IT-Mitarbeiter sollen in erster Linie dafür sorgen, dass die IT reibungslos funktioniert. Was einfach klingt, ist in der Praxis teilweise hoch komplex.
Um einen reibungslosen Ablauf der IT zu gewährleisten, müssen sowohl technische Herausforderungen als auch eine Vielzahl an betriebswirtschaftlichen, gesetzlichen und sonstigen Rahmenbedingungen berücksichtigt werden. Zu den gesetzlichen Anforderungen an die IT gehören u. a. datenschutzrechtliche Vorgaben. Diese widersprechen meist den von den IT-Mitarbeiter benötigten weitreichenden Berechtigungen und Zugriffsrechte.
Vieles steht und fällt mit der Qualifikation und Integrität der handelnden Personen. Damit IT-Mitarbeiter nicht als großes Risiko eingestuft werden und um dem jeweiligen Unternehmen Sicherheit in Bezug auf die bestehenden Risiken zu geben, sind wesentliche Aspekte zu beachten.
(Hinreichende) Verfahrensdokumentation
Grundsätzlich werden Sicherheit/ Datenschutz und „schnelles, unkompliziertes, praxisorientiertes Handeln“ scheinbar als diametral gesehen. Dass in der heutigen Zeit ein deutlicher Schritt Richtung Datensicherheit gemacht werden und bei den IT-Mitarbeitern ein Bewusstsein geschaffen werden muss, um dies umzusetzen, ist unbestritten. Durch Definition von Konzepten, Richtlinien und Vorgaben ist es jedoch möglich diese beiden Interessengegensätze über einen Mittelweg in Einklang zu bringen. Im Zuge der Definition dieser Dokumentationen, können auch Prozesse neu definiert werden - beispielsweise der Prozess der Protokollierung kann erneuert und somit optimiert werden.
In vielen Unternehmen wird zwar bereits protokolliert, jedoch werden diese Protokolle nicht ausgewertet. Das Unternehmen sollte sich von Anfang an überlegen, welche Informationen überhaupt sinnvoll für eine Auswertung sind. Auf Basis dieser Einschränkung der auszuwertenden Informationen kann dann eine -Überprüfung des Datenschutzes - ggf. mit Datenschutzfolgenabschätzung - stattfinden und eine Regelung zur Auswertung der Daten getroffen werden. Durch diese Einschränkung der Protokollierung und der Auswertung entsteht ein zielgerichteter und zweckgebundener Prozess mit dem Nebeneffekt der Entschlackung.
Um möglichst viele Datenschutzrisiken zu vermeiden gilt es, unter Berücksichtigung aller gesetzlichen Regelungen (hierzu gehören auch datenschutzrechtliche Vorgaben der DSGVO) in den Verfahrensdokumentationen klare Konzepte, Richtlinien und Vorgaben für Administratoren und User mit weitreichenden Berechtigungen (Notfalluser, Sonderuser o. ä.) zu erlassen, die sich nicht wiedersprechen. Durch diese Definitionen können die Vorgaben ebenfalls durch außenstehende Dritte (u. a. Prüfer) nachvollzogen werden. Natürlich können diese Risiken grundsätzlich auch durch anderen Methoden minimiert werden, jedoch zeigt unsere Erfahrung aus Prüfungen, dass klar definierte Konzepte, Richtlinien und Vorgaben das wirksamstes und nach außen repräsentativste Mittel darstellen.
„(Ehrliche) Datensparsamkeit“
Neben der Definition von Konzepten und Prozessen müssen auch diverse organisatorische und technische Maßnahmen vorgenommen werden. Hierzu gehört u. a. auch die Regelungen über Administratoren mit weitreichenden Berechtigungen, die nicht täglich benötigt werden. Insbesondere diese Administratoren-Rechte sollten nur mithilfe eines Vier-Augen-Prinzips temporär vergeben werden. Eine Vergabe soll immer nur dann erfolgen, wenn mindestens zwei Administratoren gleichzeitig arbeiten und/oder dies durch den/die IT-Leiter/in / CISO genehmigt wurde.
Auch sollten die vergebenen Administratoren-Berechtigungen kritisch hinterfragt und nur an einen kleinen, ausgewählten Personenkreis vergeben werden. Nicht jeder „Berechtigungsentzug“ gleicht einem Vertrauensverlust, da die Stellung eines Administrators nicht an der Weite der vergebenen Berechtigungen gemessen werden kann. Vielmehr muss auch für einen Administrator das „Need-to-Know“ Prinzip gelten.
Berechtigungen, die nicht täglich benötigt werden, aber weitreichend sind, sollten in gesonderte Benutzer ausgelagert werden, so dass sich die Administratoren bei Bedarf mit diesem Benutzer anmelden müssen. Es versteht sich in diesem Zusammenhang, dass die Benutzung genehmigt wurde und protokolliert wird.
Bei einer temporären Benutzung der gesonderten User sollte zudem sichergestellt sein, dass dieser protokolliert wird. Um es an einem Beispiel festzumachen: Das Kennwort eines Sonderusers darf nicht ausreichen, um an die Benutzerkonten von Mitarbeitern bzw. E-Mails zu gelangen. Dabei gilt zusätzlich: Der Benutzer mit den weitreichenden Berechtigungen wird vollumfänglich protokolliert und dessen Handlungen ausgewertet. Zu den organisatorischen Maßnahmen gehören ebenfalls Kontrollsysteme innerhalb des Unternehmens. Dazu zählt u. a. auch die regelmäßige Berechtigungs-Rezertifizierung, die auch die Berechtigungen der IT-Mitarbeiter umfasst. Neben einer Berechtigungs-Rezertifizierung sollte auch eine Funktionstrennung eingerichtet werden. Ein IT-Mitarbeiter sollte z. B. nicht gleichzeitig in der Revision beschäftigt sein oder ein Entwickler sollte nie Zugriff auf die Test- und Abnahmeumgebung einer Software haben.
Inwieweit der häufig beschriebene Idealfall (Funktionstrennung) umgesetzt werden kann, sollte unternehmensindividuell geprüft werden. Dabei sind kompensatorische Kontrollen notwendig. In jedem Fall ist dafür zu sorgen, dass bei den operativ verantwortlichen (IT-)Mitarbeitern ein Compliance-Bewusstsein vorhanden ist, so dass diese - selbst wenn keine entsprechende Funktionstrennung technisch umgesetzt ist - datenschutzrechtlich kritische Themen, wie der Zugriff auf ein E-Mail-Postfach - erkennen und entsprechend für ein organisatorisches „Vier-Augen-Prinzip“ sorgen.
