An eigenen Standards orientieren

ITD: Frau Kamm, das Thema „Sicherheit“ ist aktuell wie nie – welche Probleme sind derzeit besonders drängend im Bereich Datenschutz?
Dr. Liina Kamm: Eines der aktuell meistdiskutierten Themen in Europa ist die digitale Souveränität. Viele Softwaredienste und -systeme werden in der Cloud betrieben, aber die Cloud ist im Kern einfach nur der Computer von jemand anderem. Wir wissen nicht, wem der Computer gehört. Wenn europäische Nutzer Daten in der Cloud speichern, werden diese Daten sehr wahrscheinlich in ein Land außerhalb der EU gespeichert und verarbeitet. In der EU gibt es nur wenige Anbieter von Cloud-Diensten, die ähnliche Rechenleistung und Speicherkapazität anbieten können wie Anbieter außerhalb der EU. Die Lösung ist allerdings nicht, die Nutzung von Cloud-Diensten außerhalb der EU für Daten von EU-Bürgern zu verbieten, sondern neue Datenschutztechnologien bereitzustellen, um die Daten dennoch verarbeiten zu können.

ITD: Was können Unternehmen tun, um sensible Daten so gut wie möglich vor Cyberangriffen zu schützen?
Kamm: Grundsätzlich sollte dokumentiert werden, welche Daten im System existieren und wie diese Daten verarbeitet werden. Es ist schwer, sensible Daten zu schützen, wenn man nicht weiß, welche Daten man hat und was man mit den Daten macht. Mit einer guten Dokumentation über den Ist-Zustand kann man eine Risikoanalyse erstellen und Probleme erkennen. Man bekommt beispielsweise einen besseren Überblick darüber, wer auf welche Daten zugreifen kann, und wer die Möglichkeiten hat, Personen zu identifizieren.

Wenn möglich sollte solch eine Dokumentation und Risikoanalyse zusammen mit dem Prozess oder System erstellt werden. Dadurch können Schutzmaßnahmen deutlich wirksamer und tiefgreifender während der Entwicklung in den Prozess oder in das System integriert werden, anstatt sie nachträglich oberflächlich zu ergänzen. Im letzteren Fall ist die Gefahr größer, starke Schutzmaßnahmen unzureichend in den umgebenden Kontext zu integrieren, wie eine Hochsicherheitstür in einer Wand aus Gipskarton zu installieren – die Sicherheitsmaßnahme an sich ist sehr stark, aber man kann sie viel einfacher umgehen statt zu überwinden.

ITD: Welche Rolle kann Künstliche Intelligenz in diesem Bereich spielen? Wie kann sie für den Datenschutz eingesetzt werden?
Kamm: Künstliche Intelligenz und Maschinelles Lernen sind hilfreich, wenn es viele qualitativ hochwertige Datensätze zu einem bestimmten Themengebiet gibt. Wenn man maschinenlesbare und gut strukturierte Informationen über den Verbleib der eigenen Daten besitzt, dann kann eine KI dabei helfen, Strategien für den Datenschutz besser zu bewerten. In der Praxis haben solche Informationen aber nur selten eine geeignete Qualität, um damit Modelle durch das Maschinelle Lernen zu erstellen. Ausreißer und lückenhafte Daten sind große Hürden für ML und KI. Und es besteht die Gefahr, dass aus den erstellten Modellen selbst Informationen über die zu schützenden Daten abgeleitet werden können.

ITD: 4. Welche Bedenken gibt es in Bezug auf den Einsatz von KI im Bereich „Datenschutz“?
Kamm: Die wichtigere Frage ist, wie man eine erklärbare KI erstellen und gleichzeitig den Datenschutz gewährleisten kann. KI ist weniger ein Werkzeug, um Datenschutz zu gewährleisten, als eine Methode, durch dessen Einsatz neue Datenschutzprobleme für die Menschen entstehen, von der die KI lernt, als auch für die, welche sie anschließend nutzen. Das muss zurzeit immer wieder neu berücksichtigt werden, wenn eine Künstliche Intelligenz zum Einsatz kommt.

ITD: Wagen Sie einen Ausblick: Welche Sicherheitsmaßnahmen zum Schutz von Daten werden sich in Zukunft durchsetzen und warum?
Kamm: Als erstes sollten Menschen darüber aufgeklärt werden, dass eigene Daten verantwortungsbewusst geteilt werden sollten: wie, wo, warum und wie viel. Wenn Nutzer und Entwickler über die Datenschutztechnologien Bescheid wissen, dann können sie auch bereits bei der Entwicklung des Systems den Einbau geeigneter Maßnahmen fordern. Neue Systeme werden eher dem Prinzip „Privacy by Design“ folgen.

Dies ist ein Artikel aus unserer Print-Ausgabe 6/2022. Bestellen Sie ein kostenfreies Probe-Abo.

Kryptographische Lösungen werden immer besser. Wir sind darauf vorbereitet, Post-Quanten-Kryptographie einzusetzen, wenn praktische Quantencomputer hergestellt werden können. Die EU wird hoffentlich eine eigene Cloud-Infrastruktur aufbauen, da die Nutzung der Cloud in der absehbaren Zeit die Norm bleiben wird. Das ist eine wertvolle Gelegenheit, um den Datenschutz von Grund auf in der gesamten Infrastruktur zu berücksichtigen. Das wird deutlich effektiver als würden erst im Nachhinein zusätzliche Maßnahmen zum Einhalten des Datenschutzes umgesetzt. Die neue Cloud berücksichtigt den Datenschutz und erlaubt eine geschützte Verarbeitung sensibler Daten durch „Trusted Execution Environments“, homomorphe Kryptographie und „Multi-Party Computation“. Die kommende europäische digitale Identität wird neue Lösungen für Probleme rund um die Authentifizierung und Autorisierung ermöglichen. Dabei hilfreich ist, dass der Europäische Forschungsraum (EFR) gemeinsame Forschung über Grenzen hinweg möglich macht.

Bildquelle: Goethe-Universität Frankfurt am Main