Nachstehend erfolgt eine Beschreibung der wesentlichen Maßnahmen von Dlubal zur Einhaltung der Datensicherheitsvorschriften gemäß Art. 32 DS-GVO. Hierbei ist einschränkend darauf hinzuweisen, dass verständlicherweise nicht alle Sicherheitsvorkehrungen offengelegt werden können; vielmehr ist gerade im Interesse des Datenschutzes und der Datensicherheit der Verzicht auf vertrauliche und detaillierte Beschreibungen unabdingbar.
1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)
1.1 Zutrittskontrolle
Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren:
- Die Büroräume sind nur über einen zentralen Eingang erreichbar. Zugangsbereiche sind mit einer Kamera überwacht und mit Empfangspersonal besetzt. Im Falle, dass kein Empfangspersonal vorhanden ist, sind die Zugangstüren verschlossen und mit Alarmanlage gesichert.
- Die Serverräume sind zusätzlich unter ständigem Verschluss und nur für autorisiertes Personal zugänglich.
- Falls erforderlich, Fehlerbehebung in dem Dlubal-Produkt, in dem die personenbezogenen Daten gespeichert sind
- Wichtige Serversysteme außerhalb der Bürogebäude sind in einem Rechenzentrum über Multi-factor person authorization, Videoüberwachung mit Anbindung an die Polizei und gegen Terrorattacken geschützt.
1.2 Zugangskontrolle
Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können:
- Die Daten sind für Dlubal-Mitarbeiter ausschließlich im notwendigen Umfang über ein mit konfigurierbaren Rechten verwaltbares und rollenbasiertes CRM System zugänglich.
- Die Mitarbeiter besitzen rollengesteuerte Zugriffsrechte.
- Die Rechner sind über Authentifikation mit Benutzername und Passwort gesichert (Active Directory).
- Passwörter mit erhöhter Sicherheit (Zusammensetzung, Länge, Ablaufdatum).
- Externe Systeme sind über VPN-Tunnels angebunden. Nur bekannte Adressen sind über eine IP-Whitelist zugelassen. Sämtliche externe Kommunikation wird verschlüsselt.
- Die Rechnersysteme sind zentral mit Anti-Viren Software versorgt.
- Die Datennetze sind mit Firewalls gesichert.
- Auf die Serversysteme haben nur speziell autorisierte Personen Zugriff.
1.3 Zugriffskontrolle
Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können:
- Rechte: Alle Dienste nutzen das Zugriffsmodell „Deny by default“. Nur autorisierte Personen und Gruppen haben einen entsprechenden Zugang. Die Rechtematrix jedes einzelnen Services wird überwacht und kann in das Admin Panel für jeden * Service exportiert werden. Alle Rechte werden von Systemadministratoren verwaltet. Die Anzahl der Systemadministratoren ist auf ein Minimum reduziert.
- Log-Dateien: Die Network Storage Servers verfügen über Audit Logs inklusive Versionshistorie der Dateien (CRUD). Der Active Directory Server protokoliert jede Autorisierungsanfrage an Dienste im Netzwerk.
- Versionskontrollsystem: Sämtliche Daten im Netzwerk sind über VSS und BTRFS Abbilder gesichert. Datenbanken werden über stündliche Abbilder gesichert.
1.4 Trennungskontrolle
Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können:
- Physikalisch getrennte Speicherung auf gesonderten Systemen oder Datenträgern
- Erstellung eines Berechtigungskonzepts
- Verschlüsselung von Datensätzen, die zu demselben Zweck verarbeitet werden
- Versehen von Datensätzen mit Zweckattributen/Datenfeldern
- Festlegung von Datenbank-Rechten
- Logische Trennung der Kundendaten nach Zuständigkeit und Funktion
1.5 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)
Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechenden technischen und organisatorischen Maßnahmen unterliegen:
Sofern für die jeweilige Datenverarbeitung möglich, werden die primären Identifikationsmerkmale der personenbezogenen Daten in der jeweiligen Datenanwendung entfernt, und gesondert aufbewahrt.
2 Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
2.1 Eingabekontrolle
Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind:
- Protokollierung der Eingabe, Änderung und Löschung von Daten
- Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen
- Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts
- Dokumentenmanagement
2.2 Weitergabekontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können:
- Der E-Mail Server benutzt das Sender Policy Framework (SPF), um eine nicht autorisierte Nutzung unserer Domains zu verhindern. Der E-Mail Empfänger kann so überprüfen, ob die E-Mail von einem autorisierten Server stammt.
- E-Mails werden mit DKIM Signaturen signiert um die Authentizität sicherzustellen.
- Sensible E-Mails können zusätzlich durch End-zu-End Verschlüsselung verschlüsselt werden.
- FTP und VPN Dienste arbeiten mit SSL/TLS Verschlüsselung.
3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)
3.1 Verfügbarkeitskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind:
- Backup- & Recoverykonzept
- Unterbrechungsfreie Stromversorgung (USV)
- Festplattenspiegelung
- Verwendung von RAID-Systemen
- BTRFS und ReFS Dateisysteme zur Fehlererkennung und Korrektur und zur Vermeidung von verborgenem Datenverlust
- High Availability Clusters und Spiegelung der Daten und Dienste über mehrere Standorte
- Backup von Internet Anschlüssen und Routern um lange Ausfallzeiten zu vermeiden
- ECC Memory an allen Servern um Speicherfehler, Datenänderungen und -verlust zu erkennen
- Microsoft System Data Protection Manager – agent auf jedem Server installiert
- Mindestens tägliches Backup über DPM Storage
- Windows Backup + iSCSI LUNs
- Wichtige Services werden von Netzwerktools überwacht und melden ausfallende Dienste, Ausfallzeiten, DoS and DDosS Angriffe
- Gesicherter Serverraum
- Schutzsteckdosenleisten in Serverraum
- Regelmäßige Überprüfung der Elektro-Ausstattung durch Fachfirma
- Feuer- und Rauchmelder, Feuerlöschgeräte
- Notfallpläne und Krisenmanagement
- Firewall mit Antivirus und Eindringerkennung, Schutz und Prävention (AV/IDS/IDP, Zywall Security Gateway)
- ESET Mail Security for Exchange zur Absicherung des E-Mail-Servers gegen Spam, Viren, Ransomware, Scam, etc.
- ESET Security Antivirus auf allen Computern als Endpunkt User Schutz mit ESET Remote Administration Console
- ClamAV opensource Antivirus zum Schutz der Netzwerkserver und Speicher
- Regelmäßige Systemupdates gemanagt über WSUS
- Active Directory Group Policy für alle Computer
3.2 Wiederherstellbarkeit
Maßnahmen, welche die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen nach einem physischen oder technischen Zwischenfall rasch wiederherstellen: Sämtliche Daten werden durch regelmäßige Backups gegen Verlust gesichert. Verschiedene Tools erlauben, diese Daten bei physischen oder technischen Zwischenfällen mit geringstmöglichen Aufwand wiederherzustellen. Als spezifische Maßnahmen sind zu nennen:
- Backup- & Recoverykonzept
- Mindestens tägliches Backup über DPM Storage
- Windows Backup + iSCSI LUNs
4 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS-GVO)
4.1 Datenschutz-Management
- Mitarbeiterschulungen im Datenschutz
- Verpflichtung der Beschäftigten zum vertraulichen Umgang mit personenbezogenen Daten
- Benennung eines Datenschutzbeauftragten
- Richtlinien für Beschäftigte zum Umgang mit personenbezogenen Daten
- Führen eines Verzeichnisses von Verarbeitungstätigkeiten i.S.d. Art. 30 Abs. 1 und 2 DSGVO
- Implementierung eines Datenschutzmanagementsystems
4.2 Auftragskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers im Sinne von Art. 28 DS-GVO verarbeitet werden können:
- Eindeutige Vertragsgestaltung
- Formalisiertes Auftragsmanagement
- Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten
- Schriftliche Weisungen an den Auftragnehmer durch Auftragsdatenverarbeitungsvertrag
- Verpflichtung des Auftragnehmers zur Vertraulichkeit
- Laufende Überprüfung des Auftragnehmers und seiner Tätigkeiten
