Datenpannen durch Dateiablagen: Warum Zugriffsrechte regelmäßig geprüft werden müssen

In vielen Unternehmen wachsen Ordnerstrukturen über Jahre.

Neue Abteilungen entstehen, Beschäftigte wechseln ihre Aufgaben und zusätzliche Personen erhalten Zugriff auf bestehende Verzeichnisse.

Dabei werden Berechtigungen häufig erweitert, aber selten wieder eingeschränkt.

Ein Beispiel: Die Personalabteilung speichert eine Excel-Tabelle mit privaten Telefonnummern und Krankmeldungen in einem vermeintlich geschützten Ordner.

Tatsächlich wurde dieser Ordner inzwischen für weitere Abteilungen freigegeben.

Damit können Personen auf sensible Daten zugreifen, die diese Informationen für ihre Arbeit nicht benötigen.

Das kann bereits eine Verletzung der Vertraulichkeit personenbezogener Daten darstellen.

Ein häufiger Irrtum besteht darin, aus dem Namen eines Verzeichnisses auf dessen Sicherheit zu schließen.

Ein Ordner mit der Bezeichnung „Geschäftsführung" ist nicht automatisch nur für die Geschäftsführung zugänglich.

Entscheidend sind die tatsächlich eingerichteten Berechtigungen.

Diese sollten nach dem sogenannten Need-to-know-Prinzip vergeben werden.

Das bedeutet: Beschäftigte erhalten nur Zugriff auf Informationen, die sie für ihre Aufgaben benötigen.

Besonders wichtig ist dies bei Personalakten, Gesundheitsdaten, Kundendaten und vertraulichen Geschäftsinformationen.

Viele Unternehmen nutzen inzwischen Microsoft SharePoint oder vergleichbare Cloud-Plattformen.

Diese Systeme erleichtern die Zusammenarbeit, bringen aber ebenfalls Risiken mit sich.

Berechtigungen können beispielsweise auf unterschiedlichen Ebenen vergeben werden:

• für ganze Websites,
• für Dokumentenbibliotheken,
• für einzelne Ordner,
• für bestimmte Dateien.

Dadurch entstehen schnell unübersichtliche Berechtigungsstrukturen.

Ein versehentlich freigegebenes Dokument kann unter Umständen von deutlich mehr Personen eingesehen werden als vorgesehen.

Zusätzlich sollten Unternehmen prüfen, ob und in welchem Umfang Zugriffe protokolliert werden können.

Solche Protokolle helfen bei der Aufklärung von Datenschutzvorfällen. Ihre Einrichtung und Auswertung müssen allerdings selbst datenschutzrechtlich zulässig sein.

Ein weiteres Problem ist die fehlende Nachvollziehbarkeit von Zugriffen.

Bei klassischen Netzlaufwerken lässt sich häufig nicht zuverlässig feststellen, wer eine bestimmte Datei lediglich geöffnet oder gelesen hat.

Kommt es zu einer unzulässigen Freigabe, kann das Unternehmen deshalb möglicherweise nicht klären, ob tatsächlich jemand die Daten eingesehen hat.

Das erschwert die Bewertung einer Datenschutzverletzung.

Unternehmen müssen dann anhand der verfügbaren Informationen beurteilen, welche Risiken für betroffene Personen bestehen und ob eine Meldung nach Art. 33 DSGVO erforderlich ist.

Wir empfehlen, gemeinsame Dateiablagen und Cloud-Plattformen regelmäßig zu überprüfen.

1. Berechtigungen kontrollieren: Prüfen Sie, welche Personen und Gruppen tatsächlich Zugriff auf sensible Verzeichnisse haben.
2. Verantwortlichkeiten festlegen: Bestimmen Sie für jede wichtige Dateiablage eine zuständige Person oder Abteilung.
3. Vier-Augen-Prinzip einführen: Neue Zugriffsrechte sollten nicht ohne zusätzliche Kontrolle vergeben werden.
4. Änderungen dokumentieren: Halten Sie fest, wer Berechtigungen beantragt, genehmigt und technisch umgesetzt hat.
5. Zugriffe bei Personalwechsel anpassen: Entfernen Sie nicht mehr benötigte Berechtigungen bei Versetzungen und beim Ausscheiden von Beschäftigten.
6. Austauschordner regelmäßig leeren: Legen Sie fest, wann temporär gespeicherte Dokumente gelöscht werden müssen.
7. Mitarbeitende sensibilisieren: Erklären Sie, warum vertrauliche Dateien nicht einfach in beliebigen Ordnern gespeichert werden dürfen.

Datenschutz Prinz unterstützt Unternehmen bei der Prüfung ihrer Dateiablagen, Berechtigungskonzepte und organisatorischen Datenschutzmaßnahmen.

Dabei betrachten wir gemeinsam mit Ihrer IT, welche Zugriffsrechte erforderlich sind, wie Änderungen dokumentiert werden und welche Regeln Beschäftigte im Alltag benötigen.

Auch die Bewertung bestehender SharePoint-Strukturen und die Einführung geeigneter Lösch- und Kontrollprozesse können Teil dieser Prüfung sein.

Datenpannen durch Dateiablagen entstehen häufig nicht durch aufwendige Angriffe, sondern durch alltägliche organisatorische Fehler.

Zu viele Zugriffsrechte, fehlende Zuständigkeiten und unkontrollierte Dateifreigaben können bereits ausreichen.

Prüfen Sie deshalb regelmäßig, wer auf welche Informationen zugreifen darf.

Ein klares Berechtigungskonzept schützt personenbezogene Daten, erleichtert die Zusammenarbeit und reduziert das Risiko unnötiger Datenschutzverletzungen. 

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!

Ihr Team von Datenschutz Prinz

Quelle: BayLFD - Kurzinfo 65