- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Grundsätze zur Datenverarbeitung


Europäische Datenschutzgrundverordnung: Drei Tipps für die Cloud-Nutzung in Unternehmen
Einführung DSGVO-konformer Prozesse für Unternehmen eine große Herausforderung

- Anzeigen -





Von Eduard Meelhuysen, Vice President Sales EMEA, Bitglass

Am 25. Mai 2018 tritt die Europäische Datenschutzgrundverordnung (DSGVO) in Kraft. Privatpersonen haben damit das Recht, von Unternehmen, denen sie im Zuge einer Geschäftsbeziehung ihre Daten anvertraut haben, auf Anfrage umfassende Auskunft über die Verarbeitung ihrer persönlichen Daten zu erhalten. Die Unternehmen wiederum unterliegen dann der Kontrolle staatlicher Prüfinstanzen, weshalb sie gefordert sind, nicht nur für Sicherheit, sondern auch für Transparenz in ihren Datenverarbeitungsprozessen zu sorgen.

Lesen Sie zum Thema "Datenschutz" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Mit der DSGVO wird ein europäischer Standard für Datenschutz im digitalen Zeitalter geschaffen. Wie die Rechtsprechung sich im Zuge dessen für Cloud-Provider und die Cloud-nutzenden Unternehmen entwickeln wird, muss sich in der Praxis erst noch zeigen. Vorerst ist die Einführung DSGVO-konformer Prozesse für Unternehmen eine große Herausforderung – für manche mehr, für andere weniger. Doch langfristig bietet dies Unternehmen auch die Möglichkeit, sich mit ihren Grundsätzen zur Datenverarbeitung von ihren Wettbewerbern abzuheben und ihren Kundenkreis zu erweitern. Es lohnt sich also, von Anfang an gewissenhaft für die Sicherheit der Kundendaten Sorge zu tragen, sowohl innerhalb der eigenen Unternehmens-IT als auch in der Cloud.

Lesen Sie zum Thema "Cloud Computing" auch: SaaS-Magazin.de (www.saasmagazin.de)

Eine besondere Verantwortung wird Unternehmen zuteil, wenn es um die Nutzung von Cloud Computing-Anwendungen geht. Zwar sieht die DSGVO eine geteilte Verantwortung zwischen Cloud-Nutzern und Cloud-Providern vor, doch zur Verantwortung gezogen werden schlussendlich die Unternehmen, die die Cloud nutzen. Als so genannte Auftragsverarbeiter nehmen sie in etwa die Rolle eines Gatekeepers zwischen ihren Kunden und den Cloud-Providern ein. Laut DSGVO liegt es nunmehr in ihrer Verantwortung, sicherzustellen, dass alle erhobenen Daten nur auf die Art verarbeitet werden, der ihre Kunden und Nutzer zuvor ausdrücklich zugestimmt haben.

Eine große Herausforderung, wenn man bedenkt, dass bestimmt nicht alle Unternehmen über ausreichend Ressourcen verfügen, sich spielend leicht in diese Rolle einzufinden. Um in den verbleibenden zwölf Monaten auch die Cloud-Front sicher zu machen, sollten Unternehmen daher gegenwärtig folgende Punkte beachten:

1. Koordinierte "Fahndung" nach Unternehmensdaten
Um die IT-Infrastruktur des Unternehmens DSGVO-konform zu machen, arbeitet die IT in der Regel eng mit verschiedenen Abteilungen sowie der Geschäftsführung zusammen, um ein Verfahrensverzeichnis, also eine Übersicht der Verarbeitungsprozesse sämtlicher gesammelten Datenarten – beispielsweise personenbezogene Daten, Inhaltsdaten oder Verkehrsdaten - zu erstellen. Als personenbezogene Daten gelten dabei nicht nur Angaben zur Person, sondern weitere Daten, die eine natürliche Person bestimmbar machen, beispielsweise die IP-Adresse. Für Unternehmen, die den Wechsel in die Cloud planen oder diesen bereits vollzogen haben, bedeutet dies zunächst, dass sie ermitteln müssen, welche Art von Kundendaten im täglichen Geschehen den Weg in die Cloud finden und nicht zuletzt auch, wie diese dort geschützt sind. Beispielsweise könnten Inhaltsdaten in E-Mailcloudanwendungen ausgelagert sein oder Verkehrsdaten über bestimmte Websiteanalysetools dorthin gelangen.

Je nach Kapazitäten und personeller Auslastung im Unternehmen ist es sicherlich kein einfacher Job, herauszufinden, inwieweit welche Daten in die Cloud wandern werden oder bereits gewandert sind. Doch irgendjemand muss ihn machen, oder anders gesagt: Jemand muss die Verantwortung übernehmen. Zwar ist es wichtig, sämtliche relevanten Unternehmensverantwortliche in den Prozess einzubeziehen. Doch um Verantwortungsdiffusion zu vermeiden, müssen diese Bemühungen koordiniert werden. Es ist zu spät, auf Grund einer neu eingeführten Cloudanwendung am Vorabend der DSGVO erneut das Verfahrensverzeichnis und sämtliche damit verbundenen Prozesse – zum Beispiel das Einholen der Zustimmung von Kunden – zu ändern. Daher sollte frühzeitig der im Rahmen der DSGVO geforderte unternehmenseigene Datenschutzbeauftragte ernannt und idealerweise mit der Koordination der für die DSGVO relevanten Prozesse betraut werden.

2. Datenverarbeitung auf Seiten der Cloud-Provider ermitteln
Ist das Verfahrensverzeichnis erst einmal erstellt, sollte man seine Cloud-Provider um eine Aushändigung ihres Verfahrensverzeichnisses bitten. Im Vergleich lässt sich damit ermitteln, inwieweit die Verarbeitungsart und auch die Sicherheitsstandards mit denen des Unternehmens übereinstimmen oder im umgekehrten Fall, inwieweit diese darüber hinausgehen und ob dafür ein erweitertes Einverständnis durch die Kunden eingeholt werden muss. Den Ergebnissen entsprechend muss die Datenschutzerklärung des Unternehmens aktualisiert werden.

Die DSGVO sieht darüber hinaus eine Zertifizierung von Cloud-Providern vor. Über verschiedene Gütesiegel soll das Level an Datenschutz und -sicherheit eines Anbieters zuverlässig abgebildet werden. Allerdings sind bisher noch keine einheitlichen Standards etabliert und die Zertifizierung ist freiwillig. Zwar ist anzunehmen, dass Gütesiegel langfristig für Cloud-Provider faktisch zu einem Wettbewerbskriterium werden. Doch es ist nicht abzusehen, ob dies sämtliche Cloud-Provider pünktlich bis Inkrafttreten der DSGVO umsetzen werden. Um rechtzeitig auf der sicheren Seite zu sein, sollten Unternehmen vorerst nicht darauf setzen, dass der bloße Blick auf ein Gütesiegel ihnen große Mühen ersparen wird. Vielmehr sollten sie die Datenverarbeitungsprozesse ihrer Cloud-Provider eingehend prüfen und auch auf eingesetzte Sicherheitsfunktionen wie Data Leakage Prevention (DLP) achten. Angesichts der drohenden Bußgelder, die Unternehmen treffen können, wenn die von ihnen gewählten Cloud-Provider nicht ausreichend Sorgfalt walten lassen, lohnt es sich, bei der Überprüfung äußerst gewissenhaft vorzugehen.

3. Schatten-IT vermeiden und Mitarbeiter schulen
Mit den Änderungen durch die DSGVO sollten Unternehmen auch ein stärkeres Augenmerk darauf legen, welche Unternehmensmitarbeiter auf welche Datenarten Zugriff haben und vor allem auch, von welchen Geräten. Es sollte möglichst ausgeschlossen werden, dass Mitarbeiter beispielsweise nach Feierabend von einem nicht abgesicherten, privaten Gerät auf wichtige Kunden- und Unternehmensdaten zugreifen und diese beliebig speichern oder mit anderen Cloudanwendungen bearbeiten können. Ebenso muss allen Mitarbeitern bewusst gemacht werden, dass sie bei Ausfall eines unternehmenskritischen Dienstes – beispielsweise einem Ausfall des E-Mailservers – sie zwischenzeitlich nicht auf andere private E-Mailkonten oder sonstige frei verfügbare Dienste ausweichen können, um dringende Korrespondenzen mit ihren Kunden doch noch abzuschließen.

Für derartige Fälle müssen die Sensibilität der Mitarbeiter für Datensicherheit geschärft sowie Verhaltensregeln festgelegt werden. Derartige Vorsichtsmaßnahmen erfordern mitunter auch die Unterstützung durch den Datenschutzbeauftragten und die Geschäftsleitung. Auch technische Vorkehrungen, wie die Verschlüsselung von Cloud-Daten und die Sicherung sämtlicher mobiler Unternehmensgeräte, können zur Minimierung derartiger Risiken beitragen. Hilfreich ist auch die Erarbeitung eines Rechte-Rollen-Konzeptes, um Zugriffsrechte zu segmentieren und den Nutzerzugriff auf sensible Daten zu einzuschränken.
(Bitglass: ra)

eingetragen: 14.05.17
Home & Newsletterlauf: 01.06.17


Bitglass: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Spear Fishing-Attacken: Bedrohungen der Zukunft

    Vermutlich hat fast jeder bereits fantasievolle E-Mails von Geschäftsleuten oder unfassbar reichen Prinzen aus fernen Ländern erhalten, die exorbitante Geldbeträge in Aussicht stellen - im Gegenzug für eine finanzielle Vorleistung von ein paar tausend Euro. Inzwischen gehen die meisten Anwender routiniert mit solchen Betrugsmaschen um. Doch es gibt wesentlich ausgefeiltere Tricks, denn Cyberkriminelle werden immer persönlicher. Viele Phishing-Versuche sind auf den ersten Blick leicht zu erkennen, weil sie fettgedruckte Betreffzeilen, Rechtschreibfehler oder fragwürdige Anhänge enthalten, die deutliche Warnkennzeichen sind. Jedoch verzeichnet sich mittlerweile eine rapide Zunahme personalisierter Angriffe, die äußerst schwer zu erkennen sind, vor allem für Nutzer, denen nicht bewusst ist, wie hochentwickelt Phishing-Versuche heute sein können.

  • Generell sollten Popups nie angeklickt werden

    Angriffe von Cyber-Kriminellen können für Unternehmen teuer werden, wenn sie den Verlust ihrer Daten vermeiden wollen. Julian Totzek-Hallhuber, Solution Architect beim Spezialisten für Anwendungssicherheit CA Veracode, gibt im Folgenden fünf Tipps, wie sich Unternehmen einfach und effektiv vor Ransomware-Angriffen schützen können: Eine Backup-Strategie definieren: Der wichtigste Ansatz, um Ransomware-Attacken ins Leere laufen zu lassen, ist ein ausgeklügelter Backup-Plan. Daten, die in einem Backup sicher gespeichert wurden, können die von Kriminellen verschlüsselten Daten im Ernstfall schnell ersetzen. Die Sicherungskopien sollten nummeriert sein und man sollte auch ältere Versionen speichern. Damit die Backups nicht ebenfalls Opfer von Ransomware werden, müssen sie auf Laufwerken liegen, die nicht mit einem Netzwerk verbunden sind.

  • Sichere Bereitstellung von Online-Werbung

    Seit Juli 2015 gilt das IT-Sicherheitsgesetz - nicht nur im Bereich Kritischer Infrastrukturen (KRITIS). Alle Anbieter von Telemediendiensten sind betroffen, darunter Online-Shops, Provider und Betreiber von Ad-Servern. Denn auch letztere halten Informationen - in dem Fall Werbemittel - zum Abruf bereit. Aus diesem Grund sind auch sie verpflichtet, Sicherheitsmaßnahmen entsprechend dem Stand der Technik umzusetzen. Darunter fällt insbesondere die Anwendung eines Verschlüsselungsverfahrens, welches als sicher eingestuft ist. "Bei Auslieferung von Werbung muss das SSL/TLS-Protokoll Anwendung finden. So erfolgt der Datenverkehr zwischen Client und Webserver verschlüsselt. Die Verschlüsselung muss aber auch sämtliche beteiligte Ad-Server innerhalb der Auslieferungskette umfassen", macht Christian Heutger, IT-Sicherheitsexperte und Geschäftsführer der PSW Group, mit Nachdruck aufmerksam.

  • Alexa ungewollt aktiviert

    Wer eine Antwort von seinem digitalen Sprachassistenten möchte, spricht ihn mit einem festgelegten Signalwort an. Doch ein Selbstversuch des Marktwächter-Teams der Verbraucherzentrale NRW am Beispiel von Amazon Alexa zeigt: Die smarte Assistentin reagiert nicht nur auf dieses Signalwort, sondern auch auf ähnlich klingende Begriffe. So ist es möglich, dass vom Nutzer ungewollt Ausschnitte aus Alltagsunterhaltungen aufgezeichnet und an Anbieterserver übertragen werden.

  • Schwachstellen erfordern neue Update-Strategie

    Computer-Prozessoren von mehreren Herstellern weisen derzeit zwei Schwachstellen auf, die mit den Namen Meltdown und Spectre bezeichnet werden. Ein potentieller Angreifer kann darüber alle Daten, die durch einen Prozessor verarbeitet werden, auslesen. Zudem lassen sich die Grenzen zwischen verschiedenen geschützten Bereichen überwinden. Diese Sicherheitslücken sind zwar kritisch und sollten zeitnah behoben werden, jedoch warnt der IT-Dienstleister Konica Minolta IT Solutions vor blindem Aktionismus. Die Ausnutzung dieser Schwachstellen ist sehr komplex und erfordert einen vergleichsweise hohen Aufwand. Die Gefahr für Unternehmen ist deshalb zunächst noch eine theoretische. Entsprechend ist bislang kein Fall der aktiven Ausnutzung dieser Sicherheitslücken bekannt, so das BSI in einer Pressemitteilung vom 4. Januar.