Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

01.02.1991 - 

CW- Umfrage unter Praktikern und Beobachtern

Datenschützer - DV-Bremser oder Garant der Datensicherheit

01.02.1991

Wirkungsvoll geschützte Daten sind sicher, soviel leuchtet ein. Folglich sollte man davon ausgehen können, daß die Begriffe "Datensicherheit" und "Datenschutz" - zumindest nahezu - identische Bedeutungen haben. Der Sprachgebrauch und die Praxis belehren uns jedoch eines anderen.

Während unter Datenschutz im Sinne des Bundesdatenschutzgesetzes (BDSG) die Vermeidung des Mißbrauchs von personenbezogenen Informationen verstanden wird, umfaßt der Begriff Datensicherheit den Schutz von Datenbeständen und DV-Anlagen vor Zerstörung, Manipulation und Ausspähung. So gibt es auch in Anwenderunternehmen auf den ersten Blick eine ganz klare funktionale Trennung: Für den Datenschutz ist der betriebliche Beauftragte zuständig, für die Datensicherheit der DV/Org.-Leiter.

Gleichwohl scheint es eine Grenzzone zu geben, in der sich die Verantwortlichkeiten verwischen. So muß nach der BDSG-Novelle der Datenschutz-Beauftragte eines Unternehmens umfassende Informationen einfordern bezüglich der vorhandenen Datenbestände, ihrer Organisation und der Art ihrer Verarbeitung. In diese Übersicht ist auch die Dokumentation vorhandener Anwendungen, die sogenannte "Speicher-Buchführung" aufzunehmen: ein Aspekt der Kompetenz, den sich andererseits auch ein DV-Leiter nicht nehmen lassen würde.

Weitere Beispiele für Verantwortungsbereiche, in die sowohl der DV-Leiter als auch der Datenschützer hineinregieren, sind Zugriffsrechte oder die Benutzerkontrolle, die Vernichtung unbrauchbarer Datenträger oder das Risiko der sogenannten "lnsider-Täter". Unterstellt man, daß ein DV-Verantwortlicher sich in der Regel wenig um Datenschutz-Belange im Sinne des BDSG aktiv kümmern wird, muß man andererseits davon ausgehen, daß der betriebliche Datenschutzbeauftragte sich sehr wohl mit dem Sicherheitsaspekt von DV-Installationen zu befassen hat, um seiner Aufgabe voll gerecht zu werden.

Im Grunde, so ergibt sich aus den einschlägigen Definitionen, bestehen keine gravierenden Unterschiede zwischen Datensicherheit im technischen und im Sinne des BDSG: Beide sollen die Sicherheit von Datenbeständen und DV-Abläufen gewährleisten und dafür sorgen, daß nur berechtigte Personen auf Daten zugreifen und diese im geplanten Sinne verarbeiten können. Eine Personalunion zwischen DV-Leiter - als dem Verantwortlichen für Sicherheit - und dem Datenschutz-Beauftragten, warnt Harald Faust, Marketing-Verantwortlicher für Sicherheitssysteme bei der Münchner PC Plus GmbH, wäre gleichwohl "eine fatale Einrichtung, weil dadurch der Bock zum Gärtner gemacht würde".

DV-Chef/Datenschützer - Personalunion wäre fatal

Der DV-Leiter ist sicherlich heute stärker für den Datenschutz sensibilisiert als früher, wie Faust beobachtet hat. "Er muß sicherstellen, daß seine sensiblen Daten konsistent sind

und geheim bleiben - ob sie jetzt personenbezogen sind oder nicht. Auf diesem Weg

sind viele Verantwortliche dazu gekommen, sich auch für den Datenschutz zu interessieren, während die Notwendigkeit früher nicht gesehen wurde."

Bisher hat der DV-Leiter den Datenschützer sehr oft als Bremser gesehen, stellt der Experte fest. Heute dagegen seien die Sicherheitsverantwortlichen enger mit den Datenschutz-Beauftragten zusammengerückt. Nicht zuletzt die Angst vor Viren - gerade in Arbeitsplatz-Rechnern - schaffe gemeinsame Interessen. Hinzu kommt laut Faust der Kompetenzfaktor: Datenschützer hätten häufig einen besseren Überblick über einschlägige Hard- und Software-Produkte als die Datenverarbeiter; deshalb würden sie zunehmend zum kompetenten Ansprechpartner auch in Sachen Datensicherheit.

Wie das vor sich gehen kann, schildert Faust am fiktiven Beispiel eines Großunternehmens mit DV-Leiter, Datenschutz-Beauftragtem und einem Support-Zentrum für die PC-Anwender. "Wenn Sicherheitsprodukte eingeführt werden müssen, beschafft sie der Datenschützer - nachdem er festgestellt hat, ob sie dem BDSG entsprechen -, und der Supporter testet sie. Der DV-Chef integriert dann das ausgewählte Paket in die betrieblichen Abläufe."

Sind die fraglichen Systeme auch zur Mitarbeiterkontrolle geeignet, muß der Betriebsrat ein Wort mitreden. Wie Faust aus Erfahrung berichtet, weigern sich viele Personalvertretungen, besonders sensitive personenbezogene Daten, zum Beispiel über Krankheiten, auf PCs verarbeiten zu lassen. Arbeitsplatz-Rechner stellen also offenbar ein besonders ausgeprägtes Konfliktpotential dar, das Kompromisse sehr schwierig macht.

Wenn Änderungen in einer DV-Installation oder Neu-Installationen anstehen, werden Datenschutz und -sicherheit in der Regel berücksichtigt. Bittere Erfahrungen machen Datenschutz-Beauftragte hingegen oft im anderen Fall. Berichtet Heinz Baltes, Datenschützer bei der Digital Equipment GmbH in München: "Wenn Sie im Nachhinein etwas umorganisiert haben wollen, stellen sich meist unlösbare Probleme, obwohl Sie als Verantwortlicher das Recht haben, so etwas zu fordern."

Die DV-Kompetenz der Datenschützer ist abhängig davon, aus welchem Bereich sie kommen. Von Haus aus oftmals Kaufleute, Revisoren beispielsweise, bleiben ihnen die Abläufe und Erfordernisse in einem Rechenzentrum weitgehend verborgen. Der Konflikt mit den DV-Praktikern ist in diesen Fällen kaum zu vermeiden. Wie Baltes berichtet, werden Regeln und Prozeduren zur Erhöhung der Datensicherheit oft als nutzlose Konstrukte angesehen, die "nur am vernünftigen Arbeiten hindern". Als Informatiker spricht Baltes dagegen die Sprache der DV-Praktiker. "Ich versuche, mit gesundem Menschenverstand herauszufinden, wo Sicherheit gefordert ist." Dabei sei er oft gezwungen, Sicherheitserfordernisse mit arbeitstechnischer und betriebswirtschaftlicher Vernunft abzuwägen.

Der betriebliche Datenschutz-Beauftragte ist weisungsfrei. Das, so meint Baltes, verschafft ihm einen weiteren Horizont bei der Beurteilung von Datensicherheits- und Datenschutz-Themen, als ihn DV- oder RZ-Mitarbeiter haben. Diese stünden unter dem Druck, etwa bei der Anschaffung von Sicherheitssystemen, immer die kostengünstigere Lösung zu finden. Eventuell bessere Systeme fänden dadurch erst gar keine Beachtung.

Andererseits sind durch die Weisungsfreiheit des Beauftragten auch Reibereien mit DV-Praktikern und Geschäftsführern vorgezeichnet. Baltes weiß: "Konfliktfälle gibt es immer. Das fängt bei der Etablierung von Kontrollmechanismen an. Die Maschinen werden immer kleiner, immer mehr Leute arbeiten an intelligenten Workstations. Wenn Sie sich das ansehen wollen, stehen Sie leicht als Schnüffler da, als einer, der Mißtrauen hegt und auch schürt."

Datenschutz wird oft als Schnüffeln mißverstanden

Datenschutz und Datensicherheit, lehrt die Erfahrung, geraten sich besonders in Großunternehmen leicht ins Gehege. Existenzkritische Daten mit Sicherheitsbedarf sind sehr häufig gleichzeitig personenbezogen: Das gilt etwa für Kunden-Datenbanken. Auch Planungsdaten fallen unter Umständen in die Gruppe der personenbezogenen Datenbestände. Ein Datenschutz-Beauftragter wie Baltes bei DEC, kann nicht umhin, sich mit den daraus resultierenden Sicherheitsfragen zu befassen. Gleichwohl kann sein Job auch in den Bereich unpersönlicher Daten hineingehen, zum Beispiel, wenn Applikationen, die mit personenbezogenen Daten arbeiten, auf der gleichen Hardware installiert sind.

DV-Sicherheit sei grundsätzlich eine Domäne des DV-Leiters, weil dieser "aufgrund seiner Tätigkeit tiefer in der Materie steckt", meint Elke Müller, Studentin der Wirtschaftsinformatik an der FH in München und spezialisiert auf das Thema Datenschutz. Dem durchschnittlichen Beauftragten für den Datenschutz dagegen spricht sie eher einschlägige Rechtskenntnisse zu; durch seinen Funktionsbereich, im BDSG definiert, stehe er außerdem über den technischen Sicherheitsaspekten. Er wisse, was im Interesse von Datenschutz und Datensicherheit zu geschehen habe, mit der technischen Umsetzung dagegen sei er heute häufig noch überfordert.

Gerade deshalb empfiehlt die Diplomandin: "Der Datenschutz-Beauftragte muß künftig auch in Sachen DV-Technik so gut wie möglich informiert sein, ansonsten können ihm die Profis erzählen, was sie wollen." In der Praxis entstammen Datenschützer häufiger dem kaufmännischen oder juristischen als dem technischen Bereich; umgekehrt wäre es wohl günstiger. Zumindest ist Elke Müller der Meinung, "daß man sich eher Rechts- als Informatikkenntnisse aneignen kann". Die Erfahrung lehre, daß Datenschützer oft als Gesetzbuch-bewaffnete Theorietäter, als Hemmschuhe der praktischen DV, verurteilt würden und deshalb einen schweren Stand bei den Profis im Rechenzentrum hätten.

"Theorietäter" haben eine schweren Stand

Das Problembewußtsein für Belange des Datenschutzes, obwohl in den letzten Jahren stärker entwickelt, hat noch nicht alle DV-Mitarbeiter erfaßt, stellt die Forscherin fest. Wenn der DV-Leiter bereit sei, mit dem Datenschützer zusammenzuarbeiten, gelte das nicht automatisch für seine Untergebenen. Diese tendieren, so ihre Beobachtung, zu der Befürchtung, ihre Arbeit werde durch zu viele Kontrollen behindert.

Die zentrale Frage zum Thema Datensicherheit ist nach Ansicht von Martin Schrempf, Datenschutz-Beauftragter der Max-Planck-Gesellschaft in München: "Soll sie nur Datenmißbrauch verhindern oder eine ordnungsgemäße, transparente DV im Sinne des Datenschutzes gewährleisten?" Und da, stellt er fest, hat eine Abkehr stattgefunden von der reinen Mißbrauchsverhinderung hin zur "datenschutzgerechten Technikgestaltung mit dem Ziel, die Persönlichkeitsrechte einzelner umfassend zu wahren". Daher ist es für Schrempf "... selbstverständlich, daß ein Datenschutz-Beauftragter auch mit Datensicherung zu tun hat, sobald es um personenbezogene Daten geht".

Datenschutz/-sicherung häufig gleiche Verfahren

Als grundsätzlich sinnvoll würde es der Praktiker erachten, wenn Datenschützer auch an der Sicherung betrieblicher Daten mitwirkten, denn "... die Verfahren sind grundsätzlich dieselben". Das Anforderungsprofil an den Beauftragten werde dadurch gleichwohl weit komplexen: Mehr technisches wie auch betriebswirtschaftliches Verständnis seien erforderlich neben der Fähigkeit, den Wert von Daten sowie die Risiken ihres Mißbrauchs oder -verlustes zu beurteilen.

Um Konflikte zwischen Datensicherheit und Datenschutz von vornherein auszuschließen, müssen in der Unternehmensstruktur die Verantwortlichkeiten klar zugewiesen werden. Meint Schrempf: "Zunächst ist es sicher die Aufgabe der datenverarbeitenden Stellen, also der Anwender und des Rechenzentrums, sich Gedanken um ein Sicherheitskonzept zu machen; der Datenschützer kann hierbei nur beraten und Vorschläge zur Umsetzung machen." Seine primäre Aufgabe sei es, den gesetzlichen Vorschriften sowie der Unternehmenspolitik zu ihrem Recht zu verhelfen. Die Durchführung der Schutz- und Sicherheitsmaßnahmen bleibe immer noch Angelegenheit der DV-Leiter.

Deren Sensibilität für Datensicherheit und Datenschutz, noch vor wenigen Jahren kaum vorhanden, ist nach Schrempfs Beobachtung eindeutig gestiegen. Grund: Die wachsende Abhängigkeit der Unternehmen von der DV habe zu mehr Kompromißbereitschaft bezüglich Sicherheitsmaßnahmen geführt. Das Ziel ist offenbar nicht mehr allein eine möglichst billige und reibungslose Datenverarbeitung, deren Risiken aber nicht kalkulierbar sind. Auch der Bereich personenbezogener Daten, die Stammdisziplin der Datenschützer, profitiert von gewachsener Sensibilität der DV-Betreiber, wie Schrempf beobachtet. Gab es früher "... heftige Diskussionen, weil die Belange des Datenschutzes auf wenig Verständnis stießen", hat jetzt nach seiner Erfahrung ein Umdenken stattgefunden.

Sicherheitstechnik genügt nicht den Anforderungen

Zielkonflikte zwischen Flexibilität und Benutzerfreundlichkeit der DV zum einen und Optimierung von Datenschutz und Datensicherheit zum anderen seien gleichwohl immer noch gang und gäbe, berichtet Schrempf. Hier sei die Sicherheitstechnik gefordert, die "oft weit hinter den Anforderungen zurückbleibt". Steht die Anschaffung eines Sicherheitsproduktes an, sind die DV-Leiter nach Ansicht des Beauftragten Schrempf gut beraten, sich an ihre Kollegen vom Datenschutz zu wenden. Von denen kämen noch immer die meisten Impulse. Voraussetzung sei natürlich umfassendes DV-technisches Wissen; eine Bedingung, die der Erfahrung nach lange nicht immer gegeben ist.

Die Anstellung eines Beauftragten eigens für die Systemsicherheit, neben dem Datenschutz-Beauftragten, hält Gerhard Weck, Fachgruppenleiter Sicherheit beim Kölner Softwarehaus Infodas GmbH, in großen Unternehmen für unverzichtbar. Zwischen diesen beiden die Kompetenzen aufzuteilen, sei dann nicht mehr problematisch: Die personenbezogenen Daten schütze der Datenschützer, die existenzkritischen betreue der Sicherheitsbeauftragte.

Kompetenzgrenzen können dennoch nicht alle Konflikte verhindern, wie auch Weck meint. Kritisch werde es in Datenbereichen, die Mitarbeiter betreffen: Personal-Informationssysteme, Zeiterfassung oder Leistungskontrolle. Die Steigerung der Produktivität geriete oftmals in einen Zielkonflikt mit schutzwürdigen persönlichen Interessen: Sich darum zu kümmern, ist nach Wecks Ansicht der Job des betrieblichen Datenschützers.

Daß dieser sich auch an der Entwicklung von Schutz- und Sicherheitskonzepten beteiligte, wäre nach Wecks Ansicht eine Ausnahme. Normalerweise, so das Szenario des Sicherheits-Cracks, überlegt sich der DV-Leiter das Sicherheitskonzept. Verabschieden und implementieren könne er es natürlich nicht ohne Zustimmung des Datenschützers. Im Prinzip würde Weck jedoch auch zustimmen, wenn ein kompetenter Datenschützer Konzepte für die Datensicherheit mit entwickelte.

Hartmut Pohl, Experte für DV-Sicherheit, erblickt im Gegensatz zu anderen kaum ein Konfliktpotential zwischen den Funktionen des Datenschützers und des Datensicherheits-Verantwortlichen.

Bei wichtigen Daten wird hoher Aufwand akzeptiert

Der betriebliche Datenschutz. Beauftragte, da argumentiert Pohl strikt am BDSG, ist für den Schutz personenbezogener Daten und für nichts anderes verantwortlich. "Erweitert man den Datenschutz-Begriff, kollidiert man mit der Definition des Gesetzes", befürchtet der Kölner. Gleichwohl will er nicht ausschließen, daß ein Datenschützer, ist er denn entsprechend qualifiziert, auch in Fragen der Datensicherheit sinnvoll tätig werden kann.

Wie will Pohl Konflikte vermeiden? - "Wenn Unternehmensleitung und Personalvertretung durch die Verantwortlichen für Datenschutz- und -sicherheit klargemacht werden kann, daß für das Unternehmen existenzkritische Daten vorliegen, dann werden sehr weitgehende Sicherheitsmaßnahmen akzeptiert. Voraussetzung ist eine Sensibilisierung aller Beteiligten."

Diese Sensibilisierung muß nach Pohls Empfehlung stattfinden, sobald die Fragen der Datensicherheit überhaupt aufkommt. Datenschützer, Datensicherer und Personalvertretung, meint er, sollten beteiligt sein an der "Informationswert-Analyse", der Bewertung von Unternehmensdaten nach ihrer betriebswirtschaftlichen Wichtigkeit, und an der Suche nach möglichen Lecks in der DV-Landschaft.

Dann allerdings, gesteht Pohl ein, können Konflikte auftreten, denn Sicherheitsaufwand kostet Geld, ohne sich unmittelbar zu rentieren. Meint der Experte: "Es gibt in der Bundesrepublik nur sehr wenige, die die Wirtschaftlichkeit von Sicherheitsmaßnahmen im Verhältnis zum Wert der Daten nachweisen können. Das ist eine Schwachstelle in der Sicherheitsberatung."