Zutrittskontrolle: Unbefugten ist der Zutritt zu DV-Anlagen zu
verwehren.
Zugangskontrolle: Unbefugte sollen keinen Zugang zu DV-Anlagen
haben.
Zugriffskontrolle, Zugriffsberechtigung: Durch ein Rechte- und
Rollenmanagement können nur berechtigte Nutzer personenbezogene
Daten einsehen. Der Zugriff wird protokolliert. Unbefugte Dritte werden
ausgeschlossen und können sensible Daten nicht lesen, kopieren,
verändern oder löschen
Weitergabekontrolle: Sicherstellung, dass personenbezogene Daten
beim Transport oder bei der Speicherung nicht durch Dritte gelesen,
kopiert, verändert oder entfernt werden können
Eingabekontrolle: Gewährleistung, dass nachträglich überprüft und
festgestellt werden kann, ob Daten verändert oder entfernt worden
sind
Auftragskontrolle: Personenbezogene Daten werden nur nach der
vertraglichen Regel der Auftragsverarbeitung verarbeitet
Verfügbarkeitskontrolle: Personenbezogene Daten werden vor Verlust
oder Zerstörung geschützt
Trennungsgebot: Personenbezogene Daten werden ihrem Zweck nach
getrennt verarbeitet und gespeichert
Für jede der acht Kontrollarten gibt es konkrete, praxistaugliche Maßnahmen:
Zutrittskontrolle → Chipkarten- oder PIN-Zutrittssysteme, Schließanlagen, Videoüberwachung, Besucherregelungen mit Empfang/Anmeldung
Zugangskontrolle → starke, komplexe Passwörter mit regelmäßigem Wechsel, Multi-Faktor-Authentifizierung (MFA), automatische Bildschirmsperre nach Inaktivität
Zugriffskontrolle → Rollen- und Rechtekonzepte (RBAC), Need-to-know-Prinzip – jeder Mitarbeiter sieht nur, was er für seine Aufgabe braucht
Weitergabekontrolle → Verschlüsselung bei der Übertragung (VPN, TLS/HTTPS), verschlüsselte USB-Sticks/Festplatten beim Datenversand
Eingabekontrolle → lückenlose Protokollierung (Logging), wer wann welche Daten angelegt, verändert oder gelöscht hat; Versionierung
Auftragskontrolle → Abschluss eines Auftragsverarbeitungsvertrags (AVV) mit Dienstleistern, regelmäßige Prüfung der Weisungsgebundenheit