Data Security: Definition, Bausteine und Abgrenzung

Data Security (Datensicherheit) bezeichnet die Gesamtheit der technischen und organisatorischen Maßnahmen, die Daten beim Speichern, Verarbeiten und Übertragen vor unbefugtem Zugriff, Manipulation, Verlust und Abfluss schützen. Kernbausteine sind Verschlüsselung (Daten werden unlesbar gemacht), Zugriffskontrolle (nur berechtigte Personen und Systeme dürfen lesen oder schreiben), Auditing (jeder Zugriff wird lückenlos protokolliert) und Data Loss Prevention (technische Sperren gegen unkontrollierten Datenabfluss). Diese Bausteine wirken auf einem Regelwerk aus Klassifikation (welche Daten sind wie sensibel) und Data Governance (wer entscheidet, was mit welchen Daten passiert).

Was ist Data Security?

Data Security ist der Teil der Informationssicherheit, der sich gezielt auf das Schutzobjekt „Daten" konzentriert. Andere Bereiche schützen das Netzwerk (etwa Firewalls), Endgeräte (Laptops, Smartphones) oder Anwendungen (Web-Apps, APIs); Data Security setzt eine Ebene tiefer an, direkt am Datenobjekt: an einer einzelnen Tabelle, einer Spalte, einer Datei, einem Datensatz, einem laufenden Datenstrom (Stream) oder einer Datenbank-Momentaufnahme (Snapshot). Der Begriff hat sich in den 2000er-Jahren aus der klassischen IT-Sicherheit ausdifferenziert, weil die frühere Perimeter-Sicherheit (also der Schutz einer klar abgrenzbaren Firmen-IT durch Firewalls am Netzwerk-Rand) die Verlagerung von Daten in Cloud-Plattformen, SaaS-Systeme (Software as a Service, extern gehostete Anwendungen) und die externe Zusammenarbeit mit Partnern nicht mehr abdecken konnte.

Die Praxis benennt vier klassische Kernbausteine. Verschlüsselung wirkt auf drei Wirkorten: Data at Rest (Storage-Verschlüsselung mit Customer-Managed Keys), Data in Transit (TLS 1.3 zwischen Diensten) und Data in Use (Confidential Computing über Trusted Execution Environments). Zugriffskontrolle umfasst rollenbasierte Rechte (RBAC), attributbasierte Policies (ABAC), Row-Level Security und Column Masking auf klassifizierten Spalten. Auditing erfasst jeden Zugriff und jede Berechtigungsänderung, legt die Logs unveränderbar ab und leitet sie an ein SIEM zur Anomalie-Erkennung weiter. Data Loss Prevention verhindert den unkontrollierten Abfluss über Muster-Erkennung auf Downloads, E-Mails, Copy-Paste-Aktionen und API-Exporte.

Als Schutzziele nennt die ISO/IEC 27000-Familie die CIA-Trias: Confidentiality (Vertraulichkeit), Integrity (Integrität), Availability (Verfügbarkeit). Data Security adressiert primär Vertraulichkeit und Integrität; Verfügbarkeit fällt eher in den Bereich Backup, Replikation und Business Continuity. Regulatorisch wird Data Security in Deutschland und der EU von mehreren Rahmenwerken gleichzeitig gefordert: die DSGVO (Art. 32, Sicherheit der Verarbeitung) schreibt Verschlüsselung, Pseudonymisierung, Verfügbarkeit und Belastbarkeit vor; ISO/IEC 27001 Annex A 8 spezifiziert Asset-Kontrollen; die NIS2-Richtlinie legt Mindest-Sicherheitsmaßnahmen und Meldepflichten für kritische und wichtige Einrichtungen fest; TISAX bindet die Automobil-Lieferkette; der EU AI Act erweitert die Anforderungen auf Trainingsdaten und Modell-Robustheit.

Ab 2025 kommen neue Bausteine hinzu, die auf veränderte Bedrohungslagen reagieren: Confidential Computing für die Ebene Data in Use, [Clean Rooms](/insights/glossar/clean-rooms/) für datenschutzkonforme Datenkollaboration ohne Rohdaten-Kopie, Data-Exfiltration-Kontrollen gegen agentische KI-Systeme sowie Just-in-Time-Access mit Session-Recording. Operativ bleibt Data Security kein einzelnes Werkzeug, sondern ein Kontroll-Stack aus Katalog (Labels), Identität (SCIM/SSO), Autorisierung (RBAC/ABAC), Enforcement (RLS/Masking/DLP), Monitoring (SIEM) und Incident Response.

Abgrenzung: Data Privacy, Data Governance, Data Protection, Cyber Security

Data Security kollidiert im Deutschen mit mehreren eng verwandten Begriffen. Die Verwechslung ist besonders hoch, weil „Datenschutz" umgangssprachlich sowohl für Data Privacy als auch für Data Security genutzt wird und das englische „Data Protection" je nach Kontext das eine oder das andere bezeichnet.

Begriff	Fokus	Kernunterschied
Data Privacy	Rechtmäßigkeit	Rechtmäßiger Umgang mit personenbezogenen Daten (Zweckbindung, Einwilligung, Betroffenenrechte, Datenminimierung). Data Security ist eine Voraussetzung für Data Privacy (DSGVO Art. 32), deckt aber auch nicht-personenbezogene Daten ab (Betriebsgeheimnisse, ML-Modelle, Preisdaten).
Data Governance	Steuerung	Ownership, Regeln, Rollen, Prozesse und Nachweis über den Datenbestand. Data Governance entscheidet, wer welche Daten sehen darf; Data Security setzt die Regeln technisch durch und verhindert alles andere.
Data Protection	Mehrdeutig	Im DSGVO-Kontext (englisch „data protection") deckungsgleich mit Data Privacy plus Compliance; im IT-Kontext (Backup, Replikation, Disaster Recovery) deckungsgleich mit Availability-Maßnahmen. Data Security ist enger auf Confidentiality und Integrity gegen Zugriff und Manipulation fokussiert.
Cyber Security	Dach-Disziplin	Umfasst Netzwerk-, Endpoint-, Anwendungs- und Datensicherheit. Data Security ist der auf Datenobjekte spezialisierte Teil-Stack innerhalb der Cyber Security.
Information Security	Breitester Rahmen	Nach ISO/IEC 27000 auch physische, personelle und organisatorische Sicherheit. Data Security ist der technische Teil-Stack auf Datenebene innerhalb der Information Security.

Die zentrale Trennlinie verläuft zwischen Data Security und Data Privacy: Data Privacy fragt „darf ich diese Daten verarbeiten und für welchen Zweck", Data Security fragt „wie verhindere ich, dass Unbefugte an diese Daten kommen". Beide sind komplementär: DSGVO-konforme Verarbeitung ohne Verschlüsselung und Access Control ist nicht denkbar, Verschlüsselung ohne rechtmäßige Verarbeitungsgrundlage schützt die Daten technisch, verletzt aber trotzdem das Datenschutzrecht.

Die zweite häufige Verwechslung betrifft das Verhältnis zu [Data Governance](/insights/glossar/data-governance/): Governance definiert die Regeln (wer ist Owner, wie werden Daten klassifiziert, welche Freigabe-Prozesse gelten), Data Security implementiert die Kontrollen zur mechanischen Durchsetzung dieser Regeln (Encryption-Policy, Access-Policy, Masking-Regel, DLP-Filter, Audit-Ziel). Governance ohne Security bleibt eine Papierregel; Security ohne Governance schützt zwar den Speicher, aber niemand weiß, wer welche Daten anfassen darf.

Beispiel: Fünf-Ebenen-Stack im Databricks-Lakehouse

Ein Unternehmen betreibt ein Databricks-Lakehouse mit Unity Catalog und Kollaboration mit externen Partnern über Delta Sharing. Der Data-Security-Stack ist auf fünf Ebenen aufgebaut.

Auf der Encryption-Ebene läuft Storage-Verschlüsselung mit Customer-Managed Keys über den cloud-nativen Key-Management-Service; Transport-Verschlüsselung über TLS 1.3 zwischen Notebooks, SQL-Warehouses und Storage; für besonders sensible Workloads kommt Confidential Computing auf hardware-basierten Trusted Execution Environments zum Einsatz.

Auf der Identitäts-Ebene sind alle Nutzer und Gruppen über [SCIM](/insights/glossar/scim/) automatisch aus dem Identity Provider (Entra ID, Okta) in Unity Catalog synchronisiert. Zugriff läuft ausschließlich über Single Sign-On mit Multi-Faktor-Authentifizierung; personen-gebundene Personal Access Tokens sind gesperrt.

Auf der Autorisierungs-Ebene vergibt RBAC Grants auf Katalog-, Schema- und Tabellenebene. [ABAC-Policies](/insights/databricks/unity-catalog/abac/) binden Column-Masking-Funktionen automatisch an Spalten mit pii=true; [Row-Level Security](/insights/databricks/unity-catalog/row-level-security-und-column-masking/) filtert Zeilen nach Region oder Kundenkreis; DLP-Regeln blockieren Exporte von Tabellen mit sensitivity=restricted außerhalb definierter Netzwerkbereiche.

Auf der Klassifikations- und Sharing-Ebene liefert [Data Classification](/insights/glossar/data-classification/) die Tags (sensitivity=confidential, pii=true, data_category=financial), an denen alle Policies ansetzen. Externer Datenaustausch läuft über Delta Sharing mit Empfänger-spezifischen Grants, für aggregierte Analytik mit Partnern werden Clean Rooms genutzt.

Auf der Monitoring-Ebene schreibt Unity Catalog Audit-Logs für jede Query, jeden Grant und jede DDL-Änderung. Die Logs fließen an ein [SIEM](/insights/glossar/siem/) (Splunk, Sentinel), das auf ungewöhnliche Query-Muster, große Exporte und Zugriffe außerhalb der Geschäftszeiten alarmiert; Zugriffe agentischer KI-Systeme werden gesondert überwacht, um [Data Exfiltration via Agents](/insights/glossar/data-exfiltration-via-agents/) zu erkennen.

Der Wirkungsbereich hängt an der Vollständigkeit des Stacks. Ein blinder Fleck auf einer Ebene hebt die Wirkung der übrigen auf: ein unverschlüsselter Backup-Snapshot lässt Verschlüsselung ins Leere laufen, eine fehlende Klassifikation neutralisiert die ABAC-Policies, ein exportierter CSV ohne DLP-Prüfung setzt Row-Level Security außer Kraft.