Herausforderung IT-Compliance


Ein "Quantum Sicherheit" ist nicht genug: Datensicherheit ist weit mehr als ein reines Technikthema
Wer erfüllt die Forderung gemäß Bundesdatenschutzgesetz und setzt einen Datenschutzbeauftragten ein, um die Einhaltung der Datenschutzrichtlinien beim Umgang mit personenbezogenen Daten überwachen zu lassen?


Von Christian W. Seehafer, Geschäftsführer der Comp4U EDV-Anlagen GmbH

(01.03.10) - Können Sie garantieren, dass Ihre IT den gesetzlichen Compliance-Anforderungen entspricht? Meist sind Unternehmer IT-Laien und dennoch tragen sie die komplette rechtliche Verantwortung für die EDV. Bereits aus geringen Mängeln können weit reichende Rechtsverletzungen mit schwerwiegenden Folgen entstehen.

Gerade in kleinen und mittleren Unternehmen gerät die Betreuung der IT oft zur lästigen Pflicht und der Sicherheit wird nicht die gebührende Aufmerksamkeit gewidmet. Die Bedrohung von PCs wird eher diffus wahrgenommen, der Fokus meist auf Viren, Trojaner oder schlimmstenfalls den Einbruch eines Hackers ins Firmennetz gerichtet. Nur allzu leicht wird das Thema damit als Freigabe eines ungeliebten Budgets abgehandelt.

Doch Datensicherheit ist weit mehr als ein reines Technikthema und Virenschutz und Firewall sind lediglich das absolute Mindestmaß an Ausstattung. So bedeutet der Verlust von Daten nicht zwangsläufig, dass die Daten nicht mehr da sind, sie können auch als Kopien das Unternehmen verlassen. Gelöschte Daten lassen sich gegebenenfalls rekonstruieren, ausspionierte oder weitergegebene Daten jedoch nicht zurückholen. Gleichzeitig steht der Unternehmer gegenüber der deutschen bzw. internationalen Gesetzgebung in der Verantwortung – eine Kardinalpflicht, die allzu oft ignoriert wird.

Verfügbarkeit sichern
Das technische Versagen von Systemen kommt regelmäßig vor und ist eine Bedrohung, die auch ohne Fremdeinwirkung droht. Nicht selten führt der Ausfall der IT zum Infarkt der täglichen Routinen. Ob Warenwirtschaft, Buchhaltung, Mailsysteme, Kundendaten, Angebote oder Auftragsbearbeitung - Daten sind heute die Grundlage unternehmerischen Handelns. Was, wenn es Tage dauert, bis die Systeme technisch wiederhergestellt sind? Auf Notdienst und Service allein sollten sich Anwender nicht verlassen. Es empfiehlt sich Vorkehrungen zu treffen, die innerhalb einer definierten Zeit eine Wiederherstellung der Systeme garantieren.

Unkontrolliertem Datenabfluss und Spionage vorbeugen
Selbst in großen Unternehmen spielt das Thema "Data Leakage" bislang eine untergeordnete Rolle, in kleinen und mittelständischen Firmen so gut wie nie. Die Tatsache, dass ein wesentlicher Teil der Bedrohung von Innen kommt, wird übersehen. Dabei sind Datenverlust oder -diebstahl heute die Hauptbedrohung für Firmennetze: So gut wie jeder PC hat einen USB-Port oder CD-Brenner, jeder Mitarbeiter kann zumindest aus seinem Zugriffsbereich Daten oft wahllos kopieren und ungesehen aus der Firma bringen.

Sicherlich ist ein Generalverdacht unangebracht, doch als eine wichtige "Grundlage des Unternehmens" müsste der Schutz der Daten oberste Priorität haben. Und vorbeugen ist möglich: Daten auf Servern, Festplatten, CDs oder USB-Sticks lassen sich so verschlüsseln, dass die Mitarbeiter ungehindert arbeiten können, die Daten aber automatisch verschlüsselt und unbrauchbar sind, sobald sie kopiert werden bzw. ein Unbefugter auf USB-Stick oder CD zugreifen will. Eine verlorene oder gestohlene CD, ja selbst ein Notebook, ist für den Finder oder Dieb wertlos.

Rechtliche Compliance-Vorgaben umsetzen
In IT-Fragen ist der Unternehmer der Hauptverantwortliche vor dem Gesetz und haftet für alle Rechtsverstöße in diesem Bereich. Aber wer erfüllt bereits die Forderung gemäß Bundesdatenschutzgesetz und setzt einen Datenschutzbeauftragten ein, um die Einhaltung der Datenschutzrichtlinien beim Umgang mit personenbezogenen Daten überwachen zu lassen? Und welche Firmen sind in der Lage, rechtssicher zu verhindern dass ihre Mitarbeiter auf unerlaubten Webseiten surfen oder deren Inhalte downloaden? Gleichzeitig ist schon das einfache "Verbieten" des Zugriffs auf Inhalte im Internet per Regel heikel, wenn z. B. die Verbindungsversuche mit dem Namen des Nutzers aufgezeichnet werden.

Allein diese Beispiele zeigen, im Gesetzesdschungel von Datenschutz und Compliance geht es ohne den Rat von Experten meist nicht. Dabei sollte der beratende Dienstleister jedoch mit dem rechten Augenmaß für die Realität beraten und unterstützen, nach dem Motto "so wenig Aufwand wie möglich und dennoch soviel wie im rechtlichen Sinne nötig". Sich dagegen nur auf das Minimum von Virenschutz und Firewall zu verlassen, ist keine Option, denn ein Quantum Sicherheit ist nicht genug. (Comp4U EDV-Anlagen: ra)

Comp4U EDV-Anlagen: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Hochkompetent, verantwortungsvoll, unabhängig

    Die Deutsche Vereinigung für Datenschutz e.V. (DVD), eine seit über 40 Jahren aktive Bürgerrechtsorganisation, hat mit größtem Befremden zur Kenntnis genommen, dass die Bundesregierung bis heute immer noch keine Verlängerung der Amtszeit des amtierenden Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) Ulrich Kelber in Aussicht gestellt hat.

  • VdK-Präsidentin: "Riester-Rente ist gescheitert"

    Der Bundesgerichtshof (BGH) hat eine Sparkassen-Klausel zu Riester-Abschlusskosten für unwirksam erklärt. Die Bank hatte Sparerinnen und Sparer nicht über alle Kosten des Riester-Vertrags informiert und dann zu Beginn der Auszahlphase einen Nachschlag verlangt.

  • Gesetzliche Verpflichtung zu Barrierefreiheit

    Zur Anhörung zur Antidiskriminierungsstelle des Bundes und dem Allgemeinen Gleichbehandlungsgesetz (AGG) erklärt VdK-Präsidentin Verena Bentele: "Gerne erinnere ich das Bundesjustizministerium (BMJ) an den gemeinsamen Plan im Koalitionsvertrag, das Allgemeine Gleichstellungsgesetz umfassend zu novellieren. Hier müssen endlich klare gesetzliche Regelungen geschaffen werden, die privaten Anbieter von Gütern und Dienstleistungen zur Barrierefreiheit verpflichten. Trotz Absichtserklärungen und Ankündigungen hat das für das AGG zuständige Bundesjustizministerium bisher nichts vorgelegt."

  • Gesammelte Kommentare zur US "AI Executive Order"

    Am 30. Oktober 2023 hat US-Präsident Joe Biden die "AI Executive Order" erlassen. Hier sind die wichtigsten Erkenntnisse der Verordnung auf einen Blick.

  • Regulierung von Foundation Models

    Zur Debatte über eine mögliche Verzögerung beim EU AI Act, mit dem die Entwicklung und Anwendung von Künstlicher Intelligenz in Europa reguliert werden soll, erklärt Bitkom-Präsident Dr. Ralf Wintergerst: "Der AI Act ist die wohl wichtigste Entscheidung, die Europäisches Parlament und Kommission derzeit auf der Agenda haben."

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen