Echtzeit-Forensik als Teil DSGVO-konformen Endpunktschutzes

Kaum ein anderes Thema beschäftigt Datenschutzexperten, IT-Sicherheitsverantwortliche und Juristen derzeit so sehr wie die bevorstehende EU Datenschutz-Grundverordnung (DSGVO) mitsamt all ihren neuen Richtlinien, Bestimmungen und Vorschriften. Während die EU-Bürger dank der DSGVO die Kontrolle über ihre persönlichen Daten wiedererlangen und bei materiellen aber auch immateriellen Schäden in Folge von Datenrechtsverletzungen leichter denn je Schadensersatz geltend machen können, erhöhen die neuen Richtlinien die Anforderungen an die Datenschutzmaßnahmen der betroffene Unternehmen immens.

Ein wichtiger Grund, warum Unternehmen auch wenige Monate vor Inkrafttreten der EU-DSGVO mit der Erfüllung der neuen Richtlinien straucheln, ist neben den Unklarheiten betreffend der rechtlichen Umsetzung, ihr fälschlicherweise bestehendes Vertrauen in herkömmliche – heute jedoch vollkommen unzureichende – Endpunkt-Sicherheitslösungen wie Antivirus oder Intrusion Detection Systeme.

Auf die Defizite signaturbasierten und ressourcen-unfreundlichen Endpunktschutzes wurde in diesem Blog bereits früher hingewiesen und aufgezeigt, wie Next Generation Endpoint-Technologien wie maschinelles Lernen und Verhaltensanalyse Unternehmen bei der Erfüllung der DSGVO-Forderung nach einem gewissenhaften und umfangreichen Datenschutz gemäß Artikel 5 Absatz 1 unterstützen können.

Hier erläutere ich nun (noch ergänzend), wie moderner Endpunktschutz Unternehmen dabei helfen kann, den deutlich verschärften Melde- und Dokumentationspflichten nachzukommen. Denn damit Cyberattacken, Datenpannen und die Abwehrmaßnahmen der Unternehmen zeitnah und umfassend dokumentiert werden können, brauchen Unternehmen umfassenden Ein- und Überblick in alle Aktivitäten und Prozesse auf dem Endpunkt – und das am Besten in Echtzeit und mit möglichst geringem Personalaufwand.

Meldepflicht nach Art.33: Vorteil durch Echtzeit-Forensik

Im Unterschied zur Verfügung des Bundesdatenschutzgesetzes (§42 BDSG) gilt die Meldepflicht unter der DSGVO nicht nur bei Datenpannen, die bestimmte sensible Informationen wie etwa Patienten- oder Bankdaten betreffen, sondern bei jeglicher Verletzung personenbezogener Daten. So sieht Artikel 33 Absatz 1 der DSGVO vor, dass die Meldung an die betreffende Datenschutzaufsichtsbehörde “unverzüglich und binnen 72 Stunden” nach Bekanntwerden der Datenpanne erfolgen muss.

Eine einzige Ausnahme ergibt sich für den Fall, dass die Datenpanne “voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt”. Bedenkt man jedoch die enormen Bußgelder von bis zu zehn Millionen Euro oder vier Prozent des weltweiten Konzernumsatzes, ist es fraglich, ob ein Unternehmen das Risiko eingeht, sich im Ernstfall auf diese Ausnahme zu berufen.

Doch mit der Meldepflicht ist es noch nicht genug: Denn mit ihr geht auch eine umfassende Dokumentationspflicht einher, die den Datenschutzverantwortlichen verpflichtet, alle “Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, von deren Auswirkungen und der ergriffenen Abhilfemaßnahmen” ordnungsgemäß und nachvollziehbar zu dokumentieren (Art. 33 Abs. 5). Dies soll der Aufsichtsbehörde letztlich eine bessere Kontrolle über die Einhaltung aller Forderungen ermöglichen.

Da keine Sicherheitstechnologie 100-prozentige Sicherheit garantieren kann, sollten Unternehmen spätestens ab Mai 2018 auch Endpunktschutz-Lösungen im Einsatz haben, die ihnen umfassende Echtzeit-Forensik und Einblick in sämtliche Aktivitäten bieten. Denn nur durch eine klare und frühzeitige Einsicht in schädliche Aktivitäten im gesamten Unternehmen, haben sie die Möglichkeit die Tragweite eines Angriffs und das Ausmaß der betroffenen schützenswerten Daten schnell zu beurteilen, angemessen zu reagieren und die Abwehrmaßnahmen auch lückenlos zu dokumentieren.

Hierzu sollten sie auf Endpoint Protection Lösungen setzen, die einen übersichtlichen Echtzeit-Audit-Trail bereitstellt und einen 360-Grad-Einblick in den Angriff einschließlich aller Dateiinformationen, Systemname, IP, Domain sowie aller erfolgten Verteidigungsmaßnahmen gewährt und so eine DSGVO-konforme Dokumentation problemlos und ohne großen Aufwand ermöglicht.

Die Orientierung im Dschungel der neuen DSGVO-Richtlinien und Vorschriften mag für Unternehmen nicht immer leicht sein. Endpunktschutz der nächsten Generation kann ihnen jedoch dabei helfen, einige wichtige “Baustellen” bei der Umsetzung eines gewissenhaften Datenschutzes nachhaltig zu beseitigen.