Management von Datenpannen / 5 Informationspflichten-Management

In Kapitel 4 sind vor allem die reaktiven Maßnahmen beschrieben, die in unmittelbarer Erfüllung der gesetzlichen Verpflichtungen nach dem Auftreten einer Datenpanne zu ergreifen sind. Je nachdem, wie professionell eine solche Datenpanne gemanagt wird, können die Auswirkungen der Information der Betroffenen sehr unterschiedlich sein. Idealer Weise hat die verantwortliche Stelle das Datenleck schnell identifiziert, umgehend gehandelt, um negative Auswirkungen zu begrenzen und die Angelegenheit professionell und schnell kommuniziert.

Wie bereits dargelegt, kann eine Datenpanne aber auch Auswirkungen zeitigen, die durch rein nachgelagerte Handlungen nicht befriedigend in den Griff zu bekommen sind, wie insbesondere Imageschäden, finanzielle Schäden durch Kundenabwanderungen etc. Im Gegenteil: Diese werden durch eine öffentliche Verlautbarung der Datenpanne grundsätzlich eher noch verschärft.

Die verantwortlichen Stellen sollten deshalb nicht nur reaktiv tätig werden, um Datenpannen nach ihrem Auftreten zu bekämpfen, sondern sich auch bereits vorab bestmöglich auf den Fall der Fälle einstellen, um das Auftreten von Datenlecks möglichst zu vermeiden, zumindest aber gut vorbereitet zu sein. Die betroffenen Unternehmen und Behörden sind deshalb gut beraten, hierfür technische und organisatorische Vorkehrungen zu treffen. Ferner sind interne Verfahren und Gremien zu etablieren, die das Management von Datenpannen übernehmen. Hilfreich ist auch die Erarbeitung einer "Data Breach Management Policy", in der festgelegt werden sollte, welche Schritte im Fall eines Sicherheitsverstoßes im Einzelnen zu unternehmen sind und welche Verantwortlichkeiten gelten. Schließlich sollten allgemeine Richtlinien erarbeitet werden, auf welche Weise die Meldungen erfolgen und welche Inhalte sie haben sollten.

5.1 Maßnahmen zur Vermeidung von Datenpannen

Zu allererst sollten Strategien erarbeitet werden, wie Datenpannen, die datenschutzrechtliche Informationspflichten auslösen, möglichst von vornherein vermieden werden können. Ein wichtiges Instrument sind hierbei sicherlich technische Maßnahmen, wie z. B. eine Verschlüsselung von Daten. Ein ganzheitlicher Ansatz von Data Loss Prevention ist hier aber zielführender. Ausgangspunkt ist immer eine individuelle Analyse des Risikos eines Datenverlustes.

Praxis-Tipp

Beispiele möglicher Data-Loss-Prevention-Maßnahmen

Folgende Auflistung nennt beispielhaft Maßnahmen, die geeignet sind, das Risiko von Datenpannen zu reduzieren:

• Begrenzung der Datenspeicherung auf sichere Umgebungen; Unterbinden der Datenspeicherung auf mobilen Endgeräten ohne hinreichende Sicherung (z. B. Notebooks ohne Festplattenverschlüsselung);
• Ausschluss des Kopierens personenbezogener Daten auf mobile Trägermedien (USB-Sticks, etc.);
• möglichst frühzeitige Anonymisierung von Daten, sobald der Personenbezug verzichtbar ist;
• technischer Schutz der Daten vor unbefugter Kenntnisnahme durch Verschlüsselung, Passwortschutz, etc;
• Einsatz einer technischen Data-Loss-Prevention-Lösung (DLP);
• allgemeine technisch-organisatorische Datensicherheitsmaßnahmen im Sinne von § 9 BDSG;
• regelmäßige Kontrollen der Mitarbeiter, die mit sensiblen personenbezogenen Daten umgehen;
• Auswahl vertrauenswürdiger Dienstleister, die Umgang mit personenbezogenen Daten haben.

Sofern hier Nachbesserungsbedarf erkannt wurde, sollten die bestehenden Security Policies angepasst und die ausgewählten Maßnahmen umgesetzt werden.

5.2 Etablierung einer Data-Breach-Management-Organisation

Beim Data-Breach-Management ist sinnvollerweise ein ganzheitlicher Ansatz zu wählen. Rein technische Vorkehrungen sind ebenso uneffektiv wie das schlichte Aufstellen einer Unternehmensrichtlinie oder eine rein juristische Betrachtung anhand der gesetzlichen Vorschriften zur Informationspflicht bei Datenpannen. Vielmehr sollten verschiedene Maßnahmen unterschiedlicher Disziplinen und Organisationseinheiten in den verantwortlichen Stellen ineinandergreifen.

Diese Multidisziplinarität bringt es mit sich, dass sich auch die Mitglieder einer Data-Breach-Management-Organisation sinnvollerweise aus unterschiedlichen Fachbereichen der verantwortlichen Stelle rekrutieren sollten. Die einzubeziehenden Rollen und deren Verantwortlichkeiten könnten dabei wie nachstehend berücksichtigt werden:

Abb. 1: Bildung eines Data-Breach-Management-Teams

5.3 Festlegungen in einer Data Breach Management Policy

Ferner ist es sinnvoll, die geltenden Regularien im Zusammenhang mit Datenpannen in einer zentralen Data Breach Management Policy zu beschreiben.

Praxis-Tipp

Mögliche Inhalte einer Data Breach Management Policy

Folgende Auflistung nennt beispielhaft Regelungen, die in eine Data Breach Management Policy aufgenommen werden könnten:

• Bestimmung des Anwendungsbereichs (Begriff der Datenpanne)
• Meldepflichten und Informationswege beim Auftreten einer Datenpanne
• Verantwortlichkeiten im Fall einer Datenpanne
• Vorgehen zur Klärung, ob Informationspflichten bestehen
• Verfahren der Erfüllung gesetzlicher Informationspflichten
• Verfahren zur Definition und Umsetzung von Maßnahmen zur Eindämmung der Datenpanne
• Durchführung von Root-Cause-Analysen
• Fristen für die Umsetzung der Maßnahmen
• Esk...