„Für den Test brauchen wir realistische Daten” — ein Satz, der in vielen Organisationen dazu führt, dass eine vollständige Kopie der Produktionsdatenbank in die Testumgebung wandert. Mit echten Kundennamen, Kontodaten und Personalakten. In einer Umgebung, die weniger geschützt ist als die Produktion. A.8.33 verlangt, dass Testinformationen sorgfältig ausgewählt, geschützt und nach dem Test sicher gelöscht werden.
Die Kontrolle schützt Produktionsdaten vor Offenlegung in weniger gesicherten Umgebungen und stellt gleichzeitig sicher, dass Tests aussagekräftig bleiben.
Was verlangt die Norm?
- Keine sensiblen Produktionsdaten in Testumgebungen. Betriebsinformationen dürfen nicht ungeschützt in Testumgebungen kopiert werden.
- Gleiche Zugriffkontrollen. Wenn doch Produktionsdaten verwendet werden müssen, gelten die gleichen Schutzmaßnahmen wie in der Produktion.
- Separate Genehmigung. Das Kopieren von Betriebsinformationen in Testumgebungen erfordert eine eigene Genehmigung.
- Alle Aktionen protokollieren. Kopier-, Maskierungs- und Löschvorgänge werden dokumentiert.
- Sensible Daten maskieren oder entfernen. Personenbezogene und vertrauliche Daten werden vor der Verwendung in Tests maskiert.
- Löschung nach dem Test. Testdaten werden nach Abschluss der Tests sicher gelöscht.
In der Praxis
Testdatenstrategie definieren. Für jede Anwendung festlegen: Welche Testdaten werden benötigt? Synthetisch generiert oder maskiert? Welche Felder müssen realistisch sein? Das Ergebnis ist eine dokumentierte Strategie pro Anwendung.
Maskierungs-Pipeline aufbauen. Wenn Produktionsdaten-Kopien benötigt werden: automatisierte Pipeline, die vor der Bereitstellung in der Testumgebung alle sensiblen Felder maskiert. Kein manueller Prozess — zu fehleranfällig.
Zugriffskontrolle für Testdaten. Auch in der Testumgebung: Zugriff auf Testdaten nur für die Personen, die ihn benötigen. Externe Tester oder Dienstleister erhalten nur die Teilmenge, die sie für ihre Tests brauchen.
Löschung nach Testabschluss. Definiere einen Prozess für die Löschung der Testdaten nach Projektabschluss. Automatisierte Bereinigung (z.B. Testumgebung wird nach jedem Sprint neu aufgesetzt) ist die zuverlässigste Methode.
Typische Audit-Nachweise
- Testdatenstrategie — dokumentierter Ansatz pro Anwendung (→ Richtlinie sichere Softwareentwicklung im Starter Kit)
- Maskierungsnachweise — Konfiguration und Protokolle der Maskierungs-Pipeline
- Genehmigungsprotokolle — dokumentierte Freigaben für Datenkopien
- Stichproben aus Testumgebungen — Nachweis, dass keine echten Produktionsdaten vorhanden sind
- Löschnachweise — Dokumentation der Testdaten-Bereinigung
KPI
Anteil der Testumgebungen mit anonymisierten oder synthetischen Testdaten
Gemessen als Prozentsatz: Wie viele deiner Testumgebungen verwenden ausschließlich maskierte, anonymisierte oder synthetische Daten? Ziel: 100%.
Ergänzende KPIs:
- Anzahl der Testumgebungen mit nicht maskierten Produktionsdaten (Ziel: 0)
- Anteil der Projekte mit dokumentierter Testdatenstrategie
BSI IT-Grundschutz
- CON.8 (Software-Entwicklung) — verlangt den Schutz von Testdaten und das Vermeiden sensibler Produktionsdaten in Testumgebungen.
- OPS.1.1.6 (Software-Tests und -Freigaben) — Anforderung, Testdaten zu schützen und nach dem Test zu bereinigen.
Verwandte Kontrollen
- A.8.11 — Datenmaskierung: Die Maskierungstechniken, die für Testdaten eingesetzt werden.
- A.8.31 — Umgebungstrennung: Testumgebungen als separate Domänen mit eigenem Schutzniveau.
- A.8.10 — Informationslöschung: Sichere Löschung der Testdaten nach Abschluss.
Quellen
- ISO/IEC 27001:2022 Annex A, Control A.8.33 — Testinformationen
- ISO/IEC 27002:2022 Abschnitt 8.33 — Umsetzungshinweise
- BSI IT-Grundschutz, CON.8 — Software-Entwicklung