Upload
elke-altenbach
View
114
Download
1
Embed Size (px)
Citation preview
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Datenschutz & IT-SicherheitAnforderungen, Konzepte, Umsetzung
ARGE DATENWien, NH Danube City, 5. November 2013
© ARGE DATEN 2013
Aktivitäten der ARGE DATEN
Öffentlichkeitsarbeit, Informationsdienst:- Web-Service: 60-80.000 Besucher/Monat
- Newsletter: rund 4.500 Abonnenten
- 2012: rund 500 Medienanfragen/-berichte
Mitgliederbetreuung Datenschutzfragen- 2012: ca. 600 Datenschutz-Anfragen
Rechtsschutz, PRIVACY-Services- 2012: in ca. 200 Fällen Mitglieder in Verfahren vertreten
Zahl der betreuten Mitglieder- aktuell: ca. 15.000 Personen
Studien- und Beratungsprojekte
A-CERT - Zertifizierungsdienstleister gem. SigG
ARGE DATEN
Die ARGE DATEN als PRIVACY-Organisation
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Betrieblicher Datenschutzbeauftragter
Ausbildungsreihe der ARGE DATEN
Modul I: Datenschutz Grundlagen25. März 2014
Modul IV: Datenschutz Praxis / international
27. März 2014
Modul II: Datenverwendung im Unternehmen26. März 2014
Modul III: Datenschutz und IT-Sicherheit
Modul V: Datenschutzfragen identifizieren6. November 2013, 9. April 2014
Die Reihe wird mit einem Zertifikat abgeschlossen
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Es sind nicht bloß Daten vor den Menschen zu schützen, sondern den Menschen ist in der Informationsgesell-schaft das Grundrecht auf Privatsphäre zu sichern.
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Das IT-Grundschutz-Konzept
ISO27001-Zertifizierung in der Praxis
Mittagspause
IT-Sicherheit gemäß DSG2000
Geplanter Seminarablauf
Anforderungen an IT-Sicherheit
Aktuelle IT-Sicherheitsrisken
© ARGE DATEN 2013
ARGE DATENARGE DATEN
IT-Sicherheit gemäß DSG2000
Sicherheit Grundlagen
§ 14 - Bestimmungen
Entscheidungen
Sonderbestimmungen
© ARGE DATEN 2013
ARGE DATEN
IT-Sicherheit
Was ist IT-Sicherheit?
technische Sicht ("safety"):- Sicherung der Herkunft (Authentizität, Integrität)
- Sicherung der Vertraulichkeit- Sicherung der Verfügbarkeit
- allgemeine Betriebssicherheit (OS, Applikationen, Geräte, Netzwerk, Operating, Prozesse, ...)
- Katastrophenschutz
Delikt-Sicht ("security"): betrifft alle Sicherheitsbereiche- Delikte sind nur ein Auslöser unter vielen- andere sind: etwa Fahrlässigkeiten, Unwissenheit
der Mitarbeiter, Fehleinschätzungen der Geschäftsführung, ...
ARGE DATEN
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Eurobarometerumfrage 2011
Was wird überhaupt als schützenswerte Personeninformation angesehen? (EU27 / AT / max / min)
- Finanzdaten: 75% EU27 / 73% AT / 91% DK / 44% PL
- Gesundheitsdaten: 74% EU27 / 75% AT / 93% IE / 46% PL
- Identitätsdaten( Passnummer, ...): 73% EU27 / 67% AT / 92% BG / 53% MT
- Lebenslauf (beruflich): 30% EU27 / 43% AT / 50% DE / 11% BG,RO
- mit wem befreundet: 30% EU27 / 40% AT / 52% DE / 7% BG
- private Interessen/Hobbies: 25% EU27 / 40% AT / 46% DE / 8% CY
- besuchte Webseiten: 25% EU27 / 33% AT / 44% SE / 5% RO
Länder mit höchsten Datenschutzbewusstsein:Deutschland, Niederlande, Großbritannien, Österreich
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Eurobarometerumfrage 2011
Datensicherheit und Internet (EU27 / AT / max / min)
- 66% der Befragten verwenden Internet
- Schutz vor Spam: 42% EU27 / 46% AT / 72% DK / 19% PT
- achten auf sichere Datenübertragung: 40% EU27 / 35% AT / 57% IE / 13% BG
- Löschen Cookies: 35% EU27 / 39% AT / 53% LU,NL / 10% RO
- suchen eigene Daten mittels Suchmaschinen: 14% EU27 / 15% AT / 24% EE / 8% RO
- verwenden "dummy" Mailaccount: 12% EU27 / 25% AT / 25% AT / 6% MT
- Internetnutzer setzen keine Sicherheitsaktivitäten: 15% EU27 / 12% AT / 7% DK,NL / 34% LT
Länder mit höchsten Internet-Datenschutzbewusstsein:Deutschland, Niederlande, Schweden, Österreich
© ARGE DATEN 2013
ARGE DATEN
IT-Sicherheit
Verhältnis von Datensicherheit (Safety+Security) und Datenschutz (Privacy)
Datensicherheit behandelt vorrangig technische FragenWelche Bedrohung? Was ist möglich?Im Zentrum stehen Abwehrszenarien
Datenschutz behandelt vorrangig (grund)rechtliche Fragen
Was ist erwünscht?Im Zentrum stehen Gestaltungsszenarien
Sicherheitsmaßnahmen ohne direkte Datenschutzrelevanz: Katastrophenschutz, wie Blitz-, Feuer-, Erdbebenschutz
PrivacyZugriffsschutz, Protokollierung,
Rechteverwaltung, Ausspähen von
Daten, Datenbeschädigun
g,Passwörter
Safety+SecurityGrundrechtliche Fragen ohne direkten IT-Bezug:
Zweckbindung, Melde- und Offenlegungspflichten,
infomationelle Selbstbestimmung
ARGE DATEN
© ARGE DATEN 2013
ARGE DATEN
Sicherheitsbestimmungen (§ 14)
Sicherheitsmaßnahmen haben einen Ausgleich zwischen folgenden Punkten zu finden:
Stand der Technik entsprechend
wirtschaftlich vertretbar
angemessenes Schutzniveau muss erreicht werden
In Österreich gibt es seit 2003 ein "offizielles" IT-Sicherheitshandbuch,
das 2007 in Version 2.3 vom Ministerrat empfohlen wurde seit 11/2010 gilt Version 3.1 als Informations-
Sicherheitshandbuch
Es gibt im DSG 2000 jedoch keine rechtlich verbindlichen (zwingenden) Sicherheitsvorschriften!
DSG 2000 - Sicherheitsbestimmungen
ARGE DATEN
© ARGE DATEN 2013
ARGE DATENARGE DATEN
DSG 2000 - Sicherheitsbestimmungen
rechtlich-organisatorische Sicherheitsmaßnahmen
- ausdrückliche Aufgabenverteilung- ausschließlich auftragsgemäße Datenverwendung- Belehrungspflicht der Mitarbeiter- Regelung der Zugriffs- und Zutrittsberechtigungen- Vorkehrungen gegen unberechtigte Inbetriebnahme von Geräten
- Dokumentationspflicht zur Kontrolle und Beweissicherung
- ProtokollierungspflichtDie Maßnahmen können als Verpflichtung zu
einer Security-Policy verstanden werden!z.B. gemäß BSI M 2.192 Erstellung einer IT-Sicherheitsleitlinieoder ISO 27001 InformationssicherheitsleitlinieBestimmungen können zu Unvereinbarkeitsregeln führen, z.B. Verbot der Personenidentität von IT-Admin und IT-Sicherheitsbeauftragten
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Protokollierungsanforderungen I (§ 14)
Protokollierungspflicht hinsichtlich Datenverwendung (Abs. 2 Z7)
Protokollierungspflicht nicht registrierter Übermittlungen (Abs. 3)
betrifft auch Abfragenmüssen "im Hinblick auf die Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können"
betrifft nur auskunftspflichtige DatenanwendungenÜbermittlungen gemäß Standard- oder Musterverordnung sind nicht zu protokollieren
DSG 2000 - Sicherheitsbestimmungen
© ARGE DATEN 2013
ARGE DATENARGE DATEN
DSG 2000 - Sicherheitsbestimmungen
Protokolldaten sind manipulationssicher "revisionssicher"aufzubewahren (z.B elektronisch signiert)
Protokollierungsanforderungen II (§ 14)
- Protokolldaten dürfen nur eingeschränkt verwendet werden(zur Kontrolle der Zulässigkeit der Verwendung)
- unzulässig wäre die Kontrolle der Betroffenen oder der Mitarbeiter (z.B. durch Auswertung von Internet-Zugriffen!!)
- zulässig ist die Verwendung zur Aufklärung von Straftaten, die mit mehr als fünfjähriger Freiheitsstrafe bedroht sind
- Aufbewahrungsdauer ist drei Jahre, sofern gesetzliche Bestimmungen nichts anderes vorsehen
- Frühere Löschung zulässig, wenn betroffener Datenbestand ebenfalls gelöscht ist
© ARGE DATEN 2013
ARGE DATENARGE DATEN
DSG 2000 - Sicherheitsbestimmungen
Umsetzung ProtokollierungsanforderungenEmpfehlung für den öffentlichen Bereich: Common Audit Trail v1.0
- regelt: Inhalt, Übermittlung und Auswertung der Protokolle
- Aufbewahrungsdauer generell: 3 Jahre, bei Übermittlung zu Revissionszwecke: Löschung nach Abschluss der Revision
- Inhalt: UTF-8 kodiert, lokale Uhrzeit (M=muss, K=kann)Anfragedatum & -zeit (M), Benutzerkennung (M) + Anwendername (K), Organisationseinheit (M), Applikationskennung (M), Verarbeitungsart (M), Bearbeitungsgrund (K), Transaktionskennzeichen (K), Abfrage/Ergebnis (K)
jedoch: keine Regelung zur revisionssicheren Aufbewahrung
© ARGE DATEN 2013
ARGE DATENARGE DATEN
DSG 2000 - Verschwiegenheitsverpflichtung
Verpflichtung zum Datengeheimnis (§ 15)Mitarbeiter sind - soweit nicht andere berufliche Verschwiegenheitspflichten gelten - vertraglich zu binden.
Mitarbeiter dürfen Daten nur aufgrund einer ausdrücklichen Anordnung übermitteln.
Mitarbeiter sind über die Folgen der Verletzung des Datengeheimnisses zu belehren.
Mitarbeitern darf aus der Verweigerung der Befolgung einer Anordnung einer rechtswidrigen Datenübermittlung kein Nachteil erwachsen.
Bereitstellungspflicht der Datensicherheitsmaßnahmen (§ 14 Abs. 6)
© ARGE DATEN 2013
Was ist Cloud-Computing?
- technisch: Nutzung fremder IT-Infrastruktur in verschiedenen Ausformungen: IaaS, PaaS, SaaS, public, private oder hybride Cloud
- im Lichte des DSG 2000: nur relevant, wenn Daten Dritter ("Betroffener") verarbeitet werden, Dienstleistung im Sinne DSG 2000 §§10,11 mit Verpflichtung Sicherheitsmaßnahmen einzuhalten
Auftraggeber bleibt verantwortlich, egal wie die Cloud-Lösung organisiert ist, auch
bei Heranziehung von Sub- und Sub-Sub-Dienstleistern
IT-Sicherheit, DSG 2000 und Cloud-Computing
ARGE DATEN
© ARGE DATEN 2013
Basisfragen, die bei Cloudeinsatz gelöst sein müssen
- verantwortlich für den Einsatz von Daten ist der Auftraggeber (z.B. § 4 Z 4 DSG 2000)
- den Auftraggeber trifft die Verpflichtung geeignete Dienstleister auszuwählen inkl. aller Sub-Dienstleister (z.B. § 10 Abs. 1 DSG 2000)
- der Auftraggeber hat schriftlich geeignete Vereinbarungen abzuschließen (z.B. § 11 Abs. 2 DSG 2000)
- der Auftraggeber hat die Tätigkeit der Dienstleister zu überwachen (z.B. § 11 Abs. 1 Z 6 DSG 2000)
- der Auftraggeber kann die Beiziehung von Sub-Dienstleistern verbieten (z.B. § 11 Abs. 1 Z 3 DSG 2000)
IT-Sicherheit, DSG 2000 und Cloud-Computing
ARGE DATEN
© ARGE DATEN 2013
Basisfragen, die bei Cloudeinsatz gelöst sein müssen II
- den Auftraggeber treffen alle formalen Melde- und Registrierungspflichten (z.B. § 10 Abs. 2, §§ 17-19 DSG 2000)
- der Auftaggeber hat für die Umsetzung der richtigen sicherheitstechnischen Maßnahmen zu sorgen(z.B. § 14 DSG 2000) Die Cloudfragen sind durch eine geeignete
Kombination technischer und organisatorischer (vertraglicher)
Maßnahmen zu lösen!
IT-Sicherheit, DSG 2000 und Cloud-Computing
ARGE DATEN
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Haftung bei fehlenden Weisungen zur DatensicherheitOGH Entscheidung (9 Ob A 182/90)
Nach Kündigung eines Mitarbeiters kam es zur Löschung von Programmteilen, die dieser Mitarbeiter entwickelt hatte. Ein Grund für die Löschung der Programme konnte nicht gefunden werden.
Erst nach Ausscheiden des Mitarbeiters wurde begonnen, die vorhandene Software zu dokumentieren.
Unternehmen wollte die Rekonstruktionskosten der Software gegen Abfertigungsansprüche des Arbeitnehmers "gegenverrechnen".
Die Festlegung eines Sicherheitskonzepts ist Kernaufgabe einer Geschäftsführung!
Sicherheitsmaßnahmen - Haftung
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Haftung bei bei DatenmissbrauchOGH Entscheidung (9 Ob 126/12s)
Ausgangslage
Ein Redakteur der Tageszeitung A versuchte durch "erraten" von Benutzerkennung/Passwort im Zuge der BUWOG-Causa in das interne System des Unternehmens P zu gelangen.
Der Versuch misslang, auf Grund der IP-Adresse konnte der Standort des Täters ermittelt werden.
Die Aktion führte zur fristlosen Entlassung des Mitarbeiters.
Unternehmen P verlangt Unterlassungsklage
Unternehmen P verlangt weiters von TZ A eine Unterlassungserklärung. Diese wird verweigert, da Redakteur nicht im Auftrag gehandelt habe, sich die TZ A von diesen Aktivitäten distanziere und daher der Redakteur nicht als Besorgungsgehilfe anzusehen ist.
Sicherheitsmaßnahmen - Haftung
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Sicherheitsmaßnahmen - Haftung
Haftung bei bei Datenmissbrauch IIOGH Entscheidung (9 Ob 126/12s)
Entscheidung
HG gibt Klage statt, Vorinstanz (OLG) weist Klage ab, OGH gibt Klage statt, Eingriff ist nach Besitzstörung und nicht nach Schadenersatz zu beurteilen.
Eingriff in IT-System ist Besitzstörung
Eingriff war im Interesse der TZ A
Arbeitgeber hat Weisungs- und Kontrollrechte, kann sich Mitarbeiter aussuchen und Tätigkeitsbereich festlegen
Zur Verfügung stellen von Computer und Internetanschluss reicht schon für Verantwortung der TZ A
Unternehmen hat Besitzstörung - auch ohne ausdrückliche Anordnung - zu verantworten
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Haftung bei fehlendem Zugriffsschutz EGMR Entscheidung I. gegen Finnland (20511/03)Sachverhalt:Eine finnische Krankenschwester lässt sich im Spital in dem sie arbeitet wegen einer HIV-Infektion behandeln. Kurz darauf wird sie "gemobbt". Der Beweis, dass Personalführung rechtswidrig auf die Patientendaten zugegriffen hat misslingt.Entscheidung des EGMR:Es liegt trotzdem eine Verletzung des Grundrechts auf Privatsphäre vor (Art. 8 EMRK), da unzureichendes Sicherheitsmaßnahmen gesetzt waren.Konsequenz:Aus der Schutzverpflichtung erwächst die positive Pflicht, Personendaten effektiv und praktisch vor der Möglichkeit eines unautorisierten Zugriffs zu schützen; es reicht nicht aus, wenn dem Betroffenen eine Beschwerdemöglichkeit bei Datenmissbrauch gewährt wird
Sicherheitsmaßnahmen - Haftung
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Haftung bei fehlendem Zugriffsschutz II OGH Entscheidung 6 Ob 25/13i
Sachverhalt:Ein Arzt ließ seinen PC bei Verlassen seines Dienstzimmers ungesichert eingeschalten und ermöglichte das Abrufen der Krankenakte durch andere im Zimmer aufhältige Personen.
Entscheidung:Der unauthorisierte Zugriff auf die Patientenakte wird als Störhandlung qualifiziert, die nicht nur der unmittelbare Störer, sondern auch der Arzt, der diese Handlung ermöglichte zu verantworten hat.
OGH verweist ausdrücklich auf 9 Ob 126/12s (Redaktionsentscheidung)
Sicherheitsmaßnahmen - Haftung
© ARGE DATEN 2013
ARGE DATENARGE DATEN
IT-Sicherheit gemäß DSG2000
Sicherheit Grundlagen
§ 14 - Bestimmungen
Entscheidungen
Sonderbestimmungen
© ARGE DATEN 2013
ARGE DATENARGE DATEN
spezifische Sicherheitsbestimmungen
Bestehende Sicherheitsanforderungen in Ö- Verschlüsselung bei Webapplikationen / in der
DatenübertragungGrundlage: ePrivacy-RL 2002/58/EG
- Seit 1.4.2012: Vorratsdatenspeicherung: Vorkehrungen bei Datenhaltung, Verschlüsselung der Übertragung und Protokollierungspflicht bei Datenverwendung (TKG § 102c + TKG-DSVO )
- Besondere Sicherheitsmaßnahmen bei GesundheitsdatenGrundlage: GTelG (jetzt: ELGA-Gesetz) + GTelVO
- Sicherheit in der elektronischen RechnungslegungGrundlage: EU-RL 2010/45/EU, BMF-Verordnung BGBl 516/2012
- Sicherheitsbestimmungen + Genehmigungsverfahren bei Digitaler SignaturGrundlage: EG-RL 1999/93/EG, SigG, SigV
© ARGE DATEN 2013
ARGE DATENARGE DATEN
spezifische Sicherheitsbestimmungen
Bestehende Sicherheitsanforderungen in Ö II
- Einsatz der Bürgerkarte in BehördenverfahrenGrundlage: E-GovG
- Medikamentenabrechnung der Apotheken, Videoüberwachung - VerschlüsselungGrundlage: StMV 2004 des Bundeskanzleramtes
- Webapplikationen der BehördenGrundlage: Portalverbundprotokoll pvp 2.0, eine privatrechtliche Vereinbarung
- BankomatkassenGrundlage: privatrechtliche Vorgaben des Betreibers
- e-card/GINA-Box + Peering-Point der ÄrzteGrundlage: privatrechtliche Vereinbarungen
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Datenverschlüsselung von WebapplikationenKeine ausdrückliche Anordnung, jedoch gilt: Stand der Technik, Wirtschaftlichkeit, Angemessenheit (siehe 2002/58/EG Kommunikations-Datenschutz-RL, EG 20, Art. 4)
128bit-SSL/TLS-Verschlüsselung kann heute als defacto-Standard / Stand der Technik angesehen werden, die DSK schreibt ihn in mehreren Fällen vor
Verwendung von verschlüsselter Datenübertragung bei Webformularen (Analyse 03/2009)
- Webseiten österreichische Anbieter: 6%(!!) [ausgewertet: 944 Server]
- Webseiten internationale Anbieter: 15% [ausgewertet:120 Server]
Server in ausgewählten Bereichen:
- Finanzdienstleister (73): verschlüsselt 11 (15%), unverschlüsselt kritisch 13 (18%), unverschlüsselt sonstige 49 (67%)
- Gesundheit (46): V 4 (9%), uV kritisch 7 (15%), uV sonstige 35 (76%)
- Telekom/IT-Dienstleister (729): V 51 (6%), uV kritisch 159 (19%), uV sonstige 591 (75%)
Online - Sicherheit
© ARGE DATEN 2013
ARGE DATENARGE DATEN
spezifische Sicherheitsbestimmungen
Besondere Sicherheitsmaßnahmen bei Gesundheitsdaten
- Regelung im ELGA-Gesetz (2012, vormals Gesundheitstelematikgesetz GTelG
- Umfasst Gesundheitsdaten inkl. Abrechnungsdaten und soziale Daten
- Datenaustausch durch Serverzertifikate abgesichert
- Identitätsnachweis durch Zertifikate oder Zugangsberechtigung
- Datenübertragung im Internet muss verschlüsselt erfolgen
- Dateien sind zu signieren (Integritätsnachweis)
Derzeit (10/2013) de facto nicht umgesetzt, da viele Ausnahmen
© ARGE DATEN 2013
ARGE DATENARGE DATEN
spezifische Sicherheitsbestimmungen
Sicherheit in der elektronischen Rechnungslegung
- 2001: EU-RL 2001/115/EG (Mehrwertsteuerrichtlinie)
- 2003: 1. Verordnung 583/2003 des BMF zur elektronischen Rechnungslegung
elektronische Rechnungen sind fortgeschritten zu signieren oder
falls mittels EDI-Verfahren übermittelt, ist Sammelrechnung ebenfalls zu signieren oder ausgedruckt zu übermiteln
- ab 2005: Erlass des BMF zur Verordnung regelt u.a. Gültigkeit von Massensignatur, automatisierte
Signatur, Signatur durch Dienstleister, ...
- 2012: 2. Verordnung 516/2012 des BMF: Ende spezifischer Sicherheitsanforderungen in der Rechnungslegung
- 20??: Ende der unsignierten Fax-Rechnung
© ARGE DATEN 2013
ARGE DATENARGE DATEN
spezifische Sicherheitsbestimmungen
Digitale SignaturRechtsgrundlagen:
EG-RL 1999/93/EG "Rahmenbedingungen für elektronische Signaturen"SigG BGBl. I Nr. 190/1999 + SigVO BGBl. II Nr. 3/2008E-GovG BGBl. I Nr. 10/2004 "Erleichterung des elektronischen Verkehrs mit öffentlichen Stellen"
Zielsetzung:Regelt Rechtswirksamkeit digitaler Signaturen: grundsätzliche Zulässigkeit aller technischer Verfahren, besondere Rechtswirkung bestimmter Verfahren (§ 3)
Inhalt:Genehmigungspflicht und Aufsicht durch Behörde bei bestimmten Verfahren ("qualifiziertes Zertifikat"),Verordnung schreibt bestimmte Techniken vor (Hashfunktionen, Signaturalgorithmen, Erzeugung von Zufallszahlen)
© ARGE DATEN 2013
ARGE DATENARGE DATEN
spezifische Sicherheitsbestimmungen
Einsatz der BürgerkarteRechtsgrundlagen:
E-GovG BGBl. I Nr. 10/2004 "Erleichterung des elektronischen Verkehrs mit öffentlichen Stellen"
Zielsetzung:Regelt Form der "rechtserheblichen" elektronischen Kommunikation (vorrangig mit Behörden)
Inhalt:Bürgerkarte als "digitaler Ausweis": verknüpft Identitätsdaten, Sicherheitsdaten und "qualifizierte" digitale Signaturmit besonderen Bestimmungen der Prüfung des Antragstellers ("Stammregisterbehörde", "Personenbindung")
jedoch: kein integriertes Sicherheitskonzept bei Anwendung!
Einsatz der Bürgerkarte nicht geregelt!
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Medikamentenabrechnung der Apotheken / Videoüberwachung - Verschlüsselung
Rechtsgrundlagen:StMV 2004 des Bundeskanzleramts (BGBl. II Nr. 312/2004 idgF)
Zielsetzung:Einhaltung der Sicherheitsbestimmungen gem. § 14 DSG 2000
Inhalt:SA026 "Verrechnung ärztlicher Verschreibungen für Rechnung begünstigter Bezieher durch Apotheken": Übermittlung der Datensätze an den Empfänger in sicherer, verschlüsselter FormSA032 "Videoüberwachung": Verschlüsselte Videoüberwachung [gemeint wohl: verschlüsselte Aufbewahrung]
spezifische Sicherheitsbestimmungen
© ARGE DATEN 2013
ARGE DATENARGE DATEN
spezifische Sicherheitsbestimmungen
Sonderfall Web ApplikationÖNORM A 7700 ("Sicherheitstechnische Anforderungen an Webapplikationen")Regelt unter anderem
- Architektur der Web-Applikation- Authentisierung und Sitzungsmanagement- Formulare und andere Benutzereingaben- Ausführung externer Programme- Datenbanken- System-/Fehlermeldungen- Kryptographie
ÖNORM A 7700 ist Nachfolge der ONR 17700
Es kann auch ein staatlich anerkanntes Zertifikat erlangt werden
derzeit sind vier Anwendungen nach ÖNORM A 7700 zertifiziert (Stand 4/2013)
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Resüme: Welche Sicherheitsmaßnahmen sind verpflichtend?
- Zertifizierung einer Website? Verwendung von SSL-Verschlüsselung für Online-Formulare?
- regelmäßiges Backup?
- Verschlüsselung des Mail-/Daten-Verkehrs?
- Absicherung des eigenen WLANs?
- Installation einer (zertifizierten) Firewall?
- Verwendung von Virtual Private Network (VPN) - Lösungen?
- Einsatz von Virenfilter, Spamfilter, Webfilter?
Online - Sicherheit
Keine Maßnahme ist im DSG 2000 gesetzlich ausdrücklich vorgesehen, aber Geschäftsführung haftet für ausreichende
Maßnahmen im Sinne des § 14 DSG 2000
Fachspezifische Regelungen aus anderen Bereichen oder branchenübliches Verhalten können zur Beurteilung
angemessener Sicherheit herangezogen werden
© ARGE DATEN 2013
ARGE DATEN
Länder mit überdurchschnittlich vielen Zertifikaten
ARGE DATEN
Umsetzung Sicherheitsanforderungen
Zertifizierungen ISO 27001 weltweit (Stand 4/2013)
Gesamtzahl der bis 20. April 2013 durchgeführten Zertifizierungen: 7940
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Umsetzung Sicherheitsanforderungen
Welche Vorteile hat eine Zertifizierung?
- Wettbewerbs- und Imagevorteil: Vereinfachungen in Ausschreibungsverfahren, Erbringung von Sicherheitsnachweisen, besonders vertauenswürdig
- Verfahrensvorteil: geringe Gefahr bei der Umsetzung von Sicherheitsvorgaben "etwas zu vergessen"
Wer nutzt den BSI-Grundschutz?
- in Deutschland: Schwergewicht Behörden
- aber auch Anwender in Österreich, Schweiz
- ca. 1200 registrierte Anwender, 300 Behörden,etwa 800 Unternehmen, 100 sonstige
- u.a.: ÖBB, Verbund, Statistik Austria, Innenministerium, ÖH Salzburg, BFI Wien, Stadt Wien, TU Graz, ...
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Umsetzung Sicherheitsanforderungen
Konsequenzen aus mangelhaften Datenschutz- Verwaltungsstrafe: nach DSG 2000 § 52
Verwaltungsübertretung mit Strafe bis 25.000,- Euro, Verletzung IT-Sicherheit: bis 10.000,- Euro
- Zivilrechtliche Haftung: Unternehmen bzw. Dienstnehmer könnten für Folgeschäden haften, auch Gehilfenhaftung
- UWG-Verfahren: Mitbewerber könnten fehlende Sicherheitsmaßnahmen als Versuch eines unlauteren Wettbewerbsvorteils einklagen
- immaterieller Schadenersatz: bei bloßstellenden Folgen § 33 DSG 2000, § 1328a ABGB, Medienrecht
- Strafrecht: bei vorsätzlichen Handlungen (es genügt Schaden wird bewusst in Kauf genommen), z.B. § 51 DSG 2000, §§ 302/310 StGB, §§ 119/a StGB
- Imageschaden: Verpflichtung zur Bekanntgabe von Sicherheitsverletzungen gemäß DSG 2000 § 24 Vertrauensverlust von Kunden und Öffentlichkeit
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Konsequenzen für Unternehmen
Unternehmen hat Ausgleich zwischen Privatsphäreschutz und Kontrollpflicht zu finden
- sowohl Schutzmaßnahmen für Daten, als auch
- Schutzmaßnahmen für Mitarbeiter
Kombination von technischen und organisatorischen Maßnahmen erforderlich
- geeignete Anweisungen zur Datenverwendung
- Betriebsvereinbarung bei Aufzeichnung von MA-Datenalternativ
Einzelvereinbarung gemäß § 10 AVRAG
- Verschlüsselung von Protokoll-/Audit-Daten
- Vier-Augen-Prinzip bei Verwendung von Protokoll-/Audit-Daten
- geeignetes innerbetriebliches Kontrollsystem schaffenDie Haftung bei Datenmissbrauch bleibt jedoch in
allen Fällen bei Geschäftsführung des Unternehmens!
© ARGE DATEN 2013
ARGE DATENARGE DATEN
http://www.cert.org/
http://www.bsi.bund.de/
http://www.netcraft.com/
http://www.a-sit.at/de/sicherheitsbegleitung/sicherheitshandbuch/index.php
http://www.it-safe.at/
weitere Onlineinformation
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Ich danke für Ihre Aufmerksamkeit
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Sonstige Seiten
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Eurobarometerumfrage 2008 (2003)
Kenntnis von Sicherheitstechniken zum Schutz persönlicher Daten im Internet
- Nie von Datensicherheit gehört: 56% EU-weit (72%), 58% Österreich (63%) geringstes Unwissen: PT 33%, DK 37% (S 58%, NL 59%)
- Sicherheitstechniken genutzt: 24% EU-weit, 19% in Österreich,häufigste Nutzung: DK 49%, NL 44%
Warum werden Datenschutztools nicht genutzt?(Basis: Personen, die Tools nicht nutzen)
- Unkenntnis der Anwendung: 19% EU-weit (30%)
- Zweifel an Funktion: 19% EU-weit (18%)
- Unkenntnis wie zu installieren: 17% EU-weit (-)
- zu teuer: 6% EU-weit (6%)
- andere Gründe: 17% EU-weit (17%)
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Portalverbund bei eGovernment
Sonderfall eGovernment - Modell Portalverbund
Viele Anwendungen können über eine einheitliche Schnittstelle benutzt werden.
Quelle Graphik: Portalverbund Whitepaper
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Was ist der Portalverbund?- Zusammenschluss verschiedenster
eGovernmentanwendungen
- Betreiber: Länder, Ministerien, Körperschaften, ...
- Vorteile:- Single Point of Administration: zentrale
Verwaltung der Benutzerrechte
- Single Sign On (SSO): ein Benutzerkennzeichen für alle Anwendungen
- einheitliches technisches Konzept und einheitliche Betreuung, vereinfachter Betrieb
- angebotene Dienste (Beispiele):- BMI/ZMR, EKIS, BRZ/Führerscheinregister,
Firmenbuch, BMWA/Gewerberegister
Portalverbund bei eGovernment
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Was ist der Portalverbund? II
konzeptionell: "Web of Trust"
technisch: ein Extranet, Umsetzung durch das Portalverbundsprotokoll (derzeit pvp 1.8.9)
datenschutzrechtlich: - Datenübermittlung im Sinne des §4 Z12- Informationsverbundsystem gem. § 50 DSG 2000
Rechtsgrundlage: privatrechtliche Vereinbarung
Vereinbarung pvv 1.0 sieht im §9 Sicherheitsbestimmungen vor, insbeondere Konzept der Sicherheitsklassen
Portalverbund bei eGovernment
© ARGE DATEN 2013
ARGE DATEN
SPAM-ProblemWas ist Spam?
- unerbetene elektronische Nachricht: unerwünschte Werbung (EU, RL Art. 13), in Österreich zusätzlich Massennachricht
Umfang von Spam- heute: 70-80% aller Mails Spam
(2010: 90+%, 2004: 75%, 2001: 7%)
- Relation 2001: auf 14 erwünschte Mails kam ein Spam-Mailheute: auf ein erwünschtes Mail kommen 3 Spam-Mails
- Response von 1:1,000.000 reicht für "erfolgreiche" Aussendung7% der Mailnutzer reagieren zumindest einmal im Jahr auf Spam
Gefährdungspotentiale- Belästigung mit unerwünschen Inhalten
- Fehler bei Annahme/Ablehnung von Mails
- Beschränkung der Kommunikation aus Angst vor Spam
- Kosten (Übertragung, Beseitigung, Filterkonfiguation, Zeitverlust)
TKG2003 - Datenschutzbestimmungen
© ARGE DATEN 2013
ARGE DATEN
TKG2003 - Datenschutzbestimmungen
SPAM-Problem - Ausmaß
Quelle: Symantec
© ARGE DATEN 2013
ARGE DATEN
IT-Sicherheit
Sorgen sicherheitsbewußter IT-Manager
(CapGemini 2007)
Bedrohung:1 = hoch,6 = nicht gegeben
20072006
© ARGE DATEN 2013
ARGE DATENARGE DATEN
IT-Sicherheit
(Quelle: Graphik: Corporate Trust; Foto: Symantec 2009)
Sorgen mittelständischer deutscher Unternehmen
© ARGE DATEN 2013
ARGE DATENARGE DATEN
0
20000
40000
60000
80000
100000
120000
140000
160000
0
1000
2000
3000
4000
5000
6000
7000
8000
90001988
1989
1990
1991
1992
1993
1994
1995
1996
1997
1998
1999
2000
2001
2002
2003
2004
2005
2006
2007
2008
Internet-Sicherheit
Sicherheit & Internet - Ist-Zustand
bei cert.org berichtete Zwischenfälle und Sicherheitslücken
Zahl der Zwischenfälle wird seit 2004 nicht mehr publiziert
Mit 3.Q.2008 wurde die Veröffentlichung von Statistiken eingestellt.
© ARGE DATEN 2013
ARGE DATENARGE DATEN
2002/58/EG (Kommunikations-Datenschutz-RL, EG20, Art. 4)
- grundsätzliche Anforderung ähnlich der allg. DS-Richtlinie:angemessen, Stand der Technik, wirtschaftlich vertretbar
zusätzlich: - Ausdehnung (auf gesamte Kommunikation)- Informationspflicht des Nutzers/Teilnehmers über
besondere Sicherheitsrisken und deren Vermeidung- Information hat kostenfrei zu erfolgen (abgesehen von
Empfangskosten)
Stand der Technik- im Zusammenhang mit Internet sind SSL128 (TSL) und
VPN "Stand der Technik"
- Hochgradige Standardisierung im Internet erleichtert sowohl Angriffe und als auch Behebung der Lücken
EU-Kommunikations-Datenschutzrichtlinie
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Sicherheitsanforderungen Portalverbund- durch vier Komponenten definiert
- Authentifizierung- Identifizierung- IT-Grundschutz/Sicherheitskonzept- Personelle Maßnahmen (Schulung/Verpflichtung)
- Art der Authentifizierung des Anwendersgeheimes Wissen (Passwort), Besitz, Biometrie
- Art der Identifizierung des AnwendersIdentifizierung mit Ausweis, ZMR-Abfrage des Anwenders, ...
- IT-Grundschutz/SicherheitskonzeptSchutz der IT-Infrastruktur, Aufstellung Geräte
- Personelle MaßnahmenGrundschulung + Spezialschulung, Verpflichtung
Portalverbund bei eGovernment
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Grundzüge Sicherheitskonzept Portalverbund- Rollenkonzept
- strukturierte Anwenderverwaltung im Stammportal
- zusätzliche Benutzerverwaltung in der Anwendung
- limitierter Zugang mittels Client-Zertifikate (TLS-Verbindung)
- Nutzung mittels Sicherheitsklassen
- technische Umsetzung liegt in der Veranwortung des jeweiligen Auftraggebers!
- nicht geregelt:Verwendung technischer Komponenten
Portalverbund bei eGovernment
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Datenschutz und Sicherheit
Themenkreis Privatsphäre & Internet- Grundsätzlich gelten dieselben DSG-Bestimmungen
(+ TKG-Regeln)
Spezifische Internetprobleme
Auftraggeberproblem, Zweckbindung
- Wer verwendet welche Daten zu welchen Zweck?
- Umfang der zulässig verwendeten Daten
Identifikationsproblem (Authentisierung)
- die Gegenseite kennen (Anbieter/Nutzer)
- Identifikation von Benutzern (und Anbietern)
Rechtsdurchsetzungsproblem
- Datenfluss in Nicht-EU-Staaten
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Haftung bei Phishing-Attacken?Was ist Phishing?- Diebstahl der Benutzeridentität unter Vorspiegelung einer
falschen Anbieteridentität
Verantwortung des Benutzers- Prüf- und Sorgfaltspflichten bei der Benutzung einer Website
oder der Bekanntgabe von persönlichen (identifizierenden) Merkmalen
Verantwortung des Anbieters- Durchschaubare Präsentation seines Dienstangebots,
insbesondere was URL-name, Seitendesign (keine Frames!), Mailversand, SSL-Zertifikat betrifft
Abhilfe- Digitale Client-ZertifikateIn der Regel wird keine Haftung, in Einzelfällen jedoch Mitverantwortung bestehen
Datenschutzfragen Internettechniken
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Einsatz von Tracking-Techniken - Tracking: Instrumente um Benutzer(verhalten) zu
identifizieren, zu verfolgen und zu analysieren
- verschiedenste Namen/Techniken: Web-Bugs, Cookies, Web-Beacons, Hidden Identifiers, Spyware, ...
Typische Tracking-Informationen- Wie lang wurde welche Seite, in welcher Reihenfolge
angesehen ("Surfverhalten")?
- Welche Artikel wurden in welcher Kombination bestellt?
Probleme- Umfang- Durchschaubarkeit (wird sich auch an Kenntnis des
Zielpublikums orientieren müssen)- Zustimmung (ausdrückliche / konkludente Zustimmung)- unternehmensübergreifendes Tracking- Vermeidung der nachträglichen Benutzerzuordnung
Datenschutzfragen Internettechniken
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Tracking II
2002/58/EG (TK-Datenschutzrichtlinie, EG24/25)
- gem. EU-Richtlinie grundsätzlich zulässig- "klare und genaue Information über den Zweck"- Ablehnung muss möglich sein (Einstellbarkeit einmalig im
Browser genügt)- in Verbindung mit Verpflichtung zu Sicherheitsmaßnahmen:
defacto-Verbot der Speicherung vertraulicher Daten im Klartext
nicht konfigurierbare Browser in Cybercafes können Richtlinie widersprechen!
Datenschutzfragen Internettechniken
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Cookie-Verwendung
Privacy-Gefährdungspotentiale- bei gemeinsamer Nutzung des Computers durch mehrere
Personen könnten persönliche Informationen von Dritten verwendet werden
- Ausspähen von Interessensprofilen
- Einsatz von Cookie-Servern / Cookies in Werbebannern erlauben User-Traking
2002/58/EG (TK-Datenschutzrichtlinie)- dürfen nicht überrumpelnd eingesetzt werden
- Bei Übergang auf Seiten mit Cookies ist das (browserunabhängig) anzuzeigen
- Aus unserer Sicht ist die Verwendung von Cookies schon auf der "Homepage" unzulässig
Datenschutzfragen Internettechniken
© ARGE DATEN 2013
ARGE DATENARGE DATEN
eMail im Blickwinkel der Privatsphäre- TKG-SPAM-Regelung §107, Abwehrrechte
- Filtersoftware oft problematisch und schlecht zu konfigurieren
- Blocking- ("Blacklist"-) Server können zu Haftungsproblemen führen
- SPAM & Würmer als "siamesische Zwillinge"
- Mail als unerwünschte Nachricht ist nicht immer SPAM
Ausblick und Entwicklung von Mail- professionelle Filter-Dienstleister
- Verstärkte Nutzung von Formularen
- Einsatz sicherer (TLS-basierter) und zertifizierter Mailserver
- Verstärkter Einsatz von Clientenzertifikaten
- Verstärkte Nutzung von "einmal"-Mailadressen
- datenbankbasierter Mailverkehr und P2P-Kommunikation
Datenschutzfragen Internettechniken
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Intranet/Extranet
Themen aus der betrieblichen Praxis
- Hat die Betriebsführung Anspruch auf Bekanntgabe von Passwörtern?
- Ist der Einsatz von Filtersoftware zustimmungspflichtig?
- Dürfen Fotos der Mitarbeiter im Intranet / Internet veröffentlicht werden?
- Dürfen Daten der Mitarbeiter zu persönlichen Ereignissen im Intranet veröffentlicht werden (Hochzeit, Geburtstag, ...)
- Muss bei Datenzugriffen von Außen (Vertriebsmitarbeiter, ...) verschlüsselt werden?
- Muss innerbetrieblich verschlüsselt werden (VPN-Pflicht)?
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Digitale Signatur
Ziele
Technik
Signaturarten
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Problemstellung digitale Signatur
Digitales Zertifikat ist ein Ausweis, der den Signator für ein bestimmtes Signaturverfahren
als nutzungsberechtigt ausweist
Signatur: technisches Verfahren zur Kennzeichnung von Dateien
Zertifikat: Zuordnung eines bestimmten technischen verfahrens zu einem Inhaber
Ziel(e) digitaler Signatur- Nicht Bestreitbarkeit eines Rechtsvorgangs- Vermeidung von Medienbrüchen- weitestgehend automatisierte Abwicklung (Bestellungen,
Sachbearbeitung, ...)- Nachweisbarkeit der Durchführung einer Transaktion /
Zustellung / Hinterlegung
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Grundlagen SigG
Signaturgesetz 2000
- jeder kann Signaturverfahren nach eigenem Ermessen einsetzen
- Signaturdienste für Dritte sind registrierungs- bzw aufsichtspflichtig
- Verschiedene Signaturformen- gewöhnliche Signatur- "fortgeschrittene" Signatur- Verwaltungssignatur- Amtssignatur- "sichere" (qualifizierte) Signatur
- Gültigkeit der Signatur richtet sich nach gesetzlichen Bestimmungen oder privatrechtlicher Vereinbarung
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Arten der digitalen Signatur
"gewöhnliche" Signatur- jede Form der elektronischen Kennzeichnung zum
Verfasser eines Dokuments
"fortgeschrittene" Signatur- bestimmte, sichere Hash- und Signaturverfahren
zwingend vorgeschrieben- bestimmte Form der Identiätsbestimmung des
Signators und Vergabeform des Zertifikats durch Aufsichtsbehörde vorgeschrieben
- keine besonderen Hardwareverwendungen vorgesehen
"qualifizierte" Signatur- wie "fortgeschrittene" Signatur, jedoch bestimmte
Hardware zwingend vorgesehen
EU-weit dürfte "fortgeschrittene" Signatur zum gemeinsamen Rechtsstand werden
© ARGE DATEN 2013
ARGE DATENARGE DATEN
"fortgeschrittene" Signatur
Rechtsgrundlage fortgeschrittene Signatur- SigG §2 Z3 lit. a bis d definiert "fortgeschrittene"
Signatur
- RTR/TKK-Positionspapier vom 13.4.2004
Anerkennung durch EU-Richtlinie 2001/115/EG
- Umsetzung durch BMF-Verordnung Dezember 2003 (BGBl. II Nr. 583/2003)
Merkmale- ausschließliche Zuordnung zum Signator
- Identifizierung des Signators möglich
- alleinige Kontrolle durch Signator
- keine nachträgliche Änderung der Signatur möglich
einziger Unterschied zur "sicheren" Signatur: Verzicht auf bestimmte Hardware (Chipkarte)
© ARGE DATEN 2013
ARGE DATENARGE DATEN
digitale Signatur - Grenzen
Grundsätzliche Unterschiede digitaler/natürlicher Signatur
- keine unmittelbare Einsichtigkeit des Vorgangs (technische Vermittlung)
- Ablaufdatum der Gültigkeit- Abhängigkeit von technicher Infrastruktur Dritter
- Internet ist ein asynchrones Medium- keine Synchronität zwischen Ausweisleistung und
Willenserklärung
digitale Unterschriften werden niemals persönlichen Unterschriften gleichzusetzen
sein
© ARGE DATEN 2013
ARGE DATENARGE DATEN
technischer Ablauf - Schritt IAsynchrones und asymetrisches Verfahren
- Signiervorgang und Bestätigungsvorgang erfolgen mit unterschiedlichen Verfahren (Privat und Public Key)
- dadurch können sie asynchron stattfinden
Einsatzgebiete- Sicherung der Authentizität eines Dokuments- Änderungskontrolle (Änderungen werden erkannt, nicht
notwendigerweise verhindert)
Einsatz nicht notwendigerweise personenbezogen!
Technik digitale Signatur
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Beispiel
Technik digitale Signatur
© ARGE DATEN 2013
ARGE DATENARGE DATEN
technischer Ablauf - Schritt II
PersonenbindungHashcode wird mit persönlichem Code ("privater Schlüssel") verknüpft
- Methode: asymetrische Verschlüsselung- Typische Techniken: RSA (eingesetzt in
Programmen wie PGP, S/MIME, ...), DSA
Technik digitale Signatur
© ARGE DATEN 2013
ARGE DATENARGE DATEN
technischer Ablauf - Schritt III
Verifikation (Übermittlung / Prüfung)Originaltext und Anhang werden gemeinsam (oder auch getrennt) übermittelt
- öffentliche Schlüssel zur Prüfung notwendig- öffentliche (sekundenaktuell) geführte
Verzeichnisse notwendig- vertrauenswürdige Bestätigungsstellen notwendig- einheitlicher Zeitstandard notwendig
Technik digitale Signatur
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Datenschutz bei Authentisierungsmechanismen(Stellungnahme WP 68 29.1.2003)
Online-Authentifizierungssysteme- lokal (PC-orientiert)- dezentrale (Proxy-orientiert)- zentrale Authentisierungen (Microsoft)- vernetzte (Web-of-Trust)
gegenwärtig werden fast nur zentrale Authentiserungsmodelle diskutiert
Datenschutz und Authentisierung
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Datenschutz und Identifikation
Identifikation von Benutzern - Vorfragen- Wann ist eine Identifikation zulässig?
- Welche Identifikationsdaten dürfen verwendet werden?
- Wie sind diese Daten einzuordnen?
Identifikationsmechanismen im Internet
- PIN / TAN - Verfahren
- Digitale Signatur und Zertifikate
Nachweis- und Willenserklärungsproblem
Neue Herausforderungen an Begriff "personenbezogene Daten" ("Identität einer Person")
- Problem der Alias-Identitäten
- Problem des Identitätsdiebstahls (Phishing)
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Internet-Sicherheit
Sicherheit & Internet BenutzersichtProblembereiche
- Benutzung von Passwörtern
- Benutzung von Suchmaschinen
- Benutzung von Online-Formularen
- Aufzeichnung des Surfverhalten
Hilfsmaßnahmen- Verwendung von Proxy-Servern
- Verwendung verschiedener Rollen (Alias-Identitäten)
- Verwendung diverse Filter- und Scanersoftware
- Nutzung von Black- und White-Lists
- Lokale Sicherheitseinstellungen optimieren
Zur Diskussion: Klage nach Erhalt eines Mails mit Wurm?Welche Vorkehrungen kann/muss ein Benutzer treffen?
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Datenschutzfragen Internet
Verwendung von WHOIS-Informationen
Beispiel WHOIS (Stellungnahme WP76 13.6.2003)
- mangelhafte Definition des Zweckes
- Zweck des Kontakts bei Fehlern auch mit anderen Mitteln erreichbar
- auch veröffentlichte Daten genießen Datenschutz
- zwangsweises Eintragen im WHOIS-Verzeichnis verstößt gegen Selbstbestimmungsrecht
- Selbstkontrollmaßnahmen auf WHOIS-Basis problematisch (NOWAK-Aktion)
- Direktmarketingaktionen jedenfalls unzulässig
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Verwendung von Internet-Zugriffsprotokolle
Was sind Internet-Zugriffsprotokolle-Daten?- grundsätzlich bestimmbare personenbezogene Daten- abhängig vom Dienstangebot auch [direkt]
personenbezogene Daten, in vielen Fällen verknüpft mit sensiblen Daten (e-health, Sex-Seiten, Infoseiten weltanschaulich orientierter Gruppen)
Mögliche Zwecke (Datenanwendungen) von Internet-Zugriffsaufzeichnungen
(1) Analyse des Ressourcenverbrauchs (Auslastung, Systemplanung, DSG 2000 § 48 "Statistik", Ergebnis ist nicht personenbezogen)
(2) Erkennen missbräuchlicher Verwendungen (DSG 2000 § 14 [gilt nur bei Web-Zugriffen von Datenanwendungen bei denen man selbst datenschutzrechtlicher Auftraggeber ist], TKG 2003, StGB § 119a)
(3) Analyse der Nutzung des eigenen Angebots (Marketingplanung, wie (1))
Datenschutzfragen Internet
© ARGE DATEN 2013
ARGE DATENARGE DATEN
Verwendung von Internet-Zugriffsprotokollen II
Mögliche Zwecke (Datenanwendungen) von Internet-Zugriffsaufzeichnungen (Fortsetzung)
(4) Analyse der Interessen der externen Nutzer (Interessenten, Kunden, Mitglieder, Lieferanten) (wie (1), TK-Anbieter haben zusätzlich TKG § 93ff zu beachten)
(5) Analyse der Tätigkeiten der Mitarbeiter (ArbVG §§ 96,96a, BV-pflichtig oder § 10 AVRAG (Arbeitsvertragsrechts-Anpassungsgesetz) Zustimmung der Mitarbeiter)
einzelne Verwendungen können Datenschutzprobleme verursachen
- Auflösen IP-Adressen durch WHOIS-Abfragen und veröffentlichen der Ergebnisse
- Veröffentlichen Protokolldaten/Auswertungen im Internet
- Übermitteln/Überlassen Protokolldaten an Drittfirmen ohne Dienstleistervereinbarung gemäß DSG 2000 (z.B. Google Analytics)
Datenschutzfragen Internet