Datensicherheit als Teil der Datenschutzstrategie

Zusammenfassung

Datensicherheit, die dem Stand der Technik entspricht, wird vielfach bindend eingefordert. Vor allem sind hier heute zu nennen die Datenschutz Grundverordnung (vgl.: DSGVO), die NIS Richtlinie[1] (vgl.: NIS RL) auf Ebene EU, wie auch national das Datenschutzgesetz (vgl.: DSG) und das als Entwurf vorliegende Netz- und Informationssicherheitsgesetz (vgl.: NISG).

Eine konkrete Ausführung, wie der Ausdruck, Stand der Technik, zu verstehen ist, bleibt der Gesetzgeber schuldig. Ausführlich zu diesem Thema beschäftigt sich in Deutschland der Bundesverband IT-Sicherheit e.V. in Form von Handlungsempfehlung und Orientierung.

Verschlüsselung wird in diesem Zusammenhang immer wieder als alleinige Maßnahme eingesetzt. Diese Maßnahme kann in ihrem Umfang und Wirkungsbereich aber nicht alleine die Datensicherheit gewährleisten. (Anm.: Artikel 29 Arbeitsgruppe Arbeitspapier zum Thema Verschlüsselung)

Datensicherheit im Sinn der DSGVO ergibt sich aus den Artikeln 6, 32 und 34 und dem Erwägungsgrund 83. Datensicherheit kann über drei Sicherheitsziele beschrieben werden. Diese Sicherheitsziele sind Verfügbarkeit, Vertraulichkeit und Integrität.

Die folgende Gliederung in sieben Bereiche kommt aus einer realen Kundensituation und seiner Umsetzung in einer ersten Phase. Eine laufende Anpassung und Erweiterung im Zuge von Qualitätssicherung und Effizienzsteigerung ist auch umgesetzt wird aber hier nicht dargestellt.

1.    Erste Verteidigungslinie – die Firewall

Hinlänglich bekannt und auch in Verwendung ist im betrieblichen Umfeld eine sogenannte Firewall. Aufgabe einer Firewall ist Bedrohungen gegen das Unternehmensnetzwerk zu unterbinden. Das Unternehmensnetzwerk besteht aus Geräten, Benutzern und Anwendungen. Augenmerk ist auch auf Cloud Lösungen, auch als ‚As A Service‘ Modelle gerne bezeichnet, und Internet Of Things (vgl.: IoT) Geräte, wie Heizungsthermostat, Gegensprechanlage und ähnliches zu legen. Die Tätigkeit der Filterung und Suche nach Unregelmäßigkeiten soll für den Benutzer möglichst transparent erfolgen. Der Benutzer soll weder in seiner Arbeit gehemmt und eingeschränkt werden, noch etwas davon mitbekommen, solange es zu keinem Zwischenfall kommt. Die Inspektion von Daten in Bewegung sollte auch verschlüsselte Verbindungsinhalte miteinbeziehen. Alle Maßnahmen, die einen ähnlich gearteten tiefen Eingriff in die Sphäre des Benutzers darstellen, wie das Aufbrechen einer verschlüsselten Verbindung, sind vorab entsprechend zu kommunizieren und gegebenenfalls abzustimmen (Anm.: idR Betriebsvereinbarung).

Eine Aufteilung in verschiedene Netzwerksegmente nach Aufgaben- und Tätigkeitsbereich in Form von Delegation der Durchführung der Filterung, wie auch die physische Trennung stellt ein weiteres Sicherheitsmerkmal dar.

2.    Schutz des Endgerätes

Daten und Information am Endgerät müssen in mehrfacher Hinsicht geschützt werden. Das Schutzinteresse ist vor allem die Integrität der Daten. Nur wenn alle notwendigen Daten und Informationen in unverfälschter Form vorliegen ist eine weitere Bearbeitung und Nutzung zielführend. Das betrifft aber nicht nur den Container, die Anwendung, in dem die Daten und Informationen gehalten werden, sondern die gesamte Umgebung des Endgerätes. Angefangen bei der physischen Unversehrtheit (vgl.: Keylogger …) des Endgerätes über BIOS und Betriebssystem bis hin zur eigentlichen Anwendungsumgebung. Sicherheit über einen konsistenten Status kann nur eine vollständige Inventarisierung von Hard- und Softwarekombination pro Endgerät geben. Hinzu kommt die ausnahmslose Durchsetzung eines rigiden Rollen- und Rechteschemas. Rechteeskalation ist nur im Anlassfall zulässig und wird durchgehend protokolliert. Ein lokaler Schutz vor Bedrohungen ist auch durch eine lokale Instanz, wie AV Software, zu gewährleisten.

3.    Schutz der Email

Kommunikation im betrieblichen Umfeld findet vor allem über Email statt. Sofortnachrichtendienste, wie zum Beispiel WhatsApp, gewinnen aber auch immer mehr an Bedeutung. Die Schutzziele gilt es für alle Lösungen und Endpunkte der Kommunikation umzusetzen. Es fängt an mit der Filterung und Unterbindung von unaufgeforderten Nachrichten, auch Spam genannt. Geht weiter zum Schutz vor schadhaften Inhalten, die an den Client übergeben werden. Zieht sich fort mit der Sicherstellung der Nachweisbarkeit und Unverfälschtheit, umsetzbar mittels elektronischer Signatur zum Beispiel. Das Ende der Kommunikation stellt den geregelten Abfluss der Kommunikation dar. Damit ist gemeint die Archivierung von Inhalten und aber auch die Kontrolle von Inhalten, wie Dokumenten, auf Zulässigkeit, dass sie gesendet werden und den Verfügungsbereich des Unternehmens verlassen. Für den letzten Punkt werden in der Regel immer öfter Data Loss Prevention (vgl.: DLP) Systeme empfohlen und eingesetzt. DLP Systeme stellen, wie auch Aufbrechen einer verschlüsselten Verbindung, einen massiven Eingriff in die persönlichen Freiheitsrechte des Einzelnen, Betroffenen, dar. Alternativ dazu empfehlen sich organisatorische Maßnahmen und hier vor allem die Umsetzung des Prinzips der Datenminimierung durch ‚Privacy by design‘.

4.    Schutz der Webanwendungen

Anwendungen und deren Daten, die über das Web erreichbar sind stellen gerne ein Ziel von Angriffen dar. Angriffe, wie DDOS (vgl.: Distributed Denial Of Service), CSS (vgl.: Cross Site Scripting) und noch viele mehr, verfolgen alle das Ziel, dass der kompromittierte Webserver als Zugang zu dahinter liegenden Systemen genutzt werden kann. Eine andere mögliche Absicht kann rein die Verfügbarkeit der Anwendung zu unterbinden sein, um damit einen möglichen Reputationsverlust beim Betreiber zu verursachen. Entgegengewirkt kann über Analyse und Reaktion auf Verhaltensmuster, wie aber auch durch Aufteilen von Informationen auf verschiedene Informationscontainer und das Minimieren von vorgehaltenen Informationen. Eine Härtung der Systeme ist Voraussetzung für den Betrieb an sich in dieser exponierten Lage.

5.    Verständliches und Zentrales Berichtswesen

Eine Vielzahl von Anwendungen und Systemen – Client und Server –  erzeugt eigenständige Protokolle mit einer Vielzahl an vielschichtigen Informationen. Diese Informationen sind so zusammenzufassen, dass notwendige Informationen nicht verloren gehen, aber auch das relevante Information nicht im Rauschen der gesamt dargestellten Information untergeht. Eine Generalisierung macht also nur dann Sinn, wenn sie jederzeit einen Rückgriff auf die Detailsicht ermöglicht. Eine dynamische und anlassbezogene Zusammenfassung nach Bezügen, wie Uhrzeit, externen Zugriffen, (Teil-) Prozess, und so weiter, sollte die Grundlage für eine kontextorientierte Darstellung geben. Detaildaten einzelner Systeme und Anwendungen können die Grundlage für Kontrolle von Verhaltensmustern sein. Über diese Verhaltensmuster selbst kann im Rahmen einer Qualitätssicherung die Effizienz gesteigert werden. Auch hier greifen wieder die Design Paradigmen aus dem Datenschutz, wie ‚Privacy By Design‘ und ‚Privacy By Default‘.

6.    Sicherung des Zugriffs

Die Sicherung des Zugriffs bezieht sich sowohl auf das Betriebssystem und den Zugriff auf Anwendungen und Dateien, wie auch den physischen Zugriff. Der physische Zugriff und dessen Einschränkung kann nicht immer gewährleistet werden. Eine Verminderung des Risikos durch technische Maßnahmen, wie Sichtschutzfolien, Sperrung USB Anschluss, Anketten des Gerätes, Verschlüsselung Datenträger und der Gleichen ist zu empfehlen.

Der Zugriff auf das Betriebs- und Dateisystem, wie auch auf Anwendungen und Informationen sollte einheitlich über ein Rollen- und Rechteschema durchgesetzt werden. Bei mehrfachen Rollen und personenbezogenen Rechten eines Benutzers sollte bei Gruppen- und Rollenrechten immer die geringste Berechtigung ziehen und bei Berechtigungen diejenige, die die weitreichendste Berechtigung darstellt.

7.    Erweiterte Bedrohungserkennung und -analyse

Aktive Vorbereitung auf mögliche Vorfälle ist der beste Weg, um mit dieser Art von Bedrohung umzugehen. Eine Versicherung, wie eine Betriebsunterbrechungsversicherung, kann das betriebswirtschaftliche Risiko mindern, aber ist keine vollständige Gegenstrategie. Eine mögliche Gegenstrategie besteht daraus Zuständigkeiten in der Organisation zu definieren, laufende Risikobewertung und Überprüfung der gesetzten Maßnahmen auf Wirksamkeit zu etablieren und zu guter Letzt vielleicht auch nach neuen Schwachstellen im eigenen Verfügungsbereich aktiv zu suchen.

[1] Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union