Technische Maßnahmen

Datensicherheit

Datensicherheit hat drei wesentliche Ziele: Vertraulichkeit, Integrität und Verfügbarkeit von Daten. „Vertraulichkeit“ bedeutet, dass Informationen nicht unbefugt preisgegeben werden. Nur autorisierte Personen können auf vertrauliche Daten und Informationen in der vorgesehenen Form zugreifen. Dazu werden oft Zugriffsberechtigungen für die autorisierten Personen festgelegt. „Integrität“ bedeutet, dass die Daten richtig (intakt) sind und die Systeme richtig funktionieren. Der Begriff Integrität zeigt an, dass die Daten komplett und unverfälscht sind, wenn er auf „Daten“ bezogen wird. „Verfügbarkeit“ heißt, dass die Benutzer die Informationen und Funktionen eines IT-Systems, einer IT-Anwendung oder eines IT-Netzes jederzeit wie erwartet nutzen können

Um diese Ziele zur erreichen, ist es u.a. notwendig, Risiken mit wirksamen Maßnahmen zu mindern. Nachfolgend einige Beispiele (nicht abschließend):

Zutrittskontrolle

Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren.

• Firmenausweis
• Chipkarte
• Sicherheitsschlösser
• Türknauf
• Gebäudeeinfriedung
• usw.

Zugangskontrolle

Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme (Computer) von Unbefugten genutzt werden können.

• Desktopsperre
• Anti-Viren-Software
• Firewall
• VPN bei Remote-Zugriff
• Erstellen von Benutzerprofilen
• Login mit Benutzername und Passwort
• Verschlüsselung von Datenträgern
• Verschlüsselung von Notebooks
• Zentrale Passwortvergabe
• usw.

Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

• Aktenvernichter (DIN 66399)
• Differenzierte Berechtigungen
• Einsatz der minimalen Anzahl an Administratoren
• Einsatz von Entsorgungsunternehmen
• Berechtigungskonzepte
• Entsorgungsbescheinigung
• Löschprotokoll
• Sichere Aufbewahrung von Datenträgern und Unterlagen
• usw.

Trennungskontrolle

• Festlegung von Datenbankrechten
• Logische Mandantentrennung (softwareseitig)
• Physikalische Trennung von Datenbanken
• Physikalische Trennung von Systemen
• Steuerung über ein Berechtigungskonzept
• Trennung von Produktiv- und Testumgebung
• usw.

Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

• verschlüsselte Verbindungen wie sftp, https
• VPN-Technologien
• Email-Verschlüsselung
• Signaturverfahren
• usw.

Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

• Protokollierung der Änderung von Daten
• Protokollierung der Eingabe von Daten
• Protokollierung der Löschung von Daten
• Verwendung von Zugriffsrechte

Verschlüsselung…

• …des Transports von E-Mails
• …von Daten in mobilen Geräten
• …von Datenträgern in Laptops / Notebooks
• …Verschlüsselung von Systemen

Verfügbarkeit

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

• Verfügbarkeit der Netzwerkanbindung
• Verfügbarkeit der Hardware
• Backups
• Unterbrechungsfreie Stromversorgung (USV)
• usw.