How To Comply

Technische Anforderungen der DSGVO

Alle Daten einer Organisation sind von ihrer Entstehung bis zur Ihrem Ende dem Datenschutz unterworfen. Das betrifft somit auch den Transport, die Verarbeitung und die Lagerung von Daten in der Organisation. Aus der entsprechenden Verordnung (vgl.: DSGVO) spezifische technische Kontroll- und Steuerungsmaßnahmen abzuleiten ist nicht einfach. Die Verordnung hat den Schutz von personenbezognen Daten zum Inhalt und legt nicht konkret dar, wie diese zu schützen sind. Aus diesem Grund empfiehlt es sich auf die Grundpfeiler der Gewährleistungsziele aus Artikel fünf der DSGVO abzustellen. Die Gewährleistungsziele, die den Schutzzielen aus der Datensicherheit entsprechen, sind eine gute Ausgangsbasis. Das sind konkret Vertraulichkeit, Verfügbarkeit und Integrität. Eine Umsetzung von technischen und organisatorischen Maßnahmen, die sich zumindest an diesen Gewährleistungszielen orientiert, unterstützt die Erfüllung aus den Anforderungen der DSGVO.

Suche nach sicherheitsrelevanten Schwachstellen

In einem ersten Schritt empfiehlt es sich die Systeme an sich zu erheben. Dieser Erhebung sollte ein einheitliches Verfahren zu Grund liegen. Es gibt etliche Werkzeuge, um einen Stand zu erheben und vor allem die jeweiligen Systemeigenheiten zu protokollieren – wie Abweichungen in Konfigurationsdatei identer Dienste auf unterschiedlichen Systemen. Einige Softwarelösungen bieten die Möglichkeit anzuzeigen welche Sicherheitsmaßnahmen auf einem System aktiviert sind und schlagen Verbesserungsmöglichkeiten vor. Je kürzer das Überprüfungsintervall ist, desto höher ist der möglicher Gewinn an Sicherheit für den Betrieb der Systeme. (Anm.: Das unterstellt, dass das eingesetzte Werkzeug auch zumindest auf dieser Basis evaluiert und laufend angepasst wird.)

Zwei wichtige Ergebnisse des täglichen Scans sind,

• Optimierung des Betriebs auf täglicher Basis, auch wenn die Infrastruktur unverändert ist.
• Nachweis der regelmäßigen Überprüfung. Sollte es dennoch zu einem Sicherheitsvorfall und/ oder Schutzverletzung kommen, dann kann zumindest nicht geltend gemacht werden, dass keine regelmäßige Überprüfung auf Wirksamkeit stattgefunden hat.

Überprüfung und Vorfälle

Transparenz, wie auch Nachvollziehbarkeit, im Umgang mit Daten ist in der DSGVO mehrfach verankert. Einerseits als eigenständiges Gewährleistungsziel (Art 5 (1) a) und auch als generelle Nachweispflicht gegenüber dem Betroffenen (Art 5 (2)). Systeme sind nur so stark und sicher, wie ihr schwächster Bestandteil ist. Eine Schwachstelle ist per se nicht auszuschliessen und muss immer in Betracht gezogen werden. Um eine Verletzung aufzudecken, sollte die Protokollierung in einem ersten Schritt nicht nur aktiviert sein, sondern auch entsprechend angepasst sein. Ein erstes Augenmerk sollte dem Bereich Authentifizierung und Autorisierung gewidmet und hier vor allem sollte man sich auf die erfolglose Authentifizierung konzentrieren. Das betrifft sowohl den direkten Zugriff auf Dienste, wie Datenbankserver, Secure Shell, aber auch Anwendungen, wie Webdienste und so vieles mehr.

Die Auswertung und richtige Interpretation von Protokolldateien ist unablässig und nimmt im Umfang und Komplexität, durch vor allem verteilte Systeme und Daten, massiv zu. Im Fall einer Untersuchung, Nachsicht, muss die Vollständigkeit der Information zu dem zu untersuchenden Vorfall gewährleistet werden können. Unter Linux gibt es hierzu das Linux Audit Framework. Ein eigenständiges Thema ist wie und in welcher Form Mitarbeiter und deren Vertreter eingebunden sind. Auch dazu gibt es in der Praxis gelebte und gute Vorgehensmodelle.

Diese Audit Framework unter Linux als mögliches Vorbild für andere Plattformen bietet die Funktionalitäten,

• Überwachung verdächtiger Aktivitäten
• Protokollierung auf einer zentralen und/ oder abgesetzten Instanz, damit das Protokoll nicht vom möglichen Angreifer leicht auf dem kompromittierten System manipuliert werden kann.
• Eine zentrale Verwaltungsschnittstelle über die Protokolle gesammelt, konsolidiert und vereinheitlicht werden.
• Erste automatische Filterung

Verfügbarkeit und Backups

Verfügbarkeit von Daten wird meist mit Hochverfügbarkeitslösungen und Bildung von Redundanzen in Verbindung gebracht. Diese stellen die Verfügbarkeit von Diensten sicher, aber einen Schutz von Daten in der Form können solche Lösungen nicht gewährleisten. Ein Backup ist dazu die entsprechende Ergänzung. Backups können es ermöglichen Daten sicher aufzubewahren, wie zum Beispiel in einem anderem Brandabschnitt in einem Tresor. Auch Verschlüsselung von Backups trägt zum Schutz von Daten bei. Verschlüsselung lässt auch einen späteren revisionssicheren Zugriff umsetzen. Nur der Inhaber des entsprechenden Schlüssel kann das Backup lesen. Das lässt auch ein mandantenfähiges Mehraugenprinzip zu.

Backups sollten auch immer auf deren Konsistenz und Wiederherstellbarkeit geprüft werden. Ist eines von beiden nicht gegeben, dann ist ein Backup wert- und funktionslos.

Netzwerk und Firewall

Daten sollten nur an den Orten sein, an denen sie auch benötigt werden. Auch wenn die Möglichkeit grundsätzlich besteht den Netzwerkverkehr zu beschränken und zu filtern wird dies intern kaum gemacht – zumindest im selben Netzwerksegment. Dies ist auf der anderen Seite ein meist unbeachtetes Gefahrenpotential, denn eine Kompromittierung eines Systems kann sich auf alle Systeme im selben Segment ohne weiteres ungehindert ausbreiten.

Einfache aktive Steuerung/ Einschränkung auf Systemen, welche Dienste überhaupt erreichbar sind ist ein effektiver erster Schritt.

Best Practice – Netzwerk und Firewall

• “default deny”
• Segmentierung des Netzwerks
• NAC – network access control (Überprüfung jedes Systems auf Erfüllung von Sicherheitskriterien, wie Patchlevel, und dann erst Zugriffsgewährung)
• Firewall regelmäßig warten
• Protokollieren sensibler Daten/ Verbindungen (Meta-/ Verbindungsdaten)
• Regelmäßige Überprüfung der Firewallkonfiguration und Parameter
• Kennzeichnung von Ausnahmen und versehen mit Gültigkeitszeitraum und/ oder Review

Software Wartung

Es gibt leider keine Software ohne mögliche Fehler. Die meisten Fehler haben aber in der Regel keine große Auswirkung auf die Sicherheit, den Schutz und die Funktionalität. Ein kleiner Teil der Fehler aber kann schwerwiegende Schutz- und Sicherheitsverletzungen nach sich ziehen und ermöglichen, wenn sie entsprechend genutzt werden.

Der wichtigste Rat ist, einen Prozess zu etablieren, um Sicherheitsupdates, -patches, zu testen und auszurollen. Wenn möglich unter Verwendung einer zentralen Lösung, die Verteilung und Automatisierung ermöglicht. Nicht zu vergessen bei der Automatisierung die Berichtserstellung über den Fortschritt.

Beste Practice – Software Wartung

• Mehrstufiges Testverfahren für Software – keine Test in der Produktion
• Regelmäßig Wartung
• Sicherheitsupdate so schnell als möglich automatisiert ausliefern