In den vergangenen drei Jahrzehnten spielte die Kryptografie in der Finanzbranche meist eine untergeordnete Rolle. Sie wurde von Sicherheits- und PKI-Teams verwaltet, Compliance-Teams machten sich selten Gedanken darüber, und alle betrachteten sie als rein technisches Detail. Die DSGVO trug dazu bei, diese Ära zu beenden. Verschlüsselung ist nun ein Thema der Unternehmensführung und Compliance, das in Vorstandssitzungen, bei behördlichen Prüfungen und in Plänen zur Reaktion auf Datenschutzverletzungen eine Rolle spielt.
Diese Veränderung ist eine gute Nachricht, wenn man weiß, wie man sie nutzt. Nach der DSGVO ist eine starke Verschlüsselung nicht nur ein Kostenfaktor für die Einhaltung der Vorschriften. Sie ist ein Hebel. Eine gut umgesetzte Verschlüsselung von Finanzdaten kann Ihr Risiko für Datenschutzverletzungen verringern, Ihre Meldepflichten bei Datenschutzverletzungen aufheben und die Audits sowie Due-Diligence-Prüfungen beschleunigen, die zunehmend als Voraussetzung für Geschäftsbeziehungen dienen. Dieser Artikel erläutert, wie die DSGVO die Verschlüsselung von Finanzdaten behandelt und wie Sie Artikel 32 in einen Vorteil statt in eine Verpflichtung verwandeln können.
Warum die DSGVO nach wie vor Maßstäbe für Finanzdaten setzt
Die DSGVO (Verordnung (EU) 2016/679) ist seit Mai 2018 in Kraft und gilt nach wie vor als weltweiter Maßstab für den Datenschutz. Ihr Einfluss reicht weit über Europa hinaus. Die DSGVO gilt in der gesamten EU und im EWR auf zwei unabhängigen Rechtsgrundlagen. Artikel 3 Absatz 1 erfasst die Verarbeitung, die im Rahmen der Tätigkeiten einer Niederlassung in der EU erfolgt, unabhängig davon, wo die Verarbeitung physisch stattfindet. Artikel 3 Absatz 2 gilt für Organisationen, die über keinerlei Niederlassung in der EU verfügen, sofern sie Waren oder Dienstleistungen für Personen in der Union anbieten oder das Verhalten dieser Personen überwachen. Beachten Sie dabei den Maßstab: Entscheidend ist der Aufenthaltsort der betroffenen Person, nicht deren Staatsangehörigkeit oder Wohnsitz. Diese Reichweite ist insbesondere für Finanzdienstleistungen von Bedeutung. Grenzüberschreitende Zahlungsnetzwerke, Korrespondenzbankbeziehungen und in der Cloud gehostete Kernbankplattformen führen dazu, dass die meisten Institute irgendwo mit den Daten von Personen in der EU in Berührung kommen. Da so viele Organisationen die Anforderungen der DSGVO erfüllen müssen, prägt diese die Vorstellungen der Aufsichtsbehörden weltweit davon, was als angemessene Sicherheit gilt – selbst in Märkten, in denen die DSGVO nicht unmittelbar gilt.
Die Daten, die Finanzinstitute tatsächlich verarbeiten
Finanzunternehmen verarbeiten Daten, die nach dem risikobasierten Ansatz der DSGVO häufig als risikoreich eingestuft werden. Dabei lassen sich drei Kategorien hervorheben:
- Transaktionsverläufe, die Aufschluss über das Verhalten, die Beziehungen und die finanzielle Situation der Kunden geben.
- Kredit- und Bonitätsdaten, die bei Kreditvergabe- und Risikoprüfungsentscheidungen herangezogen werden.
- Biometrische Authentifizierungsdaten, die zur Betrugsbekämpfung eingesetzt werden.
Die Sensibilität und der Umfang dieser Daten erhöhen die Anforderungen an deren Schutz. Wenn die zugrunde liegenden Informationen so aufschlussreich sind, ist Verschlüsselung nicht mehr nur ein nettes Extra, sondern von zentraler Bedeutung für den Nachweis angemessener Sicherheit.
Was auf dem Spiel steht: Geldbußen und die Befreiung von der Meldepflicht bei Datenschutzverletzungen
Die DSGVO stellt Finanzunternehmen vor zwei Seiten derselben Medaille.
Auf der anderen Seite können die Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Der Finanzdienstleistungssektor gehört angesichts des Umfangs und der Sensibilität der von ihm verarbeiteten Daten seit jeher zu den Branchen, gegen die am höchsten geahndet wird. Unzureichende technische und organisatorische Sicherheitsmaßnahmen sind mittlerweile der häufigste Grund für Geldbußen im Finanz- und Versicherungssektor. Da Artikel 32 risikobasiert und nicht präskriptiv ist, prüfen Aufsichtsbehörden und Gerichte die Verschlüsselungs- und Schlüsselverwaltungspraktiken, die zum Zeitpunkt eines Vorfalls tatsächlich vorhanden waren, und nicht, was in einem Richtliniendokument behauptet wurde.
Positiv zu vermerken ist, dass die Verschlüsselung einen direkten Vorteil mit sich bringt, der in der Verordnung verankert ist. Gemäß Artikel 34 Absatz 3 Buchstabe a muss ein Verantwortlicher betroffene Personen nicht über eine Datenschutzverletzung informieren, wenn die offengelegten Daten für Unbefugte unlesbar gemacht wurden, typischerweise durch starke Verschlüsselung. Diese Ausnahme gilt nicht automatisch. Sie müssen nachweisen können, dass der Algorithmus dem neuesten Stand der Technik entsprach, der Schlüssel nicht von der Datenschutzverletzung betroffen war und das Schlüsselmaterial getrennt von den Daten aufbewahrt wurde. Eine starke, ordnungsgemäß verschlüsselte Verschlüsselung kann den Unterschied zwischen einer stillen Meldung an die Aufsichtsbehörde und einer öffentlichen Benachrichtigung aller betroffenen Kunden ausmachen.
Wer ist verantwortlich: Verantwortliche, Auftragsverarbeiter und Datenschutzbeauftragte
Die DSGVO legt klare Rollen fest, jedoch nicht gleichberechtigt. Die Verantwortung für die Kryptografie liegt gemäß Artikel 24 beim Verantwortlichen und, sofern zutreffend, beim Auftragsverarbeiter. Der Datenschutzbeauftragte berät und überwacht gemäß Artikel 39 und kann nicht zum Verantwortlichen für die Verschlüsselung oder das Schlüsselmanagement gemacht werden.
- Verantwortliche sind die Finanzinstitute, die die Zwecke und Mittel der Verarbeitung von Kunden-, Konto- und Transaktionsdaten festlegen.
- Auftragsverarbeiter sind Zahlungsabwickler, Cloud-Anbieter und ausgelagerte Dienstleister, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeiten.
- Datenschutzbeauftragte sind für Finanzunternehmen in der Regel vorgeschrieben, da die Risikobewertung und Betrugsaufdeckung mit einer groß angelegten, systematischen Überwachung einhergehen.
Wenn Sie wissen, wer für die jeweiligen Verpflichtungen zuständig ist, können Sie die Verantwortung für Verschlüsselung, Schlüsselverwaltung und Anbietersicherheit dort ansiedeln, wo sie hingehört.
Wie sich die DSGVO auf kryptografische Kontrollmaßnahmen abbilden lässt
Die wichtigste Erkenntnis für Finanzunternehmen ist, dass Artikel 32 risikobasiert und nicht präskriptiv ist. Er liefert keine Checkliste mit Algorithmen. Stattdessen prüfen die Aufsichtsbehörden die Kryptografie- und Schlüsselverwaltungspraktiken, die zum Zeitpunkt eines Vorfalls tatsächlich angewendet wurden, und nicht, was in einer Richtlinie vorgesehen war. Damit ist eine nachweisbare, gut geregelte Kryptografie das Ziel. Sieben miteinander verknüpfte Kontrollbereiche zeigen, wo Verschlüsselung zum Einsatz kommt.
Sicherheit der Verarbeitung (Artikel 32 Absatz 1 Buchstabe a)
Kunden- und Transaktionsdaten sind sowohl im Ruhezustand als auch während der Übertragung zu verschlüsseln und zu pseudonymisieren, wobei dies auf das Risiko der jeweiligen Verarbeitungsaktivität abgestimmt sein muss. Eine Verarbeitung mit höherem Risiko erfordert einen stärkeren Schutz.
Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Artikel 25)
Kryptografische Sicherheitsmaßnahmen sollten bereits in der Entwurfsphase des Systems integriert werden. Verschlüsselte Datenspeicher und APIs sollten die Standardkonfiguration darstellen und nicht erst nachträglich als Sicherheitsmaßnahme hinzugefügt werden.
Ausnahme von der Meldepflicht bei Datenschutzverletzungen (Artikel 34 Absatz 3 Buchstabe a)
Sorgen Sie für eine nachweislich starke Verschlüsselung, die es Ihnen ermöglicht, von der Benachrichtigung einzelner betroffener Personen abzusehen, wenn offengelegte Daten unlesbar gemacht wurden. Der Schwerpunkt liegt darauf, dies nachweisen zu können, und nicht nur zu behaupten.
Schlüsselverwaltung und Zugriffskontrolle (Artikel 32 Absatz 1 Buchstabe b)
Sorgen Sie für einen verwalteten Schlüssellebenszyklus mit eingeschränktem Zugriff auf die Schlüssel. Dies gewährleistet die von der DSGVO geforderte fortwährende Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Verarbeitungssysteme.
Prüfung und Wiederherstellung (Artikel 32 Absatz 1 Buchstaben c und d)
Artikel 32 Absatz 1 Buchstabe d schreibt ein Verfahren vor, mit dem regelmäßig geprüft und bewertet wird, ob Ihre Maßnahmen weiterhin wirksam sind – diese Bestimmung macht die Außerbetriebnahme von Algorithmen zu einem Compliance-Ereignis. Artikel 32 Absatz 1 Buchstabe c schreibt die Wiederherstellungsfähigkeit vor und steht in direktem Zusammenhang mit der Ausnahmeregelung für Datenschutzverletzungen: Verschlüsselte Daten ohne wiederherstellbare Kopie stellen dennoch einen Verfügbarkeitsvorfall dar.
Sicherheitsvorkehrungen bei grenzüberschreitenden Übermittlungen (Artikel 46)
Nutzen Sie die Verschlüsselung von Daten während der Übertragung als ergänzende technische Maßnahme zur Unterstützung internationaler Übermittlungsmechanismen wie beispielsweise Standardvertragsklauseln.
Kryptografische Sicherheit durch Verarbeiter und Anbieter (Artikel 28)
Führen Sie ein Verzeichnis der kryptografischen Komponenten, das die Sorgfaltsprüfung der Zahlungsabwickler und Unterauftragsverarbeiter unterstützt, die in Ihrem Auftrag personenbezogene Daten verarbeiten.
Vorbereitung auf die Prüfung: Was Prüfer tatsächlich fragen
Bei Bewertungen und Prüfungen stehen nachweisbare Ergebnisse im Mittelpunkt, nicht bloße Grundsatzerklärungen. Diese Tatsache begünstigt Einrichtungen, die ihre Arbeit konkret darlegen können. Nutzen Sie die folgenden Punkte als Checkliste für die Selbsteinschätzung:
- Eine dokumentierte Risikobewertung gemäß Artikel 32, die Ihrer Wahl der Verschlüsselungs- und Pseudonymisierungsmaßnahmen zugrunde liegt.
- Verschlüsselung oder Pseudonymisierung in allen Systemen, die personenbezogene Daten verarbeiten, nicht nur in den nach außen gerichteten.
- Dokumentierte Nachweise dafür, dass die bei einem hypothetischen Vorfall offengelegten Daten unverständlich bleiben würden.
- Aufzeichnungen zur datenschutzgerechten Gestaltung, wobei kryptografische Kontrollmaßnahmen in den Datenschutz-Folgenabschätzungen berücksichtigt werden.
- Nachweis über regelmäßige Tests und Bewertungen Ihrer kryptografischen Kontrollmaßnahmen, einschließlich einer dokumentierten Stellungnahme zur Ausmusterung von Algorithmen.
- Vereinbarungen mit Auftragsverarbeitern und Unterauftragsverarbeitern, die sich mit kryptografischen Verfahren befassen.
- Nachweis, dass der Zugriff auf Schlüssel zum Schutz personenbezogener Daten beschränkt und protokolliert wird.
- Eine Bestandsaufnahme der kryptografischen Maßnahmen und ein Migrationsplan zur Vorbereitung auf die Post-Quanten-Ära.
Wenn Sie jeden Punkt mit Belegen statt nur mit Beteuerungen untermauern können, sind Sie in einer starken Position, wenn ein Prüfer danach fragt.
Wie Keyfactor helfen Keyfactor
Die Erfüllung dieser Verpflichtungen in großem Maßstab ist eine Frage der Transparenz, der Automatisierung und der Lebenszyklussteuerung. „ Keyfactor “ verknüpft jeden Kontrollbereich der DSGVO mit praktischen Funktionen, sodass Sie Artikel 32 nicht nur beschreiben, sondern auch umsetzen können.
- AgileSec stellt das Verzeichnis der kryptografischen Komponenten bereit, das die Sorgfaltspflicht gegenüber Auftragsverarbeitern und Unterauftragsverarbeitern (Artikel 28) unterstützt.
- EJBCA bietet Zertifikatsausstellung sowie eine skalierbare, zukunftssichere PKI. Es ermöglicht den Schutz von Daten im Ruhezustand und während der Übertragung (Artikel 32 Absatz 1 Buchstabe a), unterstützt die Ausnahme von der Meldepflicht bei Datenschutzverletzungen (Artikel 34 Absatz 3 Buchstabe a) und bildet die Grundlage für Schutzmaßnahmen bei grenzüberschreitenden Datenübermittlungen (Artikel 46).
- Bouncy Castle bietet ein umfangreiches Angebot an robusten kryptografischen Primitiven, die den Datenschutz gewährleisten und die Einhaltung gesetzlicher Vorschriften erleichtern.
- Keyfactor Command unterstützt den Datenschutz durch Technikgestaltung (Artikel 25) und einen verwalteten Schlüssellebenszyklus mit eingeschränktem, nachprüfbarem Zugriff auf Schlüssel (Artikel 32 Absatz 1 Buchstabe b).
Der rote Faden ist die Reife. Institutionen, die ein ausgereiftes System zur Transparenz und zum Lebenszyklusmanagement im Bereich der Kryptografie aufbauen, durchlaufen Due-Diligence-Prüfungen und Inspektionen zügiger und können sich schneller erholen, wenn sich Zertifikate oder Algorithmen ändern. Vor diesem Hintergrund wird die Kryptografie-Governance zu einer Wettbewerbsfähigkeit und nicht nur zu einer defensiven Maßnahme.
Fazit und nächste Schritte
Im Rahmen der DSGVO erfüllt eine ordnungsgemäß implementierte Verschlüsselung gleich zwei Funktionen. Sie dient zum einen als Schutz vor Geldbußen, die bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes betragen können, und zum anderen als Ausnahmeregelung, die es Ihnen erspart, nach einer Datenschutzverletzung jeden betroffenen Kunden benachrichtigen zu müssen. Beide Vorteile hängen von einer Kryptografie ab, die Sie tatsächlich nachweisen können – nicht von einer, die Sie lediglich behaupten.
Die ersten praktischen Schritte sind unabhängig davon, wo Sie beginnen, immer dieselben. Verschaffen Sie sich einen Überblick über Ihre kryptografischen Ressourcen und deren Einsatzorte. Prüfen Sie diese anhand der Anforderungen gemäß Artikel 32. Automatisieren Sie anschließend den Lebenszyklus von Zertifikaten und Schlüsseln, bevor Schwachstellen zu Vorfällen führen. Möchten Sie erfahren, wie das funktioniert? Fordern Sie eine Demo an.
Haben Sie Fragen zur DSGVO-Verschlüsselung? Wir haben die Antworten.
Schreibt die DSGVO die Verschlüsselung personenbezogener Daten vor?
Die DSGVO schreibt die Verschlüsselung nicht zwingend vor. In Artikel 32 werden Verschlüsselung und Pseudonymisierung als Beispiele für risikogerechte Maßnahmen genannt, sodass die Anforderung risikobasiert ist. Bei Finanzdaten mit hohem Risiko wird im Allgemeinen eine Verschlüsselung erwartet.
Welche personenbezogenen Daten müssen Finanzinstitute gemäß der DSGVO schützen?
Typischerweise handelt es sich dabei um risikoreiche Kategorien wie Transaktionsverläufe, Kredit- und Bonitätsdaten sowie biometrische Authentifizierungsdaten, die zur Betrugsbekämpfung verwendet werden. Aufgrund ihrer Sensibilität und ihres Umfangs sind mit diesen Daten erhöhte Verpflichtungen verbunden.
Wie hoch können die Bußgelder nach der DSGVO für Finanzdienstleister ausfallen?
Die Bußgelder können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Die Finanzdienstleistungsbranche gehört aufgrund des Umfangs und der Sensibilität der von ihr verarbeiteten Daten seit jeher zu den Branchen, in denen die höchsten Bußgelder verhängt werden.
Kann uns die Verschlüsselung von der Pflicht befreien, Kunden nach einer Datenschutzverletzung zu benachrichtigen?
Ja, gemäß Artikel 34 Absatz 3 Buchstabe a. Wenn die offengelegten Daten für Unbefugte unlesbar gemacht wurden – in der Regel durch starke Verschlüsselung –, muss der Verantwortliche die einzelnen betroffenen Personen nicht benachrichtigen. Damit ist die Verschlüsselung eine Maßnahme zur direkten Kostenvermeidung.
Welche Artikel der DSGVO sind für die Kryptografie am wichtigsten?
Artikel 32 (Sicherheit der Verarbeitung, einschließlich Pseudonymisierung und Verschlüsselung), Artikel 25 (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen), Artikel 5 Absatz 1 Buchstabe f und Artikel 5 Absatz 2 (Vertraulichkeitsgrundsatz und Nachweispflicht) sowie die Artikel 33 und 34, wonach Verschlüsselung die Meldepflicht gegenüber betroffenen Personen nicht nur mindert, sondern gänzlich aufheben kann.
Worauf achten die Aufsichtsbehörden?
Dokumentierte Nachweise, nicht nur Grundsatzerklärungen. Rechnen Sie mit Fragen zur Risikobewertung gemäß Artikel 32, zur Verschlüsselung in allen Verarbeitungssystemen, zur Unterstützung bei Datenschutzverletzungen im Rahmen des „Safe-Harbor“-Prinzips, zu Aufzeichnungen über den Datenschutz durch Technikgestaltung, zur Zertifizierung von Auftragsverarbeitern sowie zum eingeschränkten und protokollierten Zugriff auf Schlüssel.
Fallen unsere Zahlungsabwickler und Dienstleister unter die Verschlüsselungsanforderungen der DSGVO?
Ja. Gemäß Artikel 28 sollten Auftragsverarbeitungsvereinbarungen die kryptografischen Verfahren von Zahlungsabwicklern und Unterauftragsverarbeitern regeln. Ein Verzeichnis der kryptografischen Komponenten unterstützt diese Sorgfaltspflicht.
Gilt die DSGVO nur für Organisationen mit Sitz in der EU?
Nein. Die DSGVO gilt in der EU und im EWR, hat jedoch extraterritoriale Reichweite für jede Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet. Aus diesem Grund prägt sie die weltweiten Maßstäbe für angemessene Sicherheitsvorkehrungen.
