IT-Sicherheit für Dummies. Rainer W. Gerling

Чтение книги онлайн.

Kapitel 5

      Die DS-GVO und das BDSG

      IN DIESEM KAPITEL

      Wie Sie schon gesehen haben, verlangt die DS-GVO in Artikel 32 Abs. 1 technisch-organisatorische Maßnahmen nach dem Stand der Technik. In Ihr Verzeichnis der Verarbeitungstätigkeiten (VVT) müssen Sie »eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1« aufnehmen (Art. 30 Abs. 1 lit. g DS-GVO). Auch in den Verträgen zur »Gemeinsamen Verantwortlichkeit« (Art. 26 DS-GVO) und zur »Verarbeitung im Auftrag« (Art. 28 DS-GVO) müssen Sie geeignete technische und organisatorische Maßnahmen festlegen. Damit Sie nicht jedes Mal von vorn beginnen müssen, sollten Sie dabei immer die gleiche Strukturierung verwenden. Wir wollen uns im Folgenden eine geeignete Strukturierung überlegen.

Die acht Gebote des Datenschutzes (BDSG a. F.)

      Im BDSG a. F. (gültig bis 24. Mai 2018) gab es die Anlage zu § 9, in der die Schutzziele der technisch-organisatorischen IT-Sicherheitsmaßnahmen vorgegeben wurden. Diese Schutzziele können als Strukturelemente zur Gliederung der konkreten Maßnahmen verstanden werden. Bei einer Ablage der Papierdokumente in einem Ordner würden Sie diese Begriffe zur Beschriftung der Trennblätter verwenden. Sie bilden das Inhaltsverzeichnis oder die Struktur der Maßnahmen.

      Dies waren im Einzelnen die Schutzziele:

      Bereits im ersten BSDG von 1977 (BGBl. I S. 201) war eine Version der – damals noch – zehn Gebote des Datenschutzes in einer Anlage enthalten. Diese waren noch am klassischen Rechenzentrumsbetrieb mit Großrechnern und an konkreter Technik orientiert. Es herrschte die Vorstellung, dass personenbezogene Daten gut geschützt waren, wenn sie in einem Rechenzentrum verarbeitet werden, das Unbefugte nicht betreten durften. So waren zum Beispiel die getrennten Punkte der Abgangskontrolle (unberechtigtes Entfernen von Datenträgern) und der Transportkontrolle (Schutz von Datenträgern beim Transport) enthalten. Datentransfer über das Internet, wie wir ihn heute kennen, gab es 1977 noch nicht. Der Transport von Daten war der Transport von Datenträgern. Dies ist seit 2001 im BDSG (BGBl. I S. 904) aktualisiert und unter »Weitergabekontrolle« zusammengefasst worden. Im Zeitalter von Cloud-Computing ist die damals zugrundeliegende Vorstellung des ersten BDSG von zentraler Datenverarbeitung im Rechenzentrum wirklich nicht mehr realistisch.

      Diese Kontrollen orientieren sich im Wesentlichen am Verarbeitungsbegriff und damit am Lebenszyklus der Daten des alten BDSG: Daten werden erfasst (= eingegeben), verändert, übermittelt, verarbeitet und gelöscht. Gerade mit den ersten drei Kontrollen werden Maßnahmen in einem Schalenmodell der Annäherung an die Daten beschrieben. Die Zutrittskontrolle soll verhindern, dass Unbefugte zu den Rechnern vordringen können. Die Zugangskontrolle soll sicherstellen, dass jemand, der zwar zu den Rechnern darf, sich aber nicht an den Rechnern anmelden soll, das auch nicht kann. Für Personen, die an den Rechnern zum Beispiel auf Betriebssystemebene arbeiten, muss sichergestellt werden, dass sie nicht an die Daten kommen.

Die Kontrollen der Anlage zu § 9 BDSG a. F. »leben« in Form von 14 Kontrollen im § 64 Abs. 3 BDSG fort. Dieser Teil des BDSG gilt allerdings nur für bestimmte Behörden, die für die Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten zuständig sind.

      Die DS-GVO regelt die Informationssicherheit im Art. 32 sehr viel abstrakter, aber auch näher an den klassischen Schutzzielen Vertraulichkeit, Verfügbarkeit und Integrität der Informationssicherheit (siehe Kapitel 2).

Stand der Technik

      Im Art. 32 DS-GVO taucht der Begriff »Stand der Technik« auf. Dies ist die aktuelle Messlatte für die Qualität von IT-Sicherheitsmaßnahmen.

      Den Begriff »Stand der Technik« finden Sie aber auch in zahlreichen anderen rechtlichen Regelungen. Neben der DS-GVO kommt er zum Beispiel noch in diesen Rechtsvorschriften vor: