Datensicherheit in PropTech und Cloud-Hausverwaltung
Die Digitalisierung der Immobilienverwaltung wirft konkrete Fragen zur Datensicherheit auf — sensible Mieterdaten, Bankverbindungen, Vertragsunterlagen und Bewertungsinformationen verlangen sorgfältigen Schutz. Cloud-basierte PropTech-Plattformen bieten dabei einerseits professionelle Sicherheitsinfrastruktur, die einzelne Vermieter nicht selbst aufbauen können; andererseits entstehen neue rechtliche Komplexitäten durch das Schrems-II-Urteil (EuGH 2020) zur Datenübermittlung in Drittländer, die NIS2-Richtlinie (EU 2022/2555, in Österreich seit Oktober 2024 umgesetzt) für Cybersicherheit größerer Einrichtungen, fortlaufende Aktualisierungen der DSGVO und des österreichischen Datenschutzgesetzes (DSG) sowie die eIDAS 2.0-Verordnung seit Mai 2024 mit Vorbereitung der EU Digital Identity Wallet. Wer 2026 PropTech-Tools einsetzt, sollte die regulatorischen Anforderungen kennen, EU-basierte Anbieter bevorzugen und auf Zertifizierungen wie ISO 27001, ISO 27017, ISO 27018 oder BSI C5 achten. Dieser Beitrag zeigt strukturiert die wichtigsten Sicherheitsaspekte, regulatorischen Rahmenbedingungen und realistischen Empfehlungen für österreichische Vermieter und Hausverwaltungen.
Was Vermieter 2026 zur Datensicherheit wissen müssen
Welche Daten geschützt werden müssen
Vermieter und Hausverwaltungen verarbeiten regelmäßig mehrere Kategorien sensibler Daten:
Personenbezogene Daten der Mieter: Namen, Adressen, Geburtsdaten, Kontaktdaten, Sozialversicherungsnummern (bei Behördenkorrespondenz), Bonitätsdaten aus KSV-Auskünften, Bankverbindungen für Kautionsabwicklung und Mietzahlungen. Diese Daten unterliegen vollständig der DSGVO und dem österreichischen Datenschutzgesetz.
Vertragsunterlagen: Mietverträge, Kautionsvereinbarungen, Übergabeprotokolle, Korrespondenz zu Mietzinserhöhungen und Mietzinsabsenkungen, Kündigungen, Räumungsklagen. Diese unterliegen sowohl DSGVO als auch zivilrechtlichen Aufbewahrungspflichten.
Finanzdaten: Kontoauszüge, Mietzahlungs-Historie, Betriebskostenabrechnungen, Steuerunterlagen. Aufbewahrungsfrist nach § 132 BAO: 7 Jahre für Buchhaltungsbelege, 22 Jahre für Grund-und-Boden-Belege.
Bewertungs- und Investmentdaten: AVM-Bewertungen, Renditerechnungen, Sanierungs-Kalkulationen, strategische Portfolio-Übersichten. Diese sind oft sensitiv und sollten nicht ungeschützt zugänglich sein.
Hausverwaltungs-spezifische Daten: Eigentümerversammlungs-Protokolle, Beschlüsse, Sanierungs-Planungen, Mitarbeiter- und Lieferanten-Daten. Bei Wohnungseigentumsgemeinschaften zusätzlich Daten der einzelnen Wohnungseigentümer.
Regulatorischer Rahmen 2026
Mehrere österreichische und EU-Vorschriften prägen die Datensicherheits-Anforderungen:
DSGVO (Datenschutz-Grundverordnung EU 2016/679, seit Mai 2018 anwendbar): umfassendes Regelwerk für die Verarbeitung personenbezogener Daten. Zentrale Anforderungen: Rechtsgrundlage für Verarbeitung (Art. 6), Datensparsamkeit (Art. 5), technische und organisatorische Maßnahmen (Art. 32), Auftragsverarbeitungs-Verträge (Art. 28), Meldepflicht bei Datenschutzverletzungen innerhalb 72 Stunden (Art. 33).
Österreichisches Datenschutzgesetz (DSG): ergänzt DSGVO um nationale Spezifika. Die Datenschutzbehörde (DSB) ist nationale Aufsichtsbehörde. §§ 16-17 DSG regeln Schadenersatz-Ansprüche bei Verstößen.
Schrems-II-Urteil (EuGH 2020) und Folgewirkungen: Datenübermittlungen in Drittländer ohne adäquates Schutzniveau (insbesondere USA wegen Cloud Act und Foreign Intelligence Surveillance Act) sind ohne zusätzliche Schutzmaßnahmen unzulässig. Selbst US-Cloud-Anbieter mit EU-Rechenzentren sind rechtlich komplex; ein Transfer Impact Assessment (TIA) plus Standardvertragsklauseln (SCC) ist erforderlich. EU-basierte Anbieter sind rechtlich deutlich einfacher.
NIS2-Richtlinie (EU 2022/2555): seit Oktober 2024 in Österreich durch das Netzwerk- und Informationssystemsicherheitsgesetz (NISG) umgesetzt. Ersetzt die ursprüngliche NIS-Richtlinie und erweitert den Geltungsbereich erheblich. Wesentliche und wichtige Einrichtungen müssen Mindestmaßnahmen für Cybersicherheit umsetzen — relevant ab bestimmten Größenordnungen für viele Branchen, einschließlich größerer Immobilien-Dienstleister und PropTech-Anbieter.
eIDAS-Verordnung 2.0 (Verordnung EU 2024/1183): seit Mai 2024 in Kraft, modernisiert die Regelungen zu elektronischen Identitäten und Vertrauensdiensten. Vorbereitung des EU Digital Identity Wallets, das ab 2026 schrittweise verfügbar wird. Qualifizierte elektronische Signaturen (QES) bleiben handschriftlichen Unterschriften gleichgestellt.
DORA-Verordnung (EU 2022/2554): seit Januar 2025 in Kraft, Digital Operational Resilience Act für Finanzdienstleister. Für reine Immobilien-PropTech nicht direkt relevant, aber bei tokenisierten Immobilien-Investments unter MiCA und ELTIF 2.0 mit Finanzdienstleistungs-Komponenten greift DORA.
Technische Sicherheitsstandards
Verschlüsselung in der Praxis
Moderne Verschlüsselungs-Standards 2026:
Transport Layer Security (TLS): aktueller Standard ist TLS 1.3 (RFC 8446 von 2018), die Vorgänger SSL und frühe TLS-Versionen sind seit Jahren deprecated. TLS 1.3 nutzt typisch AES-256-GCM oder ChaCha20-Poly1305 als symmetrische Verschlüsselung. Diese Standards sind nicht "Banking-spezifisch", sondern allgemeiner Industriestandard für Web-Anwendungen.
Encryption at Rest: gespeicherte Daten werden mit AES-256 verschlüsselt. Schlüsselverwaltung idealerweise über Key Management Systems (KMS) wie AWS KMS, Azure Key Vault oder dedizierte Hardware Security Modules (HSM).
Passwort-Hashing: aktueller Stand der Technik 2026 ist Argon2id (OWASP-Empfehlung), alternativ scrypt oder bcrypt mit ausreichend hohem Cost-Faktor. Reine MD5- oder SHA-1-Hashes für Passwörter sind seit über einem Jahrzehnt deprecated.
Post-Quantum-Cryptography (PQC): seit August 2024 hat NIST drei Standards finalisiert (FIPS 203 für CRYSTALS-Kyber/ML-KEM Schlüsselaustausch, FIPS 204 für CRYSTALS-Dilithium/ML-DSA Signaturen, FIPS 205 für SPHINCS+/SLH-DSA Signaturen). 2026 sind diese Verfahren erst in Pilot-Implementierungen und Hybrid-Modellen (kombiniert mit klassischer Kryptografie); flächendeckende Umstellung wird die kommenden Jahre erfordern. "Quantensichere Verschlüsselung" ist 2026 ein Ziel, nicht durchgängig produktiver Standard.
Authentifizierung und Zugriffskontrolle
Aktuelle Best Practices:
Multi-Faktor-Authentifizierung (MFA): zwingender Standard für alle administrativen Zugänge. Kombination aus Wissen (Passwort), Besitz (TOTP-App wie Google Authenticator, Authy, Hardware-Token wie YubiKey) und ggf. biometrischer Verifizierung.
FIDO2 und Passkeys: seit 2022 etablierter Standard für passwortlose Authentifizierung über kryptografische Schlüsselpaare. 2026 zunehmend in größeren SaaS-Plattformen verfügbar, Microsoft, Google und Apple haben Passkey-Unterstützung umfassend integriert.
OAuth 2.0 und OpenID Connect (OIDC): OAuth 2.0 ist Standard für Autorisierung von API-Zugriffen; OIDC baut darauf auf und ergänzt Authentifizierung. Wichtige Klarstellung: OAuth allein ist kein Authentifizierungs-Protokoll.
Role-Based Access Control (RBAC): jeder Nutzer erhält nur die Berechtigungen, die für seine Rolle nötig sind. Bei größeren Verwaltungen ergänzt durch Attribute-Based Access Control (ABAC).
Zero Trust Architecture: Sicherheitsansatz mit dem Grundsatz "never trust, always verify". Jede Anfrage wird unabhängig vom Netzwerkstandort authentifiziert und autorisiert. 2026 in größeren Unternehmen etabliert, bei kleineren Anbietern teilweise im Aufbau.
Sicherheits-Zertifizierungen
Relevante Zertifizierungen für PropTech-Anbieter und Cloud-Dienstleister:
ISO/IEC 27001: internationaler Standard für Informationssicherheits-Managementsysteme (ISMS). Grundlegende Zertifizierung, die ein systematisches Sicherheitsmanagement nachweist.
ISO/IEC 27017: Cloud-Sicherheitsanforderungen, ergänzt ISO 27001 für Cloud-Computing-spezifische Risiken.
ISO/IEC 27018: Schutz personenbezogener Daten in der Cloud, wichtig für DSGVO-konforme Cloud-Services.
SOC 2 Type II: amerikanischer Standard, der die operative Wirksamkeit von Sicherheitskontrollen über mindestens 6 Monate überprüft. Bei internationalen Anbietern relevant.
BSI C5 (Cloud Computing Compliance Controls Catalog): vom deutschen Bundesamt für Sicherheit in der Informationstechnik entwickelt, fokussiert auf Cloud-Dienste. In Deutschland und Österreich anerkannter Standard.
EUCS (European Cybersecurity Certification Scheme for Cloud Services): seit 2024 in Entwicklung als europäischer Standard für Cloud-Zertifizierung. Voraussichtlich ab 2026/2027 schrittweise verbindlich.
Cloud-Anbieter-Auswahl
EU vs. nicht-EU-Anbieter
Aufgrund von Schrems-II und Cloud Act ist die geografische Lage des Anbieters und seiner Rechenzentren entscheidend:
EU-Anbieter mit EU-Konzernsitz und EU-Rechenzentren: rechtlich am einfachsten, keine Drittlandsübermittlung. Beispiele für DSGVO-konforme deutsche und österreichische Cloud-Anbieter mit Immobilien-Spezialisierung sind über die jeweiligen Branchenverbände und unabhängige Vergleichsplattformen identifizierbar.
US-Anbieter mit EU-Rechenzentren (AWS, Microsoft Azure, Google Cloud): technisch leistungsfähig, aber rechtlich komplex. Auch bei Datenspeicherung in EU-Rechenzentren können US-Behörden über Cloud Act und FISA Section 702 Zugriff verlangen. Erforderlich sind Standardvertragsklauseln plus Transfer Impact Assessment (TIA); für sensitive Daten sollten zusätzliche technische Schutzmaßnahmen (Bring Your Own Key, kundenseitige Verschlüsselung) erwogen werden.
Andere Drittländer (Russland, China, etc.): typisch nicht DSGVO-konform ohne erhebliche Zusatzmaßnahmen, in der Praxis für Immobilien-Verwaltungs-Daten zu vermeiden.
Auftragsverarbeitung nach Art. 28 DSGVO
Bei jeder Nutzung eines Cloud-Anbieters für Daten von Mietern, Eigentümern oder anderen Beteiligten ist ein Auftragsverarbeitungs-Vertrag (AVV) nach Art. 28 DSGVO erforderlich. Wesentliche Inhalte:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien betroffener Personen
- Pflichten und Rechte des Verantwortlichen
- Technische und organisatorische Maßnahmen des Auftragsverarbeiters
- Unterauftragsverarbeiter-Regelung
- Kontrollrechte des Verantwortlichen
- Vorgehen bei Beendigung des Vertrags
Seriöse Cloud-Anbieter stellen Standard-AVV-Vorlagen zur Verfügung. Bei größeren Verwaltungen oder spezifischen Anforderungen sollten diese rechtlich geprüft werden.
Backup und Business Continuity
3-2-1-Backup-Regel und Erweiterungen
Die klassische 3-2-1-Backup-Regel bleibt 2026 Grundlage: 3 Kopien aller Daten, auf 2 verschiedenen Medientypen, davon 1 Kopie geografisch getrennt.
Erweiterte Best Practice 3-2-1-1-0: zusätzlich eine immutable oder offline-Kopie (gegen Ransomware-Angriffe) und null Fehler in den Backup-Verifikationsprüfungen.
Wichtige Backup-Aspekte:
Frequenz: tägliche automatische Backups für aktive Daten, Point-in-Time-Recovery für die letzten 30 Tage als Standard. Wöchentliche Vollbackups, monatliche Archivbackups für längere Aufbewahrung.
Verschlüsselung: Backups werden während Übertragung (TLS) und Speicherung (AES-256) verschlüsselt. Schlüsselverwaltung getrennt von Backup-Storage.
Geografische Trennung: physisch in unterschiedlichen Rechenzentren, idealerweise unterschiedliche geografische Regionen innerhalb der EU.
Restore-Tests: regelmäßige Wiederherstellungstests (mindestens quartalsweise) zur Verifizierung der Backup-Funktionalität. Ein Backup, das nicht erfolgreich wiederhergestellt werden kann, ist wertlos.
Recovery Time Objective (RTO) und Recovery Point Objective (RPO): für PropTech-Anwendungen 2026 typisch RTO 4-12 Stunden, RPO 1-4 Stunden bei seriösen Anbietern.
Ransomware-Schutz
Ransomware ist 2026 eine der größten Sicherheitsbedrohungen für Cloud-Dienste und Hausverwaltungen. Schutzmaßnahmen:
Immutable Backups (Write Once Read Many, WORM-Storage), die nach Erstellung nicht überschrieben werden können.
Air-Gapped Backups: physisch getrennte Speicher ohne Netzwerkverbindung.
Endpoint Detection and Response (EDR) und Extended Detection and Response (XDR) auf Arbeitsplatz- und Server-Ebene.
Phishing-Awareness-Schulungen für Mitarbeiter — der häufigste initiale Angriffsvektor.
E-Mail-Sicherheit mit DMARC, DKIM, SPF gegen Spoofing und Phishing.
Praxis-Empfehlungen für österreichische Vermieter
Auswahl-Checkliste für PropTech-Plattformen
Bei der Auswahl einer Cloud-basierten Hausverwaltungs-Software 2026 sollten Vermieter folgende Punkte prüfen:
Anbieter-Standort: EU-Konzernsitz und EU-Rechenzentren bevorzugen wegen DSGVO und Schrems-II.
Zertifizierungen: ISO 27001 als Minimum, idealerweise ergänzt durch ISO 27017, ISO 27018 oder BSI C5.
Auftragsverarbeitungs-Vertrag: Standard-AVV nach Art. 28 DSGVO muss vorliegen.
Authentifizierung: zwingende MFA für administrative Konten, idealerweise FIDO2/Passkey-Unterstützung.
Verschlüsselung: TLS 1.3, AES-256 at rest, dokumentierte Schlüsselverwaltung.
Backup-Strategie: dokumentierte Backup-Policy mit Frequenz, Geografie und Restore-Tests.
Datenexport und Portabilität: Möglichkeit, eigene Daten jederzeit in standardisierten Formaten zu exportieren.
Unterauftragsverarbeiter: transparente Liste aller eingesetzten Cloud-Dienstleister mit Standorten.
Incident Response: dokumentiertes Verfahren bei Sicherheitsvorfällen mit 72-Stunden-Meldung an Verantwortliche.
Eigene Sicherheitsmaßnahmen
Auch bei bester Cloud-Plattform tragen Vermieter selbst zur Sicherheit bei:
Starke, einzigartige Passwörter mit Passwort-Manager (1Password, Bitwarden, KeePass, ähnliche).
MFA überall aktiviert, idealerweise mit TOTP-App oder Hardware-Token statt SMS (SMS ist gegen SIM-Swap-Angriffe anfällig).
Regelmäßige Zugriffsrechte-Reviews: ehemalige Mitarbeiter, externe Dienstleister und nicht mehr genutzte Konten zeitnah deaktivieren.
Phishing-Awareness: kritische Prüfung verdächtiger E-Mails, keine Anmeldedaten über Links aus E-Mails eingeben.
Lokale Geräte-Sicherheit: aktuelle Betriebssysteme und Browser, Festplatten-Verschlüsselung (BitLocker, FileVault), regelmäßige Updates.
Separate berufliche und private Accounts: Trennung von Vermietungs-bezogenen E-Mails und persönlicher Kommunikation.
Dokumentation aller Verarbeitungstätigkeiten nach Art. 30 DSGVO bei größeren Verwaltungen verpflichtend.
Fazit
Datensicherheit in der digitalen Immobilienverwaltung 2026 ist anspruchsvoller, aber auch besser umsetzbar als noch vor wenigen Jahren. EU-basierte Cloud-Anbieter mit ISO-27001-Zertifizierung, TLS 1.3 und AES-256 Verschlüsselung, MFA-Pflicht und dokumentierten Backup-Strategien bieten eine professionelle Sicherheitsinfrastruktur, die einzelne Vermieter selbst kaum aufbauen könnten.
Die regulatorische Komplexität ist allerdings gewachsen: DSGVO und österreichisches DSG, NIS2 seit Oktober 2024, Schrems-II für Drittländer-Übermittlungen, eIDAS 2.0 mit kommendem EU Digital Identity Wallet. Wer sich für eine PropTech-Plattform entscheidet, sollte sorgfältig auf EU-Standort, Zertifizierungen, Auftragsverarbeitungs-Vertrag und transparente Sicherheitsdokumentation achten.
Die größten Sicherheitsrisiken 2026 bleiben menschliche Faktoren — schwache Passwörter, fehlende MFA, Phishing-Anfälligkeit, ungeschulte Mitarbeiter. Investitionen in Awareness-Training und konsequente Umsetzung von Best Practices wie Passwort-Manager und MFA sind oft wirksamer als zusätzliche technische Komponenten.
Für die DSGVO-konforme digitale Hausverwaltung mit EU-Rechenzentren, modernen Verschlüsselungsstandards und transparenter Sicherheitsdokumentation bietet SmartLandlord.at als spezialisierte Plattform für österreichische Vermieter entsprechende Werkzeuge.
Rechtlicher Hinweis: Dieser Artikel basiert auf dem Stand 2026 und stellt keine Rechts- oder Datenschutzberatung dar. Die dargestellten Sicherheitsstandards, Zertifizierungen und regulatorischen Rahmenbedingungen können sich kurzfristig ändern. Konkrete Sicherheits- und Compliance-Entscheidungen erfordern individuelle Beratung durch spezialisierte Datenschutzbeauftragte, IT-Sicherheitsexperten und Rechtsanwälte. Trotz aller Sicherheitsmaßnahmen kann keine absolute Sicherheit garantiert werden. Alle Angaben ohne Gewähr.
