DSGVO Seminarreihe

DSGVO Seminarreihe

Aufgrund großer Nachfrage nach unseren inhouse Schulungen und Beratungen zum Thema DSGVO veranstalten wir nun eine eigene Seminarreihe. Die Seminare sind unterteilt in die momentan am meisten nachgefragten Themenbereiche und bewußt kurz und knackig gehalten. Ziel ist es, die Thematik nach dem Seminar selber mit einem vernünftigen Aufwand umsetzen zu können.

Alle Seminare sind afterwork und starten ab 16:00 Uhr. Unser Seminarpartner ist das Bremer Lernkontor, hier finden die Seminare für die bremer Reihe statt.

praktische Anwendung der DSGVO

Die Erfahrung zeigt, die Umsetzung der DSGVO läuft etwas ruckelig. Überall werden Unterschriften im Namen der DSGVO verlangt, der Verwaltungsaufwand ist enorm. Dabei ist es gar nicht so schwierig, ein ordentliches Datenschutzniveau mit einem vertretbaren Aufwand umzusetzen und zu erhalten. Die Seminarreihe soll praxisorientiert Anleitung zur Selbsthilfe geben.

Die Reihe ist geeignet für Entscheider von Betrieben mit oder ohne betrieblichen Datenschutzbeauftragten, Inhaber von Kleinstbetrieben ohne betrieblichen Datenschutz, Vereinsfunktionäre etc.

Lernziel:     Entmystifizierung der DSGVO und Anleitungen für eine praxisgerechte Umsetzung

Kosten:      Pro Seminar beträgt die Gebühr € 150,- (brutto). Die Gebühr ist im voraus fällig. Bei Buchung aller 4 Teile beträgt die Gebühr € 550,-.

Alle Seminare sind begrenzt auf max. 8 Teilnehmer, damit auf eigene Fragen eingegangen werden kann.

Teil 1:  Einwilligung oder Informationspflicht

Termin: 22.10.2019 16:00; Dauer: ca. 2 Stunden

Inhalt:

  • Beurteilung der richtigen Rechtsgrundlage
  • Wann benötige ich eine Einwilligung?
  • Wie kann ich die Einwilligung umgehen?
  • Richtige Gestaltung der Einwilligung
  • Richtige Gestaltung der Betroffeneninformation
  • Eigene Beispiele können mitgebracht werden.

Teil 2: Auftragsdatenverarbeitung

Termin: 05.11.2019 16:00; Dauer: ca. 2 Stunden

Inhalt:

  • Grundlagen zur ADV
  • Wann ist es keine Auftragsdatenverarbeitung
  • Bestandteile eines ADV-Vertrages
  • und organisatorische Massnahmen

Teil 3: Datenschutz durch Technik

Termin: 19.11.2019 16:00; Teil 2 Dauer: ca. 2 Stunden

Inhalt:

  • Was ist Datenschutz durch Technik?
  • Möglichkeiten anhand von Beispielen
  • Sondersoftware und Standardsoftware
  • Welche Punkte der DSGVO sind relevant
  • Diskussion und Beispiele

Teil 4: Löschkonzepte

Termin: 26.11.2019 16:00; 2 Dauer: ca. 2 Stunden

Inhalt:

  • Grundlage des Löschens von Daten nach DSGVO
  • Was ist ein Löschkonzept?
  • Aufbewahrungspflichten
  • Sperrung statt Löschung
  • korrekte Dokumentation
  • Eigene Beispiele können mitgebracht werden.

Bei Interesse bieten wir weitere Themen an. Natürlich führen wir auch Inhouse-Seminare bzw. Beratungen zum Thema durch.

Verbindliche Anmeldung unter: info@cheyenne-IT.de

Die Seminare finden statt beim:

Bremer Lernkontor
Industriestrasse 12
28199 Bremen

https://www.bremer-lernkontor.de/

Im Gespräch mit Dr. Stefan Brink

Im Gespräch mit Dr. Stefan Brink

Am 03.09.2019 hatte ich ein Interview mit Dr. Stefan Brink dem

Dr. Stefan Brink
Quelle: https://www.baden-wuerttemberg.datenschutz.de/pressefotos/.

Landesbeauftragten für den Datenschutz und die Informationsfreiheit in Baden-Württemberg. Dies ist ein Interview der Reihe „Im Gespräch mit“, deren Ziel es zum einen ist, die verschiedenen Kollegen in den Aufsichtsbehörden vorzustellen und zum anderen aufzuzeigen, dass es sich nicht um gesichtslose Behörden handelt.

89%* der 16- bis 24-jährigen in Deutschland nutzen regelmäßig soziale Netzwerke. Die Anzahl der sogenannten Datenskandale steigt. Da fragt man sich, wie sieht es mit der Eigenverantwortung der Bürger aus? Und vor allem, warum gilt die DSGVO nicht für private Nutzer? Ich habe Dr. Stefan Brink einige Fragen erörtert, die Entscheider von Unternehmen, die wir zum Thema betr. Datenschutz betreuen, regelmäßig stellen.

BW: Gibt es in Baden-Württemberg eine erhöhte Konsultation? Und wenn ja, welche Themenbereiche werden besonders oft angefragt?

Stefan Brink: Die Beratungsanfragen sind extrem weit gestreut. Wir haben seit 2017 eine ganz hohe Steigerung in diesem Bereich und freuen uns auch, dass die Unternehmen hauptsächlich, aber auch die Behörden, uns konsultieren. Das ist eine ganz zentrale Fragestellung und ist mitten im Fokus unserer Arbeit. Wir haben in den letzten 2 Jahren über 4000 Beratungsanfragen gehabt und das ist eine tolle Entwicklung.

BW: Können Sie die Anfragen alle bearbeiten, haben Sie mittlerweile eine entsprechende Personaldecke?

Stefan Brink: Ja, wir sind glücklicherweise ganz gut ausgestattet. Wir haben 2017 mit 35 Mann angefangen und sind jetzt bei knapp 65 gelandet. Wir sind also deutlich gestärkt worden. Man muss allerdings zugeben, dass die Zahl der Anfragen und auch die Zahl der Beschwerden, die wir natürlich dann auch noch zusätzlich haben, überfordern uns zum Teil. Deswegen haben wir Anfang dieses Jahres gesagt, okay, wir müssen stärker in die Kontrolle gehen und haben die Beratung leicht zurückgefahren, was aber nicht heißt, dass wir Beratungsanfragen ablehnen, sondern das wir in bestimmten Bereichen erst ein bisschen später zum Zug kommen, wir die Unternehmen also bitten müssen, sich ein bisschen mehr zu gedulden. Das ist manchmal bitter, gerade wenn es z.B. um Startups geht, die gerade vorm Loslaufen stehen und dann doch mal 2, 4 oder 6 Wochen auf uns warten müssen – aber alles kriegen wir zur Zeit tatsächlich nicht hin.

BW: Wie sehen Sie unser Datenschutzniveau in 5 Jahren? Kann der Datenschutz sich bis dahin zu einen echten Qualitätsmerkmal entwickelt haben?

Stefan Brink: Davon gehe ich aus. Das ist auch genau das positive Potenzial, dass in der Grundverordnung drinsteckt. Es wird auch in Zukunft, in 5 Jahren, in 10 Jahren, ein gespaltenes Feld geben.

Es wird Unternehmen geben, die das sehr schön machen und sich auch sehr intensiv um Datenschutz kümmern und es auch tatsächlich offensiv, als Teil ihres Angebots und als Qualitätsmerkmal sehen und es wird andere geben, die das so mehr oder weniger en passant mit betreiben und es ganz ordentlich machen und natürlich wird es auch in 5 oder 10 Jahren immer noch einzelne Unternehmen geben, die auf Lücke setzen und dementsprechend ein gewisses Risiko eingehen.

BW: In unserer täglichen Praxis wird leider auch immer noch gefragt „wie hoch ist das Bußgeld?

Stefan Brink: Genau, das ist ein enormer Treiber. Die Grundverordnung ist zwar in manchen Bereichen sehr formal und auch aufwändig, aber was die Bußgelder angeht, hat sie eine ganz klare Sprache, mit Ansagen von Bußgeldern bis zu 20.000.000 EUR. Unternehmen reagieren auf das Risiko Datenschutzverletzung und verhalten sich in vielen Bereichen positiv und richtig, indem sie sich Knowhow einkaufen oder Mitarbeiter qualifizieren, um das Thema besser in den Griff zu bekommen.

BW: Art 2. DSGVO / sachlicher Anwendungsbereich schließt natürliche Personen zur Ausübung ausschl. persönlicher oder familiärer Tätigkeiten aus. Wieviel Sinn macht die DSGVO, wenn ein Großteil der Nutzer personenbezogene Daten über entsprechende Dienste in die ganze Welt verteilt?

Stefan Brink: Da ist eine gewisse Unwucht in der DSGVO. Auf der einen Seite ist es völlig nachvollziehbar und richtig, dass wir nicht private, oder persönliche Verhältnisse, mit staatlichen Auflagen aus dem Datenschutz überziehen. Andererseits – Sie haben vollkommen Recht – findet tatsächlich eine große Menge der Datenverarbeitung durch Private statt. Auf dem eigenen Smartphone, oder auf dem privaten Rechner und dabei werden natürlich auch viele technische Tools eingesetzt, die ein erhebliches Datenschutz-Potenzial haben, also ein erhebliches Risiko darstellen. Wenn ich z.B. meine gesamten Bilddaten in die Clouds hochlade oder wenn ich über WhatsAPP kommuniziere, da beeinträchtige ich möglicherweise andere Privatleute ganz erheblich. Das ist in weiten Bereichen in der Grundverordnung ausgenommen, was nichts anderes heißt, als, dass der einzelne private Betroffene darauf angewiesen ist, dann auch auf dem privaten Klageweg sein Recht zu verteidigen. Das ist natürlich sehr beschwerlich und den Weg gehen wirklich die Wenigsten.

BW: Meine Daten werden von den Menschen, die meine Kontaktdaten auf ihrem Handy haben und gleichzeitig einen Datencrawler wie z.B. WhatsAPP, google & Co. nutzen, in alle Welt verteilt. Dagegen kann ich gar nichts tun, ich weiß es nicht einmal. Jede Firma, die auch meine Daten hat, müsste in diesem Fall ihren Informationspflichten nachkommen, weil es sich um eine Datenweitergabe handelt. Dies ist für viele Verantwortliche, die von mir betreut werden, schwer zu verstehen, was kann man diesen Entscheidern sagen?

Stefan Brink: Man muss schlicht und ergreifend an das Verantwortungsbewusstsein der Menschen appellieren. Wenn wir die Situation haben, dass in persönlich/familiären Verhältnissen keine DSGVO gilt und wenn wir die Situation haben, dass auch privater Rechtschutz nicht in Anspruch genommen wird, bleibt es eigentlich mehr oder weniger dem Verantwortungsbewusstsein jedes Einzelnen überlassen, wie er mit den Daten umgeht. Da kann man in weiten Bereichen leider nur appellieren.

Man kann auf der anderen Seite sehen, dass auch gerade durch die DSGVO seit Mai 2018 das Datenschutz-Bewusstsein wesentlich größer geworden ist und  auch viel stärker Teil des öffentlichen Diskurses ist und das hat natürlich auch Wirkung auf das Verhalten einzelner Privater. Aber in dem Bereich ist Hoffen angesagt.

BW: In meiner beruflichen Praxis nehme ich eine Art Sorglosigkeit wahr. Wenn jemand an der Haustür klingelt, sind die Menschen misstrauisch, wenn eine APP auf alle Daten ihres Handys zugreifen möchte, aber nicht. Viele speichern Zugangsdaten auf Ihren Handys, benutzen elektronische Portemonnaies und ähnliches, sie geben bereitwillig alle Daten her. An der Haustür würden sie das wohl nicht tun. Haben Sie Ideen dazu, wie man dieses Wahrnehmungsproblem lösen könnte?

Stefan Brink: Ja, das Wahrnehmungsproblem gibt es ganz eindeutig. Das ist eine gespaltene Wahrnehmung – Wir nehmen auf der einen Seite alles, was im virtuellen Raum stattfindet, entweder überhaupt nicht ernst, oder betrachten das als nach wie vor unregulierten Raum der Freiheit, oder eigentlich sogar der Willkür. Auf der anderen Seite sind wir mittendrin in einem Lernprozess, dass das eben einfach nicht stimmt, dass man via Internet genauso Rechte anderer verletzten kann, als wenn man es persönlich und Face to Face macht.

Also, es ist ein Lernprozess.

Auf der anderen Seite muss man sagen, alles was mit netzgestützter Kommunikation zu tun hat, ist natürlich ein Lernprozess für den Menschen an sich. Wir haben das Internet seit Mitte der 90-er Jahre. Ich glaube, wir brauchen tatsächlich mindestens eine weitere Generation, um richtig zu kapieren, was es eigentlich bedeutet, auf diese Art und Weise zu kommunizieren. Die Maßstäbe, die wir im analogen Leben über Jahrtausende aufgebaut haben und immer weiter verfeinert haben, müssen wir dann auch im virtuellen Raum umsetzen. Ich bin deswegen nicht besonders bange. Das ist ein Lernprozess, schlicht und ergreifend und man kann schon sehen, dass die digital natives, also die jüngere Generation, sagen wir mal ganz grob die unter 20-jährigen, die also wirklich von vorne herein mit dem Internet aufgewachsen sind, in vielen Bereichen anders agieren, auch sehr differenziert agieren und dass dieser Lernprozess durchaus stattfindet. Perfekt ist das allerdings noch nicht. Wir müssen als Spezies Mensch lernen, mit diesen neuen Medienprodukten umzugehen und noch können wir das eigentlich in ganz wenigen Bereichen gut.

BW: Wie könnte man generell die Eigenverantwortung von Privatpersonen wieder mehr ins Spiel bringen? Gerade das Internet scheint ein Spielball der Eitelkeiten zu werden, wer bin ich, wer bist Du? Ich kann machen, was ich will. Und so wird lustig drauflos gepostet, auch Bilder von anderen, die gar nicht wissen, dass sie auf einem Photo im Internet veröffentlicht wurden. Hier wird jetzt versucht, die Betreiber der Portale in die Pflicht zu nehmen, aber gepostet hat es doch jemand anders. Wie passt das zusammen? Wird damit nicht die Verantwortung des Einzelnen auf einen Dienstebetreiber übertragen, der letztendlich nur eine Software zur Verfügung stellt und das so vielleicht gar nicht leisten kann?

Stefan Brink: Ja, und vor allem gar nicht leisten will. Die Diensteanbieter, die wir in diesem Bereich haben, sind ja nicht die netten Helferlein für überforderte Private, sondern die verfolgen ja ganz eigene, knallharte Geschäftsinteressen. Da wird sich immer das Interesse, schonend und rücksichtsvoll mit den Daten Betroffener, auch gerade Dritter, umzugehen beißen mit den gewerblichen Interessen des Anbieters. Das müssen wir also schon selbst als Privatperson lernen, in dem Bereich sorgsam, vertrauensvoll und schonend mit den Informationen und auch mit den Rechten Anderer umzugehen. Das ist unsere eigene Aufgabe, da müssen wir dran arbeiten, indem wir in die Schulen gehen mit dem Thema Digitalisierung und Datenschutz. Wir gehen sogar schon in die Kindergärten! Indem wir ganz früh die Kinder im Sozialisationsprozess auf diese Ebene führen und ihnen dort vorführen, was man alles an Schaden anrichten kann und wie man sich gefälligst nicht verhält. Wir brauchen eine „Netiquette“, heute sagt man digitale Ethik. Wir brauchen Regeln, soziale Regeln, Normen, die auch fürs Netz gelten und die müssen schlicht und ergreifend erlernt werden. Die müssen Teil unseres Alltags werden. Dabei auf besondere Unterstützung durch irgendwelche Plattformen zu hoffen, wäre ein Irrweg.

BW: Wie ist es mit der Verantwortung für die Sicherheit auf dem eigenen Endgerät? Hier sind immer mal wieder die Hersteller im Gespräch, man möchte sie zu lebenslangen Sicherheitsupdates zu verpflichten. technisch bestimmt nicht verkehrt, nur beim Nutzer sieht es zu weilen wie folgt aus: Das Gerät kann ruhig € 1000,- und mehr kosten, aber für eine MessengerApp € 3,- zu zahlen, die DSGVO ernst nimmt, weil sie sich eben über den Preis und nicht über die Daten finanziert, ist nicht drin. Wieso nicht auch den Nutzer verpflichten, ein bestimmtes Sicherheitsniveau einzuhalten? Dies könnte z.B. vom BSI bürgernah festgelegt werden?

Stefan Brink: Ja, wobei da die öffentliche Debatte im Netz in eine ganz andere Richtung geht. Ich merke immer wieder, wenn wir als Datenschützer an die Eigenverantwortung der Menschen appellieren, dass wir sofort relativ aggressiv damit konfrontiert werden, dass sei jetzt victim blaming. Da würden wir uns an die Opfer wenden und dem Opfer neue Pflichten auferlegen, dabei seien die Täter die großen Anbieter der Plattformen, die reguliert werden müssen. Ich denke, man muss auf beide Seiten schauen. Auf der einen Seite, dass wir eine Breitenwirkung darüber erzielen, dass wir die großen Anbieter im Netz gut regulieren und auch tatsächlich klar machen, dass die Grundverordnung gilt und wir auch Bußgelder verhängen. Das wir Anordnungen erlassen und schlicht und ergreifend die großen Anbieter datenschutzkonform hinbekommen, das nimmt uns keiner ab, das muss ohne jede Einschränkung geschehen. Darüber hinaus stimme ich Ihnen aber zu, wird das Ganze nur dann rund, wenn wir auch die einzelnen Nutzer in den Blick nehmen und zunächst mal an ihren eigenen Vorteil, an ihren eigenen Nutzen appellieren und sagen: pass mal auf, wenn du dich im Netz auf diese Art und Weise bewegst, schadest du deinen eigenen Interessen.

Aber dann muss noch ein dritter Aspekt dazukommen, dass man dem Einzelnen klar macht, du bist auch in vielen Bereichen Treuhänder. Wenn du nämlich Informationen von Dritten hast, wenn Du Fotos von anderen hast, wenn du Chatverläufe hast u. ä. dann bist du auch verantwortlich dafür, dass diese Daten nicht in die Hände Dritter kommen und dass sie nicht gewerblich von irgendeinem Anbieter benutzt werden können.

Da müssen wir auch noch ganz intensiv aufklären. Ich glaube, diese Punkte gehören alle zusammen und diese Aspekte dürfen nicht gegeneinander ausgespielt werden. In erster Linie würde ich sagen, dass ist auch eine unserer Aufgaben als Aufsichtsbehörde. Wir müssen an die Anbieter ran, aber wir dürfen dabei die betroffenen Bürgerinnen und Bürger nicht vergessen. Da muss ein Lernprozess stattfinden und da gibt es auch eine Verantwortung.

BW: Wie ist das hier mit den Informationspflichten? Das könnten Privatpersonen natürlich nicht leisten, aber sie könnten schon verpflichtet werden, Daten anderer nicht ohne deren Wissen weiterzugeben? Wie sehen die Datenschutzbehörden das?

Stefan Brink: Sehe ich nicht, ehrlich gesagt. Von der gesetzgeberischen Seite her sind wir in einem Evaluierungsprozess, der ist in der Grundverordnung drin. Bis Mai 2022 muss die EU-Kommission klar machen, wo sie die Grundverordnung ändern will. Dass an diesem sogenannten Haushaltsvorbehalt Artikel 2 gerüttelt werden soll, ist nicht zu sehen, da wird es aller Voraussicht nach keine Veränderung geben. Maßnahmen des Gesetzgebers, national oder europäisch, die in diese Richtung gehen würden, sind mir auch nicht bekannt. Wir bleiben dabei darauf angewiesen, dass unsere Privatrechtverordnung funktioniert und das man nicht über die Herausgabeansprüche der Grundverordnung, sondern über zivilrechtliche Informationsansprüche an den anderen privaten Daten-Verarbeiter rankommt. Das ist sehr unbefriedigend und führt in der Regeln nicht dazu, dass tatsächlich die Datenverarbeitung verbessert würde, weil die meisten den Weg vor Gericht scheuen. Und Sie haben vollkommen Recht, ich glaube in 99% der Fälle, weiß ja der Dritte noch nicht mal, dass seine Daten weiterverbreitet wurden. Da kenne ich auch niemanden, der sich bisher im wissenschaftlichen Bereich oder aus dem juristischen Bereich um das Thema bemühen würde, oder Vorschläge entwickelt hätte, wie man das verbessern könnte.

BW: Ich bedanke mich sehr herzlich bei Dr. Stefan Brink für das freundliche Interview!

Weiterführende Links:

Landesbeauftragter für Datenschutz und Informationsfreiheit in Baden-Württemberg

WhatsApp und Datenschutz

WhatsAPP an Schulen

Die AGBs von WhatsAPP

Die Datenschutzerklärung von google

 

*Quelle: https://de.statista.com/themen/1842/soziale-netzwerke/ (Abruf: 03.09.2019 19:25)

Office 365 stell Dir vor, keiner macht mit?

Office 365 stell Dir vor, keiner macht mit?

Ein paar kritische Gedanken zum Thema Cloudcomputing am Beispiel Office 365

Office 365 der Firma Microsoft ist das cloudbasierte MS-Office. Seit ca. 2014 gilt bei Microsoft die Devise „Cloud-first“, dieser Slogan kommt uns doch irgendwie bekannt vor, oder?

Das Konzept ist recht ausgeklügelt, es werden viele Businessanwendungen wie Skype for Business, Microsoft OneDrive und ähnliches angeboten. Hier liegt der Fokus auf dem Wort „Business“ und schon sind wir mitten in der DSGVO. Microsoft besitzt die Daten, deren Eigentümer wir selber sind. Nach DSGVO liegt die Verantwortung für die verarbeiteten Daten aber bei uns, dem Käufer von Office 365. Also wir haften, nicht Microsoft!

Wie kann man DSGVO und Office 365 in Einklang bringen, kann man das denn überhaupt?

Natürlich hat Microsoft einen Auftrags-Datenverarbeitungs-Vertrag  (ADV) bereitgestellt. Microsoft ist der Verarbeiter im Auftrag und muss sich nach den Weisungen des Verantwortlichen der Daten, wie gesagt, das sind wir, richten. So jedenfalls sieht es die DSGVO vor.

Microsoft klärt hier über alle möglichen Fragen zum Thema Compliance/Datenschutz/etc. auf.  Klingt erstmal gut und zugewandt. Das meiste ist sehr allgemein und wenig konkret gehalten.

Weiterhin stellt Microsoft die sogenannte „Prüfliste zu den Verantwortlichkeiten für die DSGVO für Microsoft Office 365 zur Verfügung -> hier lesen

Dieser Katalog gibt zum größten Teil Empfehlungen, welche Einstellungen der Verantwortliche am besten vornimmt, um seine Daten besser schützen zu können. Im Prinzip sind es techn. und organisatorische Massnahmen, vom Auftragsverarbeiter an den Verantwortlichen. Die DSGVO sieht dies aber in anderer Richtung vor.

Beim Lesen stellt sich die Frage, wie es funktionieren kann, wenn der Verantwortliche, der ja nach DSGVO weisungsbefugt ist, dem Auftragnehmer eine Weisung erteilen möchte. Dafür ist dann einer dieser Textbausteine verlinkt, die dem Verantwortlichen etwas von oben herab empfehlen, wie er mit seinen Daten umzugehen hat. Eine konkrete Information wie eine diesbzgl. Weisung an den Auftragsverarbeiter zu richten hat und was dieser dann in welcher Zeit tut, konnte ich hier nicht finden.

Die Einhaltung der DSGVO alleine zu betrachten, empfinde ich immer als ein wenig zu kurz gedacht. Es ist, als hätte ich ein Auto ohne Führerschein, beides geht… DSGVO funktioniert meines Erachtens nur, wenn man die Einhaltung als QM-Massnahme betrachtet, nur dann muss man auch gleichzeitig das Thema IT-Sicherheit betrachten.

Ein Beispiel, das wohl jeder nachvollziehen kann. Ich lege meine Passwortliste in die Cloud (in irgendeine, fremdgehostete), weil ich mir ja nicht alles merken kann und es ja so praktisch ist. Beim Anbieter findet ein erfolgreicher Cyber-Angriff statt. So ein Angriff wird fast immer erst später oder auch manchmal nie erkannt. Und jetzt? Vielleicht wird meine Identität geklaut, vielleicht meine Konten abgeräumt, wer weiß, welche Ideen jemand entwickelt.

Es lohnt sich also, ein paar Sicherheitsüberlegungen im Vorfeld anzustellen und nicht jedem Microsoft-Platin-Partner zu vertrauen. Oder würdest Du, wenn es klingelt und Dir jemand irgendeinen Vertrag (nennen wir ihn ADV-Vertrag) unter die Nase hält, glauben, dass er Deine Bankzugangsdaten besser aufbewahren kann als Du selber?

Weil alles, was irgendwie mit IT zu tun hat, auch irgendwie etwas undurchsichtig ist, muss man sich hier wohl einige Gedanken mehr machen. Für IT gibt es zum Glück die BSI-Grundschutzkataloge. Für einen Brand hat man einen Notfallplan, warum nicht auch für IT-Vorfälle? Hier heißt es dann Incidence response. Hat man ein paar Notfallpläne, weiß jeder, was zu tun ist, es wird schneller reagiert und weniger Spuren verwischt. Während man sich Gedanken macht und Konzepte entwickelt, kann man eine höhere Sensibilität entwickeln und Unsicherheiten abbauen. Danach sollte man noch einmal neu überprüfen, welche Anwednugnen mit Fremddatenspeicherung man wirklich benötigt und ob man bei Konzepten wie Office 365 überhaupt mitmachen möchte.

Sehr modern momentan ist es auch, gleichzeitig die Übertragung der Active-Directory-Domain. Dann kann man die Office-Produkte ganz bequem mit seinen Domänenanmeldedaten aktivieren. Echt jetzt?

Alternativen?

Für alles gibt es immer und überall Alternativen. Oft sind sie sogar preisgünstiger und ein Wechsel läßt sich einfacher gestalten. Jeder betreibt ja heutzutage irgendeinen Webserver und wenn nicht, läßt man sich einen einrichten. Dort könnte man seinen eigenen Clouddienst einrichten. Natürlich kann man auch hier Emails, Dateien, Kalender und alles mögliche teilen. Auch kann man hier seinen eigenen Officeserver aufsetzen, z.B: LibreOffice.

Und nun wird alles durch den Adminstrator des eigenen Vertrauens betreut und DSGVO in Verbindung mit IT-Sicherheit sind plötzlich Peanuts.

Anmerkung

Dieser Artikel ist entstanden, weil mich in meinem täglichen Beratungsgeschäft die Naivität von Geschäftsführern und Inhabern mitunter mittelständischer oder sogar größerer Unternehmen oft wie ein Tsunami trifft.

Beispielphrasen:

  • Machen doch alle, dann muss es doch sicher sein
  • Microsoft, ist doch der Größte, die müssen es doch wissen usw.
  • Ohne WhatsAPP kann man keine Photos schicken
  • bei uns ist doch nichts zu holen
  • geht unendlich so weiter

Es ist mitunter schwierig, in diesen Unternehmen wenigstens ein minimales Sicherheitsniveau zu etablieren.  Hochinteressant, dass viele immer noch ein Urvertrauen in Unternehmen haben, deren Inhaber, sie gar nicht kennen. Cybercrime ist ein einträgliches Geschäft, Bankraub vom Sofa aus, während die Lieblingsserie auf Netflix läuft, oder so. Es gibt zwar nie keine 100-%ige Sicherheit, aber man sollte sich wenigstens Gedanken darüber machen, was man zu verlieren hat. Oft gibt es imUnternehmen die teuerste Alarmanlage, mit Wachdienst, Videoüberwachung u.ä. und dann kopieren diese Unternehmen ihre Geschäftsgeheimnisse in irgendwelche Clouds. Das muss man erstmal sacken lassen.

Deshalb ist dieser Artikel für die, die kein Lichtschwert besitzen, für die anderen nicht 😉

 

13. europ. Datenschutztag 2019

13. Europäischer Datenschutztag – eine Nachbetrachtung

Der 13. europ. Datenschutztag stand unter der Schirmherrschaft der Landesdatenschutzbeauftragten von Nordrhein-Westfalen Helga Block. Er fand zum Thema „8 Monate DSGVO Bilanz und Blick nach vorn“ in der nordrhein-westfälischen Landesvertretung in Berlin statt.

Für Ungeduldige, hier die Links direkt zu den Einzelvorträgen:

Dr. Claus D. Ulmer, Global Data Privacy Officer Deutsche Telekom AG
Auswirkungen der DSGVO un der geplanten ePrivacy Verordnung auf Prozesse und Produkte von Unternehmen

Dr. Markus Peifer, Zentralverband des Deutschen Handwerks e.V. (ZDH)
Der risikobasierte Ansatz im Praxischeck – Die DSGVO im Handwerk

Gerd Billen, Staatssekretär im Bundesministerium der Justiz und für Verbraucherschutz
8 Monate DSGVO – endlich alles gut beim Verbraucherdatenschutz?

Dr. Ulf Buermeyer, Wissenschaftlicher Mitarbeiter des VerfGH Berlin und Vorsitzender der Gesellschaft für Freiheitsrechte e.V. (GFF)

Martin Selmayr, Generalsekretär der europ. Kommission
Europas unabhängige Datenschutzaufsichtsbehörden – Hüter des Datenschutzgrundrechts oder Wächter des Binnenmarktes?

Die Eröffnung durch Helga Block

Frau Block hielt eine flotte Auftaktrede, sie beschrieb die Verunsicherung in der Aeuropäischer Datenschutztag 2019nfangszeit, obwohl die DSGV letztendlich wenig Veränderungen brachte. Es gab ja bereits alles im BDSGalt. Offensichtlich hatten besonders diejenigen Unternehmen Stress, die sowieso Nachholbedarf in Sachen Datenschutz hatten. Für diese kam mit der Erstumsetzung natürlich viel vermeintlich zusätzliche Arbeit dazu. Die vielfach erwartete Abmahnwelle blieb allerdings aus.

Sie beschrieb, dass die große Panik, die verbreitet wurde, bei einigen Beratern zu neuen Geschäftsmodellen geführt hat. Einige Kritiker sprachen nach Ende der Übergangsfrist im Mai 2018 zwar von zu viel Datenschutz, aber im Hinblick auf die letzten Datenskandale passt das für Frau Block nicht richtig zusammen.

Nun haben wir 8 Monate DSGVO, was hat sie uns gebracht.

Auswirkungen der DSGVO und der geplanten ePrivacy Verordnung auf Prozesse und Produkte von Unternehmen

Dr. Claus-Dietrich Ulmer von der Telekom berichtet aus der Sicht eines international agierenden Global Players.

Zunächst wurden Zahlen, Daten und Fakten geliefert, die Umsetzung hat viel Geld und Manpower gekostet. Bei der Telekom waren 550 Mitarbeiter mit der Umsetzung der DSGVO beschäftigt. 4.500 im Einsatz befindliche IT Systeme wurden einer Risikobewertung unterzogen, hier wurde nachgebessert, aktualisiert und sogar abgeschafft. Die Meldungen zu Datenschutzverstößen sind unternehmensweit gestiegen, weil die Meldeschwelle durch die DSGVO gesunken ist. Auf folgenden Themen lag ein besonderer Fokus:

  • Risiko assessment
  • Privacy by Design
  • Betroffenenrechte

Herr Dr. Ulmer geht davon aus, dass die Effektivität der DSGVO durch das Inkrafttreten der ePrivacy Verordnung noch weiter steigen wird. Verbessert hat sich auf jeden Fall die Verlässlichkeit und Rechtssicherheit für Bürger und Unternehmen in der EU.

Ein wenig Kritik gibt es an die Adresse der Behörden. Bei der Telekom fällt auf, dass die nationalen Auslegungsgesetze zum Teil unterschiedlich sind. Auch gibt es bei unseren nationalen Behörden Auslegungsunterschiede. Auch gibt es zum Teil verschiedene Auslegungen zu „unbestimmten“ Rechtsbegriffen, hier werden als Beispiele Daten Portabilität, Umfang bei der Beantwortung von Auskunftsersuchen etc. genannt.

Hier wird als Bitte an die Landesbehörden formuliert, gleiche Bewertungen vorzunehmen bzw. sich künftig hierzu besser abzustimmen.  Klare Entscheidungen mit Signalwirkung gibt es bislang leider nur vereinzelt.

Bestimmte gängige Verfahrensweisen werden durch die DSGVO in Frage gestellt, Beispiel Anonymisierung. Auch gab es in der Vergangenheit vereinzelt Überreaktionen der verantwortlichen Stellen, z.B. beim Thema Klingelschilder. Es werden zum Teil Gesetzeskonkurrenzen neu aufgemacht, gannat wird hier z.B. §15 III TMG. Dies könnte alles etwas optimiert werden.

Letztendlich sind die Regelungen der DSGVO nicht anders als die im BDSGalt.

Die DSGVO bringt gleiche Wettbewerbsbedingungen für alle Player vom Verein bis zum Großunternehmen. Die Offshore-Unternehmen allerdings fühlen sich zum Teil nicht an die DSGO gebunden.

Zitat: „Datenschutz geht durch Ignorieren nicht weg“

Zum Thema Privacy by Design ist eine frühzeitige Einbeziehung der Datenschutzbeauftragten wünschenswert. Hier müssen die Prozesse in den Unternehmen noch besser angepasst werden.

Es wurden noch ein paar Worte zum Thema ePrivacy-Verordnung genannt. Hier dauert das Gesetzgebungsverfahren noch an. Es werden einige Beispiele genannt, welche Änderungen bevor stehen.

Cookies sind danach zulässig für interne eigene Websitedienste, für diejenigen von Drittanbietern ist weiterhin eine Einwilligung der Betroffenen notwendig.

Die pseudonyme Weiterverarbeitung soll nicht mehr zulässig sein, sie wird aber europäischer Datenschutztag 2019unbedingt benötigt. Hier muss man aufpassen dass Lösungen für Zukunftssysteme durch die ePrivay Verordnung nicht verhindert werden:

  • Parkleitsysteme
  • Unfallvermeidungssysteme
  • Netzoptimierung

Die gesetzliche Ausprägung von Datenschutz muss angemessen gestaltet sein. Pauschale Verbote werden der heutigen und künftigen Komplexität nicht gerecht. Innovationen und Kreativität werden durch Angst ausgebremst.

Fazit: Die DSGVO ist eine gute Referenz für den europäischen Binnenmarkt.

>>zur Schnellauswahl

Dr. Markus Peifer, Zentralverband des Deutschen Handwerks e.V. (ZDH)

 

Der risikobasierte Ansatz im Praxischeck – Die DSGVO im Handwerk

Es erfolgt zunächst eine Abrechnung mit der Presse für das Aufbauschen der DSGVO, wie z.B. bei den Klingelschildern geschehen. Die Hysterie verursacht Panik bei den Betrieben und hat die Verordnung in der Bevölkerung lächerlich gemacht, das ist sehr ärgerlich, weil die Verordnung gemacht wurde, um ein gutes Datenschutzniveau bereitzustellen.

Aus der Panikmache wurde zuweilen ein Geschäftsmodell generiert. Der ZDH hat es aber geschafft, bei den Handwerksbetrieben die Aufregung auf ein normales Maß herunter zu dampfen, führt Herr Dr. Peiffer aus.

Bei der Anwendung der DSGVO sollte die Risikoeinstufung für die verarbeitenden Daten maßgeblich sein. In Handwerksbetrieben findet meist eine belanglose Datenverarbeitung statt und aufgrund der meist geringen Personalstärke sind diese Betriebe nicht in der Lage die DSGVO vollumfänglich umzusetzen. Hier müßte es Erleichterungen geben.

Informationspflichten und Verfahrensverzeichnisse verursachen zu viel Bürokratie.

Der risikobasierte Ansatz sollte vollständiger angewandt werden. Es wird nochmal das sehr kleine Risiko bei den Handwerksbetrieben genannt.

>>zur Schnellauswahl

Gerd Billen, Staatssekretär im Bundesministerium für Justiz und Verbraucherschutz

8 Monate DSGVO – endlich alles gut beim Verbraucherdatenschutz?

Die DSGVO hat Vorteile für die Bürger gebracht, die intendierte Abmahnwelle ist, wie vom Ministerium vorausgesagt, ausgeblieben.

Am Beispiel Facebook wird hergeleitet, dass das Marktortprinzip bereits gilt und auch durchgesetzt wird. Viele Unternehmen haben die DSGVO ebenfalls gut umgesetzt.

Es stellt sich allerdings eine ganz andere Frage. Durch die Flut von Einwilligungen, die sich kein Bürger vollständig durchliest, wird leider kein Qualitätsbewußtsein auf Seiten der Betroffenen geschaffen. Es sollte sich doch eigentlich die Frage stellen, welchem Produkt bzw. Unternehmen kann ich vertrauen? Zu diesen Punkten werden mehr Marktuntersuchungen benötigt, um eine bessere Qualität für die Nutzer zu erreichen. Denn die Intention von DSGVO war auch, die Qualität insgesamt zu verbessern.

Damit die Behörden die DSGVO besser umsetzen können, wird hier eine Stärkung durch mehr Personal benötigt. Die 8 Monate DSGVO bis jetzt können als Testphase angesehen werden, es muss jedoch noch viel umgesetzt werden, die momentan herrschende Toleranz ist aber für diese Phase goldrichtig.

Irland ist das Schlusslicht in Bezug auf DSGVO in der EU. Das haben schwierige Gespräche mit den Behörden zu den Themen Google & Co. gezeigt. Hier sind klare Entscheidungen und Prozesse zur Rechtsumsetzung erforderlich. Zel war schließlich eine Harmonisierung der Regelungen innerhalb der EU Mitgliedsstaaten.

Damit DSGVO tatsächlich zu einer Qualitätsverbesserung führen kann, sind neue Konzepte für Verbraucher zu entwerfen.

Beispielsweise sind beim Handykauf immer schon Apps vorinstalliert, die gar nicht vom Benutzer selber entfernt werden können. Hier wäre eine weitere vorinstallierte App wünschenswert, die ein Datennutzungsprotokoll zu allen installierten Apps anzeigt. Dies würde dem Bürger helfen, die Dienste besser beurteilen zu können.

Als weitere Potenziale beim Verbraucherschutz in Sachen Datenschutz wird beim Beispiel die Bildung von Nutzer-Profilen genannt. Welche Kriterien und Algorithmen gibt es hier, das ist viel zu wenig bekannt? Es könnten Algorithmen zur Vermeidung von diskriminierenden Bewertungen im Scoring verbindlich eingeführt werden.

Hier kommt auch die ePrivay Verordnung zum weiteren Schutz der Grundrechte ins Gespräch.

Zitat: “Über Grundrechte, Anonymität etc. verhandeln wir nicht!“

Auch ist die Aktualität von Endgeräten ein wichtiges Thema. Hier könnten Hersteller verpflichtet werden, die Software auf den Geräten für den Lebenszyklus des Gerätes aktuell zu halten, damit die Daten der User geschützt werden. Dies wird als Sache des Herstellers gesehen und nicht als die des Verbrauchers, das müsste wohl als Gesetz formuliert werden, damit es umsetzbar wäre.

Vorstellbar sind auch Treuhänder von Daten z.B. im Bereich Gesundheit, Bewegungsprofiling etc. Herr Billen hätte kein Problem damit, seine Daten einem Institut zur Verfügung zu stellen, dass dann über die Nutzung wacht.

Auch beim Scoring muss geschaut werden, welche Kriterien seriös sind. Dies ist ein zentrales Thema, das Regelungen durch den Staat notwendig macht. Auch bei den regierungsbehörden ist noch Nachbessungsbedarf. Viele Institutionen der Regierung sind noch nicht auf dem heutigen technischen Stand, es werden weit mehr digitale Kompetenzen benötigt.

Zur Umsetzung von Privacy by Design sind mehr Vorgaben für Softwarehersteller notwendig. Auch muss in der Gesellschaft das Bewußtsein für diese Dinge wachsen, das ist wichtig für unsere Freiheit in der Demokratie.

Ethik in der künstlichen Intelligenz wird angesprochen, hier gibt es bereits die
Daten Ethik Kommission, dies ist einzigartig in der europäischen Union.

Erstaunlicherweise gibt es auch bereits Firmen, die sich mit Ethikfragen auseinander setzen, hier wird Miele als positives Beispiel genannt. Hier ist man sich bewusst, dass künftig mehr KI in allen möglichen Geräten (z.B. Küchengeräten) eingesetzt wird und man reagiert darauf, mit der Formulierung von Standards

Stichwort: Code of Conduct

Über alle diese Dinge müssen Diskurse geführt werden.

Auf globaler Ebene ist die EU Vorreiter für Freiheit und freie Entscheidungen der Bürger. Wir haben gute Chancen auf dem Weltmarkt mit unseren Produkten und Ideen zu bestehen.

Fazit: Anfängliche Akzeptanzschwierigkeiten sind aufgelöst. Mit jedem Skandal wird die Reputation der DSGVO verbessert. Dies muss als ständiger Prozess gesehen werden, in dem evtl. später auch Bürokratie verringert werden kann. Mit der ePrivacy-Verordnung entsteht  eine gute Kombination. Digitale Souveränität als Modell für die EU.

>>zur Schnellauswahl

Dr Ulf Buermeyer Gesellschaft für Freiheitsrechte

Privacy by Design – jetzt aber wirklich

Zitat: Art. 25 Abs.1

Software Systeme sind in der Lage durch geschickte Gestaltung Benutzerentscheidungen positiv zu beeinflussen. Roter Knopf, grüner Knopf. Eher wird der grüne Knopf betätigt.

Durch Privacy by Design soll auch die Datenminimierung unterstützt werden. Ein wichtiger Zeitpunkt ist der Entwurf der Systeme, vor der Erfassung von Daten. Der Datenschutzbeauftragte wird meist viel zu spät hinzugezogen.

Voreinstellungen sollten Privatsphäre-freundlich gestaltet werden, Vorgaben können so handlungsleitend werden. Standardtexte werde meist sowieso weggeklickt. Hier sollte der Aufwand für den Nutzer erhöht werden, um Datensparsamkeit zu unterstützen.

Privacy by Design / Grundregeln:

  • Datenminimierung
  • Pseudonymisierung / Anonymisierung
  • Verschlüsselung
  • Transparenz (Datenhoheit des Betroffenen)

Art 83 DSGVO Abs. 1 wird zitiert.

„Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.“

Negativbeispiel: Knuddels.de

Hier sind 330.000 Datensätze verloren gegangen, die unter anderem Passwörter im Klartext enthielten.

Hier wurde darauf hingewiesen, dass das schon lange nicht mehr Stand der Technik ist. Dies ist selbstverständlich Bußgeld bewährt.

>>zur Schnellauswahl

Prof. Dr. Martin Selmayr, Generalsekretär der europ. Kommission

Europas unabhängige Datenschutzaufsichtsbehörden – Hüter des Datenschutzgrundrechts oder Wächter des Binnenmarktes?

Es gab anfänglich viel Lärm um die DSGVO, ganz sicher nicht wegen des Inhaltes, denn den gab es ja auch schon vorher. Die DSGVO war eher für die anderen EU-Länder neu. Bei uns sind die Grundsätze des Datenschutzrechtes seit langem wohl bekannt. Zum Beispiel hat auch die Panik um Klingelschilder mit der DSGVO rein gar nichts zu tun. Neu ist nur der deutlich gestärkte Vollzug durch verbesserte Sanktionierungsmöglichkeiten. Angst braucht auch niemand zu haben, denn es gibt natürlich den Grundsatz der Verhältnismäßigkeit. Eventuelle Bußgelder werden passend zum Unternehmen und Vergehen ausgestellt. Intention war auch, dass die Bußgelder dazu führen, dass Datenschutz ein Compliance Thema in Unternehmen wird und das ist auf jeden Fall gelungen.

Auch klar ist, dass es ohne die Aufsichtsbehörden keinen Datenschutz gibt.

„Wo kein Kläger, da kein Richter“

Was ist denn nun neu?

Wettbewerbs- und Grundrechtsgleichheit in Europa greift normalerweise nicht in die nationalen Grundstrukturen ein. Das ist besonders. Die Rechtsgrundlage für die Tätigkeit der Aufsichtsbehörden ergibt sich nun aus EU-Recht, also gibt es klare Vorgaben für alle Mitgliedsstaaten aus Europa.

Es ist kein Wettbewerb entstanden, sondern Harmonisierung.

Auch ist dadurch eine vollständige Unabhängigkeit der Aufsichtsbehörden auf nationaler Ebene entstanden. Die Aufsichtsbehörden sind autark und nicht Bestandteil irgendwelcher Ministerien. Kein Landesdatenschutzbeauftragter kann aus politischen Gründen vorzeitig abgesetzt werden. Die Datenschutzbehörden sind nun Hüter der Grundrechte! Aufgaben und Befugnisse sind direkt in der DSGVO geregelt. Im Zweifel gilt immer die DSGVO nicht die Umsetzung in nationales Recht.

Auch soll durch die DSGVO der freie Verkehr innerhalb der EU sichergestellt werden. Es geht um den Schutz des EU-Binnenmarktes.

Die DSGVO ist das Ergebnis eines sehr langen Prozesses, der genau genommen bereits 2009 begann. Das Thema Datenschutz ist sowieso schon sehr alt, die DSGVO als Weiterentwicklung aber noch jung.

Andere Länder nehmen die DSGVO bereits als Vorbild. So hat Japan Teile der DSGVO nahezu wortwörtlich übernommen. Auch Brasilien, Kalifornien und andere Staaten nehmen die DSGVO als Vorbild für ihre eigenen Datenschutzgesetze.

Nachahmer gibt es mehr als Kritiker. Trotzdem ist eine regelmäßige kritische Betrachtung notwendig. 2020 wird es deshalb einen Evaluierungsbericht zur DSGVO geben.

Es ist, wie es immer ist, die Umstellung ist das Schlimmste, nicht die neuen Regelungen als solches.

Zitat: „Die DSGVO ist in vielen Punkten von gesundem Menschenverstand durchdrungen“

Dennoch die DSGVO ist kein Verbotsgesetz. Die Gespräche darüber sollten sachlich geführt werden die Verordnung ist nicht der Feind der kleinen Bäcker (Zitat angepasst an die Aussagen von Herrn Peifer zu Handwerksbetrieben und DSGVO).

>>zur Schnellauswahl

eigenes Fazit:
Insgesamt war der 13. europ. Datenschutztag eine lohnende Veranstaltung mit guten und fundierte Vorträgen. Auch eine gute Gelegenheit neue und alte Kontakte zu treffen und sich auszutauschen.

Klingelschild und DSGVO
Facebook Datenleck
europ. Datenschutzkonferenz 2018

Der europäische Datenschutztag

Der europäische Datenschutztag findet seit 2007 immer am 28. Januar eines Jahres statt. Dieser Tag wurde vom Europarat ins Leben gerufen, um die Bürger Europas mehr für den Datenschutz zu sensibilisieren.

europäischer Datenschutztag

Der Termin wurde so gewählt, weil am gleichen Tag 1981 die Europäische Datenschutzkonvention unterzeichnet wurde. Im Jahr 2008 haben sich die USA und Kanada der Idee angeschlossen und veranstalten nun ihrerseits am selben Tag einen Datenschutztag.

Der europäische Datenschutztag in Deutschland wird von den unabhängigen Datenschutzbehörden der Länder begangen, in jedem Jahr gibt es ein Thema. Ausrichter ist jeweils eine der Landesbehörden. In diesem Jahr ist es das Land Nordrhein-Westfalen.

Das Thema dieses Jahres ist:

„Europäischer Datenschutz: Chance oder Risiko? Acht Monate DS-GVO – Bilanz und Blick nach vorn“

Wie in jedem Jahr kommen verschiedene Experten zu diesem Thema zu Wort.

Ich werde wie gewohnt nach meinem Besuch an dieser Stelle über den europäischen Datenschutztag berichten.

europäischer Datenschutztag 2018

Datenklau bei Politikern

Datenklau bei Politikern

Datenklau
Quelle: GDD

Aktuell wird überall über einen Datenklau im großen Stil berichtet. Alle Medien sind voll davon, wie schön, es wird nicht langweilig. Es sollen von 1000 Personen des öffentlichen Lebens, also Politikern, Internetstars und anderen Prominenten Daten veröffentlicht worden sein.

Dies soll bereits im Dezember in einer Art Adventskalender bei Twitter passiert sein. Schnell wurde auch ein Verdächtiger ermittelt. Es soll sich um einen bei den Eltern lebenden und in Ausbildung befindlichen 20-jährigen handeln.

Na, das ging schnell!

Die Angelegenheit wird bekannt und ein Verdächtiger wird schnell präsentiert, ok. Als Motiv wurde bei einer Pressekonferenz heute bei Phönix Unzufriedenheit mit Politikern genannt. Warum also das Interesse an den anderen Daten oder einfach, weil man sie so einfach bekommen konnte?

Was wurde denn überhaupt gestohlen bzw. veröffentlicht?

Der Datenklau bei Politikern und anderen bezieht sich nach einem Phönix-Bericht hauptsächlich auf Kontaktdaten, Bilder, Dokumente, also selber eingestellte, nicht verschlüsselte Daten. Googelt man einige der genannten Politiker, so findet man schnell überall auch private Kontaktdaten. Worum geht es also? Ist es einfach nur der Schock über diesen Datenklau? Handelt es sich um einen Diebstahl, wenn man alles auf die Strasse wirft oder bekommt man auch einen Finderlohn fürs Aufsammeln? Wenn sich alles so verhält, wie es gerade berichtet wird, kann man ja nur dankbar sein, darauf aufmerksam gemacht worden zu sein.

Technische Möglichkeiten

Welche technischen Möglichkeiten hat der „Tatverdächtige“ denn genutzt? Das weiß man natürlich nicht so genau, aber wenn man mal schaut, wie einfach man an einige dieser Daten gelangen kann und dann noch den genannten recht langen Tatzeitraum anschaut, dann könnte er sie theoretisch auch abgeschrieben haben. Wenn wir die Geschichte so glauben, kann also nicht von großer Professionalität die Rede sein. Auch konnte man ihn ja schnell ermitteln, also kein Tor Browser oder ähnliches?

Eigenverantwortung

Eine weitere Frage, die sich mir stellt, ist die nach der Eigenverantwortung der Betroffenen. Schnell werden die Verantwortlichkeiten abgegeben, das BSI hätte etwas tun müssen, x und auch y haben versagt. Das finde ich wie immer schwierig.

Wenn es stimmt, dass es sich nur oder hauptsächlich um Kontaktdaten handelt, könnten die Betroffenen auch einfach einmal selber schauen, welche Daten, sie von sich selbst in welchen Netzwerken mit welchen Zugriffsberechtigungen posten. Auch geben sie ja sicher Visitenkarten aus, wo landen die Daten auf diesen Karten, das sollte man, wenn es einem wichtig ist, auch einmal kritisch hinterfragen.

Auch die Frage, wo man denn Daten aufbewahrt, sollten die Betroffenen sich stellen. In irgendwelchen dubiosen Clouds, iCloud, Dropbox? Versand über Webmailer, die nach eigenen Angaben Inhalte von Mails mitlesen? Ist das Datenklau, wenn man alles freiwillig veröffentlicht?

Wenn es vielelicht nicht nur um Kontaktdaten geht, ist dann auch Verantwortung im Amt und Geheimhaltung von Interna ein Thema? Wie gehe ich mit sensiblen Daten um, die mir als Politiker anvertraut wurden?  Wo speichere ich diese? Übernehme ich Verantwortung für die mir zur Verfügung gestellten Daten? Habe ich meiner Sorgfaltspflicht genügt?

Vor allem handelt es sich ja um private Accounts!

Und dann die Passwörter? Für alles das Selbe, weil es ja so schwierig ist, sich alles zu merken? Also ich weiß nicht, mir scheint es recht einfach, es werden Daten bekannt und ich schieße auf das BSI und andere, statt mich an die eigene Nase zu fassen? Oder verlasse medienwirksam irgendwelche sozialen Netzwerke?

Gut gebrüllt Löwe!

Wenn man schon auf das BSI schießt, könnte man doch einfach einmal die von diesem Amt herausgegebenen BSI-Grundschutzkataloge lesen und schauen, was man davon selber umsetzen möchte. Gerade als Politiker könnte man doch die Möglichkeiten des Staates nutzen, um mit gutem Beispiel voran zu gehen.

Für mich scheint diese Angelegenheit momentan sehr unvollständig und unplausibel. Ich werde beobachten, was daraus wird.

Zum Weiterlesen:

Vergabe von Passwörtern
Die Datenschutzerklärung von google
Facebookdatenanalyse
BSI private User

Wirtschaftsschutztagung am 26.11.2018

Wirtschaftsschutztagung am 26.11.2018

Wirtschaftsschutztagung am 26.11.2018Jedes Jahr lädt der niedersächsische Verfasssungsschutz zu einer Wirtschaftsschutztagung ein. Hier ein wenig Branchengeflüster als Zusammenfassung der Tagung, natürlich wie immer gespickt mit einigen Ergänzungen bzw. Anmerkungen.

Begrüßung

Die größten Schwachstellen sind in Reihenfolge:

  1. Fehlverhalten von Mitarbeitern
  2. Fehlkonfigurationen von Software und Geräten
  3. Nichteinspielen der erforderlichen Sicherheitspatches

Weltweit sind heute ca. 800.000.000 (ja Millionen) Schadprogramme bekannt. Jeden Tag kommen ca. 400.000 neue hinzu. Die Angriffspunkte mehren sich, da jeder immer noch mehr mobile Endgeräte benötigt, wie z.B. Smarthome, Alexa, Kaffeemaschinen etc.

Es stellt sich die Frage, ob wirklich jedes Gerät vernetzt sein muss.

Mehr Geräte – mehr Angriffspotenzial.

Keynote der Wirtschaftsschutztagung von Boris Pistorius

Die Keynote der Wirtschaftsschutztagung wurde gehalten von unserem niedersächsischen Minister für Inneres und Sport Boris Pistorius.

Boris Pistorius wagte einen Ausblick, was uns in 10 Jahren erwartet. In 10 Jahren werden wahrscheinlich alle oder fast alle Desktop PCs durch mobile Endgeräte ersetzt sein. Gespeichert wird in der Cloud. Hier stellt sich die Frage, was ist mit Sicherheit und informationeller Selbstbestimmung?

Nach einer Bitcom Studie haben
68% der Unternehmen Schäden im Bereich Cybercrime zu verzeichnen
19% vermuten, dass ein Angriff stattgefunden hat.

Anmerkung: Natürlich im Zeitalter des Cybercrimes werden Daten meist nicht gestohlen, sondern dupliziert. Manch einer bekommt das gar nicht mit.

Viele Angriffe werden gar nicht erkannt oder erst viel später. Betroffen ist vorrangig der Mittelstand. Der Mittelstand, der Bestandteil von Lieferketten der Industrie ist, ist Einfallstor für Cyber Kriminalität. Über den Mittelstand gelingt der Zugriff auf Großunternehmen.

Unternehmer müssen sich besser vorbereiten. Wichtig sind hier die Themen IT-Infrastruktur, Beratung und auch Vernetzung mit Fachleuten, so wie hier auf der Wirtschaftsschutztagung.

Durch Cybercrime können unser Wohlstand und unsere Sicherheit nachhaltig gefährdet werden. Angriffe auf kritische Infrastrukturen wie Krankenhäuser, öffentlichen Nahverkehr u.ä. können lebenswichtige Versorgungsbereiche bedrohen.

Es wurden bereits Krankenhäuser komplett stillgelegt, z.B. in England und dies betraf auch OP-Säle und andere kritische Bereiche, nicht nur die Verwaltung.

Niemand ist vor Angriffen gefeit, auch nicht Experten. Wir haben hier 95% menschl. Versagen, man muss sich darüber klar werden, dass jeder einzelne Verantwortung trägt. Viele Angriffe funktionieren nach der Kombination digitaler Angriff/menschl. Handeln. Hier greifen 2 Dinge in einander, unzureichendes Sicherheitsverständnis und die mangelnde Einbindung von Mitarbeitern.

Boris Pistorius fordert eine Gewohnheit zur Cyberhygiene.

Dies sei eine gesamtgesellschaftliche Herausforderung. Alle müssen eingebunden werden. Die Privatwirtschaft muss eng mit den Behörden zusammen arbeiten. Die Behörden wollen Ansprechpartner sein.

Blockchain, Bitcoin und Smart Contracts

Zunächst wurden einige Erklärungen geliefert.

Bitcoin werden in Blockchain gespeichert und seien dadurch sicher. Blockchain sind Datencluster aus Blöcken einer bestimmten Einzelgröße von z.B. 1 MB. Hier werden Daten über einen SHA-256 Hash verschlüsselt gespeichert. Ist der Block voll, wird der Hash auf den nächsten Block übertragen, also eine Art Verlinkung, dort werden die weiteren Daten gespeichert. Weil alle Blöcke auf diese Art mit einander verbunden sind, ist diese Art der Speicherung sehr sicher. Durch die Dezentralisierung, im Prinzip kann jeder Blockchain Anbieter werden, gibt es keinen einzelnen Server, der alle Daten zusammenfasst, es handelt sich hier um ein verteiltes Netzwerk. Die Nodes (Einzelsystem) müssen eine Übereinstimmung von 51% haben, ein manipulierter Node wird aus der Kette ausgeschlossen.

Eine kleine Bitcoin-Statistik:

1 Block – 1,02 MB
1 Blockchain – 185 GB
akt. Transaktionen -500.000/Tag
Transaktionszeit – 9 Minuten (mit 3 Bestätigungen)
Median Grunsgebühr – 0,6 USD
Bitcoins sent pro 24 h – 1 Mio BTC + 4,2 Mrd. USD
Marketcap 130 Mrd USD  (Vergleich Gold 700 Mrd)
Die Bitcoin Blockchain umfasst zur Zeit 12-12.000 Nodes.

Anfang der 90-er Jahre war das www ein abstraktes Konzept ohne leicht erkennbaren Anwendungsbereich. So ist es auch mit Blockchain. Trotzdem ließen sich hiermit in Verbindung mit dem Blockchain Konzept zahlreiche sichere Anwendungen abbilden:

  • Führung von Registern, z.B. Handelsregister
  • Speicherung von Patientendaten
  • Direktverkauf von Konsumgütern Künstler – Kunde
  • eStrom Transaktionen
  • ….

Bitcoin ermöglicht virtuelle Transaktionen. Die Eigenschaften von Bargeld und elektronischen Überweisungen werden verbunden. Das Konzept wurde 2008 von Satoshi Nakamoto entwickelt. Der 1. Block wurde am 03.01.2009 angelegt, der erste Verkauf fand am 22.05.2009 statt. In Berlin wurden 2 Pizzen für 10.000 BTC verkauft.

Der Gesamtwert von Bitcoin ist auf 21 Mio begrenzt, dies ist softwaretechnisch vorgegeben und kann nicht geändert werden. Es gibt keine Regulierungsmöglichkeiten. Es wird eine vollkommene interne Transparenz bei möglicher externer Anonymität geboten. Es gibt keine zentralisierten Ausgabestellen. Es gibt keine Zuordnung zu Personen oder Firmen. Der Zugriff erfolgt ausschließlich über Schlüssel.

Es gibt noch ca. 4.000 andere Kryptowährungen.

PApps und Smart Contracts

Hier handelt es sich um dezentralisierte Apps auf etherium Basis. Kleine Programme, die unantastbar und unmanipulierbar sind.

Smart Contracts

Werden verwendet zur Automatisierung von Dienstleistungsprozessen. Entscheidungen fallen vollautomatisiert anhand von Algorithmen.

Beispiel:

Ernteversicherung

Hier kann der Zeitraum eingegeben werden, es werden Wetterdaten für den Zeitraum automatisiert abgerufen, Prämie wird gezahlt oder nicht.

Genauso z.B. Flugausfallversicherungen u.ä. Dies kann zur Verschlankung von Prozessen und zu einer Kostenoptimierung führen.

Real World Cyber: Hintergründe, Ziele und Motivation stattlich gesponserter Angreifer

Hier ging es um Hacking im Regierungsauftrag. Es wurden einige Beispiele und deren Ziele genannt, z.B. Russland, Korea, China, USA

China – Panda

Wollen gerne im Cyberraum autonom sein. Verfügen über eigene IT-Fähigkeiten, haben eine zentrale Toolentwicklung für Angriffswerkzeuge. Ziel ist die Dominanz des Webs.

Es wird u.a. der 5-Jahresplan 2018-2020 verfolgt. „Industry made in China 2025
Es gibt verschiedene Gruppen mit unterschiedlichen Aufträgen.

Zum besseren Verständnis, wie China tickt, wurde der Film „Der tausendköpfige Drache“ empfohlen.

Nord Korea – Chollima

Hier gibt es einen ganz klaren Devisenbeschaffungsauftrag.

Iran – Shamoon

Hier geht es um Öl, Gas, Kampf gegen Israel und nuclearen Vorsprung. In einem Racheakt gegen Saudi Arabien wurde mittels einem Cyber Angriff eine Unzahl von PCs verschrottet. Shamoon gegen Saudi Aramco.

Sie legen auch gerne honeytraps in social media Portalen, um Kontakt mir nützlichen Personen herzustellen.

USA – 5-eyes

Ein Spionagezusammenschluss von Kanada, USA, UK, Neu Seeland, Australien.

Hier ist das Ziel die Hoheit über den Cyberraum.

Es wurden einige interessante Anekdoten gebracht, wer was warum tut und auch wie infantil zuweilen vorgegangen wird.

Alles in allem eine lohnende Wirtschaftsschutztagung, mit und für  Fachpublikum.

Tag x nach DSGVO

Tag x nach DSGVO

Es ist mir ein Anliegen! Wo stehen wir am Tag x nach DSGVO?

Tag x nach DSGVO
Quelle: GDD.de

Egal wo man hinkommt, man wird mit Stilblüten in Bezug auf DSGVO konfrontiert. Das Schlimme ist, alle haben Zeit investiert und sich Mühe gegeben. Ich denke, man sollte es mit Humor sehen und eine Daily Soap draus machen.

Ich würde auch gerne jetzt und hier auf eine Yogaseite verlinken, damit sich alle endlich mal wieder etwas entspannen.

Ich versuche mal ein paar Punkte zu schildern und das ganze zu relativieren.

Die eine Fraktion „Wir müssen das nicht“

Ich treffe gerade in Vereinen auf Aussagen wie „Wir müssen das nicht machen“, wir sind zu klein.

Leute! Es geht nicht um Euren Verein, Ihr könnt Euch nicht aussuchen, ob Ihr den Datenschutz umsetzt.

Es geht um die Personen, deren Daten Ihr speichert.

Und Datenschutz ist Grundrechtsschutz, nun akzeptiert es endlich! Die Personen, deren Daten Ihr speichert, verarbeitet, what ever haben ein Grundrecht auf den Schutz Ihrer Daten, also die Einhaltung der DSGVO durch Euch!

Man kann sich auch nicht aussuchen, ob es sich um, ich nenne es mal „einfache“ personenbezogene Daten Art. 4 DSGVO handelt oder gar um die Verarbeitung besonderer Kategorien personenbezogener Daten Art. 9 DSGVO. Hier ist das Gesetz eindeutig, man muss sich daran halten und sensibel damit umgehen.

Diese besonderen Kategorien also z.B. Zugehörigkeiten zu ethischen Bünden, ethnische Herkunft etc. es gibt wirklich Menschen, die einen Nachteil oder sogar Gefahr für Leib und Leben zu befürchten haben könnten, wenn diese Daten irgendwo bekannt werden. Also lasst sie das selber entscheiden, wie relevant diese Informationen in ihrem Leben sind. Wenn ihr sie nicht benötigt, dann speichert letztere gar nicht erst!

Und! Die DSGVO ist wirklich so formuliert, dass sie jeder! verstehen kann. Die Menschen mit der größten Panik frage ich mitunter, ob sie denn die DSGVO einmal gelesen hätten. Haben sie meist nicht, kann man aber, ist wirklich einfach.

Also ooooom

Die andere Fraktion „Wir dürfen gar nichts“

Dann gibt es die andere Kategorie, gerade seit Anbeginn der Zeitrechnung nach DSGVO bei vielen Ärzten/Tierärzten gesehen. Diese Menschen sind so verunsichert, dass sie denken, dass sie mit niemandem mehr kommunizieren dürfen, ohne demjenigen ein 12-bändiges Werk an Einwilligungen abgerungen zu haben.

Hier soll man z.B. Einwilligungen dafür unterschreiben, dass telefonisch ein neuer Termin vereinbart werden darf, falls der Arzt verhindert ist. Gleichzeitig werden aber Kontaktinformationen von Dritten erfragt, die die Praxis anrufen kann, falls sie einen selber nicht erreichen können. Es werden Pauschaleinwilligungen verlangt für die Weitergabe von Daten an Labore, Hausärzte etc.

Halllooooo? Aufwachen!

Wir versuchen es mal mit logischem Denken. Ich willige nicht ein, dass die Praxis mich anrufen darf und nun? Kann die Praxis mich dann nicht anrufen, auch nicht, um mir Befunde mitzuteilen?

Was ist mit dem Behandlungsvertrag? Ich komme schliesslich in die Praxis, nachdem ich telefonisch mit dem Empfang dort einen Termin vereinbart habe. Meine Daten wurden erfasst, sie können ja auch schlecht x in den Kalender schreiben. Nun komme ich und lasse mich untersuchen, hier habe ich einen Vertrag mit Ihnen abgeschlossen, natürlich können Sie mich zu dieser Behandlung kontaktieren.

Etwas anderes wäre Werbung. Werbung steht nicht in Verbindung mit unserem Behandlungsvertrag, hier wird eine Einwilligung benötigt.

Ich habe dann einen der Ärzte einmal gefragt, woher er denn diese abstrusen Dokumente habe. Natürlich! Von einem Kollegen abgeschrieben und der hat sie auch abgeschrieben und und und. Wie in der Schule, die ganze Klasse hat eine 5 in Mathe, weil sie von der falschen Person abgeschrieben hat. Oje!

Spaß beiseite, hier sieht man, welch großen Unsicherheiten es am Tag x nach DSGVO immer noch gibt.

Übrigens! In keiner Praxis habe ich eine Information zu Art. 12 DSGVO Transparente Information etc. bekommen. Auch die Einwilligungen ansich waren in Form und Inhalt so gut wie nie DSGVO-konform, viel Papier mit abstrusen Inhalten.

Was keiner verstanden hat, sind die Punkte Zweckbindung und Datensparsamkeit, hier werden alle Kontaktinformationen, die man haben kann abgefragt. Nun ja Jäger und Sammler halt.

Wo stehen wir also am Tag x nach DSGVO? Es gibt noch viel zu tun!

Meine Empfehlung

Die DSGVO ist in einigen Punkten sicher noch nicht ausgereift, es werden auch von den Aufsichtsbehörden immer wieder Informationen nachgeschoben. Aber die Grundlagen, die kann man wirklich so umsetzen, das kann man schaffen.

Hier die DSGVO-Online
Hier ein Link zut Landesdatenschutzbeauftragten von Niedersachsen

Und wenn man meint, das schaffe ich nicht, das nervt mich! Also, ich kann es verstehen, dann bucht man mal für 1-2 Stunden eine Beratung und das war es!

….und entspannt Euch endlich mal, wir haben am Tag x nach DSGVO, irgendwann wird das alles für alle selbstverständlich sein!

Facebook Algorithmus HOAX

Facebook Algorithmus HOAX

Bekommt Ihr momentan auch immer wieder mal so einen Post zum Thema Facebook Algorithmus?

Gute Freunde, Alte Freunde, Dicke Freunde, Geschäftsfreunde, Bekannte, Facebook-Freunde und – ach einfach alle 😀😍🤗
ich springe auch auf den Zug und ändere diesen Facebook Algorithmus, da ich merke, dass ich nicht mehr so viele Posts meiner Freunde sehe.
Hier ist nun, wie man es vermeidet, immer von den gleichen 25 FB-Freunden und niemand anderem zu hören. Dieser Post erklärt, warum wir nicht alle Posts von unseren Freunden sehen. Ich dachte, wenn ich dir auf Facebook folge, würde ich sehen, was du postest. Nicht mehr.
Der Newsfeed zeigt zuletzt nur noch Beiträge von denselben wenigen Leuten, etwa 25, immer wieder die gleichen, weil Facebook einen neuen Algorithmus hat.
Das System wählt die Leute aus, die Deinen Beitrag lesen werden. Allerdings würde ich gerne für mich selbst wählen. 😤 Deshalb möchte ich Dich um einen Gefallen bitten – Wenn Du diese Nachricht liest, schreibe mir einen kurzen Kommentar, ein „Hallo“, einen Aufkleber, was immer Du willst, so wirst Du in meinem News-Feed erscheinen. Ansonsten wählt Facebook aus, wen es mir zeigen soll und ich brauche kein Facebook, um meine Freunde auszuwählen!
Zögere nicht, diesen Text zu kopieren und an deine Wand zu posten, damit du mehr Interaktion mit all deinen Kontakten hast und das System zum Teil umgehen kannst.
Halte deinen Finger irgendwo in diesen Post bis „kopieren“ erscheint. Klicke dann auf „Kopieren“. Gehe nun auf Deine Seite und mit „Einfügen“ kannst Du den Text dann posten.
Super! Du hast gerade kopiert und eingefügt !! Du wirst nun hoffentlich wieder mehr News von Deinen Freunden sehen.
Mal sehen, ob es klappt, Ihr seid mir diesen Versuch wert!

Mein erster Gedanke war „echt? schon wieder“? Und es sind immer dieselben, die sowas posten,  das sind auch diejenigen, die meinen, man könne mit Massenposts den Facebook-AGBs widersprechen.

Facebook Algorithmus / Der Aufstand der aufgeregten User

Ein Algorithmus ist grundsätzlich ein fest programmierter Ablauf (oder diverse), den kann man nicht beeinflussen, er steckt halt fest in der Programmierung.

Facebook  funktioniert über Relevanz, diese wird gemessen über Häufigkeit postings pro User, Likes, Interaktionen anderer User usw. Über die Relevanz der Posts von Usern laufen auch die Werbeangebote, würde Facebook die Anzeige der Threads wirklich auf 25 User begrenzen, so würde ja die eigene Geschäftsgrundlage beschädigt.

Einige scheinen sowas zu glauben und schliessen sich dem Aufstand der aufgeregten User an, also bitte!

Im Ernst: Die Geschäftsgrundlage von Facebook ist, Werbung durch bestmögliche Vorauswahl an möglichst viele passende User zu verteilen, die Anzahl 25 spielt hier sicher keine Rolle.

Facebook Algorithmus / Relevanz und Sommerloch

Habt Ihr schonmal überlegt, dass hier gerade die Ferien beendet sind, und dass es deshalb ein Sommerloch gegeben haben könnte?  Es kursieren ja auch Gerüchte, dass Facebook in der Beliebtheitsskala der Benutzer etwas abgerutscht ist. Aha!

Die Werbeeinnahmen sinken, wenn wenige User interagieren!

Was macht also Facebook, um sich wieder in den Fokus zu rücken? Jaaaaa, ein weiterer Kettenbrief, á la „kopiere dies in Deinen Status„. Und alle machen mit und agieren wie gewünscht, Facebook sagt danke. Ist natürlich nur eine naheliegende Vermutung, aber wer hätte sonst ein Interesse?

Facebook Algorithmus / wie jetzt

Postet doch einfach mal interessantere Dinge als tanzende Katzen und das 333 Meeresbild, dann bekommt Ihr likes und werdet gesehen. Und noch was, man könnte auch einfach mal nachzählen, ich habe weit mehr als die besagten 25 unterschiedlichen User in meiner Timeline.

Ironie an: Zu Hause ruft Euch keiner an? Ok, machen wir Massenanrufe empörter Telefonnutzer, ruft einfach alle an, die Ihr kennt. Ironie aus.

Stellt Euch vor, es kommt ein Kettenbrief und keiner macht mit. Und schon hat die Manipulation ein Ende, aber Ihr entscheidet das natürlich selber, mein Anliegen war nur, hier ein wenig aufzuklären.

Facebook AGBs

Im Gespräch mit dem URV

Im Gespräch mit dem URV

Hier mein Interview für den URV zum Thema Datenschutz. Es ist eine Art lastminute Empfehlung geworden, denn wer die DSGVO jetzt immer noch nicht umgesetzt hat, der hat es wohl auch immer noch nicht verstanden.

Im Rahmen meiner Tätigkeit schaue ich mir auch immer wieder einmal Webseiten an, erstaunlich wie wenige verstanden haben, was zu tun ist. Auch gerade Agenturen sind oftmals sehr schlecht aufgestellt, man kann sich also nicht unbedingt darauf verlassen, dass der Dienstleister es schon richtig machen wird. Verantwortlicher im Sinne des Gesetzes ist eben der Geschäftführer, der auch verantwortlich für die Inhalte der Seite ist. Er steht deshalb auch im Impressum.

Eigentlich ist es einfach, es steht alles in der DSGVO. Wenn man einmal meine anderen Interviews liest, kann man auch sehen, dass die Behörden davon ausgehen, dass dieses Gesetz so gemacht ist, dass gerade auch Nicht-Juristen damit arbeiten können. Datenschutzbeauftragte sind in den seltensten Fällen Juristen und diese Konstellation ist europäisch so gewollt. Datenschutz ist Grundrechtsschutz, jeder kann die Inhalte verstehen.

Auch die Landesbehörden geben viele Hilfestellungen, hier z.B. Niedersachsen.

Hier das fertige Interview für die URV-Mitgliederzeitschrift, Seite 10.