Datenschutz 2016 wird Compliance entscheidend sein

Im Dezember 2015 wurde die Datenschutz-Grundverordnung (GDPR) von der EU-Kommission beschlossen und liegt nun zur endgültigen Annahme den Mitgliedsstaaten und dem EU-Parlament vor. Nachdem im Juli dieses Jahres bereits das IT-Sicherheitsgesetz in Kraft getreten ist, kommt mit der EU-Verordnung jetzt ein weiteres Gesetz zum Thema IT, das Auswirkungen auf die deutsche Wirtschaft hat.

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Insider Research

Wallix

Anders als das deutsche IT-Sicherheitsgesetz wird die GDPR nahezu alle Akteure in der EU betreffen, nicht nur die Betreiber kritischer Infrastrukturen. Zudem besteht nach der GDPR die Wahrscheinlichkeit, dass noch mehr staatliche Regelungen folgen werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt im Bericht zur Lage der IT-Sicherheit in Deutschland 2015 (pdf) aus, dass weitere Schritte erwogen werden: „Es bleibt abzuwarten, wie sich die IT-Risikosituation in anderen Anwendungsbereichen außerhalb der Kritischen Infrastrukturen entwickelt. Auch hier kann, wenn sich durch Marktmechanismen kein angemessenes IT-Sicherheitsniveau einstellt, eine weitere IT-Sicherheitsgesetzgebung sinnvoll sein.“

Grundsätzlich ist es gut, dass gehandelt wird – die europäischen Staaten erkennen, dass die Cyber-Welt und ihre Wirtschaftssysteme in Gefahr sind. Das Problem der Menschen an der Basis ist allerdings die Frage, wie sie mit diesen neuen Anforderungen umgehen sollen. Sicherheitsarchitekturen müssen heute nicht mehr nur wertvolle IT-Assets schützen, sondern auch klare Muster erkennbar machen und unterschiedlichen Sicherheitsnormen gerecht werden. Es müssen Vorschriften berücksichtigt und Konzepte für Audit-Mechanismen etabliert werden, damit jederzeit Compliance nachgewiesen werden kann. Die Übernahme von Verantwortung und die Ermittlung ungewöhnlicher Verhaltensweisen von Benutzern gewinnen immer mehr an Bedeutung.

Neue Aufgaben für das IT-Sicherheitspersonal

All dies ist unausweichlich im Zeitalter der digitalen Integration, in dem immer mehr Geräte und Anwender Zugang zu den Netzwerkressourcen anfordern. Die Sicherheitsadministratoren müssen die Netzwerke schützen und heterogene Gruppen von Zugriffsrechten verwalten. Gleichzeitig steigern Clouds und der wachsende Einsatz von Dienstleistern den Druck auf die Sicherheitsteams noch weiter. Und auch das IT-Personal selbst kann zum Problem werden, beispielsweise durch die große Zahl verschiedener Administratoren – von eigenen Admins für Windows-Umgebungen und virtuelle Plattformen über SAP-Superuser bis hin zu DBAs für die Datenbanksysteme. Zudem sind die Konten mancher Anwender nicht an eine bestimmte Person gebunden, sondern werden von mehreren Anwendern geteilt.

Doch die Gesetzgebung stellt neue Anforderungen – so etwa mit der Datenschutz-Grundverordnung, um die sich die Unternehmen bisher kaum gekümmert haben, obwohl sie schon seit mehreren Jahren in Planung ist. Eine Umfrage unter 7.000 Cloud-Dienstleistern zeigt, dass nur ein Prozent der Unternehmen auf die GDPR vorbereitet sind. Die Vorschriften werden in der gesamten EU gelten und bedürfen keiner weiteren Implementierung in den einzelnen Ländern. Die Mitgliedstaaten stehen aber sehr wohl in der Pflicht, nationale Rechtsnormen entsprechend der Verordnung anzupassen.

Politisch sind die Wege klar vorgezeichnet, doch aus technischer Sicht gibt es Probleme. KuppingerCole sieht Defizite im Life-Cycle-Management für privilegierte Anwender und zudem die Gefahr durchsickernder Passwörter, wenn Mitarbeiter ein Unternehmen verlassen oder ein Vertragszeitraum ausläuft. Wenn Unternehmen hier nicht handeln, führt dies unweigerlich zur Missachtung von Compliance-Vorgaben, weil nicht feststellbar ist, wer ein Admin-Konto eigentlich nutzt und welche Aktionen die Anwender bei ihren Sitzungen ausführen. Die Sicherheitsarchitekturen müssen so gestaltet sein, dass jeder Anwender für seine Sitzungen zur Rechenschaft gezogen werden kann.

Unternehmen können nicht riskieren, bei Audits zu versagen – wenn sie gegen die Datenschutzregeln verstoßen, drohen ihnen Geldstrafen von bis zu vier Prozent ihres weltweiten Jahresumsatzes, vom Imageschaden ganz zu schweigen. Einfach mehr Personal einzustellen ist teuer und wird das Problem nicht unbedingt beheben. Die IT-Abteilungen benötigen geeignete Lösungen, die in die bestehenden Sicherheitsarchitekturen integriert werden können. Das heißt Lösungen, die bei der Implementierung und Einbindung in ein bestehendes Sicherheitskonzept nur minimalen Aufwand verursachen und im täglichen Betrieb transparent laufen.

(ID:43797874)