EmovatorJamf Partner

Ratgeber

Macs DSGVO-konform verwalten: Verschlüsselung, Richtlinien, Nachweise

Die DSGVO schreibt keine bestimmte Software vor. Sie verlangt aber, dass Sie personenbezogene Daten angemessen schützen – und das nachweisen können. Auf Macs gelingt das mit wenigen, klaren Maßnahmen, die eine Geräteverwaltung automatisch durchsetzt.

Stand: 18. Oktober 2026 · 9 Min. Lesezeit · Emovator-Team (Jamf Certified Expert)

Die Kurzfassung

  • Verschlüsseln: FileVault auf jedem Mac, Wiederherstellungsschlüssel zentral hinterlegt.
  • Grundschutz durchsetzen: Passwort, Bildschirmsperre, Firewall, Updates – per Richtlinie statt per Bitte.
  • Verlust absichern: Geräte aus der Ferne sperren oder löschen können.
  • Nachweisen: Berichte zeigen jederzeit, welche Macs die Vorgaben erfüllen.
  • Fair bleiben: Mitarbeiterdaten sparsam behandeln, Betriebsrat einbinden, Dienstleister vertraglich verpflichten.
Hinweis

Dieser Ratgeber gibt einen technischen Überblick und ist keine Rechtsberatung. Stimmen Sie die Maßnahmen mit Ihrer bzw. Ihrem Datenschutzbeauftragten ab.

Was die DSGVO verlangt

Zwei Vorschriften sind für die Verwaltung von Macs besonders wichtig. Art. 32 DSGVO verpflichtet Unternehmen, personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen zu schützen – unter Berücksichtigung des Stands der Technik. Die Verschlüsselung wird dort ausdrücklich genannt, ebenso ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Art. 5 Abs. 2 DSGVO verlangt außerdem, dass Sie die Einhaltung nachweisen können (Rechenschaftspflicht).

Für die Praxis heißt das: Es reicht nicht, Mitarbeitende zu bitten, ihre Macs zu verschlüsseln und aktuell zu halten. Sie brauchen Maßnahmen, die verlässlich auf jedem Gerät greifen – und Belege dafür.

1. Verschlüsselung mit FileVault

FileVault verschlüsselt das Startvolume des Mac. Ohne Passwort oder Wiederherstellungsschlüssel sind die Daten für Unbefugte nicht lesbar. Mit einer Geräteverwaltung wie Jamf schalten Sie FileVault nicht nur ein, sondern erzwingen es: Ab macOS 14 sogar schon während der Ersteinrichtung, wobei der persönliche Wiederherstellungsschlüssel automatisch in der Verwaltung hinterlegt wird. Vergisst jemand sein Passwort, kann die IT den Mac trotzdem entsperren.

Warum das bei einem Verlust entscheidend sein kann

Geht ein Mac verloren, müssen die Betroffenen nach Art. 34 Abs. 3 lit. a DSGVO in der Regel nicht benachrichtigt werden, wenn die Daten durch Verschlüsselung für Unbefugte unzugänglich sind. Ob die Aufsichtsbehörde zu informieren ist, hängt von der Risikobewertung im Einzelfall ab.

2. Sicherheitsrichtlinien durchsetzen

Ein Großteil des Grundschutzes besteht aus Einstellungen, die auf jedem Mac gleich sein sollten. Eine Geräteverwaltung setzt sie einheitlich durch und meldet Abweichungen:

  • Passwortregeln und automatische Bildschirmsperre
  • Firewall und Gatekeeper, damit nur vertrauenswürdige Software startet
  • Betriebssystem-Updates mit Fristen statt „irgendwann später“
  • Administratorrechte nur bei Bedarf und zeitlich begrenzt
  • Externe Datenträger steuern: festlegen, welche USB-Speicher erlaubt sind (mit Jamf Protect)
  • KI-Tools: erkennen und regeln, welche Anwendungen genutzt werden dürfen – mit AI Governance in Jamf for Mac (seit Juni 2026, Zugang über eine Warteliste im Jamf Account)

Wer sich an einem anerkannten Standard orientieren will, findet in Jamf Pro fertige Vorlagen: Die Funktion „Compliance Benchmarks“ basiert auf dem offenen macOS Security Compliance Project und bringt unter anderem die CIS-Benchmarks (Level 1 und Level 2) mit. Sie wählen, ob die Regeln nur überwacht oder auch durchgesetzt werden; die nötigen Profile und Skripte erzeugt Jamf Pro selbst.

3. Verlust und Diebstahl absichern

Für Macs, die über Apple Business automatisch in die Verwaltung kommen, kann die IT aus der Ferne eingreifen: den Mac sperren, alle Inhalte löschen oder die Aktivierungssperre verwalten. Zusammen mit FileVault bleiben die Daten auf einem verlorenen Gerät so geschützt. Wichtig ist ein klarer Ablauf: Wer meldet den Verlust, wer löst die Sperre aus, wer prüft, ob eine Meldung an die Aufsichtsbehörde nötig ist?

4. Nachweise führen

Die Rechenschaftspflicht ist der Punkt, an dem viele Unternehmen scheitern – nicht weil sie nichts tun, sondern weil sie es nicht belegen können. Eine Geräteverwaltung liefert die Belege nebenbei:

  • Inventar: welche Macs es gibt, wem sie zugeordnet sind, welche macOS-Version läuft
  • Verschlüsselungsstatus jedes Geräts auf einen Blick
  • Compliance-Berichte: welche Geräte welche Regel erfüllen – in Jamf Pro als CSV exportierbar, mit Prüfdokumentation zu den Benchmarks
  • Regelmäßige Überprüfung: Abweichungen fallen auf, statt erst beim Vorfall

Solche Berichte helfen nicht nur gegenüber Datenschutzbeauftragten und Prüfern, sondern oft auch bei Fragebögen von Cyber-Versicherungen oder Kunden.

5. Mitarbeiterdaten und Betriebsrat

Auch eine Geräteverwaltung verarbeitet personenbezogene Daten – etwa Nutzername, Gerät und installierte Apps. Erfassen Sie nur, was Sie tatsächlich brauchen. Apples Verwaltungsschnittstelle ist dabei von vornherein begrenzt: Den Standort eines Geräts kann sie laut Apple nicht abfragen, ebenso wenig persönliche Nachrichten, Anrufprotokolle oder den Safari-Verlauf.

Gibt es einen Betriebsrat, ist die Einführung einer Geräteverwaltung in aller Regel mitbestimmungspflichtig, weil sie sich technisch zur Überwachung eignen kann (§ 87 Abs. 1 Nr. 6 BetrVG). Eine Betriebsvereinbarung, die Zweck, erfasste Daten und Zugriffe regelt, schafft Klarheit für alle Seiten. Informieren Sie die Mitarbeitenden transparent, welche Daten wofür verarbeitet werden.

6. Dienstleister und Hosting

Wird die Verwaltung als Cloud-Dienst betrieben, verarbeitet der Anbieter Daten in Ihrem Auftrag. Dafür braucht es einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Bei Jamf ist dieser Vertrag laut Jamf Bestandteil der Kundenvereinbarung; Jamf handelt dabei als Auftragsverarbeiter. Jamf Pro lässt sich in Jamfs Rechenzentrumsregion Frankfurt betreiben.

Eigener Schlüssel (BYOK): Für Instanzen in Frankfurt bietet Jamf seit Herbst 2026 „Bring Your Own Key“ an. Die Daten in Jamf Pro (einschließlich der Daten für die deklarative Geräteverwaltung) werden dann mit einem Schlüssel aus Ihrem eigenen Schlüsseldienst geschützt, etwa Microsoft Azure Key Vault, AWS KMS, Google Cloud KMS oder Thales CipherTrust. Sie entscheiden, ob Jamf darauf zugreifen darf; entziehen Sie den Zugriff, kann Jamf die verschlüsselten Daten nicht mehr lesen. Ob BYOK für Ihre Umgebung infrage kommt, klären wir für Sie mit Jamf.

Jamf High Compliance Cloud: Für stark regulierte Branchen gibt es zusätzlich eine eigene Hosting-Variante mit Kontrollen nach NIST 800-53 und ISO 27001/27701/27017/27018, IP-Beschränkungen für Anmeldung und API, eigenen Zertifikaten und externem Log-Streaming. Laut Jamfs Produktblatt liegen deren Rechenzentren derzeit in den USA. Für die meisten Unternehmen in Deutschland bleibt die Jamf Cloud in Frankfurt deshalb die naheliegende Wahl; ob die High Compliance Cloud für Ihre Vorgaben sinnvoll ist, besprechen wir gern im Einzelfall.

Häufige Fragen

Schreibt die DSGVO FileVault vor?

Die DSGVO nennt keine Produkte. Sie nennt aber die Verschlüsselung ausdrücklich als mögliche Maßnahme und verlangt, den Stand der Technik zu berücksichtigen. Für Notebooks ist eine Festplattenverschlüsselung deshalb dringend zu empfehlen; auf dem Mac ist das FileVault.

Darf die Firma sehen, was Mitarbeitende auf ihrem Mac tun?

Die Geräteverwaltung selbst kann laut Apple weder den Standort abfragen noch persönliche Nachrichten, Anrufprotokolle oder den Safari-Verlauf einsehen. Sicherheitssoftware wie Jamf Protect wertet sicherheitsrelevante Ereignisse aus – welche Daten dabei wofür genutzt werden, sollte in einer Betriebsvereinbarung oder Richtlinie stehen.

Wo liegen unsere Daten bei Jamf?

Jamf Pro lässt sich in Jamfs Region Frankfurt betreiben. Den Vertrag zur Auftragsverarbeitung stellt Jamf als Teil der Kundenvereinbarung bereit. Für Frankfurt gibt es außerdem „Bring Your Own Key“: Der Schlüssel zu Ihren Daten bleibt dann in Ihrem eigenen Schlüsseldienst.

Wie oft sollten wir die Maßnahmen überprüfen?

Art. 32 DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung. Mit laufenden Compliance-Berichten sehen Sie Abweichungen sofort; zusätzlich empfiehlt sich eine dokumentierte Prüfung in festen Abständen.

Quellen