Nachweise für A2P-SMS-Routing: Aufbewahrung, Zugriff und Löschung

Was als Nachweis einer Routingentscheidung gilt

Routingnachweise sind Informationen, die erforderlich sind, um zu erläutern, welche Entscheidung getroffen wurde, nach welcher Regel oder welchem Kriterium, wann sie angewendet wurde und wer sie genehmigt oder geändert hat. Sie dienen dazu, den Kontext einer betrieblichen Entscheidung, einer Überprüfung oder eines Streitfalls zu rekonstruieren. Es geht nicht darum, alles aufzubewahren, was Systeme erzeugen.

Es kann sinnvoll sein, Richtlinienversionen, Bewertungsparameter, Testergebnisse, Genehmigungen und wirksame Änderungen zu dokumentieren. Dies ist ein Vorschlag für ein Inventar, den jede Organisation mit ihren Systemen und Pflichten abgleichen sollte. Eine allgemeingültige technische Liste vorgeschriebener Felder für alle A2P-SMS-Plattformen wird hier nicht vorgegeben.

Allgemeine Systemprotokolle, DLR und Verkehrsdaten erfüllen unterschiedliche Funktionen. Ein DLR kann einen von einem Netz oder Vermittler gemeldeten Status beschreiben, belegt aber für sich genommen keine verifizierte Zustellung auf dem Gerät. Ebenso ist nicht jeder Verkehrsdaten-Eintrag ein Nachweis dafür, warum eine Route ausgewählt wurde.

• Gestaltungsfrage: Welche Information erklärt die Entscheidung, und welche beschreibt lediglich spätere Aktivitäten?
• Bewahren Sie Herkunft und Kontext auf, die zur Interpretation eines Nachweises nötig sind, nicht nur ein isoliertes Ergebnis.
• Dokumentieren Sie die Grenzen jeder Quelle, insbesondere wenn der Status aus einem DLR stammt.

Richtlinien, Genehmigungen, Tests und Nachrichtendaten trennen

Es empfiehlt sich, Informationen zu klassifizieren, bevor Aufbewahrungsfristen festgelegt werden. Eine erste Struktur unterscheidet vier Gruppen: Konfiguration und Richtlinienänderungen; Genehmigungen und Verantwortliche; Tests oder Bewertungen; sowie Verkehrsdaten, die Kennungen, Inhalte oder andere personenbezogene Daten enthalten können. Die Klassifizierung muss an die tatsächlichen Aufzeichnungen der jeweiligen Systeme angepasst werden.

Nachweise zu einer Regel lassen sich möglicherweise aufbewahren, ohne Nachrichteninhalte zu speichern, wenn ein Verweis, eine Version oder ein aggregiertes Ergebnis ausreicht. Es sollte jedoch nicht angenommen werden, dass Anonymisierung, Aggregation oder die Löschung von Inhalten immer möglich sind, ohne eine Untersuchung zu beeinträchtigen. Das muss anhand der beteiligten Prozesse und Systeme geprüft werden.

Die Trennung dieser Kategorien hilft zu verhindern, dass ein Prüfbedarf automatisch als Rechtfertigung für die unbegrenzte Aufbewahrung von Verkehrsdaten dient.

• Richtlinie: angewandte Regel, Version, Geltungsbereich und Zeitpunkt des Inkrafttretens, sofern das System diese Angaben erfasst.
• Genehmigung: Entscheidung, genehmigende Rolle und ausreichender Kontext zum Verständnis.
• Test: Methode, Bedingungen, Ergebnis und bekannte Einschränkungen.
• Verkehrsdaten: für den jeweiligen Zweck erforderliche Betriebsfelder, gesondert auf eine mögliche Sensibilität geprüft.

Ein zweckmäßiges und begrenztes Inventar erstellen

Das Inventar sollte tatsächliche Daten und Prozesse beschreiben, nicht eine theoretische Vorlage. Bestimmen Sie für jeden Datensatz seinen Zweck, seine Sensibilität, die fachlich verantwortliche Stelle, das Quellsystem, die zugriffsberechtigten Nutzer und seine Verknüpfung mit anderen Nachweisen. Wenn für ein Feld kein dokumentierter betrieblicher oder Compliance-Zweck vorliegt, prüfen Sie, ob es überhaupt erhoben oder aufbewahrt werden muss.

Die vorliegenden Informationen enthalten keine technische Quelle, die Pflichtfelder zur Rekonstruktion einer A2P-Routingentscheidung festlegt. Die Beispiele in diesem Leitfaden sind daher Gestaltungsfragen und weder ein Standard noch eine gesetzliche Verpflichtung.

• Welche Entscheidung oder Aktivität wird durch diesen Datensatz erklärt?
• Was ist die Quelle, und wie hängt sie mit der geltenden Richtlinienversion zusammen?
• Enthält er Inhalte, Kennungen oder personenbezogene Daten, oder lässt er sich auf einen Verweis reduzieren?
• Wer ist für die Pflege verantwortlich, und wer muss ihn einsehen können?
• Welche Abhängigkeiten bestehen zu Exporten, Berichten oder Systemen Dritter?

Aufbewahrungsfristen begründen, ohne eine allgemeingültige Frist anzunehmen

Es gibt keine allgemeingültige Aufbewahrungsfrist für Nachweise zum A2P-SMS-Routing, die sich ohne Prüfung des jeweiligen Kontexts anwenden lässt. Die Dauer muss durch den vorgesehenen Zweck begründet und mit den für die beteiligten Parteien und Rechtsgebiete geltenden gesetzlichen, regulatorischen und vertraglichen Pflichten abgeglichen werden. Anhand der hier verfügbaren Quellen lässt sich keine konkrete Frist festlegen.

Dokumentieren Sie für jede Kategorie, warum ihre Aufbewahrung erforderlich ist, welches Ereignis den Bedarf auslöst oder beendet und wer die Frist überprüft. Für eine Richtlinie kann ein anderer Bedarf gelten als für einen Verkehrsdaten-Eintrag. Übernehmen Sie nicht automatisch die allgemeine Aufbewahrungsdauer für Protokolle oder DLR: Diese Aufzeichnungen können anderen Zwecken und Risiken unterliegen.

Wenn ein Streitfall, eine Untersuchung oder eine geltende Pflicht die Sicherung von Informationen erfordert, müssen Umfang und Verantwortliche für diese Aufbewahrung festgelegt sein. Die Organisation muss bestimmen, wie diese Sicherung mit der regulären Richtlinie zusammenhängt und wann sie überprüft oder aufgehoben werden kann.

• Verknüpfen Sie jede Frist mit einem dokumentierten Zweck und den für den konkreten Fall geprüften Pflichten.
• Unterscheiden Sie die reguläre betriebliche Aufbewahrung von einer außerordentlichen Sicherung.
• Überprüfen Sie Fristen, wenn sich Zwecke, Verträge, geltende Vorschriften oder Systeme ändern.
• Stellen Sie interne Empfehlungen nicht als allgemeingültige gesetzliche Anforderungen dar.

Zugriff mit klar definierten Berechtigungen steuern

Der Zugriff sollte konkreten Aufgaben dienen. Als Gestaltungsgrundsatz empfiehlt es sich, Berechtigungen rollenbezogen zu vergeben und nur das zuzulassen, was zur Verwaltung von Richtlinien, Genehmigung von Änderungen, Analyse von Vorfällen oder Durchführung von Überprüfungen erforderlich ist. Die Trennung zwischen Personen, die Änderungen vorschlagen, und Personen, die sie genehmigen, kann sinnvoll sein. Sie muss jedoch an Größe, Risiken und tatsächliche Kontrollen der Organisation angepasst werden.

Erfassen Sie Abfragen und Änderungen, wenn die Systeme dies ermöglichen und dafür ein festgelegter Zweck besteht. Auch solche Protokolle sind Daten: Nehmen Sie sie ins Inventar auf, beschränken Sie den Zugriff und legen Sie eine Überprüfung ihrer Aufbewahrung fest. Die verfügbaren Informationen erlauben nicht die Aussage, dass eine bestimmte A2P-Plattform solche Kontrollen standardmäßig bietet.

• Definieren Sie Rollen und zulässige Aktionen; vermeiden Sie unbegründet weitreichende Berechtigungen.
• Überprüfen Sie Konten und Berechtigungen regelmäßig, insbesondere nach einem Rollenwechsel.
• Prüfen Sie, ob Vorschlag, Genehmigung und Umsetzung von Änderungen getrennt werden sollten.
• Behandeln Sie Abfrageprotokolle als Informationen, die ebenfalls einen Zweck und eine geregelte Verwaltung benötigen.

Eine nachvollziehbare Löschung einschließlich Kopien und Exporten gestalten

Eine Löschrichtlinie sollte festlegen, welche Informationen gelöscht oder nicht mehr verfügbar gemacht werden, wer den Vorgang genehmigt, wie seine Durchführung dokumentiert wird und wie Ausnahmen von der Löschung behandelt werden. Prüfen Sie vor der Löschung, ob geltende Pflichten oder eine dokumentierte Sicherungsmaßnahme für den betreffenden Datensatz relevant sind.

Der Umfang endet nicht unbedingt beim Hauptarchiv: Prüfen Sie auch Exporte, Berichte, sekundäre Speicher und Sicherungskopien. Es sollte nicht versprochen werden, dass Sicherungskopien sofort gelöscht werden. Ihr Zyklus und ihre Behandlung hängen von der Architektur und den Verfahren der jeweiligen Organisation ab. Lässt sich eine Kopie nicht gezielt ändern, ist zu dokumentieren, wie ihr Zugriff kontrolliert und verhindert wird, dass Daten erneut verwendet werden, die nicht mehr verfügbar sein sollten.

Die Überprüfung kann sich auf Nachweise des Ablaufs stützen – etwa die Dokumentation von Antrag, Umfang, Durchführung, Ergebnis und Ausnahmen –, sofern die technische Lösung diese bereitstellen kann. Behaupten Sie nicht, eine Löschmarkierung bedeute die physische Entfernung aus sämtlichen Kopien, ohne dieses Verhalten überprüft zu haben.

• Ermitteln Sie vor Beginn des Vorgangs alle Speicherorte, Exporte und Kopien.
• Dokumentieren Sie Umfang, verantwortliche Person, Datum, Ergebnis und etwaige Ausnahmen.
• Prüfen Sie, was „Löschung“ in jedem System technisch bedeutet.
• Legen Sie fest, wie verhindert wird, dass Informationen wiederhergestellt oder erneut verwendet werden, obwohl sie nicht mehr verfügbar sein sollten.

Auf Anfragen bei Audits oder Streitfällen mit Kontext und Herkunft reagieren

Eine fundierte Antwort setzt nicht voraus, unbegrenzt Daten anzusammeln, sondern die Herkunft und Bedeutung der verfügbaren Nachweise erläutern zu können. Legen Sie ein Verfahren fest, mit dem sich die relevante Richtlinienversion auffinden und mit den dazugehörigen Genehmigungen und Tests verknüpfen lässt. Erläutern Sie außerdem, welche Verkehrsdaten aufbewahrt wurden, warum dies geschah und welche Einschränkungen gelten.

Fehlen Informationen oder kann eine Quelle einen Sachverhalt nicht bestätigen, legen Sie dies offen. Unterscheiden Sie beispielsweise zwischen einem über ein DLR gemeldeten Status und einer unabhängig verifizierten Zustellung auf dem Gerät. Wenn Informationen an einen Auditor oder eine Gegenpartei weitergegeben werden, wenden Sie die einschlägigen Berechtigungen sowie vertraglichen und gesetzlichen Einschränkungen an. Geben Sie nicht aus Bequemlichkeit zusätzliche Daten weiter.

• Stellen Sie fest, wer die Nachweise anfordert, welchen Umfang die Anfrage hat und auf welcher Grundlage sie erfolgt.
• Stellen Sie die Versionen, Genehmigungen, Tests und Verweise zusammen, die zur Erläuterung der Entscheidung erforderlich sind.
• Dokumentieren Sie Quelle, erfassten Zeitraum und Einschränkungen der Daten.
• Beschränken Sie die weitergegebenen Verkehrsdaten auf das Nötige und dokumentieren Sie die übermittelten Informationen.

Checkliste für eine überprüfbare Richtlinie

Beginnen Sie mit einem klar begrenzten Umfang: Ermitteln Sie, welche Entscheidungsprozesse rekonstruierbar sein sollen und welche Systeme daran beteiligt sind. Stimmen Sie anschließend das Inventar mit Betrieb, Sicherheit, Datenschutz und Compliance ab, bevor Sie Berechtigungen und Fristen festlegen.

Die Richtlinie muss angepasst werden können, wenn sich Anforderungen oder Pflichten ändern. Bestimmen Sie eine verantwortliche Person für die Überprüfung und bewahren Sie die Begründung für Änderungen auf. Machen Sie eine anfängliche Konfiguration nicht zu einer dauerhaften Regel, ohne sie erneut zu bewerten.

• Festlegen, welche Entscheidungen und Prozesse von der Richtlinie erfasst werden.
• Daten, Quellen, Sensibilität, Zweck und Verantwortliche inventarisieren.
• Nachweise zu Entscheidungen von allgemeinen Protokollen, DLR und Verkehrsdaten trennen.
• Jede Frist anhand des Zwecks und der geltenden Pflichten begründen, ohne eine allgemeingültige Frist festzuschreiben.
• Zugriffe rollenbezogen vergeben und Berechtigungen überprüfen.
• Außerordentliche Sicherung, Löschung, Kopien und Exporte dokumentieren.
• Eine Audit-Antwort vorbereiten, die die Herkunft wahrt und Einschränkungen erläutert.
• Eine regelmäßige Überprüfung und eine für die Pflege der Richtlinie verantwortliche Person festlegen.