Lückenlos konform

Generell gilt: Unternehmen sind in der Pflicht, zu prüfen, ob Ihre bestehende oder geplante Sicherheitslösung den Datenschutz- bestimmungen der EU-DSGVO entspricht. Die EU-DSGVO selbst enthält keine spezifischen Vorschriften zur Videoüberwachung, wohl aber Regeln zur Erhebung personenbezogener Daten. Somit ist davon auszugehen, dass in jedem Unternehmen die Anforderungen der EU-DSGVO an Datenschutz und Datensicherheit bei der Videosicherheit unterschiedlich erfüllt werden müssen.

Die Umsetzung beginnt bereits bei der Softwarearchitektur, die auf solchen Datenschutz-Prinzipien wie „Privacy by design“ und „Privacy by default“ beruhen sollte. Dies bedeutet auch, dass in der Software im Auslieferungszustand bereits wesentliche Datenschutzeinstellungen vorgesehen und voreingestellt sind, die nicht, oder gegebenenfalls nur nachträglich durch den Betreiber verändert werden können. Alle internen Verkehrsbeziehungen im Videosystem sollten verschlüsselt sein und protokolliert werden. Diese Verschlüsselung darf vom Betreiber nicht abschaltbar sein, um die Integrität des Systems in jedem Fall zu erhalten. Jede Installation muss ein eigenes Schlüsselset für die Verschlüsselung erhalten, wobei die BSI-Konformität der Kennwörter voreingestellt, verpflichtend und vom Betreiber nicht abschaltbar sein darf. Äußere Zeichen konsequent umgesetzter Datenschutz-Prinzipien sind zum Beispiel eine deutsche und europäische Datenschutzzertifizierung und das Vertrauenszeichen „IT SecurITy made in Germany“, mit dem vom Bundesverband IT-Sicherheit e.V. verbrieft wird, dass die entsprechende Herstellerfirma höchsten Ansprüchen im Hinblick auf Vertrauenswürdigkeit und Informationssicherheit entspricht.

Die Datensicherheit und Datenintegrität sollten von einem Videosystem optimalerweise auf den Übertragungsstrecken, den Speichermedien und den exportierten Datenträgern mit einer systemweiten und unterbrechungsfreien Ende-zu-Ende-Verschlüsselung von Video- und Audio-Streams sichergestellt werden. Als sehr effektiv hat sich ein hybrides und damit ressourcenschonendes AES/RSA Verschlüsselungsverfahren erwiesen, mit dem Manipulationen, unautorisierte Einsicht und unberechtigte Verwendung von Video- und Audio-Daten sicher verhindert werden können. Auch Risiken, die bei einer Verschlüsselung auf den Netzwerkstrecken entstehen können, werden so vermieden. Bei einer echten Ende-zu- Ende-Verschlüsselung sorgt ein zusätzlich auf den Kameras installiertes Crypto-Plug-in dafür, dass bereits ab Kamera im gesamten System bis hin zum Arbeitsplatz des Bedieners nur noch verschlüsselte Daten verarbeitet werden.

Auch mit einer mehrstufigen softwareseitigen und/oder hardwaregestützten Verpixelung kann sichergestellt werden, dass die aktuellen Bestimmungen zum Datenschutz und zu den Personenrechten eingehalten werden können. Ein unbegrenztes Mehraugenprinzip, das über das bekannte Vieraugen-Prinzip hinausgeht, sichert zuverlässig, dass mehrere nur in Summe berechtigte Personen, unter Hinzuziehung von Betriebsrat und Datenschutzbeauftragten, bei Erfordernis Zugriff auf Videosequenzen haben. Auch bei einem Export von Daten ist die Datenintegrität durch Verschlüsselung zu gewährleisten, damit bei einer Übergabe an die Polizei oder Strafverfolgungsbehörden eine Gerichtsverwertbarkeit erhalten bleibt.

Eine komplexe Benutzerverwaltung sowie eine Integration in Domänen-Infrastrukturen müssen auf intuitive Weise die komfortable Steuerung der Berechtigungen ermöglichen. Eine innovative Möglichkeit ist die Steuerung von Aufzeichnungs-Zeiten und -dauer, sowie der Ansichts-, Zugriffs- und Aufzeichnungsoptionen, indem eine separat konfigurierbare Alarmaufzeichnungsspur mit alternativen Parametern konfiguriert werden kann, um sicherheitsrelevanten Information länger aufbewahren zu können. Darüber hinaus müssen sich wichtige ereignisorientierte Aufzeichnungsdaten dauerhaft „schützen“ lassen, um sie vor dem automatischen Löschprozess zu bewahren. Diese erweiterten Funktionen sollten im Sinne der Einhaltung der Datenschutzbestimmungen jeweils über separate Systemrechte verfügen.

Zum Schutz vor Hackerangriffen können in modernen Videomanagementsystemen Black- und Whitelists für Server definiert werden, um bestimmte Funktionen nur auf bestimmten Rechnern ausführen zu lassen. Zugriffe von anderen Netzwerk-Geräten werden dadurch automatisch geblockt. Redundanzen können nicht nur auf Server-Ebene, sondern auch auf Softwareprozess-Ebene geschaffen werden. Die Vorteile: Fällt ein Softwareprozess aus, übernimmt ein anderer Prozess innerhalb von Millisekunden die entsprechende Funktionalität. Dieser Ersatzprozess kann sich auf der gleichen Hardware oder auch auf einer alternativen Hardware befinden. Verkettungen sind möglich, sodass in sicherheitskritischen Systemen auch Mehrfachredundanzen gebildet werden können.

Ganz besonders kommt es auf kompetente Beratung der Kunden zur Erläuterung der zahlreichen Möglichkeiten in einer Videomanagementsoftware an. Nur so können in Zusammenarbeit und Abstimmung mit Kunden und Interessenten die entsprechenden Maßnahmen zur Erfüllung der Datenschutz-Anforderungen der EU- DSGVO praxisgerecht umgesetzt werden. Weitere Hilfestellungen bieten Checklisten und Datenschutz-Info-Dokumente mit wichtigen Hinweisen zur Einhaltung der aktuellen Datenschutz-Gesetze. Die Befolgung dieser Hinweise bei der Planung der Videosicherheitslösung sichert, dass diese den gesetzlich geforderten Sicherheits- und Datenschutzstandards entspricht. Dies kann im Rahmen der Planung mit präzisen und sehr anschaulichen 3D-Darstellungen von Kamera-Auswahl, Kamera-Positionierungen, Blickwinkeln und Pixeldichten (Detailerkennung) verdeutlicht werden.

Dr. Jürgen Hösel ist Leiter Marketing/Key Account Manager bei der Accellence Technologies GmbH, www.accellence.de