DSGVO & nDSG: Compliance durch Pentests

Penetrationstests sind eine zentrale technische und organisatorische Massnahme (TOM) nach DSGVO und Schweizer nDSG. Erfahren Sie, wie Pentests Ihre Datenschutz-Compliance sicherstellen.

DSGVO Art. 32: Sicherheit der Verarbeitung

Die Datenschutz-Grundverordnung (DSGVO) fordert in Artikel 32, dass für die Sicherheit der Verarbeitung personenbezogener Daten geeignete technische und organisatorische Massnahmen (TOM) getroffen werden. Dazu gehören insbesondere:

  • Pseudonymisierung und Verschlüsselung personenbezogener Daten
  • Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherzustellen
  • Fähigkeit, die Verfügbarkeit der Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen
  • Ein regelmässiges Verfahren zur Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM

Ein Penetrationstest ist explizit eine geeignete Massnahme, um die Wirksamkeit der technischen Sicherheitskontrollen zu überprüfen und zu evaluieren. Er demonstriert, ob die implementierten Massnahmen tatsächlich vor realistischen Angriffen schützen.

Schweizer nDSG: Neues Datenschutzgesetz

Das schweizerische neue Datenschutzgesetz (nDSG), in Kraft seit dem 1. September 2023, harmonisiert den Schweizer Datenschutz mit der DSGVO. Art. 8 nDSG fordert ebenfalls geeignete technische und organisatorische Massnahmen zum Schutz personenbezogener Daten.

Im Unterschied zur DSGVO sieht das nDSG keine explizite Pflicht zur Datenpannen-Meldung vor (ausser bei besonders schwerwiegenden Risiken für die Persönlichkeit der betroffenen Personen), aber die Aufsichtsbehörden (EDÖB) können bei Verstössen Buessen verhängen von bis zu CHF 250’000.

Ein Pentest hilft, diese Risiken zu minimieren, indem er Schwachstellen aufdeckt, die zu Datenpannen führen könnten – bevor sie ausgenutzt werden.

Pentest als TOM: Konkrete Anforderungen

Ein Pentest als technische und organisatorische Massnahme muss folgende Kriterien erfüllen:

  • Regelmässigkeit: Mindestens jährlich oder nach signifikanten Änderungen (neue Systeme, Releases, Migrationen).
  • Dokumentation: Alle Ergebnisse müssen dokumentiert, bewertet und archiviert werden.
  • Unabhängigkeit: Der Tester sollte unabhängig von den betroffenen Systemen sein (kein Interessenkonflikt).
  • Nachweis: Der Report dient als Nachweis gegenüber Aufsichtsbehörden und Auditoren.
  • Behebung: Gefundene Schwachstellen müssen in angemessener Frist behoben werden.

Auftragsverarbeitung (AVV) und Pentests

Wenn Sie personenbezogene Daten durch einen Dienstleister (z.B. Cloud-Provider, Software-Entwickler) verarbeiten lassen, müssen Sie gemäss DSGVO/nDSG einen Auftragsverarbeitungsvertrag (AVV) abschliessen. Der AVV sollte auch die Sicherheitsanforderungen festlegen.

Ein Pentest kann prüfen, ob der Auftragsverarbeiter die vereinbarten Sicherheitsmassnahmen tatsächlich umgesetzt hat. Besonders bei Cloud-Diensten (AWS, Azure, GCP) ist ein Cloud-Pentest wichtig, um das «Shared Responsibility Model» zu verifizieren: Der Cloud-Provider ist für die Sicherheit der Cloud verantwortlich, Sie für die Sicherheit in der Cloud.

FAQ: Datenschutz & Pentests

Ist ein Pentest nach DSGVO überhaupt erlaubt?

Ja, sofern er schriftlich autorisiert ist, der Scope klar definiert ist und keine personenbezogenen Daten aus dem Produktivsystem extrahiert werden (es sei denn, dies ist explizit vereinbart und notwendig).

Muss ich die Datenschutzbehörde über den Pentest informieren?

Nein, ein autorisieter Pentest ist keine Datenpanne. Es ist eine geplante Sicherheitsprüfung und daher nicht meldepflichtig.

Was passiert, wenn der Pentest personenbezogene Daten findet?

Ein professioneller Pentester dokumentiert den Fund, aber löscht die Daten umgehend und informiert den Kunden. Die Daten werden nicht extrahiert oder gespeichert.

Ist ein Pentest für die nDSG-Compliance ausreichend?

Ein Pentest ist eine wichtige TOM, aber nicht die einzige. Er muss ergänzt werden durch organisatorische Massnahmen (z.B. Zugriffskonzepte, Schulungen) und weitere technische Massnahmen (Verschlüsselung, Backups).

DSGVO-/nDSG-konforme Pentests

Ich führe Pentests durch, die als TOM nach DSGVO und nDSG geeignet sind – mit Reports, die Sie bei Datenschutz-Audits und EDÖB-Prüfungen unterstützen.

Beratung anfragen