Source: https://datenschutzbeauftragter-hamburg.de/2017/09/die-rechenschaftspflicht-nach-der-ds-gvo-und-penetrationstests/
Timestamp: 2019-11-17 10:32:07+00:00

Document:
Penetrationstest unter der DSGVO
18. September 2017 /in Datenschutz, DS-GVO, Newsletter /von Datenschutzbeauftragter/tma
Mit der Datenschutz-Grundverordnung (DSGVO) wird in Europa der Datenschutz neu geregelt und vieles Aspekte des heutigen Bundesdatenschutzgesezes (BDSG), findet man in ähnlicher Weise auch in der DSGVO. Dem technischen Fortschritt und den damit verbundenen Risiken geschuldet, hat das Thema IT-Sicherheit in der DSGVO im Vergleich zum BDSG allerdings erheblich an Bedeutung gewonnen.
So definiert die DSGVO zunächst in Art. 5 Abs. 1 lit. f die Pflicht zur Implementierung geeigneter technischer und organisatorischer Maßnahmen zum Schutz der Daten („Integrität und Vertraulichkeit“) und präzisiert die zu ergreifenden Maßnahmen zusätzlich in Art. 32. Darüber hinaus werden in Art. 25 DSGVO („Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“) Prinzipien festgelegt, wie Verarbeitungen gestaltet sein müssen („Data Protection by Design“) und welche Voreinstellungen vorzunehmen sind („Data protection by Default).
Interessant in diesem Zusammenhang ist Art. 32 Abs. 1 lit. d DSGVO. Neben der reinen Implementierung der technischen und organisatorischen Maßnahmen bezüglich Verfügbarkeit, Vertraulichkeit und Integrität der Systeme sowie zur Wiederherstellung von Daten, ist die Wirksamkeit der ergriffenen technischen und organisatorischen Maßnahmen durch geeignete Verfahren nun zukünftig zusätzlich nachzuweisen.
Durch die neuen Regelungen in der DSGVO muss die Wirksamkeit der technischen und organisatorischen Maßnahmen künftig ausreichend getestet werden. Diese Regelung ist neu und verpflichtet die Betreiber von technischen Systemen, „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung“ zu implementieren.
Der Einsatz von Penetrationstests ist eine Maßnahme, um diesen gesetzlich geforderten Nachweis zu führen.
Im Rahmen von Penetrationstest werden üblicherweise eine ganze Reihe verschiedener Tests durchgeführt. Hierzu zählen die üblichen eher technischen Angriffe, wie interne und externe Zugriffe auf die IT-Systeme einschließlich Aufdeckung von Möglichkeiten zur Manipulation und zum Abzug von Daten. Von mindestens derselben Wichtigkeit sind aber auch die sogenannten Social Engineering-Tests, da ein Angreifer immer den Weg des geringsten Widerstandes gehen wird.
Durch Social Engineering-Tests wird im Wesentlichen das Sicherheitsbewusstsein der Mitarbeiter geprüft. Mit unterschiedlichen Verfahren versucht der Tester beispielsweise über fingierte Telefonanrufe an vertrauliche Informationen zu kommen oder mit gezielter Spähsoftware (Installation erfolgt beispielsweise über Email-Anhänge oder verschenkte bzw. „verlorene“ USB-Sticks) gezielte Phishing-Attacken zu platzieren, um an sensible Daten zu gelangen.
Mit den neuen gesetzlichen Vorschriften wurden durch Art. 32 der DSGVO Anforderungen an die Datensicherheit formuliert, die bisher in § 9 BDSG und den entsprechenden Anlagen teilweise enthalten waren. Mit der Nachweispflicht sind nun allerdings ganz neue Pflichten für Betreiber von technischen Systemen hinzugekommen, die aufgrund der Inhalte und der geforderten Regelmäßigkeit eine nicht unerhebliche Mehrbelastung zur Folge haben. Die Durchführung von Penetrationstests sind eine Möglichkeit, dieser Nachweispflicht nachzukommen.
Zwar findet man für die Durchführung von Penetrationstests in der DSGVO nur generelle Vorgaben, sodass eine Standardisierung hier nicht möglich ist. Andererseits erlauben die gesetzlichen Ausführungen, den Umfang von Penetrationstests auf die individuelle Situation anzupassen. Dies erfordert allerdings ein umfangreiches Know-how. Neben dem datenschutzrechtlichen Wissen, sind hier sehr detaillierte Kenntnisse im IT-Umfeld erforderlich, die aufgrund des schnellen technologischen Wandels permanent zu aktualisieren sind.
Planen Sie die Implementierung notwendiger Maßnahmen zur Erfüllung der Nachweispflicht aus der DSGVO? Sprechen Sie uns an! Gerne unterstützen wie Sie bei der Ausgestaltung der Details.
https://datenschutzbeauftragter-hamburg.de/wp-content/uploads/2015/07/hacker.jpg 480 830 Datenschutzbeauftragter/tma /wp-content/uploads/2016/06/datenschutz_hamburg_logo.png Datenschutzbeauftragter/tma2017-09-18 16:27:232019-06-13 15:50:03Die Rechenschaftspflicht nach der DSGVO und Penetrationstests
Datenschutz im Zeitalter der Digitalisierung Datenschutz durch Technikgestaltung im Rahmen der DSGVO

References: Art. 5
 Art. 32
 Art. 25
 Art. 32
 Art. 32
 § 9