17. Datenschutz- und Informationsfreiheitsbericht

2.5 Erstellen von Sicherheitskonzepten
Technik
Nach Ablauf der Übergangsfrist des in 2000 novellierten Datenschutzgesetzes
NRW sind alle dem Anwendungsbereich unterworfenen
datenverarbeitenden Stellen verpflichtet, auch für Altverfahren ein
Sicherheitskonzept zu erstellen. Stichproben bei einigen Behörden im
Lande ergaben jedoch, dass Konzepte im Sinne des Gesetzes bisher
kaum existieren.
Häufig wird im Zusammenhang mit der Erstellung von Sicherheitskonzepten
auf die Komplexität des Themas hingewiesen. Die danach aufkommende
Frage nach dem Vorhandensein einer Art Kochrezept zur Erstellung
eines solchen Konzeptes kann an dieser Stelle mit einem klaren „Jein“ beantwortet
werden. Das Bundesamt für Sicherheit in der Informationstechnik
(BSI) stellt einen sehr umfassenden Maßnahmenkatalog zur Verfügung, mit
dessen Hilfe ein mittlerer Schutzbedarf abgedeckt werden kann. Das
Grundschutzhandbuch genannte Werk steht auf der Web-Seite des BSI
(www.bsi.de) kostenlos zum Download bereit. Auch eine gedruckte Version
sowie ein datenbankgestütztes Tool kann gegen geringes Entgeld erworben
werden. Es beinhaltet circa 780 standardisierte Sollmaßnahmen, aus denen
die firmen- oder behördenspezifischen Maßnahmen entsprechend den
eingesetzten Systemen und Verfahren hergeleitet werden können. Der
enorme Umfang von inzwischen 2520 Seiten sollte nicht abschrecken, da
die Arbeitsschritte standardisiert sind und schematisch zügig abgearbeitet
werden können.
Der erste und mit großem Abstand wichtigste Schritt ist die Ermittlung
derjenigen Menschen und Maschinen, die Daten verarbeiten. Eine solche
Aufstellung ist im Normalfall vorhanden, weil sie Grundlage für nahezu alle
organisatorischen Maßnahmen und DV-Projekte ist. Wenn diese Aufstellung
um die einzelnen Verarbeitungsschritte und deren Reihenfolge ergänzt wird,
ist eine Basis für die Erstellung eines Sicherheitskonzepts geschaffen. Eine
in der Praxis seit langem bewährte Methode ist beispielsweise die
Modellierung von Geschäfts- oder Verwaltungsprozessen. Sie erfolgt auf
einem sehr hohen Abstraktionsniveau, so dass in diesem Stadium
vernachlässigt werden kann, ob die Verarbeitung der Daten manuell oder
automatisiert erfolgt.
Nach der Identifizierung der Prozesse müssen die verarbeiteten Daten mit
Personenbezug bestimmt werden. Alle Prozesse, die nicht mit solchen Daten
arbeiten, können ausgeblendet werden. Das so geschaffene Modell ent-
LDI NRW 17. Datenschutzbericht 2005 19