Die 10 schlimmsten Datenschutzfehler für Admins

Mögliche Datenschutzverletzungen bei Admin-Tätigkeiten

Die besondere Stellung der Administratoren und die Gefahr, zu einer Datenschutzverletzung beizutragen, hängen natürlich mit den Administratorrechten zusammen, die ein Admin in dem betreuten System hat. Diese hohen Zugangs- und Zugriffsrechte dürfen zu keinem anderen Zweck eingesetzt werden als für die eigentliche Administratortätigkeit.

Jede Abweichung von der im Unternehmen definierten Administratorrolle kann den Datenschutz verletzten, sei es die Gefälligkeit für eine Kollegin oder einen Kollegen, dringend bestimmte Daten zur Verfügung zu stellen, für die dieser Nutzer gar keine Berechtigung hat, oder aber die Stillung der eigenen Neugierde, was denn die neue Kollegin oder der neue Kollege im Management nun verdient.

Datenschutz-Grundsätze als Maßstab der Admin-Tätigkeit

Damit es zu keiner Datenschutzverletzung durch Administratoren kommt, ist es wichtig, jede Admin-Tätigkeit mit den Grundsätzen der Datenschutz-Grundverordnung abzugleichen. Was das konkret bedeutet, zeigen die zehn Beispiele für Admin-Fehler und die Folgen für den Datenschutz.

1. Mangelnde Transparenz bei der Admin-Tätigkeit

Es steht außer Zweifel, dass Administratoren sehr viel zu tun haben und oftmals unter Zeitdruck stehen. Trotzdem muss darauf geachtet werden, dass die ganze Datenverarbeitung nach den festgelegten Richtlinien erfolgt, dass ganz klar nachvollzogen werden kann, welche Daten wann von wem zu welchem Zweck verarbeitet und an wen weitergegeben wurden.

Im Datenschutz ist die Transparenz der Datenverarbeitung sehr wichtig. Diese kann aber nur gewährleistet werden, wenn es Richtlinien gibt, die beachtet werden, und die Einhaltung dieser Richtlinien dokumentiert wird.

2. Nutzung von Privilegien und Daten zu anderen Zwecken

Wer über viele Möglichkeiten und Rechte in den IT-Systemem verfügt, wird gerne gefragt, ob es einmal eine Ausnahme geben könnte, ob bestimmte Daten nur dieses eine Mal auf einen USB-Stick kopiert werden dürfen, um daheim daran weiterzuarbeiten. Andere Mitarbeiterinnen und Mitarbeiter, die keine entsprechende Berechtigung haben, bitten dann als Gefälligkeit darum, dass die Administratorrechte letztlich missbraucht werden. Doch weder die Zugangsberechtigungssysteme noch die Zweckbindung von Daten dürfen aufgeweicht werden.

So müssen Adminis aufpassen, dass sie nicht dank ihrer hohen Berechtigungen zum Beispiel Datenbestände zusammenführen, die in unterschiedlichen Systemen liegen und zu unterschiedlichen Zwecken erhoben wurden, nur weil zum Beispiel die Marketing-Abteilung ohne die notwendige, offizielle Freigabe Kundendaten in neuer Art und Weise auswerten möchte (Big-Data-Analysen).

3. Aufzeichnung aller Nutzeraktivitäten

Die hohe Verantwortung der Administratortätigkeit kann auch dazu führen, dass man als Admin immer ein gewisses Misstrauen hegt, es könnte etwas Unerlaubtes in den betreuten IT-Systemen stattfinden. Deshalb sind oftmals Tools beliebt, die für ein umfassendes Monitoring aller Nutzeraktivitäten sorgen.

In den Systemprotokollen dürfen aber nur die Daten aufgezeichnet werden, die für den Zweck wirklich notwendig sind (Datenminimierung). Eine Aufzeichnung aller verfügbaren Nutzerdaten ist in der Regel nicht notwendig.

4. Veränderungen an Systemprotokollen

Ein weiteres Datenschutzrisiko besteht dann, wenn man selbst als Admin oder aber eine Kollegin oder ein Kollege einen Fehler macht, den die Geschäftsleitung möglichst nicht sehen sollte.

Schnell kommt die Bitte, etwas aus den Systemprotokollen zu entfernen. Doch der Datenschutz verlangt nach der Integrität der Protokolle und aller Daten mit Personenbezug. Manipulationen darf es nicht geben.

5. Zu umfangreiche und zu lange Speicherung von Daten

Wenn es genug Speicherplatz im Unternehmen oder in den genutzten Cloud-Diensten gibt, kann es passieren, dass Daten weiterhin gespeichert werden, die eigentlich gelöscht werden müssen.

Löschfristen und Aufbewahrungsfristen sind aber immer einzuhalten, auch wenn es aktuell keinen gesteigerten Bedarf an Speicherkapazität gibt.

6. Weitergabe und Übermittlung von Daten an Dritte

Wenn es Kolleginnen und Kollegen aus technischen Gründen nicht schaffen, Daten auf Speichermedien zu kopieren oder ins Internet zu übertragen, fragen sie gerne bei dem zuständigen Admin nach. Dort gibt es die Fachkenntnisse und die Berechtigungen.

Bevor eine solche Unterstützung erfolgt, sollte aber geklärt sein, ob die Daten denn wirklich übertragen oder übermittelt werden dürfen. Hier macht der Datenschutz klare Vorgaben, die einzuhalten sind.

7. Unzureichende Dokumentation der Admin-Tätigkeit

Wenn die eigene Tätigkeit des Admins ganz genau protokolliert und dokumentiert werden muss, hat dies nichts mit Misstrauen zu tun, sondern mit der Rechenschaftspflicht nach DSGVO.

Die Einhaltung der DSGVO muss nachgewiesen werden können, das betrifft sehr häufig die Aufgaben, die ein Administrator wahrnimmt. Deshalb muss es eine umfassende Dokumentation der Tätigkeit geben.

8. Zu frühes oder unerlaubtes Löschen von Daten

Da es bei der Administration auch darum geht, eine übersichtliche und ordentliche Datenhaltung zu gewährleisten, kann man als Admin in Versuchung geraten, Daten zu löschen, die keinen wichtigen Eindruck machen.

Doch auch das zu frühe Löschen von Daten ist ein Fehler, denn die Aufbewahrungspflichten müssen beachtet werden, die Datenverarbeitung muss nachvollziehbar sein, da kann es auch auf scheinbar nicht so wichtige Daten ankommen.

9. Unzureichende Sicherheit bei der eigenen Tätigkeit

Eine erfahrene Administratorin und ein erfahrener Administrator hat und verspürt Sicherheit bei der eigenen Tätigkeit. Doch die Datensicherheit muss trotzdem gewährleistet werden. Leider zeigt es sich, dass sowohl im Management als auch in der IT-Administration Abweichungen von den IT-Sicherheitsrichtlinien stattfinden können.

Dazu gehört auch, dass ein Admin nicht dem anderen Admin seine Zugangsdaten ausleiht, oder dass man wegen des Zeitdrucks bestimmte Sicherheitskontrollen kurzfristig deaktiviert. Auch wenn man sich in Fragen der IT-Sicherheit auskennt, muss man selbst die strengen Vorgaben der IT-Sicherheit umsetzen und einhalten.

10. Verweigerung bei einem Auskunftsersuchen

Der Datenschutz kann aber auch missverstanden werden, so dass zu gespeicherten und verarbeiteten Daten auf keinem Fall Auskunft gegeben wird, nur an berechtigte Stellen im Unternehmen.

Die DSGVO kennt aber bestimmte Auskunftsrechte für Betroffene, also für die Inhaber der Daten. Auskunftsersuchen nach Datenschutz-Grundverordnung sollten deshalb zusammen mit der verantwortlichen Stelle und der oder dem Datenschutzbeauftragten bearbeitet werden, fristgerecht versteht sich, in der Regel also innerhalb eines Monats.