![\"Datenverschl\u00fcsselung,](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/\/shutterstock-1753929440-1024x683.jpg\" "\\"Bild")
<\/p>\n<\/p>\n
Personenbezogene Daten, sensible Daten, kritische Daten, lebenswichtige Daten... Das zur Beschreibung von Daten verwendete Vokabular ist vielf\u00e4ltig. Das f\u00fchrt auch dazu, dass einige Unternehmen und Organisationen glauben, dass sie f\u00fcr ihren Schutz nicht zust\u00e4ndig sind. Aber ist das wirklich der Fall? Sind die von der Datenschutz-Grundverordnung hervorgehobenen personenbezogene Daten nicht der sprichw\u00f6rtliche Baum, hinter dem sich der Wald verbirgt? Alle Unternehmen generieren Daten, ohne sich deren Wert immer bewusst zu sein, und sind sich nicht im Klaren, dass sie zu sch\u00fctzen sind.<\/strong><\/p>\n Seit ihrem Inkrafttreten im Mai 2018 in Europa hat die Datenschutz-Grundverordnung (DSGVO) zur Verbreitung neuer Begriffe beigetragen: personenbezogene Daten und sensible Daten. Ein kurzer Blick auf Suchmaschinen zeigt, wie sehr sensible Daten derzeit in aller Munde sind. Aber wovon genau sprechen wir? Bei n\u00e4herer Betrachtung ist der Umfang sensibler Daten eher begrenzt und ihre stringente Definition ist bei weitem nicht die Ursache aller Datenprobleme eines Unternehmens. Und dennoch...<\/p>\n <\/p>\n Die von der Europ\u00e4ischen Kommission in der Datenschutz-Grundverordnung ver\u00f6ffentlichte Liste sensibler Daten<\/a> ist eindeutig. Dabei handelt es sich um personenbezogene Daten einer Person, d.\u00a0h. Informationen \u00fcber die rassische bzw.ethnische Herkunft, politische Meinungen, religi\u00f6se oder weltanschauliche \u00dcberzeugungen, Gewerkschaftszugeh\u00f6rigkeit, genetische oder biometrische Daten, Gesundheitsdaten, das Sexualleben oder die sexuelle Orientierung.<\/p>\n Die Verarbeitung dieser Daten, einschlie\u00dflich ihrer Erhebung und Verwendung ist gesetzlich streng geregelt. Aber sind sie die einzigen, die besonderen Schutz ben\u00f6tigen? Spoiler-Alarm:<\/em> nein.<\/p>\n <\/p>\n Die Datenvielfalt in einem Unternehmen ist weitaus gr\u00f6\u00dfer als nur sensible Daten. In ihrem Leitfaden f\u00fcr die IT-Hygiene<\/a> (auf Franz\u00f6sisch: \u201eguide d\u2019hygi\u00e8ne informatique\u201c) bezieht sich die franz\u00f6sische Informationssicherheitsbeh\u00f6rde ANSSI auf \u201eDaten, die f\u00fcr die Organisation und die betroffenen Server als lebenswichtig angesehen werden<\/em>\u201c. Ein neuer Begriff f\u00fcr die Diskussion von Daten. Was ist dann der Unterschied zwischen sensiblen Daten und lebenswichtigen Daten? Bei letzteren handelt es sich um Daten, die als wesentlich f\u00fcr das reibungslose Funktionieren eines Unternehmens angesehen werden: Produktionsdaten, Finanzdaten, F&E-Daten (z.\u00a0B. das Geheimrezept f\u00fcr ein Getr\u00e4nk oder der Algorithmus einer Suchmaschine). Ohne sie existiert das Unternehmen nicht mehr oder verliert seinen Wettbewerbsvorteil. Dabei handelt es sich um Daten, die im Falle ihrer Weitergabe, ihres Diebstahls oder Verlusts kritische Auswirkungen auf das Unternehmen oder die Organisation haben w\u00fcrden, die sie verliert, zum Beispiel Daten aus einer laufenden Verhandlung, einem Fundraising oder einer bevorstehenden \u00dcbernahme. Aber nicht nur das. Wenn ein einziges Auftragsbuch neutralisiert wird, kann die gesamte T\u00e4tigkeit eines Kleinstunternehmens bzw. Klein- oder mittelst\u00e4ndischer Unternehmen ins Stocken geraten. Das Spektrum zu sch\u00fctzender Daten ist also viel breiter als nur sensible Daten. <\/strong>All diese Daten sind das Ziel von Cyberkriminellen. \u201eIn der Tat\u00a0sind immer mehr kleine Organisationen Angriffen ausgesetzt, die ihre Daten unzug\u00e4nglich machen<\/em>\u00a0\", betont die ANSSI in ihrem Leitfaden. Als solche m\u00fcssen sie einer besonderen Wachsamkeit unterliegen und mit regelm\u00e4\u00dfigen Datensicherungen (Backups) auf nicht angeschlossenen Ger\u00e4ten gesichert werden, deren Wiederherstellung ebenfalls regelm\u00e4\u00dfig zu \u00fcberpr\u00fcfen ist.<\/p>\n Oft denken wir zuerst an strategische Daten: Personal- oder Finanzdaten, F&E- oder Produktionsdaten... Aber alle von Unternehmen generierten Daten haben einen Wert. Wenn man sich die Zeit nimmt, sie zu erstellen, tragen sie zum Gesch\u00e4ft bei. Sie m\u00fcssen daher ebenfalls gesch\u00fctzt werden.<\/em><\/p>\n Personenbezogene Daten, sensible Daten, lebenswichtige Daten oder sogar kritische Daten \u2013 die zu sch\u00fctzenden Daten sind von Organisation zu Organisation unterschiedlich: Know-how \u00fcber chemische Prozesse, Forschung und Entwicklung, Standort von Rohstoffen, internes Audit (Schutz von Zahlen, Investitionen usw.), Austausch zwischen Mitgliedern der Gesch\u00e4ftsleitung, \u00dcbernahmen\/Beteiligungen, Personaldaten, Buchhaltungsdaten, Austausch zwischen einem Journalisten und seinen Quellen, Produktionslinie, Plan eines Industrieteils usw. \"Bei Stormshield erfolgt der Austausch von Lebensl\u00e4ufen zum Beispiel \u00fcber verschl\u00fcsselte E-Mails<\/em>, und gemeinsam genutzte Personaldaten werden in sicheren Verzeichnissen gespeichert<\/em>\u00a0\", so Jocelyn Krystlik<\/strong>, Business Unit Data Security Manager bei Stormshield. \u201eKritisch sind Daten, die das Kerngesch\u00e4ft eines Unternehmens betreffen, oder das, was es ausmacht: Patente, kommerzielle Aktivit\u00e4ten, Finanzdaten, strategische Daten... Also alles, was einen von Kunden anerkannten Wert hat<\/em>. Wir m\u00fcssen daher in Bezug auf Informationen und deren strategische Bedeutung f\u00fcr das Unternehmen denken\",<\/em>fasst Laurence Houdeville<\/strong>, Datenspezialist und Mitherausgeber des whitepapers \u201eLe cloud de confiance, un enjeu d\u2019autonomie strat\u00e9gique pour la France<\/em>\u201c (Die datensichere Cloud, eine strategische Autonomiefrage f\u00fcr Frankreich)<\/em>, zusammen. Es geht also um \u201everfeinerte\u201c Daten, dies ist aber nicht das Einzige.<\/p>\n \u201eAlle oder fast alle Daten eines Unternehmens sind wichtig und n\u00fctzlich<\/em>\", soJulien Paffumi<\/strong>, Senior Product Manager bei Stormshield. Oft denken wir zuerst an strategische Daten, von Personal- und Finanzdaten bis hin zu F&E- oder Produktionsdaten... Aber alle vom Unternehmen generierten Daten haben einen Wert. Wenn man sich die Zeit nimmt, sie zu erstellen, tragen sie zum Gesch\u00e4ft bei. Sie m\u00fcssen daher ebenfalls gesch\u00fctzt werden. Dies gilt auch f\u00fcr unstrukturierte Daten<\/em>.\u00a0\"Laut Gartners \u201eMagic Quadrant for Distributed File Systems and Object Storage\u201c, liegt die j\u00e4hrliche Wachstumsrate unstrukturierter Daten zwischen 30 und 60\u00a0%,<\/a>. und laut einer Thales-Studie verschl\u00fcsseln nur 17\u00a0% der Unternehmen mindestens die H\u00e4lfte ihrer Daten in der Cloud<\/a>. Diese beiden Zahlen zeigen, dass Datenschutz ein wichtiges Thema ist. Aber wie soll das gehen?<\/p>\n <\/p>\n Laut Laurence Houdeville \u201esch\u00fctzt man nur das gut, was man gut kennt<\/em>\u00a0\u201e. Die erste Herausforderung des Datenschutzes besteht also darin, dass man die eigenen Datenbest\u00e4nde kennt<\/strong>. Konkret bedeutet dies, dass durch automatisierte bzw. unautomatisierte Datenverarbeitung verarbeitete Daten (z.\u00a0B. Kundendateien, Vertr\u00e4ge) und die Datentr\u00e4ger, auf denen sie sich befinden, identifiziert werden m\u00fcssen \u2013 in Bezug auf Hardware (z.\u00a0B. Server, Laptops, Festplatten), Software (z.\u00a0B. Betriebssystem, Unternehmenssoftware), aber auch Kommunikationskan\u00e4le (z. B. Glasfaser, WLAN, Internet).<\/p>\n Man sch\u00fctzt nur das gut, was man gut kennt.<\/em><\/p>\n \"Wir f\u00fchren eine Bestandsaufnahme mit einer Karte durch, die Referenzdaten zeigt, und stellen uns die Frage, welche Daten am wertvollsten sind und wann sie verwendet<\/em> werden<\/em>. Interessant sind also nicht die Nutzdaten, sondern die verfeinerten, mit Querverweisen versehenen Daten<\/em>\", so Laurence Houdeville. Dann arbeiten wir am kritischen Pfad: Wie werden diese Daten mit anderen in Beziehung gesetzt, nach welchem Kriterium haben diese Daten einen Wert, usw. <\/em>Nach der Pr\u00fcfung wird erm\u00f6glicht uns die Klassifizierung der Daten die Bestimmung der Kritizit\u00e4tsgrades der Daten und damit ihrer Vertraulichkeit und Verteilung. Es gibt jedoch keine einheitliche Nomenklatur. \u201eJede Organisation hat ihr eigenes Klassifizierungsniveau: C1, C2, C3 (vertrauliche 1. Stufe usw.); D1, D2, D3; intern oder extern... und sogar nach Farbe (gelb\/rot...)<\/em>, erkl\u00e4rt Jocelyn Krystlik. Es gibt keine Normung, jeder macht ein bisschen von dem, was er will, auch wenn der Inhalt mehr oder weniger derselbe bleibt.<\/em>\u00a0\u201eDies ist, wie so oft, eine Frage der \u201eCyber-Reife\u201c.\u201c<\/p>\n <\/p>\n F\u00fcr die Klassifizierung von Daten gibt es verschiedene L\u00f6sungen: eine von allen verwendete Vorlage mit auszuf\u00fcllenden Feldern, ein Wasserzeichen in der Datei oder eine automatische Klassifizierung nach W\u00f6rtern oder Schl\u00fcsselinformationen (Sozialversicherungsnummer, Bankkundennachweis usw.). Kleinere Unternehmen bieten oft eine E-Mail-Vorlage an, bei der Nutzer durch Ankreuzen des jeweiligen K\u00e4stchens die Klassifizierung selbst vornehmen<\/em>\", so Jocelyn Krystlik. Gro\u00dfunternehmen verf\u00fcgen oft \u00fcber Tools, die automatisch Schl\u00fcsselw\u00f6rter erkennen, die Daten gegebenenfalls verschl\u00fcsseln oder sie sogar daran hindern, das Unternehmen zu verlassen, wenn sie nicht zur Weitergabe zugelassen sind.<\/em>\u201c<\/p>\n Das Einstufungsverfahren kann von einer Organisation zur anderen variieren. Wo es ein solches gibt, legt der Datenschutzbeauftragte (DSB) in der Regel den Einstufungsrahmen fest, und dann ist es Sache des Datenproduzenten, zu entscheiden, ob dessen Daten vertraulich sind oder nicht. Dies wirft die Frage der digitalen Hygiene<\/strong> auf. Um Daten zu klassifizieren, zu sch\u00fctzen bzw. ihre Weitergabe einzuschr\u00e4nken, muss sich ihr Eigent\u00fcmer oder Erzeuger \u00fcber ihren Wert im Klaren sein. \u201eEs\u00a0geht darum, vorsichtig damit zu sein, was man an wen sendet. Das ist \u201edigitale Hygiene\u201c, aber sie setzt auch einen gewissen Reifegrad des Unternehmens in Bezug auf Daten und die Schulung des Personals in diesem Bereich und seinen Herausforderungen voraus<\/em>\u201c, erl\u00e4utert Julien Paffumi. Dies wirft auch die Frage auf, wie diese Expertise unterhalten werden kann. \"\u00a0Angesichts der Tatsache, dass das Cyber-Thema noch immer nicht im Alltag angekommen ist, m\u00fcssen wir feststellen, dass Datenschutzbeauftragte von Unternehmen das Personal jedes Jahr in Bezug auf Datenschutzregeln schulen m\u00fcssen<\/em>.\u00a0\u201eDas ist eine zeitaufw\u00e4ndige, aber unverzichtbare Praxis.<\/p>\nWas sind sensible Daten?<\/h2>\n
Sensible, kritische, lebenswichtige Daten...<\/h2>\n
Julien Paffumi<\/strong>, Senior Product Manager bei Stormshield<\/pre>\n<\/blockquote>\n
Identifizierung und Klassifizierung von Daten zum optimaleren Schutz<\/h2>\n
Laurence Houdeville<\/strong>, Datenspezialist<\/pre>\n<\/blockquote>\n
Reifegrad von Organisationen in Bezug auf Daten<\/h2>\n