- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Grundsätze zur Datenverarbeitung


Europäische Datenschutzgrundverordnung: Drei Tipps für die Cloud-Nutzung in Unternehmen
Einführung DSGVO-konformer Prozesse für Unternehmen eine große Herausforderung

- Anzeigen -





Von Eduard Meelhuysen, Vice President Sales EMEA, Bitglass

Am 25. Mai 2018 tritt die Europäische Datenschutzgrundverordnung (DSGVO) in Kraft. Privatpersonen haben damit das Recht, von Unternehmen, denen sie im Zuge einer Geschäftsbeziehung ihre Daten anvertraut haben, auf Anfrage umfassende Auskunft über die Verarbeitung ihrer persönlichen Daten zu erhalten. Die Unternehmen wiederum unterliegen dann der Kontrolle staatlicher Prüfinstanzen, weshalb sie gefordert sind, nicht nur für Sicherheit, sondern auch für Transparenz in ihren Datenverarbeitungsprozessen zu sorgen.

Lesen Sie zum Thema "Datenschutz" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Mit der DSGVO wird ein europäischer Standard für Datenschutz im digitalen Zeitalter geschaffen. Wie die Rechtsprechung sich im Zuge dessen für Cloud-Provider und die Cloud-nutzenden Unternehmen entwickeln wird, muss sich in der Praxis erst noch zeigen. Vorerst ist die Einführung DSGVO-konformer Prozesse für Unternehmen eine große Herausforderung – für manche mehr, für andere weniger. Doch langfristig bietet dies Unternehmen auch die Möglichkeit, sich mit ihren Grundsätzen zur Datenverarbeitung von ihren Wettbewerbern abzuheben und ihren Kundenkreis zu erweitern. Es lohnt sich also, von Anfang an gewissenhaft für die Sicherheit der Kundendaten Sorge zu tragen, sowohl innerhalb der eigenen Unternehmens-IT als auch in der Cloud.

Lesen Sie zum Thema "Cloud Computing" auch: SaaS-Magazin.de (www.saasmagazin.de)

Eine besondere Verantwortung wird Unternehmen zuteil, wenn es um die Nutzung von Cloud Computing-Anwendungen geht. Zwar sieht die DSGVO eine geteilte Verantwortung zwischen Cloud-Nutzern und Cloud-Providern vor, doch zur Verantwortung gezogen werden schlussendlich die Unternehmen, die die Cloud nutzen. Als so genannte Auftragsverarbeiter nehmen sie in etwa die Rolle eines Gatekeepers zwischen ihren Kunden und den Cloud-Providern ein. Laut DSGVO liegt es nunmehr in ihrer Verantwortung, sicherzustellen, dass alle erhobenen Daten nur auf die Art verarbeitet werden, der ihre Kunden und Nutzer zuvor ausdrücklich zugestimmt haben.

Eine große Herausforderung, wenn man bedenkt, dass bestimmt nicht alle Unternehmen über ausreichend Ressourcen verfügen, sich spielend leicht in diese Rolle einzufinden. Um in den verbleibenden zwölf Monaten auch die Cloud-Front sicher zu machen, sollten Unternehmen daher gegenwärtig folgende Punkte beachten:

1. Koordinierte "Fahndung" nach Unternehmensdaten
Um die IT-Infrastruktur des Unternehmens DSGVO-konform zu machen, arbeitet die IT in der Regel eng mit verschiedenen Abteilungen sowie der Geschäftsführung zusammen, um ein Verfahrensverzeichnis, also eine Übersicht der Verarbeitungsprozesse sämtlicher gesammelten Datenarten – beispielsweise personenbezogene Daten, Inhaltsdaten oder Verkehrsdaten - zu erstellen. Als personenbezogene Daten gelten dabei nicht nur Angaben zur Person, sondern weitere Daten, die eine natürliche Person bestimmbar machen, beispielsweise die IP-Adresse. Für Unternehmen, die den Wechsel in die Cloud planen oder diesen bereits vollzogen haben, bedeutet dies zunächst, dass sie ermitteln müssen, welche Art von Kundendaten im täglichen Geschehen den Weg in die Cloud finden und nicht zuletzt auch, wie diese dort geschützt sind. Beispielsweise könnten Inhaltsdaten in E-Mailcloudanwendungen ausgelagert sein oder Verkehrsdaten über bestimmte Websiteanalysetools dorthin gelangen.

Je nach Kapazitäten und personeller Auslastung im Unternehmen ist es sicherlich kein einfacher Job, herauszufinden, inwieweit welche Daten in die Cloud wandern werden oder bereits gewandert sind. Doch irgendjemand muss ihn machen, oder anders gesagt: Jemand muss die Verantwortung übernehmen. Zwar ist es wichtig, sämtliche relevanten Unternehmensverantwortliche in den Prozess einzubeziehen. Doch um Verantwortungsdiffusion zu vermeiden, müssen diese Bemühungen koordiniert werden. Es ist zu spät, auf Grund einer neu eingeführten Cloudanwendung am Vorabend der DSGVO erneut das Verfahrensverzeichnis und sämtliche damit verbundenen Prozesse – zum Beispiel das Einholen der Zustimmung von Kunden – zu ändern. Daher sollte frühzeitig der im Rahmen der DSGVO geforderte unternehmenseigene Datenschutzbeauftragte ernannt und idealerweise mit der Koordination der für die DSGVO relevanten Prozesse betraut werden.

2. Datenverarbeitung auf Seiten der Cloud-Provider ermitteln
Ist das Verfahrensverzeichnis erst einmal erstellt, sollte man seine Cloud-Provider um eine Aushändigung ihres Verfahrensverzeichnisses bitten. Im Vergleich lässt sich damit ermitteln, inwieweit die Verarbeitungsart und auch die Sicherheitsstandards mit denen des Unternehmens übereinstimmen oder im umgekehrten Fall, inwieweit diese darüber hinausgehen und ob dafür ein erweitertes Einverständnis durch die Kunden eingeholt werden muss. Den Ergebnissen entsprechend muss die Datenschutzerklärung des Unternehmens aktualisiert werden.

Die DSGVO sieht darüber hinaus eine Zertifizierung von Cloud-Providern vor. Über verschiedene Gütesiegel soll das Level an Datenschutz und -sicherheit eines Anbieters zuverlässig abgebildet werden. Allerdings sind bisher noch keine einheitlichen Standards etabliert und die Zertifizierung ist freiwillig. Zwar ist anzunehmen, dass Gütesiegel langfristig für Cloud-Provider faktisch zu einem Wettbewerbskriterium werden. Doch es ist nicht abzusehen, ob dies sämtliche Cloud-Provider pünktlich bis Inkrafttreten der DSGVO umsetzen werden. Um rechtzeitig auf der sicheren Seite zu sein, sollten Unternehmen vorerst nicht darauf setzen, dass der bloße Blick auf ein Gütesiegel ihnen große Mühen ersparen wird. Vielmehr sollten sie die Datenverarbeitungsprozesse ihrer Cloud-Provider eingehend prüfen und auch auf eingesetzte Sicherheitsfunktionen wie Data Leakage Prevention (DLP) achten. Angesichts der drohenden Bußgelder, die Unternehmen treffen können, wenn die von ihnen gewählten Cloud-Provider nicht ausreichend Sorgfalt walten lassen, lohnt es sich, bei der Überprüfung äußerst gewissenhaft vorzugehen.

3. Schatten-IT vermeiden und Mitarbeiter schulen
Mit den Änderungen durch die DSGVO sollten Unternehmen auch ein stärkeres Augenmerk darauf legen, welche Unternehmensmitarbeiter auf welche Datenarten Zugriff haben und vor allem auch, von welchen Geräten. Es sollte möglichst ausgeschlossen werden, dass Mitarbeiter beispielsweise nach Feierabend von einem nicht abgesicherten, privaten Gerät auf wichtige Kunden- und Unternehmensdaten zugreifen und diese beliebig speichern oder mit anderen Cloudanwendungen bearbeiten können. Ebenso muss allen Mitarbeitern bewusst gemacht werden, dass sie bei Ausfall eines unternehmenskritischen Dienstes – beispielsweise einem Ausfall des E-Mailservers – sie zwischenzeitlich nicht auf andere private E-Mailkonten oder sonstige frei verfügbare Dienste ausweichen können, um dringende Korrespondenzen mit ihren Kunden doch noch abzuschließen.

Für derartige Fälle müssen die Sensibilität der Mitarbeiter für Datensicherheit geschärft sowie Verhaltensregeln festgelegt werden. Derartige Vorsichtsmaßnahmen erfordern mitunter auch die Unterstützung durch den Datenschutzbeauftragten und die Geschäftsleitung. Auch technische Vorkehrungen, wie die Verschlüsselung von Cloud-Daten und die Sicherung sämtlicher mobiler Unternehmensgeräte, können zur Minimierung derartiger Risiken beitragen. Hilfreich ist auch die Erarbeitung eines Rechte-Rollen-Konzeptes, um Zugriffsrechte zu segmentieren und den Nutzerzugriff auf sensible Daten zu einzuschränken.
(Bitglass: ra)

eingetragen: 14.05.17
Home & Newsletterlauf: 01.06.17


Bitglass: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Zehn praktische Tipps für mehr IT-Sicherheit

    F5 Networks hat aus weltweiten Analysen aktueller Cybergefahren zehn praktische Tipps für Unternehmen entwickelt. Damit können sie ihren IT-Sicherheitsansatz verbessern. Die Vorschläge wurden gemeinsam mit aktuellen Erkenntnissen im Whitepaper "Entmystifizierung der Bedrohungslandschaft" veröffentlicht. Beim Thema Sicherheit gibt es nach wie vor viele Mythen. Doch Unternehmen sollten ihre Entscheidungen nur auf Basis harter Fakten treffen. Zum Beispiel zielen heute 72 Prozent der Angriffe auf Benutzeridentitäten und Anwendungen. Trotzdem werden nur 10 Prozent des IT-Sicherheitsbudgets für deren Schutz ausgegeben. Ebenfalls unterschätzt wird weiterhin die Gefahr durch interne Mitarbeiter. Laut Fortune würde jeder fünfte Arbeitnehmer seine persönlichen Firmenpasswörter verkaufen, davon fast die Hälfte für weniger als 1.000 Dollar.

  • Sicherheitskriterium auf einer gefälschten Seite

    Phishing mit internationalen Domain-Namen nimmt trotz verbesserter Sicherheitskonzepte und ausgerollter Updates gegen Homograph-Angriffe der Browserhersteller nicht ab. Christian Heutger macht auf ein weiteres Problem aufmerksam: "Für ihre modernen Phishing-Kampagnen registrieren Angreifer gültige SSL-Zertifikate für ihre gefälschten Webseiten. Nutzer, die auf einer gefälschten Website landen, gehen somit von einer legitimen Seite aus", warnt der IT-Sicherheitsexperte und Geschäftsführer der PSW Group. Internationalisierte Domain-Namen enthalten Umlaute, diakritische Zeichen oder Buchstaben aus anderen Alphabeten als dem lateinischen. Somit können in Domains auch kyrillische, chinesische oder arabische Zeichen verwendet werden. Diese als Unicode-Methode bezeichnete Praxis liefert Cyberkriminellen die Basis für ihre Phishing-Kampagnen: Bestimmte Buchstaben sehen in verschiedenen Zeichensätzen ähnlich aus wie Unicode. Für die meisten User hierzulande unterscheiden sich diese Zeichen auf den ersten Blick nicht von den richtigen. Diesen Umstand nutzen Angreifer aus: Um ihre Opfer auf gefälschte Webseiten zu locken, registrieren Cyberkriminelle Domains mit identisch erscheinenden Zeichen. Die vorgetäuschte Website sieht der legitimen verdächtig ähnlich, die registrierte Domain jedoch ist eine andere.

  • Perspektive eines tatsächlichen Angreifers

    Oftmals werden automatisierte Sicherheitsprüfungen als Penetrationstests bezeichnet. Blue Frost Security zeigt, was einen echten Penetrationstest ausmacht und was das so genannte "Redteam-Testing" bedeutet. Je nach Anwendungsfall sind entweder Teile oder der gesamte Umfang des Testszenarios erforderlich. Penetrationstests sind simulierte Angriffe auf ein Netzwerk, System oder eine Anwendung, um den Status-quo der IT-Sicherheit im Unternehmen festzustellen. Ziel ist die Identifizierung von Schwachstellen bzw. Sicherheitslücken und die Optimierung der IT/TK-Infrastruktur. Ein automatisierter Sicherheitsscan wird oft als Penetrationstest deklariert, ist aber keiner. Blue Frost Security hat die fünf Stufen eines professionellen Penetrationstests zusammengefasst.

  • Verwendung von Webcams & internetfähigen Geräte

    Die mit dem Internet verbundene Kamera einer Niederländerin fing plötzlich an, mit ihr zu sprechen. Geschockt nahm sie den Dialog mit dem Hacker auf und veröffentlichte ihn. Damit sich dieser Schreckmoment nicht wiederholt, gibt Sophos drei bewährte IoT-Tipps. "Bonjour Madame!" - geschockt beschreibt die Gefühlslage von Rilana H. vielleicht am besten, als ihre WiFi-fähige Kamera sie aus dem Nichts heraus beim Hausputz begrüßt. Ein Hacker hatte die Kontrolle über das IoT-Gerät übernommen, das die Niederländerin vor ein paar Monaten bei einer lokalen Discounterkette günstig erstanden hatte. Sie packte die Kamera in die Box zurück, erzählte ihrer Freundin am Abend davon und wollte den Spieß umdrehen: Sie stellte die Kamera wieder auf, mit Blick auf die Wand gerichtet, und filmte mit ihrem Handy, wie der Hacker erneut Kontakt aufnahm. Den Dialog veröffentlichte sie vor kurzem auf Facebook.

  • Mehrarbeit für Domaininhaber in Grenzen

    Seit 8. September ist die Sicherheit von SSL/TLS-Zertifikaten durch das Verfahren Certification Authority Authorization (CAA) weiter erhöht worden. Da der Anwender nun selbst im DNS eine oder mehrere Zertifizierungsstellen (CA) definiert, die SSL /TLS-Zertifikate für die eigenen Domains ausstellen darf. "Das SSL-/TLS-Zertifikat wird nun nicht nur an einen festgelegten Host, sondern auch an eine festgelegte Zertifizierungsstelle gebunden. Dem Zertifikatsmissbrauch wird damit ein weiterer Riegel vorgeschoben. Und dank diverser Tools hält sich auch das Mehr an Arbeit für Domaininhaber in Grenzen", begrüßt Christian Heutger, Geschäftsführer der PSW Group diesen Schritt.