Aufbewahrungspflicht und Unveränderlichkeit von Daten – HYCU erklärt den Unterschied

©Akela999/Pixabay

Aufbewahrungspflicht und Unveränderlichkeit tauchen häufig in denselben Diskussionen über Datenschutz und Compliance auf – sie hängen zwar zusammen, sind aber nicht austauschbar
 
Wenn Unternehmen eine Backup- oder Cyber-Resilience-Lösung evaluieren, kann die Verwendung des falschen Begriffs falsche Erwartungen wecken. Ein Produkt kann zur Datenarchivierung für rechtliche Zwecke dienen, Daten für einen festgelegten Zeitraum vor Löschung oder Manipulation schützen – oder beides leisten. Das ist jedoch nicht dasselbe, und die beiden Begriffe als austauschbar zu behandeln, kann zu Verwirrung führen.

HYCU, Anbieter im Bereich Multi-Cloud- und SaaS-basierter Data Protection as a Service erklärt den Unterschied zwischen Aufbewahrungspflicht und Unveränderlichkeit von Daten:
 
Was ist Aufbewahrungspflicht?
 
Aufbewahrungspflicht ist eine Aufbewahrungskontrolle, die darauf ausgelegt ist, bestimmte Daten für rechtliche, regulatorische, ermittlungsbezogene oder Personalangelegenheiten verfügbar zu halten. Wenn Daten unter Aufbewahrungspflicht gestellt werden, werden sie so aufbewahrt, dass sie nicht gelöscht und in den gängigen Lösungen auch nicht verändert werden können. Das Ziel ist es, relevante Daten für einen bestimmten Zeitraum aufzubewahren.

Normalerweise unterliegen Backup-Daten Aufbewahrungsrichtlinien und verfallen planmäßig. Die Aufbewahrungspflicht setzt dieses Verhalten außer Kraft. Sie weist das System an, bestimmte Daten aufzubewahren, auch wenn diese bei einer Standardaufbewahrung sonst gelöscht würden. In vielen Produkten bleibt die Aufbewahrungspflicht bestehen, bis ein autorisierter Administrator sie aufhebt, und läuft nicht einfach von selbst ab.

Die Aufbewahrungspflicht kommt zum Einsatz, wenn ein Unternehmen bestimmte Daten aufbewahren muss, da diese für eine noch offene oder ungelöste Angelegenheit relevant sein könnten. Häufige Szenarien sind Rechtsstreitigkeiten und anhängige Klagen, interne Untersuchungen, Beschwerden im Personalwesen oder Disziplinarangelegenheiten sowie behördliche Anfragen/Prüfungen. Weitere Szenarien sind Compliance-Prüfungen, Whistleblower-/Betrugsuntersuchungen, Streitigkeiten über geistiges Eigentum und Vertragsstreitigkeiten.
Der rote Faden ist einfach: Das Unternehmen muss sicherstellen, dass relevante Daten aufbewahrt werden, bis die Angelegenheit geklärt ist und die Aufbewahrungsanordnung bewusst aufgehoben wird.

Was ist Unveränderlichkeit?
 
Unveränderlichkeit hingegen ist ein Konzept des Datenschutzes und der Datenspeicherung, das bedeutet, dass Daten für einen definierten Zeitraum nicht verändert oder gelöscht werden können. Im Gegensatz zur rechtlichen Aufbewahrungspflicht, die fallbezogen ist, ist Unveränderlichkeit meistens regelbasiert. Sie wird typischerweise auf Speicher-, Tresor-, Repository- oder Objektebene durchgesetzt, um Backup-Daten manipulationssicher zu machen.

Anbieter implementieren Unveränderlichkeit im Allgemeinen auf eine von zwei Arten: Bei einem weniger strengen Modell wird die Unveränderlichkeit zwar durchgesetzt, aber ein Administrator mit ausreichenden Berechtigungen kann sie dennoch außer Kraft setzen oder aufheben. Bei einem strengeren Modell kann niemand, auch keine Administratoren, die Sperre umgehen, bevor die Aufbewahrungsfrist abgelaufen ist.

Die Terminologie der Anbieter variiert, doch dieses Muster findet sich auf vielen Backup- und Objektspeicher-Plattformen wieder. Unveränderlichkeit und WORM werden oft als Synonyme behandelt, obwohl sie nicht identisch sind. WORM steht für „Write Once, Read Many“ (einmal schreiben, oft lesen) und ist eine der bekanntesten Methoden, um Unveränderlichkeit durchzusetzen. Mit anderen Worten: Jeder WORM-Speicher ist unveränderlich, doch nicht jedes als unveränderlich bezeichnete Produkt nutzt WORM, um Unveränderlichkeit zu erreichen.

Unveränderlichkeit wird am häufigsten zum Schutz vor Ransomware eingesetzt, da Angreifer sich nicht auf Produktionsdaten beschränken. Oft haben sie es auch auf Backups abgesehen. Sind Backup-Daten unveränderlich, kann ein Angreifer sie vor Ablauf der Aufbewahrungsfrist nicht ohne Weiteres verschlüsseln, verändern oder löschen.

Unveränderlichkeit ist auch nützlich, wenn ein Unternehmen Backups vor böswilligen Insidern schützen, versehentliches Löschen durch Administratoren verhindern oder feste Aufbewahrungsfristen durchsetzen sowie Compliance- und Aufbewahrungspflichten erfüllen möchte. Sie wird auch genutzt, um eine manipulationssichere Kopie kritischer Daten zu erhalten, die Cyber-Recovery-Fähigkeit zu stärken oder nachzuweisen, dass geschützte Backup-Daten nicht verändert wurden. Ebenso ermöglicht es Unveränderlichkeit, eine stärkere Trennung zwischen der Aufbewahrung von Backups und den täglichen Verwaltungsaufgaben zu schaffen.
Kurz gesagt geht es bei der Unveränderlichkeit darum, geschützte Daten während eines Aufbewahrungszeitraums schwer oder unmöglich manipulierbar zu machen.

Der einfachste Weg, den Unterschied zu verstehen
 
Sowohl Aufbewahrungspflicht als auch Unveränderlichkeit können die Compliance unterstützen. Sie tun dies jedoch auf unterschiedliche Weise. Die Aufbewahrungspflicht unterstützt die fallspezifische Aufbewahrung im Zusammenhang mit Rechtsstreitigkeiten, Untersuchungen, Personalangelegenheiten, Audits oder behördlichen Anfragen. Unveränderlichkeit unterstützt manipulationssichere Aufbewahrung, Datenintegrität und Kontrollen zur Verhinderung der Löschung geschützter Daten.

Beide Maßnahmen können verhindern, dass Daten gelöscht werden, aber sie beantworten unterschiedliche Fragen. Bei der Aufbewahrungspflicht lautet die Frage: „Sollten diese spezifischen Daten aufbewahrt werden, weil sie sich auf eine rechtliche, ermittlungsbezogene, personalbezogene oder Compliance-Angelegenheit beziehen?“ Bei der Unveränderlichkeit hingegen: „Wie verhindern wir technisch, dass diese Daten geändert, gelöscht oder manipuliert werden?“

Aufbewahrungspflicht und Unveränderlichkeitskontrollen lösen unterschiedliche Probleme. Zu wissen, welche Lösung ein Unternehmen benötigt und wann es beide benötigt, hilft dabei, Produkte genauer zu bewerten und eine stärkere Datenschutzstrategie zu entwickeln. Dieses Verständnis ist wichtig, wenn die Evaluierung einer Backup- oder Cyber-Resilience-Lösung ansteht.

Aufbewahrungspflicht und Unveränderlichkeit in HYCU R-Cloud
 
HYCU R-Cloud bietet sowohl Aufbewahrungspflicht als auch Unveränderlichkeit für eine breite Palette geschützter Workloads – darunter mehr als 95 SaaS-Anwendungen. Aufbewahrungspflicht kann in der Benutzeroberfläche auf bestimmte Backup-Daten angewendet werden, wodurch es einfacher wird, Daten zu bewahren, die für rechtliche, investigative, HR-, Audit- oder Compliance-Anforderungen wichtig sind. In Kombination mit dem Bring-Your-Own-Storage-Modell (BYOS) behalten Kunden die Kontrolle darüber, wo aufbewahrte Daten gespeichert werden und wie sie in ihrer eigenen Umgebung verwaltet werden.

Für die Unveränderlichkeit nutzt HYCU die nativen Unveränderlichkeitsfunktionen der zugrundeliegenden Objektspeicher-Plattform über sein BYOS-Modell. Das bedeutet, dass die Unveränderlichkeit auf der vom Kunden kontrollierten Speicherebene durchgesetzt wird, wo Aufbewahrungs- und Nichtlöschkontrollen am direktesten angewendet werden. Das Ergebnis ist ein einfacherer und resilienter Ansatz für unveränderlichen Backup-Speicher in großem Maßstab mit einer breiten Abdeckung von SaaS-Anwendungen.

Erfahren Sie mehr unter www.hycu.com.

Disclaimer:
„Für den oben stehenden Beitrag sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Nutzer verantwortlich. Eine inhaltliche Kontrolle des Beitrags seitens der Seitenbetreiberin erfolgt weder vor noch nach der Veröffentlichung. Die Seitenbetreiberin macht sich den Inhalt insbesondere nicht zu eigen.“