Geschäftsführerhaftung und wie Datenverschlüsselung hilft So lässt sich die Cloud rechtskonform nutzen

Anbieter zum Thema

eperi GmbH

netfiles GmbH

Cloudgermany.de GmbH

Yorizon GmbH & Co. KG

Ein Dauerthema für Unternehmen und deren Geschäftsführung sind die aktuellen Datenschutzgesetze und die Konsequenzen im Falle einer Verletzung. Es scheint, als können Unternehmen moderne Technologien wie die Cloud gar nicht nutzen, wenn sie gleichzeitig die gesetzlichen Vorgaben einhalten wollen. Mit der richtigen Verschlüsselungs­lösung geht das aber ohne einen Fuß im Gefängnis zu haben.

Dass es der Gesetzgeber beim Datenschutz ernst meint, belegt beispielsweise das gegen einen Social-Media-Anbieter verhängte Bußgeld in Höhe von 20.000 Euro oder gegen eine gesetzliche Krankenversicherung von über einer Million Euro. In beiden Fällen sind die Beschuldigten nachlässig mit ihren Pflichten zum Thema IT- und Datensicherheit umgegangen. Was die Gesetzeslage jetzt besonders heikel macht, ist neben den Strafen für Unternehmen die zusätzliche Haftung von Geschäftsführern, Vorständen oder Aufsichtsräten. Im Falle eines Verstoßes können diese haftbar gemacht werden, und zwar persönlich.

Die Führungsriege einer Organisation ist gesetzlich dazu verpflichtet, ihre IT-Sicherheit zu gewährleisten. Bei Pflichtverletzungen, Cyberangriffen oder fahrlässigen Verstößen gegen IT-sicherheitsrechtliche Vorschriften und die Compliance drohen der Geschäftsführung, dem Vorstand und/oder den Aufsichtsratsmitgliedern zivilrechtliche Folgen. Darüber hinaus können Mitglieder der Geschäftsleitung und des Aufsichtsrats auch strafrechtlich haften. Insbesondere NIS-2 und seine diversen Stufen verschärfen die Haftungssituation nochmals deutlich. Hier ist klar geregelt, dass die Gewährleistung von Cybersicherheit und die Prävention von IT-Sicherheitsvorfällen als Aufgabe des obersten Managements zu begreifen ist. Gemäß Art. 20 Abs. 1 NIS2-RL müssen die „Leitungsorgane“ die Einhaltung von Risiko­management­maßnahmen überwachen und können für Verstöße in diesem Bereich (persönlich) verantwortlich gemacht werden.

Gesetz und Realität

Es stellt sich die Frage, welches Unternehmen überhaupt die Möglichkeit und die Ressourcen hat, die gesetzlichen Compliance-Vorgaben mit der sich schnell ändernden Informationstechnologie im Detail und kontinuierlich abzugleichen sowie die nötigen Schlüsse für das Unternehmen und das Führungspersonal zu ziehen. Keine Frage, der Datenschutz ist wichtig, aber wie genau kann dieser umgesetzt werden, um das Risiko der persönlichen Haftung zu minimieren?

Vermutlich können das heute nur wenige – am ehesten große Konzerne, die über potent ausgestattete Rechts- sowie entsprechende Fachabteilungen verfügen. Darüber hinaus werden sich viele des Risikos nach wie vor nicht bewusst sein. Oder sie wissen davon, haben jedoch nicht die detaillierten Kenntnisse, um konkrete Aktionen abzuleiten. Zudem ist Priorisierung ein wichtiger Aspekt. Die angestammte Aufgabe der Unternehmensführung ist es, das Unternehmen zu lenken und für Wachstum und wirtschaftlichen Erfolg zu sorgen. Jetzt gesellt sich die Umsetzung der Datenschutz-Compliance und der gesetzlichen Pflichten hinzu.

Datenschutz ja, aber bitte pragmatisch für alle

Bei NIS-2 werden diverse Maßnahmen für die Einhaltung des Datenschutzes zugrunde gelegt. Dazu gehören beispielsweise die Business Continuity zur Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, oder die Supply Chain-Sicherheit zwischen einzelnen Einrichtungen und Anbietern beziehungsweise Diensteanbietern.

Eine besonders wichtige Maßnahme stellen in diesem Zusammenhang die Verschlüsselung sowie Konzepte und Verfahren für den Einsatz von Kryptografie dar. Denn mit einer Verschlüsselung lassen sich viele der Datenschutzanforderungen gezielt umsetzen - insbesondere für Organisationen, die sensible Daten im Internet oder in der Cloud speichern und verarbeiten. Mit einer Verschlüsselung von sensiblen Daten sind Unternehmen, Geschäftsführer, Vorstände und Aufsichtsratsmitglieder zu einem erheblichen Teil auf der sicheren Seite. Ganz gleich, ob die Daten auf lokalen oder mobilen Geräten, auf Servern in eigenen Infrastrukturen oder bei cloudbasierten Diensten, wie Microsoft 365, Salesforce oder Hubspot, gespeichert und erhoben werden. Ein Zugriff durch Unbefugte, die Erpressung mittels Malware oder die Androhung der Weitergabe oder Veröffentlichung von digitalen Informationen ist bei verschlüsselten Daten wirkungslos.

Eine einfache Verschlüsselung reicht nicht aus

Ist mit einer klassischen Verschlüsselung das Ziel erreicht? Nein, denn eine herkömmliche Verschlüsselung erfüllt zwar die Anforderungen an den Datenschutz, schließt das Arbeiten mit den Daten aber weitgehend aus.

Speziell für den Datenschutz entwickelte Verschlüsselungs-Gateways können das pragmatische Bindeglied sein, um das Ziel für alle Beteiligten zu erreichen – sowohl für die Geschäftsführung als auch für diejenigen, die mit den Daten arbeiten. Die wesentliche Eigenschaft einer Verschlüsselungs­lösung ist seine „Vermittlerrolle“. Sie befindet sich auf einer separaten Umgebung und dient als Vermittler zwischen den Usern und der Cloud-Umgebung, deren Daten verschlüsselt werden sollen. Sie entkoppelt Cloud-Anwendungen, wie beispielsweise Microsoft 365 oder Salesforce, von den sensiblen Cloud-Daten in Klarschrift. Zudem dient sie als Reverse-, Forward- und API-Proxy, je nach Anwendung und Zugriffsszenario. Gleichzeitig ist innerhalb der Lösung die sichere Schlüsselverwaltung von sämtlichen Schlüsseln, die für das Pseudonymisieren und Verschlüsseln der Klartextdaten erforderlich sind, integriert.

Der entscheidende funktionale Unterschied bei einer solchen Gateway-Lösung zu sonstigen Verschlüsselungs­lösungen ist die Tatsache, dass Funktionalitäten der Cloud-Anwendungen weiterhin erhalten bleiben. Das Suchen oder Filtern von Daten sowie das Reporten vom Anwender kann trotz Verschlüsselung durchgeführt werden.

Verschlüsselungs­lösung schafft Haftungssicherheit für die Geschäftsführung

Die Lösung lässt sich problemlos in existierende IT-Strukturen einbinden und geht die künftigen Entwicklungen des Unternehmens mit – völlig unabhängig ob On-Premises, in der Private oder Public Cloud oder in hybriden Umgebungen.

Sie kann zwar nicht den kompletten Prozess einer Datenschutzstrategie, die klassische IT-Perimeter-Security, Data Protection und Backup, Resilienz, User-Awareness oder Security-Services umfasst, ersetzen. Aber sie gibt einer Geschäftsleitung und dem Unternehmen die Sicherheit, dass Daten außerhalb der eigenen vier Wände den Datenschutz­bestimmungen entsprechend bearbeitet und gespeichert werden und nicht von Unbefugten gelesen werden können. Fazit: Eine Verschlüsselungs­lösung hilft der Geschäftsleitung, indem sie ohne komplexe Eingriffe in die IT-Infrastruktur integrierbar ist und die Haftungsrisiken für Datenschutz und Compliance erheblich reduziert.

* Der Autor Andreas Steffen ist CEO bei eperi.

(ID:50059068)