Glossar / Lexikon

English: IT Security and Data Protection / Español: Seguridad Informática y Protección de Datos / Português: Segurança da TI e Proteção de Dados / Français: Sécurité Informatique et Protection des Données / Italiano: Sicurezza Informatica e Protezione dei Dati

IT-Sicherheit und Datenschutz sind zwei zentrale Säulen der modernen digitalen Infrastruktur, die sowohl für Unternehmen als auch für Privatpersonen von existenzieller Bedeutung sind. Während die IT-Sicherheit (auch Informationssicherheit) den Schutz von Systemen, Netzwerken und Daten vor unbefugtem Zugriff oder Manipulation umfasst, regelt der Datenschutz den rechtlichen Rahmen für die Verarbeitung personenbezogener Daten. Beide Disziplinen ergänzen sich, unterscheiden sich jedoch in Zielsetzung und Methodik.

Allgemeine Beschreibung

IT-Sicherheit (engl. IT Security) bezeichnet die Gesamtheit aller Maßnahmen, die dazu dienen, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in informationstechnischen Systemen zu gewährleisten. Hierzu zählen technische Lösungen wie Firewalls, Verschlüsselungsalgorithmen (z. B. AES-256 nach NIST-Standard) oder Intrusion-Detection-Systeme (IDS), aber auch organisatorische Prozesse wie Zugriffskontrollen oder regelmäßige Sicherheitsaudits. Ein zentrales Prinzip ist das Defense-in-Depth-Konzept, bei dem mehrere Schutzebenen redundant implementiert werden, um Angriffe abzuwehren.

Datenschutz (engl. Data Protection) hingegen ist primär eine rechtliche Materie, die durch Gesetze wie die Datenschutz-Grundverordnung (DSGVO, EU 2016/679) oder das Bundesdatenschutzgesetz (BDSG) in Deutschland geregelt wird. Sein Fokus liegt auf dem Schutz personenbezogener Daten – also aller Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Kernprinzipien sind hier Datenminimierung, Zweckbindung und die Betroffenenrechte (z. B. Auskunfts- oder Löschansprüche). Während die IT-Sicherheit technische Angriffe abwehrt, stellt der Datenschutz sicher, dass Daten nur rechtmäßig verarbeitet werden.

Die Schnittmenge beider Bereiche wird als Privacy by Design (PbD) bezeichnet: Ein Ansatz, bei dem Datenschutz bereits in der Entwicklungsphase von IT-Systemen integriert wird (vgl. Art. 25 DSGVO). Ein Beispiel ist die Pseudonymisierung von Daten, die sowohl die Sicherheit erhöht als auch datenschutzrechtliche Anforderungen erfüllt. Beide Disziplinen sind dynamisch und müssen ständig an neue Bedrohungen – wie etwa Quantencomputing (Bedrohung für aktuelle Verschlüsselung) oder KI-gestützte Angriffe – angepasst werden.

Rechtliche Grundlagen

Der Datenschutz basiert auf einem komplexen Geflecht internationaler, europäischer und nationaler Vorschriften. Die DSGVO (seit 2018 anwendbar) harmonisiert die Regeln innerhalb der EU und sieht bei Verstößen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO) vor. In Deutschland wird sie durch das BDSG ergänzt, das spezifische Regelungen für öffentliche Stellen oder besondere Datenkategorien (z. B. Gesundheitsdaten) enthält. Für kritische Infrastrukturen (KRITIS) gelten zusätzlich branchenspezifische Gesetze wie das IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0), das Betreiber von Energieversorgern oder Krankenhäusern zu erhöhten Sicherheitsstandards verpflichtet.

Im Bereich der IT-Sicherheit sind Normen wie die ISO/IEC 27001 (Informationssicherheits-Managementsysteme) oder der IT-Grundschutz des BSI (Bundesamt für Sicherheit in der Informationstechnik) maßgeblich. Diese definieren Anforderungen an Risikomanagement, Notfallpläne oder physischen Schutz (z. B. Zutrittskontrollen zu Rechenzentren). Für Unternehmen, die Daten in Drittländer transferieren, sind zudem Mechanismen wie die EU-Standardvertragsklauseln (SCC) oder das (ehemalige) Privacy Shield-Abkommen relevant – letzteres wurde 2020 vom EuGH für ungültig erklärt (Schrems-II-Urteil, Rs. C-311/18).

Technische Maßnahmen

Zu den grundlegenden technischen Maßnahmen der IT-Sicherheit zählen:

• Verschlüsselung: Symmetrische (AES) oder asymmetrische Verfahren (RSA, ECC) schützen Daten während der Übertragung (TLS/SSL) und Speicherung. Die Schlüssellänge sollte mindestens 256 Bit betragen, um gegen Brute-Force-Angriffe resistent zu sein.
• Authentifizierung: Mehrfaktor-Authentifizierung (MFA) kombiniert z. B. Passwörter mit biometrischen Merkmalen oder Hardware-Tokens (z. B. YubiKey).
• Netzwerksicherheit: Firewalls (Stateful Inspection), VPNs (z. B. OpenVPN mit AES-256-GCM) und Segmentierung von Netzwerken (VLANs) begrenzen die Angriffsfläche.
• Endpoint-Schutz: Antiviren-Software (heuristische Analyse), EDR-Lösungen (Endpoint Detection and Response) und regelmäßige Patch-Management-Prozesse.

Datenschutztechnisch relevant sind Tools wie Data Loss Prevention (DLP)-Systeme, die unerlaubte Datenexfiltration verhindern, oder Privacy Enhancing Technologies (PETs), z. B. differenzielle Privatsphäre (Differential Privacy) für anonyme Datenanalysen. Für Websites ist die Einhaltung der ePrivacy-Richtlinie (Cookie-Hinweise) und die Implementierung von Do-Not-Track-Mechanismen Pflicht.

Anwendungsbereiche

• Unternehmen: Compliance mit DSGVO/BDSG, Schutz von Geschäftsgeheimnissen (Know-how nach § 2 Nr. 1 GeschGehG) und Kundenstammdaten. Branchen wie Finanzdienstleister (BaFin-Anforderungen) oder Gesundheitswesen (elektronische Patientenakte, ePA) unterliegen besonders strengen Vorgaben.
• Öffentliche Verwaltung: Umsetzung des E-Government-Gesetzes (z. B. sichere digitale Bürgerdienste) und Schutz kritischer Infrastrukturen (KRITIS-Verordnung). Beispiele sind das Meldewesen oder die digitale Akte in Behörden.
• Privatpersonen: Schutz vor Identitätsdiebstahl (Phishing, Social Engineering), sichere Nutzung sozialer Medien und Verschlüsselung privater Kommunikation (z. B. Signal-Protokoll mit Double Ratchet-Algorithmus).
• IoT und Industrie 4.0: Absicherung vernetzter Geräte (z. B. Smart Home) gegen Botnetze (wie Mirai) oder Sabotage in industriellen Steuerungssystemen (ICS/SCADA).

Bekannte Beispiele

• DSGVO-Bußgelder: Gegen Amazon (746 Mio. €, 2021) und Meta (Facebook) (1,2 Mrd. €, 2023) wegen unverhältnismäßiger Datenverarbeitung und mangelnder Transparenz (Art. 5, 6 DSGVO).
• Cyberangriffe: Der Ransomware-Angriff auf Colonial Pipeline (2021) legte die Treibstoffversorgung der US-Ostküste lahm; die Lösegeldforderung betrug 4,4 Mio. USD in Bitcoin.
• Datenschutz-Skandale: Cambridge Analytica nutzte 2016 unrechtmäßig Facebook-Daten von 87 Mio. Nutzern für politische Mikrotargeting-Wahlkampfstrategien.
• Sicherheitsstandards: Das BSI zertifiziert IT-Produkte nach Common Criteria (z. B. für verschlüsselte USB-Sticks oder Router).

Risiken und Herausforderungen

• Komplexität der Bedrohungslage: Zero-Day-Exploits (unbekannte Schwachstellen), Advanced Persistent Threats (APTs) oder Supply-Chain-Angriffe (wie SolarWinds, 2020) erfordern proaktive Abwehrstrategien.
• Rechtliche Unsicherheit: Divergierende nationale Umsetzungen der DSGVO (z. B. in Frankreich vs. Deutschland) und unklare Regelungen zu KI-Trainingsdaten (Web Scraping).
• Technologische Lücken: Quantencomputer könnten aktuelle Verschlüsselung (RSA/ECC) brechen; post-quantum-kryptografische Algorithmen (z. B. Kyber, Dilithium) sind noch nicht flächendeckend eingesetzt.
• Menschlicher Faktor: Über 80 % der Sicherheitsvorfälle gehen auf Fehler wie schwache Passwörter oder erfolgreiche Phishing-Angriffe zurück (Quelle: Verizon DBIR 2023).
• Kosten-Nutzen-Konflikt: KMUs scheuen oft Investitionen in Sicherheitsinfrastruktur, obwohl die durchschnittlichen Kosten eines Datenlecks 4,45 Mio. USD betragen (IBM Cost of a Data Breach Report 2023).

Ähnliche Begriffe

• Informationssicherheit (InfoSec): Oberbegriff, der IT-Sicherheit, physische Sicherheit (z. B. Serverraum-Zutritt) und organisatorische Maßnahmen (z. B. Schulungen) umfasst.
• Cybersicherheit: Fokussiert auf die Abwehr digitaler Angriffe in Netzwerken und Systemen; Teilmenge der IT-Sicherheit.
• Compliance: Einhaltung gesetzlicher und interner Richtlinien (z. B. DSGVO, PCI-DSS für Zahlungskarten).
• Privacy (Datenschutz): Rechtlicher Schutz personenbezogener Daten; im englischen Sprachraum oft synonym mit Data Protection.
• Operational Technology Security (OT-Sicherheit): Schutz industrieller Steuerungssysteme (z. B. in Kraftwerken), die oft veraltete Protokolle (Modbus, DNP3) nutzen.

Zusammenfassung

IT-Sicherheit und Datenschutz sind untrennbar miteinander verknüpft, verfolgen jedoch unterschiedliche Ziele: Während die IT-Sicherheit technische Angriffe abwehrt, stellt der Datenschutz die rechtmäßige Verarbeitung personenbezogener Daten sicher. Beide Bereiche unterliegen einer rasanten Entwicklung – getrieben durch neue Technologien wie KI oder Quantencomputing, aber auch durch strengere Regularien wie die DSGVO. Unternehmen und Privatpersonen müssen proaktiv handeln, um sich vor finanziellen, reputativen und rechtlichen Risiken zu schützen. Zentrale Herausforderungen bleiben die Bewältigung komplexer Bedrohungen, die Sensibilisierung der Nutzer und die Balance zwischen Sicherheit, Datenschutz und praktischer Umsetzbarkeit. Langfristig wird der Erfolg davon abhängen, ob es gelingt, Sicherheit by Design und by Default in allen digitalen Prozessen zu verankern.

--