- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Datensicherheit und Datenschutz


Ein Jahr vor der DSGVO: Wie Unternehmen den EU-Datenschutz umsetzen
Einen Plan, wie ein DSGVO-konformer Umgang mit personenbezogenen Daten aussieht, haben nur die wenigsten Unternehmen

- Anzeigen -





Von Erwin Ritter, Leiter Organisation und Prozesse bei der Axians Infoma

Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät.

Der Datenschutz in Europa wird vereinheitlicht. Darauf zielt die EU-Datenschutz-Grundverordnung (DSGVO) ab. Das Regelwerk, die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, wurde im April 2016 im EU-Parlament verabschiedet und am 4. Mai 2016 im EU-Amtsblatt veröffentlicht. Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen. In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind.

Lesen Sie zum Thema "Datenschutz-Compliance" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Die DSGVO ist eine Verordnung und enthält etwa 70 Öffnungsklauseln, wo es jedem Mitgliedsstaat überlassen ist, diese mit entsprechenden Regelungen zu füllen. Somit sind noch viele nationale Gesetze anzupassen und zu verabschieden. Auch das bisherige Bundesdatenschutzgesetz (BDSG) wird durch das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG-EU) ersetzt. Bis zum 25. Mai 2018 ist also auch vom Gesetzgeber noch viel zu tun. Die Zeit wird knapp – man bedenke, dass am 24. September 2017 Bundestagswahlen sind und ein schnelles Vorankommen in der Gesetzgebung durch Wahlvorbereitungen und das spätere Etablieren der neuen Bundesregierung eher verzögert wird.

Einen Plan, wie ein DSGVO-konformer Umgang mit personenbezogenen Daten aussieht, haben nur die wenigsten Unternehmen. Das gaben 97 Prozent der Befragten im vergangenen Herbst im Rahmen einer Studie von Dell zu. Grund, in Panik zu verfallen, besteht nicht. Aber die Unternehmenswelt muss sich dringend um Datensicherheit und Datenschutz kümmern.

Was bedeutet das "Recht auf Vergessenwerden"?
In der EU gilt also in einem Jahr das "Recht auf Vergessenwerden". Das Risiko verteilt sich dann auf den Verantwortlichen und den Auftragsverarbeiter, die beide in der Haftung stehen. Dies ist wichtig zu wissen für sämtliche Unternehmen, die etwa as-a-Service-Angebote (Datenverarbeitung) beziehen oder anbieten. Personen haben das Recht, ihre Daten plus Links löschen zu lassen, wenn ihre Daten rechtswidrig verarbeitet oder behandelt wurden. Für mehr Transparenz räumt der Gesetzgeber Personen ein Auskunftsrecht ein, um den Zweck der Datenverarbeitung, Speicherdauer, Empfänger der Daten und vieles mehr abzufragen. Außerdem können Verbraucher ihre Daten mitnehmen, wechseln sie zu einem anderen Anbieter. Auf der anderen Seite ergeben sich für Unternehmen umfangreiche Informations- und Dokumentationspflichten. So kann die Aufsichtsbehörde einen Datenverarbeiter auffordern, nachzuweisen, dass er mit den persönlichen Informationen korrekt umgeht.

Bei Verstößen gegen die DSGVO drohen Unternehmen drakonische Strafen bis zu 20 Millionen Euro oder bis zu vier Prozent ihres weltweit erzielten Jahresumsatzes. Es greift der höhere Wert. Wer künftig die technischen und organisatorischen Maßnahmen für die Datensicherheit und den Datenschutz nicht ergreift, muss auch Bußgeld zahlen.

Zur Datensparsamkeit über Klassifizierung und Risikoanalyse
Die EU verpflichtet Unternehmen dazu, sich so aufzustellen, dass sie Daten vermeiden. Für das Prinzip der Datensparsamkeit schreibt die DSGVO Privacy by Design und Privacy by Default vor. Die Technik realisiert den Datenschutz. Und in ihren Voreinstellungen gewährleistet jede Applikation, die persönliche Daten verarbeitet, den Datenschutz. Unternehmen sollten bereits für das Produktdesign den Datenschutz prozessorientiert mitdenken.

Als erstes müssen sich Unternehmen klar machen, welche personenbezogenen Daten sie speichern und verarbeiten. Das bildet die Grundlage, um überhaupt Daten zu klassifizieren und Risiken zu bewerten. Sonst herrscht bei Datenportabiltät und Zugriffsrechten schnell ein undurchschaubares Wirrwarr. Die beste Orientierung liefert ein ganzheitlicher Ansatz, den gute IT-Berater im Wesentlichen aus drei IT-Komponenten zusammenfügen, anpassen und realisieren: Rechenschaftspflicht für den Datenschutz, Datenschutzrisikoanalyse und Sicherheitsrisikoanalyse. Zu letztgenannten bieten Hersteller wie etwa IBM viele Lösungen.

Die Breite und Tiefe des Angebots überfordern jedoch potenzielle Anwenderfirmen, stellen wir bei Axians in unseren Beratungsgesprächen immer wieder fest. Unternehmen sollten sich auf Lösungen konzentrieren, die eine DSGVO-konforme Bewertung ihrer IT in Aussicht stellen. Es empfiehlt sich auf folgenden Leistungsumfang zu achten: Das Identifizieren und Beheben von Sicherheitsschwachstellen, das Ermitteln und Klassifizieren personenbezogener Daten sowie die Audit-sichere Datenkontrolle.

Nachvollziehbar müssen die Rechte sein, wo wer wie auf Daten zugreift, diese bearbeitet, löscht und überträgt. Das Managen und Melden von Verstößen einschließlich einer IT-Forensik zu Störungen gehört ebenso abgedeckt, wodurch privilegierte Benutzer im Fokus stehen. Das Verschlüsseln und das Pseudonymisieren der Daten vor dem Verarbeiten führt die Verordnung explizit auf. Dort steht aber auch, dass die Informationspflicht bei Verschlüsselung und Pseudonymisierung entfällt. Ansonsten müssen Unternehmen Sicherheitsvorfälle und -verstöße innerhalb von 72 Stunden melden.

Wegweisende Kriterien
Der Weg zum einheitlichen Datenschutz in der EU ist vorgezeichnet. Den müssen alle Unternehmen mitgehen. Einfache Lösungen von der Stange gibt es nicht, denn im Optimalfall werden Firmenprozesse, interne wie externe Best Practices und organisatorische Bedürfnisse berücksichtigt und gegen die neuen Anforderungen evaluiert. Mögliche Schwerpunkte liegen im Datenmapping, um Datenportabilität, Zugriffsrechte und das Recht auf Löschen umzusetzen. Es gilt nun, den Datenschutzauftrag der EU ernst zu nehmen und sofort anzugehen – dann muss kein Unternehmen dem 25. Mai 2018 mit Sorge entgegenblicken. Vielmehr bietet die DSGVO Unternehmen die Chance, über das "Verzeichnis der Verarbeitungstätigkeiten" einen genauen Überblick über alle Datenverarbeitungsprozesse und den gespeicherten Daten zu erhalten. Zudem profitiert jedes Unternehmen sicherheitstechnisch davon, eine aktuelle Risikoeinschätzung vorzunehmen und mögliche Risiken über entsprechende Aktivitäten nachhaltig zu minimieren.

Der Autor
Erwin Ritter ist seit 2008 als Leiter Organisation und Prozesse bei der Axians Infoma GmbH tätig. Er ist Datenschutzbeauftragter bei mehreren Gesellschaften von Axians. Davor war er über 20 Jahre als ORG / IT-Leiter, Prokurist und Mitglied der Geschäftsleitung bei einem mittelständischen Produktionsunternehmen tätig.
(Axians Infoma: ra)

eingetragen: 17.05.17
Home & Newsletterlauf: 23.06.17


Axians Infoma: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Rollende Sicherheitslücken

    Viele Fahrzeuge sind heutzutage längst zu rollenden Computern geworden, denn bereits jetzt stecken in der Software eines modernen Oberklasse-PKW etwa 100 Millionen Codezeilen. Zum Vergleich: Die Flugsoftware einer Boeing 787 Dreamliner kommt mit etwa 14 Millionen Zeilen aus. Die Erwartungen an das zukünftige autonom fahrende Auto sind vielzählig: Mehr Sicherheit auf den Straßen, mehr Komfort, beispielsweise durch selbstständiges Einparken, die Nutzung eines Autopiloten im Stau oder komplett fahrerlose Roboterautos, welche im Car-Sharing-Verfahren neue Infrastrukturmöglichkeiten bieten könnten. Dem gegenüber stehen die Ängste: Bei Technikfehlern nur noch ein hilfloser Passagier an Board zu sein oder Opfer eines Hacker-Angriffs zu werden.

  • Warum BYOD an den Geräten scheitert

    Bring Your Own Device (BYOD) genießt im Geschäftsumfeld seit einigen Jahren den Ruf als innovatives Konzept. Der zeitlich uneingeschränkte Zugang zu Unternehmensdaten kann Firmen verbesserte Effizienz in den Arbeitsabläufen bescheren und den Mitarbeitern wiederum mehr Komfort im täglichen Arbeiten. Sie können auf ihren gewohnten Geräten arbeiten, zu flexiblen Arbeitszeiten. Insbesondere bei neu gegründeten Unternehmen, in denen die Mitarbeiter viel unterwegs sind, wird es überaus geschätzt, wenn kein weiteres, unternehmenseigenes Gerät mitgeführt werden muss. Die Zufriedenheit der Mitarbeiter mit der Arbeitsweise wiederum trägt auch zur Attraktivität des Unternehmens bei.

  • Offensichtlich lukrativste Angriffsmethode

    In regelmäßigen Abständen sehen wir uns einer neuen Bedrohung gegenüber, die bei Angreifern gerade Konjunktur hat. Gezielte Langzeitangriffe, sogenannte Advanced Persistent Threats (APTs) beherrschen die Schlagzeilen und Unternehmen beeilen sich, diese Attacken zu stoppen, deren Urheber sich gut versteckt durch das Netzwerk bewegen. Neben Phishing ist Ransomware die erfolgreichste und offensichtlich lukrativste Angriffsmethode für Cyber-Kriminelle. Schätzungen zufolge kosteten Ransomware-Scams die Opfer allein im letzten Jahr fast 1 Milliarde US-Dollar weltweit. Und es ist kein Wunder, dass sie so gut funktionieren: Sie beruhen auf dem althergebrachten Modell der Schutzgelderpressung, das bereits lange von Banden und der Mafia genutzt und jetzt in digitalem Format erfolgreich wieder aufgelegt wird. Die digitale Transformation ist nicht nur für Unternehmen Realität, sondern längst auch für Kriminelle eine lohnenswerte Einnahmequelle.

  • Detailliertes Profil der Angreifer entscheidend

    "Kill Chain" - dieser Begriff stammt eigentlich aus dem Militärjargon und bezeichnet ein Modell, das alle Phasen eines Angriffs beschreibt. Im Umkehrschluss zeigt es Wege auf, mit denen sich diese Angriffe vermeiden oder zumindest abschwächen lassen - eine Taktik, die auch hinsichtlich digitaler Bedrohungen und Hackangriffe interessant ist. Die Kill Chain digitaler Bedrohungen lässt sich in sieben verschiedene Phasen unterteilen.

  • Internet-Ausfall: Stationärer Handel in der Klemme

    In nur wenigen Bereichen hat sich in den letzten 30 Jahren so viel verändert wie im stationären Handel. Während manche Einzelhändler das Internet immer noch als Bedrohung empfinden, profitiert das Gros von vielen Vorteilen, die das World Wide Web mit sich bringt. Beispiel Kartenzahlungen: Sie wären ohne Internetanbindung gar nicht möglich. Somit ist für Einzelhändler eine kontinuierliche Internetverbindung essenziell, ja gerade überlebenswichtig. Umso schlimmer, wenn das Netz ausfällt. Doch für den unangenehmen Fall der Fälle gibt es gute Lösungen. Ohne Internet sind moderne Verkaufserlebnisse undenkbar: Zu den neueren Entwicklungen im Einzelhandel zählt das so genannte Omni-Channel-Retailing. Dabei nutzen Shops oder Filialen mehrere, vor allem onlinebasierte Kanäle, um dem Kunden ein optimales Verkaufserlebnis zu bieten. So beispielsweise der Reifenwechsel am Auto: Bei größeren Werkstätten und Werkstattketten ist es heute State-of-the-Art, dass der Kunde seine Wunschreifen und Felgen online bestellt, eventuell unterstützt durch eine telefonische Beratung. Nach dem Kauf vereinbart er dann über eine Webseitenschnittstelle gleich den Montagetermin. Die Werkstatt erhält die Terminanfrage in ihrem CRM und bestätigt per E-Mail. Zum Termin liegen die bestellten Reifen in der Werkstatt bereit und werden montiert.