Leitfaden für „moderne verteidigungsfähige IT-Architektur“
Das BSI hat Anfang November 2025 einen neuen Leitfaden veröffentlicht, der unter dem Begriff Modern Defensible Architecture (MDA) firmiert. Ziel ist es, Organisationen (öffentliche wie private) eine praxisnahe Orientierung für den Aufbau und Betrieb sicherer, resilienter IT‑Architekturen zu geben.
Warum MDA wichtig ist
In Zeiten zunehmender Cyberbedrohungen und wachsender Komplexität digitaler Infrastrukturen reichen traditionelle Sicherheitskonzepte oft nicht mehr aus. MDA verknüpft deshalb Architekturprinzipien mit aktuellen Sicherheitsanforderungen: Das schließt etwa eine segmentierte, mehrschichtige Architektur („Defense in Depth“), Zero‑Trust‑Ansätze, sichere Standardkonfigurationen und nachvollziehbare Verantwortlichkeiten mit ein.
Der Leitfaden stützt sich auf internationale Best‑Practice‑Empfehlungen und berücksichtigt moderne Bedrohungsszenarien sowie Anforderungen aus Regulierung und Compliance.
Empfehlung für Datenschutz- und Sicherheitsverantwortliche
Für Datenschutzbeauftragte, IT‑Sicherheitsverantwortliche und Compliance‑Verantwortliche ergibt sich mit MDA ein konkretes Handlungsfeld:
- Bei der Planung, Umstrukturierung oder Erweiterung von IT‑Systemen sollte MDA als Referenzrahmen genutzt werden.
- Insbesondere bei kritischen Systemen, Cloud‑Umgebungen, Netzwerken mit vielen Schnittstellen oder sensiblen Daten sollte eine Architektur nach MDA‑Prinzipien zu Grunde gelegt werden – nicht erst nachträglich Ergänzungen geplant.
- MDA kann helfen, technische Risikoanalysen, Sicherheitskonzepte und Compliance‑Nachweise besser zu strukturieren und mit organisatorischen Schutzmaßnahmen zu verzahnen.
Bedeutung für Datenschutz und Governance
Mit der Veröffentlichung signalisiert das BSI, dass IT‑Sicherheit und Datenschutz zunehmend als integrale Bestandteile von Systemarchitektur und Governance verstanden werden müssen – nicht als add-on. MDA liefert dafür ein Rahmenwerk, das technische, organisatorische und strategische Aspekte verbindet. Für Organisationen, die personenbezogene oder besonders schützenswerte Daten verarbeiten, kann eine frühe Umsetzung nach MDA Grundvoraussetzung für einen nachhaltigen und regelkonformen Betrieb werden.
(Foto: Fagner Felix – stock.adobe.com)
Das könnte Sie auch interessieren
-
408.000 Euro Bußgeld wegen fehlenden Datenschutzes durch Technikgestaltung
Die spanische Datenschutzbehörde AEPD hat gegen die CaixaBank Geldbußen von insgesamt 510.000 Euro festgesetzt (Verfahren PS-00028-2025). Die Bank hatte bei der Abwicklung von Erbfällen standardmäßig mehr Daten verlangt als erforderlich und die Erben unzureichend informiert. Da sie die Geldbuße freiwillig vorab bezahlte, ermäßigte sich der Betrag um 20 Prozent auf 408.000 Euro. Sachverhalt Nach dem
Mehr erfahren -
Smart Glasses: Wer aufnimmt, ist verantwortlich
Wer mit einer KI-Brille filmt oder fotografiert, ist datenschutzrechtlich selbst Verantwortlicher. Das stellt der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) in einem Prüfbericht vom 10.09.2026 zur Ray-Ban Meta AI Glasses fest. Die Datenschutzkonferenz (DSK) hat sich der Bewertung auf ihrer Zwischenkonferenz angeschlossen. LED reicht nicht Die Brille zeigt Aufnahmen über eine kleine LED an.
Mehr erfahren -
Einwilligung zugunsten von „Partnern“ ist zu unbestimmt
Eine Einwilligung in Direktwerbung durch nicht näher bezeichnete „Partner“ reicht nicht aus, damit ein Drittunternehmen die Daten für eigene Werbung nutzen darf. Das hat Generalanwalt Dean Spielmann in seinen Schlussanträgen vom 17.09.2026 in der Rechtssache C-317/25 (Groupe Canal+) vorgeschlagen. Sachverhalt Die Canal+-Gruppe hatte 2021 elektronische Werbung an rund 3,9 Millionen Personen versandt. Die Kontaktdaten stammten
Mehr erfahren
