Zugriffskontrolle

Trennlinie

Zugriffskontrolle oder
auch das Need-to-know-Prinzip

Hannover im November 2014 von Ulrike Hauser

Gesetztestext - Anlage zu § 9 Satz 1 Nr. 3

Das BDSG sagt: „Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind, …"

Um folgende Kontrollmaßnahmen handelt es sich dabei:

1. Zutrittskontrolle

2. Zugangskontrolle

3. Zugriffskontrolle

4. Weitergabekontrolle

5. Eingabekontrolle

6. Auftragskontrolle

7. Verfügbarkeitskontrolle

8. Trennungsgebot

Das BDSG formuliert die Zugriffskontrolle so: […] 3. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können […] 

 Es geht bei der Zugriffskontrolle um …

  • Ihre Daten: Personenbezogene Daten, die sie für sich selbst erheben, verarbeiten oder nutzen oder ihre Dienstleister damit beauftragen, dies zu tun.

  • Das Datenverarbeitungssystem: im Weitesten Sinne alle Computer. Dazu gehören u.a. Arbeitsplatzrechner, Server, Laptops, Tablets, aber auch Smartphones und Digitalkameras. Kurz: alle technischen Geräte, mit denen sie Daten verarbeiten können.

  • Ihr Berechtigungskonzept: statt ihren Mitarbeitern (Benutzern) direkt Zugriffsrechte in den Softwares zuzuweisen, ist es einfacher, Rollen zu definieren. Diesen Rollen, wie z.b. "eigene Lohnbuchhaltung", können dann mehrere Benutzer zugeordnet werden. Dies erleichtert die Rechteverwaltung des softwaresystems, da bei Änderungen der Rechtestruktur nur die Rechte der Benutzerrolle angepasst werden müssen. Bei einem Abteilungswechsel müsste nur die Rolle neu zugeordnet werden.

Zugriff nur auf Daten zur konkreten Aufgabenerfüllung

In Ihrer Organisation sollte jeder Mitarbeiter nur auf die (Kunden/Mandanten/Patienten-) Daten zugreifen können, die er für seine konkrete Aufgabenerfüllung benötigt. Sie werden sicher der Aussage zustimmen, dass ein Steuerfachangestellter keinen Zugang z.B. zu den Personalakten benötigt, um seiner Arbeit nachgehen zu können.

Das Vier-Augen-Prinzip

Es kann jedoch immer vorkommen, dass ein Mitarbeiter aus wichtigen Gründen auf Datensätze zugreifen muss, die nicht in seinem Berechtigungsbereich liegen. In diesem Fall muss der Zugriff durch die Organisationsleitung genehmigt werden, empfehlenswert ist es, das Vier-Augen-Prinzip anzuwenden, damit Daten nicht auf unerlaubte Weise ver- oder entwendet werden können.

Wichtig: Wechselt ein Mitarbeiter die Abteilung oder verlässt er das Unternehmen, müssen vergebene Zugriffsrechte verändert bzw. entzogen werden. In manchen Unternehmen ist der Praktikant, der mal in jeder Abteilung tätig war, der bestinformierte Mitarbeiter!

Praxistipps zur Zugriffskontrolle

  • In der Praxis definiert die Organisationsleitung die Berechtigungsfreigaben, die aus den Stellenbeschreibungen abgeleitet werden können. Der Systemadministrator erstellt daraus ein Rollen- und Rechtekonzept und weist jedem Mitarbeiter ein Benutzerprofil zu.

  • Wenn Sie in einer Besprechung Ausdrucke, auf denen vertrauliche Daten stehen, verteilen, dann achten Sie darauf, dass diese nicht in unbefugte Hände geraten. Entweder sammeln Sie die Blätter wieder ein und vernichten sie selbst, oder Sie bitten Ihre Gesprächsteilnehmer dies zu tun.

  • Ein Vermerk in der Fußzeile eines Dokumentes, dass dieses vertraulich zu behandeln ist, hilft demjenigen, der es verwendet, die notwendige Sorgfalt walten zu lassen.

  • Achten Sie auch außerhalb der datenverarbeitende Systemen auf den sorgfältigen Umgang, verschlüsseln Sie mobile Datenträger, wie USB-Sticks oder Festplatten, damit nur zugriffsberechtigte Personen Zugriff darauf haben können.