Datenschutz

Die meisten Definitionen von Datenschutz beruhen auf drei verwandten, aber unterschiedlichen Zielen. Jede Säule schützt dieselben Daten auf eine andere Weise, deshalb entstehen Lücken, wenn ein Programm nur eine abdeckt. Die Tabelle zeigt, was jedes Ziel in der Praxis für sensible Daten bedeutet:

Der Begriff Datenschutz wird oft unscharf verwendet. Deshalb lohnt es sich, ihn von drei benachbarten Begriffen abzugrenzen:

Datensicherheit ist enger gefasst. Sie bezieht sich auf die technischen Kontrollen, etwa Verschlüsselung, Zugriffskontrolle und Firewalls, die Daten vertraulich und intakt halten. Datenschutz ist umfassender und schließt auch Backup, Wiederherstellung, Aufbewahrung und Lebenszyklus-Richtlinien ein.

Datenprivatsphäre betrifft die Rechte, die Einzelpersonen an ihren persönlichen Informationen haben: was erhoben wird, wozu und mit wem es geteilt wird. Datenschutz ist die operative Disziplin, die diese Zusagen in der Praxis durchsetzbar macht.

Data Governance legt Regeln, Zuständigkeiten und Verantwortlichkeiten dafür fest, wie Daten in einer Organisation verwaltet werden. Datenschutz setzt den Teil dieser Regeln um, der dafür sorgt, dass Daten sicher bleiben.

Vorschriften, die Datenschutz verlangen, etwa die DSGVO-Anforderung an „geeignete technische und organisatorische Maßnahmen“, schreiben kein einzelnes Toolset vor. In der Praxis kombinieren die meisten Datenschutzprogramme jedoch dieselben Bausteine:

• Verschlüsselung von Daten im Ruhezustand und bei der Übertragung, damit abgefangene oder gestohlene Daten ohne den Schlüssel unlesbar bleiben.
• Zugriffskontrolle und Authentifizierung, die festlegen, wer Daten je nach Rolle und Bedarf einsehen, ändern oder exportieren darf.
• Backup und Wiederherstellung mit wiederherstellbaren Kopien, damit ein Hardwareausfall, Ransomware oder ein menschlicher Fehler nicht zu dauerhaftem Verlust führt.
• Data Loss Prevention (DLP), die Kanäle überwacht und blockiert, über die sensible Daten versehentlich oder absichtlich die Kontrolle der Organisation verlassen könnten.
• Datenklassifizierung und -erkennung, damit Schutzmaßnahmen dort greifen, wo sensible Inhalte tatsächlich liegen, und nicht gleichmäßig oder gar nicht.
• Aufbewahrungs- und Löschrichtlinien, die Daten nur so lange vorhalten wie nötig und sie danach ordnungsgemäß bereinigen oder vernichten.

Datenschutz scheitert, wenn niemand für Entscheidungen verantwortlich ist. Insider-Bedrohungen verschärfen das Problem, weil Mitarbeitende mit legitimem Zugriff Daten ebenfalls offenlegen können.

In der Anexet-Konsole legen Schlagwort-Thesauri fest, welche Arten sensibler Inhalte das System erkennt, etwa Kartennummern, Sozialversicherungsnummern oder Finanzbegriffe. Eine Blockierungsregel entscheidet dann, was passiert, wenn solche Inhalte in einer Übertragung auftauchen. Beides wird in Anexet DLP konfiguriert, die Durchsetzungslogik ist unter Blockierung von Datenübertragungen beschrieben.

1 / 2

• 
• 

Datenschutz ist auch ein juristischer Begriff. Viele Länder haben Datenschutzgesetze erlassen, die einige dieser Maßnahmen von bewährter Praxis zu verbindlichen Pflichten machen.

Die Datenschutz-Grundverordnung der EU (DSGVO) ist das einflussreichste Beispiel. Sie gilt für jede Organisation, die personenbezogene Daten von Personen mit Wohnsitz in der EU verarbeitet, und verlangt sowohl technische Schutzmaßnahmen als auch nachweisbare Rechenschaftspflicht.

Die USA haben kein einheitliches Bundesgesetz zum Datenschutz. Stattdessen gelten branchenspezifische Regeln, etwa HIPAA für Gesundheitsinformationen und GLBA für Finanzdaten, daneben Landesgesetze wie der CCPA/CPRA in Kalifornien.

Andere Rechtsordnungen haben vergleichbare Rahmenwerke eingeführt, darunter das brasilianische LGPD und verschiedene nationale Datenschutzgesetze, viele davon teilweise nach dem Vorbild der DSGVO.

Diese Gesetze unterscheiden sich in Umfang und Durchsetzung, folgen aber einer gemeinsamen Struktur. Sie definieren, was als geschützte Daten gilt, verlangen angemessene Schutzmaßnahmen und verhängen Sanktionen, oft erhebliche Bußgelder, wenn Daten durch Fahrlässigkeit offengelegt werden.

Datenschutz wird oft als einmalige Compliance-Checkliste behandelt. Das zugrunde liegende Risiko ist jedoch dauerhaft: Täglich entstehen neue Daten, Mitarbeitende wechseln Rollen und Zugriffsbedarf, Speicher wandert in neue Cloud-Dienste, und Angreifer entwickeln neue Exfiltrationstechniken.

Wirksame Programme kombinieren daher drei laufende Tätigkeiten, statt sich auf eine einzelne Prüfung zu verlassen, die schnell veraltet:

1. 1

   Erkennung

   Laufend ermitteln, wo sich sensible Daten befinden.

2. 2

   Überwachung

   Verfolgen, wie sensible Daten über die Kanäle fließen.

3. 3

   Zugriffsprüfung

   Regelmäßig prüfen, wer noch Zugriff darauf hat.

Beginnen Sie mit den Daten, deren Abfluss am meisten schaden würde, und kartieren Sie danach die Kanäle, über die sie tatsächlich fließen. Richtlinien, die alle Dateien auf einmal erfassen, blockieren am Ende normale Arbeit und werden abgeschaltet.

Weiterlesen: Wie schütze ich meine personenbezogenen Daten?; Anexet Ultimate DLP-System zur Einhaltung der DSGVO nutzen.