Datenschutz und Compliance Vorschriften-Vielfalt fordert Unternehmen

Unternehmen aller Größen müssen verbindliche Datenschutz-Vorschriften einhalten. Diese unterliegen einem ständigen Wandel und können sich je nach Land und Branche stark unterscheiden. Dieser Beitrag beleuchtet die wichtigsten Standards und eine ihnen gemeinsame Sicherheitsmaßnahme.

Anbieter zum Thema

SonicWall Germany

SEPPmail - Deutschland GmbH

Insider Research

totemo ag

Denkt man an den Datenschutz, so ist auf nationaler Ebene vor allem das BDSG (Bundesdatenschutzgesetz) zu beachten. Es verpflichtet Unternehmen dazu, bei der Erhebung, Verarbeitung und Nutzung personenbezogener Daten, zu denen Name, Adresse und Alter bzw. Geburtsdatum gehören, Maßnahmen zum Schutz dieser Daten zu treffen.

Explizit genannt wird dabei die Verwendung von Verschlüsselung. Das BDSG setzt die Bestimmungen der europäischen Datenschutz-Richtlinie 95/46/EG von 1995 um. Diese soll allerdings bald durch ein neues EU-Gesetzeswerk abgelöst werden: die Datenschutz-Grundverordnung.

Das Hauptziel ist ein einheitliches Datenschutzgesetz über alle 28 Mitgliedsstaaten hinweg. Diesen Zweck verfolgte zwar auch die derzeit noch geltende Richtlinie; er wurde jedoch nicht erreicht, da die notwendige Umsetzung in nationales Recht durch die einzelnen Mitglieder zu unterschiedlichen Ausprägungen der Datenschutzbestimmungen führte.

Die neuen Vorschriften sollen in Form einer Verordnung erlassen werden. Damit ist die Regelung unmittelbar wirksam und über die gesamte Europäische Union hinweg gültig. Bereits seit Anfang 2012 arbeiten die Mitgliedsstaaten an der neuen Verordnung, mit der Verabschiedung einer endgültigen Fassung wird bis Ende des Jahres gerechnet.

Compliance ist Länder- und Branchensache

Sind Unternehmen nicht nur innerhalb der EU tätig, müssen sie darüber hinaus zusätzliche Gesetze beachten. Dies kann das Bestreben nach Compliance verkomplizieren. Zumal nicht jedes Land ein umfassendes Gesetz erlassen hat, das regelt, wie eine Organisation sich beim Speichern und Nutzen persönlicher Daten zu verhalten hat.

In den Vereinigten Staaten gibt es zum Beispiel eine Sammlung verschiedener Gesetze sowohl auf Bundes- wie auch auf Ebene einzelner US-Bundesstaaten. Diese überschneiden sich und können sich unter Umständen sogar widersprechen. Darüber hinaus existiert eine Vielzahl unterschiedlicher Regulatorien für einzelne Branchen. So hat sich etwa in der Gesundheitsbranche mit dem Health Information Portability and Accountability Act (HIPAA) ein Standard etabliert.

Das US-Bundesgesetz beinhaltet umfassende Regelungen zum amerikanischen Gesundheitssektor und zu Krankenversicherungen. HIPAA schreibt nicht nur generell den Schutz von Patienteninformationen vor, sondern insbesondere deren verschlüsselte Übertragung. Auch im US-Gesundheitssektor aktive europäische Unternehmen sind an diese Vorschriften gebunden.

Compliance beschränkt sich aber nicht alleine auf die Beachtung von Vorschriften, die durch die Legislative eines Landes oder eines Länderverbundes erlassen wurden. Insbesondere Branchenregelungen sind oft Ergebnis von sogenannter Selbstregulierung, deren Ziel es ist, Best Practices einer Branche zu formulieren und zu erhalten.

Kreditkartendaten erfordern hohes Schutzniveau

Ein bekanntes Beispiel für aus Selbstregulierung hervorgegangene Regeln ist der Payment Card Industry Data Security Standard (PCI DSS) für die Abwicklung von Kreditkartentransaktionen. Er enthält zwölf verbindliche Anforderungen an Rechnernetze von Unternehmen, die Kreditkarten-Transaktionen übermitteln, speichern oder abwickeln. PCI DSS basiert auf den Regelwerken von fünf Kreditkartenunternehmen, darunter Visa, Mastercard und American Express.

Die erste Version des PCI DSS wurde 2004 veröffentlicht. Mittlerweile sind die Vorschriften in der Finanzindustrie derart anerkannt, dass PCI DSS als weltweiter Standard gilt. Und obwohl es sich beim PCI DSS eigentlich um eine Selbstregulierungsvorschrift handelt, können Strafen für mangelnde Compliance drastisch ausfallen und sehr hohe Geldbußen nach sich ziehen.

Das heißt, selbst wenn es Bestrebungen gibt, Compliance-Vorschriften zu vereinheitlichen (EU-Verordnung), gibt es immer noch eine Vielzahl an Vorschriften, die zu beachten sind, je nachdem wo und in welchen Branchen das Unternehmen tätig ist.

Konstante Veränderung der Regularien

Eine weitere Schwierigkeit ergibt sich auch aus den sich ständig ändernden Regeln. Diese müssen mit der technologischen Entwicklung und der geänderten Bedrohungslage konstant Schritt halten. Ein gutes Beispiel dafür ist wiederum PCI DSS. Mitte April veröffentlichte das PCI Security Standards Council Version 3.1 des Standards, obwohl die Anforderungen der vorherigen PCI-DSS-Version 3.0 erst seit 1. Januar 2015 gültig waren.

Grund dafür war das Bekanntwerden einer Reihe kritischer Schwachstellen im Verschlüsselungsprotokoll SSL, auf die das Standards Council reagieren musste. Das illustriert, dass Unternehmen sich hinsichtlich Compliance – ebenso wie bei der IT-Sicherheit generell – nie zurücklehnen und mit dem Status Quo zufrieden geben können. Es handelt sich um einen kontinuierlichen Prozess, da sich einerseits die Regularien ändern und neue Gesetze hinzukommen können.

Andererseits unterliegen auch die Prozesse und IT-Ausstattung des Unternehmens stetigen Änderungen: Neue Systeme werden angeschafft, die Daten sammeln und verarbeiten. Falls diese zuvor noch nicht erfasst wurden, gilt es zu klären, ob sie Compliance-relevant sind.

Die Vielfalt der Compliance-Regeln führt auch dazu, dass die Bestimmungen ganz unterschiedlich detailliert ausgelegt sind. Gesetze wie das Bundesdatenschutzgesetz, die höchstens alle paar Jahre geändert werden, formulieren allgemein und vergleichsweise vage, dass Daten durch geeignete Maßnahmen zu schützen sind.

Das BDSG nennt zwar explizit die Verschlüsselung, das Beispiel von PCI DSS zeigt jedoch, dass es Bestimmungen gibt, die wesentlich ausführlicher sind und die ganz konkret das zu nutzende Verschlüsselungsprotokoll inklusive Version vorschreiben.

Nachvollziehbarkeit und Transparenz sind entscheidend

Es gilt: Im Hinblick auf die Vielzahl und Verschiedenheit der zu beachtenden Compliance-Vorschriften sollten sich Unternehmen für Lösungen entscheiden, die ebenfalls eine Vielzahl von Standards und Protokollen abdecken und dabei immer dem aktuellen Stand der Technik entsprechen, um mit Bedrohungen und Compliance-Regeln Schritt halten zu können.

Die meisten Unternehmen führen außerdem regelmäßig Sicherheits-Audits durch, um die Einhaltung von HIPAA, PCI DSS, EU-Regeln oder einem der vielen anderen Compliance-Standards zu überprüfen und nachzuweisen. Für diese Organisationen gehört die Auditfähigkeit (Auditability) zu den zentralen Anforderungen an eine IT-Lösung.

Das bedeutet, das System muss in der Lage sein, alle Aktionen und Ereignisse in Zusammenhang mit den verwalteten Daten unveränderbar aufzuzeichnen. Nur so lässt sich die Nachvollziehbarkeit und Transparenz erreichen, die für das Umsetzen der verbindlichen Compliance-Vorgaben erforderlich sind.

Darüber hinaus sollte Compliance jedoch kein Selbstzweck sein. Auch wenn es nicht zur Ahndung von Vergehen kommt, jede Datenschutzverletzung kann Imageschäden, Vertrauenseinbußen von Kunden oder aber den Verlust geistigen Eigentums nach sich ziehen.

Marcel Mock

* Über den Autor

Marcel Mock ist CTO und Mitbegründer des Schweizer Sicherheitsexperten totemo. Davor war er als Head of Software Development bei WebSemantix AG sowie als Consultant bei IBM Deutschland tätig.

(ID:43669040)