Corner-top-right-trans
Berliner Beauftragte für Datenschutz und Informationsfreiheit

Technisch-organisatorischer Datenschutz


Unter technisch-organisatorischem Datenschutz versteht man alle technischen und organisatorischen Maßnahmen zur Sicherstellung der informationellen Selbstbestimmung und der Ordnungsmäßigkeit bei der Verarbeitung personenbezogener Daten.

Die informationelle Selbstbestimmung der Betroffenen ist auch verletzt, wenn Unbefugte sich der Daten der Betroffenen bemächtigen können, denn die Unbefugten haben weder die Einwilligung der Betroffenen, noch gibt ihnen ein Gesetz das Recht, die Daten zu verarbeiten.

Es ist daher die gesetzliche Pflicht des Datenverarbeiters (§ 9 Bundesdatenschutzgesetz mit Anlage und die Regelungen in den Landesdatenschutzgesetzen – z.B. § 5 Abs. 2 Berliner Datenschutzgesetz), die Daten davor zu schützen, daß sie Unbefugten in die Hände fallen. Das gilt für die Speicherung in informationstechnischen Systemen oder auf Papier ebenso wie bei der Datenfernübertragung oder auf dem Postwege. Es gilt ebenso für den täglichen Umgang mit den Daten.

Die Kontrollanforderungen des BDSG und die Sicherheitsziele der neueren Landesdatenschutzgesetze, z.B. § 5 Abs. 2 Berliner Datenschutzgesetz, können mit der geeigneten Kombination von Grundtechniken organisatorischer, baulicher und inormationstechnischer Art erfüllt werden:

Voraussetzung für guten technisch-organisatorischen Datenschutz ist die Schaffung verbindlicher organisatorischer Regelungen. Arbeitsabläufe sind verbindlich festzulegen, Zuständigkeiten und Befugnisse sind zuzuordnen, der Umgang mit der Informationstechnik und vor allem mit den vorhandenen technischen Sicherheitseinrichtungen ist vorzugeben. Wie sollen Befugte und Unbefugte im Zweifelsfall unterschieden werden, wie soll fehlerhaftes Handeln oder gar vorsätzliche Sabotage von korrektem Vorgehen unterschieden werden, wenn es keine verbindlichen Unterscheidungsmerkmale gibt?

Eine weitere Grundtechnik organisatorischer Art ist die Dokumentation. Eine Dokumentation beschreibt den Sollzustand eines Systems, d.h. den vorgesehenen Zustand. Sie erlaubt den Vergleich mit den tatsächlichen Gegebenheiten, ermöglicht daher erst die Revision – aber nur, wenn sie sorgfältig geführt, vollständig und aktuell ist und von fachkundigen Dritten in angemessener Zeit verstanden werden kann. Wie soll ein Verantwortlicher, ein Revisor, ein Rechnungsprüfer, ein Datenschutz- bzw. Sicherheitsbeauftragter Abweichungen vom Soll feststellen können, wenn er nicht eindeutig weiß, was denn das Soll ist? Wie kann ein Programmierer ohne Dokumentation ein (vielleicht sogar ein von ihm geschriebenes) Programm modifizieren, ohne möglicherweise im Programm Chaos anzurichten?

Viele Maßnahmen werden mit simpler, aber wirksamer physischer Abschottung umgesetzt, durch geeignete bauliche Maßnahmen, um den Zutritt Unbefugter zu verhindern, oder durch wirksam verschlossene Behältnisse für Computer, andere Hardwarekomponenten, Datenträger oder Listen.

Um festzustellen, ob jemand etwas darf oder nicht, bedarf es seiner Identifikation und vor allem seiner Authentifikation. Mit der Authentifikation soll festgestellt werden, ob jemand denn der ist, als der er sich ausgibt. Dies kann bei der Zugangskontrolle ein Pförtner oder Wachmann auf traditionelle Art machen, bedeutsamer ist jedoch die maschinelle Authentifikation. Sie findet an der Schnittstelle statt, an ein informationstechnisches System durch einen menschlichen Benutzer oder ein anderes informationstechnisches System zur Durchführung einer sicherheitsrelevanten Aufgabe aufgefordert wird. Das leistungserbringende System versucht mit der Authentifikationsprozedur festzustellen, wer der menschliche Benutzer oder was das andere informationstechnische System ist, damit entschieden werden kann, ob es die angeforderte Leistung erbringen darf oder nicht.

Für die maschinelle Authentifikation an der Mensch-Maschine-Schnittstelle, z.B. zur Prüfung, ob jemand zur Nutzung eines informationstechnischen Systems berechtigt ist, ist nach wie vor die Paßwortprüfung und/oder der maschinenlesbare Ausweis verbreitete Methoden. Mit sog. biometrischen Verfahren, die individuelle körperliche Eigenschaften des Benutzers zur Prüfung heranziehen, z.B. Augenhintergrund, Finger- oder Handabdruck, Spracherkennung oder Unterschriftsprüfung, wird experimentiert, praktische Bedeutung haben sie bisher kaum erlangt.

Für die maschinelle Authentifikation an der Maschine-Maschine-Schnittstelle, z.B. zwischen Chipkarte und Chipkartenlesesystem, sind komplexe kryptographische Verfahren erforderlich, z.B. Challenge-Response-Verfahren.

Eine weitere wichtige Grundtechnik für den technisch-organisatorischen Datenschutz ist die Protokollierung. Mit der Aufzeichnung signifikanter Ereignisse in einem informationstechnischen System lassen sich die Ist-Zustände von Systemkomponenten und sicherheitsrelevante Prozesse, z.B. Zugriffe auf und Änderungen von schutzbedürftigen Daten, Aufrufe von Programmen, Datenübermittlungen usw. rückwirkend nachvollziehen.

Die kryptographische Verschlüsselung von Daten dient in diesem Zusammenhang u.a. dazu, die Interpretation und damit die mißbräuchliche Nutzung der Daten zu verhindern. Dies ist vor allem dort wichtig, wo man den unbefugten Zugang an die Daten nicht wirkungsvoll genug verhindern kann, z. B. bei der Übertragung über ungeschützte Kommunikationssysteme oder der Speicherung von Daten in mobilen informationstechnischen Systemen.

Der Zielsetzungen des technisch-organisatorischen Datenschutzes beschränken sich aber nicht nur auf die Sicherstellung der informationstechnischen Sicherheit bei personenbezogenen Daten: Es sind auch die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der übrigen datenschutzrechtlichen Vorschriften zu gewährleisten.

Beispiele: Maßnahmen, um

  • die datenschutzgerechte Löschung von Daten zu ermöglichen,
  • die datenschutzgerechte Sperrung von Daten zu ermöglichen,
  • Daten berichtigen zu können,
  • Auskunftsbegehren datenschutzgerecht befriedigen zu können.

Mit anderen Worten: Es müssen die technischen und organisatorischen Maßnahmen ergriffen werden, die erforderlich sind, um die Ansprüche aus den Rechten, die die Betroffenen nach den Datenschutzgesetzen wahrnehmen können, auch effizient und korrekt erfüllen zu können.

14.11.2008