Datensicherheit bezeichnet nach dem IT-Grundschutz-Kompendium des BSI den Schutz von Daten hinsichtlich gegebener Anforderungen an deren Vertraulichkeit, Verfügbarkeit und Integrität; das BSI nennt Informationssicherheit dafür einen moderneren Begriff.
Auf einen Blick
Für personenbezogene Daten treffen Verantwortliche und Auftragsverarbeiter nach Artikel 32 DSGVO unter Berücksichtigung des Stands der Technik und weiterer in Artikel 32 Absatz 1 genannter Umstände geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Datenschutz soll nach dem BSI natürliche Personen davor schützen, dass Institutionen mit ihren Verarbeitungstätigkeiten zu intensiv in ihre Grundrechte und Grundfreiheiten eingreifen.
Eine Datensicherung soll nach dem BSI durch einen redundanten Datenbestand gewährleisten, dass der Betrieb der Informationstechnik kurzfristig wiederaufgenommen werden kann, wenn Teile des operativen Datenbestandes verloren gehen.
Was ist Datensicherheit?
Datensicherheit stellt Daten und die Anforderungen an deren Vertraulichkeit, Verfügbarkeit und Integrität in den Mittelpunkt. Das IT-Grundschutz-Kompendium nennt Informationssicherheit einen moderneren Begriff für Datensicherheit; Informationssicherheit hat danach den Schutz von Informationen als Ziel, wobei Informationen sowohl auf Papier, in IT-Systemen oder auch in Köpfen gespeichert sein können. Im Gegensatz zur Informationssicherheit, die primär dem Schutz der datenverarbeitenden Institution dient, ist es nach dem BSI Aufgabe des Datenschutzes, natürliche Personen davor zu schützen, dass Institutionen oder Stellen mit ihren Verarbeitungstätigkeiten zu intensiv in die Grundrechte und Grundfreiheiten der Personen eingreifen.
Für einen Versicherer bedeutet Datensicherheit, Bestands- und Schadendaten unabhängig vom Personenbezug vor Verlust, Manipulation und unbefugtem Zugriff zu schützen; für personenbezogene Daten treffen Verantwortliche und Auftragsverarbeiter nach Artikel 32 DSGVO unter Berücksichtigung des Stands der Technik und weiterer in Artikel 32 Absatz 1 genannter Umstände geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Datensicherung richtet sich dagegen nach dem BSI auf die Wiederaufnahme des Betriebs, wenn Teile des operativen Datenbestandes verloren gehen; dafür dient ein redundanter Datenbestand.
Wie wird Datensicherheit erreicht?
Für personenbezogene Daten treffen Verantwortliche und Auftragsverarbeiter nach Artikel 32 Absatz 1 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Diese Maßnahmen schließen gegebenenfalls unter anderem die Pseudonymisierung und Verschlüsselung personenbezogener Daten ein sowie die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen.
Bei der Beurteilung des angemessenen Schutzniveaus sind die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch – ob unbeabsichtigt oder unrechtmäßig – Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten. Die Maßnahmen richten sich also unter anderem nach dem Risiko für die Rechte und Freiheiten natürlicher Personen, das nach Eintrittswahrscheinlichkeit und Schwere beurteilt wird.
Datensicherheit im Vergleich
| Kriterium | Datensicherheit | Datenschutz | Datensicherung |
|---|---|---|---|
| Worauf sich der Schutz richtet | Daten hinsichtlich gegebener Anforderungen an deren Vertraulichkeit, Verfügbarkeit und Integrität (IT-Grundschutz-Kompendium). | Natürliche Personen und ihre Grundrechte und Grundfreiheiten (BSI, Baustein CON.2). | Der Betrieb der Informationstechnik, wenn Teile des operativen Datenbestandes verloren gehen (BSI, Baustein CON.3). |
| Aufgabe nach dem BSI | Schutz von Daten hinsichtlich gegebener Anforderungen an deren Vertraulichkeit, Verfügbarkeit und Integrität; ein modernerer Begriff dafür ist „Informationssicherheit“. | Natürliche Personen davor schützen, dass Institutionen oder Stellen mit ihren Verarbeitungstätigkeiten zu intensiv in ihre Grundrechte und Grundfreiheiten eingreifen. | Durch einen redundanten Datenbestand gewährleisten, dass der Betrieb kurzfristig wiederaufgenommen werden kann. |
| Überprüfung der Wirksamkeit | Zu den Maßnahmen nach Artikel 32 Absatz 1 DSGVO gehört gegebenenfalls unter anderem ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. | Das Standard-Datenschutzmodell (SDM) ist als Methode geeignet, die Wirksamkeit der technischen und organisatorischen Maßnahmen einer Datenverarbeitung auf der Grundlage und nach den Kriterien der DSGVO regelmäßig zu überprüfen und fachgerecht zu bewerten (BSI, Baustein CON.2). | Es MUSS regelmäßig getestet werden, ob die Datensicherungen wie gewünscht funktionieren, vor allem, ob gesicherte Daten problemlos und in angemessener Zeit zurückgespielt werden können (BSI, Baustein CON.3). |
Welche Anforderungen gelten für die Datensicherheit personenbezogener Daten?
| Merkmal | Worauf es ankommt |
|---|---|
| Risikobeurteilung | Das angemessene Schutzniveau wird anhand der Risiken beurteilt, die mit der Verarbeitung verbunden sind, etwa Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugter Zugang zu personenbezogenen Daten (Artikel 32 DSGVO). |
| Zugang zu Daten nur auf Anweisung | Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet (Artikel 32 Absatz 4 DSGVO). |
| Risikoermittlung und Eindämmungsmaßnahmen | Zur Aufrechterhaltung der Sicherheit und zur Vorbeugung gegen eine gegen die DSGVO verstoßende Verarbeitung sollte der Verantwortliche oder der Auftragsverarbeiter die mit der Verarbeitung verbundenen Risiken ermitteln und Maßnahmen zu ihrer Eindämmung, wie etwa eine Verschlüsselung, treffen (nach Erwägungsgrund 83 DSGVO). |
Schutz im Ernstfall
Vorbeugen
- Geeignete technische und organisatorische Maßnahmen treffen, die ein dem Risiko angemessenes Schutzniveau gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen (Artikel 32 Absatz 1 DSGVO, für personenbezogene Daten).
- Gegebenenfalls unter anderem personenbezogene Daten pseudonymisieren und verschlüsseln (Artikel 32 Absatz 1 DSGVO, für personenbezogene Daten).
- Regelmäßig Daten sichern und das Backup räumlich getrennt aufbewahren (BSI).
Was tun im Ernstfall
- Nach einem physischen oder technischen Zwischenfall die Verfügbarkeit der Daten und den Zugang zu ihnen aus einer Datensicherung wiederherstellen; durch regelmäßige Datensicherungen lassen sich nach dem BSI die Auswirkungen von Datenverlusten minimieren, und für personenbezogene Daten gehört die Fähigkeit zur raschen Wiederherstellung gegebenenfalls unter anderem zu den Maßnahmen nach Artikel 32 Absatz 1 DSGVO.
- Meldepflichten prüfen: Liegt eine Verletzung des Schutzes personenbezogener Daten vor, meldet der Verantwortliche sie nach Artikel 33 DSGVO unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen; hat sie voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, benachrichtigt er nach Artikel 34 DSGVO die betroffenen Personen unverzüglich, sofern keine der Ausnahmen nach Artikel 34 Absatz 3 greift.
Beispiele aus der Praxis
- Ein Verantwortlicher pseudonymisiert und verschlüsselt personenbezogene Daten, soweit dies unter Berücksichtigung des Stands der Technik und der Umstände der Verarbeitung geeignet ist.
- Bei einem technischen Zwischenfall stellt ein Auftragsverarbeiter die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen rasch wieder her.
- Ein Betrieb legt einen redundanten Datenbestand an, damit die Informationstechnik kurzfristig wieder laufen kann, wenn Teile des operativen Datenbestandes verloren gehen.
- Ein Versicherer schützt Bestands- und Schadendaten vor Verlust, Manipulation und unbefugtem Zugriff.
