Unterschied zwischen datenschutz und informationssicherheit

Datenschutz, Datensicherheit, Informationssicherheit oder IT-Sicherheit: Viele Begriffe, die sich unterscheiden und doch oft falsch verwendet werden. In dem heutigen Artikel klären wir über den Unterschied auf und zeigen klassische Schutzziele und Bedrohungen.

Klare Definition der Begriffe nicht möglich

Die Frage nach dem Unterschied der einzelnen Begrifflichkeiten wird oft (vor allem bei Mitarbeiterschulungen) gestellt. Gleichwohl ist eine exakte Abgrenzung und eine klare Definition der Begriffe nicht möglich, da diese je nach Verfasser und Kontext unterschiedlich interpretiert werden können. Trotz der fehlenden einheitlichen Definitionen soll die folgende Abgrenzung als Orientierung dienen:

Datenschutz

Bei dem Datenschutz geht es um den Schutz der Privatsphäre eines jeden Menschen. Datenschutz garantiert jedem Bürger ein Recht auf informationelle Selbstbestimmung und schützt ihn vor missbräuchlicher Verwendung seiner Daten. Für die Verarbeitung personenbezogener Daten gibt es Regeln, die hauptsächlich im BDSG bzw. den Datenschutzgesetzen der Länder niedergelegt sind. Hier wird also danach gefragt, ob personenbezogene Daten überhaupt verarbeitet werden dürfen.

Datensicherheit

Im Unterschied zum Datenschutz befasst sich die Datensicherheit mit dem Schutz von Daten, unabhängig davon ob diese einen Personenbezug aufweisen oder nicht. Unter den Begriff Datensicherheit fallen daher grundsätzlich auch Daten, die keinen Personenbezug haben (also auch geheime Konstruktionspläne) sowohl digital als auch auch analog (z.B. auf Papier).

Datensicherheit soll Sicherheitsrisiken begegnen und die Daten vor z.B. Manipulation, Verlust oder unberechtigter Kenntnisnahme schützen. Hier geht es also nicht um die Frage, ob Daten überhaupt erhoben und verarbeitet werden dürfen (das ist eine Frage des Datenschutzes), sondern um die Frage, welche Maßnahmen zum Schutz der Daten erhoben werden müssen. Die Datensicherheit ist im Kontext des Datenschutzes gemäß § 9 BDSG (inkl. Anlage) durch Umsetzung geeigneter technischer und organisatorischer Maßnahmen zu gewährleisten.

Informationssicherheit

Weiterhin gibt es den Begriff der Informationssicherheit, der vor allem in den IT-Grundschutzkatalogen des BSI oder in der ISO 27001 zu finden ist und den Schutz von Informationen als Ziel hat. Dabei ist hier ebenfalls unerheblich, ob es sich um digitale oder analoge Informationen handelt und ob diese einen Personenbezug haben. Teilweise wird die Datensicherheit als ein Teil der Informationssicherheit angesehen, da Letzteres umfassender ist.

IT-Sicherheit

Auch die IT-Sicherheit ist ein Teil der Informationssicherheit und bezieht sich auf elektronisch gespeicherte Informationen und IT-Systeme. Dabei wird unter IT-Sicherheit nicht nur der Schutz der technischen Verarbeitung von Informationen verstanden. Vielmehr fällt auch die Funktionssicherheit darunter, also das fehlerfreie Funktionieren und die Zuverlässigkeit der IT-Systeme.

Schutzziele der Daten-, Informations- und IT-Sicherheit

Um die Angriffe auf Daten / Informationen, Systeme oder Kommunikationswege besser beschreiben zu können, werden Schutzziele in unterschiedliche Kategorien unterteilt. In diesem Artikel wird zwischen Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit unterschieden, wobei auch andere Kategorisierungen anzutreffen sind.

Vertraulichkeit

Vertraulichkeit bedeutet, dass Daten nur befugten Personen zugänglich zu machen sind. Bedroht sind nicht nur die Daten selbst sondern auch z.B. Systeme, Konfigurationen. Ein Angriff auf die Vertraulichkeit stellt die unbefugte Informationsgewinnung dar (z.B. durch das Ausspähen der login-Daten durch einen Unbefugten). Bei der Vertraulichkeit müssen Sicherheitsmaßnahmen erhoben werden, damit ein unbefugter Zugriff auf gespeicherte als auch auf übermittelte Daten verhindert werden kann.

Integrität

Integrität bedeutet, dass Daten / Systeme korrekt, unverändert bzw. verlässlich sind. Ein Angriff auf die Integrität wäre z.B. die Verfälschung der Daten, wenn der Empfänger eine andere Nachricht erhält, als vom Sender abgeschickt. Die Integrität ist aber auch dann tangiert, wenn Soft- oder Hardware fehlerhaft arbeitet und falsche Ergebnisse liefert (und damit unverlässlich ist). Damit kann ein Angriff nicht nur absichtlich sondern auch versehentlich durch Software- oder Bedienungsfehler erfolgen.

Verschickt ein Händler einen Kaufauftrag an einen Kunden, sollte dies auf einem verschlüsselten Weg erfolgen, damit unterwegs kein Dritter den Kaufauftrag in einen Verkaufsantrag ändern kann.

Authentizität

Authentizität bedeutet die Echtheit, Zuverlässigkeit und Glaubwürdigkeit einer Mitteilung. Ein Angriff auf die Authentizität stellt die unbefugte Erzeugung von Nachrichten dar, z.B. unter einer falschen Identität. Typische Beispiele sind das Bestellen von Waren unter einem falschen Namen oder das Ausgeben eines Kriminellen als Bankmitarbeiter. Zudem muss auch die Authentizität von IT-Systemen gewährleistet sein (z.B. im elektronischen Zahlungsverkehr).

Hierzu gehört auch die Verbindlichkeit, d.h. dass ein unzulässiges Abstreiten des Absenders oder Empfängers einer Information verhindert werden soll. Der Empfänger soll also beweisen können, dass die Information tatsächlich von dem berechtigten Absender stammt (wie z.B. bei einer qualifizierten elektronischen Signatur die eine eigenhändige Unterschrift ersetzt). Darüber hinaus kann aber auch der Sender beweisen, dass die Nachricht beim Empfänger angekommen ist (wie bei einem Einschreiben mit Rückschein).

Verfügbarkeit

Verfügbarkeit bedeutet, dass Daten und IT-Systeme zur Verfügung stehen und von autorisierten Personen genutzt werden können, wenn dies benötigt wird. Eine unbefugte Unterbrechung z.B. durch Serverausfall oder Ausfall von Kommunikationsmitteln stellt einen Angriff auf die Verfügbarkeit dar.

Alle oben genannten Schutzziele dürfen nicht isoliert betrachtet werden, da sie ineinander greifen und sich gegenseitig bedingen. Dabei sollte jedes Unternehmen selbst die Gewichtung einzelfallabhängig vornehmen.

Datenschutz und Informationssicherheit sind sprichwörtlich zwei Paar Schuhe. Doch im beruflichen Alltag werden die Begrifflichkeiten oft synonym und somit zweckentfremdet verwendet.

Was aber hat es mit den Bezeichnungen Datenschutz und Informationssicherheit auf sich? Um die Unterschiede klar und deutlich zu definieren, ist die fachliche Kenntnis zur Wortbedeutung und dem Sinn der Bezeichnungen notwendig. In Unternehmen überschneiden sich die Bereiche nicht selten. Dadurch ist eine klare Trennung für Mitarbeiter und Außenstehende oftmals nicht oder nur schwer erkennbar gegeben. Doch ein prägnanter Unterschied zeichnet sich ab und ist in puncto Gesetzesvorgabe zu finden.

Was ist Datenschutz – was ist Informationssicherheit?

Der Datenschutz unterliegt strikten gesetzlichen Auflagen, die zur Einhaltung verpflichten und keine Zuwiderhandlung dulden. Die Informationssicherheit hingegen bietet einen kleinen Auslegungsspielraum. Somit bietet er auch Platz für unternehmenseigene Konzepte. Außerdem zur technischen und organisatorischen Sicherung von Unternehmensdaten. Primär geht es um die Unterschiede zwischen der Durchsetzung gesetzlicher Vorschriften und der Motivation, eigene Interessen durchzusetzen. Auch geht es darum, die sensiblen Daten des Unternehmens mit entsprechender Sorgfalt zu behandeln.

Im Datenschutz gibt es nach der Einführung der strengen Richtlinien nach DSGVO keinen Spielraum für Unternehmer. Wird gegen die Vorschriften gehandelt, drohen hohe Bußgelder und andere Einschränkungen in der Unternehmensführung. Auch die Sicherung der Informationen spielt natürlich eine wichtige Rolle. So bedarf diese ebenso großer Sorgfalt wie der Datenschutz. Wenn es zu Überschneidungen kommt, was beispielsweise beim Umgang mit Kunden-, Mandanten- oder Patientendaten der Fall ist, hat die DSGVO vor dem unternehmenseigenen Konzept Vorrang. Sie ist somit erstrangig umzusetzen.

Konflikte durch Überschneidungen keine Seltenheit

Auf den Firmencomputern ist es üblich, dass jeder Mitarbeiter einen persönlichen Login hat. Er erhält nur über diesen den Zugang zu Firmendaten, Kundendaten oder Patientendaten. Durch die Notwendigkeit des Logins lässt sich später nachvollziehen, welcher Mitarbeiter zu welchem Zeitpunkt und an welchem Computer mit den Daten gearbeitet hat. Die Speicherung der Anmeldung dient der Informationssicherheit. Sie ist somit in erster Linie eine Maßnahme, durch die unbefugte Zugriffe vermieden und die Berechtigung zur Verwendung der Daten geschützt werden soll.

Im gleichen Atemzug ist die Speicherung der Anmeldedaten aber auch ein Vorgang, dem ausdrücklich zugestimmt werden muss. Wird keine Einwilligung gefordert oder erteilt, darf laut Datenschutz keine Speicherung erfolgen. Dies ist ein Beispiel, wo sich Datenschutz und Informationssicherheit konträr gegenüberstehen. So führen sie nicht selten zu offenen Fragen in der Unternehmensleitung. Ein Datenschutzbeauftragter kann helfen, die Unterschiede zwischen dem Datenschutz und der Informationssicherheit offenzulegen. Somit kann er einen legalen, sensible Daten schützenden Umgang entwickeln.

Freiwillige Zustimmung zur Datenverarbeitung hebt Datenschutz teilweise aus

Mit Einführung der DSGVO dürfen personenbezogene Daten nur verwendet werden, wenn der Inhaber der Daten ausdrücklich zustimmt. Eine ohne die direkte Zustimmung erfolgende Verarbeitung und Verwendung steht dem Gesetz entgegen. Sie wird im Streitfall zu Ungunsten des datenverarbeitenden Unternehmens ausgelegt. Im Bereich Informationssicherheit geht es um Organisation und technische Maßnahmen für die Integrität und Verfügbarkeit. Auch geht es um die Vertraulichkeit der Daten.

Durch die Vergabe personenbezogener Logins lassen sich Manipulationen ohne Rückverfolgungsmöglichkeit und die damit verbundenen Schäden für ein Unternehmen vermeiden. Durch ein sicheres und präzises Konzept im Bereich Informationssicherheit werden die im Unternehmen vorhandenen Daten vor den Augen der Konkurrenz verborgen und entsprechend geschützt. Daher sind Informationssicherheits-Konzepte auch ein Anliegen, dem die Personalabteilung größte Motivation widmet und eine maßgeschneiderte Konzeption anstrebt.

Der Auslegungsspielraum im Datenschutz ist hingegen eindeutig. Nur wer sich an die Regeln hält und nach den Vorgaben der DSGVO handelt, spart sich Ärger und hohe Bußgelder mit empfindlicher Auswirkung auf die Liquidität und natürlich auf die Vertrauenswürdigkeit eines Unternehmens.

Trotz Überschneidung deutliche Unterschiede

In vielen Unternehmen sind Datenschutz und die Informationssicherheit untrennbar miteinander verbunden. Eine Überschneidung kann vorteilhaft, aber auch nachteilig sein und erhöhte Schwierigkeiten mit sich bringen. Im Zweifelsfall, wie im oben aufgeführten Beispiel, gilt immer die gesetzliche Vorgabe, die allein durch ihren rechtlichen Bestand verbindlich ist und über der Informationssicherheit steht. Bei sehr komplexen Überschneidungen kann ein Datenschutzbeauftragter für Entwirrung sorgen und ein Konzept einführen, das alle Regeln und Vorschriften beachtet und den notwendigen Freiraum in der Informationssicherheit gibt.

Mehr Informationen unter www.datenschutzfrankfurt.de oder unserer Kanzleihomepage.