Verfügbarkeit
Die Verfügbarkeit im Sinne der Datenschutz-Grundverordnung (DSGVO) soll gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind – und sich im Ernstfall wiederherstellen lassen.
Risiken für die Verfügbarkeit
Risiken, die die Verfügbarkeit bedrohen, sind beispielsweise
- Wasser- oder Feuerschäden im Rechenzentrum,
- Datenverlust durch Stromausfall oder Versagen der Hardware,
- veraltete, unvollständige und unsichere Backups, die eine Datensicherung und -wiederherstellung ausschließen,
- Einflüsse durch Schadsoftware (z.B. Computerviren oder Trojaner), insbesondere Cyberattacken mit Ransomware, die dazu führen können, dass Daten kriminell motiviert verschlüsselt werden, um Lösegeld für die Entschlüsselung zu erpressen,
- absichtliche Manipulationen, die zum Datenverlust führen,
- Diebstahl von Hardware und Speichersysteme oder
- Zerstörung des Gebäudes und der IT-Infrastruktur.
Die DSGVO fordert zwar, dass Daten und Systeme verfügbar sein müssen (Art. 32 Abs. 1 Buchstabe b und c). Den Begriff als solchen erläutert sie aber nicht.
Das Bundesdatenschutzgesetz in alter Fassung (BDSG a.F.) bezeichnete damit technische und organisatorische Maßnahmen, die gewährleisten, „dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind“ (Nr. 7 der Anlage zu § 9 BDSG a.F.). Diese Definition lässt sich bis heute weiter heranziehen.
Beispiele: Maßnahmen zur Gewährleistung der Verfügbarkeit
Maßnahmen, um Daten und Systeme verfügbar zu halten, sind beispielsweise:
- vollständige und aktuelle Sicherungskopien und Backups
- Schutz von Backups gegen Ransomware (Air Gapping, also Trennung der Backups vom Netz, wenn keine Datensicherung erfolgt)
- Konzept, um Datenbestände zu rekonstruieren (Restore, Recovery, Wiederherstellung)
- Notfallplan
- Sicherungskopien sicher an einem ausgelagerten Ort aufbewahren
- Tresore für Sicherungskopien verwenden
- gespiegelte Festplatten und RAID-Systeme verwenden
- unterbrechungsfreie Stromversorgung (USV) und Notstromaggregat
- Feuer- und Rauchmeldeanlagen
- Feuerlöschgeräte in den Räumen, in den Datenverarbeitung und Datensicherung erfolgen
- Alarmanlage zur Diebstahlsicherung und Zutrittskontrollen zu Serverräumen
- Schutz-Steckdosenleisten
- Klimaanlage für den Serverraum