ISO 27001:2022 · A.8.11 · A.8 Technologische Maßnahmen
Datenmaskierung
Datenmaskierung muss gemäß der Zugriffskontrollrichtlinie und anderen relevanten Anforderungen eingesetzt werden, um die Offenlegung sensibler Daten zu begrenzen.
ISO 27001DSGVOTISAXNIS2BSI
Was fordert dieses Control?
Datenmaskierung muss gemäß der Zugriffskontrollrichtlinie und anderen relevanten Anforderungen eingesetzt werden, um die Offenlegung sensibler Daten zu begrenzen.
Warum ist das wichtig?
Maskierung und Pseudonymisierung reduzieren das Risiko, dass sensible Daten in Test-, Analyse- oder Supportumgebungen ungeschützt offengelegt werden.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| DSGVO | Art. 25/32 | Pseudonymisierung | Direkt |
| TISAX | 5.2.4 | Schutz von Testdaten | Indirekt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 8 BSIG | Kryptographie | Indirekt |
| BSI | CON.8 | Software-Entwicklung | Indirekt |
Was der Auditor erwartet
- Einsatz von Maskierung/Pseudonymisierung wo angemessen
- Schutz sensibler Daten in Nicht-Produktivumgebungen
- Bezug zur Zugriffskontrolle
Audit-Checkliste
Dokumente
Vorgaben zur DatenmaskierungWann und wie Daten maskiert oder pseudonymisiert werden
Nachweise
Beispiel TestdatenMaskierte oder synthetische Daten in Test/Support
Anzeige-Maskierungs-KonfigurationBeleg maskierter Felder in Anwendungen, z.B. nur letzte IBAN-Ziffern sichtbar
Testdaten-ErzeugungsnachweisVerfahren zur Generierung synthetischer oder pseudonymisierter Datensätze
Praxis-Tipps zur Umsetzung
Test ohne EchtdatenIn Test- und Entwicklungsumgebungen maskierte oder synthetische Daten verwenden.
Rollenbezogen maskierenSensible Felder nur für berechtigte Rollen im Klartext anzeigen.
PseudonymisierenFür Analysen Daten pseudonymisieren statt im Klartext zu nutzen.
Häufige Fehler
Echtdaten im TestProduktive personenbezogene Daten werden ungeschützt zum Testen kopiert.
Vollzugriff für alleSupport sieht sensible Felder ohne Notwendigkeit im Klartext.
Anonymisierung verwechseltPseudonymisierung wird als Anonymisierung ausgegeben, obwohl nur echte Anonymisierung aus der DSGVO herausführt.
Häufig gestellte Fragen
Was ist der Unterschied zwischen Maskierung und Pseudonymisierung?
Maskierung verbirgt Daten (z.B. nur letzte Ziffern sichtbar), Pseudonymisierung ersetzt sie durch Kennungen, die nur mit Zusatzwissen rückführbar sind.
Ist Datenmaskierung Pflicht?
Sie ist anzuwenden, wo angemessen, besonders bei sensiblen Daten in Nicht-Produktivumgebungen und für Datenschutz.
Hilft das bei der DSGVO?
Ja, Pseudonymisierung ist eine ausdrücklich genannte technische Maßnahme der DSGVO.
So hilft CompliantDesk bei A.8.11
Dokumentieren Sie Maskierungs- und Pseudonymisierungsvorgaben als Kontrolle und verknüpfen Sie sie mit den betroffenen Verarbeitungstätigkeiten im VVT.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten