freshidea - stock.adobe.com
Datenfriedhöfe gefährden Datenschutz und Datensicherheit
Das Augenmerk von Unternehmen liegt meist eher auf dem Erfassen und Sammeln von Daten, statt auf der rechtzeitigen Löschung. Das kann gravierende Folgen für den Datenschutz haben.
Die meisten Organisationen haben sich viele Jahre eher auf die Datenerfassung als auf deren Löschung konzentriert. In der Vergangenheit betrachtete man es als Wettbewerbsvorteil, möglichst viele Daten von Kunden zu besitzen, da diese Daten den Unternehmen die Personalisierung ihrer Angebote ermöglichten.
Sichere Datenverarbeitung setzt voraus, dass Daten nicht nur erfasst, sondern auch rechtzeitig gelöscht werden. Letzteres ist bei der Mehrheit der Organisationen leider immer noch nicht gängige Praxis.
Wie aus einer Studie von Netwrix hervorgeht, sammeln tatsächlich 61 Prozent der Organisationen, die der Datenschutz-Grundverordnung (DSGVO) unterliegen, mehr Kundendaten als erforderlich. Gleichzeitig hat mehr als die Hälfte der befragten Organisationen (53 Prozent) noch kein Programm zur Datenaufbewahrung implementiert.
Im Wesentlichen besteht das Problem darin, dass die großen Datenmengen, die ein Unternehmen eigentlich nicht benötigt, die Angriffsfläche vergrößern. Unternehmen laufen dadurch Gefahr, erhebliche Bußgelder zahlen zu müssen, die angesichts des heutigen Wirtschaftsklimas für jedes Unternehmen verheerend sein können.
Wie entstehen die Datenfriedhöfe?
Der gesunde Menschenverstand sagt einem zwar, dass das Bereinigen von Datenspeichern ein unvermeidbarer Aspekt der Datenstrategie eines jeden Unternehmens sein sollte, doch ist dies leichter gesagt als getan.
Erstens zögern Datenbesitzer oft, alte Kundendaten zu löschen, da sie glauben, dass diese sich möglicherweise als nützlich erweisen könnten. Einige Organisationen beschließen, alte Daten aufzubewahren, in der Hoffnung, dass diese Kunden eines Tages zurückkehren. Andere möchten vielleicht so viele Kundendaten wie möglich sammeln, weil sie hoffen, dass das maschinelle Lernsystem irgendwann etwas Bemerkenswertes darin entdeckt.
Zweitens fehlt es den IT-Teams häufig an ausreichender Unterstützung und Ressourcen, um die Dateneigentümer zu kontrollieren und sicherzustellen, dass die Richtlinien zur Aufbewahrung von Daten eingehalten werden. Im Zuge solcher Richtlinien müssen Mitarbeiter häufig ihre eigenen Datenspeicher überprüfen und unnötige Dateien löschen.
In der Praxis verbringen die Mitarbeiter ihre Zeit jedoch selten mit solch mühsamen Aufgaben und teilen der IT einfach mit, dass alle von ihnen gehaltenen Daten erforderlich sind. Gleichzeitig haben IT-Teams womöglich weder Zeit noch Personal, um TBytes an Unternehmensdaten zu durchsuchen und zu bestimmen, welche Datensätze gelöscht werden sollen. Vielmehr zeigt die Studie weiterhin, dass 66 Prozent der CIOs der Meinung sind, es sei schwierig, redundante, alte oder triviale (engl. „ROT“) Daten in ihren Organisationen zu identifizieren.
Infolgedessen werden Unternehmen häufig mit Daten überflutet, von denen viele entweder alt, unnötig oder doppelt vorhanden sind. Diese Situation wird auch durch die Erschwinglichkeit von Datei- und Cloud-Speichern begünstigt. Einige Unternehmen finden es daher einfacher, zusätzlichen Speicher zu kaufen, als Zeit und Ressourcen ihrer Mitarbeiter für die Suche nach zu löschenden Daten zu verwenden – insbesondere in wirtschaftlich schwierigen Zeiten.
Welches Risiko stellen unnötige Daten dar?
Die Compliance-Risiken, die mit der Speicherung unnötiger Kundendaten auf unbestimmte Zeit einhergehen, sind enorm. Die DSGVO schreibt Organisationen vor, nur erforderliche Daten zu erfassen und so lange aufzubewahren, wie dies nötig ist (Artikel 25).
Tatsächlich heißt es in Erwägungsgrund 39, dass „der Verantwortliche Fristen für ihre Löschung oder regelmäßige Überprüfung vorsehen“ sollte, um sicherzustellen, dass der Zeitraum, für den die personenbezogenen Daten gespeichert werden, auf ein striktes Minimum begrenzt ist. Neben der Durchsetzung dieser Regeln überwachen die Aufsichtsbehörden genau, ob Organisationen diese Anforderungen erfüllen.
Werden alte Kundendaten nicht rechtzeitig gelöscht, kann dies zu hohen Bußgeldern aufgrund von Compliance-Verstößen führen, selbst wenn es der erste Verstoß des Unternehmens war. Tatsächlich wurde 2019 eine Geldbuße in Höhe von 14,5 Millionen Euro über das deutsche Unternehmen die Deutsche Wohnen SE verhängt (PDF). Dem Unternehmen wurde vorgeworfen, ein Archivsystem zur Speicherung personenbezogener Mieterdaten zu verwenden, dass keine Möglichkeit zur Löschung nicht mehr benötigter Daten bot.
Darüber hinaus erhöhen große Mengen unnötiger Daten die Angriffsfläche eines Unternehmens, denn Hacker sind bei ihren Raubzügen nicht wählerisch und stehlen im Zweifelsfall alle zugänglichen Daten. Tatsächlich sind Unternehmen durch große Mengen an ROT-Dateien anfälliger für mögliche Datenverletzungen. Beispielsweise war die Hotelkette im Fall Marriott International (2018) aufgrund der großen Menge an Datendoppelungen nicht in der Lage, den Schaden genau einzuschätzen.
Marriott brauchte ungefähr drei Monate, um alle doppelten Daten zu löschen und die ursprünglich verkündete Anzahl von 500 Millionen kompromittierten Datensätzen auf 383 Millionen zu senken. Das Unternehmen gab jedoch zu, nicht gewährleisten zu können, dass alle 383 Millionen Datensätze einzigartig waren. Marriott war Opfer seines eigenen Fehlers aus der Vergangenheit, da die Hotelgruppe vermutlich nicht rechtzeitig Maßnahmen ergriffen hatte, um die Löschung „ungenauer personenbezogener Daten… zu gewährleisten“, wie dies bei der Übernahme von Starwood in Erwägungsgrund 39 gefordert wurde.
Eine Strategie zur Datenaufbewahrung entwickeln und anwenden
Ein ordnungsgemäßes Programm zur Aufbewahrung von Daten umfasst nicht nur die Definition von Aufbewahrungsrichtlinien, sondern auch die Einrichtung von Prozessen sowie die Implementierung von Technologien. Nur mit einem umfassenden Ansatz kann eine Organisation eine effiziente Strategie zur Löschung von Daten festlegen.
„Für eine effektive Richtlinie ist es wichtig, den nachhaltigen Umgang mit Daten zu einem Bestandteil der Unternehmenskultur zu machen.“
Jürgen Venhorst, Netwrix
Eine Datenverarbeitungsrichtlinie ist von grundlegender Bedeutung. Sie sollte ausschlaggebend dafür sein, wie eine Organisation Daten sammelt, welche Datentypen sie sammelt und wie lange diese Daten aufbewahrt werden.
Außerdem sollte sie die Kontrollen festlegen, mit denen das IT-Team überwachen kann, ob die Richtlinie ordnungsgemäß implementiert wurde. Darüber hinaus sollte eine solche Richtlinie die Bedingungen definieren, unter denen sensible Daten archiviert und entsorgt werden müssen.
Da in der Gesetzgebung kein Zeitraum für die Datenaufbewahrung festgelegt ist, kann ein Kriterium für die Dauer der Aufbewahrung die Frage sein, wie lange die Aufzeichnungen erforderlich sind, um bei Vertrags- und anderen rechtlichen Fragen auf der sicheren Seite zu stehen. Nicht zuletzt sollten Datenverarbeitungsrichtlinien Orientierungshilfen enthalten, wie häufig ein Unternehmen unnötige Daten, wie Duplikate, entfernen kann.
Für eine effektive Richtlinie ist es wichtig, den nachhaltigen Umgang mit Daten zu einem Bestandteil der Unternehmenskultur zu machen. Unternehmensleiter sollten ihren Mitarbeitern erläutern und sie darüber informieren, warum es wichtig ist, vertrauliche Daten, wie personenbezogene Daten (PII, Personally Identifiable Information), im dedizierten Speicherbereich zu sichern und nur so lange zu nutzen, wie dies erforderlich ist.
Doch ohne die richtigen Technologien kann die Datenverarbeitungsrichtlinie nicht effektiv umgesetzt werden. Egal, wie verantwortungsbewusst Menschen sind, sie sind immer noch anfällig für individuelle Fehler. Darüber hinaus kann sich kein Unternehmen ausschließlich auf einen manuellen Ansatz verlassen, da die Datenüberprüfung zeitaufwändig ist – insbesondere bei archivierten Daten, die möglicherweise viele TByte an ROT-Dateien enthalten.
Daher ist es wichtig, dass Unternehmen über Tools verfügen, mit denen sie verschiedene Datentypen, wie PII und andere vertrauliche Daten sowie Duplikate, automatisch und präzise erkennen und den Richtlinienanforderungen entsprechend löschen können.
Ein effizientes Programm zur Datenaufbewahrung ist nicht mehr nur etwas für große Unternehmen. Mit der Einführung der DSGVO benötigen alle Organisationen, die personenbezogene Daten speichern – von kleinen und mittleren Unternehmen bis zu multinationalen Konzernen – eine sorgfältige Herangehensweise an die Datenverarbeitung.
Ein Vorteil ist allerdings, dass ein robustes Programm zur Datenaufbewahrung einem Unternehmen nicht nur hilft, Compliance-Risiken zu vermeiden und seine Angriffsfläche zu verringern, sondern sich auch positiv auf die betriebliche Effektivität auswirkt. Tatsächlich ist ein Mitarbeiter, der nur die erforderlichen Daten verarbeitet, mit größerer Wahrscheinlichkeit ein effizienter Kommunikator und gewinnt wahrscheinlich mehr Kunden als diejenigen, die Zeit damit verschwenden, sich durch unzählige Duplikate zu wühlen. Letzteres ist angesichts der schwierigen wirtschaftlichen Bedingungen in Krisenzeiten ein bedeutender Vorteil.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.
