Ein ähnliches Risiko besteht auch, wenn Beschäftigte das Unternehmen verlassen oder veraltete Laptops, Desktop-Rechner, Festplatten oder Server-Hardware für die Entsorgung vorgesehen werden. Laut Studie wird etwa die Hälfte aller Altgeräte durch Drittanbieter entsorgt und damit dem unmittelbaren Einflussbereich des Unternehmens entzogen. Wenn die Geräte vor dem Löschen noch lange gelagert werden oder nicht hinreichend dokumentiert wird, welche Daten sicher gelöscht wurden, können Unternehmen schnell in Erklärungsnot geraten. Datenkompetenz institutionalisieren und klare Verantwortlichkeiten schaffen Einen oft unterschätzten Aufwand beim Arbeiten mit Daten stellt das Speichern, Pflegen und Umziehen der Daten dar. Es ist nicht nur mit Mehrarbeit verbunden, es entstehen auch gesetzliche Pflichten sowie Risiken für die Sicherheit. Folglich sollte jeder, der mit Daten arbeitet, auch bewusst in die Datenqualität und Compliance nach gesetzlichen Vorschriften investieren. Doch wie und wo fängt man damit an – und wie geht man geordnet vor? Die bloße Formulierung von Richtlinien für Compliance und Datenschutz sowie für den Umgang mit Daten reicht vor diesem Hintergrund nicht aus. Unternehmen, die mit Daten und deren Analyse arbeiten, brauchen über den reinen Vorschriftstext hinaus auch klare personelle Verantwortlichkeiten für das Thema Datenkompetenz und Datensicherheit – beispielsweise in Form eines CDO (Chief Data Officer oder Chief Digital Officer), der die Verantwortung für die Umsetzung der entsprechenden Richtlinien trägt, ihre Einhaltung und Umsetzung vorantreibt und die dafür erforderlichen Prozesse kommuniziert und einfordert. So lassen sich Daten sicher und rechtskonform löschen 1. Rahmenbedingungen und Strategie verankern • Z unächst gilt es, die Rahmenbedingungen für den Umgang mit Daten festzulegen, denn jedes Unternehmen, das mit Daten arbeitet, braucht dafür klare Richtlinien. Dazu gehört es, Standards hinsichtlich der Verfügbarkeit, der Nutzung, der Sicherheit und der Qualität von Daten sowie bezüglich der Zugriffsmöglichkeiten darauf zu definieren. In diesem Zusammenhang spielt auch das Thema Datenschutz eine wichtige Rolle. • Zuständigkeiten für die Umsetzung der Richtlinien und die Überwachung der Einhaltung müssen klar verteilt sein. • D ie vorab definierten Richtlinien müssen darüber hinaus unternehmensweit kommuniziert und alle Mitarbeitenden für das Thema Datenqualität sensibilisiert werden. 2. Löschung personenbezogener Daten • Den Umgang mit und die Löschung von sensiblen Unternehmensdaten wie zum Beispiel personenbezogenen Daten regelt die DSGVO. Hierbei geht es auch um Fragen, welche Informationen wann bereinigt oder gelöscht und welche Daten wie lange aufbewahrt werden müssen. Diese Fristen sollten nicht nur in den Richtlinien zum Umgang mit Daten enthalten sein, sondern es empfiehlt sich insbesondere im Blick auf die Verarbeitung personenbezogener Daten, ein gesondertes Konzept inklusive separater Löschstrategie zu implementieren. • I n diesem Zusammenhang muss zunächst festgestellt werden, wo personenbezogene Daten anfallen und wo diese gespeichert werden. Erst nach der Lokalisierung der Daten ist es möglich, diese entsprechend der Löschpflicht zu entfernen und DSGVO-konform zu agieren. • D as gleiche Verfahren der eindeutigen Datenlokalisierung sollte auch zur Anwendung kommen, wenn es darum geht, gesetzliche Aufbewahrungspflichten einzuhalten. So können beispielsweise verschiedene rechtliche und vertragliche Verpflichtungen dazu führen, dass personenbezogene Daten für eine bestimmte Zeit aufzubewahren sind. Erst nach dieser Zeitspanne greift die Verpflichtung, die Daten zu löschen. • Die Richtlinie zur Datenlöschung sollte zudem alle IT-Assets umfassen – inklusive Smartphones, Tablets, PCs, Server und der virtuellen Infrastruktur. • W ichtig ist, dass Geräte mit sensiblen Daten das Unternehmen oder die Rechenzentrumsumgebung nicht verlassen – das gilt insbesondere vor dem Hintergrund, dass sich die private und geschäftliche Nutzung von Endgeräten durch hybride Arbeitsmodelle nicht mehr klar trennen lässt. 3. Datenbereinigung auf Altgeräten • B ei Altgeräten sollte darauf geachtet werden, dass deren Daten innerhalb des IT-infrastrukturellen Einflussbereichs des jeweiligen Betriebs verbleiben – etwa bei Recycling oder Spende. Daten sollten in diesen Fällen noch vor Ort von den Geräten gelöscht und die Bereinigung durch ein entsprechendes Zertifikat nachgewiesen werden. • Ü bernimmt ein externer Anbieter die Entsorgung von Altgeräten, sollte er eine vollständige Nachweiskette erstellen, wie mit der Ware seit Abholung im Detail verfahren wurde. Empfehlenswert ist es, sich in diesem Fall ein Datenvernichtungszertifikat für jedes Gerät ausstellen zu lassen. • G eräte sollten am Ende ihrer Lebensdauer vorzugsweise innerhalb von 24 Stunden entsorgt werden. Fazit: Daten löschen ist ein kontinuierlicher Lernprozess für alle Daten löschen ist ein kontinuierlicher Lernprozess für alle. Das sichere und rechtskonforme Löschen von Daten betrifft nicht mehr nur die IT- oder Daten-Verantwortlichen, sondern viele Abteilungen und Mitarbeitende. Daher sind neben den einschlägigen Maßnahmen regelmäßige Schulungen und interne Feedback-Schleifen wichtig, ob die Richtlinien in allen Abteilungen sowie bei allen Mitarbeitenden, Co-Workern, Freelancern und Partnern korrekt umgesetzt werden. Wie die Digitalisierung selbst ist der Weg zu sauberen und gepflegten Daten ein kontinuierlicher Prozess, der nicht von heute auf morgen umgesetzt werden kann. Wichtig ist es aber, heute damit anzufangen. OLIVER ROZIĆ ist Vice President Product Engineering bei Sage. 19 Datensicherheit
RkJQdWJsaXNoZXIy Mjc4MQ==