USB-Stick mit Passwort schützen: was zählt, wenn er verloren geht

Lagen darauf personenbezogene Daten und war er nicht verschlüsselt, sehen die Leitlinien des Europäischen Datenschutzausschusses eine Meldung an die Aufsicht vor. Die Frist läuft ab dem Moment, in dem der Verlust bemerkt wird. War der Stick nach dem Stand der Technik verschlüsselt, ist der Schlüssel nicht mit weg und gibt es eine Sicherung, kann die Meldung nach denselben Leitlinien entfallen. Aufgeschrieben wird der Vorfall in beiden Fällen.

Die DSGVO zählt den Verlust von Daten ausdrücklich zu den Verletzungen des Schutzes personenbezogener Daten. Im Alltag heißt das Datenpanne. Den unverschlüsselten Stick beschreibt der Ausschuss selbst als Beispiel: Beim Verlust lasse sich oft nicht feststellen, ob Unbefugte an die Daten kamen. Gemeldet werden muss er nach seinen Leitlinien trotzdem.

Wie eine Meldung an die Aufsicht abläuft, steht unter Meldepflichten nach einem Angriff. Dort stehen auch die Frist, der Inhalt und das Formular für NRW, und sie gelten für jede Datenpanne.

Für die gestohlene, verschlüsselte Sicherung auf einem USB-Stick hat der Ausschuss ebenfalls ein Beispiel. Sein Ergebnis: keine Meldung an die Aufsicht und keine Benachrichtigung der Betroffenen. Das gilt unter vier Bedingungen, und alle vier müssen stimmen.

Der Ausschuss schreibt dazu „vermutlich“ und nicht „sicher“. Stellt sich später heraus, dass der Schlüssel doch bekannt war, wird die Meldung nach seinen Leitlinien fällig. Die Leitlinien sind die Sicht der Aufsichtsbehörden und kein Gesetz.

Im Gesetz selbst steht die Verschlüsselung an anderer Stelle. Die Benachrichtigung der Betroffenen ist nach Art. 34 DSGVO nicht erforderlich, wenn die Daten für Unbefugte unzugänglich gemacht wurden, „etwa durch Verschlüsselung“. Und nach Art. 33 Abs. 5 wird jede Verletzung dokumentiert, samt Folgen und Maßnahmen, auch wenn sie nicht gemeldet wird. Die Datenschutzaufsicht in NRW sagt das für den Fall ohne Meldepflicht ausdrücklich.

Windows bringt dafür BitLocker To Go mit, die BitLocker-Verschlüsselung für Wechseldatenträger. Sie funktioniert mit USB-Sticks, Speicherkarten und externen Festplatten. An einem anderen Rechner öffnen Sie den Stick mit dem Passwort, und wird er abgezogen, ist er wieder gesperrt.

Verschlüsseln können Sie damit nur unter Windows Pro, Enterprise oder Education. Unter Windows Home fehlt die Funktion.

Eine Verwechslung liegt dabei nahe. Windows kennt daneben die Geräteverschlüsselung, die es auch unter Home gibt. Sie verschlüsselt laut Microsoft nur das Systemlaufwerk und die eingebauten Festplatten, nicht aber externe oder USB-Laufwerke. Ein verschlüsselter Laptop heißt also nicht, dass der Stick daneben verschlüsselt ist.

Im IT-Grundschutz des BSI ist es eine Basis-Anforderung: Werden Wechseldatenträger mit schutzbedürftigen Daten außerhalb eines sicheren Bereichs benutzt oder transportiert, müssen die Daten verschlüsselt sein.

Zwei weitere Basis-Anforderungen betreffen die Leute. Sticks unbekannter Herkunft werden nicht angeschlossen. Und ein verlorener Stick wird sofort gemeldet, mit der Angabe, was darauf war. Erst mit dieser Meldung weiß der Betrieb vom Verlust, und ab da läuft die Frist.

Erzwingen lässt sich das auch. Windows kennt eine Richtlinie, nach der Sticks ohne BitLocker nur noch gelesen werden können. Sie lässt sich per Gruppenrichtlinie oder Geräteverwaltung für alle Rechner eines Betriebs setzen, unter Windows Home aber nicht.

Wer Sticks ganz sperren will, kann das ebenfalls. Der Datenschutzausschuss nennt genau das als hilfreiche Maßnahme bei einem Fall, in dem ein Mitarbeiter in seiner Kündigungsfrist Geschäftsdaten kopiert. Was beim Austritt sonst an Zugängen und Geräten hängt, steht unter Wenn ein Mitarbeiter geht.

Das BSI empfiehlt dazu eine Richtlinie für den Umgang mit Sticks. Darin steht, welche Daten auf einen Stick dürfen, und private Sticks bleiben draußen.

Die DSGVO nennt Verschlüsselung in Art. 32 ausdrücklich als Beispiel für eine Maßnahme zum Schutz der Daten. Was sonst noch dazugehört, steht unter TOM nach Art. 32 DSGVO.

Wir sind die externe IT-Abteilung für Betriebe und Vereine im Raum Köln, die keine eigene haben.

Festplattenverschlüsselung empfehlen wir bei unseren Kunden als Standard. Ob und wie bei Ihnen Sticks verschlüsselt oder gesperrt werden sollen, klären wir im Gespräch. Dazu gehört die Frage, wo die Schlüssel liegen.

Was bei uns in der Pauschale steckt und was nach Zeit läuft, steht auf So rechnen wir ab.