Selektion statt Sammelwut

Ordnungsmerkmale

erschienen in: <kes> 2004^#4, Seite 3

Der wohl größte Teil der heute üblichen Logfiles auf Firewalls und Internet-Servern dürfte nach den strengen Anforderungen des Datenschutzes als ordnungswidrig gelten (s. S. 65) – viel zu viel Personenbezogenes (allem voran IP-Nummern) wird viel zu lange protokolliert. Ließe sich ohne allumfassende Protokolle die Informations-Sicherheit wirklich nicht gewährleisten, weil man Geschehnisse nicht nachvollziehen kann? Oder führt nicht auch die Überfülle der Protokolldaten oft genug dazu, gar nichts nachzuvollziehen? Nur etwa ein Drittel der Teilnehmer an der <kes>/Microsoft-Sicherheitsstudie (s. S. 6) prüft zum Beispiel regelmäßig Logfiles von Betriebssystem oder Web-/E-Commerce-Applications an der Grenze zum Internet...

Betrachtet man einige Hauptforderungen des Datenschutzes einmal ohne den Generalverdacht der Behinderung, so klingen sie fast wie ein Wunschzettel des Sicherheitsbeauftragten: Es sollen nur so viele Daten anfallen, wie wirklich zur Bedrohungsanalyse notwendig sind, und diese sollen schnell und planvoll ausgewertet werden. Anders ausgedrückt: möglichst wenig Ballast, sowohl mengenmäßig als auch über die Zeit. Die Wünsche der Datensparsamkeit und Sicherheit kommen zusammen – sofern die Selektion stimmt.

Hier liegt naturgemäß die Schwierigkeit: Woher weiß man "vorher", was morgen – oder schlimmer: nächsten Monat – für die Analyse wichtig ist? Wo akzeptierter Umfang oder Zeitfenster der Datenschützer nicht ausreichend erscheinen, sollte man eine Anonymisierung erwägen, um das "Ordnungswidrigkeitsrisiko" auszuschalten, schließlich geht es immer um den Personenbezug. Ganz grob gesagt: keine IP – kein Datenschutzproblem.

Ein Ansatz könnte das Ersetzen personenbezogener Daten durch kryptographische Hash-Werte sein (vgl. <kes> 2000#5, S. 6): Einträge "unbescholtener Besucher" bleiben anonymisiert (ergo beliebig speicherbar), weil ein Rückrechnen der IP aus dem Hash nicht möglich ist. Bei konkretem Verdacht ließe sich aber eine auffällige IP-Nummer aus dem aktuellen "Klartext-Log" hashen und dann in den "entpersonalisierten Archiven" prüfen, welche Aktivitäten sie bereits zuvor entwickelt hat.

Und dennoch: Klingt "mehr Durchblick durch weniger Daten" nicht nach einem Ziel, für das sich ein paar Tage Konzeptarbeit lohnen könnten?

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2004^#4, Seite 3