Technische und organisatorische Maßnahmen: Unterschied zwischen den Versionen

Aus Datenschutz-Wiki
Wechseln zu: Navigation, Suche
K (tippo)
 
(33 dazwischenliegende Versionen von 11 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
Gemäß [http://www.gesetze-im-internet.de/bdsg_1990/__9.html| §9 BDSG]sind alle Stellen, welche [[personenbezogenes Datum| personenbezogene Daten]] [[verarbeiten]], [[erheben]] oder [[nutzen]] verpflichtet,
+
Gemäß {{bdsgl|9}} [[Bundesdatenschutzgesetz]] (BDSG) sind alle Stellen, welche [[personenbezogene Daten]] [[verarbeiten]], [[erheben]] oder [[nutzen]] verpflichtet,
technische und/oder organisatorische Maßnahmen (TOMs) zu treffen um zu gewährleisten, dass die Sicherheits- und Schutzanforderungen des BDSG erfüllt sind. Die Spezifizierung dieser Anforderungen ergibt sich aus der [http://www.gesetze-im-internet.de/bdsg_1990/anlage_79.html| Anlage zu §9 BDSG].
+
technische und/oder organisatorische Maßnahmen (kurz: TOM) zu treffen um zu gewährleisten, dass die Sicherheits- und Schutzanforderungen des BDSG erfüllt sind. Die Spezifizierung dieser Anforderungen ergibt sich aus der [[9_Satz1_Anlage|Anlage (zu § 9 Satz 1)]] BDSG.
 +
 
  
 
== Abgrenzung technisch und organisatorisch ==
 
== Abgrenzung technisch und organisatorisch ==
Zeile 9: Zeile 10:
 
* bauliche Maßnahmen allgemein
 
* bauliche Maßnahmen allgemein
 
* Alarmanlagen jeglicher Art
 
* Alarmanlagen jeglicher Art
 
  
 
oder Maßnahmen die in Soft- und Hardware umgesetzt werden,
 
oder Maßnahmen die in Soft- und Hardware umgesetzt werden,
Zeile 18: Zeile 18:
 
* Logging (Protokolldateien)
 
* Logging (Protokolldateien)
 
* biometrische Benutzeridentifikation
 
* biometrische Benutzeridentifikation
 
  
 
Als '''organisatorische Maßnahmen''' sind solche Schutzversuche zu verstehen die  
 
Als '''organisatorische Maßnahmen''' sind solche Schutzversuche zu verstehen die  
Zeile 29: Zeile 28:
  
  
== TOMs gemäß Anlage zu §9 BDSG ==
+
Checklisten, die als Hilfsmittel für eine Einschätzung und Prüfung der erforderlichen Maßnahmen herangezogen werden können, sind unter [[Checkliste Technische und organisatorische Maßnahmen]] zu finden.
  
Die Anlage zu §9 BDSG gibt vor, in welchen Kategorien Schutzmaßnahmen sichergestellt sein müssen.
+
== TOM gemäß Anlage zu {{bdsg|9}} BDSG ==
 +
 
 +
Die Anlage zu gibt vor, in welchen Kategorien Schutzmaßnahmen sichergestellt sein müssen.
 +
Nachfolgend werden die einzelnen Anforderungen nebst Beispielen beschrieben.
  
 
=== Zutrittskontrolle  ===
 
=== Zutrittskontrolle  ===
Zeile 47: Zeile 49:
 
** Sicherheitsverglasung
 
** Sicherheitsverglasung
 
** Alarmanlagen
 
** Alarmanlagen
 
  
 
=== Zugangskontrolle ===
 
=== Zugangskontrolle ===
Gemeint sind Maßnahmen um zu verhindern, dass Datenverarbeitungsanlagen von Unbefugten benutzt werden können.
+
Gemeint sind Maßnahmen um zu verhindern, dass Datenverarbeitungsanlagen von Unbefugten benutzt werden können, wobei allerdings das Wort "nutzen" sich nicht auf die Legaldefinition des {{bdsgl|3|5}} BDSG beschränkt.
  
* Zugang zu Rechnern/Systemen
+
* Zugang zu Rechnern/Systemen (Authentifizierung)
 
** Benutzerkennung mit Passwort
 
** Benutzerkennung mit Passwort
 
** biometrische Benutzeridentifikation  
 
** biometrische Benutzeridentifikation  
 
** Firewall
 
** Firewall
 
+
** zertifikatsbasierte Zugangsberechtigung
  
 
=== Zugriffskontrolle ===
 
=== Zugriffskontrolle ===
Es muss gewährleistet werden, dass die zur Benutzung von DV-Anlagen berechtigten Nutzer ausschließlich auf Inhalte Zugreifen können für welche sie berechtigt sind '''und''' das personenbezogene Daten bei der Verarbeitung und Nutzung und nach dem Speichern nicht unbefugt kopiert, verändert oder gelöscht werden können.
+
Es muss gewährleistet werden, dass die zur Benutzung von DV-Anlagen berechtigten Nutzer ausschließlich auf Inhalte zugreifen können für welche sie berechtigt sind '''und''' das personenbezogene Daten bei der Verarbeitung und Nutzung und nach dem [[Speichern]] nicht unbefugt kopiert, verändert oder [[löschen|gelöscht]] werden können.
  
 
* Berechtigungskonzept
 
* Berechtigungskonzept
 
* Benutzerkennung mit Passwort
 
* Benutzerkennung mit Passwort
* gesicherte Schnittstellen (USB, Firewire, Netzwerk, etc.)
+
* gesicherte Schnittstellen (USB, Firewire, Netzwerk etc.)
 
* Datenträgerverwaltung
 
* Datenträgerverwaltung
 
+
* zertifikatsbasierte Zugriffsberechtigung
  
 
=== Weitergabekontrolle ===
 
=== Weitergabekontrolle ===
  
Es muss verhindert werden, dass personenbezogenen Daten bei der elektronischen Übertragun oder beim Transport oder bei der Speicherung auf Datenträgern unbefugt gelesen, kopiert, verändert oder gelöscht werden können und das festgestellt werden kann an welchen Stellen eine Übermittlung solcher Daten im DV-System vorgesehen ist.
+
Es muss verhindert werden, dass personenbezogenen Daten bei der elektronischen Übertragung, beim Transport oder bei der Speicherung auf Datenträgern unbefugt gelesen, kopiert, verändert oder gelöscht werden können und dass festgestellt werden kann, an welchen Stellen eine Übermittlung solcher Daten im DV-System vorgesehen ist.
  
 
* Sicherung bei der elektronischen Übertragung
 
* Sicherung bei der elektronischen Übertragung
** Verschlüsselung
+
** [http://de.wikipedia.org/wiki/Verschlüsselung Verschlüsselung]
** VPN
+
** [http://de.wikipedia.org/wiki/Virtual_Private_Network VPN]
** Firewall
+
** [http://de.wikipedia.org/wiki/Firewall Firewall]
** Fax-Protokoll
+
** [http://de.wikipedia.org/wiki/Fax#Fax-Protokoll Fax-Protokoll]
  
 
* Sicherung beim Transport
 
* Sicherung beim Transport
Zeile 84: Zeile 85:
 
** Verfahrensverzeichnis
 
** Verfahrensverzeichnis
 
** Protokollierungsmaßnahmen
 
** Protokollierungsmaßnahmen
 
  
 
=== Eingabekontrolle ===
 
=== Eingabekontrolle ===
Zeile 91: Zeile 91:
 
* Protokollierung
 
* Protokollierung
 
* Benutzeridentifikation
 
* Benutzeridentifikation
 
  
 
=== Auftragskontrolle ===
 
=== Auftragskontrolle ===
Es muss sichergestellt werden, dass personenbezogene Daten die im Auftrag verarbeitet werden, gemäß den Weisungen des Auftraggebers verarbheitet werden.
+
Es muss sichergestellt werden, dass personenbezogene Daten, die [[Auftragsdatenverarbeitung|im Auftrag verarbeitet]] werden, gemäß den Weisungen des Auftraggebers verarbeitet werden.
  
 
* Weisungsbefugnisse festlegen
 
* Weisungsbefugnisse festlegen
* Vor-Ort Kontrollen
+
* Vor-Ort-Kontrollen
* Datenschutzvertrag gemäß den Vorgaben nach §11 BDSG
+
* Datenschutzvertrag gemäß den Vorgaben nach {{bdsgl|11}} BDSG
 
* Stichprobenprüfung
 
* Stichprobenprüfung
 
* Kontrollrechte
 
* Kontrollrechte
 
  
 
=== Verfügbarkeitskontrolle ===
 
=== Verfügbarkeitskontrolle ===
Zeile 114: Zeile 112:
 
* Virenschutzkonzept
 
* Virenschutzkonzept
 
* Schutz vor Diebstahl
 
* Schutz vor Diebstahl
 
  
 
=== Trennungsgebot ===
 
=== Trennungsgebot ===
Es ist sicher zu Stellen, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden getrennt verarbeitet werden können.
+
Es ist sicher zu Stellen, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden können.
  
 
* Trennung von Produktiv- und Testsystemen
 
* Trennung von Produktiv- und Testsystemen
Zeile 124: Zeile 121:
 
* getrennte Datenbanken
 
* getrennte Datenbanken
  
 +
Insbesondere sind allgemein Verschlüsselungsverfahren nach aktuellem Stand der Technik zu berücksichtigen.
 +
 +
== Prinzip der Verhältnismäßigkeit ==
 +
 +
Das BDSG schränkt sich in den zu treffenden Schutzmaßnahmen selbst ein. Für TOM gilt ein [[Verhältnismäßigkeit]]sprinzip. Demnach müssen personenbezogene Daten nicht unendlich stark geschützt werden, wenn die Maßnahmen dafür wirtschaftlich unangemessen hoch ausfallen würden. Daraus lässt sich ableiten, dass bei einer Auftragsdatenverarbeitung (ADV) der Dienstleister, welcher nur einen Teil der Daten zur Bearbeitung erhält, nicht zwingend die gleichen Schutzmaßnahmen treffen muss, wie sie etwa die verantwortliche Stelle ausführt.
  
Insbesondere sind allgemein Verschlüsselungsverfahren nach aktuellem Stand der Technik zu berücksichtigen.
+
Beispiel:
 +
Der EDV-Dienstleister einer Bank kann (aus wirtschaftlicher Sicht) nicht die gleichen Sicherheitsmaßnahmen gewährleisten wie die Bank selbst. Da er in aller Regel nur auf einen Teilbereich der Daten Zugriff hat (oder zur Verfügung), ist dies gesetzlich auch nicht geboten, selbst wenn die Daten als sensibel zu betrachten sind (Kontonummern, Kredikartenumsätze).
  
 
== Kritik ==
 
== Kritik ==
  
Aus der IT-Sicherheit besteht Kritik an den Formulierungen in der Anlage zu §9 BDSG diesbezüglich, dass die genannten Schutzzwecke mit den "drei Säulen der IT-Sicherheit" (Verfügbarkeit, Vertraulichkeit, Integrität) übereinstimmen aber unnötig auseinander gerissen werden.
+
Aus der IT-Sicherheit besteht Kritik an den Formulierungen in der Anlage zu {{bdsg|9}} BDSG diesbezüglich, dass die genannten Schutzzwecke mit den "drei Säulen der IT-Sicherheit" (Verfügbarkeit, Vertraulichkeit, Integrität) übereinstimmen, aber unnötig auseinander gerissen werden. Dadurch wird die gemeinsame Sprache zwischen IT-Sicherheitsverantwortlichen und Datenschutzbeauftragten zersplittert.
Dadurch wird die gemeinsame Sprache zwischen IT-Sicherheitsverantwortlichen und Datenschutzbeauftragten zersplittert.
 
  
  
== Literaturhinweise ==
+
== Literaturhinweis ==
  
 
1. Technisch-organisatorischer Datenschutz - Leitfaden für Praktiker - von Peter Münch (ISBN 978-89577-487-4)
 
1. Technisch-organisatorischer Datenschutz - Leitfaden für Praktiker - von Peter Münch (ISBN 978-89577-487-4)
  
== Links ==
+
[[Kategorie:Themen]]<noinclude>
[http://www.demal-gmbh.de/datenschutz/info/glossar/technisch-organisatorische-massnahmen.htm| demal GmbH]
+
{{BfDI-Content}}</noinclude>

Aktuelle Version vom 11. September 2018, 10:40 Uhr

Gemäß § 9 Bundesdatenschutzgesetz (BDSG) sind alle Stellen, welche personenbezogene Daten verarbeiten, erheben oder nutzen verpflichtet, technische und/oder organisatorische Maßnahmen (kurz: TOM) zu treffen um zu gewährleisten, dass die Sicherheits- und Schutzanforderungen des BDSG erfüllt sind. Die Spezifizierung dieser Anforderungen ergibt sich aus der Anlage (zu § 9 Satz 1) BDSG.


Abgrenzung technisch und organisatorisch

Unter technischen Maßnahmen sind alle Schutzversuche zu verstehen, die im weitesten Sinne physisch umsetzbar sind, wie etwa

  • Umzäunung des Geländes
  • Sicherung von Türen und Fenstern
  • bauliche Maßnahmen allgemein
  • Alarmanlagen jeglicher Art

oder Maßnahmen die in Soft- und Hardware umgesetzt werden, wie etwa

  • Benutzerkonto
  • Passworterzwingung
  • Logging (Protokolldateien)
  • biometrische Benutzeridentifikation

Als organisatorische Maßnahmen sind solche Schutzversuche zu verstehen die durch Handlungsanweisung, Verfahrens- und Vorgehensweisen umgesetzt werden. Beispiele hierfür sind

  • Besucheranmeldung
  • Arbeitsanweisung zum Umgang mit fehlerhaften Druckerzeugnissen
  • Vier-Augen-Prinzip
  • festgelegte Intervalle zur Stichprobenprüfungen


Checklisten, die als Hilfsmittel für eine Einschätzung und Prüfung der erforderlichen Maßnahmen herangezogen werden können, sind unter Checkliste Technische und organisatorische Maßnahmen zu finden.

TOM gemäß Anlage zu § 9 BDSG

Die Anlage zu gibt vor, in welchen Kategorien Schutzmaßnahmen sichergestellt sein müssen. Nachfolgend werden die einzelnen Anforderungen nebst Beispielen beschrieben.

Zutrittskontrolle

Gemeint sind Maßnahmen um zu verhindern, dass Unbefugte Zutritt (räumlich zu verstehen) zu Datenverarbeitungsanlagen erhalten, mit welchen personenbezogene Daten verarbeitet werden.

  • Gebäudesicherung
    • Zäune
    • Pforte
    • Videoüberwachung
  • Sicherung der Räume
    • Sicherheitsschlösser
    • Chipkartenleser
    • Codeschlösser
    • Sicherheitsverglasung
    • Alarmanlagen

Zugangskontrolle

Gemeint sind Maßnahmen um zu verhindern, dass Datenverarbeitungsanlagen von Unbefugten benutzt werden können, wobei allerdings das Wort "nutzen" sich nicht auf die Legaldefinition des § 3 Abs. 5 BDSG beschränkt.

  • Zugang zu Rechnern/Systemen (Authentifizierung)
    • Benutzerkennung mit Passwort
    • biometrische Benutzeridentifikation
    • Firewall
    • zertifikatsbasierte Zugangsberechtigung

Zugriffskontrolle

Es muss gewährleistet werden, dass die zur Benutzung von DV-Anlagen berechtigten Nutzer ausschließlich auf Inhalte zugreifen können für welche sie berechtigt sind und das personenbezogene Daten bei der Verarbeitung und Nutzung und nach dem Speichern nicht unbefugt kopiert, verändert oder gelöscht werden können.

  • Berechtigungskonzept
  • Benutzerkennung mit Passwort
  • gesicherte Schnittstellen (USB, Firewire, Netzwerk etc.)
  • Datenträgerverwaltung
  • zertifikatsbasierte Zugriffsberechtigung

Weitergabekontrolle

Es muss verhindert werden, dass personenbezogenen Daten bei der elektronischen Übertragung, beim Transport oder bei der Speicherung auf Datenträgern unbefugt gelesen, kopiert, verändert oder gelöscht werden können und dass festgestellt werden kann, an welchen Stellen eine Übermittlung solcher Daten im DV-System vorgesehen ist.

  • Sicherung beim Transport
    • Verschlossene Behälter
    • Verschlüsselung
  • Sicherung bei der Übermittlung
    • Verfahrensverzeichnis
    • Protokollierungsmaßnahmen

Eingabekontrolle

Es muss sichergestellt werden, dass nachträglich überprüft werden kann ob und von wem personenbezogene Daten eingegeben, verändert oder gelöscht worden sind.

  • Protokollierung
  • Benutzeridentifikation

Auftragskontrolle

Es muss sichergestellt werden, dass personenbezogene Daten, die im Auftrag verarbeitet werden, gemäß den Weisungen des Auftraggebers verarbeitet werden.

  • Weisungsbefugnisse festlegen
  • Vor-Ort-Kontrollen
  • Datenschutzvertrag gemäß den Vorgaben nach § 11 BDSG
  • Stichprobenprüfung
  • Kontrollrechte

Verfügbarkeitskontrolle

Es muss sichergestellt werden, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt werden.

  • Brandschutzmaßnahmen
  • Überspannungsschutz
  • Unterbrechungsfreie Stromversorgung
  • Klimaanlage
  • RAID (Festplattenspiegelung)
  • Backupkonzept
  • Virenschutzkonzept
  • Schutz vor Diebstahl

Trennungsgebot

Es ist sicher zu Stellen, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden können.

  • Trennung von Produktiv- und Testsystemen
  • getrennte Ordnerstrukturen (Auftragsdatenverarbeitung)
  • separate Tables innerhalb von Datenbanken
  • getrennte Datenbanken

Insbesondere sind allgemein Verschlüsselungsverfahren nach aktuellem Stand der Technik zu berücksichtigen.

Prinzip der Verhältnismäßigkeit

Das BDSG schränkt sich in den zu treffenden Schutzmaßnahmen selbst ein. Für TOM gilt ein Verhältnismäßigkeitsprinzip. Demnach müssen personenbezogene Daten nicht unendlich stark geschützt werden, wenn die Maßnahmen dafür wirtschaftlich unangemessen hoch ausfallen würden. Daraus lässt sich ableiten, dass bei einer Auftragsdatenverarbeitung (ADV) der Dienstleister, welcher nur einen Teil der Daten zur Bearbeitung erhält, nicht zwingend die gleichen Schutzmaßnahmen treffen muss, wie sie etwa die verantwortliche Stelle ausführt.

Beispiel: Der EDV-Dienstleister einer Bank kann (aus wirtschaftlicher Sicht) nicht die gleichen Sicherheitsmaßnahmen gewährleisten wie die Bank selbst. Da er in aller Regel nur auf einen Teilbereich der Daten Zugriff hat (oder zur Verfügung), ist dies gesetzlich auch nicht geboten, selbst wenn die Daten als sensibel zu betrachten sind (Kontonummern, Kredikartenumsätze).

Kritik

Aus der IT-Sicherheit besteht Kritik an den Formulierungen in der Anlage zu § 9 BDSG diesbezüglich, dass die genannten Schutzzwecke mit den "drei Säulen der IT-Sicherheit" (Verfügbarkeit, Vertraulichkeit, Integrität) übereinstimmen, aber unnötig auseinander gerissen werden. Dadurch wird die gemeinsame Sprache zwischen IT-Sicherheitsverantwortlichen und Datenschutzbeauftragten zersplittert.


Literaturhinweis

1. Technisch-organisatorischer Datenschutz - Leitfaden für Praktiker - von Peter Münch (ISBN 978-89577-487-4)


Dieser Text wurde aus dem Datenschutz-Wiki der BfDI übernommen. Bearbeitungen vor dem 16.April 2016 stehen unter der Lizenz Creative Commons Namensnennung 3.0 Deutschland.