Datenschutz-Grundverordnung (DSGVO):

Übersicht

Die seit Mai 2018 geltende DSGVO (Verordnung (EU) 2016/679) ist nach wie vor der weltweite Maßstab für den Datenschutz, und ihr Einfluss darauf, was Aufsichtsbehörden weltweit als „angemessene“ Sicherheit betrachten, reicht weit über die EU hinaus. In Artikel 32 werden „die Pseudonymisierung und Verschlüsselung personenbezogener Daten“ neben der fortlaufenden Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Verarbeitungssysteme ausdrücklich als risikogerechte Maßnahmen genannt.

Finanzinstitute verarbeiten Daten, die nach dem risikobasierten Standard der DSGVO häufig ein hohes Risiko darstellen: Transaktionsverläufe, Kredit- und Bonitätsdaten sowie biometrische Authentifizierungsdaten, die zur Betrugsbekämpfung verwendet werden. Artikel 34 Absatz 3 Buchstabe a verleiht der Verschlüsselung einen direkten, praktischen Nutzen: Ein Verantwortlicher muss betroffene Personen nicht über eine Datenschutzverletzung informieren, wenn die offengelegten Daten für Unbefugte unverständlich gemacht wurden, in der Regel durch starke Verschlüsselung.

Warum das wichtig ist 

Die Bußgelder gemäß DSGVO belaufen sich auf 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, und die Finanzdienstleistungsbranche gehört angesichts des Umfangs und der Sensibilität der verarbeiteten Daten seit jeher zu den Sektoren, in denen die höchsten Bußgelder verhängt werden. Da Artikel 32 risikobasiert und nicht präskriptiv ist, prüfen Aufsichtsbehörden und Gerichte, welche Verschlüsselungs- und Schlüsselverwaltungsverfahren zum Zeitpunkt eines Vorfalls tatsächlich vorhanden waren, und nicht, was in den Richtlinien der Organisation festgelegt war.

Die Safe-Harbor-Regelung für die Meldung von Datenschutzverletzungen in Artikel 34 Absatz 3 Buchstabe a macht die Verschlüsselung zu einer Maßnahme zur direkten Kostenvermeidung: Eine starke, ordnungsgemäß verschlüsselte Verschlüsselung kann den Unterschied ausmachen zwischen einer stillen Meldung an die Aufsichtsbehörde und der Verpflichtung zur öffentlichen Benachrichtigung jedes betroffenen Kunden.

Wie sich dies auf die Kryptografie auswirkt 

Die DSGVO behandelt das Thema Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Die wichtigsten Bereiche mit direkten Auswirkungen auf die Kryptografie sind:

Prüfungsbereitschaft

Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:

• Artikel 32 Dokumentation der Risikobewertung: Hat die Organisation die Risikobewertung dokumentiert, auf der ihre Wahl der Verschlüsselungs- und Pseudonymisierungsmaßnahmen beruht?
• Umfang der Verschlüsselung und Pseudonymisierung: Kann die Organisation nachweisen, dass personenbezogene Daten in allen Systemen, in denen sie verarbeitet werden – und nicht nur in den nach außen gerichteten Systemen –, verschlüsselt oder pseudonymisiert werden?
• Unterstützung bei der Einhaltung der Safe-Harbor-Regelung zur Meldung von Datenschutzverletzungen: Gibt es dokumentierte Nachweise dafür, dass Daten, die bei einem hypothetischen Vorfall offengelegt würden, aufgrund der Verschlüsselung unlesbar blieben?
• Aufzeichnungen zur integrierten Datenschutzgestaltung: Spiegeln die Datenschutz-Folgenabschätzungen die bereits in der Entwurfsphase berücksichtigten kryptografischen Kontrollmaßnahmen wider?
• Verträge mit Auftragsverarbeitern und Nachweise von Unterauftragsverarbeitern: Werden in den Verträgen mit Auftragsverarbeitern die kryptografischen Verfahren der Zahlungsabwickler und Unterauftragsverarbeiter geregelt?
• Wichtige Nachweise zur Zugriffsbeschränkung: Wird der Zugriff auf kryptografische Schlüssel, die personenbezogene Daten schützen, eingeschränkt und protokolliert?

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Artikel 32 nennt die Verschlüsselung ausdrücklich, und die damit verbundenen Geldbußen von bis zu 4 % unseres weltweiten Umsatzes sind hoch genug, um unsere Prioritäten bei den Sicherheitsausgaben zu verändern. Doch Verschlüsselung leistet noch etwas, was Geldbußen nicht können: Gemäß Artikel 34 Absatz 3 Buchstabe a ist sie ein direkter Weg, um die Benachrichtigung über einzelne Datenschutzverletzungen zu vermeiden, wenn wir nachweisen können, dass die offengelegten Daten tatsächlich unlesbar waren.

Diese Ausnahmeregelung gilt nur, wenn wir dies im Nachhinein nachweisen können. Wir müssen unsere Nachweise zur Verschlüsselung und Schlüsselverwaltung bereits vor einem Vorfall gut organisieren und dürfen sie nicht erst unter Druck zusammenstellen, wenn Aufsichtsbehörden und Kunden bereits Fragen stellen.