Schutzbedarfsfeststellung

Nicht jede Information braucht denselben Schutz. Ein Speiseplan ist harmlos, eine Gehaltsliste nicht. Die Schutzbedarfsfeststellung sorgt dafür, dass Sie Ihre Schutzmaßnahmen an der richtigen Stelle einsetzen – auch bei der Frage, wie gründlich alte Datenträger gelöscht oder vernichtet werden müssen.

Was ist eine Schutzbedarfsfeststellung?

Der Begriff stammt aus dem BSI IT-Grundschutz. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt ihn im BSI-Standard 200-2. Ausgangspunkt sind die Geschäftsprozesse und die Informationen, die darin verarbeitet werden. Für jede Information fragt man: Was wäre der schlimmste realistische Schaden, wenn sie in falsche Hände gerät, verfälscht wird oder nicht verfügbar ist?

Der Schutzbedarf vererbt sich auf die Systeme, die diese Informationen verarbeiten. Ein Server mit Personalakten hat damit einen anderen Schutzbedarf als ein Druckserver für die Kantine.

Kategorien und Bewertungsregeln

Kategorie	Bedeutung nach BSI-Standard 200-2
normal	Die Schadensauswirkungen sind begrenzt und überschaubar.
hoch	Die Schadensauswirkungen können beträchtlich sein.
sehr hoch	Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß erreichen.

Bewertet werden typische Schadensszenarien, etwa Verstöße gegen Gesetze und Verträge, Beeinträchtigung des informationellen Selbstbestimmungsrechts, finanzielle Folgen oder Imageschäden. Dazu kommen drei Regeln:

• Maximumprinzip: Ein System übernimmt den höchsten Schutzbedarf der Informationen, die es verarbeitet.
• Kumulationseffekt: Viele Daten mit normalem Schutzbedarf können zusammen einen höheren Schutzbedarf ergeben.
• Verteilungseffekt: Ist eine Information auf mehrere Systeme verteilt, kann der Schutzbedarf einzelner Systeme niedriger sein.

Schutzbedarf und Datenträgervernichtung

Für die physische Vernichtung von Datenträgern greift die Norm DIN 66399 denselben Gedanken auf. Sie kennt drei Schutzklassen, die sich am Schutzbedarf der Daten orientieren: Schutzklasse 1 für normalen, 2 für hohen und 3 für sehr hohen Schutzbedarf. Aus der Schutzklasse ergibt sich, welche Sicherheitsstufe mindestens nötig ist. Mehr dazu im Eintrag Schutzklasse (DIN 66399) und im Ratgeber DIN 66399: Schutzklassen und Sicherheitsstufen.

Auch die DSGVO denkt risikobasiert: Art. 32 verlangt Maßnahmen, die dem Risiko für die Rechte der betroffenen Personen angemessen sind. Die Schutzbedarfsfeststellung liefert dafür eine nachvollziehbare Begründung.

Schutzbedarf und Second IT

Ist der Schutzbedarf geklärt, lässt sich das passende Verfahren gezielt wählen. Second IT löscht funktionsfähige Datenträger mit Blancco und erstellt ein digital signiertes Löschzertifikat je Gerät. Datenträger, die sich nicht löschen lassen, werden im eigenen Haus nach DIN 66399 mit Sicherheitsstufe H-5 vernichtet. Wie die Verarbeitung geschützt ist, lesen Sie unter Datensicherheit bei Second IT.

Häufige Fragen zur Schutzbedarfsfeststellung

Wer führt die Schutzbedarfsfeststellung durch?

Meist die Informationssicherheitsbeauftragten gemeinsam mit den Verantwortlichen der Fachabteilungen. Diese kennen die Informationen und können die Folgen eines Schadens am besten einschätzen. Die Ergebnisse werden schriftlich begründet.

Ist die Schutzbedarfsfeststellung gesetzlich vorgeschrieben?

Als Begriff ist sie Teil des BSI IT-Grundschutzes, nicht der DSGVO. Für Behörden und Unternehmen, die nach IT-Grundschutz arbeiten, ist sie verbindlich. Andere nutzen sie freiwillig, um die von der DSGVO geforderte risikogerechte Auswahl von Maßnahmen zu begründen.

Was hat der Schutzbedarf mit alten Festplatten zu tun?

Der Schutzbedarf der gespeicherten Daten bestimmt, wie gründlich eine Festplatte gelöscht oder vernichtet werden muss. Bei hohem oder sehr hohem Schutzbedarf sind strengere Verfahren und lückenlose Nachweise je Datenträger angemessen.