SIEM - das bessere PRISM im Cyberwar?

Anonymisierung schützt Identität des Log-Verursachers

Auch wenn ein ausgefeiltes Rollen- und Rechtekonzept zum Einsatz kommt, verbleibt ein Nachteil: Der SIEM-Benutzer kann die Identität des Log-Verursachers einsehen. Damit lassen sich möglicherweise Bewegungsprofile erstellen, die direkt einem Nutzer zugeordnet werden können. Dieser Personenbezug stellt eine der größten Herausforderungen beim Aufbau eines SIEM-Systems dar, für die aber mittlerweile meist technische Lösungsmöglichkeiten existieren.

Anonymisierung beziehungsweise Pseudonymisierung ermöglichen das Verschleiern der wahren Identität. Beispielsweise wird aus dem Benutzernamen "Hr. Müller" der Wert "XHd73lfuaSJ87". Von Anonymisierung spricht man, wenn personenbezogene Daten derart verändert werden, dass die Einzelangaben über persönliche und sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können (siehe BDSG §3 Abs.6).

Datenschutz mit Hilfe der Pseudonymisierung

Pseudonymisierung ist nicht ganz so strikt definiert. Hierunter versteht man das Ersetzen des Namens oder anderer Identifikationsmerkmale durch ein Kennzeichen zum Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren (siehe BDSG §3 Abs.6a). Da die Anforderung der Auflösung des verschleierten Datums besteht, kommt bei SIEM-Systemen die Pseudonymisierung zum Einsatz.

Aus technischer Sicht können hier zum Beispiel Hash-, symmetrische (zum Beispiel AES256) oder asymmetrische Verschlüsselungsverfahren (zum Beispiel Public-Private-Key-Verfahren) zum Einsatz kommen. Letztere eignen sich aufgrund der geringen Geschwindigkeit verglichen mit symmetrischen Verfahren weniger zur Pseudonymisierung selbst. Eher noch sind sie zum Schutz der eigentlichen Pseudonymisierungsfunktion oder des symmetrischen Schlüssels geeignet.

Zur Auflösung des Pseudonyms müssen organisatorische Verfahren abgestimmt und implementiert werden, die festlegen, wann welche Unternehmensbereiche wie Datenschutz, Betriebsrat oder auch Revision einbezogen werden müssen und welche Mitspracherechte und -pflichten sie einnehmen. Die Kombination aus diesen Prozessen und der technischen Möglichkeit der Pseudonymisierung bestimmt dabei den Reifegrad des SIEM-Systems hinsichtlich des Datenschutzes.