Die Daten im Drive des Kunden belassen: die Gestaltungsphilosophie der minimalen Datenspeicherung

Je mehr Kundendaten sich auf den Servern des Diensteanbieters ansammeln, desto größer ist der Schaden bei einem Angriff.

Umgekehrt lässt sich der Wirkungsbereich im Ernstfall strukturell verkleinern, wenn man weniger Daten auf dem Server belässt.

Je weniger es zu schützen gibt, desto einfacher wird auch der Schutz, und desto seltener entstehen Lücken bei der Prüfung.

Der Ausgangspunkt ist, gleich zu Beginn des Entwurfs zu fragen: „Muss das wirklich auf dem Server bleiben?“

Es gibt eine Tabelle im eigenen Google Drive des nutzenden Unternehmens – also Ihres eigenen.

Wird sie als endgültiger Speicherort des Tagesberichts gewählt, geht die Verwaltungshoheit über die Daten zurück an den Kunden.

Der Anbieter leitet nur weiter und speichert nichts langfristig.

Der Kunde entscheidet über seine eigenen Zugriffsrechte selbst, wer die Daten sehen darf, und auch bei einer Vertragsbeendigung bleiben die Daten bei ihm.

Ein Entwurf, der die Daten nicht als Geisel nimmt, schafft auch Vertrauen bei der Einführung.

Der Server verwahrt nur die temporären Daten zwischen Absenden und Freigabe. Bei der Freigabe löscht er sie sofort.

Ohne Freigabe sind sie nach 24 Stunden nicht mehr abrufbar.

In diesem Fall werden sie spätestens am Folgetag automatisch durch die tägliche Löschung entfernt.

Kann man ausdrücklich sagen: „Abrufbar höchstens 24 Stunden, spätestens am Folgetag gelöscht“, besteht auch die Prüfung auf Kundenseite leichter.

Wichtig ist dabei, dass die Löschung automatisch abläuft und nicht von menschlichen Handgriffen abhängt.

Wichtig ist auch, dass sich die Obergrenze der Speicherung in Worten erklären lässt.

Ein vages „so schnell wie möglich löschen“ kann die prüfende Seite nicht beurteilen.

Minimale Speicherung ist wirkungsvoll, macht aber allein noch nicht sicher.

Es gibt Grundlagen wie Verschlüsselung der Übertragung, Trennung der Schreibrechte und Protokollierung der Vorgänge.

Erst zusammen mit diesen Grundlagen entsteht ein Zustand, in dem man den Dienst beruhigt nutzen kann.

Fasst man drei Punkte als Paket ins Auge, entstehen weniger Lücken. Erstens ist es während der Verwahrung nicht von Dritten lesbar.

Zweitens sind die Schreibziele auf den nötigen Umfang begrenzt. Drittens ist nachträglich nachvollziehbar, was geschehen ist.

Wer eine Einführung erwägt, kann dem Anbieter als Faustregel die folgenden Fragen stellen. Die erste ist: „Wo liegen die Daten tatsächlich?“.

Die zweite ist: „Bis wann höchstens bleiben sie auf dem Server?“. Die dritte ist: „Erfolgt die Löschung automatisch oder manuell?“.

Die vierte ist: „Welche Schritte sind nötig, wenn ich Rechte entziehen möchte?“.

Je konkreter die Antworten sind und je besser sie sich als Mechanismus erklären lassen, desto eher darf man annehmen, dass der Entwurf durchdacht ist.

Hängt die Antwort dagegen von der Sorgfalt der zuständigen Betreiber ab, ist das eine Schwachstelle.

Schließlich lohnt es sich zu prüfen, ob die Erläuterung des Entwurfs schriftlich vorliegt.

Denn das hilft bei internen Genehmigungsverfahren und späteren Überprüfungen.