Pressemeldung - Security-Regeln sind bei Datenverlust außer Kraft gesetzt

Hamburg, Wien - 29. Juli 2016

Immer wieder erhalten wir Datenrettungsfälle, die bevor sie unser Labor erreichen bereits mysteriöse Wege genommen haben – manchmal sogar über mehrere Kontinente. Das Kuriose daran: oft wissen die Kunden nicht einmal etwas davon! Dubiose „Datenrettungsanbieter“ senden defekte Datenträger ihrer Kunden ins europäische und nicht-europäische Ausland, um dort bei Dritt-Anbietern eine Datenrettung durchführen zu lassen. Oft müssen unsere Techniker leider bei der Erstanalyse feststellen, dass die Datenträger ohne Reinraumbedingungen und teils sogar ohne korrekte Schraubenzieher (z.B. bei Torx-Schrauben) geöffnet wurden. Staub und Fingerabdrücke auf Magnetscheiben gehören da zur erschreckenden Tagesordnung. Deshalb haben wir im Folgenden einige Tipps, wie Sie den Super-Gau nach dem Gau vermeiden können:

Security-Policies

Größere Unternehmen verfügen über ausgefeilte Security-Policies und Prozessbeschreibungen vom Backup bis zur Datenwiederherstellung. Was dabei aber häufig unter den Tisch fällt, sind Notfallpläne für den Fall der Fälle: wenn sich defekte Datenträger nicht hausintern wiederherstellen lassen und der Gang zum Datenretter erforderlich wird. Bei kritischen Systemausfällen werden oft plötzlich zentrale Security-Regeln außer Acht gelassen und in Windeseile Server, RAID-Systeme oder Festplatten mit hochsensiblen Informationen an externe Dienstleister übergeben – ohne dass diese im Vorfeld auf Sicherheit geprüft wurden. Neben der teilweisen fraglichen Qualität der Anbieter bleibt noch das Risiko des Datendiebstahls.

Datendiebe zapfen Dritte an

Wie bereits oben erläutert, schicken einige Datenrettungsanbieter defekte Medien an Recovery-Labore im benachbarten Ausland, ohne ihre Kunden explizit darüber in Kenntnis zu setzen. Organisierte Datendiebe zapfen aber nicht selten Quellen über Dritte in Insider-Branchen an. Wenn auf diesem Weg Daten verloren gehen oder entwendet werden, hat das Unternehmen den doppelten Schaden. Denn es kommt auch noch das Haftungsrisiko hinzu. Laut Datenschutzgesetz haftet der Eigentümer dann voll für seine Informationen, wenn er es verabsäumt, die ’sichere Datenverarbeitung‘ durch seinen Dienstleister vorab zu prüfen. De facto fordert das DSG damit die Durchführung von Dienstleister-Audits.

Recovery-Partner in die Policy

Vor allem Banken, Health-Care- und Forschungsunternehmen mit sensiblen Daten, aber auch Systemhäuser und KMUs nutzen verstärkt die Möglichkeit, gemeinsam mit einem Datenrettungsunternehmen Notfallpläne für den Ernstfall auszuarbeiten. Ein wesentlicher Punkt dabei ist, dass der Datenrettungspartner schon auditiert wird bevor eine Katastrophe eintritt. Somit werden Panikentscheidungen vermieden, die – wie wir es leider oft erleben – bei Datenverlust getroffen werden. Abgesehen vom Datenschutz muss man auch bedenken, dass man oft nur eine Chance für eine erfolgreiche Datenrettung hat. Wir empfehlen daher, die Auswahl des Datenrettungspartners konsequenterweise in die Security-Policy zu integrieren.