Verarbeitung personenbezogener Daten zum Schutz gegen Cyber-Angriffe

Die aktuelle Cybersicherheitslage ist nunmehr seit Jahren bereits extrem angespannt, und Cyber- Angriffe sowie der Umgang mit diesen gehört zuweilen zum täglichen Brot der Unternehmen ebenso wie der öffentlichen Verwaltung. Dies ist nicht länger nur mehr den Fachinformationsquellen wie dem jährlichen Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik zu entnehmen, sondern ist ebenso immer wieder Bestandteil der Berichterstattung in den den allgemeinen Medien. Stetig treten neue Angriffsvektoren auf und reift das Portfolio der Angreifer von Phishing-Kampagnen über sog. DDoS-Angriffe bis hin zu der derzeit operativ größten Gefährdung, der sog. Ransomware. Der Fokus der Angreifer reicht hierbei von Datenexfiltrationen und sich anschließenden Erpresserszenarin bis hin zur Störung oder sogar dem Ausfall von Prozessabläufen. So vielfältig wie die Angriffszanarien sind, so breitgeächert ist ebenfalls der Kanon potenzieller Sicherheitsmaßnahmen seitens der Verantwortlichen. Hierzu zählt der Betrieb von Data-Loss- Prevention-Systemen und/oder Intrusion Detection Systemen, Security Information and Event Management Systeme (SIEM-Systeme) oder aber die Logfile-Analyse zur Detektion und Prävention von möglichen Angriffen auf IT-Systeme. Ebefalls ist ein Incident Response System in Betracht zu ziehen. Die Vielzahl der Maßnahmen bedingt zum Teil eine umfassende Verarbeitung personenbezogener Daten. In unterschiedlicher Intensität werden Datenströme erfasst, überwacht und anschließend ausgewertet. In diesem Buch wird der Frage nachgegangen, in welchem Rahmen die Verarbeitung personenbezogener Daten zum Schutz gegen Cyber-Angriffe datenschutzrechtlich zulässig ist. Die jeweiligen Sicherheitsmaßnahmen können nicht grenzenlos gewährleistet werden und dürfen nur unter Beachtung der datenschutrechtlichen Grundsätze durchgeführt werden. Im Kern ist zu bestimmen, auf welche Rechtsgrundlage zurückgegriffen werden kann. Hierfür wird der aktuelle Streitstand der datenschutzrechtlichen Zulässigkeit von Maßnahmen der Cybersicherheit aufgeworfen und kritisch analysiert.