Vorgaben der EU-Datenschutz-Grundverordnung

Die Einführung der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union sieht strenge Kontrollen vor für Unternehmen, die Daten von europäischen Bürgern erheben, nutzen und weitergeben. Unternehmen sowohl innerhalb als auch außerhalb der der EU somit vor neuen Anforderungen. Denn um die Privatsphäre von Kunden zu schützen, ist oftmals ein Umdenken erforderlich. So wurde etwa der Begriff „Pseudonymisierung“ eingeführt, um Schutzmaßnahmen anzuerkennen und zu fördern. Personenbezogene Daten werden beispielsweise durch Data Masking geschützt.

Der Hintergrund: Pseudonymisierung ist ein Oberbegriff für Ansätze wie Data Masking: dem Schutz von vertraulichen Daten, aus denen direkt oder indirekt die Identität einer Person abgeleitet werden kann. Personenbezogene Daten nicht zu schützen und damit die Anforderungen der DSGVO nicht einzuhalten, ist strafbar. Die DSGVO fördert den Einsatz von Pseudonymisierungs-Technologien im Rahmen ihrer Sicherheitsanforderungen. Eine Nichtbeachtung dieser Vorschrift kann Unternehmen mit Strafen von bis zu vier Prozent des weltweiten Umsatzes hart treffen – genug, um europaweit laufende Geschäfte jedes Unternehmens zu gefährden, das in der Europäischen Union tätig ist.

Was steckt hinter Pseudonymisierung?

Die Definition von Pseudonymisierung in der neuen Datenschutz-Grundverordnung lautet: „Die Verarbeitung personenbezogener Daten erfolgt in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass eine Zuweisung zu einer natürlichen Person nicht möglich ist.“ Einfach gesagt: Die Datenschutz-Grundverordnung erklärt, dass pseudonymisierte Daten in einem Format gespeichert werden, aus dem die direkte Identifizierung einer bestimmten Person nur mit zusätzlichen Informationen, beispielsweise aus getrennt gespeicherten Zuordnungstabellen, möglich ist.

Beispiel: „Benutzer ABC12345“ und nicht „Karl Mustermann“. Um „Karl Mustermann“ aus „Benutzer ABC12345“ abzuleiten, ist eine Zuordnungstabelle erforderlich, die Benutzer-IDs den Benutzernamen zuordnet. Wenn solche Zuordnungsinformationen vorhanden sind, müssen diese getrennt gespeichert werden. Sie unterliegen Kontrollen, die verhindern, dass sie mit den pseudonymisierten Daten kombiniert werden können, um eine Identifizierung vorzunehmen. Data Masking und Hashing sind Beispiele für Pseudonymisierungs-Techniken.

Was steckt hinter Data Masking?

Unter Data Masking versteht man den Austausch sensibler Daten durch ein nicht sensibles, „verfremdetes“ (maskiertes) Äquivalent unter Beibehaltung der Qualität und Konsistenz, die erforderlich sind, damit die Daten für Analysten oder Softwareentwickler weiterhin verwendbar bleiben. Obwohl diese Technologie bereits seit einiger Zeit von Anbietern wie Delphix bereitgehalten wird, gewinnt sie im Zuge der DSGVO, die ab Frühjahr 2018 in Kraft tritt, an Relevanz und Bedeutung.

Data Masking ist der De-Facto-Standard für die Pseudonymisierung, insbesondere in sogenannten Nicht-Produktionsdatenumgebungen, die für Software-Entwicklung, Tests, Schulungen und Analysen eingesetzt werden. Indem sensible Daten durch fiktive, aber realistische Daten ersetzt werden, neutralisieren Data-Masking-Lösungen das Datenrisiko und bewahren den Wert der Daten für den Einsatz in Nicht-Produktionsumgebungen.

Alternative Ansätze wie Verschlüsselung können diesen Anspruch in wichtigen Bereichen nicht erfüllen. Ihre Schwachstellen sind Identitätsdiebstahl, Insider-Bedrohungen oder andere Szenarios, bei denen sich Eindringlinge die Dekodierung besorgen können: Wer den richtigen Entschlüsselungscode hat, kann die Verschlüsselung überwinden und hat Zugriff auf sensible Daten. Data Masking hingegen wandelt sensible Daten um und eliminiert damit das Risiko durch Insider- und Outsider-Bedrohungen gleichermaßen.

Die DSGVO verlangt „Daten zuerst“-Ansatz

Data Masking bietet Unternehmen zwar ein Instrument, mit dem die wichtigsten Herausforderungen der Datenschutz-Grundverordnung bewältigt werden können, dafür ist allerdings ein „Daten zuerst“-Ansatz erforderlich. Eine höhere Aufmerksamkeit sollte dabei darauf liegen, wie Daten sich im Zeitverlauf verändern und bewegen bzw. wie sie besser kontrolliert werden können. Unternehmen können Pseudonymisierung durch Data Masking wirksam realisieren, wenn sie sich die folgenden Fragen stellen:

• Wo sind die Daten? Unternehmen kopieren ihre Produktionsumgebung für Software-Entwicklung, Tests, Backup und Reporting. In diesen Umgebungen werden rund 90 Prozent aller Daten gespeichert, oft verteilt über mehrere Repositorys und Standorte. Unternehmen, die wissen, wo sich ihre Daten befinden – einschließlich sensibler Daten in verschiedenen Nicht-Produktionsumgebungen – sind besser vorbereitet, um gezielt Schutzmaßnahmen vorzunehmen.
• Wie sieht die eigene Daten-Governance aus? Erst wenige Organisationen verfügen über einen Datenschutzbeauftragten (Chief Data Officer oder Chief Privacy Officer). Sogar jene Unternehmen, die keine adäquate Kontrolle über die Bewegung und Verarbeitung von Daten haben, weil die einzelnen Geschäftsbereiche – jeder mit eigenen Administratoren, IT-Architekten und Entwicklern – oft datenbezogene Prozesse auf Projektebene definieren und dabei wenige oder gar keine unternehmensweite Richtlinien umsetzen oder überhaupt zur Verfügung haben. Unternehmen, die die DSGVO betrifft, müssen Schritte in die Wege leiten, um die Daten-Governance unter Kontrolle zu bringen und Instrumente einführen, so dass Prozesse wie Data Masking transparenter und zu Standards werden.
• Wie stellt man Daten bereit? Bestehende Ansätze für die Bereitstellung von Daten erfordern manuellen Einsatz, viele Ressourcen sowie die aufwendige Koordination mehrerer Teams. Wenn die Pseudonymisierung auf komplizierten Datenbereitstellungsprozessen aufbaut, wird der Aufwand noch größer. Die Folge: Unternehmen brechen ihre Bemühungen, Technologien wie Data Masking einzuführen, oft ab. Eine mögliche Lösung dieses Problems besteht in der Kombination aus Data Masking und Virtualisierung. So wird sichergestellt, dass die Verfremdung wiederholbar ist und einen integrierten Bestandteil des Bereitstellungsprozesses darstellt.

Für viele Unternehmen ist die DSGVO ein Anlass, ihre Prozesse für Speichern, Verwalten und Schutz ihrer Daten zu überdenken und neu aufzustellen. Ein wesentlicher Aspekt ist auch, dass die neue Verordnung zu einer Welle der IT-Innovation führen wird. Sie hat damit das Potential, nicht nur die Compliance sicherzustellen und das Risiko der Datenschutzverletzung zu reduzieren, sondern auch kritische Geschäftsinitiativen zu beschleunigen.

* Der Autor Jes Breslaw ist Director of Strategy EMEA bei Delphix.

Bildquelle: Thinkstock/iStock