Gibt es Eine Rechtsgrundlage gegen fahrlässigen IT-Betrieb?

Hintergrund der Frage:

Ich hab die letzten 6 Jahre in einem ISO (9000, 27000, und andere) zertifizierten Unternehmen in der IT gearbeitet, bin jetzt seit kurzem (und nicht mehr lange) bei einem kleinen IT Dienstleister, der KMU betreut.

Wenn ich sage, dass mich der Zustand der bisher gesehenen IT Infrastruktur bei Kunden schockiert, dann ist das eine ziemliche Untertreibung. Da geht's zu, dass meiner Meinung nach Fahrlässigkeit herrscht. Wenn ich den Vergleich zu KFZ ziehe, dann hätten die Autos nicht nur bei weitem zu viele schwere Mängel für ein Pickerl - nein, die würden von der Rennleitung stillgelegt.

Gibt es eine Handhabe gegen sowas? Oder ist die Welt (bzw. der Dienstleister) in der Tat darauf beschränkt, die Mängel aufzuzeigen und sich damit abzufinden, dass es sicher einfach so bleiben wird? Weil bei dem selbst bei einem Kleinunternehmen nötigen Aufwand (Hardware / Software / Dienstleistung) muss erst was arges passieren, dass sich da was bewegt. Sonst "gehts ja eh so auch".

Datenschutzbehörde, wenn z.B. ein gröbliches Außerachtlassen von Sicherheitsmaßnahmen nachgewiesen werden kann,
kann das für den/die Verursacher zu einer Geldstrafe bis 10.000 Euro führen.

https://de.wikipedia.org/wiki/Daten...atz_und_Strafen

Die Wahrscheinlichkeit, dass es beim Dienstleister bzw. den betreuten Kunden schützenswerte Daten gibt, ist aber ziemlich hoch.

Es gibt je nach Land sehr wohl Telekomgesetze die grundsätzliche Handhabe gibt. Da geht's dann aber mehr um Netzsicherheit.

Du könntest auch ankündigen bzw. androhen dich genötigt zu sehen eine Beschwerde bei der Datenschutzbehörde zu machen, wegen der dir bekanntgewordenen Tatsachen.

Bevor man eventuell jahrelang mit Gewissensbissen herumläuft, warum man damals nichts getan hat, würde ich nach Möglichkeit schon geeignete Maßnahmen ergreifen.

Als IT Dienstleister hast du dem Kunden gegenüber natürlich keine Handhabe.
Warum auch?

Wenn du dem Kunden aber die Mängel und den Schäden aufzeigts, welche unter Umständen entstehen können und du ihm geeignete Maßnahmen ans Herz legts er sie jedoch aus Budget Gründen nicht ernst nimmt/annimmt, brauchst du dir keine Vorwürfe oder Gewissensbisse machen...

Die meisten Kunden haben halt die Haltung - funktioniert eh... Und ganz im Ernst - Es funktioniert eh in 95% der Fälle und es passiert so gut wie nix. Wenn aber mal die HDD crashed und die Daten weg sind ist Feuer unterm Dach... Spätestens dann sind sie hellhöriger

edit:

Zitat aus einem Post von ccr

Es gibt natürlich auch Regeln für Banken, etc.

Banken und große Unternehmen haben halt ganz andere Ansprüche und Banken schauen schon drauf, dass keine Buchungssätze abhanden kommen
Mit kleinen, teils 1 Mann Unternehmen nicht zu vergleichen.

Versteh das Problem nicht. Wenn sie nicht DSGVO-gemäß unterwegs sind, zeigst es ihnen halt auf und verweist darauf. Ansonsten - ist es nicht dein Job, diese Unternehmen zu betreuen? Und wenn sie nein sagen, dann ist das eh deren Bier, sofern nicht Daten von anderen gefährdet werden.