Datenlebenszyklus-Governance nach ISO 27001 für 2026

Maria, CISO eines schnell wachsenden Fintechs, erlebte einen Freitagnachmittag, an dem aus einer Compliance-Lücke ein Thema für das Leitungsorgan wurde.

Das Unternehmen war gerade in neue EU-Märkte expandiert. Der Umsatz stieg, das Kunden-Onboarding beschleunigte sich, und jede Woche kamen neue SaaS-Tools hinzu. Dann trafen nahezu zeitgleich drei Nachrichten ein.

Die Rechtsabteilung warnte, dass Datenschutzaufsichtsbehörden die Durchsetzung der GDPR-Speicherbegrenzung verschärften. Compliance erinnerte sie daran, dass die DORA-Verpflichtungen zum IKT-Risiko nun operative Realität waren. Das Leitungsorgan fragte, ob die NIS2-Exponierung der Organisation, einschließlich Lieferanten- und Cyberhygieneanforderungen, unter Kontrolle sei.

Dann beantragte ein Kunde die Löschung seines Kontos und aller damit verbundenen personenbezogenen Daten.

Aus der einfachen Anfrage wurde ein funktionsübergreifender Abstimmungslauf. Die Rechtsabteilung erklärte, einige Aufzeichnungen könnten für eine vertragliche Auseinandersetzung benötigt werden. Die Finanzabteilung wies darauf hin, dass gesetzliche Aufzeichnungen aufzubewahren seien. Das Produktteam bestätigte, dass die Kundendaten in der Produktivdatenbank, der Analyseplattform, Support-Tickets, Objektspeicher, Kubernetes-Protokollen, Datenbank-Snapshots und einem Customer-Success-Tool eines Drittanbieters vorhanden waren. Das Cloud-Engineering-Team fragte, welche Backups die Daten enthielten. Die Datenschutzbeauftragte fragte, ob irgendeine Kopie weiterhin außerhalb der EU verarbeitet werde. Maria verlangte Nachweise.

Schließlich sagte jemand den Satz, der das eigentliche Problem offenlegte:

„Wir haben keinen zentralen Ort, an dem dieser Lebenszyklus sichtbar ist.“

Das ist das Problem der Datenlebenszyklus-Governance im Jahr 2026. Es geht nicht nur um Datenaufbewahrung. Es geht um Klassifizierung, Verantwortlichkeit, Rechtsgrundlage, Zugriff, Speicherort, Replikation, Backup-Aufbewahrung, Legal Hold, Cloud-Offboarding, Löschung durch Lieferanten, Archivüberprüfung, Vorfallnachweise und belastbare Entsorgung.

Für KMU, Fintechs, Managed Service Provider, Cloud-first-Unternehmen und regulierte Organisationen besteht das Risiko nicht mehr darin, dass Daten fehlen. Das Risiko besteht darin, dass Daten überall liegen: dupliziert, veraltet, überberechtigt, zu niedrig klassifiziert und nicht nachweisbar gelöscht.

Ein ausgereiftes Programm zur Datenlebenszyklus-Governance nach ISO 27001 macht aus diesem Abstimmungslauf einen kontrollierten Workflow.

Warum sich Datenlebenszyklus-Governance 2026 verändert hat

GDPR, NIS2 und DORA werden häufig als drei separate Compliance-Checklisten behandelt. Das ist das falsche Betriebsmodell. Sie sind unterschiedliche regulatorische Ausprägungen derselben geschäftlichen Anforderung: Daten kennen, risikogerecht schützen, aus dem richtigen Grund aufbewahren und nachweisen, was mit ihnen geschehen ist.

GDPR Article 5 verlangt, dass personenbezogene Daten rechtmäßig, fair und transparent verarbeitet, für festgelegte Zwecke erhoben, auf das Notwendige begrenzt, sachlich richtig, nur so lange wie erforderlich aufbewahrt und gegen unbefugte oder unrechtmäßige Verarbeitung sowie gegen unbeabsichtigten Verlust, unbeabsichtigte Zerstörung oder unbeabsichtigte Schädigung geschützt werden. Article 5(2) ergänzt die Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung nachweisen können. Governance der Aufbewahrung nach GDPR ist daher keine Tabellenkalkulationsübung. Sie verlangt operative Nachweise.

NIS2 macht Cybersicherheit zu einem Thema für das Leitungsorgan. Article 20 legt Governance-Erwartungen an Leitungsorgane fest, während Article 21 angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen verlangt. Dazu gehören Risikoanalyse, Sicherheitsrichtlinien für Informationssysteme, Verfahren zum Umgang mit Informationssicherheitsvorfällen, Aufrechterhaltung des Geschäftsbetriebs, Sicherheit der Lieferkette, sichere Entwicklung, Wirksamkeitsbewertung, Cyberhygiene, Schulung, Kryptografie, Zugriffskontrolle und Asset-Management. Unbekannte oder veraltete Daten sind nicht nur ein Datenschutzproblem. Sie sind ein Angriffsflächenproblem.

DORA macht IKT-Risikomanagement, operative Resilienz und IKT-Drittparteienrisiko für Finanzunternehmen unmittelbar durchsetzbar. DORA Articles 5 und 6 weisen dem Leitungsorgan Verantwortung zu und verlangen ein dokumentiertes Rahmenwerk für das Management von IKT-Risiken. DORA erwartet außerdem, dass Finanzunternehmen Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten schützen, Fähigkeiten zum Umgang mit Informationssicherheitsvorfällen aufrechterhalten, Resilienz testen und Abhängigkeiten von IKT-Drittparteien steuern.

DORA wirkt im Allgemeinen als sektorspezifisches Regime für überschneidende operative Cybersicherheitsverpflichtungen von Finanzunternehmen, während NIS2 für das breitere Ökosystem relevant bleibt, einschließlich Cloud-Anbietern, Managed Service Providern und vielen Organisationen der digitalen Infrastruktur. Das ist wichtig, weil ein Fintech direkt unter DORA fallen kann, während sein SaaS- oder Managed Service Provider im NIS2-Perimeter liegt.

ISO/IEC 27001:2022 ist das Managementsystem, das diese Verpflichtungen zusammenführen kann. Die Klauseln 4.1 bis 4.4 verlangen, dass die Organisation ihren Kontext, interessierte Parteien, rechtliche und vertragliche Anforderungen sowie den ISMS-Geltungsbereich versteht. Die Klauseln 5.1 bis 5.3 verlangen Führung, Rollen und Verantwortlichkeiten. Die Klauseln 6.1.2 und 6.1.3 verlangen Informationssicherheitsrisikobeurteilung, Risikobehandlung, Kontrollauswahl, Abgleich mit Annex A und aufbewahrte dokumentierte Informationen.

Diese Struktur ist der Grund, warum ISO 27001 nicht „noch eine Checkliste“ ist. Sie ist das Betriebssystem für Datenlebenszyklus-Governance.

Das Lebenszyklusmodell: sieben Fragen, die jeder Dateneigentümer beantworten muss

Ein praxistaugliches Governance-Modell für den Datenlebenszyklus muss für jede wichtige Datenkategorie sieben Fragen beantworten:

1. Um welche Daten handelt es sich?
2. Warum verarbeiten wir sie?
3. Wer ist verantwortlich?
4. Wie sensitiv sind sie?
5. Wo liegen sie und wohin werden sie repliziert?
6. Wie lange müssen sie aufbewahrt werden oder von der Löschung ausgenommen sein?
7. Wie schützen, überprüfen, löschen und belegen wir sie?

Der Ansatz von Clarysec verbindet diese Fragen mit ISO 27001-Maßnahmen und operativen Nachweisen. In der Zenith Blueprint: 30-Schritte-Auditor-Roadmap behandelt die Phase „Kontrollen in der Praxis“ das Asset-Inventar und die Klassifizierung als operative Grundlagen, nicht als Papierarbeit. Schritt 22 erläutert, dass das Inventar physische Vermögenswerte, digitale Vermögenswerte, logische Assets, servicebezogene Assets und Personen im Hinblick auf Verantwortlichkeiten, Zugriff und Exponierung umfassen sollte.

Die Zenith Blueprint hält fest:

„Jedes Asset sollte einen definierten Verantwortlichen haben – nicht die Person, die es nutzt, sondern die Person, die für Nutzung, Schutz und Lebenszyklus rechenschaftspflichtig ist.“

Dieser Satz ist der Dreh- und Angelpunkt. Datenlebenszyklus-Governance scheitert, wenn Verantwortlichkeit „IT“ oder „dem Fachbereich“ zugewiesen wird. Sie funktioniert, wenn ein namentlich benannter, rechenschaftspflichtiger Verantwortlicher Klassifizierung, Aufbewahrung, Zugriff, Legal-Hold-Entscheidungen, Archivüberprüfung und Löschungsnachweise genehmigen kann.

Clarysecs Richtlinie zum Asset-Management – KMU stärkt dieselbe Disziplin:

„Verantwortlichkeit, Zweck, Zugriffsberechtigungen und Verlängerungsfristen müssen dokumentiert werden.“

Diese Anforderung findet sich in der Richtlinie zum Asset-Management – KMU, Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Klausel 6.6.2. Ohne Verantwortlichkeit und Zweck wird Aufbewahrung zur Schätzung und Löschung zum Risiko.

Klassifizierung ist die erste Aufbewahrungskontrolle

Viele Organisationen versuchen, Aufbewahrungspläne aufzubauen, bevor sie über verlässliche Klassifizierung verfügen. Das scheitert in der Regel.

Wenn ein Export aus dem Kundensupport, ein HR-Dokument, ein Transaktionsdatensatz oder ein Anwendungsprotokoll nicht klassifiziert ist, kann die Organisation nicht konsistent entscheiden, wer darauf zugreifen darf, wo es gespeichert werden kann, ob es in Tests verwendet werden darf, wie stark es verschlüsselt werden muss, ob es Legal-Hold-Schutz benötigt oder wie es zu löschen ist.

Clarysecs Richtlinie zur Datenklassifizierung und Kennzeichnung – KMU ist eindeutig:

„Alle Dokumente, Dateien und Systeme müssen klassifiziert werden, sobald sie erstellt oder empfangen werden.“

Dies steht in der Richtlinie zur Datenklassifizierung und Kennzeichnung – KMU, Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Klausel 6.1.1.

Die Enterprise-Richtlinie zur Datenklassifizierung und Kennzeichnung verbindet die Klassifizierung mit der gesamten Verarbeitungskette:

„Die gesamte Datenverarbeitung, Übertragung, der Zugriff, die Speicherung und die Entsorgung von Informationen müssen an der jeweiligen Klassifizierungsstufe ausgerichtet sein. Mindestens gilt:“

Dies steht in der Richtlinie zur Datenklassifizierung und Kennzeichnung, Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Klausel 6.3.1.

Die Zenith Blueprint ergänzt Umsetzungshinweise zu ISO/IEC 27002:2022 Maßnahme 5.12, Klassifizierung von Informationen. Ein Klassifizierungsschema sollte Stufen wie Öffentlich, Intern, Vertraulich und Streng vertraulich definieren, Kriterien auf Grundlage möglicher Schäden durch unbefugten Zugriff, Verlust oder Veränderung enthalten, auf alle Formen von Informationen anwendbar sein und unabhängig von Speicherformat oder Speicherort bleiben.

Einfach ausgedrückt: Die Klassifizierung folgt dem Inhalt, nicht dem Speicherort.

Ein als streng vertraulich eingestufter Datenbestand wird nicht risikoärmer, nur weil er von einer Datenbank in ein SaaS-Analysetool verschoben wurde. Eine Aufzeichnung unter Legal Hold verliert ihren Status nicht, weil sie als CSV exportiert wurde. Personenbezogene Daten hören nicht auf, reguliert zu sein, nur weil sie in einer Protokollnachricht erscheinen.

Klassifizierung sollte als Metadatum im Asset-Register, Aufbewahrungsregister, in der Datenflussübersicht, der Berechtigungsüberprüfung, der Cloud-Onboarding-Checkliste und im Entsorgungsnachweis geführt werden.

Das ISO 27001-Kontrollrückgrat für die Lebenszyklus-Governance

Die wirksamsten Programme für den Datenlebenszyklus verfügen über ein Kontrollrückgrat. Dieses Rückgrat verbindet Maßnahmen aus ISO/IEC 27002:2022 mit operativen Nachweisen.

Clarysecs Zenith Controls: der Cross-Compliance-Leitfaden stellt den Cross-Compliance-Leitfaden für diese Arbeit bereit. Für die Datenlebenszyklus-Governance sind drei Maßnahmen zentral: 5.33 Schutz von Aufzeichnungen, 5.34 Datenschutz und Schutz personenbezogener Daten sowie 8.10 Löschung von Informationen.

In Zenith Controls wird ISO/IEC 27002:2022 Maßnahme 5.33, Schutz von Aufzeichnungen, über präventive Kontrollattribute beschrieben, die Vertraulichkeit, Integrität und Verfügbarkeit unterstützen, mit operativen Fähigkeiten in Recht und Compliance, Asset-Management und Informationsschutz. Sie verbindet sich mit Backup, Klassifizierung, sicherer Entsorgung von Geräten, rechtlichen und regulatorischen Anforderungen, Einhaltung von Richtlinien, Zugriffskontrolle und Incident Response.

Maßnahme 5.34, Datenschutz und Schutz personenbezogener Daten, unterstützt Vertraulichkeit, Integrität und Verfügbarkeit. Zenith Controls verknüpft sie mit Asset-Inventar, Datenmaskierung, Cloud-Sicherheit, Klassifizierung, Informationsübertragung, Zugriffskontrolle, Identitätsmanagement und Sicherheitsüberprüfung von Projekten und Änderungen.

Maßnahme 8.10, Löschung von Informationen, ist präventiv und auf Vertraulichkeit ausgerichtet. Zenith Controls verbindet sie mit Kennzeichnung, Informationsübertragung, geistigem Eigentum, privilegiertem Zugriff, Datenmaskierung, Verhinderung von Datenabfluss, Schutz von Aufzeichnungen, Konfigurationsmanagement und Einhaltung von Richtlinien und Standards.

Gemeinsam bilden diese Maßnahmen die Lebenszykluskette.

Diese Tabelle ist nicht nur für Auditoren gedacht. Sie ist ein Betriebsmodell für CISOs, Datenschutzbeauftragte, Compliance-Manager und Geschäftsverantwortliche, die eine gemeinsame Governance-Sprache für Datenschutz, Cybersicherheit und Resilienz benötigen.

Aufbewahrungsregister vor dem Löschprozess aufbauen

Ein Löschprozess ohne Aufbewahrungsregister ist gefährlich. Er kann Aufzeichnungen entfernen, die erhalten bleiben müssen, Daten übersehen, die zu löschen wären, oder nicht zwischen operativer Löschung und Legal-Hold-Löschsperre unterscheiden.

Clarysecs Datenaufbewahrungs- und sichere Entsorgungsrichtlinie – KMU setzt die Basislinie:

„Ein Aufbewahrungsregister wird eingerichtet und gepflegt; es listet zentrale Aufzeichnungskategorien, rechtliche Anforderungen und zugewiesene Aufbewahrungsfristen auf.“

Dies steht in der Datenaufbewahrungs- und sichere Entsorgungsrichtlinie – KMU, Abschnitt „Governance-Anforderungen“, Klausel 5.1.1.

Für Enterprise-Programme definiert Clarysecs Richtlinie zur Datenaufbewahrung und Entsorgung das Ziel:

„Einheitliche Aufbewahrungspläne auf Grundlage von Informationsklassifizierung, Asset-Typ, geltenden Gesetzen und Risikoexposition festzulegen und durchzusetzen.“

Dies steht in der Richtlinie zur Datenaufbewahrung und Entsorgung, Abschnitt „Ziele“, Klausel 3.3.

Ein nutzbares Aufbewahrungsregister sollte rechtliche, operative, sicherheitsbezogene und cloudbezogene Realitäten miteinander verbinden.

Ein Aufbewahrungsregister eines kleinen Fintechs könnte Folgendes enthalten:

Der entscheidende Punkt ist: Aufbewahrung muss risikobasiert und nachweisgestützt sein. Die GDPR-Speicherbegrenzung verlangt, dass personenbezogene Daten nicht länger als notwendig aufbewahrt werden; zugleich erlaubt sie Aufbewahrung, wenn eine rechtliche Verpflichtung oder ein berechtigter Bedarf besteht. NIS2 erwartet Asset-Management, Zugriffskontrolle und Cyberhygiene. DORA erwartet dokumentiertes IKT-Risikomanagement und Kontinuitätsdisziplin. Das Aufbewahrungsregister ist der Ort, an dem diese Verpflichtungen zu Entscheidungen werden.

Legal Holds müssen technisch umgesetzt, nicht nur per E-Mail verteilt werden

Ein ausgereiftes Lebenszyklusprogramm muss Daten löschen, wenn sie nicht mehr benötigt werden, darf aber Aufzeichnungen unter Legal Hold, Untersuchung oder Audit-Aufbewahrung nicht löschen.

Die Datenaufbewahrungs- und sichere Entsorgungsrichtlinie – KMU ist eindeutig:

„Keine Aufzeichnung, die einem Legal Hold und einer Löschsperre unterliegt, darf vernichtet oder verändert werden, selbst wenn ihre Aufbewahrungsfrist abgelaufen ist.“

Dies steht in der Datenaufbewahrungs- und sichere Entsorgungsrichtlinie – KMU, Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Klausel 6.3.4.

Die Enterprise-Richtlinie zur Datenaufbewahrung und Entsorgung wendet dasselbe Governance-Prinzip an:

„Wenn ein Legal Hold und eine Löschsperre angeordnet werden, z. B. wegen anhängiger Gerichtsverfahren, Untersuchungen oder Audits, müssen Daten, die ansonsten der Vernichtung unterliegen würden, über ihre reguläre Aufbewahrungsfrist hinaus erhalten bleiben.“

Dies steht in der Richtlinie zur Datenaufbewahrung und Entsorgung, Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Klausel 6.4.1.

Legal Hold sollte keine E-Mail sein, die Systemadministratoren möglicherweise erreicht oder nicht. Er sollte ein Status im Aufbewahrungsregister sein, verknüpft mit Systemen, Aufzeichnungskategorien, Verwahrern und Löschautomatisierung.

Ein belastbarer Legal-Hold-Workflow umfasst:

• Auslöser, z. B. Gerichtsverfahren, Anfrage einer Aufsichtsbehörde, Sicherheitsvorfall, Audit oder interne Untersuchung
• Hold-Verantwortlicher, in der Regel Recht oder Compliance
• Betroffene Aufzeichnungskategorien, Systeme und Verwahrer
• Sperranweisungen für Löschjobs, Backup-Ablauf und Archivbereinigung
• Zugriffsbeschränkungen zur Wahrung der Integrität
• Regelmäßige Überprüfung des Holds
• Freigabe der Aufhebung und dokumentierte Rückkehr zur regulären Aufbewahrung
• Nachweis, was von wem und wann aufbewahrt wurde

Dies ist besonders während der Incident Response wichtig. Protokolle, Abbilder, Exporte und Kommunikation müssen möglicherweise erhalten bleiben, auch wenn die reguläre Aufbewahrung abgelaufen ist. Löschung muss so kontrolliert sein, dass sie gestoppt, begründet und wieder aufgenommen werden kann.

Cloud- und SaaS-Löschung ist der Punkt, an dem Lebenszyklus-Governance bricht

Im Jahr 2026 verlieren die meisten Organisationen die Kontrolle über den Lebenszyklus nicht in ihrer primären Datenbank. Sie verlieren sie in Cloud-Speicher-Buckets, SaaS-Exporten, Support-Plattformen, CRM-Anhängen, Kollaborationsbereichen, API-Protokollen, Data Warehouses, Snapshots und Backup-Tresoren.

Die Zenith Blueprint, Phase „Kontrollen in der Praxis“, Schritt 23, zu ISO/IEC 27002:2022 Maßnahme 5.23, Informationssicherheit für die Nutzung von Cloud-Services, warnt, dass Cloud-Anbieter die Infrastruktur sichern, der Kunde jedoch für Daten, Konfigurationen, Zugriffsrichtlinien und Incident-Response-Bereitschaft verantwortlich bleibt. Fehlkonfigurierte Buckets, öffentliche Dashboards und übermäßige Cloud-IAM-Berechtigungen sind Governance-Fehler, keine Anbieterfehler.

Sie hält außerdem fest, dass Cloud-Nutzung als Teil des ISMS behandelt werden muss. Organisationen müssen Cloud-Services klassifizieren, die darin verarbeiteten oder gespeicherten Daten verstehen, das Risikoprofil des Anbieters bewerten, vertragliche Klauseln festlegen und Änderungen oder Geltungsbereichsausweitungen steuern.

Clarysecs Richtlinie zur Nutzung von Cloud-Diensten – KMU übersetzt dies in Offboarding-Anforderungen:

„Bestätigung sicherer Löschverfahren vor Kontoschließung“

Dies steht in der Richtlinie zur Nutzung von Cloud-Diensten – KMU, Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Klausel 6.3.5.

Die Enterprise-Richtlinie zur Nutzung von Cloud-Diensten verlangt Governance über:

„Dateneigentum sowie Rückgabe oder Löschung bei Beendigung“

Dies steht in der Richtlinie zur Nutzung von Cloud-Diensten, Abschnitt „Governance-Anforderungen“, Klausel 5.4.1.

Für DORA-regulierte Finanzunternehmen ist dies keine optionale Hygiene. DORA Article 28 verlangt IKT-Drittparteienrisikomanagement, ein Register vertraglicher IKT-Vereinbarungen, vorvertragliche Sorgfalt, Berücksichtigung von Konzentrationsrisiken, Audit- und Zugriffsrechte, Kündigungsrechte und Exit-Strategien für IKT-Services, die kritische oder wichtige Funktionen unterstützen. Article 30 verlangt Vertragsbedingungen zu Leistungsbeschreibungen, Verarbeitungs- und Speicherorten, Schutz von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit, Datenzugriff, Wiederherstellung, Rückgabe, Unterstützung bei Vorfällen und Übergangsunterstützung.

Für NIS2-Einrichtungen müssen Lieferantenentscheidungen die Cybersicherheit der Lieferkette sowie Schwachstellen und Resilienz von Produkten und Services berücksichtigen. Datenlebenszyklus-Governance muss sich daher auf Lieferanten erstrecken und darf nicht bei der Beschaffungsfreigabe enden.

Ein einwöchiger Sprint zur Erstellung eines Lebenszyklus-Kontrollpakets

Beginnen Sie nicht damit, jedes System im Unternehmen abbilden zu wollen. Beginnen Sie mit einem risikoreichen Datenfluss und erstellen Sie ein wiederverwendbares Kontrollpaket.

Tag 1: Einen risikoreichen Datenfluss auswählen

Wählen Sie einen aussagekräftigen Datenfluss, z. B. Kunden-Onboarding, Mitarbeiter-Offboarding, Bearbeitung von Zahlungsstreitigkeiten, Support-Ticket-Management oder Sicherheitsprotokollierung.

Für ein Fintech ist Kunden-Onboarding ein geeigneter Kandidat, weil es Identitätsdokumente, personenbezogene Daten, Transaktionsdatensätze, Betrugssignale, Drittanbieter für Verifikation, Cloud-Speicher, Support-Zugriff und regulatorische Aufbewahrung umfassen kann.

Tag 2: Mini-Asset- und Dateninventar erstellen

Nutzen Sie die Zenith Blueprint, Phase „Kontrollen in der Praxis“, Schritt 22, ISO/IEC 27002:2022 Maßnahme 5.9, um physische, digitale, logische, servicebezogene und verantwortungsbezogene Assets zu erfassen.

Dokumentieren Sie erhobene Datenkategorien, führende Systeme, SaaS-Plattformen, die Kopien erhalten, Programmierschnittstellen, Integrationen, Benutzerrollen, privilegierte Rollen, Backup-Standorte, Archivstandorte, Dateneigentümer, Systemverantwortliche, Klassifizierung, Kennzeichnungen für personenbezogene Daten und Lieferantenabhängigkeiten.

Das Ziel ist nicht Perfektion. Das Ziel ist, versteckte Replikationspunkte sichtbar zu machen.

Tag 3: Klassifizierungs- und Zugriffslogik anwenden

Wenden Sie die Richtlinie zur Datenklassifizierung und Kennzeichnung an und klassifizieren Sie jede Datenkategorie. Prüfen Sie anschließend, ob Zugriffsberechtigungen die Klassifizierung widerspiegeln.

Als streng vertraulich eingestufte Kundenidentitätsdokumente sollten nicht breit über Support-Werkzeuge zugänglich sein. Sicherheitsprotokolle mit Kennungen sollten nicht beiläufig in nicht verwaltete Tabellen exportiert werden. Zugriff sollte Rolle, Zweck, Genehmigung und Überprüfungsnachweis entsprechen.

Tag 4: Aufbewahrungs- und Legal-Hold-Einträge erstellen

Nutzen Sie die Richtlinie zur Datenaufbewahrung und Entsorgung sowie die Datenaufbewahrungs- und sichere Entsorgungsrichtlinie – KMU, um Aufbewahrungseinträge für jede Aufzeichnungskategorie zu erstellen. Berücksichtigen Sie Rechtsgrundlage, geschäftlichen Zweck, rechtliche Anforderung, Aufbewahrungsfrist, Löschmethode und Legal-Hold-Status.

Wenn ein aktiver Streitfall, Vorfall oder eine Untersuchung besteht, markieren Sie die Löschsperre und dokumentieren Sie den Genehmigenden.

Tag 5: Cloud- und Lieferantenlöschung verifizieren

Nutzen Sie die Richtlinie zur Nutzung von Cloud-Diensten und die Richtlinie zur Nutzung von Cloud-Diensten – KMU, um jeden Cloud- oder SaaS-Anbieter im Datenfluss zu prüfen.

Bestätigen Sie Bedingungen zum Dateneigentum, Rückgabe oder Löschung bei Beendigung, Löschfristen, Verhalten der Backup-Löschung, Auswirkungen von Unterauftragsverarbeitern, Löschungsnachweise und Verpflichtungen zur Unterstützung bei Vorfällen.

Für DORA-Umgebungen aktualisieren Sie das IKT-Drittparteienregister und den Exit-Plan. Für NIS2-Umgebungen dokumentieren Sie Lieferantenrisikoüberlegungen und Cyberhygiene-Abhängigkeiten.

Tag 6: Nachweise und Überwachung definieren

Nachweise sollten nicht erst nach der Audit-Anfrage erstellt werden. Definieren Sie sie bereits bei der Prozessgestaltung.

Die Richtlinie zur Datenaufbewahrung und Entsorgung verlangt, dass Entsorgung:

„im Entsorgungsregister protokolliert wird, einschließlich Asset-Kennung, Klassifizierung, Methode und ausführender Person“

Dies steht in der Richtlinie zur Datenaufbewahrung und Entsorgung, Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Klausel 6.5.3.2.

Ein belastbares Nachweispaket umfasst Einträge im Aufbewahrungsregister, Ergebnisse von Berechtigungsüberprüfungen, Löschungstickets, Entsorgungsprotokolle, Cloud-Löschbestätigungen, Legal-Hold-Genehmigungen, Einstellungen zur Backup-Aufbewahrung, Lieferantenvertragsklauseln und Archivüberprüfungsaufzeichnungen.

Tag 7: Risiken und die Anwendbarkeitserklärung aktualisieren

Aktualisieren Sie das ISO 27001-Risikoregister und die Anwendbarkeitserklärung. Wenn die Lebenszyklusüberprüfung nicht verwaltete SaaS-Exporte, unbefristete Backup-Aufbewahrung, übermäßige Zugriffe, unklare Löschbedingungen oder fehlende Verantwortlichkeit ergeben hat, sind dies Risiken, die behandelt werden müssen.

Dieser einwöchige Sprint erstellt ein wiederverwendbares Lebenszyklus-Kontrollpaket. Wiederholen Sie ihn für den nächsten Datenfluss und danach für den nächsten.

Cross-Compliance-Zuordnung: ein Lebenszyklusprogramm, viele Verpflichtungen

Der Wert der Datenlebenszyklus-Governance nach ISO 27001 besteht darin, dass dieselben Nachweise Datenschutz-, Cyberhygiene-, IKT-Risiko- und Auditerwartungen unterstützen können.

NIST CSF 2.0 ist für die Kommunikation mit der Geschäftsleitung nützlich, weil seine GOVERN Function erwartet, dass rechtliche, regulatorische, vertragliche und datenschutzbezogene Verpflichtungen verstanden und gesteuert werden, die Risikobereitschaft festgelegt ist, Führungsverantwortung klar ist, Richtlinien durchgesetzt und Ergebnisse überprüft werden. Seine Asset-Management-Ergebnisse verlangen Inventare und Lebenszyklusmanagement für Hardware, Software, Systeme, Services und Daten.

COBIT 2019 ergänzt Governance-Sprache für Leitungsorgane und Prüfungsausschüsse. Zenith Controls ordnet den Schutz von Aufzeichnungen COBIT-Prozessen zu, etwa dem Management von Backups und Wiederherstellung, dem Management der Sicherheit ruhender Informationen und dem Management von Aufzeichnungen. Datenschutz und Schutz personenbezogener Daten werden Datenschutz, Informationsschutz und Governance von Datenschutzprogrammen zugeordnet. Die Löschung von Informationen wird Risiko- und Betriebszielen zugeordnet und damit als gesteuerter Prozess gestärkt, nicht als Ad-hoc-Bereinigung.

Was Auditoren tatsächlich prüfen

Ein Programm zur Lebenszyklus-Governance ist nur glaubwürdig, wenn es Auditprüfungen standhält.

Ein ISO/IEC 27001:2022-Auditor beginnt mit Geltungsbereich, Anforderungen interessierter Parteien, Risiken, Anwendbarkeitserklärung, dokumentierten Informationen und Nachweisen zu operativen Kontrollen. Für die Lebenszyklus-Governance ist mit Stichproben zu rechnen. Der Auditor kann einen Vertrag, eine HR-Aufzeichnung, einen Protokollbestand oder eine Finanzaufzeichnung auswählen und sie durch Erstellung, Speicherung, Backup, Zugriff und Entsorgung nachverfolgen.

Mit der Auditperspektive in Zenith Controls zum Schutz von Aufzeichnungen prüfen Auditoren, ob Aufzeichnungen im Geltungsbereich identifiziert sind, ob Aufbewahrungspläne existieren, wie Aufzeichnungen gespeichert werden, wie der Zugriff kontrolliert wird und wie die Integrität geschützt ist.

Für die Löschung von Informationen erläutert Zenith Controls, dass Auditoren Aufbewahrungs- und Löschrichtlinien, Löschmethoden, Verantwortlichkeiten, Löschprotokolle, Prüfpfade, Vernichtungszertifikate für Medien und Nachweise aus Bereinigungswerkzeugen prüfen. Sie untersuchen außerdem, ob Backups und Archive abgedeckt sind.

Ein Datenschutz- oder PII-Auditor prüft Datenschutzrichtlinien, Dateninventare, DPIAs oder PIAs, Schulungsprotokolle und technische Maßnahmen wie Verschlüsselung ruhender Daten und Daten während der Übertragung. Er kann eine Betroffenenanfrage stichprobenartig prüfen, bestätigen, wo relevante Daten existieren, verifizieren, ob Löschung oder Einschränkung angewendet wurde, und kontrollieren, ob Ausnahmen wie Legal Hold begründet sind.

Ein NIST-orientierter Assessor kann die Ausrichtung an NIST CSF-Ergebnissen und technischen Kontrollen wie NIST SP 800-53 AU-11 Audit Record Retention sowie Praktiken zur Bereinigung von Medien nach NIST SP 800-88 untersuchen. Er kann Backup-Wiederherstellung testen, Regeln zur Protokollaufbewahrung prüfen, Verschlüsselung verifizieren und kontrollieren, ob unnötige personenbezogene Daten minimiert werden.

Ein COBIT- oder ISACA-Auditor konzentriert sich auf Governance-Prozesse und Nachweisqualität. Er fragt, wer Aufzeichnungen verantwortet, ob Kontrollen in Geschäftsprozessen die Integrität wahren, ob die Überwachung der Einhaltung Überaufbewahrung erkennt und ob der Betrieb Aufgaben zur sicheren Löschung umfasst.

Häufige Fehlermuster in der Lebenszyklus-Governance

Clarysec sieht bei KMU und regulierten Organisationen häufig dieselben Muster.

Das erste ist Klassifizierung ohne Durchsetzung. Daten sind als vertraulich gekennzeichnet, aber Zugriffsrechte, SaaS-Freigaben, Exporte und Löschmethoden ändern sich nicht.

Das zweite ist Aufbewahrung ohne Replikate. Der Plan deckt das Primärsystem ab, nicht aber Protokolle, Backups, Data Warehouses, Support-Exporte, Tabellen oder Drittanbieterplattformen.

Das dritte ist Cloud-Offboarding ohne Nachweis. Der Vertrag sagt, dass Daten gelöscht werden, aber niemand kennt Löschmethode, Zeitplan, Backup-Verhalten oder Nachweisformat.

Das vierte ist Legal Hold per E-Mail. Die Rechtsabteilung sendet Anweisungen, aber Löschjobs laufen weiter, weil kein operatives System den Hold-Status verarbeitet.

Das fünfte ist Auditnachweis im Nachhinein. Teams rekonstruieren Löschungs- und Aufbewahrungsnachweise manuell und erzeugen damit Inkonsistenz und vermeidbare Zweifel.

Das sechste ist das Wiederauftauchen aus Backups. Aus der Produktion gelöschte Daten erscheinen bei Wiederherstellung oder Tests erneut, weil Backup-Aufbewahrung und Bereinigungslogik nie mit der Datenaufbewahrungsrichtlinie abgestimmt wurden.

Jedes dieser Fehlermuster ist vermeidbar, wenn Klassifizierung, Inventar, Aufbewahrung, Cloud-Governance, Löschung und Nachweise als ein Lebenszyklus gestaltet werden.

Das Clarysec-Betriebsmodell für Datenlebenszyklus-Governance

Das Modell von Clarysec ist klar: ein Kontrollrückgrat für den Lebenszyklus etablieren und anschließend regulatorische Verpflichtungen und Nachweise daran anbinden.

Das Kontrollrückgrat umfasst:

• Asset- und Dateninventar
• Verantwortlichkeit und Zweck
• Klassifizierung und Kennzeichnung
• Rechtsgrundlage und Verarbeitungszweck
• Aufbewahrungsregister
• Legal Hold und Löschsperre
• Cloud- und Lieferantenklauseln zum Lebenszyklus
• Zugriffskontrolle und Governance für privilegierten Zugriff
• Backup- und Archivregeln
• Sichere Löschung und Entsorgungsregister
• Protokollierung, Überwachung und Vorfallnachweise
• Regelmäßige Überprüfung und Aktualisierung der Risikobehandlung

Die Zenith Blueprint stellt den Umsetzungsfahrplan über die Schritte „Kontrollen in der Praxis“ für Inventar, Klassifizierung, Cloud-Governance und Löschung von Informationen bereit. Zenith Controls liefert den Cross-Compliance-Leitfaden, der zeigt, wie Maßnahmen aus ISO/IEC 27002:2022 mit GDPR, NIS2, DORA, NIST, COBIT, ISO/IEC 27701, ISO/IEC 27018, ISO/IEC 27017, ISO/IEC 27040, ISO 15489 und ISO 22301 verbunden sind. Die Richtlinien von Clarysec liefern operative Klauseln, die Teams sofort umsetzen können.

Lebenszyklus-Governance darf nicht nur in Datenschutz, Sicherheit oder IT liegen. Sie muss ein gemeinsames Managementsystem sein.

Wenn Ihre Organisation nicht beantworten kann, wo regulierte Daten liegen, wer sie verantwortet, wie lange sie aufbewahrt werden, was die Löschung während eines Legal Holds verhindert, wie SaaS-Daten entfernt werden und welche Nachweise die Entsorgung belegen, ist jetzt der Zeitpunkt zur Korrektur.

Beginnen Sie mit einem risikoreichen Datenfluss. Nutzen Sie die Zenith Blueprint: 30-Schritte-Auditor-Roadmap, um die Inventar- und Klassifizierungsgrundlage aufzubauen. Nutzen Sie Zenith Controls: der Cross-Compliance-Leitfaden, um Schutz von Aufzeichnungen, Datenschutz und Schutz personenbezogener Daten sowie Löschung von Informationen über GDPR, NIS2, DORA, NIST und COBIT hinweg zuzuordnen. Implementieren Sie anschließend die relevanten Clarysec-Richtlinien, darunter die Richtlinie zur Datenklassifizierung und Kennzeichnung, die Richtlinie zur Datenaufbewahrung und Entsorgung, die Richtlinie zur Nutzung von Cloud-Diensten und – wo passend – deren KMU-Äquivalente.

Das praktische Ziel besteht nicht darin, blind weniger Daten zu behalten. Es besteht darin, die richtigen Daten aus dem richtigen Grund, unter den richtigen Kontrollen und für die richtige Dauer aufzubewahren – mit Nachweisen, die Kunden, Aufsichtsbehörden, Auditoren und dem Leitungsorgan standhalten.

Laden Sie die Clarysec-Richtlinien-Toolkits herunter, ordnen Sie Ihre Kontrollen mit Zenith Controls zu oder nutzen Sie die Zenith Blueprint, um Ihren ersten Lebenszyklus-Kontrollsprint durchzuführen, bevor die nächste Löschanfrage zu einer Audit-Feststellung wird.