Zugangskontrolle: So setzen Sie sie nach DSGVO um

➧ Was bedeutet Zugangskontrolle und was Zutrittskontrolle?

Zugangskontrolle und Zutrittskontrolle im Unternehmen oder in der Behörde lassen sich leicht verwechseln. :

• Die Zugangskontrolle sorgt dafür, dass keine unberechtigten Nutzer oder Rechner Zugang zur IT erhalten.
• Die Zutrittskontrolle schützt davor, dass Unbefugte physikalisch auf IT-Systeme zugreifen können, also etwa unerkannt ins Rechenzentrum marschieren.
• Und dann gibt es noch die Zugriffskontrolle. Sie sorgt für ein Rollen- und Berechtigungskonzept.

➧ Was sagt der Datenschutz zur Zugangskontrolle?

Das sagt die Datenschutz-Grundverordnung (DSGVO)

Artikel 32 DSGVO (Sicherheit der Verarbeitung) besagt:

„Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch – ob unbeabsichtigt oder unrechtmäßig – Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.“

Das sagt das Bundesdatenschutzgesetz (BDSG)

Und § 64 Absatz 3 BDSG fordert:

„Im Fall einer automatisierten Verarbeitung haben der Verantwortliche und der Auftragsverarbeiter nach einer Risikobewertung Maßnahmen zu ergreifen, die Folgendes bezwecken:

1. Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle), …“

➧ Welche Maßnahmen zur Zugangskontrolle gibt es?

Zur Zugangskontrolle im Unternehmen oder in der Behörde tragen zum einen technisch-organisatorische Maßnahmen der Zutrittskontrolle bei, mit denen sich der Zugang zu IT-Systemen physisch kontrollieren lässt, wie

• Absicherung der Gebäude, Fenster und Türen,
• Sicherheitsglas,
• Bruch- und Öffnungsmelder,
• Videoüberwachungs-Anlagen,
• Alarmanlagen,
• Zutrittskontroll-Systeme mit Chipkarten-Leser und
• Besucher-Dokumentation.

Insbesondere gehören aber Vorkehrungen dazu, die den direkten Zugang zu IT-Systemen regeln, wie

• Passwort-Richtlinien,
• Zwei-Faktor-Benutzeranmeldung,
• Firewalls,
• digitale Zertifikate,
• Verschlüsselung,
• Schutz vor Schadsoftware,
• Bildschirmsperre und
• aktuelle Nutzerverwaltung.

➧ Wie versucht ein Angreifer, sich Zugang zu verschaffen?

Bei der Suche nach geeigneten Maßnahmen für die Zugangskontrolle muss immer die Sicherheit des Zugangs zur IT und zu den personenbezogenen Daten im Fokus stehen. Dazu überlegen Sie sich am besten, welchen Weg ein externer Angreifer geht, um bis an die IT und bis an die Daten zu gelangen:

• Ist der Angreifer bereits im Gebäude und steht vor dem IT-System oder erfolgt der Angriff über das Internet, greifen die Maßnahmen der Zugangskontrolle.
• Befindet sich der Angreifer vor Ort, aber noch vor dem Firmengelände oder vor dem Gebäude, kommen die bisherigen Maßnahmen der Zutrittskontrolle hinzu, die physischen Schutz für die IT-Systeme zum Beispiel im Rechenzentrum bieten.

Oliver Schonschek