Definition Datenverschleierung | Data Obfuscation Was ist Datenverschleierung?

Anbieter zum Thema

FTAPI Software GmbH

Datenverschleierung verändert sensible oder persönliche Daten so, dass sie vor unbefugtem Auslesen oder vor Offenlegung geschützt sind, aber für Datenverarbeitungsvorgänge wie Datenanalysen verwendbar bleiben. Gängige Verschleierungsverfahren sind Verschlüsselung, Tokenisierung und Maskierung.

Der englische Fachbegriff für Datenverschleierung lautet Data Obfuscation. Bei der Datenverschleierung handelt es sich um den Prozess des Veränderns sensibler, vertraulicher oder persönlicher Daten, sodass sie vor unbefugtem Zugriff oder Auslesen oder vor unerwünschter Offenlegung geschützt sind. Dennoch bleiben die verschleierten Daten für bestimmte Zwecke oder Datenverarbeitungsvorgänge wie Analysen, Tests oder für Forschungszwecke nutzbar.

Zur Datenverschleierung können zahlreiche verschiedene Techniken und Verfahren zum Einsatz kommen. Klassische Datenverschleierungsverfahren sind die Datenverschlüsselung, die Datentokenisierung und die Datenmaskierung. Mithilfe dieser Verfahren lassen sich die Daten so verändern, dass sie, selbst wenn sie von Unbefugten abgefangen oder eingesehen werden können, nicht in ihrer Ursprungsbedeutung lesbar oder erkennbar sind. Abgefangene, verschleierte Daten sind für Unbefugte mehr oder weniger nutzlos. Die Datenverschleierung trägt auch zur Einhaltung von gesetzlichen Vorgaben oder von Compliance-Richtlinien bei und minimiert das Risiko von Datenschutzverletzungen.

Ein kurzer Überblick über verschiedene Verfahren und Techniken zur Datenverschleierung

Um Daten zu verschleiern, können verschiedene Techniken und Verfahren mit jeweils spezifischen Stärken und Schwächen zum Einsatz kommen. Drei gängige und häufig genannte Datenverschleierungsverfahren sind:

• die Datenverschlüsselung

• die Datentokenisierung

• die Datenmaskierung

Bei der Datenverschlüsselung werden die Ursprungsdaten mithilfe mathematischer Verschlüsselungsalgorithmen und digitalen Schlüsseln in verschlüsselte, nicht mehr auslesbare Daten verwandelt. Die verschlüsselten Daten lassen sich bei Besitz entsprechender Schlüssel und bei Kenntnis des angewandten Verschlüsselungsverfahrens wieder in die ursprünglichen Daten zurückverwandeln. Bei den angewandten Verschlüsselungsverfahren ist eine Unterscheidung zwischen symmetrischen und asymmetrischen Verfahren möglich. Einige Datenverarbeitungsvorgänge wie bestimmte Datenanalysen sind auch mit Datensätzen möglich, bei denen sensible Datenelemente verschlüsselt sind, unkritische Datenelemente aber im Klartext vorliegen. Um mit den verschlüsselten Datenelementen selbst zu arbeiten, müssen sie zuvor entschlüsselt werden.

Die Tokenisierung ersetzt bestimmte (sensible) Daten durch zufällig erzeugte, bedeutungslose Daten, die als Token bezeichnet werden. Die Zuordnung zwischen den Token und den ersetzten Daten wird in einer Datenbank gespeichert und lässt sich über diese auch wieder auflösen. Die tokenisierten Daten können nach bestimmten Aspekten verarbeitet werden, ohne dass sensible Daten preisgegeben werden müssen. Nach einem Datenverarbeitungsvorgang können autorisierte Personen die Token wieder durch die Ursprungsdaten ersetzen.

Die Datenmaskierung, auch als Datenverfremdung bezeichnet, verändert die Originaldaten und ersetzt vertrauliche Daten beispielsweise durch fiktive Daten, ähnliche Daten oder zufällige erzeugte Daten. Es wird quasi eine gefälschte Version der Ursprungsdaten erzeugt. Die gefälschten Daten haben eine mit den Originaldaten vergleichbare Struktur und wirken real. Ohne Zugriff auf die Originaldaten sind bei den maskierten Daten keine Rückschlüsse mehr auf die Ursprungsdaten möglich. Es gibt keine mathematische Funktion zur Umkehrung der Maskierung. Grundsätzlich kann bei der Datenmaskierung zwischen der statischen und der dynamischen Maskierung unterschieden werden.

Bei der sogenannten Steganographie handelt es sich prinzipiell auch um ein Datenverschleierungsverfahren, auch wenn dieses Verfahren im Zusammenhang mit dem Begriff der Datenverschleierung nur selten genannt wird. Die Steganographie verbirgt die eigentlichen Ursprungsdaten in Trägerdaten. Dort gehen sie für Dritte im Rauschen der Trägerdaten unter. Für Dritte ist es ohne entsprechendes Vorwissen oder ohne weitere Analysen nicht ersichtlich, dass sich in den Trägerdaten weitere Daten verbergen. Die Vertraulichkeit der Daten bleibt gewahrt. Als Trägerdaten werden beispielsweise Bilddateien oder Videodateien verwendet, in denen sich Textinformationen nicht erkennbar verstecken lassen.

Im Umfeld des Datenschutzes und der personenbezogenen Daten fallen häufig die beiden Begriffe Datenanonymisierung und Datenpseudonymisierung. Auch die Datenanonymisierung und Datenpseudonymisierung lassen sich grundsätzlich den Datenverschleierungsverfahren zuordnen. Die Datenanonymisierung verändert personenbezogene Daten oder personenbeziehbare Daten in der Form, dass sie sich nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand einer bestimmten Person zuordnen lassen. Hierfür werden personenbezogene Daten oder personenbeziehbare Daten ersetzt, entfernt, verfälscht oder aggregiert.

Die Pseudonymisierung unterscheidet sich von der Anonymisierung darin, dass keine vollständig anonymen Daten erzeugt werden. Bei der Datenpseudonymisierung werden die persönlichen Identifikationsmerkmale der Daten durch Pseudonyme oder Schlüssel ersetzt. Grundsätzliche Zuordnungsvorschriften und die Möglichkeit der Zuordnung zu einer bestimmten Person bleiben erhalten, auch wenn sie nur in einer ausgelagerten Form und auf einen konkreten Verantwortungsbereich beschränkt stattfinden können. Die Zuordnung der Schlüssel oder Pseudonyme wird beispielsweise in einer externen Datei gespeichert und ist nur für autorisierte Personen oder Anwendungen zugänglich. Bei der Pseudonymisierung handelt es sich um einen umkehrbaren Vorgang; die Datenanonymisierung ist unumkehrbar. In der Datenschutz-Grundverordnung existieren unterschiedliche Vorgaben im Umgang mit personenbezogenen Daten und pseudonymisierten Daten. Anonymisierte Daten fallen nicht in den Anwendungsbereich der Datenschutz-Grundverordnung.

Einige typische Anwendungsbereiche der Datenverschleierung

Bei der Datenverschleierung bleiben bestimmte Funktionalitäten oder Informationsaspekte der Daten für spezifische Verarbeitungszwecke erhalten, gleichzeitig werden sensible Ursprungsdaten vor unbefugtem Zugriff, Auslesen oder vor einer unerwünschten Offenlegung geschützt. Typische Anwendungsbereiche der Verschleierung von Daten sind:

• Durchführung von Datenanalysen

• Erstellen von Datenberichten

• Testen von Software und Datenverarbeitungsprozessen

• Trainieren oder Feinabstimmen von Systemen oder Modellen der Künstlichen Intelligenz

• Erstellen von Demosystemen

• Erstellen und Durchführen von Simulationen

• Weitergabe von sensiblen oder personenbezogenen Daten an Dritte für bestimmte Datenverarbeitungs- oder -analysevorgänge unter Einhaltung von Schutzvorgaben

• Einhaltung von gesetzlichen Anforderungen oder von Datenschutzvorgaben wie die der Datenschutz-Grundverordnung (DSGVO)

• Erfüllung von Compliance-Vorgaben bestimmter Branchen, zum Beispiel HIPAA (Health Insurance Portability and Accountability Act)

• Reduzierung des Risikos von Datenpannen und Datenschutzverletzungen und ihrer Auswirkungen

(ID:50147681)