichtet die Einrichtung, die Einhaltung zu dokumentieren.
Drei Stufen: anerkannte Regeln, Stand der Technik, Stand der Wissenschaft
Die TeleTrusT-Handreichung führt die drei Technologieniveaus auf die Kalkar-Entscheidung des Bundesverfassungsgerichts von 1978 zurück (BVerfGE 49, 89). Die oberste Stufe nennt sie „Stand der Wissenschaft und Forschung“, um sie sprachlich vom Stand der Technik abzuheben.
| Stufe | Anerkennung unter Fachleuten | Praktische Bewährung |
|---|---|---|
| Allgemein anerkannte Regeln der Technik | breit, in Normen und Katalogen beschrieben | lange bewährt, weit verbreitet |
| Stand der Technik | unter führenden Fachleuten anerkannt | am Markt verfügbar, praktisch erprobt |
| Stand der Wissenschaft und Forschung | in Fachpublikationen diskutiert | noch nicht am Markt |
Nach der Handreichung durchläuft eine Maßnahme die Stufen nacheinander: Mit der Markteinführung erreicht sie den Stand der Technik, mit zunehmender Verbreitung rückt sie zu den anerkannten Regeln. Wer nur umsetzt, was in einer Norm wie ISO/IEC 27002 steht, bewegt sich nach dieser Logik eher auf der Ebene der anerkannten Regeln. § 30 Abs. 2 Satz 1 BSIG verlangt beides nebeneinander: den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen.
Am Ende des Zyklus steht der Verlust der Anerkennung. Kompromittierte Maßnahmen und Produkte am Ende ihres Lebenszyklus ohne Herstellerunterstützung „dürfen nicht mehr eingesetzt werden“, so die Handreichung.
Eine Legaldefinition gibt es nur außerhalb der IT-Sicherheit. § 3 Abs. 6 BImSchG definiert den Stand der Technik für das Umweltrecht als „Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen oder Betriebsweisen, der die praktische Eignung einer Maßnahme … gesichert erscheinen lässt“. Im Patentrecht meint der Begriff etwas anderes: alle Kenntnisse, die vor dem Anmeldetag öffentlich zugänglich waren und an denen die Neuheit einer Erfindung gemessen wird (§ 3 Abs. 1 PatG).
Wie bestimmt man den Stand der Technik in 5 Schritten?
Den Stand der Technik bestimmen Sie je Maßnahme und wiederkehrend. Ein Nachweis gelingt nach der TeleTrusT-Handreichung nur, wenn die Maßnahme „mittels einer transparenten Methode mit den am Markt verfügbaren Alternativen in regelmäßigen Abständen verglichen wird“.
- Schutzziel festlegen. Bestimmen Sie für das betroffene Asset, ob Vertraulichkeit, Integrität oder Verfügbarkeit im Vordergrund steht und wie hoch der Schutzbedarf ist.
- Referenzen heranziehen. Nutzen Sie die TeleTrusT-Handreichung, Technische Richtlinien des BSI, ISO/IEC 27002 und, falls vorhanden, den branchenspezifischen Sicherheitsstandard (B3S).
- Die Maßnahme einordnen. Die Handreichung bewertet in zwei Dimensionen, Anerkennung durch Fachleute und praktische Bewährung, mit je vier Leitfragen und Punkten von 1 bis 5, aus denen je ein Mittelwert entsteht.
- Alternativen und Verhältnismäßigkeit abwägen. Vergleichen Sie mit marktverfügbaren Alternativen und dokumentieren Sie die Abwägung entlang der Kriterien des § 30 Abs. 1 BSIG oder des Art. 32 Abs. 1 DSGVO.
- Wiedervorlage festlegen. Setzen Sie ein Prüfdatum und benennen Sie Auslöser für eine vorzeitige Prüfung, etwa eine bekannt gewordene Schwachstelle oder das angekündigte Ende der Herstellerunterstützung.
Beispiel: ein Bewertungsvermerk
Beispiel (fiktiv); Produkt, Daten und Beträge sind frei gewählt. So kann der Vermerk für den Fernzugang eines Mittelständlers aussehen, der als wichtige Einrichtung unter § 30 BSIG fällt.
| Feld | Eintrag |
|---|---|
| Asset und Schutzziel | VPN-Gateway für den Fernzugang von 300 Beschäftigten; Vertraulichkeit hoch, Verfügbarkeit hoch |
| Maßnahme | VPN mit Zertifikat und zweitem Faktor, Gateway „Modell A“ |
| Referenzen | TeleTrusT-Handreichung, Kapitel zu VPN; Herstellerangaben zum Supportende |
| Einordnung | Stand der Technik; Mittelwerte und Antworten zu den acht Leitfragen im Anhang |
| Befund | Der Hersteller beendet die Unterstützung für Modell A am 30.06.2027. |
| Alternativen | Nachfolgemodell desselben Herstellers (40.000 Euro); Produkt eines anderen Anbieters (55.000 Euro, Schulungsaufwand) |
| Abwägung nach § 30 Abs. 1 BSIG | hohe Risikoexposition durch Erreichbarkeit aus dem Internet; Kosten im Verhältnis zur Größe tragbar |
| Entscheidung | Weiterbetrieb bis zur Ablösung durch das Nachfolgemodell bis 31.03.2027; freigegeben von der Geschäftsleitung |
| Wiedervorlage | 01.04.2027 oder früher bei einer kritischen Schwachstelle in Modell A |
Der Vermerk verändert die Entscheidung an einer Stelle: Ohne den Befund zum Supportende wäre das Gateway über den 30.06.2027 hinaus gelaufen, als Maßnahme, die nach der Handreichung nicht mehr eingesetzt werden darf.
Prüfen Sie den Vermerk, indem Sie jede Zeile gegen eine Quelle halten. Ein Befund ohne Herstellerangabe oder eine Entscheidung ohne Freigabe ist eine Lücke. Wo der Lebenszyklusstatus steht, zeigt ein gepflegtes Asset-Inventar; wie die Bewertung in den ISMS-Betrieb gehört, beschreibt der Ratgeber ISMS einführen.