Die DSGVO legt fest, dass die für die Verarbeitung Verantwortlichen und die Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen ergreifen müssen, um ein dem Risiko angemessenes Sicherheitsniveau personenbezogener Daten zu gewährleisten.
Die folgenden Informationen enthalten die grundlegenden Vorsichtsmaßnahmen, die von Organisationen, die personenbezogene Daten verarbeiten (d. h. für die Datenverarbeitung Verantwortliche und Auftragsverarbeiter), in Betracht gezogen werden sollten. Sie zielt nicht darauf ab, eine vollständige Liste der Maßnahmen zur Verfügung zu stellen, die zum Schutz personenbezogener Daten in allen Kontexten umgesetzt werden können. Die für die Verarbeitung Verantwortlichen und Auftragsverarbeiter müssen diese Maßnahmen an den Kontext anpassen (unter Berücksichtigung des Stands der Technik, des Kontexts der Verarbeitung und des Risikos für Einzelpersonen).
Sicherheit: was steht auf dem Spiel?
Die Folgen eines Mangels an Sicherheit können schwerwiegend sein: Unternehmen können ihr Image schwächen, das Vertrauen ihrer Verbraucher verlieren, große Geldbeträge zahlen müssen, um sich von einem Sicherheitsvorfall zu erholen (z. B. nach einer Datenschutzverletzung) oder müssen ihre Tätigkeit einstellen. Sichere personenbezogene Daten sind sowohl im Interesse der Einzelpersonen als auch der Organisationen, die die Daten verarbeiten.
Um die Risiken jedes Verarbeitungsvorgangs zu bewerten, ist es zunächst ratsam, die möglichen Auswirkungen auf die Rechte und Freiheiten der betroffenen Personen zu ermitteln. Während Organisationen ihre Daten (persönlich oder nicht) für ihr eigenes Interesse schützen müssen, konzentrieren sich die folgenden Informationen auf den Schutz der Daten von Einzelpersonen.
Die Datensicherheit hat drei Hauptkomponenten: zum Schutz der Integrität, Verfügbarkeit und Vertraulichkeit der Daten. Daher sollten Organisationen die Risiken für Folgendes bewerten:
- unbefugter oder versehentlicher Zugriff auf Daten – Verletzung der Vertraulichkeit (z. B. Identitätsdiebstahl nach der Offenlegung der Gehaltsabrechnungen aller Mitarbeiter eines Unternehmens);
- unbefugte oder versehentliche Änderung der Daten – Verletzung der Integrität (z. B. falsche Anschuldigung einer Person eines Fehlverhaltens oder Verbrechens infolge der Änderung von Zugriffsprotokollen);
- Verlust von Daten oder Verlust des Zugriffs auf Daten – Verletzung der Verfügbarkeit (z. B. Nichterkennen einer Arzneimittelinteraktion aufgrund der Unmöglichkeit des Zugriffs auf die elektronische Aufzeichnung des Patienten).
Es ist auch ratsam, die Risikoquellen (d. h., wer oder was die Ursache bei jedem Sicherheitsvorfall sein könnte?) zu identifizieren, wobei interne und externe menschliche Quellen (z. B. IT-Administrator, Benutzer, externe Angreifer, Wettbewerber) sowie interne oder externe nichtmenschliche Quellen (z. B. Wasserschäden, Gefahrstoffe, nicht zielgerichtete Computerviren) zu berücksichtigen sind.
Diese Identifizierung der Risikoquellen ermöglicht es Ihnen, die potenziellen Bedrohungen (d. h., unter welchen Umständen ein Sicherheitsvorfall auftreten könnte?) für unterstützende Assets (z. B. Hardware, Software, Kommunikationskanäle, Papier usw.) zu identifizieren, die sein können:
- in unangemessener Weise verwendet werden (z. B. Rechtsmissbrauch, Umgang mit Fehlern);
- modifiziert (z. B. Software- oder Hardwaremanipulation – Keylogger, Installation von Malware);
- Verlust (z. B. Diebstahl eines Laptops, Verlust eines USB-Schlüssels);
- Beobachtung (z. B. Beobachtung eines Bildschirms in einem Zug, Geolokalisierung von Geräten);
- Beschädigung (z. B. Vandalismus, natürliche Verschlechterung);
- Überlastung (z. B. Vollspeichereinheit, Denial-of-Service-Angriff).
- ungenügende Verfügbarkeit (z. B. im Falle einer Ransomware).
Folgende Punkte sind auch ratsam:
- Festlegung der bestehenden oder geplanten Maßnahmen zur Bewältigung jedes Risikos (z. B. Zugriffskontrolle, Backups, Rückverfolgbarkeit, Gebäudesicherheit, Verschlüsselung);
- Schätzung der Schwere und Wahrscheinlichkeit der Risiken auf der Grundlage der obigen Elemente (Beispiel einer Skala, die für die Schätzung verwendet werden kann: vernachlässigbar, mittelmäßig, signifikant, maximal);
- Durchführung und Überprüfung geplanter Maßnahmen, wenn bestehende und geplante Maßnahmen für angemessen erachtet werden, stellen sicher, dass sie umgesetzt und überwacht werden;
- regelmäßige Sicherheitsaudits durchführen: jede Prüfung sollte zu einem Aktionsplan führen, dessen Umsetzung auf höchster Ebene der Organisation überwacht werden sollte.
Mit der DSGVO wird der Begriff einer „Datenschutz-Folgenabschätzung“ eingeführt, die für jede Verarbeitung personenbezogener Daten verpflichtend ist, die zu einem hohen Risiko für Einzelpersonen führen kann. Eine DSFA muss die Maßnahmen enthalten, die zur Bewältigung der festgestellten Risiken vorgesehen sind, einschließlich Garantien, Sicherheitsmaßnahmen und Mechanismen zum Schutz personenbezogener Daten.
In der Praxis
- Um eine klarere Sicht auf die Sicherheitsrisiken zu haben, können Sie beispielsweise eine Risikomanagement-Tabelle erstellen und diese regelmäßig auf dem neuesten Stand halten. Diese Tabelle kann materielle und menschliche Risiken im Zusammenhang mit Servern, Computern oder Räumlichkeiten enthalten. Ausreichend erwartete Risiken können dazu beitragen, die Folgen im Falle eines Vorfalls abzumildern.
Organisatorische Maßnahmen
Sensibilisierung der Nutzer
Es ist wichtig, die Mitarbeiter oder Nutzer, die mit personenbezogenen Daten umgehen (Datenbearbeiter), über die Risiken im Zusammenhang mit der Privatsphäre und über die Maßnahmen zu informieren, die ergriffen werden, um die Risiken und die möglichen Folgen im Falle eines Ausfalls anzugehen.
In der Praxis
Die Sensibilisierung der Nutzer kann in folgender Form erfolgen:
- Sensibilisierungssitzungen;
- regelmäßige Aktualisierungen von Verfahren, die für die Funktionen von Mitarbeitern und Datenbearbeitern relevant sind;
- interne Kommunikation, per E-Mail Erinnerungen usw.
Eine weitere Vorsichtsmaßnahme besteht darin, die Betriebsabläufe zu dokumentieren, auf dem neuesten Stand zu halten und allen betroffenen Datenbearbeitern leicht zugänglich zu machen. Konkret sollte jede Verarbeitung personenbezogener Daten, unabhängig davon, ob es sich um administrative Vorgänge oder die einfache Verwendung eines Antrags handelt, in einer klaren Sprache erläutert und an jede Kategorie von Bearbeitern in Dokumenten angepasst werden, auf die sie sich beziehen können.
Einrichtung interner Richtlinien
Das Bewusstsein interner Datenverarbeiter kann in Form eines Dokuments erfolgen, das verbindlich und in interne Vorschriften integriert werden sollte. Die internen Richtlinien sollten insbesondere eine Beschreibung der Datenschutz- und Sicherheitsvorschriften enthalten.
Sonstige organisatorische Maßnahmen
- Implementieren Sie eine Informationsklassifizierungsrichtlinie, die mehrere Ebenen definiert und die Kennzeichnung von Dokumenten und E-Mails mit vertraulichen Daten erfordert.
- Machen Sie eine sichtbare und explizite Erklärung auf jeder Seite eines Papiers oder eines elektronischen Dokuments, das sensible Daten enthält.
- Führen Sie Informationssicherheitstrainings und Sensibilisierungssitzungen durch. Regelmäßige Erinnerungen können per E-Mail oder anderen internen Kommunikationsinstrumenten bereitgestellt werden.
- Die Unterzeichnung einer Vertraulichkeitsvereinbarung vorsehen oder eine spezifische Vertraulichkeitsklausel in Verträgen mit Mitarbeitern und anderen Datenverantwortlichen in Bezug auf personenbezogene Daten enthalten.
Technische Maßnahmen
Sichere Ausrüstung
Vertrauen in die Zuverlässigkeit Ihrer Informationssysteme ist ein zentrales Thema, und die Umsetzung geeigneter Sicherheitsmaßnahmen, die durch die DSGVO vorgeschrieben wurden, ist eine der Möglichkeiten, dies bereitzustellen.
Insbesondere ist es ratsam, Folgendes zu sichern:
- Hardware (z. B. Server, Workstations, Laptops, Festplatten);
- Software (z. B. Betriebssystem, Unternehmenssoftware);
- Kommunikationskanäle (z. B. Glasfaser, WLAN, Internet);
- Papierdokumente (z. B. gedruckte Dokumente, Kopien);
- Räumlichkeiten.
Sichere Arbeitsplätze
Bei der Sicherung von Arbeitsplätzen könnten folgende Maßnahmen in Betracht gezogen werden:
- Bereitstellung eines automatischen Sitzungssperrmechanismus, wenn der Arbeitsplatz für einen bestimmten Zeitraum nicht genutzt wird;
- Firewall-Software installieren und die Öffnung der Kommunikations-Ports auf diejenigen beschränken, die für das ordnungsgemäße Funktionieren der auf der Workstation installierten Anwendungen unbedingt erforderlich sind;
- regelmäßig aktualisierte Antivirensoftware verwenden und eine Richtlinie zur regelmäßigen Aktualisierung von Software haben;
- Software so konfigurieren, dass die Sicherheit nach Möglichkeit automatisch aktualisiert wird;
- Förderung der Speicherung von Benutzerdaten auf einem regelmäßig gesicherten Speicherplatz, der über das Netzwerk der Organisation und nicht auf Workstations zugänglich ist. Wenn Daten lokal gespeichert werden, stellen Sie den Benutzern Synchronisations- oder Backup-Funktionen zur Verfügung und trainieren sie in ihrer Verwendung;
- den Anschluss mobiler Medien (USB-Sticks, externe Festplatten usw.) auf das Wesentliche beschränken;
- deaktivieren Sie Autorun von Wechselmedien.
Was vermieden werden sollte
- veraltete Betriebssysteme verwenden;
- geben Sie Benutzern Administratorrechte, die keine Computersicherheitsfähigkeiten besitzen.
Weitere Schritte
- Verbot der Verwendung von heruntergeladenen Anwendungen, die nicht aus sicheren Quellen stammen;
- Beschränkung der Verwendung von Anwendungen, für die die Ausführung von Administratorrechten erforderlich ist;
- die Daten auf einem Arbeitsplatz sicher löschen, bevor dieser einer anderen Person zugewiesen werden;
- für den Fall, dass ein Arbeitsplatz kompromittiert wird, suchen Sie nach der Quelle und etwaigen Spuren des Eindringens in das Informationssystem der Organisation, um festzustellen, ob andere Elemente kompromittiert wurden;
- Sicherheitsüberwachung der im Informationssystem der Organisation verwendeten Software und Hardware;
- Aktualisierung von Anwendungen, wenn kritische Schwachstellen identifiziert und behoben wurden;
- installieren Sie kritische Betriebssystemaktualisierungen unverzüglich, indem Sie eine wöchentliche automatische Überprüfung planen;
- Verbreitung der richtigen Vorgehensweise und der Liste der Personen, die im Falle eines Sicherheitsvorfalls oder ungewöhnlicher Ereignisse, die die Informations- und Kommunikationssysteme der Organisation betreffen, an alle Benutzer weitergegeben werden.
In der Praxis
- Sie haben offene Büroräume und viele Mitarbeiter, aber auch viele Besucher. Dank einer automatischen Sitzungssperre kann niemand außerhalb des Unternehmens in der Pause auf den Computer eines Mitarbeiters zugreifen oder sehen, woran er arbeitet. Darüber hinaus schützen eine Firewall und ein aktuelles Antivirenprogramm das Internet-Browsing Ihrer Mitarbeiter und begrenzen die Risiken eines Eindringens in Ihre Server. Je mehr Maßnahmen ergriffen werden, desto schwieriger wird es für Personen mit böswilliger Absicht oder einen fahrlässigen Mitarbeiter, Schaden zu verursachen.
Schützen Sie die Räumlichkeiten des Unternehmens
Der Zugang zu den Räumlichkeiten muss kontrolliert werden, um den direkten, unbefugten Zugriff auf Papierdateien oder Computerausrüstung, insbesondere Server, zu verhindern oder zu verlangsamen.
Was zu tun ist
- installieren Sie Alarmsysteme und überprüfen Sie sie regelmäßig;
- Rauchmelder und Brandbekämpfungsgeräte installieren und jährlich inspizieren;
- Schutz von Schlüsseln, die für den Zugang zu den Räumlichkeiten und Alarmcodes verwendet werden;
- Gebäudebereiche nach Risiko unterscheiden (z. B. Bereitstellung einer dedizierten Zugangskontrolle für den Computerraum);
- eine Liste der Personen oder Kategorien von Personen zu führen, die befugt sind, bestimmte Bereiche zu betreten;
- Festlegung von Regeln und Mitteln für die Kontrolle des Besucherzugangs, zumindest indem Besucher außerhalb öffentlicher Bereiche von einer Person der Organisation begleitet werden;
- physischer Schutz der Computerausrüstung mit spezifischen Mitteln (dediziertes Brandbekämpfungssystem, Erhöhung vor möglichen Überschwemmungen, redundante Stromversorgung und/oder Klimaanlage usw.).
Was vermieden werden sollte
Unterdimensionierung oder Vernachlässigung der Wartung der Serverraumumgebung (Klimaanlage, USV usw.). Ein Zusammenbruch dieser Anlagen führt oft zur Abschaltung der Maschinen oder zur Öffnung des Zugangs zu den Räumen (Luftzirkulation), wodurch die Sicherheitsmaßnahmen de facto neutralisiert werden.
Weitere Schritte
Es kann angebracht sein, Aufzeichnungen über den Zugang zu Räumen oder Büros zu führen, in denen Material enthalten ist, das personenbezogene Daten enthält, die schwerwiegende negative Auswirkungen auf die betroffenen Personen haben könnten. Die Datenverantwortlichen über die Einführung eines solchen Systems zu informieren, nachdem sie die Vertreter des Personals informiert und konsultiert haben.
Stellen Sie außerdem sicher, dass nur ordnungsgemäß autorisiertes Personal in Sperrgebieten erlaubt ist. Zum Beispiel:
- innerhalb von Sperrbereichen verlangen, dass alle Personen ein sichtbares Identifizierungsmittel (Ausweis) tragen;
- Besucher (technische Hilfskräfte usw.) sollten nur begrenzten Zugang haben. Datum und Uhrzeit ihrer Ankunft und Abreise sind zu erfassen;
- überprüfen und aktualisieren Sie regelmäßig Zugriffsberechtigungen, um Bereiche zu sichern und bei Bedarf zu entfernen.
In der Praxis
- Ihr Unternehmen ist auf E-Commerce spezialisiert. Sie speichern personenbezogene Daten von Kunden, die auf Servern in separaten Räumlichkeiten gehostet werden. Um den Zugriff auf diese Daten zu sichern, wird der Eingang zu diesen Räumlichkeiten durch einen Ausweisleser geschützt. Ein Feuer bricht jedoch aufgrund eines Kurzschlusses aus. Dank eines Rauchmelders wurde die Feuerwehr schnell alarmiert und konnte den Datenverlust begrenzen.
Benutzer authentifizieren
Um sicherzustellen, dass Benutzer nur auf die Daten zugreifen, die sie benötigen, sollten sie eine eindeutige Kennung erhalten und sich selbst authentifizieren, bevor sie die Computereinrichtungen nutzen.
Mechanismen zur Erreichung der Personenauthentifizierung werden nach folgenden Kriterien kategorisiert:
- was wir wissen, z. B. ein Passwort;
- was wir haben, z. B. eine Smartcard;
- ein Merkmal, das für die Person spezifisch ist, zum Beispiel die Art und Weise, wie eine handschriftliche Unterschrift verfolgt wird.
Die Wahl des Mechanismus hängt vom Kontext und den verschiedenen Faktoren ab. Die Authentifizierung eines Benutzers gilt als stark, wenn er eine Kombination aus mindestens zwei dieser Kategorien verwendet.
In der Praxis
- Um auf einen sicheren Raum mit vertraulichen Informationen zuzugreifen, können Sie einen Ausweisleser („was wir haben“) zusammen mit einem Zugangscode („was wir wissen“) installieren.
Autorisierungen verwalten
Unterschiedliche Ebenen von Zulassungsprofilen sollten je nach Bedarf umgesetzt werden. Nutzer sollten Zugang zu Daten nur auf der Grundlage der Bedürfnisse haben, die sie kennen müssen.
Bewährte Verfahren für die Authentifizierung und Verwaltung von Berechtigungen:
- definieren Sie eine eindeutige Kennung für jeden Benutzer und verbieten Sie Konten, die von mehreren Benutzern geteilt werden. Für den Fall, dass die Verwendung von generischen oder gemeinsam genutzten Identifikatoren unvermeidbar ist, müssen interne Validierungs- und Implementierungsmittel erforderlich sein, um sie nachzuverfolgen (Logs);
- die Verwendung ausreichend starker Passwortkomplexitätsregeln (z. B. mindestens 8 Zeichen, Großbuchstaben und Sonderzeichen)
- Passwörter sicher speichern;
- veraltete Zugriffsberechtigungen entfernen;
- regelmäßige Überprüfung (z. B. alle sechs Monate);
Was vermieden werden sollte
- erstellen oder verwenden Sie Konten, die von mehreren Personen geteilt werden;
- Benutzern Administratorenrechte zu geben, die diese nicht benötigen;
- einem Benutzer mehr Berechtigungen als nötig zu gewähren;
- vergessen, vorübergehende Berechtigungen zu entfernen, die einem Benutzer erteilt wurden (z. B. für einen Ersatz);
- vergessen, die Benutzerkonten von Personen zu löschen, die die Organisation verlassen oder ihre Position in der Organiation geändert haben.
Weitere Schritte
Festlegung, Dokumentation und regelmäßige Überprüfung von Zugangskontrollrichtlinien in Bezug auf die von der Organisation durchgeführten Behandlungen, die Folgendes umfassen sollten:
- die Verfahren, die bei der Ankunft, Abreise oder Änderung der Zuordnung einer Person, die Zugang zu personenbezogenen Daten hat, systematisch anzuwenden sind;
- die Folgen für Personen mit rechtmäßigem Zugriff auf die Daten im Falle der Nichteinhaltung der Sicherheitsmaßnahmen;
- Maßnahmen zur Beschränkung und Kontrolle der Zuteilung und Nutzung des Zugangs zu der Verarbeitung.
In der Praxis
- Wenn ein neuer Mitarbeiter dem Unternehmen beitritt, müssen Sie ein neues dediziertes Benutzerkonto mit einem starken Passwort erstellen. Mitarbeiter sollten ihre Zugangsdaten nicht miteinander teilen, insbesondere wenn sie nicht über die gleiche Akkreditierung verfügen. Für den Fall, dass sie die Position ändern, sollten Sie ihre Zugriffsberechtigungen für bestimmte Dateien oder Systeme überprüfen.
Daten pseudonymisieren
Pseudonymisierung ist die Verarbeitung personenbezogener Daten in einer Weise, dass es nicht mehr möglich ist, die personenbezogenen Daten ohne die Verwendung zusätzlicher Informationen einer bestimmten natürlichen Person zuzuordnen. Diese zusätzlichen Informationen sind gesondert aufzubewahren und technischen und organisatorischen Maßnahmen zu unterwerfen.
In der Praxis besteht die Pseudonymisierung darin, direkt identifizierende Daten (Name, Vorname, persönliche Nummer, Telefonnummer usw.) in einem Datensatz durch indirekt identifizierende Daten (Alias, fortlaufende Nummer usw.) zu ersetzen. Es ermöglicht, die Daten von Einzelpersonen zu verarbeiten, ohne sie direkt identifizieren zu können. Es ist jedoch möglich, die Identität dieser Personen durch die zusätzlichen Daten zu verfolgen. Als solche sind pseudonymisierte Daten nach wie vor personenbezogene Daten und unterliegen der DSGVO. Pseudonymisierung ist auch reversibel, im Gegensatz zu Anonymisierung.
Die Pseudonymisierung ist eine der von der DSGVO empfohlenen Maßnahmen, um die mit der Verarbeitung personenbezogener Daten verbundenen Risiken zu begrenzen.
Lesen Sie mehr
Daten verschlüsseln
Verschlüsselung ist ein Prozess, der darin besteht, die Informationen in einen Code umzuwandeln, um unbefugten Zugriff zu verhindern. Diese Informationen können nur mit dem richtigen Schlüssel erneut gelesen werden. Verschlüsselung wird verwendet, um die Vertraulichkeit der Daten zu gewährleisten. Verschlüsselte Daten sind immer noch personenbezogene Daten. Als solche kann Verschlüsselung als eine der Pseudonymisierungstechniken betrachtet werden.
Darüber hinaus können Hash-Funktionen verwendet werden, um die Datenintegrität zu gewährleisten. Digitale Signaturen gewährleisten nicht nur die Integrität, sondern ermöglichen es auch, die Herkunft der Informationen und deren Authentizität zu überprüfen.
Daten anonymisieren
Personenbezogene Daten können so anonymisiert werden, dass die Person nicht oder nicht mehr identifizierbar ist. Anonymisierung ist ein Prozess, der darin besteht, eine Reihe von Techniken zu verwenden, um personenbezogene Daten so anonym zu machen, dass es unmöglich wird, die Person mit irgendwelchen Mitteln zu identifizieren, die vernünftigerweise wahrscheinlich verwendet werden.
Die Anonymisierung kann es Ihnen ermöglichen, Daten in einer Weise zu verwenden, die die Rechte und Freiheiten des Einzelnen respektiert. In der Tat eröffnet die Anonymisierung das Potenzial für die Weiterverwendung von Daten, die aufgrund des persönlichen Charakters der Daten zunächst nicht zulässig sind, und kann es Organisationen ermöglichen, Daten für zusätzliche Zwecke zu verwenden, ohne die Privatsphäre von Einzelpersonen zu beeinträchtigen. Die Anonymisierung ermöglicht es auch, Daten über die Aufbewahrungsfrist hinaus aufzubewahren.
Bei ordnungsgemäßer Umsetzung der Anonymisierung gilt die DSGVO nicht mehr für die anonymisierten Daten. Es ist jedoch wichtig zu beachten, dass die Anonymisierung personenbezogener Daten in der Praxis nicht immer möglich oder einfach zu erreichen ist. Es ist zu prüfen, ob die Anonymisierung auf die streitigen Daten angewendet und unter Berücksichtigung der besonderen Umstände der Verarbeitung der personenbezogenen Daten erfolgreich aufrechterhalten werden kann. Um die Anonymisierung im Einklang mit der DSGVO erfolgreich umsetzen zu können, wäre häufig zusätzliches rechtliches oder technisches Know-how erforderlich.
Wie kann die Wirksamkeit der Anonymisierung überprüft werden?
Die europäischen Datenschutzbehörden legen drei Kriterien fest, um sicherzustellen, dass ein Datensatz wirklich anonym ist:
- Isolierung: es sollte nicht möglich sein, Informationen über eine Person im Datensatz zu isolieren.
- Verlinkbarkeit: es sollte nicht möglich sein, getrennte Datenstücke zu derselben Person zu verknüpfen.
- Schlußfolgerung: es sollte nicht möglich sein, mit naher Sicherheit Informationen über eine Person abzuleiten.
In der Praxis
- Isolierung: In einer Datenbank von Lebensläufen, in denen nur der Vor- und Nachname einer Person durch eine Nummer ersetzt wurden (die nur dieser Person entspricht), ist es nach wie vor möglich, eine bestimmte Person anhand anderer Merkmale herauszufiltern. In diesem Fall gelten die personenbezogenen Daten als pseudonymisiert und nicht als anonymisiert.
- Verlinkbarkeit: Eine Mapping-Datenbank, die die Adressen von Personen enthält, kann nicht als anonym betrachtet werden, wenn andere Datenbanken, die anderswo existieren, dieselben Adressen mit anderen Daten enthalten, die die Identifizierung von Personen ermöglichen.
- Schlußfolgerung: Wenn ein angeblich anonymer Datensatz Informationen über die Steuerpflicht der Befragten zu einem Fragebogen enthält und alle männlichen Befragten zwischen 20 und 25 Jahren nicht steuerpflichtig sind, könnte daraus geschlossen werden, dass ein bestimmter Antragsgegner steuerpflichtig ist oder nicht, wenn Alter und Geschlecht bekannt sind.
Lesen Sie mehr
Besondere Situationen
Sicherheitsmaßnahmen für die Telearbeit
Im Rahmen der Telearbeit ist es notwendig, die Sicherheit der verarbeiteten Daten unter Wahrung der Privatsphäre von Einzelpersonen zu gewährleisten.
Was zu tun ist:
- Geben Sie eine Telearbeitssicherheitsrichtlinie oder zumindest eine Reihe von Mindestvorschriften heraus, die eingehalten werden müssen, und übermitteln Sie dieses Dokument den Mitarbeitern gemäß Ihren internen Vorschriften;
- Wenn Sie die Geschäftsregeln Ihres Informationssystems ändern müssen, um Telearbeit zu ermöglichen (z. B. Änderung der Clearance-Regeln, Remote-Administratorenzugriff usw.), die damit verbundenen Risiken zu berücksichtigen und erforderlichenfalls Maßnahmen zur Aufrechterhaltung des Sicherheitsniveaus zu ergreifen;
- Statten Sie alle Workstations Ihrer Mitarbeiter mit mindestens einer Firewall, Antivirensoftware und einem Tool aus, um den Zugriff auf bösartige Websites zu blockieren. Wenn die Mitarbeiter ihre eigenen Geräte verwenden können, geben Sie Anleitungen an, um sie zu sichern (siehe „Sicherheitsmaßnahmen für BYOD“);
- Richten Sie ein VPN ein, um eine direkte Exposition Ihrer Dienste im Internet zu vermeiden, wann immer dies möglich ist. Aktivieren Sie die Zwei-Faktor-VPN-Authentifizierung, wenn möglich;
- Stellen Sie Ihren Mitarbeitern eine Liste von Kommunikations- und Kooperationstools zur Verfügung, die für Remote-Arbeiten geeignet sind, die die Vertraulichkeit des Austauschs und der gemeinsamen Daten gewährleisten. Wählen Sie Werkzeuge, die Sie kontrollieren, und stellen Sie sicher, dass sie mindestens modernste Authentifizierung und Verschlüsselung der Kommunikation bieten und dass die Daten während der Übertragung nicht für andere Zwecke (Produktverbesserung, Werbung usw.) wiederverwendet werden. Einige Verbrauchersoftware kann Nutzerdaten an Dritte übermitteln und ist daher besonders ungeeignet für die betriebliche Nutzung.
Sicherheitsmaßnahmen für BYOD (Bring your own device)
Mit der Entwicklung von BYOD, insbesondere in KMU, verschwindet die Grenze zwischen Berufs- und Privatleben. Auch wenn BYOD an sich keine Verarbeitung personenbezogener Daten darstellt, ist es dennoch notwendig, die Datensicherheit zu gewährleisten.
Das Akronym „BYOD“ steht für „Bring Your Own Device“ und bezieht sich auf die Verwendung von Endgeräten in einem professionellen Kontext. Ein Beispiel hierfür wäre ein Mitarbeiter, der persönliche Geräte wie einen Computer, Tablet oder Smartphone verwendet, um sich mit dem Unternehmensnetzwerk zu verbinden.Die Möglichkeit, persönliche Instrumente einzusetzen, ist in erster Linie eine Frage der Wahl des Arbeitgebers und der nationalen Rechtsvorschriften. Die DSGVO verlangt, dass das Sicherheitsniveau der verarbeiteten personenbezogenen Daten unabhängig von der verwendeten Ausrüstung gleich ist. Arbeitgeber sind für die Sicherheit der personenbezogenen Daten ihres Unternehmens verantwortlich, auch wenn sie auf Terminals gespeichert werden, über die sie keine physische oder rechtliche Kontrolle haben, aber deren Verwendung sie berechtigt haben, auf die IT-Ressourcen des Unternehmens zuzugreifen.
Die Risiken, vor denen es wichtig ist, Ihr Unternehmen zu schützen, reichen von einem einmaligen Angriff auf die Verfügbarkeit, Integrität und Vertraulichkeit von Daten bis hin zu einem allgemeinen Kompromiss des Informationssystems des Unternehmens (Eindringen, Viren usw.).
Beispiel-Checkliste
Ein Beispiel dafür, wie eine Checkliste zur Verbesserung des Sicherheitsniveaus in Ihrem Unternehmen aussehen könnte:
- Informieren und belehren Sie Datenverarbeiter regelmäßig über datenschutzbezogene Risiken
- Eine interne verbindliche Richtlinie aufstellen
- Datenschutz by design und by default umsetzen
- Stellen Sie sicher, dass die verarbeiteten Daten angemessen, relevant und auf das Notwendige beschränkt sind (Datenminimierung)
- Einführung einer Informationsklassifizierungsrichtlinie für vertrauliche Daten
- Spezifische Angabe von Dokumenten, die sensible Daten enthalten
- Führen Sie Informationssicherheitstrainings und Sensibilisierungssitzungen zusammen mit regelmäßigen Erinnerungen durch.
- Unterzeichnen Sie eine Vertraulichkeitsvereinbarung mit Ihren Mitarbeitern oder schließen Sie spezielle Vertraulichkeitsklauseln ein.
- Automatische Sitzungssperrung, aktuelle Firewall und Antivirus, Backup-Speicher für Benutzer
- Physische Verbindung (USB-Sticks, externe Festplatten usw.) auf das Wesentliche beschränken
- Schutz der Räumlichkeiten des Unternehmens (z. B. Eindringmelder, Rauchmelder, geschützte Schlüssel, risikoabhängiger Raum, Berechtigungen für den Zugang zu bestimmten Bereichen, spezielle Brandbekämpfungssysteme)
- Geben Sie den Benutzern eine eindeutige Kennung
- Authentifizierung für den Zugriff auf Computereinrichtungen erforderlich
- Berechtigungen verwalten (z. B. getrennte Profile nach Bedarf, eindeutige Kennung, starke Passwörter)
- Erstellung einer Telearbeitssicherheitsrichtlinie
- Veraltete Zugriffsberechtigungen entfernen
- Regelmäßige Überprüfung der Zulassungen
- Pseudonymisierung oder Anonymisierung von Daten, um die Neuidentifizierung von Personen zu begrenzen
- Daten verschlüsseln, um unbefugten Zugriff zu verhindern
- Installieren Sie ein VPN für Telearbeit
- Stellen Sie sicher, dass persönliche Geräte für die Arbeit verwendet werden (BYOD)