Verantwortung

An einem Dienstagmorgen stellt NordWerk fest, dass sich nachts jemand mit dem Zugang einer Kundenservice-Mitarbeiterin im Webshop-Backend angemeldet und die Kundenliste heruntergeladen hat. Die Mitarbeiterin war auf eine gefälschte E-Mail hereingefallen, und aufgefallen ist der Zugriff nur, weil jemand zufällig das Protokoll gelesen hat. Marcus Hofer nimmt das Backend vom Netz, die Filialen können keine Abholungen mehr sehen. Ob der Vorfall gemeldet werden muss und wer darüber entscheidet, weiß niemand, nur dass eine Frist läuft.

Das Kapitel ordnet einen solchen Vorfall Schritt für Schritt. Zuerst trennt es Begriffe, die im Alltag verschwimmen: Informationssicherheit, IT-Sicherheit, Datensicherheit und Datenschutz sind verschiedene Fragen mit verschiedenen Zuständigen. Die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit beschreiben, was verletzt wurde. Bedrohungen ordnet das Kapitel nach dem Weg, auf dem sie ein Schutzziel erreichen, technisch, menschlich oder organisatorisch, und ein Fehler ohne böse Absicht verletzt dieselben Ziele wie ein Angriff.

Aus Wahrscheinlichkeit und Auswirkung entsteht ein Risiko, das bewusst behandelt wird: vermeiden, vermindern, übertragen oder akzeptieren. Ein Restrisiko bleibt immer. Damit Sicherheit nicht bei Einzelmaßnahmen stehen bleibt, braucht es ein Informationssicherheits-Managementsystem, das Verantwortlichkeiten, Berechtigungen, Technik, Wiederanlauf und die Vorbereitung auf Vorfälle dauerhaft steuert.

Der zweite Teil gilt der Privatsphäre. Datenschutz schützt Menschen, nicht Daten. Das Kapitel unterscheidet Personenbezug, Pseudonymisierung und Anonymisierung und zeigt die DSGVO als Gestaltungsanforderung an Datenflüsse, Systeme und Prozesse. Zum Schluss kehrt es zum Vorfall zurück und geht ihn in acht Schritten durch. Dabei wird deutlich, dass die Verantwortung für Meldung, Restrisiko und Datennutzung bei der Geschäftsführung liegt und vor dem Vorfall geklärt sein muss.