Was ist Informations- und Datensicherheit?

Durch das Internet hat sich unsere moderne Welt komplett verändert. Nun ist es so, dass man jederzeit und überall erreichbar ist, Informationen senden und Daten empfangen kann. Dies hat zu Folge, dass man selbst Datenspuren im Internet hinterlässt. Das kann zum Teil durchaus angenehm und wünschenswert sein, birgt jedoch auch Gefahren in sich.

Wir wollen nachfolgend unter Informationssicherheit alle Einrichtungen verstehen, die bei informationsverarbeitenden und vor Information beinhaltenden Systemen für Vertraulichkeit, Sicherheit im Sinne der Verfügbarkeit und Nachhaltigkeit sorgen. Dabei geht es nicht nur um die Abwehr von akuten Gefahren, um das Vermeiden von wirtschaftlichen Nachteilen oder um die Risikoreduzierung, sondern es geht auch darum, individuelle Vorstellungen der jeweiligen Nutzer bezüglich ihrer Daten umzusetzen.

Datensicherheit beinhaltet eine Vielzahl von einzelnen Aspekten, auf die wir gar nicht alle im Rahmen dieser Grundlagen-Einführung eingehen können. In der Regel ist Datensicherheit in ein so genanntes IT Sicherheitsmanagement eingegliedert. Dafür gibt es verschiedene Normen die entsprechend zu berücksichtigen sind.

Gemeinhin unterscheidet man bezüglich der IT Sicherheit zwei verschiedene Formen. Einerseits bezieht sich der Sicherheitsgedanke auf die Funktionalität eines Systems. Das bedeutet konkret, dass dass das System so funktioniert, wie es von den jeweiligen Nutzern beziehungsweise Herstellern erwartet wird.

Konkret soll damit eine nicht autorisierte Manipulation von Datenmaterials vermieden werden. Ebenfalls ist die Preisgabe von Daten in diesem Zusammenhang sofern nicht toleriert zu vermeiden. Dies ist der zweite Aspekt den man unter IT Sicherheit gemeinhin versteht.

Wir definieren im folgenden genauer drei verschiedene Ziele. die zum erreichen von Informations-sicherheit bedeutsam sind.

Zunächst einmal soll verhindert werden, dass Unberechtigte von außen es schaffen, ein informationstechnisches System zum Ausfall zu bringen. Der Ausfall muss sich dabei nicht auf den gesamten Systembereich beziehen, es kann schon ausreichend sein, dass einzelne Daten nicht abrufbar sind, wenn es entsprechend notwendig ist.

Als zweites ist die Integrität zu nennen. Darunter wollen wir verstehen, dass Daten nur dann einer Veränderung unterzogen werden dürfen, wenn dies von den entsprechenden Stellen autorisiert ist. Außerdem müssen entsprechende Änderungen nachvollziehbar sein. Das bedeutet auch, dass Sicherheitskopien anzulegen sind.

Einer der zentralstem Punkte bei der Datensicherheit ist die Vertraulichkeit. Nur diejenigen Benutzer dürfen auf Daten zugreifen, sie lesen oder sogar ändern, denen dies auch wirklich gestattet sein soll.

Daneben bestehen weitere Schutzziele, welche die Informationssicherheit kennt. Dazu zählt zunächst einmal die Zurechenbarkeit, man kann also eine Aktion eindeutig einer Person zu ordnen. Auch die Anonymität kann schützenswert sein, genau so die Überprüfbarkeit, Vertrauenswürdigkeit, und die Sicherstellung der Echtheit von Daten.

Zentral für die Umgehung von informationstechnischen Risiken ist die Absicherung des IT Systems. Diese Absicherung kann jedoch immer nur in einem ganz begrenzten Umfang erfolgen, da es in der Natur des Systems liegt, dass Benutzer Zugriff auf die dort vorhandenen Daten haben.

Das bedeutet, dass die Unternehmen entsprechende Risikovorsorgen treffen müssen, um das Risiko eines Angriffes von außen möglichst gering zu halten. Ein solches Risiko-Management beinhaltet zunächst einmal die Analyse der jeweils vorhandenen IT Systeme sowie der individuellen Schutzziele. Grundlegend hierfür sind entsprechende Standards, die die IT Sicherheit gewährleisten wollen.

Was ist die Grundidee hinter der Sicherheitsstrategie des Bundesamts für Sicherheit in der Informationstechnik?

Das Bundesamt für Sicherheit in der Informationstechnik hat eine Strategie entwickelt, die die unternehmensseitige Informationstechnik schützen soll. Dabei ist der Grundschutz so angelegt, dass das Schutzniveau einem mittleren, angemessenen und für die jeweiligen Ziele ausreichenden Niveau entspricht. Das bedeutet konkret, dass eine „nicht zu lachse“ und „nicht zu stringente“ Sicherheits-konzeption vorliegt. Beide Extreme wären entweder mit zu hohen Risiken oder mit zu hohen Kosten verbunden.

Das Konzept sieht verschiedene Stufen vor. Zunächst ist ein so genannter Informationsverbund zu definieren, danach schließt sich eine IT Struktur-Analyse an. Anschließend muss der jeweilige Schutzbedarf festgestellt werden und ein entsprechendes Modell hierzu abgeleitet werden. 

Das Bundesamt empfiehlt weiterhin einen Basis-Sicherheits-Check, und eventuell auch eine anschließende Risiko- und Sicherheitsanalyse. Diese Maßnahmen werden auf ihre Tauglichkeit hin überprüft und falls als tauglich eingestuft entsprechend umgesetzt.

Im Rahmen der IT-Struktur-Analyse wird zuerst einmal die Informationsverbreitung und das technische Konstrukt untersucht. Wir sprechen in diesem Zusammenhang auch von einem Informationsverbund. Darunter wollen wir die Summe aller organisatorischer, personeller, technischer und infrastruktureller Gegebenheiten verstehen, die im Unternehmensbereich zur Informationsverarbeitung eingesetzt werden. 

Ein Beispiel ist etwa ein Buchhaltungssysteme, ein Personalverwaltungssystem oder auch ein entsprechendes Produktionsplanungsprogramm. Zunächst ist die Informationstechnologie, die dem Unternehmen jeweils eigen ist, zu untersuchen. Die Infrastruktur wird auf Ihre individuellen Besonderheiten hin betrachtet und entsprechend dargestellt. So kann man etwa feststellen, welche Rechnernetze im Unternehmen selbst miteinander verknüpft sind (Intranet) und welche Informations-verknüpfung mit IT Systemen außerhalb des Unternehmens bestehen.

Im zweiten Schritt muss man nun analysieren, welcher konkrete Schutzbedarf besteht. Sind die Rechnersysteme etwa rein intern gehalten, so müssen keine Schutzvorrichtungen bezüglich des Internets oder Intranets vorgenommen werden. Ein Zugriff von außen kann dann nur schwer stattfinden. Stattdessen ist sicherzustellen, dass die jeweiligen Mitarbeiter, die Zugriff haben, diesen Zugriff nicht missbräuchlich einsetzen.

Ist der Schutzbedarf jedoch höher, weil grundsätzlich auch Zugriff von außen stattfinden kann (etwa über das Internet), so ist der Schutzbedarf danach zu bemessen, wie vertraulich, integer und verfügbar die Daten sind bzw. sein sollen. Handelt es sich um hochsensible Daten? Oder sind die Daten viel mehr auch für die Öffentlichkeit eigentlich zugänglich, ohne dass Schäden für das Unternehmen drohen?

Sofern auf einem Server mehrere Anwendungen gleichzeitig betrieben werden, entscheidet jene Anwendungen über die Schutzwürdigkeit, deren Daten am sensibelsten sind. Die Schutzbedarfs-kategorie bemisst sich also generell an dem empfindlichsten Punkt eines Systems. Andererseits ist es auch denkbar, dass bei entsprechend redundanter Datenhaltung ein System mit einem eigentlich hohen Schutzbedarf nicht allzu intensiv geschützt werden muss, da die Daten verteilt sind. Dies ist etwa bei Clustern der Fall.

Als nächstes steht die Modellierung des Informationssystems an. In der Regel sind Unternehmen und Behörden heute über ihre IT-Systeme stark miteinander vernetzt. Um ein entsprechendes Sicherheitskonzept erstellen zu können, ist es daher notwendig, das IT System in gewisse logische Teile zu zerlegen und einen Teilbereich jeweils individuell auf seine schützende Würdigkeit hin zu untersuchen. Hat man dann die beschriebene Strukturanalyse durchgeführt, so kann man die einzelnen Ergebnisse in einem Informationsverbund zusammenfügen.

Der Basissicherheitscheck basiert in der Regel auf einem Fragebogen, der den Soll-Ist-Vergleich ermöglicht. Man untersucht also, welche Teile des Konzeptes schon umgesetzt wurden, noch umzusetzen sind oder überhaupt nicht umgesetzt werden müssen. Allerdings ist der Basissicher-heitscheck nur bei einem geringen oder mittleren Schutzbedarf ausreichend. Bei Systemen, die einen sehr hohen Schutzbedarf innehaben, muss eine Risikoanalyse durchgeführt werden. Dies betrifft allerdings nur einen relativ kleinen Teil der IT Systeme, die unternehmensseitig eingesetzt werden (etwa 15-20%).

Es ist wichtig zu betonen, dass das IT-Schutzsystem nicht etwa ein statisches Konzept ist, dass nur einmal zu entwickeln ist und dann dauerhaft Bestand hat. Vielmehr ist es auf die gegebenen Ansprüche jederzeit anzupassen und entsprechend zu aktualisieren. Es empfiehlt sich deswegen generell, mindestens zweimal im Jahr ein entsprechendes Update durchzuführen.

Was ist die ISO/IEC 27000-Reihe?

Die ISO/IEC 27000-Reihe hat Standards für die IT Sicherheit gesetzt. Man spricht auch von der ISO/IEC 27000-Familie oder Englisch von der ISO27k. Die Normbehörden ISO und IEC haben dabei beschlossen, gewisse Standards zur Informationssicherheit unter dem Nummernkreis 2700x Information technology – Security techniques zusammen zu fügen.

Es sind sechs Normen von besonderer Bedeutung:

• ISO/IEC 27000 – Information security management systems – Overview -and vocabulary
• ISO/IEC 27001 – Information security management systems – Requirements
• ISO/IEC 27002 – Code of practice for information security management
• ISO/IEC 27003 – Information security management systems – Implementation Guidelines
• ISO/IEC 27004 – Information security management measurements
• ISO/IEC 27005 – Information security risk management

Die internationale Norm ISO/IEC 27001 Information technology – Security techniques – Information security management systems – Requirements setzt dabei die Maßstäbe für die Produktion, Implementierung, den Betrieb, die Überwachung, Regelung und Steuerung sowie die Verbesserung eines dokumentierten Informationssicherheitsmanagementsystems. Die jeweiligen Besonderheiten im Hinblick auf die Risikostruktur der unternehmenseigenen IT-Anlagen sind dabei zu berücksichtigen.

Die ISO/IEC 27002 ist ein internationaler Standard, der Vorgaben für verschiedene Kontroll-mechanismen für die Informationssicherheit insbesondere zum Schutz von Angriffen (attacs) beinhaltet. 

Es werden 11 Überwachungssegmente genannt:

1. Information Security Policy – Weisungen und Richtlinien zur Informationssicherheit
2. Organization of information security – Organisatorische Sicherheitsmaßnahmen und Management-prozess
3. Asset management – Verantwortung und Klassifizierung von Informationswerten
4. Human resources security – Personelle Sicherheit
5. Physical and Environmental Security – Physische Sicherheit und öffentliche Versorgungsdienste
6. Communications and Operations Management – Netzwerk- und Betriebssicherheit (Daten und Telefonie)
7. Access Control – Zugriffskontrolle
8. Information systems acquisition, development and maintenance – Systementwicklung und Wartung
9. Information security incident management – Umgang mit Sicherheitsvorfällen
10. Business Continuity Management – Notfallvorsorgeplanung
11. Compliance – Einhaltung rechtlicher Vorgaben, der Sicherheitsrichtlinien und Überprüfungen durch Audits

Weitere Informationen finden sich auf der offiziellen Internetpräsenz der ISO: http://www.iso.org/iso/iso_catalogue/catalogue_tc/catalogue_detail.htm?csnumber=50297

Welche Maßnahmen empfehlen sich für eine operative Datensicherung?

Wie schon gezeigt bemisst sich das Sicherheitskonzept an den jeweiligen individuellen Anforderungen innerhalb des Unternehmens bzw. in einer Behörde. „Zuviel Sicherheit“ geht mit einem zu hohen personellen und technischen Aufwand einher, der Kosten in die Höhe treibt. Ist das Sicherheitskonzept jedoch so bemessen, dass es eigentlich als unzureichend eingestuft werden muss, treten Lücken auf, die Angreifer ausnutzen können.

Operativ empfiehlt es sich, räumlich und technisch Daten so zu sichern, dass die Zugriffe benutzerabhängig begrenzt sind, Daten auf mehreren technischen Einrichtungen abzulegen, Daten entsprechend zu verschlüsseln und fehlertolerante Systeme zu implementieren. Das Sicherheits-konzept ist jedoch nur dann ausreichend, wenn es neben den technischen Maßnahmen auch organisatorische und personelle Maßnahmen ergreift.

Typische Sicherheitsmaßnahmen sind nachfolgend dargestellt. Diese können von jedem IT-Sicherheitsbeauftragten in Unternehmen und Behörden umgesetzt werden, sind aber auch von privaten IT-Nutzern einfach anwendbar.

Wie kann man IT-Systemen individuelle Zugriffsrechte erteilen und welche Rolle spielt der System-Administrator dabei?

Nicht jeder Benutzer eines Netzwerkes muss vollen Zugriff auf alle Daten haben. Die erste und relativ einfache Möglichkeit zum Datenschutz ist es daher, den jeweiligen Nutzern eines IT-Systems individuelle Zugriffsrechte einzuräumen. Dabei steht an erster Stelle der Rechte der so genannte System-Administrator. Dieser hat auf das gesamte System kompletten Zugriff und gibt weiteren Nutzern Teil-Zugriffsrechte. 

So ist es etwa möglich, in einem Buchhaltungsprogramm dem Buchhalter Zugriff auf die Einnahmen und Ausgaben Buchungen zu geben, ihm aber keinen Einblick in die Jahresabschlussanalyse zu gewähren. Analoges gilt auch für das Internet. Denn es ist möglich, einzelne Internetseiten zu sperren oder auch den Zugriff auf Dateien und E-Mails zu beschränken. In den gängigen Betriebssystemen von Microsoft und Apple sowie Unix ist es unproblematisch die Benutzerrechte einzuschränken, so dass etwa kein Zugriff auf Systemdateien erfolgen kann.

Genau so ist auch der Zugriff auf Anwendungs- und Systemprogramme beschränkbar. Gewisse Dateien können etwa nicht verändert werden, weil Nutzer nicht die entsprechenden Rechte haben. Dann kann im Rahmen eines Textverarbeitungsprogramms zwar eine Datei gelesen, aber nicht verändert werden.

Ein weiterer wichtiger Punkt ist es, die Software aktuell zu halten. In der Regel werden für moderne Software-Systeme regelmäßige Updates angeboten. Diese zielen insbesondere darauf ab, Sicherheitslücken zu schließen. Denn keine Software, mag sie auch noch so ausgereift sein, ist in der Lage, alle Risiken und mögliche Angriffspunkte abzusichern. Deswegen bieten vor allem Programme, die im Netzwerkmodus betrieben werden können, eine Angriffsfläche. Durch regelmäßige Updates wird entsprechend das Risiko minimiert, wenngleich ein gewisses Risikopotential nach wie vor bestehen bleibt.

Daher empfiehlt es sich regelmäßige Sicherungskopien der Daten zu erstellen, die auf entsprechend externen Speichermedien angefertigt werden. Je nach Betriebssystem gibt es unterschiedliche Backup-Software, die es komfortabel ermöglichen, dass man Daten überspielt, und diese bei Bedarf auch wieder auf das Originalsystem zurückspielt. Ein typisches Beispiel hierfür ist die Time Machine von Apple. Diese ermöglicht es Backups zu erstellen, in dem eine externe Festplatte einfach nur angeschlossen wird.

Sobald Daten aus dem Internet heruntergeladen werden besteht die Gefahr, dass sich darunter auch schädliche Dateien befinden. In diesem Zusammenhang empfiehlt sich der Einsatz eines Antivirenprogramms, welches Schadsoftware vor dem Angriff bereits identifiziert und unschädlich macht. Allerdings sind Antivirenprogramme auch nur so gut wie der Umfang ihrer Kenntnis über Schadsoftware ist. Regelmäßige Updates sind daher unerlässlich.

Oftmals empfiehlt es sich zu dem unterschiedliche Software einzusetzen und nicht nur die besonders bekannten Programme zu verwenden, da diese häufig besondere Angriffsfläche für kriminelle Aktivisten bieten.

Was ist Kryptografie und welche Ziele vereint sie?

Einen zentralen Einfluss auf die Sicherheit von Daten hat deren Verschlüsselung. Die Kryptographie bzw. Kryptografie (aus dem Altgriechischen für ‚verborgen‘ oder ‚geheim‘) beschäftigt sich wissenschaftlich mit der Verschlüsselung von Informationen. Wir wollen darunter auch konzeptionelle Vorkehrungen verstehen, die anschließend durch eine strukturelle Vorgehensweise Daten resistent gegen ungewollte Manipulation oder gegen ungewollte Einsichtnahme machen.

Kryptografie vereint dabei verschiedene Ziele. Zunächst einmal ist der Zugriffsschutz auf Daten zu sichern. Das bedeutet, dass nur solche Personenkreise Zugriff zu Daten haben sollen, die dazu auch autorisiert sind. Als zweites ist die Schutzwürdigkeit im Sinne eines Änderungsschutzes anzumerken. Bezog sich das erste Argument auf das Lesen von Daten, so geht es nunmehr darum, Daten nicht einfach ändern zu können, sofern dafür keine Rechte vorhanden sind. 

Außerdem sollen Daten fälschungssicher und zurechenbar gemacht werden. Das bedeutet, dass der Urheber der Daten oder jener der die Daten geändert hat nachweisbar und nachprüfbar festzustellen ist.

Was die Methoden der Verschlüsselung anbelangt unterscheidet man zwischen klassischen und modernen Techniken. Hat man als es noch keine Informationsverarbeitungssysteme auf elektronischer Basis gab Buchstaben einfach neu angeordnet oder Buchstaben durch andere Symbole ersetzt, so sind diese Methoden der Transposition und Substitution heute nicht mehr gängig, weil schlichtweg zu unsicher. 

Die modernen Verschlüsselungstechniken setzen daher nicht an den einzelnen Zeichen an, sondern an den Bits und Bytes, die die Daten bilden. Dadurch ist die Möglichkeitsspanne der Veränderungen der ursprünglichen Daten exponentiell gewachsen. Zudem ist es auch möglich Daten zu verschlüsseln, die nicht aus Texten bestehen, etwa Bilder oder Musikstücke.

Gemeinhin unterscheidet man zwei Verfahren. Symmetrische Verfahren sind ähnlich wie die klassischen Verfahren solche, die einen Schlüssel in einer Kommunikationsverbindung verwenden, der nur den Beteiligten dieser Verbindung bekannt ist. Dieser kann asymmetrisch sein. Das bedeutet, dass der Schlüssel nicht gleichzeitig sondern zeitlich versetzt vom Datenurheber und Datennutzer zu verwenden ist, er kann aber auch synchron sein, eben dann wenn zeitgleich mehrere Kommunikations-partner an den Daten arbeiten.

Asymmetrische Verfahren verwenden einen ganz bestimmten Schlüssel, den es in der Form regelmäßig nur einmal gibt. Diese Verfahren greifen auf Operationen von komplexen mathematischen Strukturen zurück. So gibt es eine Vielzahl von komplexen mathematischen Problemen, etwa bei der Bestimmung von elliptischen Kurven oder logarithmischen Räumen. Ist nur den Verwendern einer solchen Problemenbeziehung die Lösung bekannt, so hat man einen Schlüssel, mit dem Absender und Empfänger von Daten arbeiten können und es Dritten nur unter erheblichem Aufwand möglich ist die Daten einzusehen. Wir wollen im Rahmen dieser Einführung nicht auf die komplexe mathematisch- informationstechnische Ebene der Verschlüsselungsmöglichkeiten eingehen. In der Regel arbeiten daran Informatiker und Mathematiker um hier entsprechende Technologien weiter zu entwickeln. Ein kleines Beispiel sei jedoch kurz erläutert.

Beispiel: RSA-Kryptosystem

Das RSA (Rivest, Shamir und Adleman) ist ein asymmetrisches kryptographisches Verfahren, welches einerseits zur Verschlüsselung und andererseits zur digitalen Signatur verwendet wird.

Wir wollen das Wort „Hallo“ verschüsseln. Da „H“ der 8. Buchstabe im Alphabet ist, setzen wir zunächst die 8. Analog verfahren wir mit „A“ (1), „L“ (12), „O“ (15). Die vollständige Kodierung lautet dann 08 01 12 12 15.

Nun wählen wir zwei Primzahlen, etwa 307 und 859. Deren Produkt 263713. Wir verschlüsseln nun die ersten drei Buchstaben 08 01 12, indem wir diese Zahl 080112 mit einer beliebigen aber zu 263713 teilerfremden Zahl potenzieren, etwa mit 1427. Danach benötigen wir die Modulo-Funktion: Damit bestimmen wir den Rest einer Division aus 080112¹⁴²⁷ und 263713.

Dieser Rest wird nunmehr weiter versendet und kann entsprechend beim Empfänger wieder entschlüsselt werden. Ein entsprechender „privater Schlüssel“ muss dazu noch übertragen werden.

Was ist das Bundesdatenschutzgesetz und welches Prinzip gilt bezüglich der Nutzung personenbezogener Daten?

In der Bundesrepublik bilden bekanntlich Gesetze die Grundlage rechtlichen Handelns, so auch was die Sicherheit von Daten anbelangt.

Das wesentlichste Gesetz hierbei ist das Bundesdatenschutzgesetz (BDSG). Auf Länderebene gibt es zudem Datenschutzgesetze der einzelnen Länder, die jedoch inhaltlich sich am Bundesdatenschutz-gesetz orientieren. Das Bundesdatenschutzgesetz ist sowohl für die Privatwirtschaft wie auch für den öffentlichen Bereich die zentrale Gesetzesvorschrift. Das Gesetz besteht aus sechs Abschnitten, insbesondere die Datenverarbeitung der öffentlichen und nicht-öffentlichen Stellen ist dabei von Bedeutung. 

Es gilt dabei das Verbotsprinzip der Datennutzung personenbezogener Daten, jedoch kann diese Datenverwendung unter gewissen Umständen möglich sein. Konkret bedeutet dies, dass die Erhebung, Nutzung und Weiterverarbeitung von Daten generell verboten ist. Eine Ausnahme besteht nur dann, wenn die jeweiligen Betroffenen ihre Zustimmung gegeben haben oder es eine weitere Rechtsvorschrift gibt, die die Datennutzung ausdrücklich gestattet.

Das Datenschutzgesetz wird subsidiär angewendet. Das bedeutet konkret, wenn eine andere bundesrechtliche Vorschrift besteht, wie mit personenbezogenen Daten umzugehen ist, so genießt diese Vorrang. Dass das andere Gesetze entsprechenden Vorgang im Datenschutz genießt, ist dabei in §1 Abs. 3 des BDSG ausdrücklich festgehalten.

Das Bundesdatenschutzgesetz stellt insbesondere nur auf personenbezogene Daten ab. Daten, die also nicht unmittelbar mit natürlichen Personen in Verbindung stehen, sind entsprechend nicht schützenswürdig, zumindest nicht nach diesem Gesetz. Es gibt jedoch andere Gesetzesgrundlagen, die etwa auch firmenbezogene Daten als schützenswert einstufen.

Unter personenbezogenen Daten versteht das Gesetz Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Besondere Arten personenbezogener Daten sind Angaben über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben.

Typische Einzelangaben zu den persönlichen Verhältnissen sind der Vor- und Nachname, die Adresse, das Geburtsdatum, und der Beruf. Auch sachliche Verhältnisse sind schützenswert, etwa wann ein Telefonat mit wem geführt wurde.

Von großer Bedeutung im Datenschutzgesetz ist der §3a. Demnach gilt der Grundsatz der Datenvermeidung und Datensparsamkeit. Die Gestaltung und Wahl von Datenverarbeitungssystemen muss so erfolgen, dass so wenig wie nötig an personenbezogenen Daten zu erheben sind. Sofern die Möglichkeit zur Anonymisierung besteht, ist diese auch anzuwenden. Allerdings muss der Aufwand hierfür in einem angemessenen Verhältnis zu den schutzwürdigen Zielen bestehen.

Mit Umsetzung der Datenschutz-Grundverordnung (DSVGO) im Mai 2018 wurde das Prinzip der Datensparsamkeit durch die “Datenminimierung” ersetzt. Nach Expertenmeinung ist dies bei weitem kein deckungsgleicher Begriff.

Kommt es zur Missachtung des Datenschutzes, so kann der Betroffene einerseits einen Anspruch auf Auskunft und andererseits auch einen Anspruch auf Berichtigung, Löschung und sogar Sperrung der Daten gegen den Verursacher geltend machen. Außerdem ist es möglich, dass Verstöße zivilrechtlich geahndet werden, etwa mit Bußgeld und sogar strafrechtliche Konsequenzen können sich ergeben. Schadensersatzansprüche passieren auf den Paragraphen sieben und acht des BDSG.

Dass die Weitergabe nicht erlaubt ist, wird ausdrücklich in §53 BDSG festgehalten:

Den bei der Datenverarbeitung beschäftigten Personen ist untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). Diese Personen sind, soweit sie bei nicht-öffentlichen Stellen beschäftigt werden, bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort.

Unternehmen und auch Privatpersonen sind also gehalten, mit ihnen zufließenden Daten sorgsam umzugehen, die Konsequenzen können entsprechend drastisch sein. 

Von besonderer Bedeutung sind hierbei die Vorschriften der DSVGO (eingeführt am 25. Mai 2018). Demnach gilt:

• Die Speicherung, Nutzung und Verarbeitung von personenbezogenen Daten ist generell in Abhängigkeit zu einem ganz bestimmten Zweck zu setzen. Die Verantwortlichen müssen sich an diese Zweckbindung halten.

• Bei der zweckentfremdeten Weiterverarbeitung der erhobenen Daten oder einer Erhebung ohne festgelegten Zweck handelt es sich um einen Datenschutzverstoß. Dieser kann im Zweifel mit hohen Bußgeldern geahndet werden und sogar strafrechtliche Konsequenzen haben.

• Mit Wirksamkeit der Datenschutz-Grundverordnung (DSGVO) bleibt die Zweckbindung bestehen. Sie wird fortan in allen EU-Mitgliedstaaten in Sachen Datenschutz verbindlich, so dass EU-weit stets ein Verwendungszweck anzugeben ist.