Wer auf einem Server nur Pakete aus geprüften Quellen installiert, sollte bei Datenschutz-Werkzeugen nicht weniger streng sein. Ein Online-Rechner, der eine Bußgeldsumme ausgibt, ohne zu zeigen, wie er darauf kommt, taugt für eine Entscheidung ungefähr so viel wie ein Binärpaket ohne Signatur.
Für diese Liste haben wir im Oktober 2026 nur kostenlose Werkzeuge behalten, deren Ergebnis sich nachprüfen lässt. Quelloffen sind drei davon. Vier weitere geben ihre Rohdaten unter einer freien Lizenz heraus, und bei zweien liegen Rechenweg oder Messverfahren offen. Wo sich Werte täglich bewegen, gilt unser Ablesedatum, der 21. Oktober 2026.
Quellcode und Rechenweg
1. „Ohne Quellcode kommt mir nichts in den Mandanten.“
Diese Regel gilt in mancher IT-Abteilung, und für ein Skript, das sich mit weitreichenden Rechten an Microsoft 365 anmeldet, ist sie vernünftig. Der Mandant ist die Microsoft-365-Umgebung Ihrer Firma mit allen Konten, Postfächern und Freigaben.
Das MIT-lizenzierte Prüfskript von hagel IT für Microsoft-365-Mandanten hält diese Regel ein. Der Code liegt im Repository m365-haertungs-check auf GitHub, der letzte Push stammt vom 9. September 2026. Abgefragt werden zwölf Einstellungen, von den Gastzugriffen über die Selbstregistrierung von Anwendungen bis zu Konten, an denen sich seit 90 Tagen niemand angemeldet hat. Die Zusage, dass es nur liest, ist im Repository selbst abgesichert. In der Datei pruefung.yml steht eine Gegenprobe, die den Syntaxbaum des Skripts nach Graph-Befehlen absucht, die mit Set-, New- oder Remove- beginnen.
Auf einem Linux-Rechner läuft das Ganze mit PowerShell 7 und dem Modul Microsoft.Graph.Authentication. Für drei der zwölf Prüfungen kommt das Modul ExchangeOnlineManagement hinzu. Die Werkzeugseite beschreibt die Installation in drei Befehlen.
Bei unserem Besuch hatte das Repository genau einen Stern. Viele fremde Augen haben den Code also noch nicht gesehen, die Durchsicht bleibt Ihre Aufgabe. Der Bericht ist ein Startpunkt für die Härtung, für ein Audit nach ISO 27001 brauchen Sie mehr.
2. „Woher kommt der Betrag?“
Auf einem alten Fileserver lagen Bewerbungsunterlagen jahrelang in einer Freigabe, die das ganze Haus lesen konnte. Die Rechte sind korrigiert. Die Geschäftsführung will trotzdem wissen, in welcher Größenordnung ein Bußgeld läge, und der kaufmännische Leiter akzeptiert keine Zahl, deren Herleitung er nicht sieht.
Der Bußgeldrechner mit offengelegtem Rechenweg von frag.hugo zeigt jede Stufe einzeln. Aus dem weltweiten Jahresumsatz ergibt sich eine von 20 Größenklassen, benannt von A.I bis D.VII. Der Tagessatz ist der mittlere Jahresumsatz dieser Klasse, geteilt durch 360. Danach folgen die Art des Verstoßes, der Schweregrad und die Umstände nach Art. 83 Abs. 2 DSGVO. Die Obergrenze liegt bei formellen Verstößen bei 2 Prozent des weltweiten Umsatzes oder 10 Millionen Euro, bei materiellen bei 4 Prozent oder 20 Millionen Euro, jeweils je nachdem, was höher ist.
Zur Gegenprobe rechnet die Seite dieselben Angaben nach den Leitlinien 04/2022 des Europäischen Datenschutzausschusses in der Fassung 2.1. Gerechnet wird im Browser, übertragen wird nach Angabe der Seite nichts. Die fünf Stufen lassen sich ausdrucken und in die Akte zur Panne legen.
Dass das Modell der Datenschutzkonferenz vom 14. Oktober 2019 seit Mai 2023 formal außer Kraft ist, räumt die Seite selbst ein. Deshalb steht die zweite Rechnung daneben. Heraus kommt ein Korridor für das Gespräch mit der Geschäftsführung, eine Vorhersage für ein laufendes Verfahren liefert der Rechner nicht.
Rohdaten und Messverfahren
3. „Die Auswertung mache ich lieber selbst.“
Für eine Schulung der Entwicklungsabteilung suchen Sie Bußgeldfälle von Online-Diensten und Plattformen. Zusammenfassungen in Fachartikeln helfen dabei wenig, Sie wollen selbst filtern und sortieren.
Die Bußgeld-Datenbank mit CSV-Export von frag.hugo gibt alle Fälle als CSV-Datei heraus, 101 Zeilen, getrennt mit Semikolon, in UTF-8. Die Lizenz CC BY 4.0 erlaubt die Weiterverwendung mit Quellenangabe, und jeder Fall verweist auf seine Primärquelle. Auf die Branche Digitale Dienste entfallen 26 Fälle mit zusammen 4,59 Milliarden Euro, rund zwei Drittel der Gesamtsumme aller erfassten Fälle (Stand Oktober 2026). Für die Schulung heißt das, die Plattform-Fälle getrennt von den übrigen zu zeigen, sonst verzerren sie jeden Durchschnitt.
Fälle ohne belegbare Quelle fehlen absichtlich, und anonymisiert veröffentlichte Fälle recherchiert die Datenbank nicht nach. Für eine Statistik über alle verhängten Bußgelder reicht die Datei deshalb nicht.
4. „Die Zahlen will ich im eigenen Dashboard.“
Ihr Monitoring zeigt längst Auslastung und Fehlerraten. Die Sicherheitsrunde möchte daneben sehen, wie oft deutsche Firmen bei Erpressergruppen öffentlich als Opfer geführt werden, also dort, wo Täter gestohlene Daten veröffentlichen.
Das Ransomware-Lagebild mit offenen CSV-Dateien bietet seine Zählungen nach Woche, Monat, Branche und Tätergruppe zum Download an, ebenfalls unter CC BY 4.0. Die Rohdaten kommen täglich aus RansomLook, einem Projekt des CIRCL in Luxemburg. In der Monatsreihe stehen 38 Fälle im Juli, 32 im August und 20 im September 2026. Wer selbst Daten filtert, sollte den Abschnitt zur Methodik lesen. Die Deutschland-Erkennung wurde von Hand an 79 Treffern geprüft. 74 waren richtig, einer betraf ein österreichisches Unternehmen, und vier waren laut Seite nicht entscheidbar.
Die Dateien enthalten nur verdichtete Zahlen, einzelne Fälle stehen nicht darin. Jeder gezählte Eintrag beruht zudem auf einer Behauptung der Täter.
5. „Wie wurde das gemessen?“
Ein Hosting-Anbieter wirbt mit einer Studie, nach der kaum ein Mittelständler seine Website ordentlich absichert. Bevor so eine Quote in Ihre Präsentation wandert, wollen Sie wissen, wer gezählt wurde und wie.
Beim Messverfahren hinter dem IT-Sicherheits-Index von hagel IT lässt sich das nachlesen. Gemessen wurden am 1. Oktober 2026 genau 812 Hamburger Unternehmensdomains, ausgewählt über Wikidata. Abgefragt wurden nur öffentliche DNS-Einträge und einmal die Startseite per HTTPS, ohne Portscans und ohne Anmeldeversuche. Von den 732 erreichbaren Websites boten 91,9 Prozent TLS 1.3, HSTS setzten 44,3 Prozent, und alle vier geprüften Sicherheits-Kopfzeilen schickten 10 Prozent mit. DNSSEC, also signierte Antworten der Namensauflösung, hatten 4,9 Prozent der Domains. Dokumentiert ist auch eine Korrektur. Die erste Fassung vom 4. September 2026 arbeitete mit einem gröberen Filter, in dem noch Vereine, Verbände und Ämter steckten, und die Seite sagt das offen.
Die Auswahl stammt aus Wikidata und bildet damit vor allem größere und bekannte Betriebe ab, die Seite rechnet selbst mit eher schlechteren tatsächlichen Werten. Nach Branche oder Größe lässt sich die Messung deshalb nicht seriös aufschlüsseln.
Belege bis zur Seitenzahl und zum Kalender
6. „Das will ich im Original lesen.“
Im Datenschutzbericht an die Geschäftsführung steht, die Beschwerden bei den Aufsichtsbehörden stiegen überall. Der Geschäftsführer fragt, woher dieser Satz stammt.
Der Behördenvergleich mit Seitenzitaten aus den Tätigkeitsberichten beantwortet das mit Fundstellen. Zu jeder Kennzahl der 18 deutschen Datenschutzaufsichten nennt er die Seite im Original-PDF und zitiert den Satz, aus dem sie stammt. Zusammen kommen 17 Behörden auf 62.351 Beschwerden. Gestiegen sind die Beschwerden bei allen 14 Behörden mit Vorjahreswert, bei den übrigen vier fehlt der Vergleich. Belegt ist der Satz im Bericht also für 14 von 18. Die Kennzahlen gibt es auch hier als CSV.
Die Behörden zählen unterschiedlich, die Seite nennt Vergleiche zwischen ihnen Näherungen. Viele Beschwerden bedeuten außerdem nicht automatisch viele Verstöße.
7. „Die Fristen gehören in unseren Kalender.“
Das Team plant mit einem eigenen Kalenderserver und will für Compliance-Termine keine weitere Web-App mit eigenem Login.
Der Fristenkalender als ICS-Abo von frag.hugo liefert seine Termine als .ics-Datei, die jedes Kalenderprogramm mit diesem Standard liest, dazu einen RSS-Feed mit den Änderungen. Beides kostet nichts und braucht keine Anmeldung, als Lizenz gilt CC BY 4.0. Hinter jedem Termin steht der Satz aus dem Gesetz oder der Verordnung, auf dem er beruht. Den Filter „Betrifft mich“ schreibt die Seite in die Adresse, etwa als ?gruppe=hersteller. Die gefilterte Ansicht, in der die Fristen für alle Unternehmen stets mit angezeigt werden, ist damit ein fester Link fürs interne Wiki.
Gepflegt wird der Kalender in Abständen. Bei unserem Besuch trug er den Stand vom 19. Oktober 2026 und kündigte die nächste Prüfung für den 2. November an. Eine Änderung aus der Zwischenzeit kann also noch fehlen. Die Einordnung für Ihren Betrieb bleibt bei Ihrer Datenschutzbeauftragten.
Software für den eigenen Betrieb
8. „Das läuft bei uns auf dem eigenen Server.“
Das neue zentrale Log-System speichert zu jeder Anmeldung und jedem Proxy-Zugriff den Benutzernamen. Damit lässt sich nachzeichnen, wer wann woran gearbeitet hat, und die Datenschutzbeauftragte will die Risiken schriftlich abgewogen sehen, bevor es live geht.
Die französische Datenschutzbehörde CNIL stellt dafür ihre PIA-Anwendung zum Selbsthosten bereit. Den Quellcode veröffentlicht sie auf GitHub unter LINCnil/pia, lizenziert unter GPL-3.0. Für Linux gibt es eine portable 64-Bit-Fassung, und das Programm lässt sich auch auf eigenen Servern betreiben. Zu jedem Schritt der Abschätzung blendet das Programm passende Hinweise aus seiner Wissensbasis ein.
Diese Hinweise stammen aus der DSGVO und aus Leitfäden der CNIL. Was Ihre Landesbehörde zu Protokolldaten von Beschäftigten schreibt, legen Sie selbst daneben. Und wer das Programm auf einem eigenen Server betreibt, hat einen Dienst mehr, der Updates braucht.
9. „Bekannte Kennwörter lehnt das System ab.“
Diesen Satz will die IT in die neue Kennwortrichtlinie für das interne Wiki schreiben. Vorher soll eine Stichprobe zeigen, wie viele der beliebten Kennwortmuster im Haus schon in Datenlecks aufgetaucht sind.
Der Kennwort-Abgleich von Have I Been Pwned nennt zu einem eingegebenen Kennwort die Zahl der Lecks, in denen es schon auftauchte. Über 18 Milliarden Anfragen gehen laut Seite im Monat ein.
Die Webseite prüft ein Kennwort nach dem anderen, von Hand eingetippt. Echte Kennwörter von Dienstkonten gehören dort nicht hinein. Sie taugt, um eine Sperrliste mit Beispielen zu begründen, durchsetzen muss die Regel Ihr eigenes System.
Was bei den neun Werkzeugen offenliegt
| Werkzeug | Was offenliegt | Lizenz | Was Sie selbst nachprüfen können |
|---|---|---|---|
| Microsoft-365-Härtungs-Check | Quellcode, Gegenprobe auf schreibende Aufrufe | MIT | ob das Skript nur liest |
| DSGVO-Bußgeldrechner | Rechenweg in fünf Stufen, Formel für den Tagessatz | keine Angabe | jeden Zwischenwert bis zum Korridor |
| Bußgeld-Datenbank | alle 101 Fälle als CSV, Primärquelle je Fall | CC BY 4.0 | eigene Filter, Summen und Mediane |
| Cyber-Lagebild | verdichtete Zählungen als CSV, Methodik mit Handprüfung | CC BY 4.0 | Zeitreihen und Fehlerquote der Erkennung |
| IT-Sicherheits-Index | Auswahl der Domains, Messart, Korrektur der ersten Fassung | keine Angabe | ob die Quote zu Ihrer Frage passt |
| Aufsichtsbehörden-Vergleich | Zitat und Seitenzahl je Kennzahl, CSV | CC BY 4.0 | jede Zahl im Original-PDF |
| Fristenkalender | Zitat je Datum, .ics und RSS | CC BY 4.0 | jedes Datum an der Primärquelle |
| PIA-Software der CNIL | Quellcode auf GitHub | GPL-3.0 | Betrieb auf eigenem Server |
| Pwned Passwords | Quellcode | keine Angabe (laut Seite quelloffen) | Trefferzahl je Kennwort |
Was in die Notiz zur Freigabe gehört
Haben Sie heute nur eine Stunde, lesen Sie das Repository des Microsoft-365-Checks und lassen das Skript danach laufen. Als einziges der neun Werkzeuge braucht es Zugang zu Ihren Systemen, und deshalb lohnt das Lesen dort am meisten.
Steht nach einer Panne eine Entscheidung über Geld an, nehmen Sie den Bußgeldrechner und heften die ausgedruckten fünf Stufen ab, mit dem Vermerk, dass das zugrunde liegende Modell formal nicht mehr gilt. Wer regelmäßig an die Geschäftsführung berichtet, holt sich die CSV-Dateien von Datenbank, Lagebild und Behördenvergleich und abonniert den Fristenkalender.
Für jedes Werkzeug gehört ins Ticket, worauf sein Ergebnis beruht. Eine Notiz in dieser Form genügt:
Werkzeug: Quelle und Lizenz: Stand der Daten: Selbst nachgeprüft: Nicht abgedeckt:
Die Fragebögen von frag.hugo, etwa zu NIS2 oder zur KI-Verordnung, fehlen hier, weil es bei ihnen nichts nachzurechnen gibt. Sie stehen in der Gesamtübersicht von frag.hugo mit allen Fragebögen und Selbsttests.