Was Unternehmen wissen sollten

ITD: Die Datenschutz-Grundverordnung (DSGVO) wird in der öffentlichen Debatte nicht selten als bürokratisches Monster dargestellt. Außerdem wird bemängelt, dass Datenschutz und Datensicherheit nicht als Ganzes betrachtet werden. Was sagen Sie zu dieser Kritik?
Bausewein: Ich bin der Überzeugung, dass es Datenschutz nicht zum Nulltarif gibt und er zwangsläufig mit Aufwand verbunden ist. Dies betrifft Unternehmen und Organisationen jeder Größe gleichermaßen, weshalb ich die pauschale Kritik an der Datenschutz-Grundverordnung nicht teilen kann. Dennoch gibt es wie überall Verbesserungsmöglichkeiten, über die es sich lohnt, zu reden. Dementsprechend möchte ich dafür werben, gute Datenschutzpraktiken als Investitionen in die Zukunft zu verstehen und nicht auf die lange Bank zu schieben.

Die Ansicht, dass Datenschutz und Datensicherheit oftmals nicht als Ganzes betrachtet werden, teile ich indes uneingeschränkt. Nicht selten sehe ich in meiner Praxis, wie Datenschutz- und Informationssicherheitsbeauftragte nur unzureichend zusammenarbeiten. Dies ist absolut kontraproduktiv, weil Datenschutz und Datensicherheit einander bedingen und nicht isoliert voneinander betrachtet werden können und sollten. Dies belegt nicht nur die DSGVO, sondern ist auch Grundpfeiler der Privacy-by-Design-Lehre nach Ann Cavoukian. Diese spricht davon, dass Datenschutz bei voller Funktionalität gewährleistet werden muss, was für mich auch Sicherheit beinhaltet. Im Übrigen verbietet sich denklogisch jede andere Auslegung, weil Sicherheitsdefizite ihrerseits Eingriffe in die Grundfreiheiten der Menschen begründen können, wie sie der Europäische Gerichtshof in der Rechtssache Schrems II mit Blick auf den Datenschutz eingefordert hat.

ITD: Wo stehen wir aktuell in Europa hinsichtlich der Gesetzeslage im Bereich Cybersicherheit und wohin entwickelt sich diese? Welche Trends beobachten Sie?
Bausewein: Ich halte es für legitim zu behaupten, dass Cybersecurity zu den Schwerpunkten der EU-Digitalstrategie gehört. Begründet wird diese Annahme durch eine Vielzahl von Gesetzesvorhaben, wie etwa dem Cybersecurity Act, Cyber Resilience Act, der Verordnung über die Betriebsstabilität digitaler Systeme des Finanzsektors sowie der Richtlinie über die Resilienz kritischer Einrichtungen. Sogar der äußerst relevante Data Act sowie der AI Act haben wesentliche Auswirkungen und Bezüge zur Cybersicherheit.

Bei aller damit einhergehender Bemühung um eine Verbesserung der Cyberresilienz und -resistenz der Europäischen Union beobachte ich, dass damit gleichzeitig widersprüchliche Trends einhergehen, die die Cybersicherheit zu reduzieren drohen. So gibt es etwa immer mehr Vorschläge, die Fortschritt und Harmonisierung im Bereich der Cyberresilienz zu untergraben drohen. Besonders kritisch sehe ich Bestrebungen zur Datenlokalisierung, die den Zugriff auf Daten und damit auch die Nutzung von Cloud Services nicht unerheblich einzuschränken versuchen. Im schlimmsten Fall kann dies zur Herabsetzung der Cybersicherheit durch die Nichtnutzbarkeit von Cloud-basierten, weltumspannenden Cybersicherheitsservices führen, deren Zweck es ist, Sicherheit rund um die Uhr an 365 Tagen optimal sicherzustellen.

ITD: Welche Auswirkungen können diese Trends der Datenlokalisierung auf Unternehmen haben?
Bausewein: Es ist wichtig, sich daran zu erinnern, dass das Ziel des Datenschutzes darin besteht, Daten zu schützen, insbesondere vor Datenschutzverletzungen. Anhaltende Debatten über die Rechtmäßigkeit des grenzüberschreitenden Datentransfers in Drittländer außerhalb der EU bergen das Risiko, dass Unternehmen bei strikter oder zu enger Auslegung von Gesetzen und Handlungsanweisungen nur begrenzt in der Lage sind oder es wagen, Cloud-basierte Technologien zu nutzen, die dem Stand der Technik im Bereich der Cybersicherheit entsprechen. In Zeiten zunehmender und immer ausgefeilter werdender Cyberangriffe stellt dies ein Sicherheitsrisiko dar – nicht nur für die Unternehmen, sondern teilweise auch für die Gesellschaft und sogar Volkswirtschaften. Sicherheitsanforderungen und -praktiken müssen darauf ausgerichtet sein, unbefugten Zugriff auf Daten zu verhindern. Jegliche Datenlokalisierungsanforderungen schränken die Möglichkeiten der Verteidiger zum Schutz vor unbefugtem Zugriff erheblich ein.

Zur Verteidigung gegen Cyberattacken benötigen Unternehmen heutzutage Cloud-basierte Lösungen, die mit Sicherheitsdaten aus verschiedenen Quellen arbeiten, bestmögliche Visibilität hinsichtlich der Bedrohungslage im gesamten Unternehmen bieten, ein zentralisiertes Log Management bereitstellen und Dienste nutzbar machen, die rund um die Uhr verfügbar sind.

Dies ist ein Artikel aus unserer Print-Ausgabe 4/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Verteidiger, denen es an globalen Analyse- und Threat Hunting-Lösungen mangelt, werden von Bedrohungsakteuren ins Visier genommen, die Daten grenzüberschreitend agil extrahieren und sich innerhalb globaler Netzwerke problemlos lateral bewegen können. Die größte Herausforderung liegt folglich darin, den Spagat zwischen Compliance und Sicherheitsinteressen zu meistern.

ITD: Was sollten Unternehmen tun, um diese Trends zu navigieren und nicht auf Basis hypothetischer Risiken zu agieren?
Bausewein: Cybersicherheit ist heutzutage nicht mehr optional. Angesichts der Tragweite der aktuellen Angriffe und der eingesetzten Techniken müssen sich Unternehmen die Frage stellen, ob die in ihrem Netzwerk eingesetzten Sicherheitstechnologien dem Risiko angemessen sind, den heutigen rechtlichen Standards entsprechen und die gängigen Best Practices einhalten. Generell ist empfehlenswert die Cybersicherheit zu stärken, um nicht nur resistent, sondern auch resilient zu sein, was Cybergefahren anbelangt. Um sich bestmöglich aufzustellen, ist es wichtig, den Anbieter wohl überlegt auszuwählen. Hier lohnt es sich in Hinblick auf die aktuellen Debatten verschiedene Blickwinkel einzunehmen und den ganzheitlichen Datenschutz nicht aus den Augen zu verlieren.

Bildquelle: Crowdstrike