Datenaufbewahrung / Archivierung

Bei unseren Pentests und Security Audits begegnen uns immer wieder massive Datensammlungen. Speicher kostet heutzutage fast nichts mehr und man weiss ja nie, was man zukünftig noch gebrauchen kann.

Diese Datensammlungen haben zwei Probleme. Zum einen sind sie meist eine gesetzliche Grauzone oder gänzlich Verboten und zum anderen sind sie ideale Ziele für Ransomware-Gangs.

In diesem Blog möchten wir kurz die gesetzlichen Pflichten zur Datenhaltung erläutern, sowie unsere Empfehlung zur Archivierung und Löschung geben.

Gesetzliche Pflichten und Verantwortlichkeit

Die meisten geschäftsrelevanten Daten müssen zehn Jahre aufbewahrt werden. Je nach Branche oder Art der Daten gibt es Vorgaben die eine längere Aufbewahrungspflicht verlangen. Es gibt jedoch nicht nur Pflichten Daten zu Archivieren, sondern auch die Pflichten Daten zu Löschen. Das neue Datenschutzgesetz schreibt zum Beispiel vor, dass das Horten von Daten ohne klaren und unmittelbaren Zweck verboten ist.

Die wichtigsten gesetzlichen Pflichten:

• Vorschriften zum Datenschutz: DSG Art. 6, Art. 8 sowie DSGVO Art. 5
• Archivierungspflicht: GeBüV Art. 5
• Handelsrechtliche Pflichten: OR Art. 957
• Steuerrechtliche Pflichten: DBG (Bundesgesetz über die direkte Bundessteuer) Art. 125-126, Sozialversicherung-Rechte, AHVG Art. 68

Verantwortlich, dass diese Pflichten eingehalten werden, ist die Geschäftsleitung sowie der Verwaltungsrat.

Empfehlungen zum archivieren und löschen

Nachdem die zu archivierenden Daten die vorgenannten Anforderungen erfüllen, können diese archiviert werden.

Unsere Empfehlungen zum Archivieren: :

• Die Daten sollten verschlüsselt abgespeichert werden.
• Zugriff zum Archiv einschränken, sowohl physisch und logisch mit Benutzerrechten.
• Zugriff auf das Archiv protokollieren.
• Die Daten, wenn möglich auf WORM-Datenträgern archivieren, so kann sichergestellt werden, dass keine Änderungen / Fremd-Verschlüsselung vorgenommen werden kann.
• Müssen gewisse Daten im Archiv doch noch änderbar sein, muss jede Änderung protokoliert werden. Die Daten mit Signaturen sichern.
• Das Archiv ist kein Backup und keine Datensicherung.

Ist die Aufbewahrungspflicht erloschen, müssen diese gelöscht werden. Auch wenn die Aufbewahrungspflicht erloschen ist, gilt bei vielen Dokumenten die Geheimhaltungspflicht weiterhin, dies muss beim Löschen / Entsorgen der Datenträger berücksichtigt werden.

Unsere Empfehlungen zum Löschen / Entsorgen von Daten:

• Die Entsorgung sowie das Löschen müssen überwacht und protokolliert werden.
• Standards für das Schreddern von Datenträgern oder Papier müssen eingehalten werden.
• Bei verschlüsselten Datenträgern genügt es nicht die Private-Keys zu löschen. Die Datenträger müssen vernichtet oder so oft formatiert werden, dass garantiert keine Wiederherstellung der Daten möglich ist.