Daten zählen zu den begehrtesten Gütern weltweit. Sie werden von Organisationen jeder Art und Größe erzeugt und gesammelt – und von ebenso unterschiedlichen kriminellen Akteuren gezielt ausgespäht und gestohlen. Damit sind Daten ein besonders wertvolles Asset. Der Datenzugriff ist entscheidend, um den Wert von Daten nutzbar zu machen und sie vor unbefugter Nutzung zu schützen.
Was ist Datenzugriff?
Unter Datenzugriff versteht man die Möglichkeit, dass Benutzer (Personen oder Systeme) Daten bei Bedarf aus digitalen Systemen abrufen, ändern, kopieren und zwischen Systemen verschieben können. Das gilt unabhängig davon, ob sich die Daten in Bewegung oder im Ruhezustand befinden und wo sie gespeichert sind. Zum Datenzugriff gehören zudem Sicherheitsprotokolle, die steuern, wer und was bestimmte Daten nutzen darf und wie sie verwendet werden können.
Richtlinien für den Datenzugriff helfen, typische Herausforderungen im Datenmanagement zu bewältigen, zum Beispiel:
- Zuweisen und Durchsetzen von Berechtigungen und Einschränkungen für den Datenzugriff
- Verwalten von Datenzugriffskontrollen
- Überwachen des Datenzugriffs
Drei grundlegende Prinzipien für den Datenzugriff sind in der CIA-Triade festgehalten. Wer die drei Komponenten so ausbalanciert, dass sowohl Benutzerfreundlichkeit als auch Sicherheitsanforderungen erfüllt werden, schafft die Grundlage für optimalen Datenzugriff:
- Vertraulichkeit
Der Datenzugriff ist auf autorisierte Benutzer beschränkt. - Integrität
Datenzugriffsoperationen dürfen die Datenintegrität nicht beeinträchtigen, indem Verluste oder Fehler zugelassen werden. - Verfügbarkeit
Der Datenzugriff sollte für autorisierte Benutzer nahtlos und zeitnah möglich sein.
Datenzugriff umfasst eine Vielzahl von Systemen, Technologien und Prozessen, darunter:
- Programmierschnittstellen (APIs), die den Datenzugriff zwischen Software ermöglichen
- Daten-Repositories (z. B. Datenbankmanagementsysteme, Data Warehouses, Data Lakes, Festplatten und Magnetband) zum Speichern und Abrufen von Daten
- Datensicherheitssysteme und -protokolle zur Verhinderung unbefugter Zugriffe
- Datenanalyse-Tools zur Verarbeitung von Daten und Bereitstellung von Erkenntnissen
Grundsätzlich wird zwischen zwei Formen des Datenzugriffs unterschieden: Direktzugriff (Random Access) und sequenzieller Zugriff.
- Direktzugriff (Random Access)
Daten werden von einer beliebigen Position auf einem Speichermedium abgerufen, ohne sie sequenziell zu durchsuchen. Beispiele: Festplatten, CD-Brenner, DVDs sowie RAM. - Sequenzieller Datenzugriff
Die Daten werden über eine Suchoperation auf dem Speichermedium weiterbewegt, bis die benötigten Informationen gefunden sind. Die Daten werden in festgelegter Reihenfolge gelesen. Ein typisches Beispiel ist Magnetband.
Anforderungen und Standards für den Datenzugriff festlegen
Anforderungen und Standards für den Datenzugriff werden vor allem durch interne Sicherheitsprotokolle sowie durch regulatorische Vorgaben und Best Practices bestimmt. Zu den Regelwerken, die Kontrollen für den Datenzugriff vorschreiben, zählen die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union sowie der California Consumer Privacy Act (CCPA). Darüber hinaus beschreibt das National Institute of Standards and Technology (NIST) Best Practices und Leitlinien für Datenzugriffskontrollen.
Folgende Best Practices sollten bei der Festlegung von Anforderungen an den Datenzugriff berücksichtigt werden:
- Umfassende Sicherheitsrichtlinien definieren und durchsetzen
- Daten schützen: im Ruhezustand und bei der Übertragung verschlüsseln
- Netzwerkzugriffskontrollen etablieren
- Starke Authentifizierung vorschreiben
Im Folgenden finden Sie zentrale Aspekte für die Entwicklung und Umsetzung von Richtlinien und Kontrollen für den Datenzugriff. Die konkrete Ausgestaltung variiert je nach Organisation. Unabhängig vom gewählten Ansatz empfiehlt es sich, Programme für den Datenzugriff flexibel zu gestalten, damit veränderte Rahmenbedingungen und Anwendungsfälle zuverlässig abgedeckt werden.
Datenkategorisierung
Damit die passenden Datenzugriffskontrollen auf Informationen angewendet werden, müssen diese kategorisiert werden. Die vier Hauptkategorien von Daten sind:
- Personenbezogene Daten (PII)
Sensible Informationen über Personen, z. B. Sozialversicherungsnummer, Reisepassnummer und Führerscheinnummer. - Sensible Geschäftsinformationen
Informationen, die einer Organisation schaden würden, wenn sie veröffentlicht oder von Dritten erlangt werden, etwa geistiges Eigentum und Geschäftsgeheimnisse. - Informationen mit geringem Risiko
Daten, deren Verlust kein Sicherheitsrisiko darstellt, z. B. anonymisierte Kundendaten oder öffentlich verfügbare Informationen. - Systemgenerierte Daten
Informationen, die Systeme automatisch erzeugen, z. B. Netzwerkprotokolle und Fehlerberichte.
Bewertung der Compliance-Anforderungen
Richtlinien für den Datenzugriff müssen die jeweils geltenden regulatorischen Anforderungen berücksichtigen, darunter:
- Lokale Gesetze (z. B. CCPA)
- Bundesgesetze (z. B. Health Insurance Portability and Accountability Act, HIPAA)
- Branchenvorschriften (z. B. Payment Card Industry Data Security Standard, PCI-DSS)
- Internationale Gesetze (z. B. DSGVO)
Datenzentralisierung
Ein zentralisierter Datenstrukturansatz vereinfacht und optimiert die Verwaltung des Datenzugriffs. Werden alle Daten in einem zentralen Repository gespeichert, etwa in einem Datenbankmanagementsystem oder einem Data Warehouse, sind sie leichter zugänglich und lassen sich besser vor unbefugtem Zugriff schützen.
Rollenbasierter Zugriff
Beim rollenbasierten Zugriff werden Zugriffsrechte anhand definierter Kriterien vergeben, etwa nach Stellenbezeichnung und Abteilung. Mehr dazu im Artikel zu attributbasierter Zugriffskontrolle.
Überwachung und Protokollierung der Datennutzung
Datenzugriff sollte überwacht und dokumentiert werden, um Transparenz und Nachvollziehbarkeit sicherzustellen. Protokolle unterstützen zudem Audits und die Analyse von Sicherheitsvorfällen.
Warum Datenzugriff notwendig ist
Datenzugriff ist aus vielen Gründen unverzichtbar, unter anderem aus den folgenden.
Treiber für Innovation
Datenzugriff liefert Unternehmen die Informationen, die sie benötigen, um neue Produkte und Services zu entwickeln, bestehende Angebote zu verbessern und durch das Erkennen neuer Chancen zu wachsen.
Grundlage für Erkenntnisse aus der Datenanalyse
Zuverlässiger Datenzugriff hilft Unternehmen, Daten für Analysen zu nutzen, die Trends, Muster und Erkenntnisse sichtbar machen. Das bildet die Basis für datengetriebene Entscheidungen.
Wettbewerbsvorteil für Unternehmen
Je breiter der Datenzugriff, desto tiefgreifender sind die Erkenntnisse, die sich gewinnen lassen. Das verschafft Unternehmen einen Wettbewerbsvorteil. Datengestützte Erkenntnisse helfen dabei, sich schneller und wirksamer an Veränderungen anzupassen sowie Bedarfe frühzeitig zu erkennen und gezielt darauf zu reagieren.
Steigerung der operativen Effizienz
Datenzugriff kann die operative Effizienz verbessern, indem Informationen leichter und schneller verfügbar werden, Prozesse verschlankt und die Produktivität gesteigert wird.
Unterstützung bei gesetzlicher und regulatorischer Compliance
Vorgaben zum Datenzugriff sind in vielen Gesetzen und Vorschriften verankert. Mit der Umsetzung von Datenzugriffskontrollen stellen Sie sicher, dass diese Anforderungen erfüllt werden.
Warum Datenzugriff wichtig ist
- Ermöglicht datenbasierte Entscheidungen und fördert Innovation durch Erkenntnisse aus der Datenanalyse
- Verbessert die Zusammenarbeit durch einheitlichen Datenzugriff
- Gewährleistet Vertraulichkeit, Integrität und Verfügbarkeit der Daten
- Erleichtert Audits
- Steigert die operative Effizienz
- Macht Daten für die Wiederverwendung in verschiedenen Anwendungsfällen verfügbar
- Bildet die Grundlage für prädiktive Künstliche Intelligenz (KI)
- Verhindert unbefugten Datenzugriff
- Liefert Details dazu, was wann mit Daten gemacht wurde
- Beschränkt den Datenzugriff auf autorisierte Benutzer
- Unterstützt die Einhaltung regulatorischer Vorgaben (z. B. DSGVO, HIPAA und PCI-DSS)
Datenzugriff macht aus Information ein aktives Asset
Die Bedeutung und der Wert von Daten sind unbestreitbar und kaum zu beziffern. Für viele Organisationen sind sie das wichtigste Asset. Ohne Datenzugriff bleiben sie jedoch ein unübersichtlicher Bestand an Informationen ohne echte Wirkung.
Datenzugriff macht Informationen nutzbar, für Menschen ebenso wie für Systeme. Je schneller und flexibler der Datenzugriff erfolgt, desto stärker entfalten sich Wirkung und Leistungsfähigkeit der Daten. Damit steigt auch ihr Wert.
