Datenschutzverordnung im Mai 2018: Bereiten Sie sich jetzt vor!

Anlässlich des Data Protection Day am 28. Januar:

• Tipps zur künftigen Einhaltung der Europäischen Datenschutzverordnung (GDPR)
• Kleinere und mittlere Unternehmen besonders gefährdet, im Mai 2018 Mai 2018 nicht konform zu sein
• Nachfrage nach Verschlüsselungen wird explodieren

Von Michael Veit, IT-Sicherheitsexperte bei Sophos

Datenschutz und  Privatsphäre sind die zentralen Themen beim internationalen Datenschutztag (Data Protection Day) am 28. Januar 2017. Der Tag soll alle daran erinnern, mit Daten besonders sorgfältig umzugehen und in Europa bereits heute mit den Vorkehrungen für Datenschutzverordnung (GDPR) zu beginnen.

In weniger als 18 Monaten ­ im Mai 2018 ­ müssen die Unternehmen vollständig mit dem GDPR konform sein. Es sieht aus als hätte man noch viel Zeit für die Umsetzung. Tatsächlich werden viele Unternehmen aber auch viel Zeit benötigen, um sich GDPR-konform aufzustellen. Schutz von Daten ist nicht etwas, das an einem Tag erreicht werden kann, es braucht Zeit, um die richtigen Prozesse zu etablieren und die richtige Einstellung im gesamten Unternehmen zu aufzubauen.

Bisher hatten Unternehmen beim Verlust von Kunden- oder Mitarbeiterdaten Glück und mussten keine großen Folgen fürchten. Die neue Gesetzgebung gibt den Behörden nun aber die Macht, hohe Geldbußen zu verhängen. Gerade kleinere und mittlere Unternehmen sind gefährdet, im Mai 2018 nicht konform zu sein. Wir erwarten eine starke Zunahme an Unternehmen, die im Laufe dieses Jahres Verschlüsselungstechnologien einsetzen werden, um zumindest einen Teilaspekt der GDPR zu erfüllen.

Bis zur Einführung der GDPR im Mai 2018 rät Sophos daher folgendes:

• Nehmen Sie die GDPR und alle Aspekte der neuen Regelung wirklich ernst.
• Planen Sie bereits jetzt konsequent genügend Zeit ein für Planung und Umsetzung der GDPR, noch ist es rechtzeitig genug.
• Die Hilfe von vertrauenswürdigen IT-Sicherheitsberatern mit Rechtskenntnissen in können Ihnen eine gute Hilfe im gesamten Prozess sein. Nehmen sie diese in Anspruch.
• Die enge Zusammenarbeit mit Ihrer HR-Abteilung ist unerlässlich, um sicherzustellen, dass auch die Mitarbeiter verstehen, welche Schritte das Unternehmen unternimmt, um Mitarbeiterinformationen zu schützen.
• Machen Sie Ihren Mitarbeiter rechtzeitig und nachvollziehbar klar, was von ihnen beim Schutz geschäftskritischer Daten erwartet wird.
• Mitarbeiter sollten keinen Zugriff auf Daten haben, die sie nicht benötigen, um ihre tägliche Arbeit zu tun. Unter der GDPR wird selbst das Lesen von sensiblen Daten als Datenverletzung eingestuft.
• Im Zweifel für den Datenschutz. Wenn Unklarheit besteht, ob bestimmte Daten unter die Datenschutzverordnung fallen oder nicht, sollten diese zum eigenen Schutz grundsätzlich wie sensible Daten behandelt werden.
• Lassen Sie Ihre Kunden in verständlichen Worten wissen (kein Juristendeutsch), ob und welche ihrer Daten Sie sammeln, für wie lange und zu welchem Zweck. Offenheit und Verständlichkeit wird Ihrem Unternehmen zugute kommen und Kunden vertrauensvoll binden.
• Kennwörter sollten nie mit anderen geteilt werden und sie sollten stark und einzigartig sein. Dies macht nicht nur schwerer Daten zu stehlen, sondern bietet auch eine Absicherung beim Missbrauch von Privilegien.
• Verschlüsselung schützt davor, dass Daten von Dieben gelesen werden können. Die Verschlüsselung ist eine gute Vorgehensweise, um im Sinne der GDPR zu beweisen, dass man alles getan hat, um die relevanten Daten zu schützen.