Wie kombiniert man Verschlüsselung und Zugriffsrechte für sensible Unternehmensdaten?

Sensible Unternehmensdaten sind nicht allein deshalb geschützt, weil sie verschlüsselt gespeichert werden. Sobald eine berechtigte Anwendung oder ein angemeldeter Benutzer Informationen entschlüsseln kann, entstehen neue Zugriffsrisiken. Um vertrauliche Dokumente, Personaldaten und Geschäftsgeheimnisse zuverlässig abzusichern, müssen Unternehmen deshalb Verschlüsselung und differenzierte Zugriffsrechte gemeinsam planen.

Die Verschlüsselung schützt Informationen vor dem Auslesen ohne geeignete Schlüssel. Berechtigungen bestimmen dagegen, welche Personen und Anwendungen Daten öffnen, bearbeiten, exportieren oder weitergeben dürfen. Beide Mechanismen ergänzen sich, erfüllen jedoch unterschiedliche Sicherheitsaufgaben.

Für Schweizer Unternehmen ist zusätzlich entscheidend, den Schutzbedarf der Daten zu berücksichtigen und bei der Bearbeitung von Personendaten die Anforderungen des Datenschutzgesetzes (DSG) einzubeziehen. Eine wirksame Umsetzung verbindet technische Schutzmassnahmen mit klaren Zuständigkeiten, dokumentierten Berechtigungen und nachvollziehbaren Kontrollen.

Warum schützt Verschlüsselung Daten nicht vor jedem internen Zugriff?

Verschlüsselung verhindert nicht jeden internen Zugriff, weil berechtigte Anwendungen und Benutzer Daten für ihre Arbeit entschlüsseln müssen. Wer über eine gültige Sitzung, ausreichende Berechtigungen oder einen kompromittierten Zugang verfügt, kann möglicherweise auf diese Informationen zugreifen. Deshalb muss die Verschlüsselung durch Authentifizierung, Berechtigungsprüfungen und eine kontrollierte Schlüsselverwaltung ergänzt werden.

Ein vollständig verschlüsselter Datenträger schützt beispielsweise Dateien, wenn ein ausgeschaltetes Notebook gestohlen wird und die Verschlüsselungsschlüssel nicht zugänglich sind. Meldet sich dagegen eine berechtigte Person am laufenden System an, können Anwendungen die für diese Sitzung freigegebenen Daten lesen.

Das Risiko besteht insbesondere bei gemeinsam genutzten Dateiverzeichnissen, weitreichenden Administratorrechten und Cloud-Anwendungen mit zu grosszügigen Freigaben. Die Verschlüsselung des Speichers allein verhindert nicht, dass ein Benutzer mit ausreichenden Anwendungsrechten vertrauliche Informationen exportiert.

Der Leitfaden des EDÖB zu technischen und organisatorischen Datenschutzmassnahmen empfiehlt deshalb, bei Bedarf eine zusätzliche interne Verschlüsselungsebene vorzusehen. Diese soll den Zugriff auf entschlüsselte Informationen auf entsprechend berechtigte Personen und Anwendungen begrenzen.

Eine tragfähige Schutzarchitektur benötigt drei aufeinander abgestimmte Kontrollen:

• Authentifizierung: Feststellen, welche Person oder Anwendung einen Zugriff verlangt, möglichst mit einer dem Risiko angemessenen Mehrfaktor-Authentifizierung.
• Autorisierung: Prüfen, ob diese Identität auf die konkreten Informationen zugreifen und welche Aktionen sie ausführen darf.
• Kryptografischer Schutz: Sicherstellen, dass Daten nur unter kontrollierten Bedingungen entschlüsselt werden können.

Mehrfaktor-Authentifizierung erschwert die missbräuchliche Anmeldung mit gestohlenen Passwörtern. Sie verhindert allerdings nicht automatisch, dass bereits authentifizierte Personen ihre Berechtigungen missbrauchen oder eine aktive Sitzung kompromittiert wird.

Bei besonders sensiblen Informationen kann deshalb zusätzlich eine Verschlüsselung einzelner Dateien, Datenbankfelder oder Datenbereiche sinnvoll sein. Entscheidend ist, dass die Schlüssel nicht jedem Benutzer zur Verfügung stehen, der lediglich Zugang zum übergeordneten System besitzt.

Aus dieser Unterscheidung folgt eine zentrale Anforderung: Unternehmen müssen nicht nur definieren, welche Daten verschlüsselt werden, sondern auch, wer sie unter welchen Bedingungen entschlüsselt nutzen darf.

Wie setzt man das Prinzip der minimalen Rechte im Unternehmensalltag um?

Das Prinzip der minimalen Rechte bedeutet, dass Mitarbeitende und Anwendungen ausschliesslich jene Berechtigungen erhalten, die sie für ihre jeweiligen Aufgaben benötigen. Unternehmen setzen es durch definierte Rollen, dokumentierte Freigabeprozesse und regelmässige Überprüfungen um. Besonders weitreichende Administrationsrechte sollten getrennt verwaltet und nur für entsprechende Tätigkeiten eingesetzt werden.

Ein rollenbasiertes Berechtigungsmodell, auch Role-Based Access Control (RBAC) genannt, ordnet Zugriffsrechte bestimmten Funktionen zu. So kann die Buchhaltung auf Finanzunterlagen zugreifen, während der Personaldienst Berechtigungen für ausgewählte Personaldaten erhält. Die tatsächliche Zuordnung richtet sich nach den betrieblichen Aufgaben und nicht allein nach Abteilungsbezeichnungen.

Der Schweizer IKT-Minimalstandard für die Lebensmittelversorgung beschreibt rollenbasierte Rechte, das Need-to-know-Prinzip sowie die Dokumentation und regelmässige Kontrolle der Berechtigungen. Obwohl dieses Dokument branchenspezifisch ist, lassen sich diese Grundsätze auch auf andere Unternehmensumgebungen übertragen.

Eine wirksame Umsetzung beginnt mit der Identifikation geschäftlicher Rollen und der zugehörigen Informationsbestände. Anschliessend wird für jede Rolle festgelegt, ob Lesen, Bearbeiten, Freigeben oder Löschen erforderlich ist.

Leserechte und Änderungsrechte sollten nicht automatisch gemeinsam vergeben werden. Wer Rechnungen prüfen muss, benötigt beispielsweise nicht zwingend die Berechtigung, Zahlungsdaten zu ändern oder Finanzunterlagen zu löschen.

Die Rollenmatrix muss zudem festhalten, welche Anwendungen entschlüsselte Daten verarbeiten dürfen. Andernfalls kann eine technische Schnittstelle mehr Informationen zugänglich machen, als die geschäftliche Rolle eigentlich benötigt.

Das Berechtigungsmodell bleibt jedoch nur dann wirksam, wenn es zur tatsächlichen Nutzung der Systeme passt und bei organisatorischen Veränderungen konsequent aktualisiert wird.

Datenverschlüsselung auf Speicher oder Transportweg: Wo liegen die Unterschiede?

Bei der Speicherverschlüsselung werden Daten geschützt, während sie auf Datenträgern, Servern oder in Cloud-Speichern abgelegt sind. Die Transportverschlüsselung sichert Informationen während ihrer Übertragung zwischen Systemen. Beide Verfahren reduzieren unterschiedliche Risiken und sollten kombiniert werden, wenn vertrauliche Unternehmensinformationen sowohl gespeichert als auch über Netzwerke ausgetauscht werden.

Der Unterschied liegt insbesondere darin, an welchem Punkt Daten entschlüsselt und verarbeitet werden können. Weder die Verschlüsselung eines Speichers noch die Absicherung einer Netzwerkverbindung garantiert, dass die Informationen innerhalb einer berechtigten Anwendung vor missbräuchlicher Nutzung geschützt sind.

In der Praxis lassen sich mehrere Speicherverschlüsselungsebenen kombinieren. Die vollständige Verschlüsselung eines Notebooks schützt das Speichermedium, während eine zusätzliche Dateiverschlüsselung vertrauliche Dokumente gezielter absichern kann.

Bei Cloud-Anwendungen ist besonders zu prüfen, wer über die Schlüssel verfügt, in welchem Verarbeitungsschritt Daten entschlüsselt werden und welche Rechte die Anwendungen anschliessend besitzen. Eine Angabe wie «verschlüsselt gespeichert» reicht für diese Bewertung nicht aus.

Der EDÖB beschreibt in seinem Leitfaden unterschiedliche Verschlüsselungsebenen und nennt als technische Beispiele unter anderem AES und ChaCha20 mit Poly1305. Die Wahl eines geeigneten Verfahrens muss jedoch auch Betriebsmodus, Schlüsselverwaltung, Implementierung und konkretes Schutzbedürfnis berücksichtigen.

Für die Übertragung vertraulicher Informationen sind zusätzlich korrekt abgesicherte Kommunikationskanäle erforderlich. Das betrifft beispielsweise Verbindungen zu Cloud-Diensten, Fernzugriffe und den Austausch mit externen Geschäftspartnern.

Ein durchgängiges Konzept betrachtet deshalb den gesamten Datenlebenszyklus: von der Erstellung über Speicherung und Übermittlung bis zur berechtigten Verarbeitung und Löschung.

Welche Zugriffsrechte werden bei Mitarbeiterwechseln besonders häufig vergessen?

Bei internen Stellenwechseln und Austritten geraten insbesondere individuell gewährte Freigaben, frühere Gruppenmitgliedschaften, Administratorrechte sowie Zugänge zu Cloud-Diensten und technischen Konten aus dem Blick. Auch aktive Sitzungen und weiterhin gültige Zugangsdaten können problematisch bleiben. Unternehmen sollten deshalb sämtliche zugeordneten Berechtigungen erfassen und bei einem Rollenwechsel unmittelbar anpassen oder entziehen.

Eine zentrale Benutzerverwaltung vereinfacht diese Aufgabe, deckt aber nicht zwangsläufig jede Berechtigung ab. Zusätzliche Freigaben können beispielsweise direkt innerhalb einer Anwendung oder eines gemeinsam genutzten Datenbereichs vergeben worden sein.

Besonders wichtig ist die Unterscheidung zwischen dem Sperren eines Benutzerkontos und dem tatsächlichen Entzug sämtlicher Zugriffsmöglichkeiten. Werden beispielsweise gültige API-Zugangsdaten, aktive Sitzungen oder unabhängig verwaltete Konten nicht berücksichtigt, können bestimmte Zugriffswege fortbestehen.

Eine systematische Prüfung sollte folgende Bereiche berücksichtigen:

• Mitgliedschaften in Benutzergruppen und projektbezogene Freigaben.
• Konten in Cloud-Anwendungen, Fachsystemen und externen Portalen.
• Administrative Sonderrechte und getrennte privilegierte Konten.
• Fernzugänge, aktive Sitzungen, Zugriffstoken und technische Zugangsdaten.
• Zugriff auf Verschlüsselungsschlüssel, Schlüsselverwaltungssysteme und vertrauliche Datenexporte.

Bei einem internen Stellenwechsel müssen nicht sämtliche Rechte entfernt werden. Entscheidend ist, die künftig erforderlichen Zugriffe mit den vorhandenen Berechtigungen abzugleichen und nicht mehr benötigte Freigaben zu entziehen.

Beim Austritt sollte der Entzug mit der Personalabteilung, den zuständigen Fachbereichen und der IT abgestimmt erfolgen. Für sensible Systeme ist ausserdem zu prüfen, ob gemeinsam verwendete Zugangsdaten oder Schlüssel aktualisiert werden müssen.

Der Schweizer IKT-Minimalstandard für die Lebensmittelversorgung empfiehlt, Benutzerkonten und Berechtigungen bei Austritten beziehungsweise Stellenwechseln unverzüglich zu sperren oder anzupassen.

Eine dokumentierte Abschlusskontrolle ist dabei aussagekräftiger als die blosse Bestätigung, dass das zentrale Benutzerkonto deaktiviert wurde.

Wann sollten Zugriffsrechte und Verschlüsselungseinstellungen neu kontrolliert werden?

Zugriffsrechte und Verschlüsselungseinstellungen sollten regelmässig sowie bei sicherheitsrelevanten Veränderungen überprüft werden. Dazu zählen Personalwechsel, neue Anwendungen, Änderungen an Cloud-Umgebungen, Sicherheitsvorfälle und Anpassungen an besonders schützenswerten Datenbeständen. Ein universelles Prüfintervall lässt sich nicht für alle Unternehmen festlegen; entscheidend sind Schutzbedarf, Systemrisiko und organisatorische Veränderungen.

Eine reine Kalenderprüfung genügt häufig nicht, weil neue Zugriffsrisiken zwischen zwei geplanten Kontrollen entstehen können. Empfehlenswert ist deshalb die Verbindung einer risikobasierten regelmässigen Kontrolle mit ereignisbezogenen Überprüfungen.

Bei der Berechtigungsprüfung sollten die verantwortlichen Fachbereiche bestätigen, ob vorhandene Freigaben noch für die jeweiligen Aufgaben benötigt werden. Die IT kontrolliert ergänzend technische Konten, privilegierte Berechtigungen und die Umsetzung der beschlossenen Änderungen.

Bei Verschlüsselungseinstellungen stehen andere Fragen im Vordergrund: Sind die vorgesehenen Datenbereiche tatsächlich verschlüsselt? Werden Schlüssel angemessen geschützt? Existieren unnötige Zugriffe auf Klartext? Funktioniert die Wiederherstellung verschlüsselter Daten unter kontrollierten Bedingungen?

Auch neue Schnittstellen, Datenexporte und Backups müssen berücksichtigt werden. Ein sicher konfigurierter Produktivspeicher bietet keinen durchgängigen Schutz, wenn Sicherungskopien oder exportierte Dateien wesentlich schwächer abgesichert sind.

Für die Kontrolle empfiehlt sich ein nachvollziehbares Prüfprotokoll. Es sollte mindestens das geprüfte System, die verantwortliche Person, die festgestellten Abweichungen und die vereinbarten Korrekturmassnahmen enthalten.

Nach einer wesentlichen Änderung sollten die Verantwortlichen ausserdem überprüfen, ob die vorgesehenen Zugriffsbeschränkungen praktisch wirksam sind. Eine dokumentierte Einstellung allein belegt noch nicht, dass unberechtigte Zugriffe zuverlässig verhindert werden.

Damit Kontrollen nicht zu formalen Routinehandlungen werden, müssen festgestellte Abweichungen bearbeitet und die vorgenommenen Korrekturen überprüfbar abgeschlossen werden.

Wie klassifiziert man Unternehmensdaten nach Schutzbedarf und Zugriffsrisiko?

Unternehmen klassifizieren ihre Daten, indem sie deren Vertraulichkeit, mögliche Folgen einer Offenlegung und den erforderlichen Personenkreis bewerten. Daraus lassen sich abgestufte Berechtigungen und geeignete Verschlüsselungsmassnahmen ableiten. Die Klassifikation muss zum tatsächlichen Risiko passen: Nicht jede interne Information benötigt dieselben Kontrollen wie besonders schützenswerte Personendaten oder vertrauliche Geschäftsunterlagen.

Ein praktikables Klassifikationsmodell unterscheidet beispielsweise öffentliche, interne, vertrauliche und besonders schützenswerte Informationen. Diese Kategorien sind ein mögliches betriebliches Modell und keine gesetzlich vorgeschriebene Einteilung aller Schweizer Unternehmensdaten.

Für jede Kategorie sollten konkrete Vorgaben festgelegt werden, etwa hinsichtlich Speicherung, Freigaben, Übertragung und Zugriff durch externe Dienstleister.

Die Tabelle beschreibt ein mögliches Schutzkonzept. Die tatsächliche Einstufung muss unter anderem berücksichtigen, welche Informationen verarbeitet werden, wer sie benötigt und welche Konsequenzen eine unberechtigte Offenlegung hätte.

Bei Personaldaten zeigt sich diese Differenzierung besonders deutlich. Nicht jedes Mitglied der Personalabteilung benötigt vollständigen Einblick in jede Mitarbeiterbeurteilung.

Die Datenschutz-FAQ des EDÖB erläutern diesen Sachverhalt und empfehlen für elektronische Mitarbeiterbeurteilungen eine Verschlüsselung sowohl bei der Speicherung als auch bei der Übermittlung.

Ein sinnvoller Klassifikationsprozess verbindet die fachliche Bewertung durch den Datenverantwortlichen mit einer technischen Umsetzung durch die IT. Die Berechtigungsregeln sollten anschliessend direkt aus dem festgestellten Schutzbedarf abgeleitet werden.

Die Klassifikation ist dabei kein einmaliger Vorgang: Ändert sich die Sensibilität eines Datenbestands oder seine vorgesehene Verwendung, müssen auch Berechtigungen und Verschlüsselungskonzept überprüft werden.

Wie erstellt man Firewall-Regeln, ohne den normalen Geschäftsbetrieb zu stören?

Firewall-Regeln lassen sich mit geringeren Betriebsrisiken einführen, wenn notwendige Kommunikationsverbindungen zuerst erfasst, Änderungen kontrolliert getestet und Auswirkungen überwacht werden. Zugelassen werden sollten nur die tatsächlich erforderlichen Verbindungen. Eine Firewall ergänzt die Verschlüsselung und Zugriffsverwaltung, ersetzt aber weder die Prüfung von Benutzerberechtigungen noch den Schutz vertraulicher Daten innerhalb einer Anwendung.

Der Ausgangspunkt ist die Dokumentation legitimer Datenflüsse. Dazu gehören beispielsweise Verbindungen zwischen Arbeitsplatzsystemen und Fachanwendungen, Kommunikationswege zu Cloud-Diensten sowie definierte Administrationszugänge.

Eine unvorbereitete Sperrung kann geschäftskritische Prozesse unterbrechen. Deshalb sollten zuständige Systemverantwortliche an der Planung beteiligt werden und notwendige Verbindungen vor einer produktiven Änderung bekannt sein.

Für eine kontrollierte Einführung empfiehlt sich folgendes Vorgehen:

1. Benötigte Kommunikationsverbindungen und ihre geschäftlichen Zwecke erfassen.
2. Bestehende Regeln auf übermässig breite Freigaben prüfen.
3. Neue Regeln in einer geeigneten Testumgebung oder einem kontrollierten Änderungsfenster validieren.
4. Auswirkungen auf Anwendungen, Fernzugriffe und definierte Schnittstellen überprüfen.
5. Änderungen dokumentieren, überwachen und bei unerwarteten Störungen anhand eines vorbereiteten Rücksetzplans korrigieren.

Besonders kritisch sind pauschale Freigaben zwischen Netzsegmenten. Sie können dazu führen, dass kompromittierte Systeme auf weitere interne Dienste zugreifen können, obwohl dies für den eigentlichen Geschäftsbetrieb nicht erforderlich ist.

Gleichzeitig darf die Netzwerksegmentierung nicht mit einer vollständigen Datenzugriffskontrolle verwechselt werden. Eine erlaubte Netzwerkverbindung sagt nichts darüber aus, ob der angemeldete Benutzer eine bestimmte vertrauliche Datei lesen darf.

Firewall-Regeln, Anwendungsberechtigungen und Verschlüsselung sollten deshalb aufeinander abgestimmt sein. Der Netzwerkschutz begrenzt Kommunikationswege, die Autorisierung kontrolliert zulässige Aktionen und die Verschlüsselung schützt die Vertraulichkeit der Informationen in den vorgesehenen Verarbeitungssituationen.

Eine erfolgreich getestete Konfiguration sollte anschliessend in die regulären Änderungs- und Sicherheitskontrollen aufgenommen werden, damit später hinzugefügte Regeln den erreichten Schutz nicht unbemerkt abschwächen.

Wie berücksichtigt Unternehmenssoftware Datenschutzrichtlinien wie die DSGVO?

Unternehmenssoftware berücksichtigt Datenschutzanforderungen, indem sie geeignete Zugriffskontrollen, Verschlüsselung, nachvollziehbare Berechtigungsprozesse und weitere risikogerechte Schutzmassnahmen unterstützt. Für Unternehmen in der Schweiz ist insbesondere das Schweizer Datenschutzgesetz relevant. Die europäische Datenschutz-Grundverordnung (DSGVO) muss zusätzlich berücksichtigt werden, soweit sie auf die jeweilige Datenbearbeitung anwendbar ist.

Weder das Schweizer DSG noch die DSGVO lassen sich allein durch die Aktivierung einer Verschlüsselungsfunktion erfüllen. Die rechtliche und technische Bewertung muss berücksichtigen, welche Personendaten verarbeitet werden, zu welchem Zweck dies geschieht und welchen Risiken betroffene Personen ausgesetzt sind.

Bei der Auswahl und Konfiguration von Unternehmenssoftware sollten Verantwortliche insbesondere folgende Funktionen prüfen:

• Differenzierte Berechtigungen: Zugriffe lassen sich auf Rollen, Aufgaben und konkrete Datenbestände begrenzen.
• Geeignete Verschlüsselung: Vertrauliche Informationen können bei Speicherung und Übertragung geschützt werden.
• Nachvollziehbarkeit: Sicherheitsrelevante Zugriffe und Änderungen können angemessen protokolliert und überprüft werden.
• Verwaltung des Datenlebenszyklus: Daten lassen sich entsprechend den geltenden Anforderungen berichtigen, löschen oder anderweitig verwalten.
• Kontrollierte Administration: Privilegierte Zugriffe und technische Schlüssel lassen sich getrennt und nachvollziehbar verwalten.

Die konkrete Eignung dieser Funktionen hängt von der Konfiguration, den organisatorischen Verfahren und dem jeweiligen Bearbeitungskontext ab. Ein Softwareprodukt ist nicht allein deshalb datenschutzkonform, weil es bestimmte Sicherheitsfunktionen anbietet.

Auch die Zusammenarbeit mit externen Dienstleistern muss berücksichtigt werden. Dazu zählen beispielsweise Cloud-Anbieter, Wartungspartner und Unternehmen, die Personendaten im Auftrag bearbeiten. Welche vertraglichen und organisatorischen Anforderungen gelten, hängt vom konkreten Sachverhalt und dem anwendbaren Datenschutzrecht ab.

Die Schweizer Datenschutzpraxis betont, dass technische Massnahmen Risiken reduzieren, aber keine absolute Sicherheit gewährleisten. Sicherheitsentscheidungen sollten deshalb dokumentiert und bei veränderten Risiken überprüft werden.

Als nächster Schritt empfiehlt sich eine Bestandsaufnahme der Systeme mit vertraulichen Daten: Für jeden Datenbestand sollten Schutzbedarf, berechtigte Rollen, eingesetzte Verschlüsselung und vorhandene Kontrollverfahren dokumentiert werden. Auf dieser Grundlage lassen sich konkrete Sicherheitslücken erkennen und priorisiert bearbeiten.