Datensicherheit

Was Datensicherheit bedeutet

Datensicherheit umfasst alle Maßnahmen, die Daten vor Verlust, Veränderung und unbefugtem Zugriff schützen, unabhängig davon, ob es sich um personenbezogene Daten handelt. Gemeint sind technische Vorkehrungen wie Verschlüsselung, Zugriffsrechte und Sicherungskopien ebenso wie organisatorische Regeln, etwa Zuständigkeiten, Schulungen und ein festgelegtes Vorgehen im Schadensfall.

Der Gegenstand ist damit weiter gefasst als oft angenommen. Auch Konstruktionszeichnungen, Preiskalkulationen und Betriebsdaten fallen darunter, obwohl an ihnen kein Persönlichkeitsrecht hängt und die DSGVO für sie nicht greift. Der Schutzbedarf richtet sich nach dem Schaden, den ein Verlust oder eine Offenlegung anrichten würde, und nicht nach der Datenmenge. Bei Anwendungen mit Sprachmodellen kann schon eine Prompt Injection genügen, um geschützte Inhalte offenzulegen.

Abgrenzung zu Datenschutz und Datensicherung

Drei Begriffe werden regelmäßig verwechselt. Datenschutz regelt rechtlich, wer personenbezogene Daten zu welchem Zweck verarbeiten darf, und stammt aus der DSGVO. Die technische und organisatorische Seite davon gilt dagegen für jede Art von Daten. Die Datensicherung wiederum ist nur ein Ausschnitt, nämlich das Anlegen und Wiedereinspielen von Kopien nach einem festen Rhythmus. Datenschutz setzt beides voraus, umgekehrt gilt das nicht, denn ein sauber abgesichertes System kann trotzdem Daten ohne Rechtsgrundlage verarbeiten. Umgekehrt nützt die beste Rechtsgrundlage nichts, wenn der Zugriff technisch offensteht.

Die drei Schutzziele

Fachlich wird das Feld über drei Ziele beschrieben. Vertraulichkeit heißt, dass nur Berechtigte an die Daten kommen und jeder Zugriff einer Person zuzuordnen ist. Integrität heißt, dass Daten unverändert bleiben und jede Änderung nachvollziehbar ist. Verfügbarkeit heißt, dass sie bereitstehen, wenn sie gebraucht werden. Die drei Ziele stehen in Spannung zueinander, denn maximale Abschottung senkt die Verfügbarkeit, und bequeme Zugriffe senken die Vertraulichkeit. Ein Datensicherheitskonzept legt fest, wo dieses Gleichgewicht für welche Datenart liegen soll, und begründet die Entscheidung nachvollziehbar. Grundlage dafür ist eine Einstufung des Bestands, weil sich für eine öffentlich einsehbare Preisliste und für Gesundheitsdaten nicht dasselbe Niveau rechtfertigen lässt.

Technische und organisatorische Maßnahmen

Auf der technischen Seite stehen Verschlüsselung im Speicher und auf dem Übertragungsweg, ein Rechtekonzept nach dem Prinzip der geringsten Rechte, Protokollierung und geprüfte Sicherungen. Organisatorisch zählen benannte Verantwortliche, Regeln für mobile Geräte, ein Umgang mit ausscheidenden Beschäftigten und ein geübter Ablauf für den Ernstfall. Der IT-Grundschutz des BSI beschreibt beide Seiten in Bausteinen und ist für Behörden und Betreiber kritischer Anlagen der übliche Bezugsrahmen. In der IT-Datensicherheit greifen technische und organisatorische Maßnahmen dabei immer zusammen. Ohne Übung bleibt jedes Konzept Papier, weil sich erst im Ernstfall zeigt, ob eine Wiederherstellung wirklich funktioniert und ob die zuständigen Personen erreichbar sind. Beim Ausscheiden verschwindet ein Zugang nur dann zuverlässig, wenn die Fachanwendungen über eine IAM-Anbindung am zentralen Verzeichnis hängen.