- Datenschutz PRAXIS - https://www.datenschutz-praxis.de - DatenschutzPraxis

Datenschutz: Wie lässt sich der Schutzbedarf besser ermitteln?

Wer die Verhältnismäßigkeit bei seinen Datenschutz-Maßnahmen wahrt, senkt den Aufwand im Unternehmen und erhöht den Grad der Zustimmung bei den Nutzern. Dazu muss allerdings der Schutzbedarf der Daten genau geklärt sein. Bei dieser schwierigen Aufgabe können spezielle Tools helfen, die wir Ihnen in diesem Beitrag kurz vorstellen.

Jedes Unternehmen sollte seine technischen und organisatorischen Maßnahmen im Datenschutz genau auf den vorhandenen Bedarf abstellen. Überzogene Schutzmaßnahmen sind ebenso fehl am Platz wie zu geringe Sicherheitsvorkehrungen.

Schutzbedarf ist Basis jedes Datensicherheitskonzepts (oder sollte es sein)

Nur wenn die Datensicherheit dem tatsächlichen Schutzbedarf der personenbezogenen Daten entspricht, lassen sich überflüssiger Aufwand vermeiden und die Akzeptanz der Nutzer sowie der Geschäftsleitung steigern. Schließlich will niemand unnötigen Aufwand betreiben, der den betrieblichen Alltag erschwert, die Produktivität hemmen könnte und die Kosten für die IT-Sicherheit in die Höhe treibt.

Die Bestimmung des Schutzbedarfs macht Probleme

Obwohl Vieles für eine Bestimmung des Schutzbedarfs personenbezogener Daten als Grundlage des Datensicherheitskonzept [1]s spricht, erfolgt die Ermittlung häufig nur unvollständig. Jedenfalls passen die ergriffenen Maßnahmen, die auf dem Schutzbedarf basieren sollten, oftmals nicht. Die Mitarbeiter müssen dann Schutzfunktionen verwenden, die nicht gebraucht werden oder aber unzureichend sind.

Den Grund für die mangelnde Bestimmung des Schutzbedarfs muss man nicht lange suchen: Der Schutzbedarf ist nämlich eine komplexe Größe.

Diese Faktoren beeinflussen den Schutzbedarf im Datenschutz:

Der Schutzbedarf hängt von vielen Parametern ab

Auf den ersten Blick würde man als Datenschützer den Schutzbedarf bestimmter Daten in einem ersten Schritt davon abhängig machen, ob sie zu den besonderen Arten personenbezogener Daten gehören oder nicht. So ist der hohe Schutzbedarf von Patientendaten offensichtlich. Allerdings wäre dieser Ansatz zu kurz gegriffen.

Daten mit Personenbezug, die keiner Kategorie der besonderen Art angehören, können aus vielen anderen Gründen einen erhöhten Schutzbedarf aufweisen. So haben beispielsweise Adresslisten von Kunden einen anderen – höheren – Schutzbedarf, wenn aktuell Attacken von Botnetzen stattfinden, die aus ahnungslosen Computernutzern Spam-Versender machen.

Tools helfen bei der Risikobewertung

Aufgrund der Komplexität der Bestimmung des Schutzbedarfs – und damit der Risikoermittlung – ist der Einsatz von speziellen Tools sinnvoll.

So gibt es eine Reihe von Softwarewerkzeugen, die bei der Suche weit verstreuter personenbezogener Daten helfen können. Sie machen Vorschläge zur Datenklassifizierung, empfehlen also eine Datenkategorie, und ermitteln die aktuellen IT-Risiken, etwa auf Basis aktueller Standort- und Gerätedaten, wobei sogar spezielle Compliance-Vorgaben des Unternehmens berücksichtigt werden können.

1. Websense Data Discover

Ein praktisches Werkzeug zur Suche nach vertraulichen Daten und zur Datenklassifizierung ist Websense Data Discover (http://t1p.de/data-discover [2]). Diese Lösung durchsucht Endgeräte, Mailserver und ganze Netzwerke nach zu schützenden Daten. Je nach Einstellung erhält der Nutzer entweder eine Übersicht über die Verteilung der vertraulichen Daten als Basis für die Ermittlung des Schutzbedarfs, oder das Tool trifft sofort entsprechende Schutzmaßnahmen wie eine Verschlüsselung der entdeckten vertraulichen Daten.

2. Hitachi Data Discovery Suite

Das Tool Hitachi Data Discovery Suite (http://t1p.de/data-discovery-suite [3]) durchsucht insbesondere NAS (Network Access Storage) sowie File-Server nach verschiedenen Datenkategorien und bietet so ebenfalls eine Inventarisierung der Daten als Basis für die Bestimmung des Schutzbedarfs.

3. HP ControlPoint

Auch das Tool HP ControlPoint (http://t1p.de/control-point [4]) hilft bei der Datensuche und der Datenklassifizierung.

4. RSA Archer eGRC

Da der Schutzbedarf u.a. von den speziellen Compliance-Vorgaben und der Branche des Unternehmens abhängt, sind auch Lösungen wie RSA Archer eGRC (http://t1p.de/rsa-archer [5]) hilfreich. Im Tool sind bereits zahlreiche Anforderungskataloge hinterlegt, die je nach Branche und Compliance-Richtlinie einen erhöhten Schutzbedarf anzeigen. Weitere Anforderungskataloge zusätzlich zu den bereits enthaltenen lassen sich aus der GRC Content Library laden.

Die Risikobewertung ist ein dynamischer Prozess

Die Suche nach speziellen Tools, die die Ermittlung des Schutzbedarfs unterstützen, lohnt sich zweifellos.

Die Risikobewertung zur Feststellung des Schutzbedarfs sollte aber nicht nur ein Mal erfolgen, also für die initiale Erstellung des Datensicherheitskonzepts. Vielmehr gilt es, den Schutzbedarf regelmäßig zu bestimmen, denn die Risikolage für die Daten ändert sich dynamisch und schnell. Das zeigt sich besonders bei Risikoparametern wie Ort, Zeit oder Aktualität der genutzten Anwendung.

Spezielle Risikoparameter beeinflussen den Schutzbedarf

Um die Dynamik des Schutzbedarfs besser berücksichtigen zu können, ist der Einsatz von Sicherheitslösungen empfehlenswert, die die Umgebung der Datenverarbeitung berücksichtigen – die kontextabhängige Sicherheit.

Tools für die zeitabhängige Kontrolle

Beispiele hierfür sind BeyondTrust PowerBroker Servers Enterprise (http://t1p.de/PowerBroker [6]) für die Berücksichtigung des Risikoparameters „Zeit“ oder Barracuda Web Security Service (http://t1p.de/securityservice [7]) zur zeitabhängigen Kontrolle des Datenverkehrs. So lässt sich – abhängig von der Uhrzeit der Datennutzung – der Schutzbedarf unterschiedlich bewerten und die Sicherheitsfunktion entsprechend anpassen. Zugriffe oder Internetnutzung werden in diesen Fällen zeitabhängig erlaubt oder gesperrt.

Tools für nutzerabhängige Kontrolle

Da das Risiko und der Schutzbedarf auch vom jeweiligen Nutzer und den Anwendungen abhängen, sind Tools wie Afore CypherX (http://t1p.de/cypherx [8]) eine Unterstützung.

Die Lösung prüft beim Zugriff auf verschlüsselte Cloud-Daten, ob der Nutzer die Berechtigung für diesen Zugriff hat, ein zugelassenes Endgerät nutzt und eine dafür zertifizierte Anwendung (Cloud-App) verwendet. Nur dann werden die Daten für den entsprechenden Zugriff entschlüsselt. Andernfalls sind der Schutzbedarf und das Risiko zu hoch.

Tools für die geräteabhängige Kontrolle

Speziell die Geräterisiken als Einflussfaktor auf den Schutzbedarf der Daten untersuchen z.B. Trustwave Network Access Control (http://t1p.de/trustwave-nac [9]) und NCP Network Access Control (https://www.ncp-e.com/ [10]). Je nach Sicherheitsrichtlinie stufen sie die Geräte als sicher oder unsicher ein und erlauben oder verweigern damit einen Zugriff.

Der Schutzbedarf bestimmt die Stärke der Datensicherheit

Abhängig von der aktuellen Risikolage und dem aktuellen Schutzbedarf der Daten ändern sich die zu ergreifenden Sicherheitsmaßnahmen. So kann es sein, dass je nach Schutzbedarf eine zusätzliche Verschlüsselung der Daten erforderlich wird.

In den meisten Fällen jedoch wird sich nicht die Art der Datensicherheitsmaßnahme ändern, wohl aber die Stärke der Schutzmaßnahmen. Sichtbar wird dies beispielsweise bei der Zugangskontrolle, die je nach Schutzbedarf lediglich eine Passwortabfrage oder aber weitere Sicherheitsfaktoren vorsieht, wie etwa Einmal-Passwörter, die Verwendung von Smartcards oder von USB-Tokens.

Fazit: Die Tools sind nützliche Helfer

Für die Ermittlung des Schutzbedarfs sind neben den Daten und der Datenkategorie also immer Parameter wie etwa eingesetzte Geräte, aktueller Nutzer, Ort der Datenverarbeitung, Zeit der Datenverarbeitung und die aktuelle Bedrohungslage zu berücksichtigen.

Ohne spezielle Tools ist dies ein komplexes Unterfangen. Mit solchen Tools wird der ermittelte Schutzbedarf endlich zu einer verlässlichen Grundlage des Datensicherheitskonzepts, so wie er es eigentlich sein sollte.

Oliver Schonschek