TOM und TOP, eine Frage der Sicherheit

Das Thema Sicherheit spielt bei Veranstaltungen immer eine Rolle: Veranstaltungssicherheit, Arbeitssicherheit, IT-Sicherheit/Datenschutz…

A. TOM im Datenschutz

Das Datenschutzrecht fordert von den Verantwortlichen technische und organisatorische Maßnahmen (TOM), die sich aus § 64 BDSG-neu ergeben.

(1.) Zugangskontrolle:

→ Verwehrung des Zugangs für Unbefugte zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird.

(2.) Datenträgerkontrolle: 

→ Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Löschens von Datenträgern.

(3.) Speicherkontrolle: 

→  Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten.

(4.) Benutzerkontrolle: 

→ Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte.

(5.) Zugriffskontrolle: 

→ Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben.

(6.) Übertragungskontrolle: 

→ Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können.

(7.) Eingabekontrolle: 

→ Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben oder verändert worden sind.

(8.) Transportkontrolle: 

→ Gewährleistung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden.

(9.) Wiederherstellbarkeit: 

Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können.

(10.) Zuverlässigkeit: 

→ Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden.

(11.) Datenintegrität: 

→ Gewährleistung, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können.

(12.) Auftragskontrolle: 

→ Gewährleistung, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.

(13.) Verfügbarkeitskontrolle: 

→ Gewährleistung, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind.

(14.) Trennbarkeit: 

→ Gewährleistung, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können.

B. TOP in der Arbeitssicherheit:

In der Arbeitssicherheit gibt es technische, organisatorische und persönliche Maßnahmen (TOP) zum Schutz der Mitarbeiter. Hier haben die Berufsgenossenschaften eine Reihenfolge festgelegt.

(1.) Technische Maßnahmen:

→ Vermeidung der Gefahr (z.B. indem ein gefährliches Arbeitsverfahren durch ein ungefährliches Verfahren ersetzt wird).

→ Trennung von Mensch und Gefahr.

(2.) Organisatorische Maßnahmen:

→ Organisatorische Maßnahmen (z.B. indem die Einwirkung eines gefährlichen Ereignisses zeitlich begrenzt wird).

(3.) Persönliche Maßnahmen:

→ Persönliche Schutzausrüstung (z.B. Sicherheitsschuhe, Handschuhe)

→ Unterweisungen (dazu gehören neben Schulungen und Belehrungen, auch Schilder und Markierungen, Verbote, Gebote usw.).

In der TRBS 1111 gibt es eine ähnliche folgende Reihenfolge:

• Vermeidung der Gefährdung,
• Verbleibende Gefährdung möglichst gering halten,
• Schutz vor Gefährdung durch Einsatz technischer Maßnahmen,
• Personen aus dem Gefahrenbereich fernhalten,
• Schulen und Unterweisen, und zu Guter letzt:
• Schutz vor Gefährdungen durch Einsatz persönlicher Schutzausrüstung

C. TOP´M in der Veranstaltungssicherheit?

Derartige einigermaßen klare Vorgaben fehlen für die Veranstaltungssicherheit. Bei Sicherheitskonzepten bspw. herrscht eine gewisse Unsicherheit, was Inhalt eines Sicherheitskonzepts sein soll.

Legt man die TOM aus dem Datenschutz und die TOP aus dem Arbeitsschutz übereinander, und vergleicht sie mit den Anforderungen für die Veranstaltungssicherheit, kann man auch hierfür einiges als übergeordnete Maßnahmen ableiten:

(1.) Gefahrenvermeidung:

Risiken, die vermeidbar sind, sind zu vermeiden. Dabei ist, abweichend zum Datenschutz und Arbeitsschutz, zu berücksichtigen, dass wir Menschen feiern wollen und sollen. Die Gefahrenvermeidung darf daher nicht zu einer Vergnügungsvermeidung führen, also zu Absage der Veranstaltung.

Aber:

→ Gewährleistung, dass Risiken, die unnötig sind im Verhältnis zum Vergnügen, schon konzeptionell vermieden werden.

→ Gewährleistung, dass Risiken, mit denen die Zielgruppe nicht umgehen kann, vermieden werden.

→ Gewährleistung, dass Risiken nicht durch Budgetzwang, Zeitdruck oder Personalmangel entstehen.

(2.) Maßnahmenplanung:

→ Im Rahmen der Verkehrssicherung sind notwendige und zumutbare Maßnahmen zu treffen, um Besucher zu schützen. Alle Maßnahmen könnten dabei nun unter dem Gesichtspunkt der folgenden Aspekte (die ich aus den TOM zum Arbeitsschutz hierher übertragen habe) betrachtet werden.

(3.) “Wiederherstellbarkeit”: 

→ Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können.

Das kennt man schon: Dieser Aspekt taucht in vielen Sicherheitskonzepten unter dem Stichwort Kontinuitäts-Management auf.

(4.) “Zuverlässigkeit”: 

→ Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden.

Das fehlt oft: Fehler und Störungen im Sicherheitskonzept können nur erkannt und gemeldet werden, wenn auch Dritte wissen, wann ein Fehler ein Fehler und eine Störung eine Störung ist.

Lösungsmöglichkeiten: Schulung und Unterweisung. Einbindung der Mitarbeiter. Herstellung der Akzeptanz der Maßnahmen. Kommunikationskonzept.

(5.) “Systemintegrität”: 

→ Gewährleistung, dass Fehler oder der Ausfall einzelner Maßnahmen nicht zum Ausfall des ganzen Systems führen können.

Das kennt man schon: Dieser Aspekt findet sich oft als Redundanz wieder, d.h. dass Maßnahmen durch entsprechende Vorhaltungen abgesichert sind, falls ein erster Plan nicht funktioniert.

(6.) “Auftragskontrolle”: 

→ Gewährleistung, dass Maßnahmen weisungsgemäß und gemäß den Sicherheitsplanungen umgesetzt werden.

Das fehlt oft: Viele Sicherheitskonzepte (um nicht zu sagen, vermutlich fast alle) überschätzen das Funktionieren ihrer Überlegungen. Sie überschätzen dabei die Motivation und Integrität der Mitarbeiter, die vor Ort die Maßnahmen umsetzen sollen.

Lösungsmöglichkeiten: Schulung und Unterweisung. Einbindung der Mitarbeiter. Herstellung der Akzeptanz der Maßnahmen. Kontrollen.

(7.) “Verfügbarkeitskontrolle”: 

→ Gewährleistung, dass einzelne Maßnahmen gegen Missbrauch und Manipulation (z.B. IT-Sicherheit für EDV-Systeme, Videoanlagen, Lautsprecheranlagen) geschützt sind.

Das fehlt oft: Menschen und Technik sind manipulierbar. Viele Sicherheitskonzepte bauen auf Lautsprecherdurchsagen und Einblendungen auf Videowalls, übersehen dann aber deren Anfälligkeit für Angriffe.

Lösungsmöglichkeiten: Einführung IT-sicherheitstechnischer Maßnahmen.

(8.) “Trennbarkeit”: 

→ Gewährleistung, dass einzelne Maßnahmen auch autark funktionieren können und nicht derart ineinander verschachtelt sind, dass der Ausfall eines Systemteils zum Kollaps des ganzen Systems führt.

Das fehlt oft: Viele Sicherheitskonzepte bauen darauf, dass alle Fäden in einer Hand zusammen laufen. Das mag oft nicht anders gehen, aber ein Beispielsfall: Alles steht und fällt mit der Fitness des Sicherheitsverantwortlichen. Was aber, wenn der krankheitsbedingt zwischendurch ausfällt?

Lösungsmöglichkeiten: Schulung und Unterweisung. Einbindung der Mitarbeiter. Prüfung, wo die Delegation der Entscheidungsgewalt auf einen Verantwortlichen vor Ort sinnvoll ist. Kommunikationskonzept.