Einhaltung der UK GDPR
Die UK-GDPR verpflichtet Organisationen, ein angemessenes Sicherheitsniveau bei der Verarbeitung zu gewährleisten. Erfahren Sie, wie ImmuniWeb Ihnen hilft, die Pflichten nach Artikel 32 durch Web- und Mobile-Application-Testing zu erfüllen.
Einhaltung der UK GDPR
Was ist die UK-GDPR?
Die UK-GDVO spiegelt die Grundsätze und Rechte der EU-DSGVO für das Vereinigte Königreich wider: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit, verbunden mit umfassenden Rechten der betroffenen Personen. Verantwortliche und Auftragsverarbeiter müssen personenbezogene Daten durch geeignete Maßnahmen schützen.
Die UK-GDVO spiegelt die Grundsätze und Rechte der EU-DSGVO für das Vereinigte Königreich wider: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit, verbunden mit umfassenden Rechten der betroffenen Personen. Verantwortliche und Auftragsverarbeiter müssen personenbezogene Daten durch geeignete Maßnahmen schützen.
Erfahren Sie, wie ImmuniWeb Ihnen hilft, UK GDPR Article 32 – security of processing für Web- und mobile Apps, die personenbezogene Daten verarbeiten, zu erfüllen. Request a demo oder führen Sie einen kostenlosen Community Edition test durch.
Wer muss sich an den UK GDPR halten?
Die UK GDPR gilt für:
- Verantwortliche und Auftragsverarbeiter im Vereinigten Königreich, die personenbezogene Daten verarbeiten.
- Organisationen außerhalb des Vereinigten Königreichs, die Waren oder Dienstleistungen an Personen im Vereinigten Königreich anbieten oder deren Verhalten überwachen.
- Jeder Sektor und jede Größe – von Start-ups über multinationale Konzerne bis hin zu öffentlichen Einrichtungen.
Jede Organisation, die internetexponierte Web- und mobile Anwendungen betreibt, die personenbezogene Daten verarbeiten, muss diese sichern und testen.
Wichtige Anforderungen der britischen DSGVO an die Anwendungssicherheit
Mehrere Artikel treiben die Anwendungssicherheitsarbeit an; der zentrale ist Artikel 32:
- Artikel 32 – Sicherheit der Verarbeitung: geeignete technische und organisatorische Maßnahmen, einschließlich eines Verfahrens zur regelmäßigen Prüfung, Bewertung und Beurteilung ihrer Wirksamkeit.
- Artikel 25 – Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen: Sicherheit von Anfang an in Systeme einbauen.
- Artikel 5(1)f – Integrität und Vertraulichkeit: Schutz personenbezogener Daten vor unbefugter Verarbeitung, Verlust oder Beschädigung.
- Meldung von Datenschutzverletzungen: Die ICO ist innerhalb von 72 Stunden zu benachrichtigen, wenn die Datenschutzverletzung wahrscheinlich die Rechte und Freiheiten natürlicher Personen gefährdet.
UK GDPR-Sicherheitsanforderungen im Detail
Artikel 32 – Sicherheit der Verarbeitung
Artikel 32 schreibt angemessene technische und organisatorische Maßnahmen sowie einen Prozess zur regelmäßigen Prüfung, Bewertung und Beurteilung ihrer Wirksamkeit vor. In der Praxis bedeutet dies Penetrationstests und Schwachstellenscans von Web- und Mobilanwendungen, APIs und der Infrastruktur, die personenbezogene Daten verarbeiten. Die ICO hat Organisationen gemäß Artikel 32 und Artikel 5 Absatz 1 Buchstabe f wegen unzureichender Sicherheit mit hohen Geldbußen belegt.
Artikel 25 – Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen
Sicherheit muss von Anfang an integriert, nicht nachgerüstet werden. Die Einbettung von Sicherheitstests in den Softwareentwicklungszyklus trägt zur Erfüllung von Artikel 25 bei und gewährleistet, dass Anwendungen bei jedem Release sicher bleiben.
Gängige Risiken in Web- und mobilen Anwendungen, die zu beheben sind
Die meisten Datenschutzverletzungen treten über anfällige Web- und mobile Anwendungen auf. Die Risiken, auf die Sie gemäß Artikel 32 prüfen müssen, entsprechen weitgehend den OWASP Top 10:
- Broken Access Control — Nutzer erreichen Daten oder Aktionen, auf die sie keinen Zugriff haben sollten.
- Kryptografische Ausfälle – schwache oder fehlende Verschlüsselung, die sensible Daten exponiert.
- Injection — SQL-, Befehls- oder andere Injections durch nicht validierte Eingaben.
- Unsicheres Design – fehlende Sicherheitskontrollen im Design, nicht nur durch Bugs.
- Sicherheitsmiskonfiguration — Standard-, unvollständige oder unsichere Konfiguration.
- Anfällige und veraltete Komponenten – ungepatchte Bibliotheken und Frameworks.
- Identification & Authentication Failures — schwache Login-, Session- oder Credential-Handhabung.
- Software- und Datenintegritätsfehler — unvertrauenswürdige Updates, unsichere CI/CD-Pipelines.
- Mängel in der Sicherheitsprotokollierung und -überwachung — Angriffe, die unentdeckt bleiben.
- Server-Side Request Forgery (SSRF) – Der Server wird dazu verleitet, bösartige Anfragen zu stellen.
Für mobile Apps ist die OWASP Mobile Top 10 die entsprechende Referenz (unsichere Datenspeicherung, unsichere Kommunikation, schwache Kryptografie usw.). Das zuverlässige Finden dieser Probleme erfordert das Testen der laufenden Anwendung, nicht nur eine Dokumentenüberprüfung.
Wie Sie die Anwendungssicherheit im Rahmen der UK-GDPR mit ImmuniWeb angehen
- Entdecken Sie Ihre Assets. Erfassen Sie Internet-Apps, APIs und exponierte Daten mit ImmuniWeb Discovery.
- Testen Sie Webanwendungen mit On-Demand (Penetrationstests) und Neuron (Scanning).
- Testen Sie mobile Anwendungen mit MobileSuite und Neuron Mobile.
- Beheben und erneut testen mit umsetzbaren, fehlerfreien Berichten – Nachweis für „regelmäßige Tests“ gemäß Artikel 32.
- Integrieren Sie Tests in CI/CD mit Continuous, um Artikel 25 zu unterstützen.
- Überwachen Sie die Angriffsfläche mit Discovery, einschließlich der Überwachung des Dark Web auf auslaufende personenbezogene Daten.
So hilft Ihnen ImmuniWeb bei der Einhaltung des UK GDPR
ImmuniWeb unterstützt die UK GDPR-Pflichten zur Sicherheit der Verarbeitung mit Tests, die klare, audit-ready Nachweise liefern.
| Anforderung | Was erforderlich ist | ImmuniWeb-Produkte |
|---|---|---|
| Artikel 32 | Testen und bewerten Sie regelmäßig die Wirksamkeit von Sicherheitsmaßnahmen. | On-Demand, Neuron, Discovery, Continuous |
| Artikel 25 | Sicherheit durch Design und als Voreinstellung in Anwendungen integrieren. | Continuous, Neuron |
| Apps und Datenexposition | Sichere Web-/Mobile-Apps; erkennen Sie Lecks und exponierte Assets. | On-Demand, MobileSuite, Neuron Mobile, Discovery |
ImmuniWeb On-Demand liefert manuelle Webanwendungs-Penetrationstests; Neuron und Neuron Mobile bieten Scanning; MobileSuite deckt mobile Apps ab; Continuous integriert Testing in CI/CD; und Discovery kartiert Ihre Angriffsfläche und überwacht das Dark Web auf gelieferte personenbezogene Daten.
Britische DSGVO vs. Internationale Rahmenwerke
Wenn Sie bereits nach internationalen Standards arbeiten, decken dieselben ImmuniWeb-Tests alle diese Standards ab:
| Framework | Aspekt der Anwendungssicherheit | Wie ImmuniWeb abbildet |
|---|---|---|
| UK-DSGVO | Artikel 32: Sicherheit der Verarbeitung + regelmäßige Tests | Web-/Mobile-Penetrationstests, Scans, ASM, Dark Web-Monitoring |
| EU-DSGVO | Äquivalente Verpflichtung zur Sicherheit der Verarbeitung | Dieselben Tests decken beide ab |
| Swiss FADP | Verpflichtungen zur Datensicherheit | Dieselben Tests decken beide ab |
| ISO/IEC 27001 | Anhang A technische Kontrollen | Tests als Kontrollnachweis |
Penetrationstests vs. Security Scanning
Beides ist erforderlich. Automatisiertes Scannen (DAST) bietet eine breite, häufige Abdeckung und ist ideal für kontinuierliche Tests im CI/CD-Pipeline; manuelle Penetrationstests finden Geschäftslogik- und komplexe Schwachstellen, die Scanner übersehen, und liefern die Tiefe, die Prüfer und Regulierungsbehörden erwarten. Kombinieren Sie kontinuierliches Scannen mit regelmäßigen manuellen Penetrationstests und führen Sie nach wesentlichen Änderungen erneut Tests durch.
Compliance-Checkliste (Anwendungssicherheit)
- Inventar internetzugänglicher Apps, APIs und exponierter Assets
- Webanwendungen, die nach OWASP Top 10 getestet wurden
- Mobile Anwendungen, die gegen die OWASP Mobile Top 10 getestet wurden
- Sicherheitstests in den SDLC integriert (Artikel 25)
- Regelmäßige Tests dokumentiert für Artikel 32
- Mängel behoben und erneut getestet; Aufzeichnungen aufbewahrt.
- Dark-Web- und Exposure-Monitoring für durchgesickerte personenbezogene Daten
Warum die Einhaltung der UK-GDPR wichtig ist
Die ICO hat einige der höchsten Datenschutzbußgelder des UK wegen Sicherheitsmängeln gemäß Artikel 32 und Artikel 5 Absatz 1 Buchstabe f verhängt; das Maximalbußgeld beträgt bis zu 17,5 Millionen GBP oder 4 % des weltweiten Jahresumsatzes. Ein Verstoß löst zudem eine Meldepflicht innerhalb von 72 Stunden aus und führt zu Reputationsschäden.
Da Web- und Mobile-Anwendungen zu den am häufigsten ausgenutzten Entry Points zählen, ist das nachweisbare Testen eine der wirksamsten Methoden, um Article 32 zu erfüllen und das Breach-Risiko zu verringern.