Datenschutz und Cybersicherheit nach NIST belegen, mit einer Policy Engine und einem Audit-Log
Datenschutz- und Sicherheitsteams bekommen dieselbe Frage aus verschiedenen Richtungen gestellt: Können Sie belegen, dass die personenbezogenen Daten, mit denen Sie arbeiten, gesteuert, geschützt und nachvollziehbar sind? Viele Organisationen antworten mit zwei getrennten Programmen: einem Datenschutzprogramm nach dem NIST Privacy Framework und einem Cybersicherheitsprogramm nach NIST CSF 2.0, jeweils mit eigenen Verantwortlichen, Tabellen und Nachweisen. Die Lücken entstehen dort, wo beide Programme aufeinandertreffen: bei den Kanälen für E-Mail, Filesharing, SFTP, APIs und KI-Agenten, über die täglich sensible Daten fließen.
Dieser Leitfaden zeigt, wie Privacy Framework und CSF 2.0 zusammenspielen, was jede der fünf Datenschutzfunktionen von Ihnen verlangt und wie Profile und Tiers aus beiden Frameworks eine praxistaugliche Lückenanalyse machen. Außerdem ordnen wir die Kiteworks Control Plane für den sicheren Datenaustausch allen sechs CSF-2.0-Funktionen zu. So sehen Sie, welche Ergebnisse die Plattform unterstützt und welche bei Ihrem Team bleiben.
Executive Summary
Das NIST Privacy Framework ist ein freiwilliges Instrument, mit dem sich Datenschutzrisiken aus der Datenverarbeitung steuern lassen. NIST hat es für den gemeinsamen Einsatz mit dem NIST Cybersecurity Framework (CSF) 2.0 entworfen, das im Februar 2024 mit Govern eine sechste Funktion erhielt. Zusammen geben beide Datenschutz- und Sicherheitsteams eine gemeinsame Struktur aus Funktionen, Kategorien und Subkategorien. Kiteworks unterstützt diesen gemeinsamen Ansatz: Die Plattform setzt einheitliche Datenrichtlinien über E-Mail, Filesharing, Managed File Transfer, SFTP, Formulare, APIs und KI-Agenten durch und hält jede Entscheidung in einem einzigen Audit-Log fest.
Key Takeaways
- Privacy Framework und CSF 2.0 sind für den gemeinsamen Einsatz gedacht. Beide sind freiwillig und gliedern ihre Ergebnisse in Funktionen, Kategorien und Subkategorien, sodass eine Bewertung zwei Programme speisen kann.
- Govern bildet in beiden Frameworks den Anker. Das Privacy Framework enthält Govern-P seit Version 1.0, und CSF 2.0 hat Govern als sechste Funktion ergänzt. Richtlinien, Aufsicht und Verantwortlichkeit sind damit in beiden zentrale Ergebnisse.
- Profile und Tiers machen die Frameworks umsetzbar. Ein Ist-Profil, ein Soll-Profil und eine Tier-Bewertung verwandeln abstrakte Ergebnisse in eine priorisierte Liste von Lücken.
- Sensible Daten in Bewegung sind das gemeinsame Risiko. Personenbezogene Daten fließen über viele Kanäle. Eine Policy Engine mit einem Audit-Log verringert den Aufwand, Nachweise für ein Assessment zusammenzutragen.
- Kiteworks bildet alle sechs CSF-2.0-Funktionen ab. Das Mapping ist dokumentiert, einschließlich der wenigen Subkategorien, die in der Verantwortung Ihrer Organisation bleiben.
So greifen das NIST Privacy Framework und CSF 2.0 ineinander
NIST veröffentlichte Privacy Framework 1.0 im Januar 2020 als freiwilliges Instrument, um Datenschutzrisiken über das Enterprise Risk Management zu steuern. Als Vorbild diente das Cybersecurity Framework, damit sich beide gemeinsam nutzen lassen. CSF 2.0 folgte am 26. Februar 2024 und ergänzte die bestehenden Funktionen Identify, Protect, Detect, Respond und Recover um Govern. Einen Überblick über die Cybersicherheitsseite finden Sie in diesem Beitrag zum NIST Cybersecurity Framework.
Die beiden Frameworks behandeln sich überschneidende, aber unterschiedliche Risiken. Manche Datenschutzrisiken entstehen durch Cybersicherheitsvorfälle, etwa den unbefugten Zugriff auf personenbezogene Daten. Andere entstehen dadurch, wie eine Organisation Daten rechtmäßig verarbeitet, zum Beispiel wenn sie mehr erhebt als nötig oder Daten in einer Weise weitergibt, die Betroffene nicht erwarten. Das Privacy Framework deckt beide Arten ab, CSF 2.0 behandelt die Cybersicherheitsseite in der Tiefe.
Keines der beiden Frameworks ist eine Rechtsvorschrift. Organisationen nutzen sie, um das Risikomanagement zu strukturieren, mit Geschäftsleitung und Prüfern zu kommunizieren und Pflichten aus Gesetzen wie der DSGVO und den Datenschutzgesetzen der US-Bundesstaaten zu unterstützen.
Die fünf Funktionen des Privacy Frameworks im Überblick
Der Core des Privacy Frameworks gliedert die Datenschutzergebnisse in fünf Funktionen. Jede trägt das Suffix -P, damit sie sich von der Funktion mit ähnlichem Namen im Cybersecurity Framework unterscheidet.
| Funktion | Was von Ihnen verlangt wird | Wie Kiteworks unterstützt |
|---|---|---|
| Identify-P | Verstehen, wie Datenverarbeitung Datenschutzrisiken für Einzelpersonen erzeugt | Ermöglicht die Klassifizierung von Daten nach Ordnerpfad, Microsoft-Information-Protection- oder benutzerdefinierten Vertraulichkeitsbezeichnungen, Dateityp und Ersteller und protokolliert Aktivitäten in einem konsolidierten Log |
| Govern-P | Governance-Struktur, Richtlinien und Verantwortlichkeiten für den Datenschutz aufbauen | Granulare Benutzerprofil-Einstellungen, rollenbasierte Zugriffskontrollen und Datenrichtlinien, die einmal in der Data Policy Engine definiert werden |
| Control-P | Datenverarbeitung so granular steuern, dass sich Datenschutzrisiken beherrschen lassen | Richtlinienentscheidungen, die erlauben, blockieren, eine Freigabe verlangen oder Nutzer auf geschützte Ansicht oder Bearbeitung beschränken, dazu zeitbasierter Ablauf für Dateien und Freigabelinks |
| Communicate-P | Menschen und Organisationen ein verlässliches Verständnis davon geben, wie Daten verarbeitet werden | Ein Audit-Log und Compliance-Dashboards, die dokumentieren, wer wann wie auf welche Daten zugegriffen hat |
| Protect-P | Schutzmaßnahmen für die Datenverarbeitung umsetzen | Verschlüsselung mit kundeneigenen Verschlüsselungsschlüsseln, Zugriffskontrollen und eine gehärtete virtuelle Appliance |
Identify-P, Govern-P und Protect-P entsprechen den CSF-Funktionen mit ähnlichem Namen. Control-P und Communicate-P sind rein datenschutzspezifisch. Deshalb kann ein Programm, das nur auf Sicherheit ausgerichtet ist, Datenschutzergebnisse unberücksichtigt lassen.
Profile und Tiers machen aus dem Framework eine Lückenanalyse
Neben dem Core enthält das Privacy Framework Profile und Implementation Tiers. Ein Profil hält fest, welche Ergebnisse Sie priorisieren. Die Tiers beschreiben, wie belastbar Ihre Prozesse sind, von Partial und Risk Informed bis Repeatable und Adaptive. Daraus ergibt sich ein einfaches Vorgehen:
- Erstellen Sie ein Ist-Profil, das festhält, welche Subkategorien Sie heute erreichen.
- Legen Sie ein Soll-Profil fest, abgeleitet aus Gesetzen, Verträgen und Ihren Risikoprioritäten.
- Vergleichen Sie beide und ordnen Sie die Lücken nach Risiko und Aufwand.
- Bewerten Sie den Tier für jeden Schwerpunktbereich und entscheiden Sie, wo mehr Belastbarkeit nötig ist.
- Wiederholen Sie die Bewertung regelmäßig und nach größeren Änderungen.
Der größte Aufwand steckt in den Nachweisen. Ein konsolidiertes Audit-Log, das jeden Kanal abdeckt, verkürzt diese Arbeit, weil Prüfer eine einzige Quelle abfragen können, statt mehrere abzugleichen.
Sensible Daten in Bewegung: Hier treffen Datenschutz und Sicherheit aufeinander
Personenbezogene Daten bleiben selten an einem Ort. Sie fließen über E-Mail, Filesharing, Managed File Transfer, SFTP, Webformulare, APIs und KI-Agenten, zwischen Menschen, Maschinen und Systemen. In vielen Umgebungen hat jeder Kanal eigene Richtlinien und eigene Logs. Die Durchsetzung driftet von Kanal zu Kanal auseinander, und wer Compliance belegen will, muss vor jedem Assessment Nachweise aus allen Systemen zusammensuchen.
Die Kiteworks Control Plane für den sicheren Datenaustausch geht anders vor. Mit der Data Policy Engine definieren Administratoren Datenrichtlinien einmal, und die Plattform setzt sie zur Laufzeit über jeden Kanal durch. Jede Entscheidung berücksichtigt die Attribute der Daten, des Akteurs (Mensch oder KI-Agent) und der angeforderten Aktion. Richtlinien können klassifizierungsbasiert arbeiten, mit Kiteworks-Tags, Cyera-AI-Tags oder Microsoft-Purview-Labels, und jede Entscheidung landet in einem Audit-Log.
Dieses Design passt natürlich zu Govern-P und Control-P, denn beide verlangen eine konsistente, granulare Kontrolle darüber, wie Daten verarbeitet werden. Es gibt auch der KI-Governance ein Zuhause: KI-Agenten fordern sensible Daten über dieselben MCP- und API-Kanäle an wie Menschen, also gelten für sie dieselben Richtlinien. Mehr erfahren Sie zu Compliant AI und zur Kiteworks MCP-Integration.
Auch Daten in Nutzung verdienen Aufmerksamkeit. Mit Sovereign Edit – Streaming bearbeiten berechtigte Nutzer Dateien im Browser, während die Datei auf Kiteworks bleibt, statt heruntergeladen, extrahiert oder in die Microsoft-Cloud gesendet zu werden. So hält DRM der nächsten Generation die Zusammenarbeit innerhalb einer kontrollierten Grenze.
So bildet Kiteworks die sechs CSF-2.0-Funktionen ab
| CSF-2.0-Funktion | Was sie umfasst | Wie Kiteworks unterstützt |
|---|---|---|
| Govern (GV) | Risikostrategie, Rollen und Richtlinien | Granulare Benutzerprofil-Einstellungen, Integration externer Repositories und Zusammenarbeitsrollen, die Zugriffskontrollen respektieren, mit kanalübergreifend einheitlich durchgesetzten Richtlinien |
| Identify (ID) | Assets, Daten und Risiken | Datenklassifizierung (ID.AM-05, ID.AM-07), Penetrationstests und ein konsolidiertes Aktivitätsprotokoll, das die Risikoidentifikation unterstützt (ID.RA) |
| Protect (PR) | Identitäten, Daten und Plattformen | Anbindung von Identitätsanbietern mit MFA und SSO (PR.AA), Verschlüsselung auf Datei- und Datenträgerebene mit getrennten Schlüsseln (PR.DS-01), TLS 1.3 bei der Übertragung (PR.DS-02) und Sovereign Edit – Streaming für Daten in Nutzung (PR.DS-10) |
| Detect (DE) | Mögliche Kompromittierungen erkennen und analysieren | Ein normalisierter Log-Stream, der Ihr SIEM per Syslog und Splunk-Weiterleitung in Echtzeit speist, sowie ein CISO-Dashboard mit Audit-Logs und visuellen Aktivitätsansichten (DE.CM, DE.AE) |
| Respond (RS) | Auf erkannte Vorfälle reagieren | Ein unveränderliches Aktivitätsprotokoll für Triage und Ursachenanalyse (RS.MA, RS.AN) und Sovereign Edit – Streaming, damit berechtigte externe Nutzer potenziell kompromittierte Dateien prüfen können, ohne dass die Daten die sichere Enklave verlassen (RS.MA-01) |
| Recover (RC) | Den Betrieb wiederherstellen | VM-Snapshots, Replikation zwischen Storage-Knoten in getrennten Rechenzentren und Hochverfügbarkeits-Clustering, die eine verifizierte Wiederherstellung unterstützen (RC.RP-03, RC.RP-05) |
Die Plattformsicherheit verstärkt die Zeilen Protect und Detect. Die gehärtete virtuelle Appliance umschließt jede Komponente mit Schutzschichten wie einer eingebetteten Firewall und WAF, Administration nach dem Least-Privilege-Prinzip ohne Betriebssystemzugriff und Sandboxing für Bibliotheken von Drittanbietern. Als Log4Shell bekannt wurde, senkten diese Schichten den CVSS-Wert für Kiteworks-Kunden von 10 auf höchstens 4. Die Verschlüsselung nutzt kundeneigene Verschlüsselungsschlüssel und ein nach FIPS 140-3 validiertes kryptografisches Modul. Das CISO-Dashboard gibt berechtigten Mitarbeitenden einen visuellen Überblick über die Aktivitäten.
Dieses Mapping beruht auf dem Kiteworks-Leitfaden zu NIST CSF 2.0, der auch dokumentiert, wo Kiteworks keine Abdeckung beansprucht. Einige Subkategorien, darunter die Bewertung kritischer Lieferanten, die Risikopriorisierung, die Hardware-Wartung und die Ausführung von Wiederherstellungsplänen, bleiben in der Verantwortung Ihrer Organisation. Wer diese Grenze von Anfang an kennt, macht sein Soll-Profil glaubwürdiger. Eine Zusammenfassung finden Sie auf der Seite zu NIST CSF 2.0.
Privacy Framework 1.1 richtet sich an CSF 2.0 aus und berücksichtigt KI-Datenschutzrisiken
NIST veröffentlichte am 14. April 2025 einen Initial Public Draft von Privacy Framework 1.1. Die Aktualisierung richtet das Framework an CSF 2.0 aus, verbessert die Benutzerfreundlichkeit und adressiert Datenschutzrisiken durch künstliche Intelligenz. Die Kommentierungsfrist endete am 13. Juni 2025, und NIST hat angekündigt, dass die Endfassung 2026 erscheint. Stand November 2026 ist Version 1.0 weiterhin die veröffentlichte Endfassung. NIST hat außerdem ein Mapping vom Core 1.0 auf den Core 1.1 veröffentlicht, sodass sich die Profile, die Sie heute erstellen, später nachverfolgen lassen.
Für KI-bezogene Datenschutzrisiken empfiehlt NIST, das Privacy Framework gemeinsam mit CSF 2.0 und dem NIST AI Risk Management Framework einzusetzen. Wie Kiteworks dazu aufgestellt ist, erklärt der Leitfaden zum NIST AI Risk Management Framework.
Kiteworks hilft Ihnen, NIST-Frameworks für Datenschutz und Cybersicherheit umzusetzen
Mit der Kiteworks-Plattform vereinheitlichen, verfolgen, steuern und schützen Sie sensible Daten, die innerhalb Ihrer Organisation, in sie hinein und aus ihr heraus fließen. Eine Policy Engine, ein Audit-Log und ein Satz von Kontrollen über E-Mail, Filesharing, Managed File Transfer, SFTP, Formulare, APIs und KI-Agenten geben Datenschutz- und Sicherheitsteams eine einzige Nachweisquelle für beide Frameworks.
Zum Compliance-Portfolio hinter der Plattform gehören FedRAMP Class D Agency Auth In Process, FedRAMP Class C Certified, ein nach FIPS 140-3 validiertes kryptografisches Modul, SOC 2 Type II sowie ISO 27001, 27017 und 27018, dazu eine IRAP-Bewertung und ein BSI-C5-Testat (Typ 2).
Wie die Control Plane zu Ihrem Privacy-Framework-Profil und Ihrem CSF-2.0-Soll-Profil passt, zeigen wir Ihnen gern: Vereinbaren Sie eine individuelle Demo.
Frequently Asked Questions
NIST hat das Privacy Framework nach dem Vorbild des Cybersecurity Frameworks gestaltet, damit Organisationen beide gemeinsam nutzen können. Beide gliedern ihre Ergebnisse in Funktionen, Kategorien und Subkategorien. Identify-P, Govern-P und Protect-P entsprechen den CSF-Funktionen mit ähnlichem Namen, während Control-P und Communicate-P datenschutzspezifische Ergebnisse behandeln. Die Cybersicherheitsseite finden Sie auf der Kiteworks-Seite zu NIST CSF 2.0.
Nein. Es ist ein freiwilliges Framework und keine Rechtsvorschrift. Organisationen setzen es ein, um ihr Datenschutz-Risikomanagement zu strukturieren und Pflichten aus Gesetzen wie der DSGVO zu unterstützen. Manche Verträge und Aufsichtsbehörden erwarten eine Orientierung an NIST-Vorgaben, prüfen Sie daher die Anforderungen, die für Sie gelten.
Es sind Identify-P, Govern-P, Control-P, Communicate-P und Protect-P. Identify-P schafft ein Verständnis der Datenschutzrisiken aus der Datenverarbeitung, Govern-P legt Governance und Richtlinien fest, Control-P steuert die Datenverarbeitung granular, Communicate-P unterstützt die Transparenz über die Verarbeitung, und Protect-P setzt Schutzmaßnahmen um. Eine kurze Definition bietet der Glossareintrag zum NIST Privacy Framework.
Kiteworks unterstützt NIST CSF 2.0 über alle sechs Funktionen. Der Kiteworks-Leitfaden zu NIST CSF 2.0 ordnet Plattformfunktionen wie Verschlüsselung mit kundeneigenen Verschlüsselungsschlüsseln, unveränderliche Audit-Protokollierung und SIEM-Integration konkreten Subkategorien zu und nennt die Ergebnisse, die in Ihrer Verantwortung bleiben. Das CISO-Dashboard unterstützt die laufende Überwachung.
Behandeln Sie KI-Agenten in Ihren Richtlinien als Akteure. Die Kiteworks Data Policy Engine wendet auf KI-Agenten, die Daten über MCP und APIs anfordern, dieselben Regeln zu Daten, Akteur und Aktion an wie auf Menschen und hält jede Entscheidung in einem Audit-Log fest. Kombinieren Sie diese Kontrolle mit dem NIST AI Risk Management Framework für KI-spezifische Risiken. Mehr dazu unter Compliant AI und zur MCP-Integration.
Zusätzliche Ressourcen
- Blog-Beitrag Was ist das NIST Cybersecurity Framework (CSF)?
- Blog-Beitrag Schutz des Unternehmens mit dem NIST Cybersecurity Framework
- Bericht Benchmark Ihres Sicherheits- und Compliance-Risikos
- Webinar Das NIST Cybersecurity Framework: Was Sie wissen müssen
- Blog-Beitrag Was sind Datenkonformitätsstandards?