Source: https://it-sec.de/ger/Aktuelles-Termine/it.sec-blog/(offset)/170
Timestamp: 2020-04-06 05:47:43
Document Index: 374843545

Matched Legal Cases: ['Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'EuG', '§ 4', 'Art. 49', '§ 4', 'Art. 7', 'EuG', '§ 4', 'Art. 49', '§ 4', 'Art. 49', '§ 328', 'Art. 45', 'Art. 46', 'Art. 4', 'Art. 47', 'Art. 63', 'EuG', 'Art. 6', 'Art. 12']

Wann ist eine Datenverarbeitung nach der Datenschutzgrundverordnung zulässig?
Tags: Datenschutzgrundverordnung , Datenverarbeitung , DSGVO , Zulässigkeit
Gemäß Art. 6 Abs. 1 DSGVO ist eine Verarbeitung personenbezogener Daten nach der Datenschutzgrundverordnung nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
Die betroffene Person hat ihre Einwilligung Art. 6 Abs. 1 lit. a DSGVO zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben.
Form: ausdrückliche Erklärung oder zumindest unmissverständliche Handlung, die auch durch Mausklick oder per E-Mail erfolgen kann. Wichtig ist, dass der Verantwortliche nachweisen kann, dass eine Einwilligung abgegeben wurde (Dokumentation).
Informiertheit: Der Betroffene ist vorab über die Identität des Datenverarbeiters, über die Zwecke der Datenverarbeitung und über sein jederzeitiges, freies Widerrufsrecht ohne entsprechende Rückwirkung zu informieren.
Bei Unterbringung u.a. in Allgemeinen Geschäftsbedingungen muss die Einwilligung deutlich hervorgehoben und klar verständlich sein.
Vertragliche Einwilligungsklauseln sind in der Regel unwirksam, wenn sie sich auf Daten erstrecken, die für die Erfüllung des Vertrages nicht erforderlich sind.
Einwilligungserklärungen sind unwirksam, wenn ein klares Ungleichgewicht zwischen dem Verantwortlichen und dem Betroffenen besteht. Ein solches ist in der Regel beispielsweise, wie bisher auch schon, zwischen Arbeitgeber und Arbeitnehmer gegeben. Da auch im Massenverkehr zwischen Unternehmern und Verbrauchern regelmäßig davon auszugehen ist, wird der rechtskonforme Datenverkehr mit Verbrauchern erheblich erschwert.
Das Mindestalter für die Einwilligung beträgt in der Regel 16 Jahre.
Zusammenfassend lässt sich sagen, dass die Rechtslage zur „Einwilligung” im Großen und Ganzen unverändert bleibt. Letztlich bleiben alle Erfordernisse, die bisher bestanden, bestehen. Hinzu gekommen sind das Mindestalter sowie die Problematik eines möglichen Ungleichgewichts zwischen dem Verantwortlichen und dem Betroffenen. Teilweise wurden Regelungen, die bisher nicht explizit niedergeschrieben wurden, in den Gesetzestext aufgenommen.
Die Verarbeitung ist für die Erfüllung eines Vertrags, Art. 6 Abs. 1 lit. b DSGVO, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgt.
Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO, erforderlich, der der Verantwortliche unterliegt. Die Rechtsgrundlage für eine solche Verarbeitung wird durch Unionsrecht oder das Recht der Mitgliedsstaaten, dem der Verantwortliche unterliegt, festgelegt.
Die Verarbeitung erforderlich ist, um lebenswichtige Interessen, Art. 6 Abs. 1 lit. d DSGVO, der betroffenen Person oder einer anderen natürlichen Person zu schützen.
Die Verarbeitung ist für die Wahrnehmung einer Aufgabe, Art. 6 Abs. 1 lit. e DSGVO, erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
Die Verarbeitung ist zur Wahrung der berechtigten Interessen, Art. 6 Abs. 1 lit. f DSGVO, des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Mit jeder Form der Datenverarbeitung wird ein bestimmtes Interesse von unterschiedlichen Ausprägungen verfolgt.
Ob das verfolgte Interesse berechtigt ist, ist eine reine Wertungsfrage, deren Maßstäbe aus den allgemeinen Datenschutzgrundsätzen abzuleiten sind.
Nach Erwägungsgrund 47 S. 1-4 DSGVO kommt es dabei auf die vernünftigen Erwartungen der Betroffenen an.
Erfolgt im Anschluss eine Weiterverarbeitung von Daten zu einem vereinbaren Zweck, so bedarf es keiner gesonderten Rechtsgrundlage für eine solche Weiterverarbeitung, Art. 6 Abs. 4 DSGVO. Um festzustellen, ob ein Zweck der Weiterverarbeitung mit dem Zweck, für den die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist, sollte der Verantwortliche nach Einhaltung aller Anforderungen für die Rechtmäßigkeit der ursprünglichen Verarbeitung unter anderem prüfen:
ob ein Zusammenhang zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung besteht,
in welchem Kontext die Daten erhoben wurden, insbesondere die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen,
in Bezug auf die weitere Verwendung dieser Daten, um welche Art von personenbezogenen Daten es sich handelt,
welche Folgen die beabsichtigte Weiterverarbeitung für die betroffenen Personen hat und ob sowohl beim ursprünglichen als auch beim beabsichtigten Weiterverarbeitungsvorgang geeignete Garantien bestehen.
Mit der EU-Datenschutzgrundverordnung kommt somit viel Neues aber auch viel alt Bekanntes und Bewehrtes. Die Unternehmen sind gefordert, hier schnell geeignete Umsetzungsorganismen zu implementieren.
EU-US Privacy Shield - Was gilt für Datenübermittlungen in die USA?
Tags: Datenübermittlung , Privacy Shield , USA
Seit der Verkündung des EuGH-Urteils vom 06.10.2015 ist die Übermittlung personenbezogener Daten in die USA auf Grundlage von Safe Harbor rechtswidrig. Die Aufsichtsbehörden konnten ab sofort gegen Unternehmen, die auf Safe Harbor basierende Daten-Übermittlungen in die USA vornehmen, Untersagungsanordnungen aussprechen bzw. Bußgelder verhängen. Nun ist ein Nachfolge-Abkommen, das EU-US Privacy Shield, am 12. 07.2016 von der Europäischen Kommission verabschiedet worden.
Die folgende Aufstellung soll einen kurzen Überblick über die aktuell anwendbaren Rechtsgrundlagen für Datenübermittlungen in die USA geben:
Eine Datenübermittlung in die USA ist grundsätzlich zulässig gemäß § 4c Abs. 1 S.1 Nr. 1 BDSG bzw. Art. 49 Abs. 1 lit. a DSGVO, sofern der Betroffene in die Übermittlung seiner personenbezogenen Daten in die USA eingewilligt hat.
VORAUSSETZUNG:Die Einwilligung muss den Anforderungen aus § 4a BDSG bzw. Art. 7 DSGVO gerecht werden. Der Betroffene muss zudem über die für ihn bestehenden möglichen Risiken derartiger Datenübermittlungen in Drittstaaten ohne angemessenes Datenschutzniveau vor Abgabe seiner Einwilligung unterrichtet werden.
EINSCHRÄNKUNG: Einwilligungen von Betroffenen sind i.d.R. nicht wirksam, wenn diese aufgrund von Abhängigkeiten (z.B. wirtschaftliche Abhängigkeit der Beschäftigten vom Arbeitgeber) und / oder unzureichender Informationen erteilt werden. Des Weiteren hat der EuGH in seinem Urteil ausgeführt, dass die anlasslose Massenüberwachung der amerikanischen Behörden den Wesensgehalt des Grundrechts auf Achtung des Privatlebens verletzt. In derartige Eingriffe kann auch der Grundrechtsträger selbst gemäß ständiger Rechtsprechung des Bundesverfassungsgerichts nicht einwilligen.
Eine Datenübermittlung in die USA ist zulässig gemäß § 4c Abs. 1 S. 1 Nr. 2 BDSG bzw. Art. 49 Abs. 1 lit. b DSGVO, sofern die Übermittlung der personenbezogenen Daten
für die Erfüllung eines Vertrages, der zwischen dem Betroffenen und dem Verantwortlichen geschlossen wurde, oder zur Durchführung von vorvertraglichen Maßnahmen auf Antrag der betroffenen Person erforderlich ist und
dem Interesse des Betroffenen entspricht, der im Vertrag seinen Ausdruck gefunden hat.
VORAUSSETZUNG: Die Erfüllung des Vertrags bzw. die Durchführung von vorvertraglichen Maßnahmen darf nicht anders zu bewirken sein als durch die Datenübermittlung gerade in die USA (z.B. wenn für Beschäftigte im Rahmen von Einsätzen in den USA Visa beantragt, Hotelzimmer, Flugticket und Mietwagen gebucht werden müssen).
EINSCHRÄNKUNG: Bei der Zentralisierung der Gehaltsabrechnung oder der Errichtung einer Personaldatenbank beim Mutterkonzern oder einer Schwestergesellschaft in den USA fehlt es bereits an der Erforderlichkeit sowie dem Interesse des Betroffenen.
Vertrag zu Gunsten des Betroffenen
Eine Datenübermittlung in die USA ist zulässig gemäß § 4c Abs. 1 S. 1 Nr. 3 BDSG bzw. Art. 49 Abs. 1 lit. c DSGVO, sofern
ein Vertrag zwischen dem Verantwortlichen und einem Dritten im Interesse des Betroffenen geschlossen wurde,
die Übermittlung zum Abschluss oder zur Erfüllung dieses Vertrages erforderlich ist und
die Übermittlung dem Interesse des Betroffenen entspricht, der in diesem Vertrag seinen Ausdruck gefunden hat.
VORAUSSETZUNG: Es muss sich um einen Vertrag i.S.v. § 328 BGB handeln, d.h. der Betroffene erwirbt unmittelbar das Recht, die Leistung zu fordern, die zwischen dem Verantwortlichen und dem Dritten vertraglich vereinbart wurde, und die Erfüllung des Vertrags darf nicht anders zu bewirken sein als durch die Datenübermittlung gerade in die USA (z.B. Auslandsversicherungen für Mitarbeiter, Kreditkartenverträge).
Angemessenheitsbeschluss der EU-Kommission
Eine Datenübermittlung in die USA darf vorgenommen werden gemäß Art. 45 DSGVO, wenn die EU-Kommission in einem Durchführungsrechtsakt beschließt, dass die USA ein angemessenes Datenschutzniveau aufweist.
VORAUSSETZUNG: Das US-Unternehmen, an welches personenbezogene Daten übermittelt werden, muss eine Privacy-Shield-Zertifizierung besitzen.
EINSCHRÄNKUNG: Die Artikel-29-Gruppe bzw. der Europäische Datenschutzausschuss hat den Beschluss der EU-Kommission kritisiert und behält sich vor, die Wirksamkeit der Privacy-Shield-Mechanismen in 2017 zu überprüfen. Des Weiteren ist die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder der Auffassung, dass das EU-US Privacy Shield in seiner jetzigen Fassung noch nicht ausreicht und hat den deutschen Gesetzgeber aufgefordert, ein eigenständiges Klagerecht für die unabhängigen Datenschutzbehörden vorzusehen.
Gemäß Art. 46 Abs. 2 lit. c DSGVO darf eine Datenübermittlung erfolgen, wenn ein entsprechender EU-Standardvertrag abgeschlossen wurde zwischen dem Datenexporteur (= Verantwortlicher mit Sitz in der EU/EWR) und dem Datenimporteur (Verantwortlicher / Auftragsverarbeiter mit Sitz in den USA).
VORAUSSETZUNG: Die Standardvertragsklauseln sind im Annex zum Beschluss der EU-Kommission vom 05.02.2010 (2010/87/EU) oder der Entscheidung der EU-Kommission vom 15.06.2001 (2001/497/EG) bzw. vom 27.12.2004 (2004/915/EG) vorgegeben. Sie können gemäß Erwägungsgrund 109 der DSGVO in umfangreichen Verträgen aufgenommen werden und um weitere Klauseln oder zusätzliche Garantien ergänzt werden, solange diese weder mittelbar noch unmittelbar im Widerspruch zu den von der EU-Kommission oder einer Aufsichtsbehörde erlassenen Standard-Datenschutzklauseln stehen oder die Grundrechte und Grundfreiheiten der betroffenen Personen beschneiden. Wir empfehlen, die Standardvertragsklauseln in Wortlaut und Inhalt aus dem jeweiligen Annex zu übernehmen, gemäß den Vorgaben der nationalen Aufsichtsbehörden zu ergänzen und als EU-Standardvertrag gesondert abzuschließen.
EINSCHRÄNKUNG: Die nationalen Aufsichtsbehörden haben gemäß Art. 4 des Beschlusses 2010/87/EU bzw. der Entscheidung 2001/497/EG der EU-Kommission die Möglichkeit, Datenübermittlungen in die USA auf Grundlage des Standardvertrags 2010 per verwaltungsrechtlicher Anordnung zu verbieten. Im Rahmen des Safe Harbor-Urteils haben die nationalen Aufsichtsbehörden daher angekündigt, auch die Zulässigkeit der Standardvertragsklauseln als Grundlage für Datenübermittlugen in die USA zu prüfen. Diesbezüglich sind noch keine Ergebnisse bekannt.
Gemäß Art. 47 DSGVO können verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR) innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen getroffen werden.
VORAUSSETZUNG: Die BCR bedürfen der Genehmigung der Aufsichtsbehörden.
EINSCHRÄNKUNG: Die Genehmigung der Aufsichtsbehörde für solche BCR gilt grundsätzlich nur innerhalb des jeweiligen EU-Mitgliedstaates, in dem die Genehmigung erteilt wurde. Allerdings sind Aufsichtsbehörden gemäß Art. 63 DSGVO dazu angehalten, untereinander und gegebenenfalls mit der EU-Kommission zusammenzuarbeiten (Kohärenzverfahren).
Für den Fall, dass der Angemessenheitsbeschluss der EU-Kommission zum EU-US Privacy Shield durch ein EuGH-Urteil erneut aufgehoben wird, empfehlen wir, weiterhin die Standardvertragsklauseln einzusetzen.
Falls auch die Standardvertragsklauseln zukünftig nicht mehr als anwendbare Übermittlungsgrundlage für Datentransfers in die USA in Betracht kommen, empfehlen wir, Alternativen zu prüfen, um personenbezogene Daten langfristig ausschließlich innerhalb der EU/EWR (EU-Mitgliedstaaten, Island, Norwegen, Liechtenstein) verarbeiten zu lassen.
09.08.2016 09:07
Tags: DSGVO , EU-Datenschutz-Grundverordnung
Die EU-Datenschutz-Grundverordnung (DSGVO) löst die Datenschutzrichtlinie 95/46/EG von 1995 ab. Im Unterschied zur Datenschutzrichtlinie gilt die DSGVO unmittelbar in der gesamten Europäischen Union. Die DSGVO ist am 24.05.2016 in Kraft getreten und ist nach einer Umsetzungsfrist von zwei Jahren ab dem 25.05.2018 unmittelbar geltendes Recht in allen Mitgliedsstaaten. Steht eine Verordnung im Konflikt mit einem nationalen Gesetz, so hat die Verordnung Vorrang. Das BDSG findet dann über weite Strecken keine Anwendung mehr und wird vom Gesetzgeber in naher Zukunft reformiert werden.
Alle Datenschutzerklärungen sind bis 2018 zu ergänzen. Die Informationsrechte der Betroffenen sind in der Datenschutzgrundverordnung stark erweitert worden. Es sind dem Betroffenen u.a. nun folgende Informationen mitzuteilen:
Angabe zur Identität und Kontaktdaten des Datenschutzbeauftragten.
Zweck und Rechtsgrundlage der Datenverarbeitung.
Bei Übermittlung der Daten in ein Land außerhalb der EU muss der Betroffene explizit darüber informiert werden (incl. entsprechender Rechtsgrundlage). Bei EU-Standardvertragsklauseln oder Binding Corporate Rules muss eine Kopie oder zumindest ein Link zu diesen bereitgestellt werden.Stützt der Verantwortliche den Verarbeitungsprozess auf berechtigte Interessen gemäß Art. 6 Abs. 1 Satz 1 lit. f DSGVO ist er verpflichtet, die jeweiligen Interessen anzugeben.
Die Betroffenen sind auf ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit Widerspruch und Beschwerderecht bei der Aufsichtsbehörde hinzuweisen.
Diese Informationen müssen gemäß Art. 12 DSGVO in leicht verständlicher Sprache für den Betroffenen leicht erreichbar sein. Sie können auf einer Webseite im Rahmen der Datenschutzerklärung oder in einer anderen elektronischen Form zur Verfügung stehen.
US-Drohnenlenker mit Virenbefall
09.10.2011 01:05
Tags: Autsch
Laut SPIEGEL Online sind auf der US-Luftwaffenbasis Creech offenbar diverse Rechner von einem Virus befallen, der unter anderem alle Tastatureingaben protokolliert. Von dort aus werden zwar US Kampfdrohnen gesteuert, insgesamt ist sieht man die Situation aber gelassen:
"Wir löschen ihn immer wieder, und er kommt immer wieder zurück", zitiert das "Wired" Magazin eine ungenannte Quelle. Man gehe davon aus, dass der Virus "gutartig" sei, aber: "Wir wissen es einfach nicht genau."
Ich persönlich bin sehr beruhigt, dass das Mitschneiden von Tastatureingaben auf den Steuerrechnern von Kampfdrohnen durch Malware beim US Militär als nicht weiter bedrohlich eingestuft wird. Warum sollte einem das auch Sorgen machen? Jeder hatte doch schon mal einen Virus. Oder nicht?
Okay, Spaß beiseite: was lernen wir daraus? Warum nicht eine neue Form der Risikosteuerung zu den üblichen Methoden hinzufügen?
Zu den Klassikern der Risikosteuerung
Unsere Empfehlung: Fügen wir hinzu
[NEU!] Wahrnehmungsfilterung!
Das Filtern der Wahrnehmung erfolgt idealerweise in der Form der "2nd Order Filterung". Das bedeutet, man stellt sich nicht selber dumm, sondern setzt jemand ein, der tatsächlich unverdächtig jeden Verständnisses der Situation ist und folgt dann dessen Einschätzung. Das ist geschickt, denn für sich selbst beinhaltet das dann auch gleich einen Risikotransfer, sollte jemand dahinterkommen. Man war's ja nicht selbst und kann auf Dritte zeigen, wenn die Welt doch untergeht.
Der Autor geht jetzt seine eigene Wahrnehmung filtern. Aus Selbstschutz.
Sony PSN Desaster - worauf achten?
29.04.2011 13:16
Tags: Sony PSN
Laut Presse und offiziellem Sony Blog wurden rund 77 Millionen Datensätze mit personenbezogenen Daten wie Name, Adresse, Geburtstag, Passworte(!), Sicherheitsantworten zum Passwort etc. kompromittiert, welche man im Rahmen der Anmeldung am PSN erhoben hat. Man fragt sich zunächst natürlich, ob wirklich alle Daten zum Mitspielen nötig waren.
Unabhängig davon bestätigt Sony, dass auf Kreditkartendaten zugegriffen werden konnte. Nach geraumer Zeit hat man aber nachgelegt und klar gestellt, dass diese verschlüsselt gewesen wären. Man darf sich allerdings schon fragen, ob man dieser Aussage glauben schenken darf. Immerhin schreibt der PCI-DSS Standard der Kreditkartenhersteller eine Verschlüsselung von Kreditkartennummern vor - und man wird irgendwie den Eindruck nicht los, dass man bei Sony durch eine Veränderung seiner Aussage dort im Nachhinein nichts anbrennen lassen will.
Der Eindruck wird dadurch verstärkt, dass zunächst auch behauptet wurde, die sogenannten CVCs (die dreistelligen Sicherheitscodes auf der Rückseite von Kreditkarten) seien nicht betroffen, da sie andernorts gespeichert wären. Mittlerweile hat man aber wohl erkannt, dass die CVC Nummern laut PCI-DSS in keinem Falle überhaupt gespeichert werden dürfen und beeilt sich nun zu behaupten, dass dies selbstverständlich der Fall sei.
All das sieht dann doch eher nach einer Schutzbehauptung aus haftungsrechtlicher Sicht aus, als nach glaubhaften Tatsachen, zumal offenbar mittlerweile lt. N-TV 2.2 Mio Datensätze aus dem Bestand inkl. Kreditkartennummern zum Kauf angeboten werden.
Immerhin ist davon auszugehen, dass das PCI Council einen unabhängigen Forensiker hinschicken wird und man wird sehen ...
Nachfolgend kurz die wichtigsten Tipps für Betroffene:
viele Menschen benutzen dieselben Accounts mit denselben Passworten auf verschiedenen Plattformen (ebay, Amazon, ...). Daher tut jeder Betroffene gut daran seine Passworte auf allen Plattformen zu ändern (und idealerweise überall andere zu nutzen)
Kreditkartenkonto und Bankkonto checken und unerklärbare Buchungen dem Kreditkartenunternehmen oder der ausgebenden Bank melden!
Sollte bekannt werden, dass wirklich Kartennummern kompromittiert sind, werden die Kartenunternehmen normalerweise neue Kreditkarten mit neuen Nummern ausgeben und die alten Karten invalidieren!
Es ist damit zu rechnen, dass in nächster Zeit Spam oder Phishing Mails an die eMail Adressen von Betroffenen gesendet werden. Diese werden u.U. sehr vertrauenserweckend sein, kennt man ja die Nationalität, das Alter, Kreditkartenunternehmen etc.
Es ist daher unbedingt darauf zu achten auf Anfragen hin keine persönlichen Angaben oder Passwörter preis zu geben. Sony wird derlei nicht erfragen.
Bei der Registrierung auf irgendwelchen Plattformen sollten man (im Rahmen des rechtlich vertretbaren) nur die wirklich wichtigen und nötigen Daten angeben, die der Anbieter tatsächlich benötigt. Ist es nicht möglich Felder leer zu lassen, kann man sich ja sicher schon mal vertippen.
Werden eMail Adressen gefordert, die für den eigentlichen Ablauf nicht nötig sind, kann es auch sinnvoll sein sich eine Spam-Adresse bei einem kostenfreien Provider zu sichern, die nur dazu dient unerwünschte Mails zu empfangen.
Lesen Sie die AGB und die Datenschutzbestimmungen! Stimmen Sie nicht zu, wenn Ihnen nicht gefällt was Sie lesen, oder wenn Sie die eigentlichen Text auch nach fünf klicks auf weitere Links noch nicht gefunden haben!
Wählen Sie Optionen ab, wie "ich will weitere Informationen erhalten", oder "ich bin einverstanden, dass meine Daten an Dritte weitergegeben werden, die mir wahnsinnig interessante Angebote machen werden".
Kauf mich und sei compliant!
it-sa 09 Interview
Holger Heimann, Geschäftsführer der it.sec GmbH & Co. KG im Gespräch mit Marcus Beyer zu den Themen: Technokratie in Security-Projekten, Compliance und organisatorische Grundlagen:
Endlich: da kaufe ich mir einen Vulnerability Scanner/ein SIM/SIEM/wahlweise irgendwas anderes, und schwupp: compliant!
Den Herstellern von Produkten ist es ja nicht zu verdenken, dass sie die Nützlichkeit Ihrer Produkte zur Compliant-Werdung herausstellen. Eher erschreckend ist es, dass mit dieser Argumentation immer wieder in produktzentrischer Manier auch (mehr oder weniger) mal so eben gekauft wird. Dabei bestehen Vorgaben ("Controls") zu wie auch immer gearteter Compliance i.d.R. aus einer ganzen Reihe von technischen und auch organisatorischen Maßnahmen, welche wohldosiert und an der richtigen Stelle umgesetzt werden sollten - mit Maß und Verstand und vor allem mit einer definierten Zielsetzung. Die Zielsetzung beschreibt was erreicht werden soll - und vor allem auch was nicht.
Produkte alleine lösen diese Aufgabe nicht oder lösen auch schon mal Probleme, die man gar nicht hat - mit entsprechendem Ressourcenaufwand im Betrieb.
Beispielsweise ersaufen viele SIM/SIEM/IDS/IPS Projekte förmlich in Technokratie. Einmal ausgerollt hat mal möglicherweise wirklich das eine oder andere Control von vielleicht 100 weiteren des Frameworks XYZ erfüllt. Anstatt der noch fehlenden Controls werden aber oft nur die Möglichkeiten der Produkte ausgelotet: "whoa, was man da alles messen/scannen/xxx'en kann! Lass und das alles protkollieren!"
Auf die Frage wer das alles denn nun wie auswertet und vermittels welcher Prozesse die Daten wem, wannzur Verfügung gestellt werden, damit er damit was genau anfange sind die Antworten oft dünn: "Naja, das nutzen wir Abteilungsintern. Klar nicht immer, eben wenn jemand Zeit hat".
Das ist der falsche Weg. Richtiger ist es festzustellen, welche technischen und organisatorischen Anforderungen zur Lösung welcher Zielsetzung nötig sind und mit welchen Mitteln man die adressieren kann. Ihm Rahmen dieser Mittel ist festzulegen, wo die Grenzen des Nützlichen sind und was man tatsächlich benötigt, um welche Requirements zu adressieren. Und um den Rest aktiv wegzulassen.