{"id":3704,"date":"2019-08-14T17:19:38","date_gmt":"2019-08-14T15:19:38","guid":{"rendered":"https:\/\/blog.iese.fraunhofer.de\/?p=3704"},"modified":"2024-05-27T13:41:27","modified_gmt":"2024-05-27T11:41:27","slug":"10-jahre-datennutzungskontrolle-am-fraunhofer-iese","status":"publish","type":"post","link":"https:\/\/www.iese.fraunhofer.de\/blog\/10-jahre-datennutzungskontrolle-am-fraunhofer-iese\/","title":{"rendered":"10 Jahre Forschung zu Datennutzungskontrolle am Fraunhofer IESE"},"content":{"rendered":"

Vor zehn Jahren fiel am Fraunhofer IESE der Startschuss f\u00fcr die Forschung im Bereich \u201eDatennutzungskontrolle\u201c: ein guter Zeitpunkt, um sich das Thema, das ein wichtiger Bestandteil f\u00fcr informationelle Selbstbestimmung ist, nochmals etwas genauer anzuschauen und die vergangenen Jahre Revue passieren zu lassen.<\/p>\n

Im Rahmen des digitalen Wandels werden immer mehr Daten durch IT-Anwendungen erhoben, analysiert, veredelt und ausgetauscht. Gerade der Austausch von Daten stellt Unternehmen aber vor gro\u00dfe H\u00fcrden, sobald es um sensible oder gesch\u00e4ftskritische Daten geht. Auf einen Austausch zu verzichten mindert die Wettbewerbsf\u00e4higkeit eines Unternehmens. Sich unkontrolliert zu \u00f6ffnen birgt Gefahren. Die Herausforderung ist es, einen Mittelweg bei der Datenweitergabe zu beschreiten. Dazu k\u00f6nnen Daten vor der Weitergabe gem\u00e4\u00df gesetzlichen Vorgaben und betrieblichen Bestimmungen gefiltert oder maskiert werden.<\/p>\n

2018 sorgte zus\u00e4tzlich die Einf\u00fchrung der Datenschutzgrundverordnung<\/a> (DSGVO) f\u00fcr erheblichen Wirbel. Sch\u00e4rfere Regelungen bei der Verarbeitung von personenbezogenen Daten, wenige Ausnahmen, sowie mehr Rechte zur informationellen Selbstbestimmung der Betroffenen \u2013 all dies stellte kleine und gro\u00dfe Unternehmen vor gro\u00dfe Herausforderungen. Zusammen mit den drohenden Bu\u00dfgeldern bei Nichteinhaltung, bereitet dies den Unternehmen einiges Kopfzerbrechen.<\/p>\n

Wie kann man Daten besser sch\u00fctzen?<\/h3>\n

Mehr denn je wurde in den letzten Jahren deutlich: Sicherheitsma\u00dfnahmen sind nicht f\u00fcr einen durchg\u00e4ngigen, technischen Schutz von Daten ausgelegt. Sie basieren im Kern darauf den Zugriff auf Daten zu kontrollieren, haben aber zwei inh\u00e4rente Schwachstellen: Zum einen wird jede Kontrolle \u00fcber die Daten aufgegeben, sobald sie einmal freigegeben werden. Zum anderen hat man nur die Wahl zwischen den beiden Extremen \u201ealle Daten freigeben\u201c und \u201ekeine Daten freigeben\u201c. In der Regel sind Abstufungen dazwischen, beispielsweise eine anonymisierte Freigabe, nicht vorgesehen.<\/p>\n

Bei dieser Ausgangslage stellt sich jedoch die Frage: Wie kann man Aspekte wie \u201eZweckbindung\u201c als Teil der informationellen Selbstbestimmung im digitalen Wandel technisch umsetzen, wenn doch niemand wei\u00df, was nach dem Zugriff wirklich mit den Daten geschieht? Wurden die Daten m\u00f6glicherweise kopiert, archiviert, wom\u00f6glich weitergegeben?<\/p>\n

Genau mit solchen Fragestellungen besch\u00e4ftigt sich das Thema \u201eDatennutzungskontrolle<\/a>\u201c. Im Kern steht die Vision \u201eDaten teilen, Kontrolle behalten\u201c. So einfach die Idee klingt, so grundlegend ist der Paradigmenwechsel \u2013 sowohl technisch, als auch in der Denkweise. Wo fr\u00fcher konservativ mit einer Datenherausgabe umgegangen werden musste, k\u00f6nnen mit Datennutzungskontrolle Daten nun einfach herausgegeben werden, bei garantierter Einhaltung der Nutzungsberechtigung. Und im Zweifel kann man die Nutzungsberechtigung ja immer noch \u00e4ndern oder widerrufen.<\/p>\n

\n

Datennutzungskontrolle (engl. Data Usage Control)<\/strong> ist eine Erweiterung von Zugriffskontrolle. W\u00e4hrend Zugriffskontrolle ausschlie\u00dflich regelt wer Zugriff auf ein bestimmtes Datum erh\u00e4lt, regelt Datennutzungskontrolle auch wie die Daten nach dem Zugriff verwendet werden d\u00fcrfen. Es ist somit ein wichtiger Baustein f\u00fcr informationelle Selbstbestimmung und verwandt mit Konzepten wie Smart Contracts und Digital Rights Management.<\/p>\n<\/div>\n

Dieser Vision widmet sich das IESE nun seit ziemlich genau zehn Jahren. In diesem Artikel m\u00f6chten wir diese Zeit \u2013 welche wir in vier Phasen einteilen k\u00f6nnen \u2013 Revue passieren lassen und einen Ausblick auf unsere zuk\u00fcnftige Forschung geben.<\/p>\n

Phase 1: Die Grundlagen (2009 \u2013 2013)<\/h3>\n

Der offizielle Startschuss fiel 2009 unter Leitung von Prof. Dr. Alexander Pretschner<\/a>. In der ersten Phase unserer Forschung widmeten wir uns im Kern drei grundlegenden Fragestellungen:<\/p>\n

    \n
  1. Welche Anwendungsf\u00e4lle f\u00fcr Datennutzungskontrolle gibt es?<\/li>\n
  2. Wie kann man Nutzungsberechtigungen (sog. Policies) f\u00fcr Daten formal und maschinenlesbar beschreiben?<\/li>\n
  3. Wie kann man Nutzungsberechtigungen technisch umsetzen?<\/li>\n<\/ol>\n

    Im Rahmen mehrerer Projekte entwickelten wir daraufhin eine auf dem XACML<\/a>-Standard und der Obligation Specification Language<\/a> (OSL) basierende Sprache. Diese erm\u00f6glicht es Nutzungsberechtigungen auszudr\u00fccken. In den g\u00e4ngigen Sprachen fehlten dazu essenzielle Elemente. Beispiele f\u00fcr solche Nutzungsberechtigungen sind:<\/p>\n