GLBA-Sicherheitsvorschrift:
Kryptografie für Finanzinstitute außerhalb des Bankensektors
| Region | Nichtbank-Finanzinstitute in den Vereinigten Staaten, für die vergleichbare Anforderungen gelten, oder Einlageninstitute |
| Anwendbarkeit | Finanzinstitute, die der Zuständigkeit der FTC unterliegen: Nicht-Bank-Kreditgeber , Hypothekenmakler, Steuerberater, Autohändler, die Finanzierungen anbieten, sowie andere Unternehmen, die die Kriterien für „Finanzaktivitäten“ gemäß GLBA erfüllen. Qualifizierte Person: die benannte Person, die für die Überwachung und Umsetzung des Informationssicherheitsprogramms verantwortlich ist. Dienstleister: vertraglich verpflichtet, angemessene Sicherheitsvorkehrungen für die von ihnen verarbeiteten Kundendaten zu treffen. |
| Relevante Abschnitte | 16 CFR § 314.4(c)(3): Verschlüsselung von Kundendaten im Ruhezustand und während der Übertragung § 314.4(a): Benennung einer qualifizierten Person § 314.2(m) / § 314.5: Meldung von Datenschutzverletzungen an die FTC bei Vorfällen, von denen 500 oder mehr Verbraucher betroffen sind |
Übersicht
Die „Safeguards Rule“ der FTC setzt Abschnitt 501(b) des GLBA für Finanzinstitute um, die der Zuständigkeit der FTC unterliegen. Die endgültige Verordnung zur Aktualisierung der „Safeguards Rule“ trat am 9. Juni 2023 in Kraft und ersetzte einen prinzipienbasierten Ansatz durch neun verbindliche Programmelemente, von denen eines eine ausdrückliche Verschlüsselungspflicht darstellt. Eine weitere Änderung, mit der die Meldepflicht bei Datenschutzverletzungen in den Zuständigkeitsbereich der FTC aufgenommen wurde, trat am 13. Mai 2024 in Kraft.
Abschnitt 314.4(c)(3) schreibt die Verschlüsselung von Kundendaten sowohl im Ruhezustand als auch während der Übertragung vor. Ist eine Verschlüsselung nicht durchführbar, muss die qualifizierte Person wirksame alternative Kontrollmaßnahmen schriftlich genehmigen. Dies ist eine der wenigen Bestimmungen der „Safeguards Rule“, die nahezu keinen Auslegungsspielraum lässt: Standardmäßig wird eine Verschlüsselung erwartet, und jede Abweichung davon muss dokumentiert und begründet werden.
Warum das wichtig ist
Die zivilrechtlichen Strafen belaufen sich für das Unternehmen auf bis zu 100.000 US-Dollar pro Verstoß, und Führungskräfte sowie Vorstandsmitglieder können persönlich mit Geldstrafen von bis zu 10.000 US-Dollar belegt werden. Die Änderung der Meldepflicht bei Datenschutzverletzungen aus dem Jahr 2024 steht in direktem Zusammenhang mit dem Verschlüsselungsstatus: Ein „Meldefall“ ist definiert als der unbefugte Zugriff auf unverschlüsselte Kundendaten, von dem 500 oder mehr Verbraucher betroffen sind und der der FTC innerhalb von 30 Tagen gemeldet werden muss.
Diese Definition bedeutet, dass der Verschlüsselungsstatus nicht nur eine Sicherheitsmaßnahme ist, sondern der entscheidende Faktor dafür, ob ein Vorfall überhaupt eine Meldepflicht gegenüber den Bundesbehörden auslöst. Eine Organisation, die nachweisen kann, dass ihre offengelegten Daten verschlüsselt waren, befindet sich möglicherweise in einer wesentlich anderen Meldeposition als eine Organisation, die dies nicht nachweisen kann.
Wie sich dies auf die Kryptografie auswirkt
Die GLBA-Safeguards-Regelung behandelt das Thema Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Die wichtigsten Bereiche mit direkten Auswirkungen auf die Kryptografie sind:
| Abschnitt | Funktion | Was dort steht | Zugehörige Produkte |
| § 314.4 Buchstabe c Nummer 3 | Verschlüsselung von Kundendaten | Verschlüsselung von Kundendaten im Ruhezustand und während der Übertragung; sofern eine Verschlüsselung nicht durchführbar ist, gelten von einer qualifizierten Person genehmigte und dokumentierte Ausgleichsmaßnahmen. | EJBCA |
| § 314.4(c)(5) | Mehrfaktor-Authentifizierung | MFA für alle, die auf Kundendaten-Systeme zugreifen, wobei für eine höhere Sicherheit zertifikatsbasierte Optionen zur Verfügung stehen. | EJBCA |
| § 314.4(a) | Beaufsichtigung durch qualifizierte Personen | Zentralisierte Berichterstattung über den Status der kryptografischen Kontrollen, die der für die Aufsicht zuständigen Person als Grundlage für die Wahrnehmung ihrer Aufsichtspflichten dient und in den vorgeschriebenen Jahresbericht an den Vorstand einfließt. | Keyfactor Command |
| § 314.4 Buchstabe f | Sicherstellung der Zuverlässigkeit von Anbietern und Dienstleistern | Nachweise im Rahmen einer kryptografischen Due-Diligence-Prüfung zur Untermauerung der vertraglichen Anforderungen an Dienstleister für Organisationen, die mit Kundendaten umgehen. | AgileSec |
| § 314.2(m) / § 314.5 | Entscheidung zur Meldung von Datenschutzverletzungen | Ein dokumentierter Prozess zur Feststellung, ob offengelegte Kundendaten verschlüsselt waren, der unmittelbar die 30-tägige Meldepflicht gegenüber der FTC bestimmt. | EJBCA |
| § 314.4 (c) (4) | Sichere Anwendungsentwicklung | Code-Signierung und sichere Entwicklungsverfahren für interne Anwendungen, die auf Kundendaten zugreifen oder diese übertragen. | SignServer |
Prüfungsbereitschaft
Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:
- Nachweis der Verschlüsselung: Kann die Einrichtung nachweisen, dass Kundendaten in ihren Systemen sowohl im Ruhezustand als auch während der Übertragung verschlüsselt sind?
- Von einer qualifizierten Person genehmigte Ausgleichsmaßnahmen: Liegt für den Fall, dass keine Verschlüsselung verwendet wird, eine schriftliche, von einer qualifizierten Person genehmigte Begründung und Beschreibung der alternativen Kontrollmaßnahme vor?
- Nachweis der MFA-Implementierung: Wird MFA bei jedem Zugriff auf Systeme, die Kundendaten enthalten, erzwungen?
- Vertragsformulierungen für Dienstleister: Sehen Verträge mit Dienstleistern angemessene Sicherheitsvorkehrungen – einschließlich Verschlüsselung – für die von ihnen verarbeiteten Kundendaten vor?
- Vorbereitung auf die Meldung von Datenschutzverletzungen: Gibt es einen dokumentierten Prozess, um innerhalb der vorgeschriebenen Frist festzustellen, ob bei einem Vorfall unverschlüsselte Kundendaten betroffen waren?
- Jährliches Berichtspaket für den Vorstand: Enthält der vom qualifizierten Sachverständigen an den Vorstand zu erstellende Bericht Angaben zum Stand der Verschlüsselung und anderer technischer Sicherheitsmaßnahmen?
LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER
Die Verschlüsselungsanforderung der „Safeguards Rule“ lässt kaum Interpretationsspielraum, und seit Mai 2024 hat sie eine direkte rechtliche Konsequenz: Ob Kundendaten verschlüsselt waren, entscheidet darüber, ob ein Vorfall überhaupt als meldepflichtiges „Meldeereignis“ an die FTC innerhalb von 30 Tagen gilt.
Die Strafen belaufen sich auf 100.000 US-Dollar pro Verstoß für das Unternehmen und auf 10.000 US-Dollar für einzelne Führungskräfte und Vorstandsmitglieder. Wenn wir nicht umgehend nachweisen können, welche Systeme Kundendaten verschlüsseln und in welchen Fällen unsere qualifizierte Person eine alternative Kontrollmaßnahme schriftlich genehmigt hat, können wir diese Entscheidung bezüglich der 30-tägigen Meldefrist nicht mit der nötigen Sicherheit treffen.
Zugehörige Compliance-Vorgaben
Post-Quanten-Bereitschaft für den Finanzdienstleistungssektor
NYDFS 23 NYCRR Teil 500
