- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Datensicherheit und Datenschutz


Ein Jahr vor der DSGVO: Wie Unternehmen den EU-Datenschutz umsetzen
Einen Plan, wie ein DSGVO-konformer Umgang mit personenbezogenen Daten aussieht, haben nur die wenigsten Unternehmen

- Anzeigen -





Von Erwin Ritter, Leiter Organisation und Prozesse bei der Axians Infoma

Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät.

Der Datenschutz in Europa wird vereinheitlicht. Darauf zielt die EU-Datenschutz-Grundverordnung (DSGVO) ab. Das Regelwerk, die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, wurde im April 2016 im EU-Parlament verabschiedet und am 4. Mai 2016 im EU-Amtsblatt veröffentlicht. Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen. In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind.

Lesen Sie zum Thema "Datenschutz-Compliance" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Die DSGVO ist eine Verordnung und enthält etwa 70 Öffnungsklauseln, wo es jedem Mitgliedsstaat überlassen ist, diese mit entsprechenden Regelungen zu füllen. Somit sind noch viele nationale Gesetze anzupassen und zu verabschieden. Auch das bisherige Bundesdatenschutzgesetz (BDSG) wird durch das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG-EU) ersetzt. Bis zum 25. Mai 2018 ist also auch vom Gesetzgeber noch viel zu tun. Die Zeit wird knapp – man bedenke, dass am 24. September 2017 Bundestagswahlen sind und ein schnelles Vorankommen in der Gesetzgebung durch Wahlvorbereitungen und das spätere Etablieren der neuen Bundesregierung eher verzögert wird.

Einen Plan, wie ein DSGVO-konformer Umgang mit personenbezogenen Daten aussieht, haben nur die wenigsten Unternehmen. Das gaben 97 Prozent der Befragten im vergangenen Herbst im Rahmen einer Studie von Dell zu. Grund, in Panik zu verfallen, besteht nicht. Aber die Unternehmenswelt muss sich dringend um Datensicherheit und Datenschutz kümmern.

Was bedeutet das "Recht auf Vergessenwerden"?
In der EU gilt also in einem Jahr das "Recht auf Vergessenwerden". Das Risiko verteilt sich dann auf den Verantwortlichen und den Auftragsverarbeiter, die beide in der Haftung stehen. Dies ist wichtig zu wissen für sämtliche Unternehmen, die etwa as-a-Service-Angebote (Datenverarbeitung) beziehen oder anbieten. Personen haben das Recht, ihre Daten plus Links löschen zu lassen, wenn ihre Daten rechtswidrig verarbeitet oder behandelt wurden. Für mehr Transparenz räumt der Gesetzgeber Personen ein Auskunftsrecht ein, um den Zweck der Datenverarbeitung, Speicherdauer, Empfänger der Daten und vieles mehr abzufragen. Außerdem können Verbraucher ihre Daten mitnehmen, wechseln sie zu einem anderen Anbieter. Auf der anderen Seite ergeben sich für Unternehmen umfangreiche Informations- und Dokumentationspflichten. So kann die Aufsichtsbehörde einen Datenverarbeiter auffordern, nachzuweisen, dass er mit den persönlichen Informationen korrekt umgeht.

Bei Verstößen gegen die DSGVO drohen Unternehmen drakonische Strafen bis zu 20 Millionen Euro oder bis zu vier Prozent ihres weltweit erzielten Jahresumsatzes. Es greift der höhere Wert. Wer künftig die technischen und organisatorischen Maßnahmen für die Datensicherheit und den Datenschutz nicht ergreift, muss auch Bußgeld zahlen.

Zur Datensparsamkeit über Klassifizierung und Risikoanalyse
Die EU verpflichtet Unternehmen dazu, sich so aufzustellen, dass sie Daten vermeiden. Für das Prinzip der Datensparsamkeit schreibt die DSGVO Privacy by Design und Privacy by Default vor. Die Technik realisiert den Datenschutz. Und in ihren Voreinstellungen gewährleistet jede Applikation, die persönliche Daten verarbeitet, den Datenschutz. Unternehmen sollten bereits für das Produktdesign den Datenschutz prozessorientiert mitdenken.

Als erstes müssen sich Unternehmen klar machen, welche personenbezogenen Daten sie speichern und verarbeiten. Das bildet die Grundlage, um überhaupt Daten zu klassifizieren und Risiken zu bewerten. Sonst herrscht bei Datenportabiltät und Zugriffsrechten schnell ein undurchschaubares Wirrwarr. Die beste Orientierung liefert ein ganzheitlicher Ansatz, den gute IT-Berater im Wesentlichen aus drei IT-Komponenten zusammenfügen, anpassen und realisieren: Rechenschaftspflicht für den Datenschutz, Datenschutzrisikoanalyse und Sicherheitsrisikoanalyse. Zu letztgenannten bieten Hersteller wie etwa IBM viele Lösungen.

Die Breite und Tiefe des Angebots überfordern jedoch potenzielle Anwenderfirmen, stellen wir bei Axians in unseren Beratungsgesprächen immer wieder fest. Unternehmen sollten sich auf Lösungen konzentrieren, die eine DSGVO-konforme Bewertung ihrer IT in Aussicht stellen. Es empfiehlt sich auf folgenden Leistungsumfang zu achten: Das Identifizieren und Beheben von Sicherheitsschwachstellen, das Ermitteln und Klassifizieren personenbezogener Daten sowie die Audit-sichere Datenkontrolle.

Nachvollziehbar müssen die Rechte sein, wo wer wie auf Daten zugreift, diese bearbeitet, löscht und überträgt. Das Managen und Melden von Verstößen einschließlich einer IT-Forensik zu Störungen gehört ebenso abgedeckt, wodurch privilegierte Benutzer im Fokus stehen. Das Verschlüsseln und das Pseudonymisieren der Daten vor dem Verarbeiten führt die Verordnung explizit auf. Dort steht aber auch, dass die Informationspflicht bei Verschlüsselung und Pseudonymisierung entfällt. Ansonsten müssen Unternehmen Sicherheitsvorfälle und -verstöße innerhalb von 72 Stunden melden.

Wegweisende Kriterien
Der Weg zum einheitlichen Datenschutz in der EU ist vorgezeichnet. Den müssen alle Unternehmen mitgehen. Einfache Lösungen von der Stange gibt es nicht, denn im Optimalfall werden Firmenprozesse, interne wie externe Best Practices und organisatorische Bedürfnisse berücksichtigt und gegen die neuen Anforderungen evaluiert. Mögliche Schwerpunkte liegen im Datenmapping, um Datenportabilität, Zugriffsrechte und das Recht auf Löschen umzusetzen. Es gilt nun, den Datenschutzauftrag der EU ernst zu nehmen und sofort anzugehen – dann muss kein Unternehmen dem 25. Mai 2018 mit Sorge entgegenblicken. Vielmehr bietet die DSGVO Unternehmen die Chance, über das "Verzeichnis der Verarbeitungstätigkeiten" einen genauen Überblick über alle Datenverarbeitungsprozesse und den gespeicherten Daten zu erhalten. Zudem profitiert jedes Unternehmen sicherheitstechnisch davon, eine aktuelle Risikoeinschätzung vorzunehmen und mögliche Risiken über entsprechende Aktivitäten nachhaltig zu minimieren.

Der Autor
Erwin Ritter ist seit 2008 als Leiter Organisation und Prozesse bei der Axians Infoma GmbH tätig. Er ist Datenschutzbeauftragter bei mehreren Gesellschaften von Axians. Davor war er über 20 Jahre als ORG / IT-Leiter, Prokurist und Mitglied der Geschäftsleitung bei einem mittelständischen Produktionsunternehmen tätig.
(Axians Infoma: ra)

eingetragen: 17.05.17
Home & Newsletterlauf: 23.06.17


Axians Infoma: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Was ist Certificate Transparency?

    Möglicherweise haben Sie schon vor einigen Jahren von Certificate Transparency (CT) gehört, als Google die Anforderung für alle Extended Validation (EV) SSL/TLS-Zertifikate ankündigte, die nach dem 1. Januar 2015 ausgestellt worden sind. Seitdem hat Google die Anforderung auf alle Arten von SSL-Zertifikaten ausgedehnt und zuletzt eine Frist bis zum April 2018 gesetzt. Zertifikaten, die nicht CT-qualifiziert sind und die nach diesem Datum ausgestellt werden, wird in Chrome nicht vertraut. GlobalSign hat im Hintergrund bereits daran gearbeitet, dass alle Zertifikate mit CT ausgestattet werden - Extended Validation (EV) seit 2015, Domain Validated (DV) seit August 2016 und Organisation Validated (OV) ab Oktober 2017 - GlobalSign-Kunden sind damit für den Fristablauf seitens Google gerüstet.

  • Wo ist der Authentifizierungsprozess fehlbar?

    Ich habe den größten Teil meines beruflichen Lebens damit verbracht Authentifizierungslösungen zu programmieren, zu implementieren, weiterzuentwickeln und zu patentieren. Daher nehme ich mir das Recht heraus zu sagen, letzten Endes funktioniert Authentifizierung einfach nicht. Mit "funktionieren" im engeren Sinne meine ich, dass es zu 100Prozent garantiert ist, dass es sich tatsächlich um eine vertrauenswürdige Identität handelt, wenn eine Benutzeridentität von einer Authentifizierungslösung an den betreffenden Partner weitergeleitet wird. Und genau das lässt sich nicht garantieren. Es lässt sich belegen, dass und wie der eigentliche Validierungsprozess innerhalb der Authentisierung funktioniert. Das bedeutet, wir verifizieren mathematisch und empirisch, dass die von einem Authentifizierungsmechanismus zusammengestellte Entität mit den Werten übereinstimmt, die in der Datenbank des akzeptierenden Dritten gespeichert sind, also "matched". Das kann ein Passwort sein, ein Einmal-Passwort, OTP, X.509-basierte Verschlüsselung, biometrische Merkmale, mobile Push-Werte oder eine Gesichtserkennung. In einem Satz: Der Authentisierungsprozess lässt sich validieren und damit auch, dass das technische System korrekt arbeitet.

  • Rollende Sicherheitslücken

    Viele Fahrzeuge sind heutzutage längst zu rollenden Computern geworden, denn bereits jetzt stecken in der Software eines modernen Oberklasse-PKW etwa 100 Millionen Codezeilen. Zum Vergleich: Die Flugsoftware einer Boeing 787 Dreamliner kommt mit etwa 14 Millionen Zeilen aus. Die Erwartungen an das zukünftige autonom fahrende Auto sind vielzählig: Mehr Sicherheit auf den Straßen, mehr Komfort, beispielsweise durch selbstständiges Einparken, die Nutzung eines Autopiloten im Stau oder komplett fahrerlose Roboterautos, welche im Car-Sharing-Verfahren neue Infrastrukturmöglichkeiten bieten könnten. Dem gegenüber stehen die Ängste: Bei Technikfehlern nur noch ein hilfloser Passagier an Board zu sein oder Opfer eines Hacker-Angriffs zu werden.

  • Warum BYOD an den Geräten scheitert

    Bring Your Own Device (BYOD) genießt im Geschäftsumfeld seit einigen Jahren den Ruf als innovatives Konzept. Der zeitlich uneingeschränkte Zugang zu Unternehmensdaten kann Firmen verbesserte Effizienz in den Arbeitsabläufen bescheren und den Mitarbeitern wiederum mehr Komfort im täglichen Arbeiten. Sie können auf ihren gewohnten Geräten arbeiten, zu flexiblen Arbeitszeiten. Insbesondere bei neu gegründeten Unternehmen, in denen die Mitarbeiter viel unterwegs sind, wird es überaus geschätzt, wenn kein weiteres, unternehmenseigenes Gerät mitgeführt werden muss. Die Zufriedenheit der Mitarbeiter mit der Arbeitsweise wiederum trägt auch zur Attraktivität des Unternehmens bei.

  • Offensichtlich lukrativste Angriffsmethode

    In regelmäßigen Abständen sehen wir uns einer neuen Bedrohung gegenüber, die bei Angreifern gerade Konjunktur hat. Gezielte Langzeitangriffe, sogenannte Advanced Persistent Threats (APTs) beherrschen die Schlagzeilen und Unternehmen beeilen sich, diese Attacken zu stoppen, deren Urheber sich gut versteckt durch das Netzwerk bewegen. Neben Phishing ist Ransomware die erfolgreichste und offensichtlich lukrativste Angriffsmethode für Cyber-Kriminelle. Schätzungen zufolge kosteten Ransomware-Scams die Opfer allein im letzten Jahr fast 1 Milliarde US-Dollar weltweit. Und es ist kein Wunder, dass sie so gut funktionieren: Sie beruhen auf dem althergebrachten Modell der Schutzgelderpressung, das bereits lange von Banden und der Mafia genutzt und jetzt in digitalem Format erfolgreich wieder aufgelegt wird. Die digitale Transformation ist nicht nur für Unternehmen Realität, sondern längst auch für Kriminelle eine lohnenswerte Einnahmequelle.