DSVGO Compliance: Datensicherheit und Blockchain Technologie

424% mehr registrierte Einbrüche von Hackern in Datenbanken von kleineren und mittelständischen Unternehmen im Jahre 2018  im Vergleich mit 2017, meldet eine Studie.

217’000 Datensätze von persönlichen Informationen (wie z.B. das Alter, das Geschlecht und die Kreditkartennummer von Kunden oder Mitarbeitern) wurden 2018 im Schnitt pro erfolgreichem Einbruch eines Hackers gestohlen (siehe auch Tweet unten).

2018: 424% mehr Sicherheitsvorfälle als 2017. Die Sicherstellung von Datenschutz wird immer schwieriger.

Die Problematik oben zeigt, dass Hacker immer dreister werden und wir uns vermehrt anstrengen müssen, damit unsere Daten sicher sind. Um die Datenschutz-Grundverordnung, kurz DSGVO, richtig einzusetzen, braucht das Unternehmen Folgendes:

• gemäss Art. 47 DSGVO eine verbindliche interne Datenschutzvorschrift, welche Mitarbeiter unterschreiben müssen, sowie
• gemäss Art. 35 DSGVO eine Datenschutz-Folgeabschätzung, in der die Wahrscheinlichkeit eines Datenlecks erörtert werden muss, und die Folgen für die betroffenen Personen haben analysiert werden müssen.

Die Wichtigkeit dieser Aktionen zeigt der Fall vom 5. September 2018. Da entdeckte British Airways, dass wegen eines Fehlers auf dem Webserver ein Hacker am 18. Aug. 2018 380’000 Datensätze geklaut hatte. Angaben wie Kreditkartennumer, Namen der Kunden wie auch Postadresse waren Teil der Datenbeute bei diesem erfolgreichen Hacker-Angriff.

Da half es auch nicht unbedingt, dass die Fluggesellschaft das am 8. September der Britischen Datenschutzaufsichtsbehörde gemeldet hatte. Es war zu spät für die geschädigten Kunden. Die Daten waren bereits seit 3 Wochen in den Händen der Kriminellen. Mehrere Banken entschlossen sich daraufhin, den British Airways Kunden die betroffene Kreditkarte zu ersetzen.

Blockchain kann helfen, die Datensicherheit zu erhöhen.

Blockchain kann helfen, die Datensicherheit zu erhöhen.

In der obigen Sektion haben wir aufgezeigt, dass Benutzerinformationen und -daten gespeichert, jedoch absichtlich oder unbeabsichtigt falsch gehandhabt oder unberechtigt von Hackern eingesehen werden. Diese Problematik stellt eine Bedrohung für die Privatsphäre von jedem Einzelnen dar. Fast jeden Monat berichtet die Presse über einen grösseren Fall.

Deshalb drängen zur Zeit viele Experten auf die weite Verbreitung der Blockchain-Technologie, eine dezentrale, transparente und unveränderliche Datenbankstruktur. Sie soll helfen die Privatsphäre, den Datenschutz und das Dateneigentum der Benutzer zu verbessern. Ein interessanter Artikel von Martin Eckert (2018-12-06): Auch Blockchain-Projekte unterliegen dem Datenschutz.

Asymmetrische Kryptografie (Verschlüsselung)

Die Idee der öffentlichen Blockchain ist es, dass alle stattfindende Transaktion veröffentlicht werden. Jede wird dabei einem öffentlichen Schlüssel von einem bestimmten Benutzer zugeordnet. Dabei wird die asymmetrische Verschlüsselung verwendet. Diese hat zwei verschiedene Schlüssel. Der eine wird für die Verschlüsselung gebraucht (der öffentliche Schlüssel des Empfängers oder Public Key), der andere Schlüssel für die Entschlüsselung (privater Schlüssel oder Private Key).

Dieses Schlüsselpaar hängt über einen mathematischen Algorithmus eng zusammen. Daten, die mit dem öffentlichen Schlüssel verschlüsselt sind, können nur mit dem privaten Schlüssel entschlüsselt werden. Der private Schlüssel dient der Signatur bzw. Bestätigung von Transaktionen: Ohne Signatur ist die Transaktion ungültig. So kann jede Transaktion eindeutig einem Nutzer zugeordnet werden, obwohl dieser nur unter Pseudonym im Netzwerk auftritt.

Wenn ich also Daten verschlüsselt an jemanden senden will, benötige ich den öffentlichen Schlüssel dieser Person. Mit diesem verschlüssle ich die Daten und sende diese an den Empfänger oder Kunden. Diese Daten können vom Empfänger nur mit Hilfe seines privaten Schlüssels geöffnet werden, d.h. nur der Besitzer dieses privaten Schlüssels – der richtige Empfänger – kann die Daten entschlüsseln. Für alle anderen Personen ist die Datei nicht lesbar.

Der Schlüssel ist verschlüsselt, sodass niemand, der die Blockchain sieht, in der Lage ist, die Person oder das Unternehmen, welches die Person vertritt, direkt zu identifizieren. Nichtsdestotrotz ermöglicht die Wiederbenutzung des öffentlichen Schlüssels die Person unter Bezugnahme ihres öffentlichen Schlüssels hervorzuheben. Selbst wenn sie nicht direkt identifiziert werden kann, können Transaktionsmuster erstellt werden.

Der öffentliche Schlüssel, wenn er mit der Person verbunden ist, wird wahrscheinlich von der Rechtsprechung in Sachen DSGVO als personenbezogene Daten eingestuft werden. Um diese Problematik zu lösen, veröffentlichen einige Blockchain-Technologien den öffentlichen Schlüssel nicht. Dies macht dann die DSGVO-Compliance möglich. Interessante Erklärungen dazu in Hogan Lovells Report (S. 17).

Dabei kann z.B. für jede Transaktion ein neuer öffentlicher Schlüssel mit demselben privaten Schlüssel generiert werden. Die Zuordnung zwischen privaten Schlüssel und Transaktionsschlüssel wird den anderen Teilnehmern nie mitgeteilt. Das bedeutet, die anderen Teilnehmer können nur den öffentlichen Schlüssel für die vorliegende Transaktion (z.B. ein Kauf eines Produktes) sehen. Hier kann kein Transaktionsmuster erstellt werden, sodass DSGVO Regeln oder Schutz der Privatsphäre besser gehandhabt wird. Dieser Ansatz wird z.B. von Hyperledger Fabric genutzt.

Mit dem privaten und dem öffentlichen Schlüssel Transaktionen sichern.

Verteilte Ledger-Technologien werden gemeinsam als Blockchain bezeichnet. Blockchain ist eine dezentrale Datenbank, die alle Transaktionen zwischen den Teilnehmern des Systems verfolgt. Mehrere Transaktionen werden zusammen in einem sogenannten Block gespeichert. Diese sind mit anderen Blöcken in chronologischer Reihenfolge entsprechend ihrem Zeitstempel verbunden.

Kennen Sie Beispiele von erfolgreichen Umsetzungen von einer dezentralen, transparenten und unveränderlichen Datenbankstruktur, kurz Blockchain? Haben Sie eine Frage zum Thema Blockchain oder Cryptocurrency, die ich ihnen vielleicht beantworten kann? Ich freue mich auf Ihre Kommentare! Natürlich beantworte ich diese gleich persönlich.