Kein Backup, kein Mitleid!
Ja, das ist hart aber wahr. Kümmern Sie sich deshalb um die Verfügbarkeit Ihrer Daten wenn Sie dafür verantwortlich sind.
Schutzziel Verfügbarkeitskontrolle
Mit der Verfügbarkeitskontrolle setzen Sie das Schutzziel der Verfügbarkeit personenbezogener Daten und die Anforderungen daran um – dabei geht es hauptsächlich darum einen Datenverlust vorzubeugen. Beabsichtigt oder unbeabsichtigt spielt dabei keine Rolle. Wichtig ist, dass Sie Risiken kennen und diese in Ihrer Planung berücksichtigen. Sie kontrollieren mit der Verfügbarkeitskontrolle, ob Sie die Anforderungen an die Verfügbarkeit aus der DSGVO sicherstellen können.
Maßnahmen um den Verlust von personenbezogenen Daten vorzubeugen
Natürlich geht es auch dabei um Maßnahmen die Sie ergreifen um einem Verlust von personenbezogenen Daten vorzubeugen. So wie es die DSGVO vorgibt. Achso, die DSGVO nennt keine konkreten Maßnahmen. Die kreative Ausgestaltung der Verfügbarkeitskontrolle bleibt ganz Ihnen überlassen.
Wichtig ist: am Ende müssen Ihre getroffenen Maßnahmen wirksam, oder ausreichend sein um einen Verlust zu verhindern. Das ist Ihre Aufgabe, die Sie mit der Verfügbarkeitskontrolle erfüllen müssen. Stellen Sie genau das sicher.
Ziele der Maßnahmen
Mit den Zielen der Maßnahmen zur Verfügbarkeit stellen Sie sicher, dass personenbezogene Daten immer abrufbar sind, wenn sie benötigt werden.
Im Zweifel geht es um eine kurzfristige Wiederherstellung, wobei hier kurzfristig relativ ist. Das hängt von den Anforderungen und der Kritikalität der Daten ab. Hängt ein Menschenleben an der Verfügbarkeit der Daten, haben Sie wenig zeitlichen Spielraum.
Nicht umsonst fällt in Zusammenhang mit der Verfügbarkeitskontrolle oft der Begriff der raschen Wiederherstellbarkeit.
Daten können immer beschädigt werden, verloren gehen, oder einfach nicht mehr da sein – warum auch immer. Das kann passieren und kommt schonmal vor. Umso wichtiger ist dann eine funktionierende Wiederherstellbarkeit der personenbezogenen Daten – Hauptsache der Verlust ist nicht endgültig.
Richten Sie Maßnahmen ein mit denen entweder überhaupt kein Verlust eintritt, oder das nur kurzfristiger Zustand ist, Sie also den (kurzzeitigen) Verlust rückgängig machen können – so als wäre nichts geschehen.
Aufgaben bei der Umsetzung der Verfügbarkeitskontrolle
Ihre Aufgaben bei der Umsetzung der Verfügbarkeitskontrolle ist es regelmäßig zu prüfen, ob die personenbezogenen Daten in ihrem Unternehmen zu jeder Zeit abrufbar sind.
Anders ausgedrückt, ob alle personenbezogenen Daten da sind, wenn Sie sie brauchen.
Wenn Sie das nicht selbst machen können, hilft Ihnen ihr Informationssicherheitsbeauftragter oder Datenschutzbeauftragter. Sie können auch immer einen externen Auditor beauftragen.
Backups oder Datensicherung
Das tun Sie mit Backups oder Datensicherung. An dieser Stelle ein Verweis auf den Artikel zur Verfügbarkeit. Im Prinzip gibt es drei verschiedene Arten der Sicherung von Daten – auch personenbezogenen Daten:
- die Vollsicherung,
- die differenzielle Sicherung und
- die inkremmentelle Sicherung.
Mit einer funktionierenden Datensicherung können Sie die personenbezogenen Daten Wiederherstellen oder Rücksichern. Sie schützen der Daten vor Löschungen und Veränderungen – so etwas kann beabsichtigt, oder unbeabsichtigt passieren. Mit einer Datensicherung können sie immer zum vorherigen Stand zurück.
Eine Datensicherung allein, bzw. durch regelmäßige Backups allein reichen nicht um die Anforderung der Verfügbarkeit zu erfüllen. Sie allein bieten leider keinen ausreichenden Schutz der personenbezogenen Daten.
Es lauern weitere Gefahren, die zu Verlust führen können. Weitere Maßnahmen sind nötig.
Weitere Maßnahmen – Firewall
Als weitere Maßnahmen richten Sie eine Firewall ein. Damit schützen Sie Ihre Systeme vor Angriffen von außen.
Eine Firewall verhindert Zugriffe auf / in Ihr Netzwerk und folglich auch auf Geräte. Die Firewall ist eine Maßnahmen der Verfügbarkeitskontrolle, weil Sie damit den Zugriff von Unberechtigten, die Ihre Daten zerstören könnten verhindern.
Auch verhindern Sie schon frühzeitig, dass Sie nicht mehr darauf zugreifen können.
Weitere Maßnahmen – Virenscanner
Installieren Sie einen Virenscanner. (Wenn Sie keinen haben, tun Sie das gleich.)
Allgemein formuliert suchen Sie damit auf Ihren Geräten nach Schadsoftware, also Viren, Würmer, Verschlüsselungstrojaner, usw.
Ihr Virenscanner ist immer aktiv und durchleuchtet Daten die Sie zum Beispiel über einen USB-Stick auf ihren Computer ziehen oder per E-Mail / Download erhalten.
Den Virenscanner halten Sie immer aktuell. Das bedeutet, Sie konfigurieren Ihren Anti-Virenschutzsoftware so, dass die Virensignaturen regelmäßig und so oft wie möglich aktualisiert und auf dem neuesten Stand sind.
Der Wikipedia Artikel zu Antivirenprogrammen ist wirklich sehr empfehlenswert. Wenn Sie mehr über Funktionsweise und Details erfahren möchten, lesen Sie sich das kurz durch. https://de.wikipedia.org/wiki/Antivirenprogramm
Weitere Maßnahmen – allgemein
Weitere Maßnahmen der Wiederherstellbarkeit und Verfügbarkeit sind beispielsweise, dass Sie Backups regelmäßig (= einmal im Quartal) testen. Sie tun das, in dem Sie die Sicherungsdaten einspielen und ausprobieren, ob sie funktionieren – auch wenn es aufwändig ist.
Wenn Ihre IT-Systeme über eine unterbrechungsfreie Stromversorgung (USV) verfügen, können Sie bei einem Stromausfall Ihre Systeme geordnet herunterfahren. Das verhindert, dass Daten plötzlich verschwinden.
Je nach Unternehmensgröße verfügen die Serverräume über eine Brandmeldeanlage, und sogar eine CO2-Löschanlage.
Damit Sie wissen wie es den Servern geht, können Sie ein Monitoringsystem installieren. Bei Störungen werden Sie oder Ihr Administrator benachrichtigt und können reagieren. Vielleicht verhindert auch das einen Verlust.
Zu einem sauberen Ablauf gehört in jedem Fall ein Notfallplan mit Wiederanlaufplan, denn in Notfällen oder dem Wiederanlauf könnten Daten durch falsches / fehlerhaftes Verhalten verloren gehen.
Wenn personenbezogene Daten verloren gehen
Wenn personenbezogene Daten verloren gehen und Sie wirklich keine Möglichkeit der Wiederherstellung mehr haben, oder der Zugriff auf die Daten nicht mehr vorhanden ist, also dadurch tatsächlich ein Datenverlust entsteht, haben Sie das Schutzziel der Verfügbarkeit und damit die Anforderungen der Sicherheit der Verarbeitung nicht erfüllt.
Sobald es um personenbezogene Daten geht, deren Verlust zu Risiken für die betroffene Person führt, liegt womöglich eine melde- und / oder benachrichtigungspflichtige Datenpanne vor.
Stimmen Sie sich hierzu in jedem Fall mit Ihrem Datenschutzbeauftragten ab.
Verfügbarkeitskontrolle zusammengefasst
Kontrollieren Sie regelmäßig Ihre Maßnahmen zur Sicherung und zum Schutz der personenbezogenen Daten. Schreiben Sie die Ergebnisse auf und vergessen Sie nicht die festgestellten Mängel zu beseitigen.
Indem Sie die getroffenen Maßnahmen im Rahmen der Verfügbarkeitskontrolle auf ihre Wirksamkeit prüfen, verhindern Sie Verlust, DSGVO Verstöße, Datenpannen, usw. Sie schaffen damit also ein System, das Datenverlust verhindert und die Verfügbarkeit sicherstellt.
