Security 10 Tipps, wie IT-Sicherheit und Datenschutz zusammenkommen

IT-Sicherheit und Datenschutz beschäftigen sich beide mit dem Schutz von Daten – doch sie verfolgen ganz unterschiedliche Schwerpunkte, was schnell zu Konflikten führen kann. Der TÜV Nord gibt zehn Tipps, wie IT-Sicherheit und Datenschutz zusammenarbeiten können.

Anbieter zum Thema

PFLITSCH GmbH & Co. KG

FINDER GmbH

Weidmüller Deutschland

TÜV Nord AG

IT-Sicherheit und Datenschutz wachsen immer weiter zusammen – doch die unterschiedlichen Ziele machen es zuweilen schwer, beides zusammenzubringen. Spätestens seit dem Inkrafttreten der Datenschutz-Grundverordnung DSGVO hat der Datenschutz in Unternehmen einen anderen Stellenwert. Vielerorts herrscht aber oft noch Unkenntnis über relevante Bestimmungen des Datenschutzes und welche Herausforderungen im Zusammenspiel mit der IT-Sicherheit bestehen. Beide Bereiche beschäftigen sich mit dem Schutz von Daten. Und wenngleich es grundsätzliche Unterschiede zwischen den Bereichen gibt, bestehen auf der anderen Seite – nicht zuletzt begründet durch die DSGVO – auch starke Überschneidungen. Wie die genutzt werden können, dazu gibt der TÜV Nord einen Überblick.

Security

Grundlagen Industrial IT Security – Aufbau, Definitionen, Umsetzung

Was ist der Unterschied zwischen IT-Sicherheit und Datenschutz?

Verschlüsselungen, Zugriffsberechtigung, IT-Notfall-Konzepte – klassische Bereiche, die eigentlich der IT-Sicherheit zuzuordnen sind, erhalten durch die DSGVO auch eine Bedeutung für den Datenschutz. Eine der Herausforderungen: IT-Sicherheit und Datenschutz definieren unterschiedliche Risiken und haben deshalb unterschiedliche Schwerpunkte. In der IT-Sicherheit will man wirtschaftliche Werte eines Unternehmens schützen, zum Beispiel wichtige Prozesse oder Rezepturen. Beim Datenschutz stehen hingegen die Persönlichkeitsrechte von Menschen im Vordergrund. Entsprechend verschieben sich die Prioritäten. Wenn IT-Sicherheitsbeauftragte zum Beispiel bestimmte Analysen für mehr Sicherheit durchführen möchten, könnte der Datenschutz aus Persönlichkeitsschutzrechten dagegen stehen. Umgekehrt könnten Datenschutzbeauftragte die neueste Version eines Programms fordern, das sich aus IT-Sicht aber negativ auf die Virenscanner auswirkt.

Was Unternehmen beachten müssen

„Entgegen der allgemeinen Wahrnehmung ist der Datenschutzbeauftragte nicht in der Verantwortung, Prozesse umzusetzen. Seine Aufgabe liegt darin, zu überprüfen und zu beraten“, erklärt Seminarleiter Karsten Schulz vom IT-Dienstleister Datenschutz-Systems. „Beide Parteien sollten sich zunächst zusammensetzen und klären, wo es Handlungsbedarf und gemeinsame Schnittstellen gibt.“ Denn um eine Umgebung zu schaffen, in der Datenschutz und IT-Sicherheit gut harmonieren, müssen die jeweiligen Beauftragten sich gegenseitig beraten und gemeinsam nach Lösungen suchen. Für solche Erkenntnisse braucht es gegenseitiges Verständnis. „Wenn beide nicht miteinander sprechen, habe ich betriebswirtschaftliche Risiken, aber auch immer Risiken für betroffene Personen“, erklärt Schulz.

Zehn Tipps für eine bessere Zusammenarbeit von IT-Sicherheit und Datenschutz:

• 1. Bestandsaufnahme: Beide Seiten ermitteln getrennt voneinander ihren Bedarf: Wo bestehen Risiken? Was fordern die Aufsichtsbehörden? etc.

• 2. Interessenskonflikte überwinden: Zum Beispiel wenn aus IT-Sicht bestimmte Analysen notwendig sind, die aus Datenschutzsicht Persönlichkeitsrechte verletzen.

• 3. Auf Augenhöhe sprechen: Datenschutzbeauftragte müssen in der Lage sein, die technische Sprache der Mitarbeitenden im IT-Bereich zu verstehen. IT-Beauftragte müssen wichtige Aspekte des Datenschutzes kennenlernen.

• 4. Gemeinsamkeiten erkennen: Zum Beispiel, dass IT-Sicherheit nicht nur zur Wahrung von Betriebs- und Geschäftsgeheimnissen, sondern auch aus Datenschutzsicht erforderlich ist.

• 5. Stärken herausarbeiten: Etwa mit ausgewiesenem IT- und Datenschutz Wettbewerbsvorteile generieren, Vertrauen beim Kunden gewinnen.

• 6. Schnittstellen analysieren, Zuständigkeiten definieren: Bei welchen Aufgaben muss der oder die Datenschutzbeauftragte dazu geholt werden? Wer hat welche Kompetenzen? Ist sichergestellt, dass Datenschutzbeauftragte systematisch einbezogen werden?

• 7. Maßnahmenplan erstellen: Der Maßnahmenplan muss der IT-Sicherheit und dem Datenschutz gleichermaßen gerecht werden und beispielsweise festlegen, dass neue Software nur nach Freigabe beider Seiten angeschafft wird.

• 8. Aufgaben clustern: Sowohl die Geschäftsleitung als auch die Mitarbeiter müssen notwendige Maßnahmen nachvollziehen können.

• 9. Akzeptanz schaffen: Die Geschäftsleitung muss die Relevanz der Umsetzung erkennen und beiden Beauftragten den Rücken stärken. Die Mitarbeitenden sollten bei der Einführung neuer Verfahren und Programme „abgeholt“ und mit möglichen Bedenken ernst genommen werden.

• 10. Gemeinsam gewinnen: Durch gute Zusammenarbeit Bußgelder und Reputationsverlust vermeiden.