Handwerk 4.0: Sensible Daten schützen

Die fortschreitende ­Digitalisierung bringt viele Herausforderungen und ­Pflichten mit sich – auch im Bereich Datenschutz. Ab Mai 2018 müssen Betriebe auch die EU-Datenschutzregeln erfüllen.

Dieser Artikel gehört zum Themen-Special Das aktuelle Datenschutzrecht

Die Vorschriften der Datenschutz-Grundverordnung (DSGVO) müssen ab dem 25. Mai 2018 europaweit umgesetzt werden. Ab diesem Zeitpunkt sind Internetnutzer besser geschützt – unter anderem durch leichtere Beschwerdemöglichkeiten und ein "Recht auf Vergessenwerden". Kunden können dann zum Beispiel verlangen, dass alle Informationen und Bilder, die ein Unternehmen von ihnen gespeichert hat, gelöscht werden. Dies betrifft dann auch Handwerksbetriebe, die einen eigenen Online-Shop betreiben oder Kundendaten digital speichern. Außerdem müssen Unternehmen bei jedem Kunden künftig vorab die Zustimmung zur Datennutzung einholen. Bei einem Verstoß drohen Strafen von vier Prozent des Jahresumsatzes.

Darüber hinaus zählt es schon länger zu den Pflichten von Unternehmen, personenbezogene Daten nach den Vorschriften des Bundesdatenschutzgesetzes vor unbefugten Zugriffen zu schützen. Dazu zählen unter anderem allgemeine Personendaten wie Name, Anschrift, Mailadresse, Telefonnummer, aber auch Bankverbindungen, spezielle Kundendaten oder Online-Informationen wie die IP-Adresse. Wenn Handwerksbetriebe solche Daten erheben und abspeichern, müssen sie dafür sorgen, dass unbefugte Mitarbeiter, Kunden oder Hacker darauf keinen Zugriff haben.

Betriebe haben Nachholbedarf beim Datenschutz

Aktuell gelingt es allerdings nicht allen Firmen in Deutschland, ihre Daten zuverlässig zu schützen: 53 Prozent der Unternehmen sind in den letzten zwei Jahren Opfer von Wirtschaftsspionage, Sabotage oder Datendiebstahl geworden. Dies geht aus einer repräsentativen Studie des Digitalverbands Bitkom von Juli 2017 hervor, bei der Geschäftsführer und Sicherheitsverantwortliche aus allen Branchen befragt wurden. In jedem sechsten Unternehmen wurden demnach sensible digitale Informationen gestohlen, darunter Kommunikationsdaten wie E-Mails (41 Prozent) oder Finanzdaten (36 Prozent). Bei 17 Prozent der Fälle waren Kundendaten betroffen. Der insgesamt entstandene Schaden liegt laut Studie bei rund 55 Milliarden Euro pro Jahr. Die Täter kamen meist aus dem näheren Unternehmensumfeld: In 62 Prozent der Fälle waren es aktuelle oder ehemalige Mitarbeiter als Täter, bei weiteren 41 Prozent waren es Wettbewerber, Kunden, Lieferanten oder Dienstleister.

Eine große Gefahr für Betriebe ist aber auch Schadsoftware, die auf firmeneigene Rechner und mobile Geräte gelangen können – zum Beispiel über E-Mails, Speichermedien oder besonders präparierte Internetseiten. Dabei gehen Wirtschaftsspione oder Hacker nicht gezielt vor, sondern fischen alle zugänglichen Daten ab. Um Unternehmensdaten sicher abzulegen und zu schützen, sollten Betriebe deshalb einige wichtige Grundregeln beachten (siehe Checkliste "Mehr Sicherheit im Betrieb") und bei der IT-Ausstattung eine Firewall und Virenscanner auf allen Geräten einsetzen. Darüber hinaus ist ein besonderes Sicherheitsmanagement empfehlenswert, bei dem alle Daten verschlüsselt abgelegt werden und nur für Mitarbeiter zugänglich sind, die mit diesen Informationen wirklich arbeiten.

Privatsphäre schützen

Die eigene Privatsphäre ist aber auch noch von einer anderen Seite bedroht – nämlich von Internetseiten, Apps und Programmen, die im Hintergrund unbemerkt Daten sammeln. Diese werden dann zu Nutzerprofilen zusammengesetzt oder an andere Unternehmen weiterverkauft. Zu den größten Datensammlern zählen unter anderem große Unternehmen wie Microsoft, Google und Facebook. Beim Besuch einer Internetseite ist der Seitenbetreiber zum Beispiel automatisch im Besitz der zugehörigen IP-Adresse, über die sich ein PC eindeutig identifizieren lässt – bis vor die eigene Haustür. Außerdem ist es möglich, das verwendete Betriebssystem, zuvor besuchte Internet-Seiten und das eigene Surfverhalten auszulesen. Wer bei der täglichen Arbeit nicht zum "gläsernen Surfer" werden will, sollte deshalb spezielle Programme nutzen, die Spuren verwischen und Datensammlern die Arbeit erschweren (siehe Tabelle).

 

Wichtige Fachbegriffe

Cookies
Cookies (engl.: Kekse) sind kleine Textdateien, die von einer Website auf die Festplatte des PCs gespeichert und bei einem späteren Besuch wieder zurück an die Website übermittelt werden. Cookies können viele Informationen enthalten, zum Beispiel über das Surfverhalten, den benutzten Browser, Passwörter oder das letzte Besuchsdatum.

IP-Adresse
Abkürzung für "Internet-Protokoll-Adresse". Jeder PC bekommt bei seiner Einwahl ins Internet automatisch eine eindeutige Adresse in Form einer Zahlenfolge zugewiesen. Internetseiten können IP-Adressen von Besuchern protokollieren, sodass eine Identifikation des Surfers grundsätzlich möglich ist.

Kryptografie
Die Wissenschaft zur Erforschung von Verfahren zur Ver- und Entschlüsselung von Daten. Hierbei wird ein Text durch Änderungen oder das Hinzufügen von Zeichen nach bestimmten Regeln in einen Schlüsseltext verwandelt, der ohne den passenden "Schlüssel" von Unbefugten nicht gelesen werden kann.

Proxy
Ein Proxy ist eine Server-Software, die zwischen den Internet-Provider, der den Online-Zugang ermöglicht, und den eigenen PC geschaltet wird. Wenn der Computer nun eine Internetseite abruft, wird zuerst die Verbindung zum Proxy Server aufgebaut, der daraufhin die Verbindung zur gewünschten Internetseite aufbaut. So kann der Website-Betreiber nicht nachverfolgen, wer sein Online-Angebot aufgerufen hat.

Spyware
Spyware (Spion-Software) sind Programme, die sich meist zusammen und unbemerkt mit einem anderen kostenlosen Programm im Hintergrund installieren. Die Software sendet bei bestehenden Online Verbindungen regelmäßig private Daten über den Benutzer an ein vorher definiertes Ziel.

SSL-Verschlüsselung
Die Abkürzung SSL steht für "Secure Socket Layer" (auf Deutsch sinngemäß "Sicherheits-Anschluss-Adapter") und bezeichnet ein Protokoll zur Verschlüsselung von Daten im Internet, die über einen Browser übertragen werden.

Verlauf
Als "Verlauf" oder "History" wird das automatische Speichern von zuletzt besuchten Internetseiten, benutzten Dokumenten oder Programmen bezeichnet. Über solche Verlaufslisten kann ein Dritter über den PC oder das Internet genau nachverfolgen, an welchen Dokumenten gearbeitet und welche Seiten im Netz besucht wurden.

 

Checkliste Datensicherheit 

Der Digitalverband Bitkom und der Bundesverfassungsschutz empfehlen die folgenden Maßnahmen für mehr Datenschutz und ­-sicherheit:

1. Sicherheit zur Chefsache machen
Sensibilisierung der Geschäftsführung Initiieren firmenspezifischer Schutzüberlegungen auf Leitungsebene
Einrichtung eines Wirtschaftsschutz-Beauftragten oder eines Informationssicherheitsbeauftragten

2. Technische IT-Sicherheit steigern
Basisschutz ergänzt um Verschlüsselung und spezielle Angriffserkennung
Überwachung vernetzter Geräte und Erkennung von Anomalien (Security Information Event Management)
"Security by Design" bei allen Schnitt­stellen und vernetzten Geräten Regelungen zum Umgang mit privaten und geschäftlichen mobilen Endgeräten

3. Organisatorische Sicherheit erhöhen
Präventives und permanentes Risikomanagement etablieren: Externe Gefahren identifizieren, interne Schwachstellen aufdecken und rechtzeitig beheben
Praxisorientierung aller Sicherheitsregularien
Zugriffsrechte auf Daten sowie physische Zugangsrechte für sensible Bereiche
Besuchermanagement: Umgang mit Gästen und Delegationen
Notfallmanagement: Schnelle ­Reaktion im Krisenfall mit Notfallplan und Zuständigkeitsregelungen
Etablierung einer "Clean-Desk-Policy": Welche Daten sind am Arbeitsplatz wirklich nötig?

4. Personelle Sicherheit verbessern
Etablierung einer Sicherheitskultur Arbeitsplatzspezifische Schulungen/Sensibilisierungen
Informationssicherheit auf Geschäftsreisen im Ausland beachten
IT-Experten mit Produktions-Know-how

Links zum Datenschutz www.dsgvo-gesetz.de
Die EU-Datenschutz-Grundverordnung mit den Erwägungsgründen des Bundesdatenschutzgesetzes 2017.

www.anonym-surfen-test.de
Die Seite zeigt, welche Informationen online vom eigenen PC ausgelesen werden können.

www.dsin-sicherheitscheck.de
"Deutschland sicher im Netz" (DsiN): Online-Check zur Ermittlung des IT-Sicherheitsniveaus in Unternehmen.