Datenschutzbeauftragter

Eine der Hauptfragen im Bezug auf die DSGVO: „Brauchen wir überhaupt einen Datenschutzbeauftragten?“

Zur Beantwortung sollten Sie sich die folgenden Fragen stellen. Bitte bedenken Sie, dass der Verantwortliche nach DSGVO sowohl eine natürliche als auch eine juristische Person sowie Behörde, Einrichtung oder andere Stelle sein kann. Betrachten Sie die Fragen also ggf. mit „wir“, „mein Unternehmen/meineFirma/etc.“ oder auch mit „meine Beschäftigten“:

  • Bin ich eine Behörde oder öffentliche Stelle (mit Ausnahme von Gerichten) und verarbeiten wir personenbezogene Daten?
  • Besteht meine Kerntätigkeit darin, Profiling [1] zu betreiben oder gar umfangreich regelmäßig und systematisch betroffene Personen zu überwachen?
  • Besteht meine Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten [2]?
  • Besteht meine Kerntätigkeit in der umfangreichen Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten?
  • Beschäftige ich mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten?
  • Erfordert meine Verarbeitung eine Datenschutz-Folgeabschätzung nach Artikel 35 DSGVO?
  • Verarbeite ich personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, auch wenn anonymisiert?
  • Verarbeite ich personenbezogene Daten für Zwecke der Markt- oder Meinungsforschung?


Wenn Sie auch nur eine dieser Fragen mit „Ja“ beantworten konnten: Herzlichen Glückwunsch! Sie unterliegen der Bestellpflicht nach Artikel 37 DSGVO und/oder § 38 des neuen BDSG und brauchen definitiv einen Datenschutzbeauftragten. Zögern Sie nicht zu lange, denn allein das Nichtbestellen trotz Pflicht steht unter Strafe und kann Geldbußen bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes des Vorjahrs nach sich ziehen!

Hier kommt die ASOFTNET ins Spiel. Sofern wir nicht schon Dienstleistungen im Bereich Ihrer IT durchführen, können wir Ihnen diesen stellen! Beides gleichzeitig geht leider nicht, da es gesetzlich untersagt ist, seine eigene Arbeit zu kontrollieren. Denn ein Datenschutzbeauftragter muss unabhängig und weisungsfrei sein und darf niemals einem Interessenskonflikt unterliegen! Wir kümmern uns also um Ihre IT oder wir checken sie – in beiden Fällen natürlich datenschutzkonform! Unsere Mitarbeiter waren ja bereits technisch geschult und sind es nun auch im Datenschutz!

„Aber warum soll ich denn einen externen Datenschutzbeauftragten bestellen? Kann das kein Interner sein oder sogar ich selbst?“

Natürlich können Sie das auch selbst und auch intern. Allerdings gibt es einige Beschränkungen bezüglich des genannten Interessenskonflikts und außerdem hat ein externer Datenschutzbeauftragter einige Vorteile!

Ein Interessenskonflikt besteht beispielsweise bei

– jeglicher Form der Geschäfts-/Unternehmensleitung,

– IT-Leitern, IT-Verantwortlichen,

– Marketingleitern,

– Personalverantwortlichen, Personalentscheidungsträgern, da sämtliche Möglichkeiten der Selbstkontrolle verhindert werden sollen!

Vorteile eines externen Datenschutzbeauftragten sind unter anderem:

– keine Aus- und Weiterbildungskosten für den internen Datenschutzbeauftragten

– Ende der Beschäftigung à Ausgaben für die Katz und erneute Kosten für den Nachfolger

– keine Betriebsblindheit, kein Interessenskonflikt

– kein durch das neue BDSG zugesicherter besonderer Abberufungs- und Kündigungsschutz [3]

– Beschäftigte unterliegen meist beschränkter Haftung und so kann diese auf Sie zurückfallen, wenn ihr interner Datenschutzbeauftragter (un)mittelbar einen Verstoß oder Vorfall bewirkt

– Vertragsbindung: Garantie für eine DSGVO-konforme Aufgaben- und Pflichterfüllung

– ein externer Datenschutzbeauftragter hat sich seinen Job im Normalfall selbst ausgesucht und sich freiwillig damit beschäftigt, ist also motivierter und bestrebter in seiner Funktion (;

 

Übrigens finden Sie hier noch ein paar weitere wichtige Infos rund um das Thema der neuen Datenschutzgrundverordnung!‘

[1] Profiling: jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen

[2] personenbezogene Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person

[3] § 6 Abs. 4: „Die Abberufung der oder des Datenschutzbeauftragten ist nur in entsprechender Anwendung des § 626 des Bürgerlichen Gesetzbuchs zulässig. Die Kündigung des Arbeitsverhältnisses ist unzulässig, es sei denn, dass Tatsachen vorliegen, welche die öffentliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigen. Nach dem Ende der Tätigkeit als Datenschutzbeauftragte oder als Datenschutzbeauftragter ist die Kündigung des Arbeitsverhältnisses innerhalb eines Jahres unzulässig, es sei denn, dass die öffentliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigt ist.“
§ 38 Abs. 2: „§ 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.“

Securityscan / Securitymonitoring

Auch hier nutzen wir ein Produkt, welches die Anforderungen des BSI und der DSGVO erfüllt und wir einen engen Kontakt zum deutschen Support haben. Der Hersteller dieser Software stammt ebenfalls aus Deutschland. Um Schwachstellen im Netzwerk und auf den Servern erkennen zu können, werden automatisierte Security Scans durchgeführt. Hier wird das komplette Netzwerk mit unterschiedlichen Abfragen befeuert und ein Abgleich mit aktuell bekannten Schwachstellen durchgeführt. Hinterher erfolgt eine Auswertung und ein ausführlicher Bericht.

  • Scan nach SVE
  • Brut Force Attacken
  • Überprüfen nach bekannten Schwachstellen
  • Scan nach offenen Ports und erreichbaren Diensten
  • Information Sammlung von “zu gesprächigen Produkten”
  • Überwachung der CPU, Speicher, Netzwerkkartenauslastung, Softwareprodukte und CVE
  • Updateprüfung und automatisierte Ausführung
  • Firewall Verwaltung
  • Erkennung von Anomalien

Security Orchestration Automation and Response (SOAR)

Mit Hilfe von SOAR werden Informationen über Sicherheitsbedrohungen aus verschiedenen Quellen gesammelt und zentral bereitgestellt. Auf Basis dieser Informationen kann eine automatisierte Reaktion auf aktuelle Sicherheitsbedrohungen erfolgen, ohne dass Mitarbeiter aktiv werden müssen.

Die grundsätzliche Arbeitsweise von SOAR lässt sich in folgende drei Funktionskomponenten einteilen:

  • die Datensammlung
  • die Verarbeitung
  • die automatisierte Reaktion

EDR / EIPS

Auch hier nutzen wir ein Produkt, welches die Anforderungen des BSI und der DSGVO erfüllt und wir einen engen Kontakt zum deutschen Support haben. Der Hersteller dieser Software stammen teilweise aus Deutschland. Die EDR-Software hilft Bedrohungen zu identifizieren, die andere Abwehrmaßnahmen überwinden konnten und stoppt diese. Es wird anhand der Installation von Agenten auf dem Endgerät bereitgestellt. EIPS erkennt in Echtzeit Angriffe auf Schwachstellen in anfälligen Systemen oder Anwendungen und stoppt diese.

  • Erkennt und verhindert Bedrohungen von innen durch Benutzer- und Entitätsverhaltensanalyse (UEBA)
  • Scan nach MITRE ATT&CK
  • Sammeln von Daten auf den Endgeräten
  • Erkennung von Angriffen auf Schwachstellen

Forensik

Hier nutzen wir Tools, welche die Anforderungen des BSI und der DSGVO erfüllen und wir einen engen Kontakt zum deutschen Support haben. Der Hersteller dieser Tools stammen teilweise aus Deutschland. Mit Hilfe der Forensik-Tools kann das Verhalten der Angreifer sowie deren Taktiken, Techniken und Prozesse in kürzester Zeit identifiziert und eine Ausbreitung verhindert werden.

  • Analyse der Verhaltensmuster aller Endpunkte in Echtzeit
  • Erkennung von Malware und ungewöhnlichen Aktivitäten
  • Erfassen gezielter forensischer Daten durch intelligente Filter
  • Sichere Untersuchung per Fernzugriff

Threat-Hunting

Ist eine Proaktive Methode zur Verbesserung der Cyber Security. Hier wird aktiv nach Bedrohungen im Netzwerk gesucht, bevor es konkrete Anzeichen für einen Angriff gibt.

  • Manuelles Durchforsten des Netzwerks und der IT-Systeme nach potenziellen Bedrohungen
  • Unterstützung durch automatisierte Techniken wie UEBA und Sicherheitstools
  • Optimierung der automatisierten Sicherheitssysteme mit Hilfe der Erkenntnisse des Thread Huntings

Threat Intelligence Management

Verwaltung, Auswertung und korrelieren der gesammelten Bedrohungsdaten und Vorfälle. Ein Threat Intelligence Service nimmt sich der Problematik an, dass zwar sehr viele Daten zu bestehenden und neuen Bedrohungen für die Sicherheit von IT-Systemen existieren, aber diese nicht in konsolidierter Form zur Verfügung stehen. Unternehmen müssen einen hohen Aufwand betreiben und viel Zeit investieren, um die Daten zu sichten, zu filtern und sie für sich nutzbar zu machen.

Ein Threat Intelligence Service ist in der Lage, Daten aus unterschiedlichen Quellen zu sammeln, zu filtern, zu analysieren und sie in einer nutzbaren Form bereitzustellen. Mo gliche Formate können Data-Feeds oder Berichte für das Management und IT-Verantwortliche sein. Einige Systeme sind darüber hinaus in der Lage, technische Kontrollinstanzen der IT-Sicherheit mit Daten für automatisch generierte Aktionen zu versorgen.

Managed Service

Übernehmen der IT-Überwachung um den laufenden Betrieb von IT-Systemen sicherstellen und bereitstellen von Services wie Anwendungen, Netzleistungen, Speicherplatz, Security oder das Monitoring der IT-Infrastrukturen.

  • Storage-Services
  • Anwendungen
  • Netzleistungen
  • Infrastructure-Services
  • Disaster-Recovery
  • Anwender-Support

Penetrationstest

Mit Hilfe des Penetrationstests (auch Pentest genannt), wird mit gezielt ausgefu hrten Angriffen versucht die Empfindlichkeit von Netzwerken oder IT-Systemen gegenu ber Einbruchs- und Manipulationsversuchen festzustellen. Zum Einsatz kommen Methoden und Techniken, die auch von echten Angreifern oder Hackern verwendet werden. Die erkannten Schwachstellen werden in einem Bericht aufgefu hrt mit den passenden Lo sungsansa tzen zur Verbesserung der IT-Sicherheit.

  • Aufdecken von Schwachstellen

SIEM / Logmanagement

Wir nutzen zur Auswertung der Logdateien ein Produkt, welches die Anforderungen der DSGVO voll erfüllt und die Zusammenarbeit mit der Entwicklung sehr gut klappt, da der Hersteller dieser Software aus Deutschland stammt. Hier werden alle Logdateien von ALLEN Geräten gesammelt und analysiert. (Server, Client, Switch, Firewall, Router, Datenspeicher etc.)

  • N-Augen Prinzip zur Freischaltung personengebundener Datensätze
  • Anonymisierte Darstellung im Logmanagement
  • Automatisierte Prozesse bei Alarmierung
  • Agent-basierte Log Anlieferung