Verschlüsselung als Vorteil bei der Einhaltung der DSGVO für Finanzdienstleister

In den vergangenen drei Jahrzehnten spielte die Kryptografie in der Finanzbranche meist nur eine untergeordnete Rolle. Sie wurde von Sicherheits- und PKI-Teams verwaltet, Compliance-Teams beschäftigten sich kaum damit, und alle betrachteten sie lediglich als technisches Detail. Die DSGVO hat dazu beigetragen, diese Ära zu beenden. Verschlüsselung ist heute ein Thema der Unternehmensführung und Compliance, das in Vorstandssitzungen, bei behördlichen Prüfungen und in Plänen zur Reaktion auf Datenschutzverletzungen eine Rolle spielt.

Diese Veränderung ist eine gute Nachricht, wenn man weiß, wie man sie nutzt. Nach der DSGVO ist eine starke Verschlüsselung nicht nur ein Kostenfaktor für die Einhaltung der Vorschriften. Sie ist ein Hebel. Eine gut umgesetzte Verschlüsselung von Finanzdaten kann Ihr Risiko für Datenschutzverletzungen verringern, Ihre Meldepflichten bei Datenschutzverletzungen aufheben und die Audits sowie Due-Diligence-Prüfungen beschleunigen, die zunehmend als Voraussetzung für Geschäftsbeziehungen dienen. Dieser Artikel erläutert, wie die DSGVO die Verschlüsselung von Finanzdaten behandelt und wie Sie Artikel 32 in einen Vorteil statt in eine Verpflichtung verwandeln können.

Warum die DSGVO nach wie vor Maßstäbe für Finanzdaten setzt

Die DSGVO (Verordnung (EU) 2016/679) ist seit Mai 2018 in Kraft und gilt nach wie vor als weltweiter Maßstab für den Datenschutz. Ihr Einfluss reicht weit über Europa hinaus. Die DSGVO gilt in der gesamten EU und im EWR auf zwei unabhängigen Rechtsgrundlagen. Artikel 3 Absatz 1 erfasst Verarbeitungen, die im Rahmen der Tätigkeiten einer Niederlassung in der EU erfolgen, unabhängig davon, wo die Verarbeitung physisch stattfindet. Artikel 3 Absatz 2 gilt für Organisationen, die über keinerlei Niederlassung in der EU verfügen, sofern sie Personen, die sich in der Union befinden, Waren oder Dienstleistungen anbieten oder deren Verhalten überwachen. Beachten Sie den Maßstab: Entscheidend ist der Aufenthaltsort der betroffenen Person, nicht deren Staatsangehörigkeit oder Wohnsitz. Diese Reichweite ist insbesondere für Finanzdienstleistungen von Bedeutung. Grenzüberschreitende Zahlungsnetzwerke, Korrespondenzbankbeziehungen und in der Cloud gehostete Kernbankplattformen führen dazu, dass die meisten Institute irgendwo mit den Daten von Personen in der EU in Berührung kommen. Da so viele Organisationen die Anforderungen der DSGVO erfüllen müssen, prägt diese, was Regulierungsbehörden überall als angemessene Sicherheit ansehen – selbst in Märkten, in denen die DSGVO nicht direkt gilt.

Die Daten, die Finanzinstitute tatsächlich verarbeiten

Finanzunternehmen verarbeiten Daten, die nach dem risikobasierten Ansatz der DSGVO häufig als risikoreich eingestuft werden. Dabei lassen sich drei Kategorien hervorheben:

• Transaktionsverläufe, die Aufschluss über das Verhalten, die Beziehungen und die finanzielle Situation der Kunden geben.
• Kredit- und Bonitätsdaten, die bei Kreditvergabe- und Risikoprüfungsentscheidungen herangezogen werden.
• Biometrische Authentifizierungsdaten, die zur Betrugsbekämpfung eingesetzt werden.

Die Sensibilität und der Umfang dieser Daten erhöhen die Anforderungen an deren Schutz. Wenn die zugrunde liegenden Informationen so aufschlussreich sind, ist Verschlüsselung nicht mehr nur ein nettes Extra, sondern von zentraler Bedeutung für den Nachweis angemessener Sicherheit.

Was auf dem Spiel steht: Geldbußen und die Befreiung von der Meldepflicht bei Datenschutzverletzungen

Die DSGVO stellt Finanzunternehmen vor zwei Seiten derselben Medaille.

Auf der anderen Seite können die Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Der Finanzdienstleistungssektor gehört angesichts des Umfangs und der Sensibilität der von ihm verarbeiteten Daten seit jeher zu den Branchen, gegen die am höchsten geahndet wird. Unzureichende technische und organisatorische Sicherheitsmaßnahmen sind mittlerweile der häufigste Grund für Geldbußen im Finanz- und Versicherungssektor. Da Artikel 32 risikobasiert und nicht präskriptiv ist, prüfen Aufsichtsbehörden und Gerichte die Verschlüsselungs- und Schlüsselverwaltungspraktiken, die zum Zeitpunkt eines Vorfalls tatsächlich vorhanden waren, und nicht, was in einem Richtliniendokument behauptet wurde.

Positiv zu vermerken ist, dass die Verschlüsselung einen direkten Vorteil mit sich bringt, der in der Verordnung verankert ist. Gemäß Artikel 34 Absatz 3 Buchstabe a muss ein Verantwortlicher betroffene Personen nicht über eine Datenschutzverletzung informieren, wenn die offengelegten Daten für Unbefugte unlesbar gemacht wurden, typischerweise durch starke Verschlüsselung.  Diese Ausnahme gilt nicht automatisch. Sie müssen nachweisen können, dass der Algorithmus dem neuesten Stand der Technik entsprach, der Schlüssel nicht von der Datenschutzverletzung betroffen war und das Schlüsselmaterial getrennt von den Daten aufbewahrt wurde. Eine starke, ordnungsgemäß verschlüsselte Verschlüsselung kann den Unterschied zwischen einer stillen Meldung an die Aufsichtsbehörde und einer öffentlichen Benachrichtigung aller betroffenen Kunden ausmachen.

Wer ist verantwortlich: Verantwortliche, Auftragsverarbeiter und Datenschutzbeauftragte

Die DSGVO legt klare Rollen fest, jedoch nicht gleichberechtigt. Die Verantwortung für die Kryptografie liegt gemäß Artikel 24 beim Verantwortlichen und, sofern zutreffend, beim Auftragsverarbeiter. Der Datenschutzbeauftragte berät und überwacht gemäß Artikel 39 und kann nicht zum Verantwortlichen für die Verschlüsselung oder das Schlüsselmanagement gemacht werden.

• Verantwortliche sind die Finanzinstitute, die die Zwecke und Mittel der Verarbeitung von Kunden-, Konto- und Transaktionsdaten festlegen.
• Auftragsverarbeiter sind Zahlungsabwickler, Cloud-Anbieter und ausgelagerte Dienstleister, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeiten.
• Datenschutzbeauftragte sind für Finanzunternehmen in der Regel vorgeschrieben, da die Risikobewertung und Betrugsaufdeckung mit einer groß angelegten, systematischen Überwachung einhergehen.

Wenn Sie wissen, wer für die jeweiligen Verpflichtungen zuständig ist, können Sie die Verantwortung für Verschlüsselung, Schlüsselverwaltung und Anbietersicherheit dort ansiedeln, wo sie hingehört.

Wie sich die DSGVO auf kryptografische Kontrollmaßnahmen abbilden lässt

Die wichtigste Erkenntnis für Finanzunternehmen ist, dass Artikel 32 risikobasiert und nicht präskriptiv ist. Er liefert keine Checkliste mit Algorithmen. Stattdessen prüfen die Aufsichtsbehörden die Kryptografie- und Schlüsselverwaltungspraktiken, die zum Zeitpunkt eines Vorfalls tatsächlich angewendet wurden, und nicht, was in einer Richtlinie vorgesehen war. Damit ist eine nachweisbare, gut geregelte Kryptografie das Ziel. Sieben miteinander verknüpfte Kontrollbereiche zeigen, wo Verschlüsselung zum Einsatz kommt.

Sicherheit der Verarbeitung (Artikel 32 Absatz 1 Buchstabe a)

Kunden- und Transaktionsdaten sind sowohl im Ruhezustand als auch während der Übertragung zu verschlüsseln und zu pseudonymisieren, wobei dies auf das Risiko der jeweiligen Verarbeitungsaktivität abgestimmt sein muss. Eine Verarbeitung mit höherem Risiko erfordert einen stärkeren Schutz.

Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Artikel 25)

Kryptografische Sicherheitsmaßnahmen sollten bereits in der Entwurfsphase des Systems integriert werden. Verschlüsselte Datenspeicher und APIs sollten die Standardkonfiguration darstellen und nicht erst nachträglich als Sicherheitsmaßnahme hinzugefügt werden.

Ausnahme von der Meldepflicht bei Datenschutzverletzungen (Artikel 34 Absatz 3 Buchstabe a)

Sorgen Sie für eine nachweislich starke Verschlüsselung, die es Ihnen ermöglicht, von der Benachrichtigung einzelner betroffener Personen abzusehen, wenn offengelegte Daten unlesbar gemacht wurden. Der Schwerpunkt liegt darauf, dies nachweisen zu können, und nicht nur zu behaupten.

Schlüsselverwaltung und Zugriffskontrolle (Artikel 32 Absatz 1 Buchstabe b)

Sorgen Sie für einen verwalteten Schlüssellebenszyklus mit eingeschränktem Zugriff auf die Schlüssel. Dies gewährleistet die von der DSGVO geforderte fortwährende Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Verarbeitungssysteme.

Prüfung und Wiederherstellung (Artikel 32 Absatz 1 Buchstaben c und d)

Artikel 32 Absatz 1 Buchstabe d schreibt ein Verfahren vor, mit dem regelmäßig geprüft und bewertet wird, ob Ihre Maßnahmen weiterhin wirksam sind – diese Bestimmung macht die Außerbetriebnahme von Algorithmen zu einem Compliance-Ereignis. Artikel 32 Absatz 1 Buchstabe c schreibt die Wiederherstellungsfähigkeit vor und steht in direktem Zusammenhang mit der Ausnahmeregelung für Datenschutzverletzungen: Verschlüsselte Daten ohne wiederherstellbare Kopie stellen dennoch einen Verfügbarkeitsvorfall dar.

Sicherheitsvorkehrungen bei grenzüberschreitenden Übermittlungen (Artikel 46)

Nutzen Sie die Verschlüsselung von Daten während der Übertragung als ergänzende technische Maßnahme zur Unterstützung internationaler Übermittlungsmechanismen wie beispielsweise Standardvertragsklauseln.

Kryptografische Sicherheit durch Verarbeiter und Anbieter (Artikel 28)

Führen Sie ein Verzeichnis der kryptografischen Komponenten, das die Sorgfaltsprüfung der Zahlungsabwickler und Unterauftragsverarbeiter unterstützt, die in Ihrem Auftrag personenbezogene Daten verarbeiten.

Vorbereitung auf die Prüfung: Was Prüfer tatsächlich fragen

Bei Bewertungen und Prüfungen stehen nachweisbare Ergebnisse im Mittelpunkt, nicht bloße Grundsatzerklärungen. Diese Tatsache begünstigt Einrichtungen, die ihre Arbeit konkret darlegen können. Nutzen Sie die folgenden Punkte als Checkliste für die Selbsteinschätzung:

• Eine dokumentierte Risikobewertung gemäß Artikel 32, die Ihrer Wahl der Verschlüsselungs- und Pseudonymisierungsmaßnahmen zugrunde liegt.
• Verschlüsselung oder Pseudonymisierung in allen Systemen, die personenbezogene Daten verarbeiten, nicht nur in den nach außen gerichteten.
• Dokumentierte Nachweise dafür, dass die bei einem hypothetischen Vorfall offengelegten Daten unverständlich bleiben würden.
• Aufzeichnungen zur datenschutzgerechten Gestaltung, wobei kryptografische Kontrollmaßnahmen in den Datenschutz-Folgenabschätzungen berücksichtigt werden.
• Nachweis über regelmäßige Tests und Bewertungen Ihrer kryptografischen Kontrollmaßnahmen, einschließlich einer dokumentierten Stellungnahme zur Ausmusterung von Algorithmen.
• Vereinbarungen mit Auftragsverarbeitern und Unterauftragsverarbeitern, die sich mit kryptografischen Verfahren befassen.
• Nachweis, dass der Zugriff auf Schlüssel zum Schutz personenbezogener Daten beschränkt und protokolliert wird.
• Eine Bestandsaufnahme der kryptografischen Maßnahmen und ein Migrationsplan zur Vorbereitung auf die Post-Quanten-Ära.

Wenn Sie jeden Punkt mit Belegen statt nur mit Beteuerungen untermauern können, sind Sie in einer starken Position, wenn ein Prüfer danach fragt.

Wie Keyfactor helfen Keyfactor

Die Erfüllung dieser Verpflichtungen in großem Maßstab ist eine Frage der Transparenz, der Automatisierung und der Lebenszyklussteuerung. „ Keyfactor “ verknüpft jeden Kontrollbereich der DSGVO mit praktischen Funktionen, sodass Sie Artikel 32 nicht nur beschreiben, sondern auch umsetzen können.

• AgileSec stellt das Verzeichnis der kryptografischen Komponenten bereit, das die Sorgfaltspflicht gegenüber Auftragsverarbeitern und Unterauftragsverarbeitern (Artikel 28) unterstützt.
• EJBCA bietet Zertifikatsausstellung sowie eine skalierbare, zukunftssichere PKI. Es ermöglicht den Schutz von Daten im Ruhezustand und während der Übertragung (Artikel 32 Absatz 1 Buchstabe a), unterstützt die Ausnahme von der Meldepflicht bei Datenschutzverletzungen (Artikel 34 Absatz 3 Buchstabe a) und bildet die Grundlage für Schutzmaßnahmen bei grenzüberschreitenden Datenübermittlungen (Artikel 46).
• Bouncy Castle bietet ein umfangreiches Angebot an robusten kryptografischen Primitiven, die den Datenschutz gewährleisten und die Einhaltung gesetzlicher Vorschriften erleichtern.
• Keyfactor Command unterstützt den Datenschutz durch Technikgestaltung (Artikel 25) und einen verwalteten Schlüssellebenszyklus mit eingeschränktem, nachprüfbarem Zugriff auf Schlüssel (Artikel 32 Absatz 1 Buchstabe b).

Der rote Faden ist die Reife. Institutionen, die ein ausgereiftes System zur Transparenz und zum Lebenszyklusmanagement im Bereich der Kryptografie aufbauen, durchlaufen Due-Diligence-Prüfungen und Inspektionen zügiger und können sich schneller erholen, wenn sich Zertifikate oder Algorithmen ändern. Vor diesem Hintergrund wird die Kryptografie-Governance zu einer Wettbewerbsfähigkeit und nicht nur zu einer defensiven Maßnahme.

Fazit und nächste Schritte

Im Rahmen der DSGVO erfüllt eine ordnungsgemäß implementierte Verschlüsselung gleich zwei Funktionen. Sie dient zum einen als Schutz vor Geldbußen, die bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes betragen können, und zum anderen als Ausnahmeregelung, die es Ihnen erspart, nach einer Datenschutzverletzung jeden betroffenen Kunden benachrichtigen zu müssen. Beide Vorteile hängen von einer Kryptografie ab, die Sie tatsächlich nachweisen können – nicht von einer, die Sie lediglich behaupten.

Die ersten praktischen Schritte sind unabhängig davon, wo Sie beginnen, immer dieselben. Verschaffen Sie sich einen Überblick über Ihre kryptografischen Ressourcen und deren Einsatzorte. Prüfen Sie diese anhand der Anforderungen gemäß Artikel 32. Automatisieren Sie anschließend den Lebenszyklus von Zertifikaten und Schlüsseln, bevor Schwachstellen zu Vorfällen führen. Möchten Sie erfahren, wie das funktioniert? Fordern Sie eine Demo an.

Haben Sie Fragen zur DSGVO-Verschlüsselung? Wir haben die Antworten.

Does GDPR require encryption of personal data?
GDPR does not mandate encryption outright. Article 32 names encryption and pseudonymization as example measures appropriate to the risk, so the requirement is risk-based. For high-risk financial data, encryption is generally expected.

What personal data do financial institutions need to protect under GDPR?
Typically high-risk categories such as transaction histories, credit and affordability data, and biometric authentication data used in fraud prevention. These carry heightened obligations because of their sensitivity and volume.

How large can GDPR fines be for financial services?
Fines can reach EUR 20 million or 4% of global annual turnover, whichever is higher. Financial services has consistently been among the more heavily fined sectors, given the volume and sensitivity of data it processes.

Can encryption exempt us from notifying customers after a breach?
Yes, under Article 34(3)(a). If exposed data was rendered unintelligible to unauthorized parties, usually through strong encryption, the controller does not have to notify individual data subjects. This makes encryption a direct cost-avoidance control.

Which GDPR articles matter most for cryptography?
Article 32 (security of processing, including pseudonymization and encryption), Article 25 (data protection by design and by default), Article 5(1)(f) and 5(2) (the confidentiality principle and the duty to demonstrate compliance), and Articles 33 and 34, where encryption is not just mitigating but can remove the duty to notify individuals altogether.

What do supervisor authorities look for?
Documented evidence, not policy statements alone. Expect questions about the Article 32 risk assessment, encryption coverage across all processing systems, breach safe-harbor support, data protection by design records, processor assurance, and restricted, logged key access.

Do our payment processors and vendors fall under GDPR encryption expectations?
Yes. Under Article 28, processor agreements should address the cryptographic practices of payment processors and sub-processors. A cryptographic component inventory helps support that due diligence.

Is GDPR only relevant to organizations based in the EU?
No. GDPR applies in the EU and EEA but has extraterritorial reach to any organization processing the personal data of EU residents, which is why it shapes what regulators worldwide consider reasonable security.