Sie verwenden einen veralteten Browser. Um im Internet auch weiterhin sicher unterwegs zu sein, empfehlen wir ein Update.

Nutzen Sie z.B. eine aktuelle Version von Edge, Chrome oder Firefox

28. Juli 2022

12 typische Fehler in Sicherheitskonzepten

DP+
Ein Sicherheitskonzept ist ein wesentlicher Baustein auch für den Datenschutz im Unternehmen oder in der Behörde
Bild: iStock.com / Galeanu-Mihai
0,00 (0)
Cyberattacken vorbeugen
Ein Angreifer aus dem Internet hat es im Grunde leicht: Er muss nur eine Lücke in den Schutzmaßnahmen ­finden, schon ist eine Cyberattacke sehr wahrscheinlich erfolgversprechend. Fahnden Sie daher nach typischen Lücken in Sicherheitskonzepten – und bieten Sie Lösungsansätze.
So einfach es manch Cyberkrimineller hat, so schwer ist es, derartige Bedrohungen aus Datenschutzperspektive abzuwehren. Das (fehlerfreie) Sicherheitskonzept ist dabei das zentrale Dokument, um Kontrollen zu konzeptionieren, zu planen und durchzuführen. Es sollte in keinem Werkzeugkasten von Datenschutzbeauftragten (DSB) fehlen.

Was ist ein Sicherheitskonzept?

Ein Sicherheitskonzept ist eine Beschreibung von Methoden, Grundsatzbewertungen sowie technischen und organisatorischen Maßnahmen auf mittlerer Abstraktionsebene. Es ist damit perfekt geeignet, um DSB bei ihren Kontrollen zu unterstützen. Der Abstraktionsgrad orientiert sich am Prinzip „scharfer Daumen“: Die Zwei-Faktor-Authentifizierung zu erwähnen, reicht z.B. aus. Ganz spezifische Konfigurationseinstellungen oder kryptografische Verfahren sind in anderen Dokumenten als dem Sicherheitskonzept besser aufgehoben.

Prozess zur Erstellung eines Sicherheitskonzepts

Ein Sicherheitskonzept ist Bestandteil sowohl des Datenschutzmanagements als auch (im Idealfall) ein Dokument der Unternehmens-IT-Sicherheit. Zentraler Input ist das Verzeichnis von Verarbeitungstätigkeiten. Es ergänzt die Ergebnisse der Analyse aus dem IT-Verbund. Bei der Risikobeurteilung ist das Datenschutzrisiko zu berücksichtigen. Checklisten zu Art. 32 Datenschutz-Grundverordnung (DSGVO) – ggf. abstrahiert – steuern technische und organisatorische Maßnahmen bei.

Das Verzeichnis von Verarbeitungstätigkeiten ist eine wichtige Basis für das Sicherheitskonzept Das Verzeichnis von Verarbeitungstätigkeiten ist eine wichtige Basis für das Sicherheit…

Andreas Sachs
+

Weiterlesen mit DP+

Sie haben noch kein Datenschutz-PRAXIS-Abo und möchten weiterlesen?

Weiterlesen mit DP+
Konzentrieren Sie sich aufs Wesentliche
Profitieren Sie von kurzen, kompakten und verständlichen Beiträgen.
Kein Stress mit Juristen- und Admin-Deutsch
Lesen Sie praxisorientierte Texte ohne Fußnotenapparat und Techniker-Sprech.
Sparen Sie sich langes Suchen
Alle Arbeitshilfen und das komplette Heftarchiv finden Sie online.
Verfasst von
DP
Andreas Sachs
Andreas Sachs ist Vizepräsident des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA). Darüber hinaus leitet er das Referat Technischer Datenschutz und IT-Sicherheit beim BayLDA.
Vielen Dank! Ihr Kommentar muss noch redaktionell geprüft werden, bevor wir ihn veröffentlichen können.