Datenschutz
Warum Datenprojekte in regulierten Branchen an der Freigabe scheitern
In regulierten Häusern scheitern Datenprojekte selten an der Technik. Sie scheitern daran, dass niemand die Frage beantworten kann, wer wann was gesehen hat.
Ein Krankenhaus, eine Landesbehörde und eine Bank haben wenig gemeinsam – außer der Struktur ihres Problems. Alle drei verfügen über Daten, deren Auswertung offensichtlich nützlich wäre, und in allen drei liegt zwischen Idee und Umsetzung eine Freigabe, die technische Argumente nicht überzeugt.
Was Prüfer fragen
Aus der Erfahrung mit solchen Verfahren lässt sich der Fragenkatalog gut vorhersagen. Er ist erstaunlich unabhängig von der Branche:
- Wer hat auf diesen Datensatz zugegriffen, in welchem Zeitraum, mit welcher Berechtigung?
- Wie ist diese Kennzahl entstanden – aus welchen Quellen, über welche Schritte?
- Was passiert, wenn ein Beschäftigter die Abteilung wechselt? Wann verliert er den Zugriff?
- Können Sie den Stand vom Stichtag reproduzieren, oder nur den heutigen?
- Wer beim Hersteller kann auf diese Daten zugreifen, und wie merken Sie es?
Keine dieser Fragen betrifft Geschwindigkeit, Funktionsumfang oder Kosten. Alle fünf betreffen Nachvollziehbarkeit. Und alle fünf sind mit einer Standardinstallation nur mühsam zu beantworten.
Ein Prüfer verlangt keine Sicherheit. Er verlangt einen Nachweis. Das ist ein Unterschied, der Architekturen bestimmt.
Frage fünf ist die, die Projekte kippt
Die ersten vier Fragen lassen sich mit sorgfältiger Konfiguration beantworten. Die fünfte nicht, wenn der Dienst bei einem Anbieter läuft. Denn dann existiert per Konstruktion ein administrativer Zugang, den der Anbieter braucht, um den Dienst zu betreiben.
Anbieter begegnen dem mit Kundenschlüsseln, versiegelten Umgebungen und Zugriffsprotokollen. Das sind ernsthafte Maßnahmen. Sie verlagern die Frage aber von „kann jemand zugreifen“ zu „würden wir es erfahren“ – und für eine Freigabe ist das eine schwächere Antwort.
Was in eigener Infrastruktur einfacher wird
| Anforderung | Beim Dienstleister | In eigener Infrastruktur |
|---|---|---|
| Zugriffsnachweis über alle Nutzer | Protokolle des Anbieters | eigenes Audit-Log, eigene Aufbewahrung |
| Herstellerzugriff ausschließen | vertraglich und organisatorisch | technisch, kein Zugang vorhanden |
| Betrieb ohne Internetverbindung | meist nicht möglich | möglich, Offline-Updates |
| Stichtag reproduzieren | abhängig vom Produkt | Time Travel im Tabellenformat |
| Schlüssel im eigenen HSM | teils möglich | Standard |
Die dritte Zeile wird unterschätzt. Ein Betrieb ohne Internetverbindung – air-gapped – ist in manchen Umgebungen keine Vorsichtsmaßnahme, sondern Vorgabe. Wenn eine Plattform Telemetrie oder Lizenzprüfungen nach außen braucht, ist sie dort nicht einsetzbar, unabhängig von allem anderen.
Die Bezugsrahmen, auf die man sich stützen kann
Statt Sicherheit allgemein zu behaupten, hilft es, an etablierte Rahmen anzuknüpfen. In Deutschland sind das vor allem der IT-Grundschutz des BSI und die ISO/IEC 27001. Beide beschreiben Maßnahmen, die ein Prüfer kennt und abhaken kann – und beide sind auch dann nützlich, wenn keine Zertifizierung angestrebt wird, weil sie die Struktur der Nachweise vorgeben.
Für den Umgang mit personenbezogenen Daten kommen die Anforderungen aus Art. 32 DSGVO hinzu: Verschlüsselung, Pseudonymisierung, Verfügbarkeit, Belastbarkeit und die Fähigkeit, die Wirksamkeit der Maßnahmen zu überprüfen. Der letzte Punkt ist der, der wieder auf das Audit-Log verweist.
Was ich Projektverantwortlichen rate
Die Freigabe nicht am Ende einholen, sondern am Anfang. Konkret: die fünf Fragen von oben vor der Produktauswahl stellen und die Antworten schriftlich verlangen. Ein Anbieter, der bei Frage fünf ausweicht, wird auch später nicht deutlicher – nur ist dann bereits migriert.
Und intern die Datenschutzbeauftragte oder den Informationssicherheitsbeauftragten in die Auswahl holen, nicht in die Abnahme. Deren Anforderungen sind selten überraschend, aber sie sind selten nachträglich einzubauen.
Quellen
Alle Zahlen in diesem Beitrag sind belegt. Wo keine belastbare Quelle vorliegt, steht keine Zahl.