Personenbezogene Daten (PII) sind alle Informationen, mit denen sich eine bestimmte Person identifizieren lässt – entweder für sich genommen, etwa Name oder Passnummer, oder in Kombination mit anderen Angaben.
Was zu personenbezogenen Daten zählt
Die NIST Special Publication 800-122 definiert PII (Personally Identifiable Information) als Informationen, mit denen sich die Identität einer Person allein oder in Verbindung mit anderen Daten unterscheiden oder nachverfolgen lässt. Üblich ist eine Einteilung in zwei Gruppen:
- Direkte Identifikatoren – vollständiger Name, Personalausweis- oder Sozialversicherungsnummer, Pass- und Führerscheinnummer, biometrische Daten, private E-Mail-Adressen und Telefonnummern.
- Indirekte (Quasi-)Identifikatoren – Geburtsdatum, Postleitzahl, Geschlecht, Berufsbezeichnung, IP-Adresse oder Gerätekennungen, die kombiniert eine Person identifizieren können.
Sensible PII wie Kontonummern, medizinische Unterlagen oder Ausweisnummern richten bei einer Offenlegung besonders großen Schaden an. Das europäische Recht verwendet in der DSGVO den weiter gefassten Begriff „personenbezogene Daten“.
Warum PII für die Sicherheit wichtig sind
PII gehören zu den Hauptzielen von Datenlecks, weil sie sich verkaufen und wiederverwenden lassen. Kriminelle nutzen sie für Identitätsdiebstahl, Kredite im Namen der Opfer, überzeugendes Phishing und SIM-Swapping; Aktivisten und Stalker nutzen sie für Doxing. Große Vorfälle zeigen das Ausmaß: Beim Equifax-Datenleck 2017 wurden Namen, Sozialversicherungsnummern und Geburtsdaten von rund 147 Millionen Menschen offengelegt. Organisationen, die PII verlieren, drohen Bußgelder, Klagen und Meldepflichten.
So schützen Sie PII
- Nur die wirklich benötigten PII erheben und sie löschen, sobald sie nicht mehr gebraucht werden.
- PII im Ruhezustand und bei der Übertragung verschlüsseln und den Zugriff nach dem Need-to-know-Prinzip beschränken.
- Data Loss Prevention einsetzen, um den Abfluss von PII aus der Organisation zu erkennen.
- Daten für Tests und Analysen pseudonymisieren oder anonymisieren.
- Privatpersonen sollten sparsam mit Angaben im Netz umgehen und ihre Bonitätsauskünfte im Blick behalten.
