Kommt nach der Datenschutz-Grundverordnung bald auch eine Datensicherheits-Grundverordnung?
Am 25.05.2018 tritt die EU-Datenschutz-Grundverordnung in Kraft und verpflichtet alle Akteure, die Dienstleistungen und Waren in der Europäischen Union anbieten und letztlich personenbezogene Daten erheben, speichern und/oder verarbeiten zu einem sorgsamen Umgang mit selbigen. Und das gilt damit erstmalig auch für Institutionen, die außerhalb der EU ansässig sind, aber in der EU tätig werden. Und wer sich nicht an die Regeln hält, dem drohen saftige Bußgelder bis zu 20 Mio. Euro oder 4% des Gesamtumsatzes eines Jahres des kompletten Konzerns, je nachdem was höher ausfällt.
Und was wird geschützt? Personenbezogene Daten natürlicher lebender Personen, also z.B. Adressen, Geburtsdaten bis hin zu besonders schützenswerten Gesundheitsdaten oder Informationen über Rasse, Religion, politischer Einstellung usw..
Schön. War längst überfällig und eigentlich selbstverständlich. In Deutschland haben wir uns darum dank BDSG schon seit Jahrzehnten kümmern müssen. Jetzt trifft es auch die Mitbewerber im Ausland.
Aber ist Datenschutz wirklich so wichtig oder gibt es vielleicht etwas, das noch viel wichtiger ist?
Richtig. Wie sieht es denn mit dem Recht auf Datensicherheit aus? Viele leiten aus dem Begriff „Datenschutz“ einen allumfassenden Schutz ihrer Daten ab. Schön wär’s.
In den Datenschutznormen ist zwar auch die Einhaltung von grundlegenden IT-Sicherheitsregeln vorgeschrieben, aber in dem Moment, wo keine personenbezogenen Daten direkt betroffen sind, ist die Missachtung von IT-Sicherheit in Produkten und Dienstleistungen praktisch vollkommen sanktioniert.
Unser nationales IT-Sicherheitsgesetz suggeriert, dass IT-Sicherheit per Gesetz geregelt wäre, aber das betrifft nur kritische Infrastrukturen (wie beispielsweise etwa Strom- und Wasserversorger) und eben nicht das 08/15 IT-Produkt oder Programm für Lieschen Müller.
Wenn dann Daten auf einmal weg sind oder IT-Systeme kompromittiert worden sind, ist das Geheule groß. Jemanden dafür haftbar zu machen, ist in der Praxis äußerst schwierig. Und auch wenn man (noch ohne Schaden) eine IT-Sicherheitslücke entdeckt (die es zuhauf gibt), bleibt das für den Verursacher / Anbieter ebenfalls meist folgenlos. Selbst wenn er die Lücke nicht schließt, bekommt man ihn nicht so einfach zu fassen.
Wäre es angesichts zunehmender Digitalisierung und Durchdringung der IT in allen Lebensbereichen nicht dringend notwendig, auch die Implementierung von IT-Sicherheit nach einem aktuellen Stand der Technik in jedem Produkt zu fordern und dessen Fehlen bzw. Mangelhaftigkeit zu pönalisieren? Was ist, wenn die Produktion eines Unternehmens aufgrund eines eigentlich abwehrbaren IT-Vorfalls ausfällt? Was ist, wenn ein voll-automatisiert fahrendes vernetzets Fahrzeug mit 130 km/h gegen die Wand fährt, weil es eine Sicherheitslücke gab, die ein Hacker zum Spaß ausgenutzt hat? Was ist, wenn das Haus abbrennt, weil der internetfähige Toaster durch Schadcode überlastet wurde?
Einen Teil davon kann man über Versicherungen abfedern. Aber es bleiben erhebliche Risiken für Vermögen, Leib und Leben, denn wir reden nicht mehr allein von Daten oder Geld, die weg sind. Im Internet der Dinge reden wir von echten Bedrohungen durch mangelhafte IT-Sicherheit.
Bei aller digitaler Aufbruchsstimmung lohnt es sich daher, auch über IT-Sicherheit zur Not über eine Verordnung und einen gesetzlichen Anspruch nachzudenken. Alles andere wäre fahrlässig und kurzsichtig.
Und für die Gerichte wäre es durchaus sinnvoll, wenn mangelhafte oder fehlende IT-Sicherheit als Produktmangel definiert würde. Das würde den Druck auf die Anbieter erhöhen, ihren Job in Punkto IT-Sicherheit besser zu machen, als das jetzt der Fall ist. Denn eine mal schnell hin gerotzte App mit Sicherheitslücken ist weder digitale Transformation noch ein Leuchtturmprojekt, sondern eine Sackgasse.
Viele Entwickler und Anbieter empfinden IT-Sicherheit als hinderlich und kostspielig. Der Verzicht darauf wird noch kostspieliger und letztlich erhöht die Berücksichtigung von IT-Sicherheit bereits beim Produktdesign auch die Produktqualität.
Jetzt müsste nur jemand den Gedanken mal aufgreifen und weiter diskutieren…
P.S. Und bis es eine Verordnung gibt, könnten wir ja schon einmal anfangen, freiwillig konsequent IT-Sicherheit in unsere Produkte und Dienstleistungen einzubauen.
