Datenschutz und Technik III Schutzziele und technisch-organisatorische Maßnahmen Vorlesung am

Transkript

1 Datenschutz und Technik III Schutzziele und technisch-organisatorische Maßnahmen Vorlesung am Christian Prietz Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, Kiel CAU 2014: Datenschutz und Technik III 1

2 Fragen zur Vorlesung vom Welche Kriterien kennen Sie, um Risiken zu bewerten? CAU 2014: Datenschutz und Technik III 2

3 Risikobewertung Grundlegende Fragen des Risikomanagements: 1. Was kann passieren? (threat event) 2. Wenn es passiert: Wie schlimm kann es werden (threat impact)? 3. Wie häufig kann es passieren? (threat frequency, annualized)? 4. Wie verlässlich sind die Antworten auf diese Fragen? CAU 2014: Datenschutz und Technik III 3

4 Fragen zur Vorlesung vom Welche Arten kennen Sie, um mit einem identifizierten Risiko umzugehen? CAU 2014: Datenschutz und Technik III 4

5 Umgang mit bewerteten Risiken Risiko aus dem Weg gehen (avoid) Risiko eingehen (accept) Etwas tun, um die Risiken auf ein akzeptables Maß zu reduzieren (risk mitigation or risk reduction) Riskoverlagerung (z. B. Versicherung) (transfer) Aspekte für Entscheidung: Kosten-Nutzen-Analyse Vorschriften/Verträge/Policies CAU 2014: Datenschutz und Technik III 5

6 Fragen zur Vorlesung vom Welche IT-Sicherheitsstandards kennen Sie? CAU 2014: Datenschutz und Technik III 6

7 IT (Sicherheits-) Standards COBIT ITIL ISO ISO 27002/17799 BSI / IT Grundschutz Common Criteria (ISO 15408) FIPS-140 CAU 2014: Datenschutz und Technik III 7

8 Datenschutz und Technik III Schutzziele und technisch-organisatorische Maßnahmen CAU 2014: Datenschutz und Technik III 8

9 Die 7 goldenen Regeln des Datenschutzes CAU 2014: Datenschutz und Technik III 9

10 1. Rechtmäßigkeit Die 7 Regeln des Datenschutzes Für jede Verarbeitung personenbezogener Daten ist eine rechtliche Grundlage nötig z.b. Gesetz, Vertrag, Einwilligung 2. Einwilligung Einwilligung: Der Betroffene wurde umfassend informiert und hat freiwillig eingewilligt 3. Zweckbindung Personenbezogene Daten dürfen nur für den Zweck verarbeitet werden für den sie erhoben wurden 4. Erforderlichkeit und Datensparsamkeit Es dürfen nur die personenbezogenen Daten verwendet werden, die für den jeweiligen Verarbeitungszweck erforderlich sind Sie müssen gelöscht werden, sobald sie nicht mehr erforderlich sind CAU 2014: Datenschutz und Technik III 10

11 Die 7 Regeln des Datenschutzes 5. Transparenz und Betroffenenrechte Die Erhebung und Verarbeitung personenbezogener Daten muss gegenüber Betroffenen transparent sein Betroffene haben das Recht auf Auskunft und Berichtigung sowie (eingeschränkt) auf Sperrung und Löschung 6. Datensicherheit Unberechtigte Zugriffe müssen durch technische und organisatorische Maßnahmen ausgeschlossen werden 7. Kontrolle Die Datenverarbeitung muss einer internen und externen Kontrolle unterliegen. CAU 2014: Datenschutz und Technik III 11

12 Materielles Datenverarbeitungsrecht (1) Grundsatz: Die Verarbeitung personenbezogener Daten ist ohne eine Legitimation unzulässig. Beispiele für materielles Datenverarbeitungsrecht: 28 Abs. 1: Zur Abwicklung von Verträgen 40 BDSG Datenverarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen 83 Betriebsverfassungsgesetz (Einsicht in Personalakten) CAU 2014: Datenschutz und Technik III 12

13 Materielles Datenverarbeitungsrecht (2) Im BDSG gibt relativ wenig konkrete Rechtsvorschriften zur Datensicherheit, die unmittelbare Beschreibungen enthalten (materielles Recht). Datensicherheitsrecht leitet sich im BDSG hauptsächlich aus dem 9 und der Anlage zu 9 ab. CAU 2014: Datenschutz und Technik III 13

14 Datensicherheit: Datensicherheit und Datenschutz Grundlage des Datenschutzes Schutz der Daten und ihrer Verarbeitung vor unberechtigten Zugriffen und/oder Zerstörung oder anderen Beeinträchtigungen Datenschutz: Schutz der Menschen vor Missbrauch ihrer personenbezogenen Daten Kontrolle des Einzelnen über seine personenbezogenen Daten CAU 2014: Datenschutz und Technik III 14

15 Datensicherheit Wie wird das Thema Datensicherheit angegangen? CAU 2014: Datenschutz und Technik III 15

16 Schutzziele Abstrakte Formulierung von Anforderungen an technische und organisatorische Systeme Bieten Maßstäbe zur Entwicklung technischer und organisatorischer Infrastrukturen Bestandteil von Gesetzen und Verträgen Sind Grundlage für entsprechende Schutzmaßnahmen (Redundanz, Verschlüsselung etc.) erzeugen (mittels der ausgewiesenen Maßnahmen) Kontrollfähigkeit von Organisationen und Testbarkeit von Funktionen CAU 2014: Datenschutz und Technik III 16

17 Schutzziele Technische Schutzziele CIA Vertraulichkeit (Confidentiality) Integrität (Integrity) Verfügbarkeit (Availability) Authentizität * Zurechenbarkeit * Revisionsfähigkeit * * nicht Prüfungsrelevant CAU 2014: Datenschutz und Technik III 17

18 Vertraulichkeit (Confidentiality) Vertraulichkeit: Informationen dürfen nur Berechtigten bekannt werden. Maßnahmen zur Sicherung der Vertraulichkeit: Verschlüsselung (Kryptographie, PGP) Verstecken von Informationen (Steganographie) Verhindern des Zugriffs auf Daten (Zugriffskontrolle) Sicheres Löschen/Entsorgungskonzept Es geht also um die Frage: Wer darf welche Daten lesen und von ihnen Kenntnis erlangen und unter welchen Voraussetzungen? CAU 2014: Datenschutz und Technik III 18

19 Kryptographische Mechanismen, um Kommunikationsinhalte zu schützen Verschlüsselung Ziel: Vertraulichkeit und/oder Authentizität Folie von Andreas Pfitzmann CAU 2014: Datenschutz und Technik III 19

20 Steganographische Mechanismen, um Kommunikationsinhalte zu schützen Steganographie Ziel: Vertraulichkeit der Vertraulichkeit Folie von Andreas Pfitzmann CAU 2014: Datenschutz und Technik III 20

21 Integrität (Integrity) Integrität: Informationen sind richtig, vollständig oder aber dies ist erkennbar nicht der Fall. Maßnahmen zur Sicherung der Integrität: Digitale Signaturen Hashwertbildung Protokollierung Es geht also um die Frage: Wer darf welche Daten bzw. IT Systeme ändern und unter welchen Bedingungen? CAU 2014: Datenschutz und Technik III 21

22 Verfügbarkeit (Availability) Verfügbarkeit: Informationen sind zugänglich, wann und wo sie von Berechtigten gebraucht werden. Maßnahmen zur Sicherung der Verfügbarkeit: Redundanz Backups Vermeiden von Single Points of Failure (durch Redundanz oder Diversität) CAU 2014: Datenschutz und Technik III 22

23 Nicht prüfungsrelevant Authentizität weitere technische Schutzziele Möglichkeit der Überprüfung von Echtheit und Glaubwürdigkeit einer/s Person/Dienstes müssen gegeben sein (d.h. Daten können u.a. ihrem Ursprung zugeordnet werden) Byzantine Generals Maßnahme: digitale Signaturen Zurechenbarkeit Eine Aktion kann einem Kommunikationspartner eindeutig zugeordnet werden Maßnahme: digitale Signaturen CAU 2014: Datenschutz und Technik III 23

24 Nicht prüfungsrelevant Revisionsfähigkeit weitere technische Schutzziele Feststellbarkeit, wer wann welche Daten in welcher Weise erhoben, verarbeitet oder genutzt hat (Beispiele: 6 LDSG-Sachsen-Anhalt, 21 LDSG M-V, 10 LDSG-NRW) CAU 2014: Datenschutz und Technik III 24

25 Datenschutz Wie wird das Thema Datenschutz angegangen? CAU 2014: Datenschutz und Technik III 25

26 Ähnlich wie in der IT Sicherheit Datenschutz Schutzziele Schutzziele zur Definition konkreter Anforderungen im Hinblick auf Datenschutzbelange und notwendige Maßnahmen Intervenierbarkeit Transparenz Nicht-Verkettbarkeit CAU 2014: Datenschutz und Technik III 26

27 Schutzziele 5 Abs. 1 LDSG SH Seit Januar 2012 sind Vertraulichkeit, Integrität, Verfügbarkeit, Intervenierbarkeit, Transparenz und Nicht- Verkettbarkeit aufgenommen im LDSG-SH 5 Abs.1 Nr. 1-6 Die Ausführung der Vorschriften dieses Gesetzes sowie anderer Vorschriften über den Datenschutz im Sinne von 3 Abs. 3 ist durch technische und organisatorische Maßnahmen sicherzustellen, die nach dem Stand der Technik und der Schutzbedürftigkeit der Daten erforderlich und angemessen sind. Sie müssen gewährleisten, dass CAU 2014: Datenschutz und Technik III 27

28 Schutzziele 1. Verfahren und Daten zeitgerecht zur Verfügung stehen und ordnungsgemäß angewendet werden können (Verfügbarkeit), 2. Daten unversehrt, vollständig, zurechenbar und aktuell bleiben (Integrität), 3. nur befugt auf Verfahren und Daten zugegriffen werden kann (Vertraulichkeit), 4. die Verarbeitung von personenbezogenen Daten mit zumutbarem Aufwand nachvollzogen, überprüft und bewertet werden kann (Transparenz), 5. personenbezogene Daten nicht oder nur mit unverhältnismäßig hohem Aufwand für einen anderen als den ausgewiesenen Zweck erhoben, verarbeitet und genutzt werden können (Nicht-Verkettbarkeit) und 6. Verfahren so gestaltet werden, dass sie den Betroffenen die Ausübung der ihnen zustehenden Rechte nach den 26 bis 30 wirksam ermöglichen (Intervenierbarkeit). CAU 2014: Datenschutz und Technik III 28

29 Schutzziele 5 LDSG SH enthält also neben den aus der IT Sicherheit bekannten Schutzziele auch Schutzziele für Datenschutz Beschreiben konkrete Anforderungen im Hinblick auf Datenschutzbelange Diese Anforderungen sind dann durch entsprechende Maßnahmen umzusetzen Im Gegensatz zu Schutzzielen der IT Sicherheit nicht ausschließlich technisch umsetzbar/erreichbar Oftmals sind organisatorische Maßnahmen (flankierend) notwendig Bsp.: Transparenz der DV -> bspw. Protokollierung und geeignete Informationen über die DV CAU 2014: Datenschutz und Technik III 29

30 Security vs. Safety CAU 2014: Datenschutz und Technik III 30

31 Sicherheit = Security und Safety Gesamtsicherheit eines Systems ist abhängig von Security und Safety Beispiel: Bedrohungen der Verfügbarkeit Security: Schutz vor zielgerichteten und böswilligen Angriffen von innen und außen. (DDOS-Angriff, Spam etc.) Safety: Schutz vor technischem und/oder menschlichem Versagen. (Systemausfälle, Leitungsausfälle, Verschleiß, Bedienungsfehler,...) CAU 2014: Datenschutz und Technik III 31

32 Bedrohungen der Verfügbarkeit Beispiele: Blockade der CPU durch Java-Applets (z.b. durch Endlosschleifen) Überschwemmen des Netzes mit E- Mails (SPAM) DDOS (Distributed Denial of Service) Security- Bedrohungen Hardware-Versagen (z.b. Festplatte) Stromausfall (Netzteil, Kühlung) Wasserschaden Safety- Bedrohungen CAU 2014: Datenschutz und Technik III 32

33 Gesetzliche Anforderungen CAU 2014: Datenschutz und Technik III 33

34 Welche Gesetz sind einschlägig? EU-Recht EU-Datenschutzrichtlinie (95/46/EG), e-privacy-richtlinie (2002/58/EG) Nationale Gesetze Allgemeine Gesetze Bundesdatenschutzgesetz, Landesdatenschutzgesetze Spezielle Gesetze (z.b. sektorspezifisch) Telekommunikationsgesetz (TKG) Telemediengesetz (TMG) Sozialgesetzbuch (SGB) CAU 2014: Datenschutz und Technik III 34

35 Technischer Datenschutz / Systemdatenschutz Der Begriff technischer Datenschutz / Systemdatenschutz umfasst alle Vorkehrungen und Instrumente, d. h. alle technisch-organisatorischen Maßnahmen zur Gewährleistung der Datensicherheit und zum Schutz der personenbezogenen Daten. Er dient dem Schutz auf informationelle Selbstbestimmung und umfasst auch die technisch-organisatorische Umsetzung der Prinzipien von Datenvermeidung und Datensparsamkeit. CAU 2014: Datenschutz und Technik III 35

36 Technische und organisatorische Maßnahmen 9 BDSG Technische und organisatorische Maßnahmen Öffentliche und nichtöffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten. Erforderlich sind Maßnahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. CAU 2014: Datenschutz und Technik III 36

37 Technische und organisatorische Maßnahmen Anlage (zu 9 Satz 1 BDSG) Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind, 1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle), Maßnahmenbeispiele Chipkartensysteme Biometrische Zutrittskontrollsysteme Besuchermanagement Schlüssel, Zäune etc. CAU 2014: Datenschutz und Technik III 37

38 Technische und organisatorische Maßnahmen 2. zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle), Maßnahmenbeispiele Kennwortgeschützte IT Systeme Biometrische Systeme Entsorgungsprozess Firewalls CAU 2014: Datenschutz und Technik III 38

39 Technische und organisatorische Maßnahmen 3. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle), Maßnahmenbeispiele Berechtigungssystem (logische Zugriffskontrolle) Schlüssel, Zäune etc. (physikalische Zugriffskontrolle) CAU 2014: Datenschutz und Technik III 39

40 Technische und organisatorische Maßnahmen 4. zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle), Maßnahmenbeispiele Verschlüsselung Protokollierung CAU 2014: Datenschutz und Technik III 40

41 Technische und organisatorische Maßnahmen 5. zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle), Maßnahmenbeispiele Protokollierung Zeitlich und personell gebundene Zugriffsrechte CAU 2014: Datenschutz und Technik III 41

42 Technische und organisatorische Maßnahmen 6. zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle), Maßnahmenbeispiele Verträge Vorortkontrollen/Audits CAU 2014: Datenschutz und Technik III 42

43 Technische und organisatorische Maßnahmen 7. zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle), Maßnahmenbeispiele Redundanz Backups Wartung Patch- und Updatemanagement CAU 2014: Datenschutz und Technik III 43

44 Technische und organisatorische Maßnahmen 8. zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Maßnahmenbeispiele Keine abteilungsübergreifende Datennutzung rollenbasierte Zugriffsberechtigungen CAU 2014: Datenschutz und Technik III 44

45 Weitere technische und organisatorische Maßnahmen Datenschutzfreundliche Prozessmodellierung Klare Rollen- und Stellenkonzepte Umfassende und klare Dokumentation Löschen Fragen: Wie muß ein solcher Löschvorgang ausgestaltet sein? Stichwort: sauberes Löschen Was ist sauberes Löschen und wie kann es realisiert werden? Test und Freigabe Sicherheits- und Risikoanalysen Regelmäßige Checks relevanter Systeme CAU 2014: Datenschutz und Technik III 45

46 Allgemeine Datenschutzanforderungen nach 3a BDSG Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Gestaltung und Auswahl von Datenverarbeitungssystemen haben sich an dem Ziel auszurichten, keine oder so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert. CAU 2014: Datenschutz und Technik III 46

47 Beispiele: Allgemeine Datenschutzanforderungen nach 3a BDSG Prepaid-Verfahren, Protokolldateien, medizinische Forschung, Biobanken, IP-Adressen (Beispiele: Targeting, Suchmaschinen). CAU 2014: Datenschutz und Technik III 47

48 Zusammenfassung Recht auf informationelle Selbstbestimmung ist wichtiges Gut (Datenschutz = Grundrechtsschutz) Schutzziele als Grundlage für technisch-organisatorische Maßnahmen und deren Bewertung Es existieren eine Vielzahl von technischen und organisatorischen Maßnahmen Abstrakte Darstellung in der Anlage zu 9 BDSG Konkrete Ausgestaltung (Maßnahmen) notwendig CAU 2014: Datenschutz und Technik III 48

49 Vielen Dank CAU 2014: Datenschutz und Technik III 49

50 Quellen- und Herkunftsnachweis Rost, Pfitzmann: Datenschutz-Schutzziele revisited, DuD 6/2009 Rost, Speck: Modellgestützte Validierung von WebService- Ketten, DuD 1/2008 Dieser Vortrag enthält darüber hinaus Folien von Andreas Pfitzmann (TU Dresden), Marit Hansen (ULD), Thomas Probst (ULD) und Martin Rost (ULD) CAU 2014: Datenschutz und Technik III 50