Datensicherheit bezeichnet den Schutz von Daten vor unbefugtem Zugriff, Verlust, Manipulation und Zerstörung. Sie umfasst technische und organisatorische Maßnahmen, die die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen gewährleisten sollen. Bei der Verarbeitung personenbezogener Daten ergeben sich die zentralen rechtlichen Anforderungen insbesondere aus Art. 32 der Datenschutz-Grundverordnung (DS-GVO).
Was bedeutet Datensicherheit und wie unterscheidet sie sich vom Datenschutz?
Datensicherheit umfasst alle Maßnahmen, die Daten und die zu ihrer Verarbeitung eingesetzten Systeme vor Sicherheitsrisiken schützen. Dazu gehören insbesondere Cyberangriffe, technische Ausfälle, menschliche Fehler und unberechtigte Zugriffe. Sie betrifft sowohl personenbezogene Daten als auch andere schützenswerte Informationen, beispielsweise Geschäftsgeheimnisse.
Datenschutz und Datensicherheit verfolgen unterschiedliche, aber eng miteinander verbundene Ziele. Während der Datenschutz die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten schützt, konzentriert sich die Datensicherheit auf den Schutz der Informationen und der eingesetzten Systeme.
Datensicherheit ist damit ein wesentlicher Bestandteil eines wirksamen Datenschutzes. Eine rechtmäßige Datenverarbeitung setzt bei personenbezogenen Daten auch angemessene Sicherheitsmaßnahmen voraus. Umgekehrt gewährleistet eine technisch sichere Datenverarbeitung allein noch nicht die Einhaltung sämtlicher datenschutzrechtlicher Anforderungen.
Welche Schutzziele verfolgt die Datensicherheit?
Die Datensicherheit orientiert sich insbesondere an drei grundlegenden Schutzzielen: Vertraulichkeit, Integrität und Verfügbarkeit. Diese bilden die Grundlage für die Auswahl und Bewertung geeigneter Sicherheitsmaßnahmen.
- Vertraulichkeit: Informationen dürfen nur von berechtigten Personen eingesehen oder verarbeitet werden. Zugriffsbeschränkungen und Verschlüsselung schützen vor unbefugter Kenntnisnahme.
- Integrität: Daten müssen vollständig und vor unberechtigten oder unbeabsichtigten Veränderungen geschützt sein. Änderungen sollen nachvollziehbar und Manipulationen erkennbar sein.
- Verfügbarkeit: Daten und IT-Systeme müssen für berechtigte Nutzer im erforderlichen Umfang zugänglich bleiben. Datensicherungen und Wiederherstellungsverfahren begrenzen die Folgen technischer Störungen.
Art. 32 Abs. 1 lit. b DS-GVO nennt zusätzlich die dauerhafte Belastbarkeit der Systeme und Dienste. Unternehmen müssen ihre Sicherheitsmaßnahmen so gestalten, dass die Verarbeitung personenbezogener Daten auch bei Störungen und Sicherheitsvorfällen angemessen geschützt bleibt.
Die Schutzziele sind gemeinsam zu betrachten. Ein System ist beispielsweise nicht ausreichend geschützt, wenn gespeicherte Daten zwar verschlüsselt sind, nach einem technischen Ausfall aber nicht wiederhergestellt werden können.
Welche Anforderungen stellt die DS-GVO an die Datensicherheit?
Die zentrale datenschutzrechtliche Vorschrift zur Datensicherheit ist Art. 32 DS-GVO. Danach müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Bei der Auswahl der Maßnahmen sind insbesondere folgende Faktoren zu berücksichtigen:
- der Stand der Technik,
- die Implementierungskosten,
- die Art, der Umfang, die Umstände und die Zwecke der Datenverarbeitung,
- die Eintrittswahrscheinlichkeit und die Schwere möglicher Risiken für die Rechte und Freiheiten natürlicher Personen.
Die DS-GVO schreibt damit kein einheitliches Sicherheitskonzept für sämtliche Unternehmen vor. Entscheidend ist eine risikoorientierte Bewertung der konkreten Verarbeitungsvorgänge.
Bei besonders schutzbedürftigen Daten oder erhöhten Sicherheitsrisiken sind entsprechend umfangreichere Schutzmaßnahmen erforderlich. Auch kleinere Unternehmen müssen angemessene Datensicherheit gewährleisten; die Unternehmensgröße allein befreit nicht von den gesetzlichen Anforderungen.
Ergänzend verpflichtet Art. 5 Abs. 1 lit. f DS-GVO zur Gewährleistung der Integrität und Vertraulichkeit personenbezogener Daten. Art. 24 und 25 DS-GVO enthalten weitere Anforderungen an die Verantwortung für die Datenverarbeitung und den Datenschutz durch Technikgestaltung.
Welche technischen und organisatorischen Maßnahmen gewährleisten Datensicherheit?
Technische und organisatorische Maßnahmen (TOM) dienen dazu, Sicherheitsrisiken zu reduzieren und personenbezogene Daten angemessen zu schützen. Welche Maßnahmen erforderlich sind, richtet sich nach der jeweiligen Risikobewertung.
Zu den typischen Maßnahmen gehören:
- Zugriffskontrollen: Berechtigungskonzepte, sichere Passwörter und Mehrfaktor-Authentifizierung schützen vor unbefugten Zugriffen.
- Verschlüsselung: Geeignete Verschlüsselungsverfahren schützen Daten bei der Speicherung und Übertragung.
- Pseudonymisierung: Die Trennung personenbezogener Daten von zusätzlichen Identifizierungsinformationen reduziert Risiken für betroffene Personen.
- Datensicherungen: Regelmäßige Backups und getestete Wiederherstellungsverfahren unterstützen die Verfügbarkeit bei Datenverlust oder Systemausfällen.
- Systemschutz: Sicherheitsupdates, Firewalls und weitere Schutzmechanismen reduzieren technische Schwachstellen.
- Organisatorische Regelungen: Verbindliche Sicherheitsrichtlinien, geregelte Zuständigkeiten und Mitarbeiterschulungen verringern Risiken durch Fehlverhalten und menschliche Fehler.
- Kontrolle und Überprüfung: Regelmäßige Sicherheitsprüfungen und die Bewertung bestehender Schutzmaßnahmen helfen, Schwachstellen zu erkennen und zu beseitigen.
Art. 32 Abs. 1 lit. d DS-GVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Sicherheitsmaßnahmen.
Die einmalige Einführung eines Sicherheitskonzepts genügt daher nicht. Unternehmen müssen ihre Maßnahmen regelmäßig überprüfen und an veränderte Risiken, technische Entwicklungen und neue Verarbeitungsvorgänge anpassen.
Was müssen Unternehmen bei einer Verletzung der Datensicherheit beachten?
Kommt es zu einem Sicherheitsvorfall, müssen Unternehmen zunächst die Auswirkungen untersuchen, den Vorfall eindämmen und erforderliche Schutzmaßnahmen einleiten. Dazu gehören beispielsweise die Sperrung kompromittierter Zugänge, die Sicherung betroffener Systeme und die Wiederherstellung verlorener Daten.
Betrifft der Vorfall personenbezogene Daten, ist zusätzlich zu prüfen, ob eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DS-GVO vorliegt. Eine solche Datenschutzverletzung umfasst insbesondere die unbeabsichtigte oder unrechtmäßige Vernichtung, den Verlust, die Veränderung oder die unbefugte Offenlegung personenbezogener Daten beziehungsweise den unbefugten Zugang zu ihnen.
Nach Art. 33 DS-GVO muss der Verantwortliche eine meldepflichtige Datenschutzverletzung unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Datenschutzaufsichtsbehörde melden. Eine Meldung ist nicht erforderlich, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Besteht voraussichtlich ein hohes Risiko für die betroffenen Personen, müssen diese grundsätzlich nach Art. 34 DS-GVO benachrichtigt werden, sofern keine gesetzliche Ausnahme greift.
Der Verantwortliche muss Datenschutzverletzungen nach Art. 33 Abs. 5 DS-GVO dokumentieren. Dies gilt auch für Vorfälle, bei denen keine Meldung an die Aufsichtsbehörde erforderlich ist.
Praxisbeispiel: Datensicherheit in einem Unternehmen
Ein mittelständisches Unternehmen speichert personenbezogene Daten seiner Kunden und Beschäftigten in einem zentralen IT-System. Dazu gehören Kontaktdaten, Vertragsunterlagen und abrechnungsrelevante Informationen.
Um die Daten angemessen zu schützen, führt das Unternehmen ein rollenbasiertes Berechtigungskonzept ein. Beschäftigte erhalten ausschließlich die Zugriffsrechte, die sie für ihre jeweiligen Aufgaben benötigen. Zusätzlich werden Mehrfaktor-Authentifizierung, Verschlüsselung und regelmäßige Sicherheitsupdates eingesetzt.
Das Unternehmen erstellt automatisierte Datensicherungen und überprüft durch Wiederherstellungstests, ob die Daten nach einem technischen Ausfall wieder verfügbar sind. Mitarbeitende werden regelmäßig zu IT-Sicherheitsrisiken und zum Umgang mit verdächtigen E-Mails geschult.
Trotz dieser Maßnahmen verschafft sich ein Angreifer über ein kompromittiertes Benutzerkonto Zugang zu einem Teil des Systems. Das Unternehmen sperrt den Zugang, untersucht den Vorfall und prüft, welche personenbezogenen Daten betroffen sind. Anschließend bewertet es die Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DS-GVO und dokumentiert die Datenschutzverletzung.
legal data Einschätzung: Wirksame Datensicherheit erfordert ein auf die konkreten Risiken abgestimmtes Sicherheitskonzept. Technische Schutzmaßnahmen müssen durch klare organisatorische Vorgaben, geschulte Beschäftigte und regelmäßige Wirksamkeitskontrollen ergänzt werden. Unternehmen müssen außerdem Verfahren für den Umgang mit Sicherheitsvorfällen festlegen, um Datenschutzverletzungen frühzeitig zu erkennen und ihre gesetzlichen Pflichten zuverlässig zu erfüllen.
Rechtsgrundlagen
- Art. 5 Abs. 1 lit. f DS-GVO
- Art. 24 DS-GVO
- Art. 25 DS-GVO
- Art. 32 DS-GVO
- Art. 33 DS-GVO
- Art. 34 DS-GVO
- Art. 58 DS-GVO
- Art. 83 DS-GVO
Häufige Fragen zur Datensicherheit
Was versteht man unter Datensicherheit?
Datensicherheit bezeichnet den Schutz von Daten vor unbefugtem Zugriff, Manipulation, Verlust und Zerstörung. Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch geeignete technische und organisatorische Maßnahmen sicherzustellen.
Was ist der Unterschied zwischen Datenschutz und Datensicherheit?
Datenschutz schützt die Rechte natürlicher Personen bei der Verarbeitung personenbezogener Daten. Datensicherheit schützt Informationen und IT-Systeme vor Sicherheitsrisiken. Sie ist ein wichtiger Bestandteil des Datenschutzes, betrifft jedoch auch nicht personenbezogene Daten.
Welche Maßnahmen gehören zur Datensicherheit?
Typische Maßnahmen sind Zugriffsbeschränkungen, Verschlüsselung, Mehrfaktor-Authentifizierung, regelmäßige Backups, Sicherheitsupdates und Mitarbeiterschulungen. Die Auswahl richtet sich nach den konkreten Risiken und den gesetzlichen Anforderungen.
Ist Datensicherheit für jedes Unternehmen verpflichtend?
Unternehmen, die personenbezogene Daten verarbeiten, müssen nach Art. 32 DS-GVO ein angemessenes Sicherheitsniveau gewährleisten. Die konkreten Maßnahmen richten sich nach den Risiken der jeweiligen Datenverarbeitung. Darüber hinaus können branchenspezifische Sicherheitsanforderungen gelten.
Was passiert bei einem Verstoß gegen die Datensicherheit?
Ein Sicherheitsvorfall kann Datenverlust, Betriebsunterbrechungen und unbefugte Datenzugriffe verursachen. Liegt eine Verletzung des Schutzes personenbezogener Daten vor, müssen Unternehmen die Dokumentationspflichten und gegebenenfalls die Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DS-GVO beachten. Verstöße gegen gesetzliche Sicherheitsanforderungen können außerdem aufsichtsbehördliche Maßnahmen und Geldbußen nach sich ziehen.
Verwandte Begriffe.
Verschlüsselung Verschlüsselung ist die Umwandlung von Daten mithilfe eines Schlüssels in eine Form, die nur mit dem passenden Schlüssel wieder lesbar ist. Art. 32 Abs. 1 lit. a DSGVO Datenschutz Datenschutz bezeichnet den Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten. Nach Art. 1 Abs. 2 der Datenschutz-Grundverordnung (DS-GVO) schützt die Verordnung die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere deren Recht auf Schutz personenbezogener Daten. Eine wesentliche verfassungsrechtliche Grundlage bildet zudem das Recht auf informationelle Selbstbestimmung, das sich aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 Grundgesetz ergibt. Datenschutz soll sicherstellen, dass persönliche Informationen nur unter den gesetzlichen Voraussetzungen verarbeitet werden. Zugriffskontrolle Zugriffskontrolle stellt sicher, dass Berechtigte ausschließlich auf die Daten zugreifen können, die sie für ihre Aufgaben benötigen. Art. 32 Abs. 1 lit. b DSGVO 