Datenintegrität langfristig sichern

Trotz der Wichtigkeit des Themas gibt es keinen allgemeinen Konsens über die Definition des Begriffs „Datenintegrität“. Dennoch ist es von entscheidender Bedeutung für Unternehmen, die Integrität elektronischer Daten während ihrer Lebensdauer und Archivierung zu sichern. In Branchen wie der Pharmaindustrie oder dem Gesundheitssektor gelten strenge Regeln für die Datenintegrität. Hier ist die Wahrung der Datenintegrität ein wesentlicher Aspekt der Compliance-Anforderungen.

So zeigt sich, dass die Datenintegrität von gesetzlichen Anforderungen und branchenspezifischen Regularien abhängig ist und ihre Definition an den Kontext, in dem Daten gespeichert werden gebunden ist.

Gesetzliche Definitionen von Datenintegrität

Definition der DSGVO:

Die Datenschutzgrundverordnung (Art 5/1f DSGVO) in Bezug auf die Speicherung von personenbezogenen Daten: „Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).“

Definition der GoBD:

Definition der GoBD (Rz. 103) über die Speicherung von steuerrelevanten Daten: „Der Steuerpflichtige hat sein DV-System gegen Verlust (z. B. Unauffindbarkeit, Vernichtung, Untergang und Diebstahl) zu sichern und gegen unberechtigte Eingaben und Veränderungen (z. B. durch Zugangs- und Zugriffskontrollen) zu schützen.“

Branchenspezifische Definitionen von Datenintegrität

Datenintegrität im Bereich Pharma & Life Sciences:

Definition der US-amerikanischen FDA (21 CFR Part 11, Electronic Records): „Datenintegrität bezieht sich auf die Vollständigkeit, Konsistenz und Genauigkeit der Daten. Vollständige, konsistente und genaue Daten sollten zuordenbar, lesbar, original oder als Kopie gleichzeitig aufgezeichnet und genau sein.“

Die FDA (Food and Drug Administration - Lebensmittelüberwachungs- und Arzneimittelbehörde der Vereinigten Staaten) nutz das ALCOA-Prinzip um einen Standard für die Datenintegrität zu definieren. ALCOA Plus (ALCOA+) erweitert diese Bedingungen um die Aspekte „Complete (vollständig), Consistent (konsistent), Enduring (langlebig) and Available (verfügbar)“. 

Da die Regulierungsbehörden immer strengere Inspektionen durchführen, ist es von entscheidender Bedeutung, die Einhaltung der Vorschriften nachweisen können. Die Parameter des ALCOA-Prinzips schaffen hier einen Maßstab für eine ganzheitliche Dokumentation, an welcher sich auch andere Branchen orientieren.

Datenintegrität im Gesundheitsbereich:

Definition des US-Ministeriums für Gesundheitspflege und Soziale Dienste (HIPAA): „Datenintegrität bedeutet, dass Daten oder Informationen nicht in unerlaubter Weise verändert oder zerstört werden.“

Datenintegrität im Finanzsektor:

Definition des Payment Card Industry Data Security Standard (PCI DSS): „Änderungen, welche die Datenintegrität stören, sind nicht autorisiert, einschließlich Änderungen, Ergänzungen und Löschungen.“

Der PCI Security Standards Council verwendet den Begriff "Dateiintegrität" anstelle von Datenintegrität. Die Definition der Dateiintegrität kann in der Definition der "Dateiintegritätsüberwachung" gefunden werden. Darin heißt es, dass Dateiintegrität Technik oder Technologie ist, unter der bestimmte Dateien oder Protokolle überwacht werden, um festzustellen, ob sie geändert werden. Weiterhin legt die PCI fest, dass Änderungen, Ergänzungen und Löschungen als nicht autorisierte Änderungen, welche die Dateiintegrität stören können, klassifiziert werden.

Die Integrität von Daten kann durch verschiedene Gefahren bedroht werden. Dazu gehören:

• Anwenderfehler: Personen können Daten versehentlich oder unbeabsichtigt löschen und Fehler bei der manuellen Eingabe oder der Verwaltung von Daten machen. Dies erhöht die Wahrscheinlichkeit von Fehlern, Duplikaten oder Löschungen. Fehler durch manuelle Eingaben können sich auf die Ausführung von Prozessen erstrecken und somit die Ergebnisse verfälschen.

• Übertragungsfehler: Innerhalb der Aufbewahrungsfristen müssen Daten oftmals mehrfach migriert werden. Dabei werden Daten von einem System auf ein anderes übertragen. Durch dieses Verschieben können Übertragungsfehler entstehen, was zur Beschädigung oder zum Verlust von sensiblen oder kritischen Daten führen kann. Beispielsweise können inhaltsbezogene und wichtige Meta-Informationen wie die Aufbewahrungsdauer, Zeitstempel oder IDs verloren gehen.

• Cyber-Attacken: Durch Cyber-Attacken kann Schadsoftware in IT-Systeme gelangen und dort Datensätze manipulieren, löschen oder verschlüsseln. Darüber hinaus kann Hardware kompromittiert werden. Oft passiert dies unbemerkt, bis Malware vom Angreifer auf dem System aktiviert oder eine Lösegeldforderung gestellt wird.

• Daten validieren: Mithilfe von Prüfsummen behalten Sie die Konsistenz von Datensätzen im Auge. Durch sogenannte Hash-Werte, die an Dateien angehängt werden, können veränderte oder beschädigte Daten identifiziert werden. Dabei sollte ein Archivsystem in der Lage sein, die Integrität der abgelegten Daten zu prüfen und zu garantieren. Eine Self-Healing Funktion kann dabei die Erkennung und Reparatur inkonsistenter Daten automatisieren.

• Daten sichern: Die Datensicherung ist eine der wichtigsten Sicherheitsmaßnahmen für eine erfolgreiche Datenintegrität, da sie vor dauerhaften Datenverlusten schützt. Backups schützen Ihr Unternehmen vor Datenverlust und Ransomware-Angriffen. Dabei sollten Sicherungen so häufig wie möglich, vor allem bei unternehmenskritischen Daten durchgeführt werden.

• Zugriffskontrollen: Unberechtigte Zugriffe und unautorisierte Änderungen können durch Zugriffs- bzw. Zugangskontrollen verhindert werden. Hier ist ein Vorgehen nach dem „Least-Privilege-Prinzip“ sinnvoll: Nur berechtigte Personen können auf den ihrem Aufgabenbereich zugehörigen Daten zugreifen.

• Fehlerquellen finden: Kommt es doch zu einem Fehler oder einer Manipulation von Daten, ist es wichtig die Quelle ausfindig zu machen und Veränderungen nachweisen zu können. Hier spielt die Dokumentation Ihrer Datenverarbeitungsprozesse eine entscheidende Rolle. Durch ein Audit-Trail können Datenintegritätsrisiken effektiv minimiert werden. Ein Audit-Trail protokolliert die verschiedenen Phasen des Lebenszyklus von Daten. Alle Vorgänge, von der Erstellung, Aufbewahrung, Wartung, Nutzung bis hin zur Löschung werden hier festgehalten. Zudem wird erfasst, welche Änderung und Arbeiten, wann und von welchem Nutzer vorgenommen wurden. Diese Informationen können die Einhaltung von Vorschriften sicherstellen und als Beweisgrundlage genutzt werden.

Ein Audit-Trail sollte folgende Merkmale aufweisen:

• Logs müssen automatisch generiert werden.
• Benutzer sollten keinen Zugriff auf Audit-Trails haben.
• Jedes Ereignis (Erstellen, Lesen, Ändern, Löschen) wird mit Zeitstempel protokolliert.
• Außerdem wird jedes Ereignis einem Benutzer zugeordnet.