Verarbeitung personenbezogener Daten zum Schutz gegen Cyber-Angriffe

Die aktuelle Cybersicherheitslage ist nunmehr seit Jahren bereits extrem angespannt, und Cyber-
Angriffe sowie der Umgang mit diesen gehört zuweilen zum täglichen Brot der Unternehmen ebenso
wie der öffentlichen Verwaltung. Dies ist nicht länger nur mehr den Fachinformationsquellen wie dem
jährlichen Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik zu entnehmen,
sondern ist ebenso immer wieder Bestandteil der Berichterstattung in den den allgemeinen Medien.
Stetig treten neue Angriffsvektoren auf und reift das Portfolio der Angreifer von Phishing-Kampagnen
über sog. DDoS-Angriffe bis hin zu der derzeit operativ größten Gefährdung, der sog. Ransomware. Der
Fokus der Angreifer reicht hierbei von Datenexfiltrationen und sich anschließenden Erpresserszenarin
bis hin zur Störung oder sogar dem Ausfall von Prozessabläufen.
So vielfältig wie die Angriffszanarien sind, so breitgeächert ist ebenfalls der Kanon potenzieller
Sicherheitsmaßnahmen seitens der Verantwortlichen. Hierzu zählt der Betrieb von Data-Loss-
Prevention-Systemen und/oder Intrusion Detection Systemen, Security Information and Event
Management Systeme (SIEM-Systeme) oder aber die Logfile-Analyse zur Detektion und Prävention
von möglichen Angriffen auf IT-Systeme. Ebefalls ist ein Incident Response System in Betracht zu
ziehen. Die Vielzahl der Maßnahmen bedingt zum Teil eine umfassende Verarbeitung
personenbezogener Daten. In unterschiedlicher Intensität werden Datenströme erfasst, überwacht
und anschließend ausgewertet.
In diesem Buch wird der Frage nachgegangen, in welchem Rahmen die Verarbeitung personenbezogener
Daten zum Schutz gegen Cyber-Angriffe datenschutzrechtlich zulässig ist. Die jeweiligen
Sicherheitsmaßnahmen können nicht grenzenlos gewährleistet werden und dürfen nur unter Beachtung
der datenschutrechtlichen Grundsätze durchgeführt werden. Im Kern ist zu bestimmen, auf welche Rechtsgrundlage zurückgegriffen werden kann. Hierfür wird der aktuelle Streitstand der datenschutzrechtlichen Zulässigkeit von Maßnahmen der Cybersicherheit aufgeworfen und kritisch analysiert.