Welche Risiken gibt es bei der Verarbeitung personenbezogener Daten?

17. Juni 2021

In unserer DSGVO Donnerstag Blog-Reihe haben wir es uns zur Aufgabe gemacht, Datenschutz-Themen alltagstauglich, verständlich und mit Praxisbezug aufzubereiten.

Seit dem 25.05.2018 gilt die  DSGVO und zielt auf den Schutz von personenbezogenen Daten ab. Doch was heißt das jetzt genau? Und welche Risiken entstehen durch die Verarbeitung personenbezogener Daten?

Der Gesetzgeber fordert dazu vom Verarbeiter personenbezogener Daten ein “angemessenes Schutzniveau” ein und verweist in Art. 32 Abs 2 DSGVO darauf, dass bei der Beurteilung, ob ein “angemessenes Schutzniveau” vorliegt, besonders die Risiken zu prüfen sind, welche mit der Vernichtung, dem Verlust, der unbeabsichtigten / unrechtmäßigen Veränderung, der unbefugten Offenlegung oder dem unbefugten Zugang zu personenbezogenen Daten einhergehen.

Maßnahmenplan

Um den Anforderungen der DSGVO gerecht zu werden, müssen bei jeder Verarbeitung von personenbezogenen Daten die Risiken für die potentiell betroffene Person betrachtet werden, die sich aus der Verarbeitung ergeben.

Es bleibt dem Verarbeiter überlassen, auf welche Weise er dieser Anforderung gerecht wird. Ein minimalistisches Vorgehen könnte die folgenden Schritte beinhalten:

  • Aufbau und Pflege eines Verarbeitungsverzeichnisses. Das Verarbeitungsverzeichnis muss darüber Auskunft geben, in welchen Vorgängen welche Art von personenbezogenen Daten verarbeitet werden und welche Hardware, Software, Dokumente oder Kommunikationskanäle dabei zum Einsatz kommen.
  • Jeder Vorgang, der personenbezogene Daten verarbeitet, muss betrachtet werden bezüglich der potentiellen Auswirkungen welche das Eintreffen eines Risikos auf die Rechte und Freiheiten einer betroffenen Person haben können.

    Zum Beispiel könnte das Abhandenkommen einer Gehaltsabrechnung eines Mitarbeiters wertvolle Informationen für einen Identitätsdiebstahl liefern. Dies stellt einen unbefugten Zugriff auf Daten dar.
    Oder ist in einem Krankenhaus der Zugriff auf medizinische Daten nicht mehr gewährleistet - z.B. aufgrund eines Hackerangriffs - so entsteht für die Betroffenen ggf. eine Gefahr für Leib und Leben. Ereignis: temporäre oder dauerhafte Nichtverfügbarkeit von Daten

Risikoanalyse

Im nächsten Schritt gilt es die Quellen der Risiken zu identifizieren: Wer oder was kann ein solches Ereignis herbeiführen?
Hierbei sollten sowohl interne wie auch externe, sowohl menschliche als auch nichtmenschliche Faktoren betrachtet werden:
Vom Mitarbeiter bis zum Serverraum im Keller müssen alle potentiellen Akteure betrachtet werden.


Ein Beispiel aus der Praxis:  Der Bach neben dem Werksgelände hat im Regelfall nichts mit Ihrem Verarbeitungsprozess zu tun, aber es besteht vielleicht die Gefahr, dass dieser nach einem Starkregen über die Ufer tritt, den Kellerraum flutet und so die Verarbeitung von Daten verhindert. Die Folge: Eine temporäre oder dauerhafte Nichtverfügbarkeit von Daten.

Sind die Risiken identifiziert, muss nach potentiellen Einfallswegen Ausschau gehalten werden.
Was könnte dazu führen, dass die Risiken eintreten?
Hier kann auf die abhängigen Systeme aus dem Verarbeitungsverzeichnis referenziert werden (z.B. Hardware, Software, Dokumente & Kommunikationskanäle).

Diese könnten:

  • überlastet werden (z.B. Denial-of-Service Attacke, volles Speichermedium)
  • beschädigt werden (z.B. natürliche Abnutzung oder Vandalismus) 
  • beobachtet werden (z.B. durch  ‘Zuschauer’ beim Betrachten des Telefonbildschirms im öffentlichen Nahverkehr)
  • verloren gehen (z.B. Verlust/Diebstahl eines mobilen Endgerätes oder mobilen Speichermediums)
  • modifiziert werden (z.B. manipulierte Software oder Hardware. Keylogger oder Schadsoftware fallen auch in diese Kategorie)
  • unangemessen benutzt werden (z.B. Benutzerfehler, Interaktion mit Software über Rolle mit erhöhten Privilegien die nicht für diesen Zweck zur Verfügung gestellt wurden - Beispiel: Ein Administrator verwendet seinen administrativen Benutzer, um Einschränkungen seines Zugriffs auf Datensätze zu umgehen)

Risikobewertung

Im letzten Schritt müssen die bereits existierenden und geplanten Maßnahmen zur Behandlung der entdeckten Risiken betrachtet werden bzw. die Eintrittswahrscheinlichkeit und der zu erwartende Schweregrad des Risikos abgeschätzt werden.

Nachdem nun eine theoretische Betrachtung der Risiken und potentieller Maßnahmen zur Verringerung der Eintrittswahrscheinlichkeit und Auswirkung erfolgte, müssen die aktuellen und geplanten Maßnahmen auf ihre Angemessenheit bezüglich des benannten Risikos geprüft werden.

Um sicherzustellen, dass die Maßnahmen wirksam sind, sollten diese nach der Umsetzung durch Audits überprüft werden. Ein Beispiel hierfür wären Belastungstest von Serversystemen oder Penetrationstests der IT-Infrastruktur.

Das Audit muss als Resultat einen Maßnahmenplan hervorbringen, dessen Umsetzung durch die Geschäftsführung nachverfolgt werden muss.

crossmenu