Vergleich von Datensicherheit und Datenschutz

Datensicherheit und Datenschutz sind verwandte Disziplinen, die häufig verwechselt werden, aber grundlegend unterschiedliche Probleme behandeln. Datensicherheit schützt Daten durch technische Kontrollen vor unbefugtem Zugriff und Veränderung. Datenschutz regelt, wie personenbezogene Daten gemäß Einwilligung und gesetzlichen Bestimmungen erhoben, verwendet und weitergegeben werden. Organisationen benötigen beides: Sicherheit verhindert Datenschutzverletzungen; Datenschutz stellt sicher, dass auch korrekt gesicherte Daten angemessen verwendet werden. Die empfohlene Vorgehensweise: Implementieren Sie technische Sicherheitsmaßnahmen (Verschlüsselung, Zugriffskontrollen, Tokenisierung) als Grundlage und ergänzen Sie diese durch Datenschutzrichtlinien (Einwilligungsmanagement, Datenminimierung, Zweckbindung).

Kurzantwort: Worin unterscheiden sich Datensicherheit und Datenschutz?

Datensicherheit fragt: Wer hat Zugriff auf diese Daten und wie verhindern wir unbefugten Zugriff? Die Antwort liegt in technischen Kontrollen: Verschlüsselung , Firewalls, Authentifizierung, Zugriffskontrollen und Überwachung. Datenschutz fragt: Sollten diese Daten überhaupt erhoben werden, zu welchem ​​Zweck, mit wessen Einwilligung und wer darf sie wie nutzen? Die Antwort findet sich in Governance-Strukturen: Einwilligungsrahmen, Datenklassifizierung, Richtlinien zur Zweckbindung und Programme zur Einhaltung gesetzlicher Bestimmungen. Die entscheidende Abhängigkeit ist gerichtet: Datenschutz setzt Sicherheit voraus, denn Datenschutzverpflichtungen in Bezug auf personenbezogene Daten sind sinnlos, wenn diese Daten nicht vor unbefugtem Zugriff geschützt sind. Sicherheit hingegen erfordert keinen Datenschutz: Eine Organisation kann Daten, die sie rechtlich nicht erheben darf, stark verschlüsseln. Dies erfüllt zwar die Sicherheitsanforderungen, verletzt aber die Datenschutzbestimmungen.

Datensicherheit vs. Datenschutz: Der zentrale Unterschied

Datensicherheit zielt primär darauf ab, unbefugten und unrechtmäßigen Zugriff auf Daten durch Kompromittierung, Sicherheitslücken oder Datenlecks zu verhindern, unabhängig davon, wer der unbefugte Dritte ist. Unternehmen implementieren Datensicherheit durch IT-Kontrollen: Firewalls, Zugriffskontrollsysteme, Benutzerauthentifizierung und -identifizierung, Netzwerkzugriffskontrolle, Endpunktschutz und interne Überwachung. Dazu gehören auch technische Kontrollen, die Daten für Unbefugte unlesbar machen, wie Verschlüsselung , Tokenisierung und Maskierung.

Datenschutz befasst sich damit, wie sensible personenbezogene Daten unter Einhaltung der Einwilligung des Betroffenen und geltender rechtlicher Bestimmungen erfasst, verarbeitet, übermittelt oder genutzt werden. Datenschutz bedeutet, Einzelpersonen im Voraus darüber zu informieren, welche Daten zu welchem ​​Zweck erhoben werden und an wen sie unter welchen Umständen weitergegeben werden. Sobald eine Organisation diese Offenlegungen vorgenommen hat und der Nutzer zustimmt, darf die Organisation die Daten im Rahmen des angegebenen Zwecks und der geltenden gesetzlichen Bestimmungen verwenden.

Die Beziehung zwischen ihnen ist eine einseitige Abhängigkeit: Datensicherheit kann unabhängig implementiert werden, während Datenschutz Datensicherheit als Grundlage benötigt. In der Praxis ermöglicht Datenschutz einen eingeschränkten, einwilligungsgesteuerten Zugriff, während Datensicherheit die technischen Mechanismen einsetzt, die diesen eingeschränkten Zugriff gewährleisten.

Datensicherheit vs. Datenschutz: Ein direkter Vergleich

Abmessungen	Datensicherheit	Datenschutz
Hauptfrage	Wer hat Zugriff auf diese Daten und wie können wir unbefugten Zugriff verhindern?	Sollen diese Daten erhoben werden, zu welchem ​​Zweck und mit wessen Einwilligung?
Wovor es schützt	Unbefugter Zugriff, Sicherheitslücken, Datenabfluss, Modifikation, Zerstörung	Missbrauch, unbefugte Weitergabe, Datenerhebung ohne Einwilligung, Nichteinhaltung gesetzlicher Bestimmungen
Umgesetzt durch	Technische Kontrollen: Verschlüsselung, Zugriffskontrollen, Authentifizierung, Firewalls, Überwachung	Governance: Einwilligungsmanagement, Datenminimierung, Zweckbindung, Rechte betroffener Personen
Wer ist verantwortlich	IT, Sicherheitstechnik, DevSecOps, CISO	Rechtsabteilung, Compliance-Abteilung, Datenschutzbeauftragter, Datenschutzbeauftragter (für einige Organisationen gemäß DSGVO erforderlich)
Regulatorischer Treiber (Beispiele)	PCI DSS (technische Sicherheitskontrollen für Karteninhaberdaten); HIPAA-Sicherheitsregel	DSGVO (Rechtmäßigkeit der Verarbeitung, Einwilligung, Rechte der betroffenen Person); CCPA (Verbraucherrechte); HIPAA-Datenschutzbestimmungen
Kann das eine ohne das andere existieren?	Ja: Eine Organisation kann Daten sichern, die sie nicht hätte erfassen dürfen.	Nein: Datenschutz ohne Sicherheit ist bedeutungslos; Einwilligung schützt Daten nicht vor Datenschutzverletzungen.
Konsequenz eines Fehlers	Datenleck, unbefugter Zugriff, Datenexfiltration, Ransomware	Regulierungsstrafe, Vollstreckungsmaßnahmen, Verbraucherbeschwerden, Reputationsschaden

Compliance-Rahmenwerke: Wie sie sowohl Sicherheit als auch Datenschutz erfordern

1. PCI-DSS: die Datensicherheitsstandard der Zahlungskartenindustrie PCI DSS ist in erster Linie ein Sicherheitsstandard, der einen Rahmen zum Schutz von Zahlungskarteninformationen und Karteninhaberdaten bietet. Er schreibt Kontrollen für die Speicherung, Verarbeitung und Übertragung von Zahlungsdaten vor, einschließlich der Verschlüsselung ruhender Daten (Anforderung 3) und während der Übertragung (Anforderung 4), Zugriffskontrollen (Anforderung 7) und Protokollierung von Audits (Anforderung 10). Er gilt für Händler, Banken, Drittanbieter und alle Organisationen, die Karteninhaberdaten verarbeiten. PCI DSS ist ein Sicherheitsrahmen, aber die Tokenisierung von Karteninhaberdaten vor der Erfassung dient sowohl der Sicherheit (Reduzierung des Schadenspotenzials bei einem Datenleck) als auch dem Datenschutz (Ausschluss der Daten aus dem Geltungsbereich).
2. CCPA: Der California Consumer Privacy Act (CCPA) räumt kalifornischen Verbrauchern Rechte in Bezug auf ihre personenbezogenen Daten ein. Dazu gehören das Recht zu erfahren, welche Daten über sie erhoben und weitergegeben werden, das Recht, dem Verkauf ihrer personenbezogenen Daten zu widersprechen, das Recht auf gleiche Leistungen und Preise unabhängig von den getroffenen Datenschutzentscheidungen sowie das Recht auf Löschung ihrer personenbezogenen Daten. Der CCPA ist in erster Linie ein Datenschutzrahmen, setzt aber voraus, dass Sicherheitsvorkehrungen die personenbezogenen Daten schützen, für die er Rechte gewährt.
3. HIPAA: die Krankenversicherungs-Portabilitäts- und Rechenschaftsgesetz Die Regelung umfasst zwei Komponenten, die beiden Disziplinen direkt zugeordnet sind. Die Sicherheitsregel schreibt administrative, physische und technische Sicherheitsvorkehrungen für geschützte Gesundheitsdaten (PHI) vor, darunter Zugriffskontrollen, Protokollierung und Übertragungssicherheit (Datensicherheit). Die Datenschutzregel regelt die zulässige Verwendung und Weitergabe von PHI, die Patientenrechte an ihren Gesundheitsdaten und die Mindeststandards für die Datennutzung (Datenschutz). Beide Regelungen gelten für Einrichtungen, die Behandlungen durchführen, Zahlungen entgegennehmen oder im Gesundheitswesen tätig sind, sowie für deren Geschäftspartner.
4. DSGVO: die Allgemeine Datenschutzverordnung Die DSGVO integriert beide Aspekte am direktesten. Artikel 32 schreibt technische und organisatorische Maßnahmen wie Verschlüsselung und Pseudonymisierung als Sicherheitsvorkehrungen vor. Die Artikel 5 bis 7 legen Datenschutzgrundsätze fest, darunter Rechtmäßigkeit, Zweckbindung, Datenminimierung und Einwilligung als Rechtsgrundlage für die Datenverarbeitung. Die DSGVO gilt für alle Organisationen, die Daten von EU-Bürgern erheben oder verarbeiten, unabhängig von ihrem Sitz. Bei schwerwiegenden Verstößen drohen Bußgelder in Höhe von bis zu 4 % des weltweiten Jahresumsatzes.
5. NYDFS: Die Cybersicherheitsverordnung des New Yorker Finanzdienstleistungsministeriums (NYDFS) gilt für betroffene Finanzinstitute und schreibt ein umfassendes Cybersicherheitsprogramm vor. Dieses beinhaltet einen detaillierten, vom CISO erstellten Plan, die Implementierung einer Cybersicherheitsrichtlinie sowie ein System zur fortlaufenden Wartung und Meldung von Cybersicherheitsvorfällen. Die NYDFS-Verordnung ist zwar sicherheitsorientiert, ihre Anforderungen an die Datenklassifizierung und Zugriffskontrollen unterstützen jedoch direkt die Datenschutzziele.
6. HITECH: Der Health Information Technology for Economic and Clinical Health Act erweitert die HIPAA-Verpflichtungen, indem er von den Gesundheitsdienstleistern den Nachweis der Verwendung zertifizierter elektronischer Gesundheitsakten-Technologie (EHR) verlangt und die Durchsetzung der HIPAA-Sicherheits- und Datenschutzregeln durch obligatorische Sicherheitsaudits der Gesundheitsdienstleister stärkt.

Technische Kontrollmechanismen, die sowohl der Sicherheit als auch dem Datenschutz dienen

Verschlüsselung

Verschlüsselung schützt die Datensicherheit, indem sie Daten für Unbefugte unlesbar macht. AES-256-GCM ist der aktuelle Standard für ruhende Daten; TLS 1.3 sichert Daten während der Übertragung. Im Sinne des Datenschutzes unterstützt die Verschlüsselung die Pseudonymisierung gemäß Art. 4 Abs. 5 DSGVO: Werden Daten mit Zugriffskontrollen auf den Entschlüsselungsschlüssel verschlüsselt, können Personen ohne diesen Schlüssel nicht identifiziert werden. Die verschlüsselten Daten gelten somit als pseudonym und nicht als direkt identifizierend.

Verschlüsselung allein genügt jedoch nicht den Anforderungen an den Datenschutz. Sie schützt Daten zwar vor unberechtigtem Zugriff, berücksichtigt aber weder Einwilligung, Zweckbindung, Datenminimierung noch die Rechte der betroffenen Personen. Eine Organisation, die ohne Einwilligung erhobene Daten verschlüsselt, sichert zwar diese Daten, respektiert aber nicht die Privatsphäre der betroffenen Personen. Technische Sicherheitsmaßnahmen müssen daher durch ein umfassendes Datenschutzkonzept ergänzt werden.

Tokenisierung

Die Tokenisierung ersetzt einen sensiblen Wert durch einen unkritischen Ersatzwert (ein Token), der zwar das Format beibehält, aber keine ausnutzbare Beziehung zum Originalwert aufweist. Sie dient sowohl der Sicherheit als auch dem Datenschutz.

Im Hinblick auf die Datensicherheit reduziert die Tokenisierung den Wert gestohlener Daten. Selbst wenn ein Angreifer eine tokenisierte Datenbank exfiltriert, sind die Token ohne Zugriff auf den Token-Tresor, der die Token den Originalwerten zuordnet, wertlos. Im Hinblick auf den Datenschutz bietet die Tokenisierung Pseudonymisierung: Analysen und Geschäftsprozesse arbeiten mit Token anstelle realer personenbezogener Kennungen. Dadurch werden die tatsächlichen personenbezogenen Daten weder dem Analyseprozess noch Drittsystemen oder Mitarbeitern, die diese nicht benötigen, zugänglich gemacht. Die Reduzierung des PCI-DSS-Geltungsbereichs durch Tokenisierung von Zahlungskartennummern ist eines der gängigsten Anwendungsbeispiele: Durch das Ersetzen der PAN durch ein Token werden die zugehörigen Systeme und Prozesse aus dem Geltungsbereich der PCI-DSS-Karteninhaberdatenumgebung entfernt.

Datenmaskierung

Datenmaskierung ersetzt sensible Daten durch realistische, aber fiktive Ersatzdaten. Sie kommt in Szenarien zum Einsatz, in denen die tatsächlichen Datenwerte für den Empfänger nicht erforderlich sind, beispielsweise in Entwicklungs- und Testumgebungen, bei Analyseteams, die mit Nicht-Produktionsdaten arbeiten, oder bei Drittanbietern, die zwar realistische Datenformate benötigen, aber keine echten personenbezogenen Daten einsehen sollen.

Die Maskierung (auch Datenverschleierung oder Datenpseudonymisierung genannt) nutzt Mechanismen wie Zeichenersetzung, Zeichenumwandlung und die Generierung synthetischer Daten. Statische Maskierung verändert gespeicherte Daten dauerhaft für Nicht-Produktionskopien. Dynamische Maskierung liefert maskierte Werte zur Abfragezeit, ohne die gespeicherten Daten zu verändern. So kann dieselbe Datenbank autorisierten Benutzern die korrekten Daten und anderen Benutzern je nach ihrer Rolle die maskierten Daten anzeigen.

Die Maskierung trägt direkt zum Datenschutz bei, indem sie sicherstellt, dass nicht notwendige Zugriffspfade, einschließlich Analyseprozesse, Entwicklungsumgebungen und Integrationen von Drittanbietern, niemals auf echte personenbezogene Daten zugreifen. Dadurch wird die Angriffsfläche für Datenschutzverletzungen verringert, unabhängig davon, ob diese Zugriffspfade technisch gesichert sind.

Entscheidungstabelle: Zuordnung technischer Kontrollen zu Sicherheits- und Datenschutzzielen

Ziel	Primäre Kontrolle	Sekundärkontrollen	Relevanz der Einhaltung
Unberechtigten Zugriff auf gespeicherte Daten verhindern	AES-256-GCM-Verschlüsselung ruhender Daten; Feldverschlüsselung für sensible Felder	Zugriffskontrollen (RBAC); Audit-Protokollierung; HSM-Schlüsselverwaltung	PCI DSS Anforderung 3; HIPAA-Sicherheitsregel; DSGVO Art. 32
Datenabfang während der Übertragung verhindern	TLS 1.3 für die gesamte Netzwerkkommunikation	mTLS für die interne Dienstkommunikation; OCSP-Stapling	PCI DSS Anforderung 4; HIPAA-Übertragungssicherheit; DSGVO Art. 32
Reduzierung des Schadens durch Datenschutzverletzungen sensibler Datensätze	Tokenisierung von personenbezogenen Daten (PII), Gesundheitsdaten (PHI) und Zahlungskartennummern	Verschlüsselung des Token-Tresors; Zugriffskontrollen bei der Detokenisierung	Reduzierung des PCI-DSS-Geltungsbereichs; HIPAA-Anonymisierung (45 CFR §164.514); DSGVO-Pseudonymisierung
Analysen ermöglichen, ohne personenbezogene Daten preiszugeben	Tokenisierung vor dem Eintritt der Daten in die Analysepipeline; differenzielle Privatsphäre für aggregierte Abfrageergebnisse	Dynamische Datenmaskierung für die Abfragezeitsubstitution	DSGVO-Datenminimierung (Art. 5 Abs. 1 Buchst. c); HIPAA-Minimum-Need-Prinzip; CCPA-Zweckbindung
Schutz von Daten in Nicht-Produktionsumgebungen	Statische Datenmaskierung von Produktionsdaten für Entwicklungs-/Testkopien	Synthetic Datenerzeugungs	DSGVO; HIPAA; interne Richtlinie
Nachweis der Pseudonymisierung (DSGVO Art. 4(5))	Tokenisierung oder Verschlüsselung mit Zugriffskontrollen auf dem Umkehrmechanismus	Protokollierung aller Detokenisierungs- oder Entschlüsselungsereignisse	Art. 4 Abs. 5 und Art. 32 DSGVO; Erwägungsgrund 26 DSGVO (nicht direkt identifizierend)
Gewährung des Rechts der betroffenen Person auf Löschung (Art. 17 DSGVO)	Umfassende Dateninventur mit Zuordnung personenbezogener Daten zu Einzelpersonen; Löschvorgang	Tokenisierung (Löschen der Zuordnung zur Einhaltung ohne Umstrukturierung aller Systeme)	Art. 17 DSGVO; Recht auf Löschung gemäß CCPA

Einsatzbeispiel: Finanzdienstleistungsorganisation

Ein Finanzdienstleistungsunternehmen, das Zahlungskartendaten, personenbezogene Kundendaten und Transaktionshistorien verarbeitet, muss sowohl die PCI-DSS-Standards (Sicherheit) als auch die DSGVO/CCPA-Standards (Datenschutz) erfüllen. Im Folgenden wird erläutert, wie beides in einer konformen Architektur umgesetzt wird:

1. Zum Zeitpunkt der Abholung: Die Einwilligung wird eingeholt und protokolliert (Datenschutz). Die Daten werden bei der Erfassung nach Sensibilitätsstufe klassifiziert (Voraussetzung für Sicherheit und Datenschutz).
2. Zahlungskartennummern: Die Tokenisierung erfolgt unmittelbar zum Zeitpunkt der Erfassung. Das Token wird in Transaktionssystemen gespeichert; die ursprüngliche PAN wird ausschließlich im Token-Tresor aufbewahrt, mit AES-256-GCM verschlüsselt und ist nur für autorisierte Abrechnungsprozesse zugänglich. Dies erfüllt die PCI-DSS-Anforderung 3 (Verschlüsselung/Tokenisierung) und reduziert den PCI-DSS-Geltungsbereich für nachgelagerte Systeme.
3. PII (Name, Adresse, Geburtsdatum): Im Ruhezustand verschlüsselt speichern. Spaltenbasierte Verschlüsselung mit separaten Schlüsseln pro Datenklassifizierung, alles verwaltet in einem HSM als ServiceDie auf Datenbankebene durchgesetzten Zugriffskontrollen beschränken, welche Rollen identifizierende Felder abfragen dürfen.
4. Analyse und Berichterstellung: Analysten erhalten tokenisierte oder maskierte Datensätze. Die dynamische Maskierung ersetzt reale Werte durch realistische fiktive Werte für nicht privilegierte Rollen. Analysen des Kundenverhaltens verwenden Token als Identifikatoren, sodass einzelne Kunden in der Analyseumgebung nicht identifizierbar sind.
5. Anfragen von betroffenen Personen: Ein Dateninventar ordnet die Datensätze jedes Kunden systemübergreifend anhand eines Tokens zu. Eine Löschanfrage löst die Löschung der Token-zu-PAN-Zuordnung und der PII-Datensätze in allen Systemen aus, wodurch alle verbleibenden Datensätze für diesen Kunden effektiv anonymisiert werden.
6. Transitsicherheit: Die gesamte API-Kommunikation verwendet TLS 1.3. Die interne Kommunikation zwischen Diensten verwendet mTLS mit Zertifikaten, die über [Name der Plattform/des Dienstes] verwaltet werden. CertSecure Manager.

Einschränkungen: Warum keine einzelne Technologie beides vollständig erfüllt

• Verschlüsselung erfüllt zwar die Sicherheitsanforderungen, aber nicht die Anforderungen an den Datenschutz: Verschlüsselung macht Daten für Unbefugte unlesbar, berücksichtigt aber weder Einwilligung noch Zweckbindung oder die Rechte der betroffenen Personen. Eine Organisation kann Daten verschlüsseln, zu deren Erhebung sie kein Recht hatte, und so zwar die Sicherheit gewährleisten, aber gleichzeitig die Privatsphäre verletzen.
• Die Tokenisierung verringert das Risiko von Datenschutzverletzungen, erfordert aber sichere Datenspeicher: Der Sicherheitsvorteil der Tokenisierung hängt von der Sicherheit des Token-Vaults ab, der Token ihren Originalwerten zuordnet. Eine Kompromittierung des Vaults macht den gesamten Tokenisierungsansatz zunichte. Die Sicherheit des Vaults muss daher mit der gleichen Sorgfalt behandelt werden wie die der Originaldaten.
• Maskierung ist in statischer Form irreversibel und daher ungeeignet, wenn Originale benötigt werden: Statisch maskierte Daten können nicht rückgängig gemacht werden, um die Originalwerte wiederherzustellen. Benötigt ein Prozess, dem maskierte Daten übergeben wurden, später die Originaldaten, muss ein neuer Prozess mit entsprechenden Zugriffskontrollen definiert werden, der diese bereitstellt.
• Compliance bedeutet nicht automatisch Sicherheit oder Datenschutz: Die Erfüllung der Mindestanforderungen eines regulatorischen Rahmens garantiert weder hohe Sicherheit noch einen wirksamen Datenschutz. Regulatorische Mindestanforderungen stellen Untergrenzen, keine Obergrenzen dar. Sowohl Sicherheits- als auch Datenschutzprogramme müssen bedrohungsorientiert und nicht nur auf die Einhaltung von Vorschriften ausgerichtet sein, um vor aktuellen Risiken zu schützen.

Wie Verschlüsselungsberatung helfen kann

• Verschlüsselungsberatungsdienste: UNSERE Verschlüsselungsberatung Beurteilen Sie die Verschlüsselungsabdeckung in Ihrer Umgebung, identifizieren Sie ungeschützte sensible Daten, bewerten Sie die Praktiken des Schlüsselmanagements und erstellen Sie einen Sanierungsplan, der sowohl Sicherheitsanforderungen (NIST, PCI DSS, HIPAA) als auch datenschutzrechtliche Anforderungen an die Pseudonymisierung (DSGVO Artikel 32) berücksichtigt.
• Beratungsleistungen im Bereich Compliance: UNSERE Compliance-Beratungsdienste Wir unterstützen Organisationen dabei, ihre technischen Sicherheitskontrollen den Datenschutzbestimmungen der DSGVO, HIPAA, CCPA, PCI DSS und NYDFS zuzuordnen und die Dokumentations- und Governance-Rahmenbedingungen zu erstellen, die regulatorischen Prüfungen sowohl in Bezug auf die Sicherheits- als auch auf die Datenschutzdimensionen gerecht werden.
• CBOM Secure: CBOM Secure Erkennt alle kryptografischen Assets und sensiblen Datenspeicher in Ihrer Umgebung und liefert so das Verzeichnis, wo personenbezogene Daten verschlüsselt, tokenisiert oder ungeschützt sind – eine Grundlage, die sowohl für Sicherheitsbewertungen als auch für Datenschutzfolgenabschätzungen benötigt wird.
• HSM als Dienstleistung: HSM als Service bietet FIPS 140-3 validiertes Hardware-Schlüsselmanagement für die Verschlüsselungs- und Tokenisierungsschlüssel, die sensible personenbezogene Daten schützen, und gewährleistet so, dass eine Kompromittierung von Schlüssel und Daten nicht gleichzeitig erfolgen kann.

Fazit

Datensicherheit und Datenschutz sind zwei unterschiedliche Ansätze im Umgang mit sensiblen personenbezogenen Daten. Sie ergänzen sich, sind aber nicht austauschbar, und eine Verwechslung führt zu Lücken in beiden Bereichen. Eine Organisation, die sich ausschließlich auf die Sicherheit konzentriert, schützt möglicherweise Daten, die sie nicht besitzen darf. Eine Organisation, die sich nur auf die Einhaltung der Datenschutzbestimmungen konzentriert und dabei technische Sicherheitsmaßnahmen vernachlässigt, wird feststellen, dass ihre Datenschutzverpflichtungen bedeutungslos sind, wenn eine Datenschutzverletzung die personenbezogenen Daten offenlegt, für die sie verantwortlich war.

Die technischen Kontrollmechanismen Verschlüsselung, Tokenisierung und Maskierung sind keine Alternativen zueinander. Verschlüsselung schützt Daten im Ruhezustand und während der Übertragung; Tokenisierung reduziert den Schaden durch Datenschutzverletzungen und ermöglicht Pseudonymisierung; Maskierung stellt sicher, dass Nicht-Produktionsumgebungen niemals auf echte personenbezogene Daten zugreifen. Alle drei wirken zusammen, um sensible personenbezogene Daten während ihres gesamten Lebenszyklus zu schützen und sowohl die technischen Sicherheitsanforderungen zur Verhinderung von Datenschutzverletzungen als auch die Anforderungen an den Datenschutz zu erfüllen, die eine angemessene Datennutzung gewährleisten.

Wenn Sie Ihre aktuelle Verschlüsselungs- und Datenschutzlage sowohl im Hinblick auf die Sicherheits- als auch auf die Datenschutzaspekte bewerten möchten, wenden Sie sich an Encryption Consulting, um zu besprechen, wo Sie anfangen sollen.

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen Datensicherheit und Datenschutz?

Datensicherheit schützt Daten durch technische Kontrollen vor unbefugtem Zugriff. Datenschutz regelt, wie personenbezogene Daten gemäß Einwilligung und gesetzlichen Bestimmungen erhoben, verwendet und weitergegeben werden. Sicherheit kann auch ohne Datenschutz bestehen (z. B. durch den Schutz von Daten, die man nicht hätte erheben dürfen). Datenschutz setzt Sicherheit voraus.

Welche Rolle spielt die Verschlüsselung bei der Datensicherheit und dem Datenschutz?

Verschlüsselung dient der Datensicherheit, indem sie Daten ohne den Entschlüsselungsschlüssel unlesbar macht (AES-256-GCM im Ruhezustand, TLS 1.3 bei der Übertragung). Im Hinblick auf den Datenschutz unterstützt Verschlüsselung mit Zugriffskontrollen die Pseudonymisierung gemäß Art. 4 Abs. 5 DSGVO. Verschlüsselung allein erfüllt jedoch weder die Anforderungen an Einwilligung und Zweckbindung noch die Rechte der betroffenen Person.

Was ist Tokenisierung und wie unterstützt sie beides?

Die Tokenisierung ersetzt sensible Daten durch formattreue Ersatzwerte, die keine ausnutzbare Verbindung zum Original aufweisen. Dadurch wird der Schaden durch Datenlecks reduziert. Im Hinblick auf die Privatsphäre ermöglicht sie die Pseudonymisierung, sodass Analysen und Drittanbieterprozesse mit Tokens anstelle von personenbezogenen Kennungen arbeiten. Die Reduzierung des PCI-DSS-Geltungsbereichs ist ein weit verbreitetes Beispiel.

Welche Compliance-Rahmenwerke erfordern sowohl Sicherheits- als auch Datenschutzmaßnahmen?

Die DSGVO fordert beides: Artikel 32 für technische Sicherheitsmaßnahmen und die Artikel 5–7 für Datenschutzgrundsätze. HIPAA fordert ebenfalls beides: die Sicherheitsregel für technische Schutzmaßnahmen für geschützte Gesundheitsdaten (PHI) und die Datenschutzregel für zulässige Verwendungen von PHI. PCI DSS ist sicherheitsorientiert, CCPA datenschutzorientiert. Alle setzen voraus, dass beide Bereiche gemeinsam umgesetzt werden.

Kann Datensicherheit ohne Datenschutz existieren?

Ja. Eine Organisation kann starke Verschlüsselung, Zugriffskontrollen und Überwachung für Daten implementieren, deren Erhebung oder Nutzung sie rechtlich nicht befugt war. In diesem Fall ist die Datensicherheit zwar gegeben, der Datenschutz jedoch verletzt. DSGVO-Bußgelder können auch dann verhängt werden, wenn kein Sicherheitsverstoß vorliegt.

Was ist Datenmaskierung und wann wird sie anstelle von Verschlüsselung eingesetzt?

Datenmaskierung ersetzt reale Daten durch realistische, fiktive Werte. Sie kommt zum Einsatz, wenn die tatsächlichen Datenwerte nicht benötigt werden (Entwicklung, Tests, externe Analysen), wenn Produktionsdaten nicht in Nicht-Produktionsumgebungen erscheinen dürfen oder wenn Empfänger realistische Formate benötigen, aber keine echten personenbezogenen Daten sehen dürfen. Im Gegensatz zur Verschlüsselung ist statische Maskierung irreversibel.

www.gartner.com/en/documents/3153926