Die Datenschutz-Grundverordnung (DSGVO / GDPR) verlangt im Rahmen der „Sicherheit der Verarbeitung“ (Artikel 32 DSGVO) nicht nur altbekannte Schutzmaßnahmen wie die Verschlüsselung. Sie fordert darüber hinaus auch Maßnahmen, die weniger bekannt sind, wie etwa die Sicherstellung der Belastbarkeit von Systemen und Diensten durch den Verantwortlichen.
Die „Belastbarkeit von Systemen und Diensten“ ist somit nicht nur ein Thema der IT-Sicherheit, sondern auch ein wesentlicher Bestandteil des Datenschutzes. Dabei geht es speziell um die Sicherstellung der Verfügbarkeit personenbezogener Daten, was die DSGVO ausdrücklich betont.
In diesem Zusammenhang bedeutet Belastbarkeit die Widerstandsfähigkeit der IT-Systeme bei Störungen, Ausfällen oder unter hoher Beanspruchung. Auch in solchen Situationen muss die Verfügbarkeit der zu schützenden Daten gewährleistet bleiben.
Ein Beispiel für Szenarien, in denen die Belastbarkeit eines IT-Systems auf die Probe gestellt wird, sind DoS- oder DDoS-Attacken (Denial-of-Service bzw. Distributed-Denial-of-Service-Angriffe). Angreifer überfluten hierbei beispielsweise Webserver mit so vielen Anfragen, dass diese überlastet werden und im Erfolgsfall den Betrieb einstellen. Die Website, die von diesem Server betrieben wird, geht dann offline.
Eine solche Überlastung des Servers erschwert oder verhindert den Zugriff auf die von ihm verwalteten Daten. Eine mangelnde Belastbarkeit der IT hat somit direkte Auswirkungen auf die Verfügbarkeit dieser Daten.
Überlastungsangriffe wie DDoS-Attacken haben in der letzten Zeit deutlich zugenommen. So berichtet die EU-Agentur für Cybersicherheit ENISA: „Denial-of-Service-Angriffe (DoS) sind für Unternehmen seit jeher ein ständiges Sicherheitsrisiko. In den letzten Jahren sind DoS-Angriffe jedoch einfacher, billiger und aggressiver geworden als je zuvor. Das Aufkommen neuer bewaffneter Konflikte auf der ganzen Welt hat neue Wellen von DoS-Angriffen befeuert, bei denen neu gebildete Bedrohungsgruppen verschiedene Ziele auswählen.“
Entsprechend ist auch die Forderung nach Belastbarkeit besonders wichtig.
Welche Schritte gehören zur Belastbarkeit?
Wie lässt sich die Belastbarkeit prüfen?
Wie lässt sich die Grenze der Belastbarkeit eines IT-Systems kontrollieren? Nur wer in der Lage ist, die geforderte Belastbarkeit nachweislich zu überprüfen, stellt sicher, dass er die Sicherheit der Verarbeitung im Sinne der DSGVO im Blick hat.
Startpunkt: Verzeichnis von Verarbeitungstätigkeiten
Eine Kontrolle der Belastbarkeit darf zum einen nicht dazu führen, dass die produktiven IT-Systeme wirklich zum Stillstand kommen. Zum anderen sind die Kontrollverfahren davon abhängig, um welche IT-Systeme es geht, welche Systeme und Dienste also personenbezogene Daten verarbeiten.
Ein guter Startpunkt der Kontrolle ist deshalb das Verzeichnis von Verarbeitungstätigkeiten.
