Im Mai 2018 ist es soweit: die Europäische Datenschutzgrundverordnung (EU-DSGVO) muss umgesetzt werden. Für Unternehmen bedeutet das: Sie müssen deutlich höhere Anforderungen im Umgang mit personenbezogenen Daten erfüllen und sehen sich bei Verstößen mit empfindlichen Strafen (bis zu vier Prozent des Jahresumsatzes) konfrontiert.
Foto: T.Dallas - shutterstock.com
Die Vorbereitung auf die neuen Datenschutzregeln ist für Unternehmen eine Chance, ihren Umgang mit sensiblen Daten zu überprüfen. Durch die immer stärkere Vernetzung und die Verlagerung von "Datenschätzen" in die Cloud sind Unternehmensdaten immer größeren Gefahren durch Cyberkriminalität ausgesetzt. Neben dem gesetzlich geforderten Schutz personenbezogener Daten müssen Unternehmen auch ihre sensiblen Unternehmensdaten vor unberechtigtem Zugriff schützen.
Datenschutz durch Pseudonymisierung
Die EU-DSGVO stellt hohe Anforderungen an den Datenschutz bei der Verarbeitung personenbezogener Daten. "Data protection by design" und "by default" sind grundsätzliche Prinzipien. Einen Vorschlag zur Erreichung eines angemessenen Schutzniveaus hat die Verordnung aber auch zu bieten: die Pseudonymisierung. Artikel 25 des EU-DSGVO beschreibt, dass die Pseudonymisierung vor allem hilft den Datenschutzgrundsatz "Datenminimierung" wirksam umzusetzen und somit die Rechte der betroffenen Personen zu schützen. Die gute Nachricht: Pseudonymisierung eignet sich hervorragend, um Risiken wie Insider-Bedrohungen oder die Auswirkungen von Datenabflüssen sowie unerlaubten Zugriffen und Einsichtsnahmen zu reduzieren - egal ob es sich um personenbezogene oder andere sensible Unternehmensdaten handelt.
Anonymisierungs- und Pseudonymisierungsverfahren bieten die Möglichkeit, sensible Daten vor unerlaubten Zugriffen durch Dritte zu schützen. Bei der Pseudonymisierung wird das Originaldatum durch einen anderen Wert ersetzt, wobei die Zuordnung zwischen Original und Ersatz abgespeichert wird. Wenn zu einem späteren Zeitpunkt das Originaldatum benötigt wird, kann es anhand der abgespeicherten Zuordnung abgerufen und rekonstruiert werden. Im Gegensatz dazu wird bei der Anonymisierung das Original so ersetzt, dass ein Rückschluss aus den anonymisierten Daten auf die ursprünglichen Daten nicht mehr möglich ist.
Sowohl für die Anonymisierung, als auch die Pseudonymisierung werden gerne Verschlüsselungsverfahren eingesetzt. Bei der Anonymisierung wird der Schlüssel "weggeworfen" und damit die Rekonstruktion der Daten ausgeschlossen. Anonymisierung kommt in der IT vor allem an zwei Stellen zum Einsatz: Einmal bei der Testdatenbereitstellung und zum anderen bei der Datenübergabe an Sekundärsysteme wie Data Warehouses und Reporting-Lösungen. Wenn entlang eines Geschäftsprozesses immer wieder Zugriff auf die Originaldaten erforderlich wird, ist die Pseudonymisierung das Verfahren der Wahl: Nur berechtigte Mitarbeiter bekommen Zugriff auf die Originaldaten. Alle anderen sehen lediglich Pseudonyme. Anschaulich wird das zum Beispiel bei der Auftragsabwicklung. Der eingegangene Kundenauftrag wird in der Auftragsverwaltung erfasst und die Bonität des Kunden geprüft. Dann wandert der Kundenauftrag weiter an Auftragsdisposition, Lager und Versand. Vor Abschluss des Auftrags erfolgt die Fakturierung. Der Kundenname mit seinen Bankdaten und Bonitätsinformationen wird nur an wenigen Stellen der Auftragsabwicklung benötigt und muss vor unberechtigtem Zugriff geschützt werden.
Die Auswahl des geeigneten Verfahrens hängt von verschiedenen Faktoren wie zum Beispiel den Geschäftsanforderungen und den IT-technischen Rahmenbedingungen ab. Bei der Auswahl der Daten muss sorgfältig darauf geachtet werden, die gesetzlichen Vorgaben einzuhalten und gleichzeitig flexible Auswertungsmöglichkeiten - zum Beispiel für Data Analytics - zu gewährleisten. Für die Anwender stehen Usability-Fragen beim Umgang mit pseudonymisierten Daten im Vordergrund. Auch die Prozess-Effizienz darf durch die Einführung von Datenschutzmaßnahmen nicht beeinträchtigt werden. Zudem müssen die technischen Lösungen hochgradig skalierbar sein.
Für Anonymisierung und Pseudonymisierung sind unterschiedliche Produkte verfügbar. Das Leistungsangebot reicht von der Verschlüsselung über Ersatzmechanismen bis hin zum Löschen von Daten. Bei der Verschlüsselung können beispielsweise einzelne Datenbank-Spalten von Datensätzen, komplette Dateien oder gar ganze Speicher verschlüsselt werden. In einigen Bereichen gibt es bereits sehr ausgereifte Lösungen. Dazu gehört die Verarbeitung von Kreditkartendaten nach dem Payment Card Industry Data Security Standard (PCI DSS), wo vor allem Ersatzmechanismen in Form von Tokens zum Einsatz kommen. Für die Nutzung ihrer Dienste bieten die Cloud-Anbieter häufig eigene Verschlüsselungs-Lösungen an. Daneben etablieren sich eigenständige Anbieter mit speziellen Lösungen für die sichere Datenspeicherung in der Cloud.