Autor: Prof. Dr. Michael Meier, Inhaber des Lehrstuhls für IT-Sicherheit am Institut für Informatik der Universität Bonn, Leiter der Abteilung Cyber Security beim Fraunhofer FKIE sowie Dozent im Lernlabor Cybersicherheit
Ob bei der Entwicklung von KI, der Feststellung des Corona-Impfstatus oder dem Thema Cybersicherheit: Die Erhebung und Verarbeitung personenbezogener Daten ist in vielen Fällen notwendig, um Ziele der Datenverarbeitung zu erreichen. Dabei gilt es aber, diese Daten bestmöglich zu schützen. Beispielsweise mit Pseudonymisierung und Anonymisierung, zwei Methoden des technischen Datenschutzes. Wie beides funktioniert, lernen Teilnehmende nun im Seminar „Technischer Datenschutz in Unternehmen und Behörden“ im Lernlabor Cybersicherheit der Fraunhofer Academy.
Bei der Speicherung und Verarbeitung personenbezogener Daten, also Informationen wie Alter, Geschlecht, Name oder die Adresse eines Menschen, muss die Privatsphäre nach geltenden Anforderungen des Datenschutzes gewährleistet werden. Nichtsdestotrotz ist es in bestimmten Situationen nötig, diese Art von Daten zu verarbeiten. Beispielsweise, wenn IT-Systeme zum Zweck der Angriffserkennung beobachtet werden. Die Frage, ob potenzielle Angreifer versuchen, sich durch ein bloßes Ausprobieren verschiedener Passwort-Kombinationen Zugang zu einem IT-System zu verschaffen, lässt sich nicht beantworten, ohne das beobachtete Ausprobieren der Passwörter einem Nutzenden zuordnen zu können. Oder aber die Prüfung des Impfstatus am Arbeitsplatz: Hier ist eine namentliche Zuordnung nötig. Letztlich geht es bei diesen Fragestellungen um eine Interessenabwägung zwischen Sicherheit und Datenschutz. Wie aber lässt sich gewährleisten, dass die Daten rechtskonform verarbeitet werden? Der technische Datenschutz bietet hier die passenden Werkzeuge: Zwei Datenverarbeitungsverfahren, die Personenbezüge in den Daten schützen oder beseitigen. Je nach Situation können Behörden oder Unternehmen sich dabei der beiden Vorgehensweisen von Anonymisierung oder Pseudonymisierung bedienen.
Anonymisierung und Pseudonymisierung
Bei beiden Verfahren gilt es grundsätzlich, zur Verarbeitung personenbezogener Daten die Maxime der Datensparsamkeit anzusetzen: Wenn personenbezogene Daten erhoben werden, sollte dies ganz bewusst geschehen. Nicht alle personenbezogenen Informationen müssen bei jedem Vorgang der Datenerhebung miterfasst werden. Schließlich sollen so wenige Daten wie möglich verarbeitet werden. Darauf aufbauend folgt die Formulierung von Anforderungen an den Informationsgehalt: Was müssen die bereits pseudonymisierten Daten noch verraten?
Wie können Daten nun minimal personenbezogen so verarbeitet werden, dass möglichst wenig Information über die Betroffenen preisgegeben wird? Möglich wird dies über maßgeschneiderte Pseudonymisierung oder Anonymisierung. Beides ist mit Privacy-Enhancing-Technologies und Kryptographie umsetzbar. Bei der Anonymisierung werden die Daten so bereinigt, dass sie danach keine Rückschlüsse mehr auf eine Person zulassen. Bildlich kann man sich diesen Vorgang so vorstellen, als setzten alle Teilnehmenden einer Gruppe eine Maske auf. Die Gesichter – in dem Fall das personenbezogene Datum – sind so nicht mehr erkennbar oder einem Individuum zuzuordnen. Es entsteht eine Anonymitätsgruppe.
Bei der Pseudonymisierung hingegen wird die Zuordnung zu einer konkreten Person verborgen, aber bleibt grundlegend erhalten. Es gibt die Möglichkeit, die Zuordnung wieder herzustellen. Analog zum Gruppenbeispiel oben erhielten die Personen dann zusätzlich zur Maske stellvertretende Hinweise, beispielsweise eine Zahl. So können die Daten dahingehend sicher weiterverarbeitet werden, dass Nicht-Befugte möglichst keine Rückschlüsse mehr ziehen können und die Datenverarbeitung unter relativer Anonymität fortgeführt werden kann.
Zum Vorgehen empfiehlt sich, stets von einer Anonymisierung bei der Datenverarbeitung auszugehen und dann Schritt für Schritt zu prüfen, welche weiteren Informationsgehalte zur Verarbeitung noch fehlen. So sind Unternehmen auf der sicheren Seite.
Weiterbildung zum technischen Datenschutz
Häufig ist aber unklar, wie die Daten am besten anonymisiert bzw. pseudonymisiert werden können und welches Vorgehen sich für welche Einsatzszenarien eignet. Das Seminar des Lernlabors Cybersicherheit, „Technischer Datenschutz in Unternehmen und Behörden“, erläutert die grundlegenden Techniken. Anhand praktischer Beispiele lernen die Teilnehmenden, wie sich Anonymisierungs- und Pseudonymisierungsverfahren anwenden und nutzen lassen. Die Zielgruppe sind Fachkräfte mit einem grundlegenden technischen Verständnis, etwa Datenschutzbeauftragte oder Vertreterinnen und Vertreter der Personalabteilung – aber auch Software Developer. Umgesetzt werden die Lernziele unter anderem auch über Kryptographie wie Datensignierung oder -verschlüsselung.
Technischer Datenschutz in Deutschland
Insgesamt ist zu beobachten, dass sich in Deutschland vor allem große Unternehmen schon erste Gedanken zum Thema gemacht, aber meist nicht die optimalen Lösungen entworfen haben. Kleinen Unternehmen hingegen fehlen oft Strukturen und Personal, um das Thema strategisch aufzusetzen. Umso erfreulicher ist es, dass sich die Ampelparteien in ihrem Koalitionsvertrag zur Balance zwischen Sicherheit und Datenschutz positionieren. Die Regierung zeigt sich hier progressiv. So heißt es in dem Vertrag: „Wir fördern Anonymisierungstechniken, schaffen Rechtssicherheit durch Standards und führen die Strafbarkeit rechtswidriger De-anonymisierung ein.“ Ebenso hat der Bitkom das Whitepaper Anonymisierung und Pseudonymisierung von Daten für Projekte des maschinellen Lernens formuliert. Es bietet eine Handreichung wie sich Daten – die Herzstücke maschinellen Lernens – datenschutzkonform verarbeiten lassen. Und auch der Digitalgipfel des Bundesministeriums des Innern fasst Erkenntnisse zum Thema Anonymisierung und Pseudonymisierung in einem Whitepaper zusammen.
Das Lernlabor Cybersicherheit ist ein Weiterbildungsprogramm, in dem Experten und Expertinnen von Fraunhofer und ausgewählten Fachhochschulen aktuellste Erkenntnisse auf dem Gebiet der Cybersicherheit vermitteln. Fach-und Führungskräfte aus Industrie und öffentlicher Verwaltung können so ihre Kompetenzen zu IT-Sicherheit aktualisieren und spezialisieren. An zahlreichen Standorten in Deutschland erhalten Sie eine kompakte Qualifizierung in hochwertigen Laboren. Die Präsenzphasen der Seminare dauern nur ein bis drei Tage und sind mit Online-Angeboten ergänzt, so dass die Kurse berufsbegleitend belegt werden können.