Was ist Data Masking und wieso ist es für Unternehmen wichtig?

2023 hat jede Cyberattacke auf ein deutsches Unternehmen durchschnittlich 16.000 Euro Schaden angerichtet. Ein Datenleck in einem großen Konzern zu schließen ist noch aufwendiger – es kostet laut einer IBM-Studie aus dem Jahr 2022 in Deutschland umgerechnet ca. 4,45 Millionen Euro – und dauert 160 Tage. 

Diese Zahlen sind erschreckend. Doch sie zeigen, wie dringend wir handeln müssen. Cyberkriminelle nutzen Phishing, Ransomware und Denial-of-Service-Angriffe, um an unsere wertvollen Daten zu gelangen. Doch es gibt eine Lösung: Data Masking. Mit dieser Technik können Sie Ihre sensiblen Informationen so sichern, dass sie für Angreifer nutzlos werden. Dabei können Sie mit Data Masking die Daten weiterhin normal nutzen. Erfahren Sie hier, wie Data Masking funktioniert – und welche Best Practices Sie beachten sollten, um Ihre Daten effektiv zu schützen.

Das erfahren Sie in diesem Artikel:

• Data Masking, Datenverfremdung, Obfuskation – was ist das?
• Data Masking in Deutschland: DSGVO und spezifische Herausforderungen
• 4 Typen von Daten, bei denen Sie unbedingt an Datenmaskierung denken sollten
• 3 Arten des Data Masking
• Top-Techniken für Data Masking
• 7 Herausforderungen im Bereich des Data Masking für Unternehmen
• 4 Best Practices für Data Masking
• 4 zentrale Überlegungen zum Data Masking
• 4 Merkmale vertrauenswürdiger Data-Masking-Lösungen
• Fazit: Data Masking ist ideal, wenn …

Data Masking in Deutschland: DSGVO und spezifische Herausforderungen

In Deutschland haben Unternehmen besondere Herausforderungen im Datenbereich. Denn es gibt spezifische Vorschriften zum Schutz sensibler Daten. Die Datenschutz-Grundverordnung (DSGVO) legt strenge Regeln fest, wenn Sie personenbezogene Daten verarbeiten. Damit hat diese Verordnung direkte Auswirkungen auf die Art und Weise, wie und warum Unternehmen Data Masking implementieren sollten.

Die Rolle der DSGVO beim Datenschutz

Die DSGVO ist eines der umfassendsten Datenschutzgesetze weltweit. Sie betrifft alle Unternehmen, die personenbezogene Daten von EU-Bürger:innen verarbeiten. Ein Verstoß gegen die DSGVO kann zu hohen Geldstrafen und ernsthaften Reputationsschäden führen. Mit gutem Data Masking halten Sie Teile der DSGVO effektiv ein. Denn Data Masking hilft, personenbezogene Daten zu anonymisieren und minimiert so die Gefahr eines Datenlecks.

Spezifische Anforderungen in Deutschland

Achtung: Die folgenden Informationen (und der gesamte Artikel) sind ausdrücklich keine Rechtsberatung. Wenden Sie sich im Zweifel immer an eine:n Jurist:in. 

Deutschland hat zusätzlich zur DSGVO eigene Datenschutzgesetze. Das bekannteste ist das Bundesdatenschutzgesetz (BDSG), das bestimmte Aspekte der DSGVO konkretisiert und erweitert. Hier sind einige spezifische Anforderungen und Herausforderungen, die Unternehmen in Deutschland beachten sollten:

1. Anonymisierung und Pseudonymisierung: Laut DSGVO und BDSG ist die Anonymisierung personenbezogener Daten eine bevorzugte Methode, um Datenschutzrisiken zu minimieren. Data Masking kann hierbei helfen, indem es Daten so verändert, dass sie ohne zusätzliche Informationen nicht mehr auf eine bestimmte Person zurückgeführt werden können.
2. Datentransfer und Aufbewahrung: Daten unterliegen strengen Kontrollen, wenn sie innerhalb und außerhalb der EU übertragen werden. Data Masking stellt sicher, dass auch bei internationalen Transfers die Daten geschützt bleiben und die gesetzlichen Anforderungen erfüllt werden.
3. Recht auf Vergessenwerden: Die DSGVO gibt den Betroffenen das Recht, ihre Daten löschen zu lassen. Unternehmen müssen sicherstellen, dass auch maskierte Daten korrekt gelöscht werden können.
4. Technische und organisatorische Maßnahmen (TOMs): Die DSGVO verlangt von Unternehmen, für den Datenschutz angemessene „technische und organisatorische Maßnahmen“ zu ergreifen. Data Masking ist eine solche (angemessene technische) Maßnahme.

Data Masking sollten Sie als Teil einer umfassenden Datenschutzstrategie implementieren. Die muss auch andere Maßnahmen umfassen, wie die Verschlüsselung und Zugriffskontrollen.

Neben DSGVO und BDSG gibt es weitere Gesetze in Deutschland, die Data Masking betreffen können:

• Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG): Regelt den Schutz personenbezogener Daten in der Telekommunikation und bei Telemedien.
• Kreditwesengesetz (KWG): Fordert den Schutz von Kundendaten in der Bankenbranche.
• Handelsgesetzbuch (HGB): Enthält Bestimmungen zur Aufbewahrung und zum Schutz von Unternehmensdaten.
• Sozialgesetzbuch (SGB): Regelt den Datenschutz im Gesundheits- und Sozialwesen.

4 Typen von Daten, bei denen Sie unbedingt an Datenmaskierung denken sollten

Sie evaluieren gerade den eigenen Data Lake oder beginnen erst, Data Driven zu arbeiten? Dann ist der beste Zeitpunkt, jetzt über Data Masking nachzudenken. Hier sind vier Hauptkandidaten für Data Masking:

Geistiges Eigentum, das Patente, urheberrechtlich geschützte Materialien, Designs und Spezifikationen umfasst.

#1 Persönlich identifizierbare Informationen wie Adressen und Sozialversicherungsnummern.

#2 Gesundheitsinformationen wie Versicherungsdaten, Laborergebnisse, Gesundheitszustände und Krankengeschichten.

#3 Finanzinformationen wie Kreditkartendetails, Bankkontoinformationen und Passwörter.

3 Arten des Data Masking

Haben Sie Daten identifiziert, die maskiert werden müssen? Dann überlegen Sie, welche dieser Data-Masking-Ansätze Sie verwenden möchten:

1. Statisches Data Masking erstellt eine duplizierte Kopie einer Produktionsdatenbank mit maskierten Daten. Diese maskierte Datenbankkopie kann für die Softwareentwicklung, Tests oder Schulungen außerhalb Ihres Unternehmens verwendet werden, ohne Datenlecks zu riskieren.

2. Dynamisches Data Masking ändert Informationen aus der Quelldatenbank, während Benutzer:innen darauf zugreifen. Das Data Masking erfolgt in Echtzeit, jedoch nur während der Datenübertragung an den/die Benutzer:in. Maskierte Daten werden niemals in einer neuen Datenbank gespeichert, die Originaldaten bleiben unverändert.

3. On-the-Fly Data Masking modifiziert Quelldaten in Echtzeit, während sie an einen neuen Ort übertragen werden. Das kann ein Test- oder Entwicklungssystem sein. Dies ermöglicht es Unternehmen, Daten zu maskieren, die kontinuierlich von einer Produktionsumgebung in eine sekundäre Umgebung übertragen werden. Diese Art des Data Masking ist ideal, wenn Ihr Unternehmen kontinuierlich neue Software bereitstellt und viele komplexe und häufig genutzte Integrationen und Schnittstellen hat.

Top-Techniken für Data Masking

Der nächste Schritt bei der Maskierung Ihrer Daten ist die Entscheidung, welche Technik Sie verwenden möchten. Zum Beispiel können Sie 

• identifizierbare Details durch Symbole oder Zeichen ersetzen,
• sensible Daten neu ordnen oder randomisieren,
• Daten verschlüsseln und
• sensible Werte aus den Daten löschen.

Maskierte Daten verwenden die meisten Unternehmen für Tests oder zum Teilen mit Partnern. Deswegen ist es nicht wichtig, dass die Originaldaten verschleiert oder geändert werden. Data Masking ist typischerweise ein Einweg-Prozess. Maskierte Daten haben keinen Wert für Hacker. Sie müssen im Gegensatz zu klassisch verschlüsselten Daten nicht in ihre ursprüngliche Form zurückgeführt werden. Es gibt eine Vielzahl von Algorithmen für Data Masking. Hier sind einige der häufigsten:

• Anonymisierung, die den Inhalt eines Feldes in unlesbare Ergebnisse verschlüsselt.
• Datensubstitution, bei der neue Werte für die tatsächlichen Werte eingesetzt werden.
• Verschlüsselung, bei der zufällige Zeichen den ursprünglichen Inhalt verbergen.

7 Herausforderungen im Bereich des Data Masking für Unternehmen

1. Komplexität der Implementierung

Lösung: Setzen Sie auf modulare Data-Masking-Lösungen, die sich leicht in Ihre bestehende IT-Infrastruktur integrieren lassen. Wählen Sie Tools, die eine breite Palette von Datenquellen und -formaten unterstützen. Ein gründlicher Vorbereitungs- und Planungsprozess hilft, spezifische Anforderungen zu identifizieren und maßgeschneiderte Lösungen zu entwickeln.

2. Erhalt der Datenintegrität

Lösung: Nutzen Sie fortschrittliche Maskierungstechniken wie Tokenisierung und formatbewusstes Maskieren. So erhalten Sie die Funktionalität und Konsistenz der Daten. Führen Sie regelmäßig Tests durch, um sicherzustellen, dass die maskierten Daten weiterhin für ihre vorgesehenen Zwecke geeignet sind.

3. Compliance und Datenschutzanforderungen

Lösung: Implementieren Sie Data-Masking-Strategien, die den Anforderungen der DSGVO und anderer Datenschutzgesetze entsprechen. Arbeiten Sie eng mit Ihrem Datenschutzbeauftragten und rechtlichen Beratern zusammen. So stellen Sie sicher, dass Sie alle gesetzlichen Vorgaben einhalten. Nutzen Sie Compliance-Check-Tools, um kontinuierlich die Einhaltung der Vorschriften zu überwachen.

4. Performance-Einbußen

Lösung: Optimieren Sie Ihre Data-Masking-Prozesse durch den Einsatz leistungsfähiger Hardware und effizienter Softwarealgorithmen. Nutzen Sie Caching-Mechanismen und parallelisierte Verarbeitung. So minimieren Sie die Auswirkungen auf die Systemperformance. Erwägen Sie den Einsatz von dynamischem Data Masking. So maskieren Sie nur die benötigten Daten und reduzieren die Verarbeitungslast.

5. Verwaltung und Skalierbarkeit

Lösung: Setzen Sie auf skalierbare Data-Masking-Lösungen, die mit Ihrem Unternehmen wachsen können. Wählen Sie Tools, die cloudbasiert und flexibel sind, um die Verwaltung großer Datenmengen zu erleichtern. Automatisieren Sie Data-Masking-Prozesse, um den Verwaltungsaufwand zu reduzieren und konsistente Ergebnisse zu gewährleisten.

6. Schulung und Akzeptanz der Mitarbeiter

Lösung: Investieren Sie in umfassende Schulungsprogramme für Ihre Mitarbeiter:innen. Erstellen Sie Schulungsmaterialien und Workshops, die die Bedeutung des Datenschutzes und die richtige Anwendung von Data-Masking-Techniken vermitteln. Fördern Sie eine Kultur des Datenschutzes, indem Sie regelmäßig Sensibilisierungskampagnen und Schulungen durchführen.

7. Kosten

Lösung: Führen Sie eine gründliche Kosten-Nutzen-Analyse durch, um die besten Data-Masking-Lösungen für Ihr Unternehmen zu finden. Nutzen Sie kosteneffiziente Tools und Open-Source-Lösungen, wenn möglich. Berücksichtigen Sie die langfristigen Einsparungen durch den Schutz vor Datenlecks und den Erhalt der Compliance, um die Investition zu rechtfertigen.

5 Best Practices für Data Masking

Data Masking ist ein fortlaufender Prozess. Er erfordert sorgfältige Planung, Analyse und Verfeinerung. Hier sind einige Best Practices für Data Masking:

#1 Wie groß ist das Projekt?

Beginnen Sie damit, zu entscheiden, welche Daten Sie maskieren müssen, zum Beispiel: 

• Kreditkarteninformationen
• Gesundheitsinformationen
• geistiges Eigentum
• persönlich identifizierbare Informationen 

Identifizieren Sie die Felder in Ihrer Datenbank oder Ihrem System, die maskiert werden müssen. Setzen Sie sich mit den richtigen Expert:innen zusammen: Wie groß ist der Aufwand, wie lange brauchen wir, was müssen wir parallel beachten?

#2 Welches ist die richtige Technik für die richtigen Daten?

Entscheiden Sie sich für Data-Masking-Techniken zu jedem Datentyp. Berücksichtigen Sie dabei

• wo die Daten gespeichert sind,
• wie sie verwendet werden,
• wie sensibel sie sind.

Ein großes Unternehmen benötigt in der Regel verschiedene Maskierungswerkzeuge für unterschiedliche Datentypen. Vergessen Sie nicht, zu ergründen, mit welchen Daten Ihre Daten wiederum verknüpft sind. Wer hat Zugriff darauf, wer soll (keinen) Zugriff haben?

#3 Sind die Ergebnisse zufriedenstellend?

Testen Sie das Ergebnis des Data Masking, um sicherzustellen, dass Sie das erwartete Ergebnis erreichen. Untersuchen Sie dann Ihre maskierten Daten. So checken Sie, dass diese nicht zurückentwickelt werden können. Beginnen Sie mit kleineren Testdatensätzen, um Ihre Prozesse zu überprüfen.

#4 Wie kommen wir zu einer kontinuierlichen Daten-Governance-Strategie?

Sobald Sie einen Data-Masking-Prozess implementiert haben, erstellen Sie einen übergreifenden Prüfprozess. So können Sie sicherstellen, dass das Data Masking weiterhin wie erwartet funktioniert. Entwickeln Sie außerdem eine Richtlinie, die definiert, 

• wie Data Masking verwendet werden soll,
• wo es angewendet werden soll,
• wer Zugriff auf Ihre Algorithmen hat.

#5 Schaffen Sie Routine und Akzeptanz

Schulen Sie Ihre Mitarbeiter:innen regelmäßig im Umgang mit sensiblen Daten und den Techniken des Data Masking. Sensibilisieren Sie sie dafür, dass Datenschutz wichtig ist und die DSGVO eingehalten werden muss.

4 zentrale Überlegungen zum Data Masking

Data Masking ist ein Balanceakt zwischen 

• dem Ändern von Daten, damit sie sicher sind, und 
• dem Beibehalten ihrer Eigenschaften, damit sie nützlich bleiben.

Wir sagen auch ganz deutlich: Sie werden auf Einschränkungen stoßen, wenn Sie versuchen, eine brauchbare maskierte Kopie Ihrer Produktionsdaten zu erstellen. Deshalb ist es wichtig, die Quelldaten zu verstehen. Sie müssen wissen, wie die maskierten Daten später verwendet werden. Um das angemessene Maß an Data Masking zu bestimmen, bedenken Sie diese Einschränkungen:

1. Erhaltung des Formats: Es kann wichtig sein, das Format einiger Datenfelder beizubehalten. Zum Beispiel Datumsangaben oder andere Felder mit spezifischen Strukturen.
2. Geschlechtsidentifikation: Enthält der Datensatz, der maskiert werden soll, Geschlechtsinformationen? Identifizieren und klassifizieren Sie männliche, weibliche und nicht-binäre Namen. So können Sie diese durch maskierende Alternativen ersetzen, die die ursprüngliche Geschlechtsverteilung beibehalten.
3. Semantische Integrität: Beim Maskieren von Daten ist es wichtig, dass die maskierten Daten immer in den Bereich der zulässigen Werte fallen. Zum Beispiel sollten Telefonnummernfelder nur Zahlen enthalten.
4. Einzigartigkeit: Daten sind einzigartig und sollten dies auch nach der Maskierung bleiben. Je nach späterer Nutzung sollten Sie sicherstellen, dass die maskierten Daten den gleichen Durchschnittswert wie die Originaldaten behalten. Alternativ bleibt die Verteilung der Datenwerte ähnlich wie bei den Originaldaten.

4 Merkmale vertrauenswürdiger Data-Masking-Lösungen

Die richtige Data-Masking-Software hilft Ihnen, Ihre Daten einfach vor Diebstahl zu sichern. Gleichzeitig hält sie alle Unternehmens- oder regulatorischen Anforderungen an den Datenschutz ein. Bei der Auswahl einer Data-Masking-Lösung sollten Sie darauf achten, dass sie:

1. Konsistenz über Datenbanken und Datenumgebungen hinweg bietet. Unterstützung für referenzielle Integrität ist wichtig, wenn Sie mit mehreren Datenbanken arbeiten. Wenn Sie zum Beispiel eine Sozialversicherungsnummer maskieren, die über mehrere Datensätze hinweg verknüpft ist, müssen Sie die ursprüngliche SSN in jedem Datensatz zur gleichen maskierten Nummer ändern;
2. erfundene, aber realistische Daten generiert. Die Daten sollten in Tests verwendbar sein, aber für Diebe keinen Wert haben;
3. Ihre Daten durch irreversible Data-Masking-Techniken sichert und diese Techniken getrennt von den maskierten Daten hält;
4. Flexibel, skalierbar und wiederholbar ist. In vielen Fällen wird Data Masking wiederholt durchgeführt, wenn sich Unternehmensdaten ändern und neue Sets von aktualisierten maskierten Daten benötigt werden.

Fazit: Data Masking ist ideal, wenn …

… Sie Daten nutzen oder teilen müssen, die Sie aus Datenschutz- und Sicherheitsgründen schützen müssen. Es kann das Risiko sowohl in lokalen als auch in Cloud-Umgebungen reduzieren. So ist es eines der wichtigsten Werkzeuge, um Ihre Daten sicher zu halten und das Vertrauen Ihrer Kund:innen und Partner:innen zu stärken.