Datenschutz durch Technikgestaltung und Richtlinien zur Datenaufbewahrung

Privacy by Design (PbD) ist ein von Ann Cavoukian in den 1990er-Jahren entwickeltes Framework, das Datenschutz als grundlegende architektonische Anforderung und nicht als nachträglichen Zusatz versteht. Anstatt Datenschutzkontrollen erst nach dem Aufbau eines Systems hinzuzufügen, integriert PbD sie bereits in die erste Designentscheidung. Artikel 25 der DSGVO verankert PbD formell als rechtliche Anforderung für Systeme mit Bezug zur EU und verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen – die Standardeinstellungen müssen also immer die datenschutzfreundlichste verfügbare Option sein.

Die sieben Prinzipien von Cavoukian lauten: Proaktiv statt reaktiv – Datenschutzereignisse vorhersehen und verhindern, bevor sie eintreten. Datenschutz als Voreinstellung – zum Schutz der Privatsphäre ist keine Aktion des Benutzers erforderlich. Datenschutz in das Design integriert – nicht als nachträglich hinzugefügte Schicht. Volle Funktionalität – Datenschutz erfordert keine Abstriche bei Sicherheit oder Funktionalität. Durchgängige Sicherheit – Schutz über den gesamten Lebenszyklus von der Erhebung bis zur Entsorgung. Transparenz und Sichtbarkeit – Abläufe, die einer unabhängigen Überprüfung offenstehen. Respekt vor der Privatsphäre der Benutzer – benutzerorientierte Kontrollen und starke Voreinstellungen.

Datenschutz durch Voreinstellungen bedeutet, dass standardmäßig die datenschutzfreundlichsten Einstellungen aktiv sind. Benutzer sollten der Datenerhebung oder Weitergabe nicht ausdrücklich widersprechen müssen; stattdessen muss eine Weitergabe durch eine aktive Zustimmung (Opt-in) erfolgen. Praktische Beispiele: Ein Profil in sozialen Medien sollte standardmäßig privat und nicht öffentlich sein; ein Analysetool sollte standardmäßig nur ein Mindestmaß an Daten erheben; eine App sollte standardmäßig keine Standortberechtigung anfordern. Die PbD-Prinzipien verlangen von Ingenieuren, datenschutzfreundliche Entscheidungen automatisch umzusetzen, statt sich auf das Bewusstsein der Benutzer zu verlassen.

Datenminimierung ist ein PbD-Prinzip und eine rechtliche Anforderung der DSGVO: Erheben Sie nur die personenbezogenen Daten, die für den angegebenen Zweck unbedingt erforderlich sind. Vor der Entwicklung eines Features sollten Ingenieure fragen: „Benötigen wir dieses Feld wirklich?“ Zu den gängigen Techniken der Datenminimierung gehören die Erhebung abgeleiteter Werte anstelle von Rohdaten (Altersgruppe statt Geburtsdatum), die Verwendung von Pseudonymisierung (Ersetzen direkter Identifikatoren durch Tokens) und die Umsetzung von Anonymisierung, wenn keine Analyse auf Ebene einzelner Personen erforderlich ist. Daten, die Sie nie erheben, können nicht durch eine Datenschutzverletzung offengelegt werden.

Pseudonymisierung ersetzt direkt identifizierende Daten durch eine künstliche Kennung (Token), wobei die Zuordnungstabelle erhalten bleibt, sodass eine Re-Identifizierung mit dem Schlüssel möglich ist. Die DSGVO erkennt Pseudonymisierung als Technik zur Risikominderung an, nimmt pseudonymisierte Daten jedoch NICHT vom Geltungsbereich der DSGVO aus – es handelt sich weiterhin um personenbezogene Daten. Anonymisierung entfernt die Möglichkeit, Personen dauerhaft zu identifizieren. Wirklich anonyme Daten fallen nicht in den Geltungsbereich der DSGVO. Eine echte Anonymisierung ist jedoch technisch schwierig – viele Datensätze, die als anonym bezeichnet werden, können mithilfe zusätzlicher Daten oder durch Inferenzangriffe re-identifiziert werden.

Eine Privacy Impact Assessment (PIA), die nach der DSGVO Data Protection Impact Assessment (DPIA) beziehungsweise Datenschutz-Folgenabschätzung (DSFA) genannt wird, bewertet Datenschutzrisiken, bevor ein neues System oder Verfahren in Betrieb geht. Die DSGVO schreibt eine DSFA vor, wenn die Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat – beispielsweise bei der Verarbeitung sensibler Daten in großem Umfang, bei systematischem Profiling oder beim Einsatz neuer Technologien. Eine DSFA dokumentiert: den Zweck der Verarbeitung, die Notwendigkeitsprüfung, die Risikoermittlung und Maßnahmen zur Risikominderung. Eine frühzeitige Durchführung der DSFA verhindert kostspielige Umgestaltungen nach dem Aufbau der Systeme.

Eine Richtlinie zur Datenaufbewahrung legt fest, wie lange jede Datenkategorie aufbewahrt wird, bevor sie sicher entsorgt werden muss. Bei der Festlegung der Aufbewahrungsdauer müssen zwei gegenläufige Anforderungen abgewogen werden: Daten lange genug aufzubewahren, um rechtliche, betriebliche und Audit-Anforderungen zu erfüllen, sie aber nicht so lange aufzubewahren, dass sie zu einem unnötigen Risiko werden. Das Prinzip der Speicherbegrenzung der DSGVO verlangt, Daten zu löschen, sobald sie für ihren ursprünglichen Zweck nicht mehr benötigt werden. Aufbewahrungsfristen müssen dokumentiert und technisch durch automatisierte Löschjobs sowie Einstellungen zum Ablauf von Archiven durchgesetzt werden.

Aufbewahrungsfristen müssen einen Ausnahmeprozess für rechtliche Aufbewahrungssperren enthalten. Wenn ein Rechtsstreit absehbar ist oder begonnen hat, sind Organisationen verpflichtet, alle potenziell relevanten Daten unabhängig von den üblichen Aufbewahrungsfristen zu sichern. Die Vernichtung von Daten trotz einer Aufbewahrungssperre kann als Vernichtung von Beweismitteln gewertet werden und nachteilige Gerichtsentscheidungen oder Sanktionen zur Folge haben. Software für rechtliche Aufbewahrungssperren setzt für die betroffenen Daten ein technisches Sicherungskennzeichen, das die automatische Löschung verhindert, bis das Rechtsteam die Sperre aufhebt. Rechtliche Aufbewahrungssperren müssen während ihrer gesamten Dauer nachverfolgt und dokumentiert werden.

Wenn Daten das Ende ihrer Aufbewahrungsfrist erreichen, müssen sie so vernichtet werden, dass eine Wiederherstellung unmöglich ist. Für digitale Daten stehen folgende Verfahren zur Verfügung: kryptografische Löschung (durch die Vernichtung von Verschlüsselungsschlüsseln werden Chiffretexte unbrauchbar), Entmagnetisierung (für magnetische Datenträger), sicheres Überschreiben (NIST SP 800-88 Clear oder Purge) oder physische Vernichtung (Schreddern, Verbrennen). Organisationen sollten Vernichtungszertifikate ausstellen lassen – insbesondere bei der Vernichtung von Datenträgern durch Dritte – und sie als Nachweis für Compliance-Audits aufbewahren. Für Cloud-Speicher ist die kryptografische Löschung in der Regel die einzige praktikable Methode.

Organisationen, die sich auf die Einwilligung als Rechtsgrundlage stützen, müssen Einwilligungsnachweise führen, aus denen hervorgeht: Wer hat wann, wozu genau und über welchen Mechanismus eingewilligt? Diese Nachweise müssen so lange aufbewahrt werden, wie die Verarbeitung andauert, sowie für einen angemessenen Zeitraum danach, um Streitfälle zu klären. Plattformen für das Einwilligungsmanagement (CMPs) automatisieren die Cookie-Einwilligung, die Erfassung von Präferenzen und den Widerruf. Ein Audit-Trail der Änderungen an Einwilligungen ist unverzichtbar — wenn eine nutzende Person ihre Einwilligung widerruft, ihre Daten aber weiterhin verarbeitet werden, drohen der Organisation erhebliche Haftungsrisiken nach der DSGVO.

Privacy by Design bedeutet in der Praxis, dass Architektinnen und Architekten bereits beim Entwurf Datenschutzfragen stellen. Bevorzugen Sie serverseitiges Rendering gegenüber clientseitigen Analyse-Beacons. Verwenden Sie Tokenisierung, statt unverschlüsselte Kartennummern zu speichern. Setzen Sie in Datenbanken Verschlüsselung auf Spaltenebene für sensible Felder ein. Entwerfen Sie Datenzugriffsschichten, die für jede Abfrage die jeweils erforderliche Mindestmenge an Daten durchsetzen. Speichern Sie personenbezogene Daten in einem separaten, stärker eingeschränkten Datenbankschema. Wenden Sie differenzielle Privatsphäre auf Analyseergebnisse an. Diese Entscheidungen summieren sich zu einem System, das nur schwer auszunutzen ist — selbst durch Insider.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie Folgendes gelernt: Privacy by Design verankert Datenschutz von Anfang an in Systemen und umfasst sieben grundlegende Prinzipien, darunter Datenschutz als Standardeinstellung. Datenminimierung und Pseudonymisierung verringern den Wert von Daten für Angreifer und ermöglichen gleichzeitig Analysen. Richtlinien zur Datenaufbewahrung bringen rechtliche Pflichten und das Risiko unnötiger Datenspeicherung in Einklang und sehen am Ende der Aufbewahrungsfrist eine sichere Vernichtung vor. Als Nächstes befassen wir uns mit der Endpoint-Sicherheit: Antivirus-, EDR- und XDR-Plattformen.