Datensicherung: Vor allem Eigeninteresse

04.03.1977

Von Bodo E. Underberg, ist Bereichsbeauftragter für Datenschutz des Unternehmensbereichs Nachrichtentechnik der Siemens AG. Der Beitrag basiert auf dem Text eines in Innsbruck auf einem Siemens-Anwender-Seminar gehaltenen Referates.

Öffentliche und nichtöffentliche Stellen haben ein verständliches Interesse an rationeller - möglichst uneingeschränkter Datenverarbeitung. Den heiklen Auftrag, das Gleichgewicht zwischen den konkurrierenden Interessen von Betroffenen und Datenverarbeitern Herzustellen versucht das Bundesdatenschutzgesetz (BDSG) zu erfüllen. Ob es diesem Anspruch gerecht wird, ist eine andere Frage. Tatsache ist - Initiativen für die Novellierung des BDSG sind zu erwarten. Sie waren, so kursiert Insider-Kritik, bei der Verabschiedung des Gesetzes bereits in der Diskussion.

In den Anlagen zu Paragraph 6 wird das Gesetz recht konkret, wenn es die technischen und organisatorischen Maßnahmen beschreibt die nach Art der zu schützenden personenbezogenen Daten geeignet sind:

- Unbefugten den Zugang zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet werden, zu verwehren (Zugangskontrolle),

- Personen, die bei der Verarbeitung Personenbezogener Daten tätig sind, daran zu hindern, daß sie; Datenträger unbefugt entfernen (Abgangskontrolle).

Bis hin zur Organisationskontrolle werden zehn solcher Zielvorgaben aufgeführt, die durch Rechtsverordnung nach dem jeweiligen Stand der Technik und Organisation fortgeschrieben werden können. Einschränkend heißt es im Paragraph 6 jedoch auch: "Erforderlich sind Maßnahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zum angestrebten Schutzzweck steht."

Werden die zu schützenden Daten mit einem Abfragediagramm analysiert, so lassen sie sich in drei Kategorien fächern:

1. In Daten, die unter das ganze BDSG fallen,

2. in Daten, für die nur Paragraph 6 gilt, und

3. in Daten, die vom Gesetz nicht betroffen sind.

Für den Schutz der Daten aus der Kategorie drei hat die datenverarbeitende Stelle selbst zu sorgen: Da dies so sensitive Daten wie Konstruktionsdaten oder Facts aus dem Rechnungswesen sein können, ist dieser Schutz dringend erforderlich. Grundsätzlich sind Mittel und Methoden für den vorn BDSG geforderten und die im Unternehmensinteresse liegende Datensicherung gleich. Wer im eigenen Haus, wegen bereits Datensicherung praktiziert, der kann den Forderungen des Paragraph 6 mit geringerem Mehraufwand gerecht werden.

Was ist Datensicherung? Bei der Siemens AG umreißt der Begriff zum Beispiel:

- Die technisch/organisatorische Aufgabe, die Sicherheit von Datenbeständen und Datenverarbeitungs-Abläufen zu gewährleisten, so daß

- der Zugriff zu Daten nur Berechtigten möglich ist,

- keine unerwünschte, unberechtigte Verarbeitung von Daten erfolgt,

- Daten bei der Verarbeitung nicht verfälscht werden,

- Daten reproduzierbar sind.

Mit den in Hard- und Software enthaltenen technischen und organisatorischen Vorkehrungen sowie den übrigen, baulichen, personellen und anderen organisatorischen Vorkehrungen soll diese Datensicherung realisiert und Datensicherheit werden. Die Datensicherheit ist jedoch auf dem gesamten Weg einer Information zu gewährleisten. Deshalb müssen sich Sicherungsmaßnahmen über das Rechenzentrum hinaus auch auf die Bereiche der vor- und nachmaschinellen Verarbeitung erstrecken. Deshalb muß bis weit in die Fachabteilungen hinein "Umweltorganisation" betrieben werden.

Um diese Datensicherheit zu realisieren, sind klare Kompetenzen, Befugnisse und Verantwortlichkeiten für die Funktionsbereiche, zu formulieren. Funktionsbereiche (oder Beteiligte) wären: Anwender, Verfahrensentwicklung und Programmierung, das Rechenzentrum mit Datenerfassung, Archiv und Systembetreuung sowie die meist von der internen Revision wahrgenommene Verfahrensüberwachung.

Betrachtet man den Funktionsbereich Rechenzentrum unter dem Datensicherungsaspekt, so müssen:

- bereits bei der Planung Sicherheitsbelange bei Lage, Bau und Einrichtung des Rechenzentrums berücksichtigt werden, weil Nachrüstungen unverantwortlich aufwendig werden,

- beim Aufbau der Organisation die Funktionseinheiten im RZ sorgfältig voneinander abgegrenzt werden, wobei Aufgaben, Rechte und Pflichten: klar beschrieben werden müssen,

- die Mitarbeiter sorgfältig ausgewählt und eventuell schriftlich zur Vertraulichkeit verpflichtet werden,

- Rechenzentren grundsätzlich im Closed Shop-System betrieben werden. Nur im RZ Beschäftigte haben Zutritt, wobei Zu- und Abgang von

- Personal

- Material und

- Informationen

kontrolliert werden müssen. Deshalb muß

- jedes Hantieren an der Anlage protokolliert werden und

- für jedes RZ ein Katastrophenplan mit Maßnahmen bei Eintritt einer Katastrophe und für die reibungslose Wiederaufnahme der Arbeit nach der Katastrophe erarbeitet werden.

Um nun die Datensicherheit bei der Planung und Entwicklung von Verfahren zu gewährleisten, sollte der verantwortliche Projektleiter ein "ASK-System" (Abstimm-, Sicherungs- und Kontrollsystem) aufbauen. Wobei er mit dem -Anwender, mit der internen Revision und eventuell dem Beauftragten für den Datenschutz zusammenarbeitet. Das "ASK-System" ist gesondert zu beschreiben und als Teil eines Pflichtenheftes zu führen. Es muß in der Planungsphase des EDV-Verfahrens erstellt werden und hat zu enthalten:

1. Die Einstufung in Risikoklassen bei Einzeldaten, bei der Kombination von Daten, bei Programmen und Dokumentationsunterlagen des EDV-Verfahrens.

2. Einen Informationsflußplan, der die Gesamtheit des EDV-Verfahrens berücksichtigt und die Schwachstellen (Schnittstellen, Transportwege) besonders hervorhebt.

3. Eine Aufstellung der festgelegten ASK-Maßnahmen für den vor- und nachmaschinellen Kreis, den maschinellen Kreis selbst, die Programme und die Dokumentationsunterlagen.

Alle Maßnahmen muß das ASK so organisieren, daß Verfälschung, Verlust und unberechtigter Zugriff ausgeschaltet werden, und zwar bei jedem Datenfeld für sich, bei der Kombination von Daten sowie bei allen Gegenständen der Dokumentation - wie es der Risikograd verlangt. Beispiele für ASK-Maßnahmen sind:

- Standardsoftware-Maßnahmen: Diese Kontrollen stehen als Module zur Verfügung und haben die Erkennung oder Bearbeitung bestimmter Fehlerarten zur Aufgabe. Sie sind innerhalb der Anwenderprogramme zu aktivieren.

- Programmierte Maßnahmen: Darunter fallen Kontrollen, die nicht in der Basissoftware enthalten sind (etwa Vollständigkeits- und Plausibilitätskontrollen, Abstimmsummen an Schnittstellen). Sie sind - da sie zwangsläufig wirken - personellen Kontrollen vorzuziehen.

Um einen Verfahrensablauf zu sichern, empfehlen sich folgende Maßnahmen:

Gegen Verlust: fortlaufende Numerierung, hinterlegtes Duplikat, Begleitscheine und Summenkontrollen.

Gegen Verfälschung: Prüfzahl, Feldzahlangaben Summenkontrollen, Unterschrift und Prüfung.

Gegen Fremdzugriff: Begleitzettel Quittungsverfahren, Sicherung der Transportwege, Sicherung der Aufbewahrungsorte.

Bei anspruchsvollen Verfahren lassen sich auch maschinell Abstimmraster auf von den abzustimmenden Dateien unabhängigen Dateien abfragen. So eine Datei könnte dann für die Fortschreibung des Bestandes, die Fortschreibung der Dateien oder zum Führen von Statistiken eingesetzt werden.