Was Prüfer über PII-Kontrollen fragen
DSGVO- und ISO-27001-Prüfer stellen eine Frage. „Welche Kontrollen haben Sie für PII?"
Sie wollen eine klare Antwort. Eine Kontrolle. Jedes Mal gleich. Mit Belegen.
Die riskante Antwort klingt so: „Es kommt auf den Fall an. Chrome für Web. Word-Makro für Dokumente. Python für Dateien. Web-App für dringende Fälle."
Das löst neue Fragen aus. „Welche Lücken gibt es? Wo ist der Audit-Trail?"
Viele Tools geben keine gute Antwort. Genau hier liegt das Problem.
Einheitlichkeit: Ein echtes Problem
Jedes PII-Tool arbeitet anders. Die Ergebnisse weichen ab.
Regex-Tools suchen nach Mustern. SSN. E-Mail. Karte. Sie finden keine NER-Werte. Namen und fremde Formate fehlen.
NER-Tools nutzen Modelle. Sie finden keine Muster. IBAN und eigene IDs fehlen, wenn sie nicht im Training waren.
Jedes Tool deckt andere Felder ab. Jedes Tool hat andere Schwellen. Tool A und Tool C geben oft andere Ergebnisse. VERIFIED.
Das schafft eine Lücke. Tool A läuft für PDFs. Tool B für Excel. Tool A findet Geburtsdaten. Tool B nicht. So ist der gleiche Wert in PDF sicher, in Excel aber offen.
Die Lücke hängt vom Dateiformat ab. Nicht von Regeln. Nicht von Absicht.
Prüfer der Datenschutzbehörden finden diese Lücke. Ein falsches Tool wird so zum Problem. VERIFIED — Art. 32 DSGVO fordert klare Maßnahmen.
Audit-Trail: Kein Log, keine Chance
Jede Kontrolle braucht einen Nachweis. Bei PII ist dieser Nachweis der Audit-Trail.
Vier Tools liefern vier Log-Formate. Manche liefern gar nichts.
Ein Word-Makro schreibt kein Log. Ein Python-Skript speichert lokal. Das liegt nicht im System. Ein Chrome-Plugin schreibt im Browser. Das ist nicht zugänglich.
Wenn eine Behörde fragt, gibt es eine gute Antwort. Ein zentrales Log. Es erfasst alle Vorgänge auf allen Plattformen.
Die schlechte Antwort: das Makro-Log liegt auf dem Laptop des Devs. Das reicht nicht.
Ein Tool auf einer Plattform macht einen einzigen Trail möglich. Viele Tools machen das unmöglich.
Mehr zu Trail-Pflichten: Explainable Redaction und HIPAA-Trails.
Konfigurations-Drift: Still und gefahrlich
Mit der Zeit weichen Tool-Configs ab. Es passiert still und langsam.
Ein Muster: Chrome-Plugin erhält neue Entity-Typen. Python-Skript nicht. Word-Makro hat ein Ex-Kollege gebaut. Einstellungen sind unklar. Web-App-Preset ändert sich. Andere Tools wissen es nicht.
Ein Tool ändern ohne die anderen schafft Drift. Drift schafft Lücken.
ISO-27001-Prüfer fragen nach der Konfiguration. „Vier Tools, vier Configs, wir wissen nicht ob alles stimmt" ist keine gute Antwort. VERIFIED — ISO/IEC 27001:2022 Anhang A 8.11 verlangt klare, einheitliche Kontrollen; ISO/IEC 27001:2022.
Ein ISO-27001-Fall in der Praxis
Eine Firma mit 15 Mitarbeitern nutzte vier Tools. Web-Scraper für Online-Daten. Desktop-Tool für Dateien. Word-Makro für Verträge. Chrome-Plugin für KI.
Ein ISO-27001-Audit fand ein Problem. Andere Ergebnisse je Plattform. Kein zentraler Trail. Eine Lücke in Anhang A 8.11. Die Kontrolle war nicht nachweisbar. VERIFIED-EXTERNAL — dies passt zu ISO-27001-Mängeln bei Anhang A 8.11.
Die Firma musste einen Plan abgeben. Der Plan: alle Tools auf eine Plattform.
Nach dem Wechsel lief ein einziges System auf allen vier Plattformen. Gleiche Presets überall. Alle Logs an einem Ort. Der Mangel war beim nächsten Audit behoben.
Das Projekt dauerte sechs Wochen. Es ersetzte zwölf Seiten mit einem behobenen Mangel.
Mehr zur einheitlichen Anonymisierung und DSGVO-Audits: Einheitliche Presets und DSGVO-Audits.
Der Selbst-Test für Compliance
Können Sie diese vier Fragen sofort beantworten?
- Welche Felder werden auf allen Plattformen erkannt?
- Welche Schwellenwerte gelten einheitlich auf allen Plattformen?
- Wo sind alle Logs der letzten zwölf Monate?
- Wie werden Config-Änderungen auf alle Plattformen übertragen?
Wenn eine Frage zögern macht, ist die Lage riskant.
Eine klare Antwort ist möglich. Sie braucht ein einziges System auf allen Plattformen. Ohne das hat jedes Tool seine eigene Lücke. Seinen eigenen Silo. Seine eigene Drift.
Prüfer sehen das. Behörden nutzen das. Vor einem Audit zu wechseln ist leichter als danach.
Mehr zum Thema Tool-Fragmentierung: DSGVO-Audit und Tool-Fragmente.