Unternehmen haben Nachholbedarf beim Datenschutz

Laut einer aktuellen Studie von Ernst & Young ist der Datenschutz in vielen Unternehmen nur mäßig entwickelt. Die berufliche und private Nutzung von technischen Geräten verschwimmt immer mehr, Datenschutzbeauftragte entwickeln sich deshalb immer mehr zu strategischen Beratern. [...]

Der Datenschutz ist in vielen Unternehmen noch unzureichend: 41 Prozent der Firmen schätzen ihren Datenschutz lediglich als mäßig entwickelt ein; und nur sieben Prozent bewerten ihren Datenschutz als gut. Das ergab die Studie „Global Information Security Survey: Fighting to Close the Gap“ der Beratungsgesellschaft Ernst & Young. Gleichzeitig plant jedoch nur knapp ein Viertel der Studienteilnehmer künftig mehr in den Datenschutz zu investieren.

„Die Technologie verändert sich rasend schnell. Dadurch ergibt sich für Unternehmen zum einen eine Vielzahl an neuen Möglichkeiten; gleichzeitig birgt dieser Wandel aber auch Risiken. Denn es ist inzwischen nur schwer möglich, mit der der hohen Geschwindigkeit technischer Entwicklungen Schritt zu halten. Haben die Firmen ihren Datenschutz an die jüngsten technologischen Veränderungen angepasst, gibt es bereits wieder technische Innovationen, die es zu berücksichtigen gilt. Deshalb müssen Unternehmen schnell und flexibel reagieren. Viele Unternehmen erkennen jedoch noch nicht den Mehrwert von Investitionen in Datenschutz. Sie sollten jedoch umgehend beginnen, diesen aktiv zu managen – andernfalls drohen vielfältige Auswirkungen für die künftige geschäftliche Entwicklung“, sagt Olaf Riedel von Ernst & Young.

In ihrem neuen Report „Privacy Trends 2013“ stellt die Beratungsgesellschaft Ernst & Young die wesentlichen, sich abzeichnenden Entwicklungen der nächsten Jahre beim Datenschutz vor. Lange Zeit mangelte es demnach vielen Unternehmen an Werkzeugen zur Netzwerküberwachung, beispielsweise Data Loss Prevention (DLP). Doch ihr Bewusstsein für die  Relevanz solcher Werkzeuge ist inzwischen gestiegen. Schließlich helfen sie dabei, Lücken im Datenschutz aufzudecken.

Aktuell stehen viele Firmen vor der Herausforderung, die enormen Kosten für die Erneuerung ihrer IT-Systeme zu stemmen. Einige Unternehmen müssten ihre komplette IT transformieren, weil es sich noch um veraltete IT-Systeme handelt, die teilweise seit den 1990er Jahre immer wieder weiterentwickelt wurden. Doch derzeit sind nur wenige Unternehmen bereit, die notwendigen Investitionen in ihre IT-Systeme auch tatsächlich zu tätigen.  

Virtuelle und mobile Arbeitsplätze stellen die Unternehmen vor neue Herausforderungen: Mitarbeiter können mittlerweile zum Beispiel selbstständig ein Upgrade für ihre mobilen Geräte ohne die IT-Abteilung durchführen. Gleichzeitig möchten die Unternehmen mit speziellen Systemen  die Daten überwachen. Dadurch geraten jedoch auch die persönlichen Mitarbeiterdaten in den Blick der IT-Sicherheitsexperten, denn viele Mitarbeiter nutzen mobile Endgeräte inzwischen sowohl dienstlich als auch privat.

„Die Grenze zwischen Arbeit und Freizeit verschwimmt immer mehr. Heutzutage sind Mitarbeiter 24 Stunden am Tag erreichbar. Die private Internetnutzung während der Arbeitszeit ist jedoch ebenfalls eine Konsequenz des digitalen Wandels. Aus diesem Grund benötigen Unternehmen eine flexible Datenschutzstrategie, die diese Bedingungen berücksichtigt“, sagt Olaf Riedel von Ernst & Young.

Der rasche digitale Wandel hat die Rolle des Datenschutzbeauftragten grundlegend verändert: Lange Zeit war er lediglich dafür zuständig, Vorschriften aufzustellen und deren Umsetzung zu kontrollieren. Doch mit der sich verändernden Technologie hat sich der Datenschutzbeauftragte zu einem strategischen Berater des Managements entwickelt. Außerdem bildet er eine Schnittstelle zwischen Datenschutzbehörden und Unternehmen. Dadurch nimmt er auch aktiv Einfluss auf die öffentlichen und politischen Debatten um den Datenschutz.

Neben Ländern folgen auch viele Wirtschaftsunternehmen den Vorschriften der EU in Sachen Datenschutz: Immer mehr internationale Unternehmen planen, die Binding Corporate Rules (BCR) der EU umzusetzen – ein Katalog von internen Regeln zum Transfer von persönlichen Informationen über Ländergrenzen hinweg innerhalb einer Organisation. Sie erhoffen sich dadurch erhebliche Erleichterungen bei internen Abläufen und eine Verbesserung des Datenschutzes.

Obwohl einige Unternehmen bereits Privacy by Design (PbD) integriert haben, fehlt es hier an rechtlichen Regelungen. PbD meint, dass schon bei der Entwicklung neuer Technologien etwaige Datenschutzprobleme identifiziert werden und der Datenschutz von Anfang an bei der Konzeption einer technischen Innovation berücksichtigt wird. „Ohne gesetzliche Vorgaben wird der PbD-Ansatz sich aber kaum durchsetzen. PbD ist jedoch ein sinnvoller Ansatz, der eindeutig geregelt sein sollte, denn er versetzt Unternehmen zum Beispiel auch in die Lage, sensibel mit den Daten ihrer Kunden umzugehen“, erläutert Riedel.