Unterschiede zwischen Datenschutz und Datensicherheit – Wieso Datensicherheit dem Datenschutz schaden kann?

Die Begriffe Datenschutz und Datensicherheit werden in der Praxis oft als Synonym verwendet, dabei unterscheiden sie sich in ihren verfolgten Zielen. Bei der Datensicherheit geht es um den Schutz von Daten allgemein und mit Hilfe des Datenschutzes sollen personenbezogene Daten geschützt werden. Die Aussage, dass Datenschutz ohne Datensicherheit nicht möglich ist, trifft zu, allerdings gibt es auch Ausnahmen, die zeigen, dass Maßnahmen der Datensicherheit dem Datenschutz auch schaden können.

Klare Definition der Begriffe nicht möglich

Die Frage nach dem Unterschied der einzelnen Begrifflichkeiten wird oft (vor allem bei Mitarbeiterschulungen) gestellt. Gleichwohl ist eine exakte Abgrenzung und eine klare Definition der Begriffe nicht möglich, da diese je nach Verfasser und Kontext unterschiedlich interpretiert werden können. Trotz der fehlenden einheitlichen Definitionen soll die folgende Abgrenzung als Orientierung dienen:

Datenschutz

Bei dem Datenschutz geht es um den Schutz der Privatsphäre eines jeden Menschen. Datenschutz garantiert jedem Bürger ein Recht auf informationelle Selbstbestimmung und schützt ihn vor missbräuchlicher Verwendung seiner Daten. Für die Verarbeitung personenbezogener Daten gibt es Regeln, die hauptsächlich im BDSG bzw. den Datenschutzgesetzen der Länder niedergelegt sind. Hier wird also danach gefragt, ob personenbezogene Daten überhaupt verarbeitet werden dürfen.

Datensicherheit

Im Unterschied zum Datenschutz befasst sich die Datensicherheit mit dem Schutz von Daten, unabhängig davon ob diese einen Personenbezug aufweisen oder nicht. Unter den Begriff Datensicherheit fallen daher grundsätzlich auch Daten, die keinen Personenbezug haben (also auch geheime Konstruktionspläne) sowohl digital als auch auch analog (z.B. auf Papier).

Datensicherheit soll Sicherheitsrisiken begegnen und die Daten vor z.B. Manipulation, Verlust oder unberechtigter Kenntnisnahme schützen. Hier geht es also nicht um die Frage, ob Daten überhaupt erhoben und verarbeitet werden dürfen (das ist eine Frage des Datenschutzes), sondern um die Frage, welche Maßnahmen zum Schutz der Daten erhoben werden müssen. Die Datensicherheit ist im Kontext des Datenschutzes gemäß § 9 BDSG (inkl. Anlage) durch Umsetzung geeigneter technischer und organisatorischer Maßnahmen zu gewährleisten.

Informationssicherheit

Weiterhin gibt es den Begriff der Informationssicherheit, der vor allem in den IT-Grundschutzkatalogen des BSI oder in der ISO 27001 zu finden ist und den Schutz von Informationen als Ziel hat. Dabei ist hier ebenfalls unerheblich, ob es sich um digitale oder analoge Informationen handelt und ob diese einen Personenbezug haben. Teilweise wird die Datensicherheit als ein Teil der Informationssicherheit angesehen, da Letzteres umfassender ist.

IT-Sicherheit

Auch die IT-Sicherheit ist ein Teil der Informationssicherheit und bezieht sich auf elektronisch gespeicherte Informationen und IT-Systeme. Dabei wird unter IT-Sicherheit nicht nur der Schutz der technischen Verarbeitung von Informationen verstanden. Vielmehr fällt auch die Funktionssicherheit darunter, also das fehlerfreie Funktionieren und die Zuverlässigkeit der IT-Systeme.

Schutzziele der Daten-, Informations- und IT-Sicherheit

Um die Angriffe auf Daten / Informationen, Systeme oder Kommunikationswege besser beschreiben zu können, werden Schutzziele in unterschiedliche Kategorien unterteilt. In diesem Artikel wird zwischen Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit unterschieden, wobei auch andere Kategorisierungen anzutreffen sind.

• Vertraulichkeit*

Vertraulichkeit bedeutet, dass Daten nur befugten Personen zugänglich zu machen sind. Bedroht sind nicht nur die Daten selbst sondern auch z.B. Systeme, Konfigurationen. Ein Angriff auf die Vertraulichkeit stellt die unbefugte Informationsgewinnung dar (z.B. durch das Ausspähen der login-Daten durch einen Unbefugten). Bei der Vertraulichkeit müssen Sicherheitsmaßnahmen erhoben werden, damit ein unbefugter Zugriff auf gespeicherte als auch auf übermittelte Daten verhindert werden kann.

• Integrität*

Integrität bedeutet, dass Daten / Systeme korrekt, unverändert bzw. verlässlich sind. Ein Angriff auf die Integrität wäre z.B. die Verfälschung der Daten, wenn der Empfänger eine andere Nachricht erhält, als vom Sender abgeschickt. Die Integrität ist aber auch dann tangiert, wenn Soft- oder Hardware fehlerhaft arbeitet und falsche Ergebnisse liefert (und damit unverlässlich ist). Damit kann ein Angriff nicht nur absichtlich sondern auch versehentlich durch Software- oder Bedienungsfehler erfolgen.

Verschickt ein Händler einen Kaufauftrag an einen Kunden, sollte dies auf einem verschlüsselten Weg erfolgen, damit unterwegs kein Dritter den Kaufauftrag in einen Verkaufsantrag ändern kann.

• Authentizität*

Authentizität bedeutet die Echtheit, Zuverlässigkeit und Glaubwürdigkeit einer Mitteilung. Ein Angriff auf die Authentizität stellt die unbefugte Erzeugung von Nachrichten dar, z.B. unter einer falschen Identität. Typische Beispiele sind das Bestellen von Waren unter einem falschen Namen oder das Ausgeben eines Kriminellen als Bankmitarbeiter. Zudem muss auch die Authentizität von IT-Systemen gewährleistet sein (z.B. im elektronischen Zahlungsverkehr).

Hierzu gehört auch die Verbindlichkeit, d.h. dass ein unzulässiges Abstreiten des Absenders oder Empfängers einer Information verhindert werden soll. Der Empfänger soll also beweisen können, dass die Information tatsächlich von dem berechtigten Absender stammt (wie z.B. bei einer qualifizierten elektronischen Signatur die eine eigenhändige Unterschrift ersetzt). Darüber hinaus kann aber auch der Sender beweisen, dass die Nachricht beim Empfänger angekommen ist (wie bei einem Einschreiben mit Rückschein).

• Verfügbarkeit*

Verfügbarkeit bedeutet, dass Daten und IT-Systeme zur Verfügung stehen und von autorisierten Personen genutzt werden können, wenn dies benötigt wird. Eine unbefugte Unterbrechung z.B. durch Serverausfall oder Ausfall von Kommunikationsmitteln stellt einen Angriff auf die Verfügbarkeit dar.

Alle oben genannten Schutzziele dürfen nicht isoliert betrachtet werden, da sie ineinander greifen und sich gegenseitig bedingen. Dabei sollte jedes Unternehmen selbst die Gewichtung einzelfallabhängig vornehmen.

Was versteht man unter Datenschutz?

Beim Datenschutz wird versucht, den Schutz von persönlichen Daten zu gewährleisten.

Es geht um den Schutz von personenbezogenen Daten, wobei der Schwerpunkt nicht der Inhalt/die Bedeutung der Daten ist, sondern die informationelle Selbstbestimmung. Falls die Daten einen Personenbezug aufweisen, dann spricht man von personenbezogenen Daten. Diese können direkt, zum Beispiel der Name, oder indirekt sein, z.B. die Telefonnummer, welche unter Einbezug einer anderen Informationsquelle, einer bestimmten Person zugeordnet werden kann. In Deutschland greifen in diesen Fällen das Bundesdatenschutzgesetz (BDSG), landesspezifische Vorschriften, wie zum Beispiel das Datenschutzgesetz NRW (DSG NRW) oder bereichsspezifische Gesetze, wie z B. das Telemediengesetz (TMG), die die Privatsphäre der Menschen schützen sollen. Datenschutz ist ein juristischer Begriff, weil alle rechtliche Vorschriften, die personenbezogene Daten schützen sollen, erfasst werden. Beim Datenschutz geht es somit um die rechtlichen (theoretischen) Fragen („Unter welchen Voraussetzungen dürfen personenbezogene Daten erhoben, verarbeitet oder genutzt werden?“ und weniger um die technische Umsetzung, die wieder rum im Rahmen von der Datensicherheit (praktischer Ansatz) aufgegriffen wird.

Was ist unter Datensicherheit zu verstehen?

Die Datensicherheit bietet Maßnahmen, um den im Datenschutzrecht geforderten Schutz umzusetzen. Beim Datenschutz handelt es sich sozusagen um "die Theorie" und bei der Datensicherheit um "die Praxis", welche den Datenschutz umsetzt. Die Datensicherheit beschäftigt sich mit der Frage, was im Bereich des Datenschutzes möglich ist und bildet somit das Gegenstück zu ihm, da ansonsten keine Daten geschützt, sondern nur Vorschriften formuliert werden. Beim Datenschutz geht es allein um personenbezogene Daten, im Gegensatz dazu beschäftigt sich die Datensicherheit mit jeglichen Daten unabhängig von ihrem Personenbezug. Den Kernpunkt der Datensicherheit bilden Maßnahmen, welche den Schutz der Daten vor Missbrauch (Kontrollierbarkeit), Verfälschung (Integrität), Verlust (Verfügbarkeit) und unberechtigter Zugriffe (Vertraulichkeit) gewähren. Verantwortliche Stellen, wie zum Beispiel Unternehmen, Vereine und Behörden, sind lediglich zur Einhaltung der Anforderungen des BDSG verpflichtet, wobei keinerlei gesetzliche Verpflichtung zur Abstimmung der technischen und organisatorischen Maßnahmen besteht. Der Begriff Datensicherheit sollte nicht mit der IT-Sicherheit verwechselt werden, da bei der IT-Sicherheit der Schutz von digitalen Daten im Vordergrund steht.

Inwiefern schadet die Datensicherheit dem Datenschutz?

Grundsätzlich tragen die Maßnahmen des Datenschutzes zur Datensicherheit bei, aber es gibt auch einige Ausnahmen. Eine dieser ist das Auslagern von Daten in eine Cloud. Das Auslagern von Daten in einen Cloud-Speicher schützt Daten vor Verlust und ist eher förderlich für die Datensicherheit, so verursacht diese Maßnahme zahlreiche Risiken und Probleme i. Hinblick auf den Datenschutz. Kann das Auslagern in einen Cloud-Speicher die Daten vor Verlust schützen und ist grundsätzlich eher förderlich für die Datensicherheit, so verursacht diese Maßnahme in Hinblick auf den Datenschutz zahlreiche Risiken und Probleme. Bei einer Datensicherung in der Cloud, handelt es sich aus Datenschutzrecht bereits um eine Übermittlung, die wiederrum nur erlaubt ist, wenn sie auf einer Rechtsgrundlage oder einer informierten Einwilligung basiert. Hat der Cloud-Anbieter seinen Sitz zudem in einem Drittland, außerhalb der europäischen Union (EU) oder des europäischen Wirtschaftsraums (EWR), so muss die verantwortliche Stelle weitere Maßnahmen umsetzen, so ist üblicherweise ein angemessenes Datenschutzniveau herzustellen.

Unterschiede