Die EU-DSGVO im Kontext der Digitalisierung

Die EU-DSGVO im Kontext der Digitalisierung

04/2019

Risikofaktor IoT: Schützenswert sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen

 

Am 25. Mai 2016 trat die EU- Datenschutz-Grundverordnung (EU-DSGVO) in Kraft, ab dem 25. Mai 2018 müssen die EU- Mitgliedstaaten die Verordnung anwenden. Obwohl das Bewusstsein in den Chefetagen der Unternehmen gestiegen ist, sind nicht alle Unternehmen gut aufgestellt. Mit der EU-DSGVO gibt es erstmals eine Verordnung, die das Datenschutzrecht EU-weit vereinheitlicht und die Unternehmen zum Nachweis verpflichtet, die Prinzipien des EU-Datenschutzes einzuhalten. Sie gilt für in der EU ansässige Unternehmen, aber auch für ausländische Unternehmen, wenn diese eine Niederlassung in der EU haben oder Daten von Menschen in der EU verarbeiten. Also de facto für alle größeren internationalen Unternehmen, aber auch für viele Mittelständler und KMU. Die Strafen bei Verletzung der EU-DSGVO sind saftig: Bis zu 20 Millionen oder vier Prozent des Jahresumsatzes – im Zweifelsfall gilt der höhere Wert.

 

DSGVO und IoT

Als Daten gelten dabei nicht nur Kontaktdaten wie Name, Adresse, E-Mail-Adresse, Telefonnummer. Damit betrifft sie auch das IoT, sammeln seine Geräte doch zuhauf vielfältige Nutzerdaten. Je nach Funktion reichen diese von Blutgruppe, über das bevorzugte TV-Programm bis hin zum Aufenthaltsort des Hundes. Hier sollte ein Privacy-by-Design-Ansatz verfolgt werden, damit schon bei der Entwicklung die Datenschutzrisiken geringgehalten werden können und Datensicherheit gewährleistet ist. Schließlich ist auch zu klären, wo im Unternehmen die Daten überhaupt gespeichert sind und wer Zugriff darauf hat.

 

Was ist neu?
Ganz wichtig: Unternehmen haben eine Rechenschaftspflicht. Im Fall einer Klage gilt die Beweislastumkehr: Nicht der Kläger muss nachweisen, dass die EU-DSGVO verletzt worden ist. Das Unternehmen muss beweisen, dass es die strengen Kriterien der Verordnung erfüllt. Hier könnte sich unter Umständen für Unternehmen ein Betätigungsfeld eröffnen, um unliebsamen Konkurrenten zu schaden. Außerdem muss in bestimmten Fällen ein Datenschutzbeauftragter ernannt werden. Hinzu kommt die Verpflichtung, ein sogenanntes "Privacy by Design" einzuführen, mit dem datenschutzrelevante Maßnahmen von Beginn an in Design sowie Entwicklung von Systemen, Prozessen und Produkten integriert werden. Auch sind mehr Daten betroffen, so etwa Einzelangaben über persönliche und sachliche Verhältnisse einer bestimmten oder bestimmbaren Person. Die Anforderungen an "bestimmbare Personen" sind sehr gering. Auch Lieferanten können betroffen sein, zum Beispiel solche, die von einem Unternehmen beauftragt werden, personenbezogene Mitarbeiterdaten zu verarbeiten.

 

Mehr Rechte für Beschäftigte, mehr Pflichten für die Unternehmen
Nach Auffassung vieler Fachleute werden die Pflichten des Arbeitgebers beim Datenschutz deutlich erhöht, die Rechte der Beschäftigten hingegen gestärkt. Diese erhalten die Hoheit über ihre Daten und das Recht, auf Anfrage zu erfahren, ob, welche und in welchem Umfang personenbezogene Daten durch den Arbeitgeber verarbeitet werden. Das muss laut EU-DSGVO schneller und umfassender geschehen, als dies früher der Fall war. Unternehmen ohne digitale Personalakte haben hier einen großen Aufwand, da die dafür zuständigen Personalabteilungen meist in einem mühseligen Prozess die zerstückelt geführten Personalakten, Gehaltsabrechnungen oder Berichte prüfen müssen.

 

Vieles hängt von der Art und Größe des Unternehmens ab
Einige Experten warnen, die Aufgaben im Zusammenhang mit der Verordnung zu unterschätzen. Die häufig vertretene Ansicht, dass die Erstellung eines Verarbeitungsverzeichnisses die Erfüllung der Richtlinien gemäß DSGVO bedeutet, ist leider nicht richtig. Ein Verarbeitungsverzeichnis ist zwar wesentlich, jedoch nur einer von mehreren Schritten der Umsetzung. Jedes Unternehmen muss also auch alle technischen und organisatorischen Maßnahmen zur Sicherung und zum Schutz der Daten umsetzen und auch dokumentieren. Nicht zu vergessen, die Einhaltung und Dokumentation aller Betroffenenrechte. Eine Lösung muss all diese Aspekte mitberücksichtigen und ganzheitlich erfüllen. In welchem "Detailgrad" die Umsetzung auf Unternehmensebene erfolgt, hängt jedoch von der Art und Größe des Unternehmens sowie den verfügbaren Ressourcen ab. Entscheidend ist auch die Branche, da jede ihre ganz eigenen Anforderungen hat.

 

Zertifizierungen als Basis
Manche Unternehmen profitieren von bereits vorhandenen Zertifizierungen, etwa nach ISO 9001 oder ISO / IEC 27001. Diese Zertifizierungen dienen als Basis für ein Datenschutzmanagementsystem (DSMS), das die Compliance mit der EU-DSGVO gewährleistet. Ähnliches gilt für die Zertifizierung nach dem Standard BS 10012:2017. Trotzdem muss vieles noch angepasst werden im Hinblick auf die neuen Regeln.

 

Datenschutz als Querschnittsaufgabe

Wichtig sei es, darin stimmen Experten überein, das Thema EU-DSGVO als Querschnittsthema im gesamten Unternehmen zu verankern und das Bewusstsein der Mitarbeiter für diese Problematik zu schärfen. Vom Vorstand oder der Geschäftsführung bis hin zum Betriebsrat müssen die Verantwortlichen über die Regelungen und Veränderungen beim Datenschutz informiert und teilweise aktiv werden:

  • Vorstand und Geschäftsführung müssen die veränderte datenschutzrechtliche Praxis im Unternehmen kennen;
  • die IT-Abteilung muss prüfen, welche technisch-organisatorischen Maßnahmen für das geforderte Risk-Management notwendig sind;
  • die Finanzabteilung muss die Kosten berücksichtigen, die dem Unternehmen durch Anpassungsprozesse entstehen;
  • die Rechtsabteilung muss viele Verträge anpassen;
  • die Compliance-Abteilung muss die Risiken eines Verstoßes gegen die Verordnungen berücksichtigen – diese betreffen die außerordentlich hohen Bußgelder, aber auch den Vertrauensverlust, der bei Kunden, Lieferanten oder Mitarbeitern entstehen kann;
  • die Forschungs- und Entwicklungsabteilung muss schon bei einem frühen Projektstadium darauf achten, dass die datenschutzrechtlichen Grundsätze eingehalten werden;
  • für die Personalabteilung entsteht ein hoher Aufwand, da sie einerseits Mitarbeiterschulungen zum Thema organisieren, andererseits den Mitarbeitern auf Nachfrage nachweisen muss, wie ihre Daten geschützt werden; auch der Betriebsrat ist einzubinden.

 

Ist es sinnvoll, darüber hinauszugehen?
Vielleicht aber ist es sinnvoll, noch ein paar Schritte weiterzugehen. Die Einhaltung der EU-DSGVO-Compliance sollte Teil einer umfassenden Unternehmensphilosophie sein und von der Spitze her gelebt werden – damit ist das EU-DSGVO-Management Chefsache. Es sollte nicht einfach eine lästige Pflicht sein, denn immerhin geht es darum, das Image  des Unternehmens in der Öffentlichkeit, bei gegenwärtigen und künftigen Mitarbeitern sowie bei Geschäftspartnern als verantwortungsvoll handelnde Organisation zu stärken. Dazu gehören auch ein umfassender Schutz der Daten und der sichere IT-Betrieb.

 

Die Risiken einer Verletzung des Datenschutzes sind groß und müssen im Einzelfall genau analysiert werden. Doch wie sieht es mit den Chancen aus? Zum Beispiel könnte ein gut umgesetztes Datenschutzmanagementsystem auch den Eintritt in Länder mit einem ähnlich hohen Datenschutzniveau deutlich erleichtern, wie z. B. Kanada oder Japan. Echte Mehrwerte im Wettbewerb entstehen, wenn es gelingt, über entsprechende Maßnahmen und ihre Dokumentation Vertrauen zu schaffen. Zudem fördern transparente personenbezogene Daten die Automatisierung von Prozessen und treiben somit die Digitalisierung voran. Einige aktuelle Studien belegen, dass Unternehmen, die auf diesem Weg vorangegangen sind, sich bereits Vorteile verschafft haben. Es liegt also an den Unternehmen selbst, ob ihnen die EU-DSGVO mehr nutzt oder doch eher schadet.

 

Neue Risiken durch IoT in Industriesystemen

Das Internet der Dinge (IoT) ist insbesondere im Industrieumfeld eine noch junge Technologie. Daher steht bei der Entwicklung von IoT-Komponenten und OT-Lösungen („Operational Technologies“) für viele Unternehmen noch immer die Funktionalität im Vordergrund. Die Produktentwicklung hat genug damit zu tun, die neuen Kommunikationstechniken, das komplizierte Zusammenspiel von Sensoren, Aktoren und PLCs („Programmable Logic Controller“), in den Griff zu bekommen. Wichtig ist, dass die Produkte und Lösungen funktional laufen – Sicherheitsaspekte sind, wenn überhaupt, nur ein Randthema.

 

Doch IoT bringt nicht nur neue Möglichkeiten, sondern auch neue Risiken. Die Verbindung technischer Systeme mit dem Firmennetzwerk und dem Internet über standardisierte Kommunikationsschnittstellen erlaubt eine umfassende Kontrolle und Steuerung dieser Systeme. Allerdings nicht nur für berechtigte Nutzer, sondern bei unzureichender Absicherung auch für Angreifer. Diese können dabei nicht nur Informationen gewinnen, sie können auch die Steuerung der betreffenden Systeme übernehmen und sogar Fehlfunktionen auslösen. Man kann sich entsprechende Schadensszenarien leicht ausmalen; erst recht, wenn IoT auch in kritischen Infrastrukturen zum Einsatz kommt, beispielsweise in der Strom- und Wasserversorgung.

 

Neue Risiken, das bedeutet konkret neue Angriffspunkte. Der einfachste ist der direkte Zugriff auf Anlagen. So erhalten externe Service-Unternehmen oft für Wartungsarbeiten einen Zugriff auf die Steuerung von Anlagen und Maschinen, mitunter verschaffen sie ihn sich auch selbst, indem sie zur Erfüllung von Wartungsverträgen entsprechende Bauteile implementieren. Das muss nicht in böser Absicht geschehen, aber über diese Verbindungen ist der unkontrollierte Zugriff auf Steuersysteme von extern möglich und per „Hopping“ von System zu System steht dem Service-Dienstleister dann auch bei unzureichender Absicherung und nicht vorhandener Segmentierung des Netzwerkes mehr oder weniger das gesamte Netz seines Kunden offen. Dies gilt besonders, wenn im IoT-Endgerät oder der Maschine eine LTE-Komponente verbaut ist; man kann dann die Kommunikation nach außen kaum unterbinden.  Das gezielte Scannen und Stören von Funkverbindungen, das hier gelegentlich vorgeschlagen wird, ist jedenfalls klar verboten.

 

Vielfach werden in IoT-Lösungen technische Komponenten verwendet, die über keine oder nur unzureichende Schutzmechanismen verfügen. Sie verwenden zum Beispiel eine unsichere Hard- und Software-Architektur oder unsichere Kommunikationsprotokolle und lassen sich nicht aktualisieren. Die Hersteller und Anlagenbauer sind nicht für das Thema IoT- / OT- Security sensibilisiert. Wenn etwa Bauteile in der Klimatechnik oder in Brandmeldeanlagen nicht geschützt sind, so können Angreifer die Raumtemperatur oder Luftfeuchtigkeit verändern, was in einem Rechenzentrum katastrophale Folgen haben kann. Das Beispiel Rechenzentrum zeigt deutlich die ungeklärten Zuständigkeiten für Security in Unternehmen. Die Server und Anwendungen im Rechenzentrum werden von der IT meist nach Sicherheitsvorgaben betrieben, das Rechenzentrum selbst mit allen Non-IT-Komponenten liegt aber in einer anderen Zuständigkeit und unterliegt keinen exakten Vorgaben für Security.

 

Ein bevorzugtes Ziel für Angreifer sind auch IoT-Systeme in der Logistik. Hier werden natürlich mobile Verbindungen verwendet, wobei mittlerweile nicht nur Lkw mit entsprechenden Systemen ausgestattet sind, sondern auch Container oder sogar einzelne Paletten. Die IoT-Logistik-Sensoren müssen aufgrund der hohen Stückzahl und des Preisdrucks in der Logistik natürlich günstig sein. Logistiker können damit eine Lieferkette sehr genau verfolgen, sie bieten damit aber auch Angreifern die Möglichkeit, Daten abzufangen oder zu verändern. Die IoT-Systeme laufen hier ja nicht in einem gesicherten Umfeld, sondern weit ab vom jeweiligen Unternehmen; man muss im Grunde nur am richtigen Ort mit einem Lesegerät sein, schon kann man die Daten einsammeln. Auf diese Weise kann man nicht nur detaillierte Informationen über Lieferketten erhalten, sondern kann sie bei Bedarf lahmlegen.

 

Die direkten Abwehrmöglichkeiten gegen derartige Angriffe sind im Nachhinein bei bestehenden Lösungen begrenzt. Wichtig ist vor allem, sich der durch IoT-/OT-Systeme entstehenden Risiken überhaupt erst einmal bewusst zu werden und sich nicht nur an deren Funktionalität zu erfreuen. Unternehmen sollten sich daher bei IoT- / OT-Projekten immer folgende Fragen stellen:

  • Welche IoT- / OT-Komponenten und -Systeme werden im eigenen Unternehmensnetzwerk verwendet? Welche IoT-/ OT-Geräte sind unbekannt?
  • Welche Kommunikationsverbindungen haben diese untereinander und nach außen?
  • Sind von einzelnen Systemen auch andere zu erreichen, die im Normalfall keine Kommunikationsbeziehung untereinander haben? Lässt sich das durch Netzwerksegmentierung unterbinden?
  • Bestehen unkontrollierte Wartungszugänge?
  • Sind die Security-Funktionen der Produkte aktiviert und werden die Softwareversionen der Produkte regelmäßig auf Security-Schwachstellen geprüft?
  • Wer im Unternehmen ist für die Sicherheit der IoT-/OT-Systeme verantwortlich?
  • Besitzen die Verantwortlichen für diese Systeme aus z. B. Produktion, Logistik und Gebäudetechnik sicherheitstechnisches Know-how und Security-Awareness?

 

Noch ein wichtiger Aspekt: Die Sicherung der IoT-Systeme eines Unternehmens ist keine einmalige Aufgabe. Die Technologien rund um IoT und OT entwickeln sich rasant weiter und die IT-Sicherheit muss darauf flexibel reagieren können. Wichtig ist, dass IoT fest in der unternehmensweiten Cyber-Defense-Strategie verankert ist.

 

Handbuch IoT, Dr. Ralf Magagnoli, 11.2018
Creative Commons-Lizenz: https://creativecommons.org/licenses/by-sa/3.0/de/

 

apps grc software tool

 

IoT – Internet of Things


Intelligente Vernetzung erfordert intelligente Sicherheitskonzepte

 

Die neuen Möglichkeiten, die IoT eröffnet, erfordern in Sachen Informationssicherheit eine besonders konsequente Haltung und innovative Lösungsansätze. Vertrauen Sie deshalb auf das Know-how unserer erfahrenen Spezialisten. Sie beraten und unterstützen Sie in allen Sicherheitsfragen rund um IoT und darüber hinaus.

 

Kontaktieren Sie uns online (infosec@infosec.ch) oder telefonisch (+41 41 984 12 12) für ein kostenloses Erstgespräch.

 

Mehr
Hinweis zur Verwendung von Cookies
Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Sie können die Verwendung von Cookies annehmen oder ablehnen. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung