R.I.P. Ripped in Pieces

Unterschiedlicher kann das Verständnis für Sicherheit, bezogen auf Unternehmensdaten, nicht sein.

Bei dem einen Unternehmen wird eine defekte Festplatte eines RAID-Systems nicht einfach in den Elektroschrott gegeben. Sie wird physikalisch zerstört um sicherzustellen, dass die Daten nicht in falsche Hände gelangen können.

Der nächste Kunde ist dabei, von seiner aktuellen Patientenverwaltung auf ein neues System umzustellen. Er bittet, die aktuellen Daten auf eine externe Festplatte zu überspielen. Die Festplatte soll dann als Paket verschickt werden.

Auf die Sicherheit der Patientendaten angesprochen kam nur ein: „Dazu kann ich nichts sagen, fragen Sie beim Systemhaus nach.“

Aber auch beim Systemhaus – das für die Übernahme der Daten in das neue System zuständig ist – war die Aussage nur: „Wir verschlüsseln die Daten in der Regeln nicht. Für die Kunden ist der Aufwand meist zu hoch. Bisher ist nichts passiert. Sie können aber gerne ein ZIP-Archiv mit Kennwort erstellen.“

Themen wie Festplattenverschlüsselung oder PGP/GnuPG waren dort zwar vom Namen her bekannt, aber nicht im Einsatz.

Natürlich wurde verweigert, die Daten unter den Voraussetzungen per Post zu versenden. Daraufhin hat das Systemhaus die Festplatte mit den Daten beim Kunden vor Ort abgeholt.

Es wäre schön, wenn sich mehr Kunden über die Daten, die sie verwalten, Gedanken machen würden.