Mittwoch, 4 Juni 2024

Schrems II, Security und Compliance: Warum wir deutschen Datenschutz missverstehen

Christoph Ebeling

Founder & Managing Director

In Deutschland IT-Unternehmer zu sein, ist häufig Fluch und Segen zugleich. Einerseits kämpfen wir mit nicht funktionierendem Internet, endloser Bürokratie in nicht digitalisierten Ämtern, fehlenden Anbindungen für digitale Identitätsbestätigungen, die uns zwingen, unseren Ausweis in die Webcam zu halten, und einem eklatanten Mangel an IT-Talenten. Andererseits kann es in Deutschland auch sehr einfach sein, mit einem IT-Unternehmen erfolgreich zu sein. Man denke nur an die Samwer-Brüder, die durch das Kopieren erfolgreicher US-Unternehmer oder durch die Digitalisierung einfachster Büroprozesse zu Milliardären wurden, in einer Zeit, in der ein Großteil der westlichen Welt bereits papierlos arbeitete und dadurch Millionenumsätze generierte.

Während Bereiche wie E-Commerce oder SaaS für IT-Unternehmen inzwischen als ausgereizt gelten, bieten Märkte wie Fintech, Healthtech oder die öffentliche Verwaltung nahezu unbegrenztes Digitalisierungspotenzial. Diese sollten eigentlich der Traum jedes Unternehmers sowie IT-Investors sein. Doch warum sind solche Bereiche in Deutschland noch nicht vollständig digitalisiert? Die Gründe dafür sind so vielfältig, dass sie einen eigenen Blogbeitrag füllen würden, beginnend bei strukturellen Problemen bis hin zu reichen fachlichen Defiziten. Besonders hervorzuheben ist aber das Thema Datenschutz und Datensouveränität. Um Branchen wie das Bankwesen, das Gesundheitswesen oder den öffentlichen Sektor zu digitalisieren, gilt es eine Fülle von gesetzlichen Vorgaben einzuhalten, die sich hauptsächlich auf IT-Sicherheit und Datenschutz bzw. Compliance konzentrieren.

Das Compliance Dilemma

Aber wie stellt man eigentlich sicher, dass ein Unternehmen compliance-konform für eine bestimmte Vorgabe ist? Im Gespräch mit Kunden höre ich häufig, dass es "Made in Germany" sein muss und die Daten in einem deutschen Rechenzentrum liegen sollten. Dies scheint auf den ersten Blick sinnvoll, insbesondere im Hinblick auf Themen wie die GDPR oder das Schrems II-Urteil. Bei näherer Betrachtung ist dies jedoch oft zu kurz gedacht. Wer schon einmal einen Audit in einer entsprechenden Industrie miterlebt hat, weiß, wie herausfordernd dies sein kann. Man sitzt mit verschiedenen Stakeholdern bis spät in die Nacht in Besprechungsräumen, um Fragebögen zu technisch-organisatorischen Maßnahmen zu beantworten, die Themen wie Benutzerprivilegien, Backup-Routinen, Verschlüsselungen und Zugänge zu Serverräumen betreffen.

Die Evaluierung der IT-Sicherheit ist ein hochkomplexes Thema. Die EU hat dies bereits vor einigen Jahren erkannt und als Antwort die NIS2-Richtlinie veröffentlicht, die es ermöglicht, die Sicherheit und die Implementierung verschiedener technisch-organisatorischer Maßnahmen für die IT-Sicherheit zu evaluieren. Das große Problem hierbei ist, dass all diese Evaluierungen nicht nur extrem zeitintensiv sind, sondern in der manuellen Form, wie sie momentan durchgeführt werden, für den dynamischen Prozess der agilen Softwareentwicklung ungeeignet sind. Eine Anwendung, die heute sicher ist, kann durch die Implementierung eines neuen Features morgen schon wieder Sicherheitslücken aufweisen. Dies führt oft zu dem Trugschluss, dass man sich nur auf die Zuverlässigkeit von manuellen Audits verlassen kann, die lediglich bestätigen, dass die Software zum Zeitpunkt der Veröffentlichung sicher war. Doch eine solche statische Sicherheitsbewertung ist nicht ausreichend, da Sicherheitslücken kontinuierlich entstehen können. Ein gutes Beispiel hierfür sind Schwachstellen in TLS 1.0, welche die Standardverschlüsselung, der wir über Jahre von E-Commerce bis Banking vertraut haben, über Nacht für jeden mittelmäßig begabten Hacker entschlüsselbar machte.

Datenschutz missverstanden

Die GDPR schreibt jedoch vor, dass Unternehmen angemessene technische und organisatorische Maßnahmen treffen müssen, um einen ausreichenden Schutz personenbezogener Daten zu gewährleisten. Verstöße gegen diese Vorschriften, insbesondere durch Fahrlässigkeit, können zu empfindlichen Geldstrafen führen. Diese Geldstrafen sollen effektiv, proportional und abschreckend sein und die Schwere und Dauer des Verstoßes sowie die Absicht oder Fahrlässigkeit hinter dem Verstoß berücksichtigen.

Daher ist es kritisch, dass Unternehmen eine kontinuierliche Überprüfung und Anpassung ihrer Sicherheitsmaßnahmen durchführen, um mit der sich schnell entwickelnden Bedrohungslandschaft Schritt zu halten. Das Nichtbeachten dieser Notwendigkeit kann neben den gesetzlichen Vorgaben für Compliance-Mindeststandards im Falle eines Datenlecks durch einen Cyberangriff zu empfindlichen Geldstrafen führen. Der damit einhergehende Reputationsschaden ist dabei noch nicht einmal berücksichtigt. De facto bedeutet dies für kleine Unternehmen oft, dass ein erfolgreicher Cyberangriff gleichbedeutend mit dem Konkurs sein kann. Auch die Tatsache, dass die Anwendung vor Monaten einmal den neuesten Sicherheitsstandards entsprochen hat, wird kein Gericht und keinen Verbraucher besänftigen.

Automatisierung als Lösung

Die Antwort auf diese Herausforderungen folgt stringent der Evolution in der Softwareentwicklung. Wartung, Qualitätssicherung und Sicherheitstests müssen automatisiert werden. Dies ist nicht so schwierig, wie viele denken. Zum Beispiel ermöglicht die Speicherung der Ergebnisse automatisierter Sicherheitstests in einem revisionssicheren Content Management System, im Falle eines Sicherheitslecks nachzuweisen, dass man seiner Sorgfaltspflicht nachgegangen ist.

Weiterhin ermöglicht der Einsatz von Cloud-basierten Sicherheitstools, die Sicherheit der aktuellen Cloud-Infrastruktur kontinuierlich nach international standardisierten Sicherheitsframeworks wie CIS zu auditieren und zu dokumentieren. Die Vorteile dieser Methodik sind offensichtlich: Wir vermeiden langwierige manuelle Dokumentationsprozesse und sind in der Lage, jederzeit Nachweise über die Sicherheit und Compliance unserer Anwendungen für externe Audits zu erbringen. Noch wichtiger ist, dass solche Tools unserem Entwicklungsteam ermöglichen, die Sicherheit der Anwendungen kontinuierlich zu verbessern, da Sicherheitsprobleme sofort erkennbar sind und proaktiv adressiert werden können.

Betrachten wir beispielhaft Tools wie den AWS Security Hub, der es ermöglicht, die Einhaltung bestimmter Standards wie CIS zu evaluieren. Aktiviert in unserer Cloud-Umgebung, kann dieses Tool automatische Hinweise liefern, beispielsweise wenn unverschlüsselte Datenvolumes vorliegen oder das Prinzip der minimalen Rechtevergabe (Least Privilege) bei Berechtigungen nicht eingehalten wird. Durch entsprechende IAM-Richtlinien (Identity and Access Management) lässt sich zudem die Implementierung unsicherer Konfigurationen von vornherein verhindern. Solche Tools sind ein Beispiel für die Möglichkeiten, die moderne Cloud-Technologien bieten, um Compliance-Management zu vereinfachen und zu automatisieren.

Ausblick

Einige mögen sich fragen, ob diese „automatisierten“ Maßnahmen für deutsche Behörden ausreichend sind. Hierzu zwei Gedanken: Einerseits ist die Umwandlung von Auditierungs-Logs in Formate wie Word und Excel mit Tools der generativen KI einfacher denn je. Zum anderen wird auch in einem digital rückständigen Land wie Deutschland die Zeit nicht still stehen. Die erhöhte Anzahl von Cyberangriffen und unsere aktuelle geopolitische Situation werden zu einem Umdenken führen. Denn keine Regulierung befreit einen Unternehmer von seiner Sorgfaltspflicht. Wie bei einem Architekten, der zwar nach gesetzlichen Vorgaben plant, aber dennoch für Fehler in der Statik verantwortlich ist, verhält es sich auch mit der IT-Compliance. Sie sollte nie als hinreichende, sondern immer als notwendige Bedingung gesehen werden. Unsere Aufgabe ist es nicht, lediglich bürokratischen Anforderungen nachzukommen, sondern unsere Anwendungen aktiv sicher zu machen. Die Dokumentation selbst, die oft durch deutsche bürokratische Strukturen gefordert wird, können wir durch Automatisierung effizienter gestalten. Es besteht die Hoffnung, dass diese Erkenntnis auch im öffentlichen Sektor Anklang findet und zu einem Umdenken führt.

Share this article!

NEXODE CONSULTING GmbH

OBERWALLSTRAßE 6

10117 BERLIN