System im Einsatz
SOC und SIEM datenschutzkonform betreiben
Ein System zur Auswertung sicherheitsrelevanter Ereignisse verarbeitet in großem Umfang Daten über das Verhalten von Beschäftigten, und zwar als Nebenwirkung seines Zwecks. Damit treffen zwei Interessen aufeinander, nämlich die Sicherheit des Betriebs und der Schutz vor einer Verhaltenskontrolle. Beide lassen sich vereinbaren, wenn die Auswertung an ein festgelegtes Verfahren gebunden wird.
Was das System verarbeitet
Ein SIEM sammelt Ereignisse aus Servern, Netzkomponenten, Anwendungen und Endgeräten. Der weit überwiegende Teil dieser Ereignisse hat einen Personenbezug, weil sie an einem Konto hängen.
Typische Datenquellen und ihr Personenbezug
Liste zu erledigender Punkte
- Anmeldungen und fehlgeschlagene Anmeldeversuche, mit Konto, Zeit und Ort
- Zugriffe auf Dateien und Datenbanken, mit Konto und Gegenstand
- Netzverbindungen von Endgeräten, mit Zieladresse und Dauer
- Ereignisse aus Endgeräteschutz, einschließlich ausgeführter Programme
- Ereignisse aus Anwendungen, häufig mit fachlichem Inhalt
Die letzte Zeile ist die, die am häufigsten unterschätzt wird. Ereignisse aus Fachanwendungen können Inhalte enthalten. Damit gelangen Daten in das System, die dort nicht gebraucht werden.
Die Punkte, an denen es hängt
Mitbestimmung
Ein SIEM kann Verhalten erfassen und unterliegt damit § 87 Abs. 1 Nr. 6 BetrVG. Die Beteiligung gehört an den Anfang, denn die Regelung der Auswertung ist zugleich die Regelung der Zulässigkeit.
Fristen
Kurze Fristen senken das Risiko einer Verhaltenskontrolle und erschweren die Aufklärung eines Vorfalls. Eine gestufte Lösung löst diesen Widerspruch besser als ein Kompromiss in der Mitte.
Wer auswertet
Die Auswertung im Regelbetrieb ist maschinell. Eine gezielte Auswertung zu einer Person sollte an ein Verfahren gebunden sein, das eine zweite Person einbezieht und dokumentiert wird.
Externer Betrieb
Bei einem SOC als Dienstleistung sind Standort, Zugriff und Befugnisse zu regeln. Ein Zugriff aus einem Drittland wäre als Übermittlung zu bewerten.
Was sich einstellen ließe
Am wirksamsten ist die Auswahl der Quellen. Was nicht in das System gelangt, muss weder aufbewahrt noch geschützt noch gelöscht werden. Die Auswahl lässt sich vor der Einführung treffen.
Der schwierigste Punkt ist die Frist, weil zwei Anforderungen in verschiedene Richtungen ziehen.
Kurz, gestuft oder lang aufbewahren
| Merkmal | Kurz, zwei Wochen | Gestuft | Lang, sechs Monate |
|---|---|---|---|
| Angriff erkennen | reicht meistens | spricht in dieser Zeile dafürreicht | reicht |
| Angriff aufklären | oft zu kurzEin Angriff bleibt häufig Wochen unentdeckt. Wer dann nur zwei Wochen vorhält, kann den Weg des Angreifers nicht mehr nachvollziehen und den Vorfall nicht abschließend melden. | spricht in dieser Zeile dafürreicht | reicht |
| Risiko der Verhaltenskontrolle | spricht in dieser Zeile dafürgering | gering für den RegelbestandLange vorgehalten wird nur ein eingeschränkter Bestand, etwa Anmeldungen und sicherheitsrelevante Ereignisse ohne Inhaltsdaten. Damit bleibt der auswertbare Teil klein. | hoch |
| Aufwand | spricht in dieser Zeile dafürgering | Regeln je Quelle | Speicher |
| Gegenüber dem Betriebsrat | leicht zu vertreten | erklärbar | schwer |
Die gestufte Frist löst den Widerspruch besser als ein Kompromiss in der Mitte, weil sie die Menge und nicht nur die Dauer begrenzt. Sie kostet allerdings Regeln je Datenquelle. Diese entstehen nicht von selbst.
Dazu kommen zwei weitere Festlegungen. Ein Verfahren für die gezielte Auswertung mit Vieraugenprinzip und Protokoll sowie ein ausdrücklicher Ausschluss der Leistungskontrolle. Beide gehören in dieselbe Unterlage wie die Fristen, weil sie zusammen die Grundlage für den Betrieb bilden.
Häufige Fragen
Welche Rechtsgrundlage passt?
Für den Betrieb kommt Art. 6 Abs. 1 Buchst. f DSGVO in Verbindung mit Art. 32 DSGVO in Betracht, weil die Sicherheit der Verarbeitung eine gesetzliche Aufgabe ist. Für die Auswertung im Verdachtsfall kommt daneben § 26 Abs. 1 Satz 2 BDSG in Betracht. Für die dauerhafte Ausgestaltung kommt eine Betriebsvereinbarung in Betracht.
Wie lange dürfen Protokolle aufbewahrt werden?
Eine feste Frist gibt es nicht. Für die Erkennung genügen häufig Wochen, für die Aufklärung eines Vorfalls können Monate nötig sein. Vertretbar erscheint eine gestufte Frist mit kurzer Vorhaltung für den Regelbetrieb und längerer Aufbewahrung eines eingeschränkten Datenbestands.
Was gilt bei einem externen SOC?
Der Dienstleister ist in der Regel Auftragsverarbeiter. Es braucht einen Vertrag nach Art. 28 DSGVO. Zu klären wären zusätzlich der Standort der Auswertung, der Zugriff auf Inhaltsdaten und die Frage, welche Befugnisse der Dienstleister im Ernstfall hat.
Weitere Fragen aus diesem Bereich
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.