Protokollierung datenschutzgerecht gestalten

daten 35
Fachbeitrag

Die Pflicht zur Protokollierung ist nicht nur eine datenschutzrechtliche Anforderung, sondern ergibt sich auch aus der IT-Sicherheit. Sowohl bei selbstprogrammierten Applikationen als auch bei der Beschaffung fremder IT-Systeme sollte auf diese Funktionalität geachtet werden. Der folgende Artikel erläutert, welche datenschutzrechtlichen Aspekte bei der Systemprotokollierung zu beachten sind.

Protokollierung / Logfiles / Loggen

Bei der Protokollierung wird jede Aktivität (z.B. Lesen, Ändern, Kopieren, Löschen) zusammen mit weiteren Informationen wie Zeitpunkt und Anwender aufgezeichnet. Der Informatiker verwendet in diesem Zusammenhang gerne auch die Ausdrücke: „Protokolldateien“, „Logdaten“ oder „Logfiles“. Dabei werden drei Protokollarten unterschieden:

  1. Aktivitäten der IT-Systeme selbst (meist zur Systemüberwachung)
  2. Aktivitäten der Administratoren (z.B. bei Installation, Konfiguration, Änderungen von Hardware und Software)
  3. Aktivitäten der Anwender

Inhalt und Umfang der Protokolldateien

Anhand der Protokolldateien muss verifiziert werden können, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat. Der Inhalt der Protokolldateien richtet sich dabei in erster Linie am Schutzbedarf der verarbeiteten Daten, der Risikobewertung und den Kontrollzweck. Werden sensible und kritische Systeme bzw. Daten genutzt und verarbeitet, so ist ein höherer Maßstab anzuwenden.

Unabhängig hiervon besteht aber grundsätzlich die Anforderung, dass der Inhalt für die Verifizierung von Systemfehlern und auch Manipulationen oder unbefugten Aktivitäten möglich sei soll. Daneben muss aber auch der Grundsatz der Erforderlichkeit beachtet werden, so dass nur Daten aufgezeichnet werden dürfen, die zur Erfüllung des Protokollierungszweckes erforderlich sind (Protokollierung auf Vorrat ist unzulässig).

Eine Protokolldatei sollte insbesondere folgende Angaben enthalten:

  • wer (Authentifizierung)
  • wann (Zeitstempel)
  • welche Aktivität (Dateneingabe und -modifikation)
  • an welchen Daten.

Zweckbindung und Auswertung

Protokolldaten dürfen zum Zwecke der Datenschutzkontrolle, der Datensicherung oder zur Sicherung eines ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage aufgezeichnet werden (§ 31 BDSG). Die Protokolldaten müssen darüber Auskunft geben können, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat, um z.B. Manipulationen aufdecken zu können. Vor Beginn der erstmaligen Protokollierung muss also festgelegt werden, zu welchen Zweck die Protokollierung erfolgt. Dabei sollte die Begründung nicht pauschal (z.B. „Sicherungszweck“), sondern so detailgenau wie möglich erfolgen (z.B. Aufdecken und Analyse von System-Schwachstellen sowie deren Beseitigung).

Protokolldateien sollten regelmäßig in einem bestimmten Turnus (z.B. einmal im Monat) stichprobenartig ausgewertet werden, wobei möglichst eine automatisierte Auswertung zum Einsatz kommen sollte. Zusätzlich dürfen die Protokolle anlassbezogen ausgewertet werden. Insbesondere bei der anlassbezogenen Auswertung und Auswertung personenbezogener Daten ist zu beachten, dass diese gegebenenfalls nach dem Vier-Augen-Prinzip erfolgen sollte und zu dokumentieren ist.

Ganz wichtig ist es zu beachten, dass Protokolldateien nicht zur Verhaltens- und Leistungskontrolle der Beschäftigten ausgewertet werden dürfen (§ 31 BDSG).

Löschung von Protokolldateien

Protokolldateien dürfen nur solange gespeichert werden, wie sie für den vorgesehenen Zweck benötigt werden. Deswegen müssen auch die Löschfristen vor Beginn der Protokollierung festgelegt werden. Da keine gesetzliche Regelung zu Löschfristen existiert, ist eine Orientierung an der Erforderlichkeit zur Zweckerfüllung ratsam. Wie lange die Protokolldaten aufbewahrt werden dürfen, hängt also von dem festgelegten Zweck ab und kann auch mit dem  Auswertungs-Turnus korrespondieren.

Im Normalfall sollten die Daten aber spätestens nach 6 Monaten gelöscht werden (ähnlich wie bei § 15 Abs. 7 TMG geregelt). Daneben sollten aber auch weitere gesetzliche Anforderungen beachtet werden, die eventuell eine längere Speicherdauer rechtfertigen können.

Datenschutzrechtliche Anforderungen

Bei der Beschaffung von IT-Systemen aber auch bei bereits vorhandenen IT-Systemen sollte der Datenschutzbeauftragte bei seiner Prüfung auch die ordnungsgemäße Protokollierung im Auge behalten. Die folgende Checkliste gibt eine Übersicht, was dabei zu beachten ist:

1. Erstellen eines Protokollierungskonzeptes mit folgenden Punkten:

  • Zweck der Protokollierung
  • Inhalt und Umfang
  • Auswertung (wann durch wen, 4-Augen-Prinzip, typische Szenarien)
  • Löschfristen
  • Rollen und Berechtigungskonzept
  • Zuständigkeiten für das Controlling der Ordnungsmäßigkeit

2. Pseudonymisierung bzw. Anonymisierung personenbezogener Daten, wenn möglich

  • Einsatz einer Auswertungssoftware
  • Wahl eines gängigen Formates der Protokolldateien
  • Technische Maßnahmen zum Schutz vor Manipulation von Protokolldateien (z.B. separater Protokollserver)
  • Technische Maßnahmen zum Schutz vor unberechtigten Zugriff
  • Einsatz von Verschlüsselungstechniken (z.B. wenn Protokolldateien mit personenbezogenen Daten übermittelt werden)
  • Berücksichtigung bei der Vorabkontrolle
  • Prüfung der Involvierung des Betriebsrates
  • Testverfahren: Testen der ordnungsgemäßen Protokollierung
  • Regelmäßige Kontrolle und Anpassung

Sie haben Fragen?

Unsere Berater helfen Ihnen dabei, den Umgang mit personenbezogenen Daten in Ihrem Unternehmen rechtssicher und praxisgerecht zu gestalten. Dabei unterstützen wir Sie u.a. bei folgenden Themen:

  • Aufbau, Optimierung und Überprüfung der IT-Sicherheit nach anerkannten Standards
  • Vorbereitung auf eine Zertifizierung nach ISO 27001 oder IT-Grundschutz
  • Stellung von externen IT-Sicherheitsbeauftragten

Informieren Sie sich hier über unser Leistungsspektrum: IT-Sicherheit

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.