- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Grundsätze zur Datenverarbeitung


Europäische Datenschutzgrundverordnung: Drei Tipps für die Cloud-Nutzung in Unternehmen
Einführung DSGVO-konformer Prozesse für Unternehmen eine große Herausforderung

- Anzeigen -





Von Eduard Meelhuysen, Vice President Sales EMEA, Bitglass

Am 25. Mai 2018 tritt die Europäische Datenschutzgrundverordnung (DSGVO) in Kraft. Privatpersonen haben damit das Recht, von Unternehmen, denen sie im Zuge einer Geschäftsbeziehung ihre Daten anvertraut haben, auf Anfrage umfassende Auskunft über die Verarbeitung ihrer persönlichen Daten zu erhalten. Die Unternehmen wiederum unterliegen dann der Kontrolle staatlicher Prüfinstanzen, weshalb sie gefordert sind, nicht nur für Sicherheit, sondern auch für Transparenz in ihren Datenverarbeitungsprozessen zu sorgen.

Lesen Sie zum Thema "Datenschutz" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Mit der DSGVO wird ein europäischer Standard für Datenschutz im digitalen Zeitalter geschaffen. Wie die Rechtsprechung sich im Zuge dessen für Cloud-Provider und die Cloud-nutzenden Unternehmen entwickeln wird, muss sich in der Praxis erst noch zeigen. Vorerst ist die Einführung DSGVO-konformer Prozesse für Unternehmen eine große Herausforderung – für manche mehr, für andere weniger. Doch langfristig bietet dies Unternehmen auch die Möglichkeit, sich mit ihren Grundsätzen zur Datenverarbeitung von ihren Wettbewerbern abzuheben und ihren Kundenkreis zu erweitern. Es lohnt sich also, von Anfang an gewissenhaft für die Sicherheit der Kundendaten Sorge zu tragen, sowohl innerhalb der eigenen Unternehmens-IT als auch in der Cloud.

Lesen Sie zum Thema "Cloud Computing" auch: SaaS-Magazin.de (www.saasmagazin.de)

Eine besondere Verantwortung wird Unternehmen zuteil, wenn es um die Nutzung von Cloud Computing-Anwendungen geht. Zwar sieht die DSGVO eine geteilte Verantwortung zwischen Cloud-Nutzern und Cloud-Providern vor, doch zur Verantwortung gezogen werden schlussendlich die Unternehmen, die die Cloud nutzen. Als so genannte Auftragsverarbeiter nehmen sie in etwa die Rolle eines Gatekeepers zwischen ihren Kunden und den Cloud-Providern ein. Laut DSGVO liegt es nunmehr in ihrer Verantwortung, sicherzustellen, dass alle erhobenen Daten nur auf die Art verarbeitet werden, der ihre Kunden und Nutzer zuvor ausdrücklich zugestimmt haben.

Eine große Herausforderung, wenn man bedenkt, dass bestimmt nicht alle Unternehmen über ausreichend Ressourcen verfügen, sich spielend leicht in diese Rolle einzufinden. Um in den verbleibenden zwölf Monaten auch die Cloud-Front sicher zu machen, sollten Unternehmen daher gegenwärtig folgende Punkte beachten:

1. Koordinierte "Fahndung" nach Unternehmensdaten
Um die IT-Infrastruktur des Unternehmens DSGVO-konform zu machen, arbeitet die IT in der Regel eng mit verschiedenen Abteilungen sowie der Geschäftsführung zusammen, um ein Verfahrensverzeichnis, also eine Übersicht der Verarbeitungsprozesse sämtlicher gesammelten Datenarten – beispielsweise personenbezogene Daten, Inhaltsdaten oder Verkehrsdaten - zu erstellen. Als personenbezogene Daten gelten dabei nicht nur Angaben zur Person, sondern weitere Daten, die eine natürliche Person bestimmbar machen, beispielsweise die IP-Adresse. Für Unternehmen, die den Wechsel in die Cloud planen oder diesen bereits vollzogen haben, bedeutet dies zunächst, dass sie ermitteln müssen, welche Art von Kundendaten im täglichen Geschehen den Weg in die Cloud finden und nicht zuletzt auch, wie diese dort geschützt sind. Beispielsweise könnten Inhaltsdaten in E-Mailcloudanwendungen ausgelagert sein oder Verkehrsdaten über bestimmte Websiteanalysetools dorthin gelangen.

Je nach Kapazitäten und personeller Auslastung im Unternehmen ist es sicherlich kein einfacher Job, herauszufinden, inwieweit welche Daten in die Cloud wandern werden oder bereits gewandert sind. Doch irgendjemand muss ihn machen, oder anders gesagt: Jemand muss die Verantwortung übernehmen. Zwar ist es wichtig, sämtliche relevanten Unternehmensverantwortliche in den Prozess einzubeziehen. Doch um Verantwortungsdiffusion zu vermeiden, müssen diese Bemühungen koordiniert werden. Es ist zu spät, auf Grund einer neu eingeführten Cloudanwendung am Vorabend der DSGVO erneut das Verfahrensverzeichnis und sämtliche damit verbundenen Prozesse – zum Beispiel das Einholen der Zustimmung von Kunden – zu ändern. Daher sollte frühzeitig der im Rahmen der DSGVO geforderte unternehmenseigene Datenschutzbeauftragte ernannt und idealerweise mit der Koordination der für die DSGVO relevanten Prozesse betraut werden.

2. Datenverarbeitung auf Seiten der Cloud-Provider ermitteln
Ist das Verfahrensverzeichnis erst einmal erstellt, sollte man seine Cloud-Provider um eine Aushändigung ihres Verfahrensverzeichnisses bitten. Im Vergleich lässt sich damit ermitteln, inwieweit die Verarbeitungsart und auch die Sicherheitsstandards mit denen des Unternehmens übereinstimmen oder im umgekehrten Fall, inwieweit diese darüber hinausgehen und ob dafür ein erweitertes Einverständnis durch die Kunden eingeholt werden muss. Den Ergebnissen entsprechend muss die Datenschutzerklärung des Unternehmens aktualisiert werden.

Die DSGVO sieht darüber hinaus eine Zertifizierung von Cloud-Providern vor. Über verschiedene Gütesiegel soll das Level an Datenschutz und -sicherheit eines Anbieters zuverlässig abgebildet werden. Allerdings sind bisher noch keine einheitlichen Standards etabliert und die Zertifizierung ist freiwillig. Zwar ist anzunehmen, dass Gütesiegel langfristig für Cloud-Provider faktisch zu einem Wettbewerbskriterium werden. Doch es ist nicht abzusehen, ob dies sämtliche Cloud-Provider pünktlich bis Inkrafttreten der DSGVO umsetzen werden. Um rechtzeitig auf der sicheren Seite zu sein, sollten Unternehmen vorerst nicht darauf setzen, dass der bloße Blick auf ein Gütesiegel ihnen große Mühen ersparen wird. Vielmehr sollten sie die Datenverarbeitungsprozesse ihrer Cloud-Provider eingehend prüfen und auch auf eingesetzte Sicherheitsfunktionen wie Data Leakage Prevention (DLP) achten. Angesichts der drohenden Bußgelder, die Unternehmen treffen können, wenn die von ihnen gewählten Cloud-Provider nicht ausreichend Sorgfalt walten lassen, lohnt es sich, bei der Überprüfung äußerst gewissenhaft vorzugehen.

3. Schatten-IT vermeiden und Mitarbeiter schulen
Mit den Änderungen durch die DSGVO sollten Unternehmen auch ein stärkeres Augenmerk darauf legen, welche Unternehmensmitarbeiter auf welche Datenarten Zugriff haben und vor allem auch, von welchen Geräten. Es sollte möglichst ausgeschlossen werden, dass Mitarbeiter beispielsweise nach Feierabend von einem nicht abgesicherten, privaten Gerät auf wichtige Kunden- und Unternehmensdaten zugreifen und diese beliebig speichern oder mit anderen Cloudanwendungen bearbeiten können. Ebenso muss allen Mitarbeitern bewusst gemacht werden, dass sie bei Ausfall eines unternehmenskritischen Dienstes – beispielsweise einem Ausfall des E-Mailservers – sie zwischenzeitlich nicht auf andere private E-Mailkonten oder sonstige frei verfügbare Dienste ausweichen können, um dringende Korrespondenzen mit ihren Kunden doch noch abzuschließen.

Für derartige Fälle müssen die Sensibilität der Mitarbeiter für Datensicherheit geschärft sowie Verhaltensregeln festgelegt werden. Derartige Vorsichtsmaßnahmen erfordern mitunter auch die Unterstützung durch den Datenschutzbeauftragten und die Geschäftsleitung. Auch technische Vorkehrungen, wie die Verschlüsselung von Cloud-Daten und die Sicherung sämtlicher mobiler Unternehmensgeräte, können zur Minimierung derartiger Risiken beitragen. Hilfreich ist auch die Erarbeitung eines Rechte-Rollen-Konzeptes, um Zugriffsrechte zu segmentieren und den Nutzerzugriff auf sensible Daten zu einzuschränken.
(Bitglass: ra)

eingetragen: 14.05.17
Home & Newsletterlauf: 01.06.17


Bitglass: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Soziale Medien, Kinder & Privatsphäreeinstellungen

    Was Kindern (und einigen Erwachsenen) wahrscheinlich nicht klar ist: Es existieren reale Konsequenzen für die Dinge, die man online tut. Daran sollten wir unsere Kinder immer wieder erinnern. Um ehrlich zu sein: Es ist leicht zu vergessen, was auf dem Spiel steht, wenn man schnell und vergleichsweise einfach das bekommt, was man will. Und in den meisten Fällen denken Kinder nicht darüber nach, persönliche Informationen weiterzugeben. Wenn man die Online-Privatsphäre seiner Kinder nicht ernst nimmt, können sie in ernsthafte digitale Schwierigkeiten geraten, oder schlimmer noch: Sie nehmen emotionalen oder physischen Schaden. Wenn es um Kriminelle geht, die speziell nach persönlichen Daten von Kindern suchen, ist Identitätsdiebstahl etwas, worüber sich Eltern Gedanken machen müssen. Die Seiten, die sie besuchen, können zwar kinderfreundlich sein, aber das bedeutet nicht, dass sich dort auch besonders um die Daten des Kindes gekümmert wird.

  • Unterschätztes Risiko Insider-Angriff

    Beim Stichwort Cyber-Bedrohung denkt man häufig an großangelegte Malware-Angriffe wie Ransomware, mit denen Kriminelle versuchen, das Firmennetzwerk zu kompromittieren. Unterschätzt wird jedoch oft eine Gefahr, die bereits im Firmengebäude sitzt: Die Insider-Bedrohung. Insider - seien es unachtsame Angestellte oder böswillige Mitarbeiter, die aus finanziellen oder persönlichen Motiven Daten stehlen oder gar löschen - sind ein enormes Risiko für die Datensicherheit in Unternehmen. Oft haben Angestellte, externe Auftragnehmer und andere Dritte legitimen Zugriff auf sensible Daten, um effektiv und flexibel arbeiten zu können. Dies stellt eine Herausforderung für Sicherheitsteams dar, denn es ist wesentlich schwieriger, Bedrohungen zu erkennen, wenn der betreffende Akteur gültigen Zugriff auf Unternehmensdaten hat. Mit entsprechenden Richtlinien und Technologien kann die Gefahr eines internen Datenverlustes oder -diebstahls jedoch erheblich reduziert werden.

  • Tückisch: Cyberkriminalität im Sommer

    Cyberkriminalität ist das Letzte, woran die meisten Urlauber denken. Tatsächlich nutzen unterwegs 75 Prozent von Privatanwendern weltweit kein sogenanntes Virtual Private Network (VPN), um ihre Internetverbindung abzusichern und erstaunliche 87 Prozent setzen ihre persönlichen Daten Risiken aus, wenn sie ein öffentliches WLAN benutzen. In Deutschland sind es immer noch stattliche 76 Prozent. "In unserer vernetzten Welt ist es nicht genug, nur sein Haus abzuschließen. Es ist ebenfalls wichtig, seine Identität,Privatsphäre und persönlichen Daten auf allen Geräten während der Urlaubsreise zu schützen," sagt Stefan Kühn, Director Consumer Central Europe bei Norton by Symantec.

  • Stark gefährdet: Infrastruktur rund um Bitcoin

    Die wichtigsten IT-Risiken bei der Nutzung von Kryptowährungen: Bei spekulativen Finanzanlagen müssen Anleger immer mit Verlusten rechnen. Das ist bei Kryptowährungen nicht anders als bei Aktien oder Derivaten. Jenseits wirtschaftlicher Risiken stellt sich bei Bitcoin und Co. aber auch die Frage nach der IT-Sicherheit. Die Experten von NTT Security informieren über die wesentlichen Punkte: Bitcoin ist die bekannteste Implementierung der Blockchain-Technologie und kann nach heutigem Wissenstand als sicher gelten. Die kryptographischen Verfahren sind sehr aufwändig und gut durchdacht. Trotz des Aufsehen erregenden Höhenflugs des Bitcoins, der ihn für Cyber-Kriminelle eigentlich zu einem lohnenden Ziel macht, ist bisher kein erfolgreicher Angriff auf diese Technologie bekannt geworden.

  • Realisierung einer höchstmöglichen IT-Sicherheit

    Mitarbeiter stellen eine potenzielle Schwachstelle für die IT-Sicherheit dar. Eine sicherheitsorientierte Unternehmenskultur soll die Antwort darauf sein, vielfach bleibt sie aber auf halbem Weg stehen. Wie der Aufbau einer solchen Kultur gelingen kann, erläutert NTT Security (Germany), das auf Sicherheit spezialisierte Unternehmen und "Security Center of Excellence" der NTT Group. Bei der Realisierung einer höchstmöglichen Sicherheit müssen Unternehmen IT-Lösungen und Prozesse, aber auch den Faktor Mensch berücksichtigen. Diesen Punkt adressieren sie verstärkt und ergreifen umfassende Initiativen, die nicht primär auf Compliance abzielen, sondern auf die Sensibilisierung von Mitarbeitern.