Datenschutz 25.10.2011

1. Dr. Matthias Boldt matthias.boldt@ticket-web.de Datenschutz 25.10.2011

2. Datenschutz 25.10.2011 • Scherze? • Porno-Videos auf einer Videowand in Moskau • Videowand wurde „aufgebrochen“ • Es gab neben Verkehrschaos wohl auch einige Unfälle => „Hacken“ ist nicht gefahrlos für die Umwelt!

3. Datenschutz 25.10.2011 • Libri-Datenpanne in 2009 • durch eine Lücke im System von Libri.de war der unautorisierte Zugriff auf mehrere tausend Rechnungen von Kunden möglich • bei den Libri-Konten vieler Buchhändler war der Login-Name gleich dem Passwort • Dabei wird der Login-Name nur durch eine mehrstellige Zahl repräsentiert. Zudem hat Libri offenbar die Zahlen sequentiell belegt. • Es stellt sich die Frage, wie das vorherige, unsichere Vergabesystem mit der Zertifizierung des Systems durch den TÜV Süd in Einklang steht.

4. Datenschutz 25.10.2011 • Postbank-Konten extern einsehbar - 2009 • Externe Berater konnten Konten und personengebundene Daten einsehen • Adreßdaten • Kontobewegungen der letzten 100 Tage • Daueraufträge, Wertpapierorders, Überweisungen • z.B. Spekulationen von Politikern mit Aktien der Deutschen Bank und Commerzbank einsehbar gewesen

5. Datenschutz 25.10.2011 • Bundesagentur für Arbeit – Herbst 2009 • In der neuen Datenbank sollten Daten von Erwerbslosen gespeichert werden, die sich auf Suchtkrankheiten, Verschuldung, Wohnungsproblematik bis hin zu schwierigen familiären Verhältnissen beziehen. • Auf das Computersystem mit dem Namen 4-PM ("Vier-Phasen-Modell") konnten bundesweit alle rund 100.000 Mitarbeiter der Jobcenter und der Arbeitsagenturen zugreifen, hieß es.

6. Datenschutz 25.10.2011 • Bundesagentur für Arbeit – Herbst 2009 • Unternehmen müssen weder eine Betriebsnummer nennen noch einen Gewerbeschein oder eine andere Legitimation vorlegen, wenn sie sich im Stellenportal der Bundesagentur für Arbeit anmelden. Über diese Lücke kann jeder, der will, an die Daten von Bewerbern kommen, auch wenn er gar keine Stelle zu vergeben hat. • Wer registriert ist, kann seine Unternehmensdaten jederzeit vollständig ändern – wird als negativ angemerkt: doch lt. BDSG ist dies notwendig – Journalisten …

7. Datenschutz 25.10.2011 • James Bond im Schweizer Außenamt: • Es ist Ziel eines Spionageangriffs geworden. Unbekannte Täter setzten dabei eine spezielle Software ein, um in die IT-Infrastruktur des Departements zu gelangen und gezielt Informationen zu beschaffen. • Der Spionageversuch war laut einer Mitteilung am 22. Oktober 2009 von den eigenen Technikern in Zusammenarbeit mit Microsoft entdeckt worden. Die Schadsoftware war demnach sehr gut versteckt und soll praktisch keine wahrnehmbaren Störungen in der IT-Infrastruktur verursacht haben.

8. Datenschutz 25.10.2011 • Die britische Tageszeitung "The Guardian" • ist nach eigenen Angaben einem Angriff zum Opfer gefallen, bei dem Kriminelle in Systeme der Online-Stellenbörse eindrangen. Die Einbrecher hatten vermutlich Zugriff auf schätzungweise ein halbe Million Datensätze von Bewerbern inklusive deren Lebensläufe • Datenschutzexperte Bruce Schneier fürchtet weniger die Angriffe von Kriminellen auf die Privatsphäre als vielmehr die Eingriffe der Regierung. Auch die Marketingstrategen in Unternehmen und Information Broker würden mit dem Sammeln, Wiederverwenden und Weiterverkaufen persönlicher Daten mehr Schäden beim Datenschutz anrichten als es Kriminelle je tun könnten.

9. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte §6 (1) unabdingbares Recht auf Auskunft, Berichtigung, Löschung, Sperrung (nicht wie früher üblich durch bspw. Arbeitsvertrag ausschließbar)  Kernstück des Datenschutzes!

10. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: Transparenz • Nachvollziehbarkeit der Abläufe, • Wissen wo welche Daten verarbeitet werden  Benachrichtigungspflichten • keine im öffentlichen Bereich, aber alle Aufgaben gesetzlich geregelt

11. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: Benachrichtigung im nicht öffentlichen Bereich • §33 (1) Bei der erstmaligen Speicherung ist der Betroffene davon in Kenntnis zu setzen; bei der Speicherung zur geschäftsmäßigen Übermittlung, vor der ersten Übermittlung. • Dabei hat eine genaue Angabe über die verantwortliche Stelle und die Art der gespeicherten/ übermittelten Daten zu erfolgen. • (Wir haben über Sie Namen, Adresse, Tätigkeit, Bankverbindung und die sonst im Rahmen des Vertragsverhältnisses und zur Kundenbetreuung benötigten Daten gespeichert.) • keine Schriftform nötig

12. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: Ausnahmen bei der Benachrichtigung • wenn der Betroffene bereits Kenntnis hat • Geheimhaltungsinteresse zu Gunsten Dritter • Gefährdung öffentlicher Sicherheit • Beeinträchtigung des Geschäftsinteresses • Daten aus allgemeinzugänglichen Quellen oder Listen von Datenhändlern und die Benachrichtigung wg. der Vielzahl der Fälle unverhältnismäßig ist

13. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: Auskunfstsrecht • bzgl. Daten, Zweck, Herkunft, Empfänger, Stellen an die regelmäßig übermittelt wird. • Unentgeltlich (es sei denn, Weiterverwendung für wirtschaftliche Zwecke) • Ausnahmen wie bei Benachrichtigung!(es sei denn, aus öffentlichen Quellen oder Listenmäßige Daten  hierzu gibt es Auskunft)

14. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: Berichtigung • Ist ein Datum unrichtig ist es zu berichtigen. • wenn die Richtigkeit bestritten wird, ist dies in geeigneter Weise festzuhalten!

15. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: Löschung 1. wenn die Speicherung unzulässig ist 2. Kenntnis für die Aufgabenerfüllung nicht mehr erforderlich

16. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: Sperrung anstatt Löschung • 1. Wenn einer Löschung Aufbewahrungsfristen (Gesetz, Satzung, Vertrag) entgegenstehen • 2. Die Löschung schutzwürdige Interessen des Betroffenen beeinträchtigen würde • 3. Die Löschung einen zu großen Aufwand bedeuten würde • 4. Die Richtigkeit wird vom Betroffenen bestritten und es kann weder die Richtigkeit, noch die Unrichtigkeit bewiesen werden

17. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: öffentlicher Bereich • §20 (8) Benachrichtigung von Empfängern bei Übermittlung • Alle Stellen, die Daten regelmäßig zur Speicherung empfangen, sind von Berichtigungen, Sperrungen wg. bestrittener Richtigkeit, Löschungen oder Sperrungen wg. Unzulässigkeit der Speicherung zu verständigen, • wenn dies zur Wahrung schutzwürdiger Belange des Betroffenen erforderlich ist.

18. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: Schadenersatz • §7 Schadensersatzansprüche gegenüber öffentlicher Stellen (max. 250.000,-) • Gefährdungshaftung (gilt also auch dann, wenn die Behörde oder ihre Bediensteten keine Schuld trifft) • Voraussetzungen: Schaden muß aus einer unzulässigen oder unrichtigen automatisierten Verarbeitung personenbezogener Daten entstanden sein!

19. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: Schadenersatz • Schadensersatzansprüche gegenüber nichtöffentlichen Stellen: • Es gibt Schutzpflichten nach § 242 BGB (Treu und Glauben), deren schuldhafte Verletzung Schadensersatzpflichten bewirkt. • Entstehen Schäden durch unerlaubte Handlungen einer speichernden Stelle, so haftet diese nach den Vorschriften des BGB.

20. Datenschutz 25.10.2011 • BDSG – Betroffenenrechte: §8 Schadensersatz durch nicht-öffentliche Stellen: • Zur leichteren Durchsetzung der Ansprüche muß der Betroffene nur nachweisen, daß  eine Handlung der verantwortlichen Stelle vorliegt und  ein Schaden eingetreten ist. • Die verantwortliche Stelle muß nachweisen  daß Handlungen nicht ursächlich für den Schaden war  daß sie kein Verschulden trifft.

21. Datensicherheit 25.10.2011 • BDSG – § 9 Datensicherheit (die 8 Gebote) • Zutrittskontrolle • Zugangskontrolle • Zugriffskontrolle • Weitergabekontrolle • Eingabekontrolle • Auftragskontrolle • Verfügbarkeitskontrolle • Trennungskontrolle Das Kleingedruckte: Maßnahmen sind nur soweit erforderlich, wie ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht

22. Datensicherheit 25.10.2011 • Zutrittskontrolle • Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, verwehren • Statistisch gesehen kommen die meisten Angriffe „von innen“

23. Datensicherheit 25.10.2011 • Zutrittskontrolle - Maßnahmen • Gesicherter Eingang, Pförtner • 4-Augen-Prinzip • Schlüssellösung • Codekarte (Protokollierung) • Spezielle Drehtür • Bewegungsmelder • Kameraüberwachung • Eingeschränkter Berechtigungskreis • Besucherregelung

24. Datensicherheit 25.10.2011 • Zutrittskontrolle – Beachtung Datenschutz • Protokolle sind nicht mit anderen Daten zu verbinden • Ein „Ausspähen“ von Personen ist nicht zulässig • Bei Video-Überwachung sind die gesetzlichen Regelungen zu beachten, insbesondere bzgl. öffentlicher Räume • Beispiel ticket-web • Sicherheitsanlage mit Audio-Überwachung • An- und Abschaltung mit Codenummern • Tresen mit Arbeitsplatz im Eingangsbereich

25. Datensicherheit 25.10.2011 • Zugangskontrolle • Verhindern, daß Datenverarbeitungssysteme von Unbefugten genutzt werden können

26. Datensicherheit 25.10.2011 • Zugangskontrolle - Maßnahmen • Vergabe von Paßworten • „enge“ Begrenzung der befugten Nutzer • Protokollierung der Benutzung • Protokollierung von Mißbrauchsversuchen • Regelmäßige Auswertung von Protokollierungen • Verschlüsselungsverfahren • Festlegung und Kontrolle der Befugnisse • Sanktionen bei Fehlversuchen (Sperrung) • „abhörsichere“ Geräte und Leitungen

27. Datensicherheit 25.10.2011 • Zugangskontrolle - Paßworte • Nirgends notieren und niemand mitteilen! • Mindestens sechs Zeichen, besser acht! • Aus Buchstaben, Ziffern, Zeichen! • Regelmäßig ändern! • Keine Trivialpaßworte verwenden! • Besser sind OTP‘s (one-time-password) • Token-Generator • Open-Kubus

28. Datensicherheit 25.10.2011 • Zugangskontrolle - Beispiel ticket-web • Zugangskennung aus Kombination • Firma-ID • Nutzer-ID • Paßwort • Prozessorkarte als Schlüsselkarte • ENTREE-local • MAC-Adressen-Abgleich => eindeutige Identifikation des Arbeitsplatzes • Nutzung der Zugangskennungs-Kombination • Zwischen Server und Browser geschaltet

29. Datensicherheit 25.10.2011 • Zugangskontrolle – ENTREE-local-login

30. Datensicherheit 25.10.2011 • Zugriffskontrollen Gewährleisten, daß die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und daß personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

31. Datensicherheit 25.10.2011 • Zugriffskontrollen - Maßnahmen • Festlegung und Kontrolle der Zugriffsbefugnisse, differenziert nach • Daten, • Programmen und • Zugriffsarten • Protokollierung der Zugriffe sowie von Mißbrauchsversuchen • automatisches log-off • Sperrung nach Dienstschluß, damit ein log-in nicht mehr möglich ist • Lückenlose Menüsteuerung

32. Datensicherheit 25.10.2011 • Zugriffskontrollen – Beispiel ENTREE-CRM • Zugriff für jeden Menüpunkt einzeln regelbar • Lese/Schreibrechte für die wesentlichen Daten bestimmbar • Integration in das OO-Framework für die Dialoggestaltung  eines der modernsten Frameworks diese Bereiches für PHP • Verbindung über Menü-/Dialog-ID • Rechteadministration im Baum • Zuweisung der Rechtegruppen zu Nutzern

33. Datensicherheit 25.10.2011

34. Datensicherheit 25.10.2011

35. Datensicherheit 25.10.2011 • Weitergabekontrolle Gewährleisten, daß personenbezogener Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und daß überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogene Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

36. Datensicherheit 25.10.2011 • Weitergabekontrolle - Maßnahmen • Aufbewahrung in Sicherheitsmöbeln • eindeutige Kennzeichnung von Datenträgern • schriftliche Regelung des Datenträgeraustausches • Löschung des Datenträgers vor dem Austausch • Protokollierung des Datenträgeraustauschs • Vernichtung per Reißwolf • Verbot des Kopierens von Datenträgern • Führen eines Bestandsverzeichnisses • Archivierung und Katalogisierung der Datenträger • Verbot der Verwendung privater Datenträgern

37. Datensicherheit 25.10.2011 • Weitergabekontrolle - Datenträgervernichtung • Im betrieblichen Ablauf muß sichergestellt werden, daß Datenträger mit vertraulich zu behandelnden Unternehmensinformationen so vernichtet werden, daß unberechtigte Dritte keine Kenntnis von den Informationen auf den Datenträgern erhalten können. • personenbezogene Daten, • Entwicklungsdaten, • Finanz- und • Auftragsdaten • DIN 32757-1 (Vernichtung von Informationsträgern – Anforderungen und Prüfungen an Maschinen und Einrichtungen)

38. Datensicherheit 25.10.2011 • Weitergabekontrolle – „private“ Datenträger • Im betrieblichen Ablauf muß sichergestellt werden, daß Datenbestände „im Betrieb bleiben“. • Hierzu bedarf es klarer Anweisungen und Regelungen, ob und wenn ja, unter welchen Bedingungen Firmendaten im privaten Bereich verarbeitet werden dürfen. • Leichtfertiger Umgang mit Unternehmensdaten kann für den Arbeitnehmer weitreichende Folgen strafrechtlicher, arbeitsrechtlicher und zivilrechtlicher Art haben. • „Sicherheitslücke Laptop“ – Diebstahl leicht möglich

39. Datensicherheit 25.10.2011 • Weitergabekontrolle – Beispiel ticket-web • PHP-Quellcode wird nur verschlüsselt ausgeliefert • Eigenes PHP-Modul  TWEX • Passende Verzahnung mit APC • Mandantentrennung bei der Datenhaltung  Weitergabe von Kundendaten nur bei entsprechender geschäftlicher Beziehung • Zahlungsdaten (z.B. Kreditkartendaten) werden über Gateways geleitet • Vertrag ist notwendig zwischen Verkäufer und Prozessor • CRM-Kopplung mit Mandantentrennung

40. Datensicherheit 25.10.2011 • Eingabekontrolle Gewährleisten, daß nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogenen Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

41. Datensicherheit 25.10.2011 • Eingabekontrolle - Maßnahmen • Datenerfassungsanweisung • Protokollierung der Dateieingabe, Änderung oder Löschung • Sicherung der Protokolldaten gegen Verlust oder Veränderung • Sammlung der Erfassungsbelege • Aufzeichnung über die Datenerfassungskräfte

42. Datensicherheit 25.10.2011 • Eingabekontrolle – Beispiel ticket-web • History-Funktion in ENTREE-tickets • Speicherung der Aktion und des Bearbeiters • Speicherung des Inhaltes der Änderung • Integration in das OO-Framework für die Dialoggestaltung • Dienstleistungen zur Datenerfassung werden als „Service-Leistungen“ beauftragt • Datenerfassungkräfte haben Arbeitsvertrag und damit eine Geheimhaltungsvereinbarung

43. Datensicherheit 25.10.2011

44. Datensicherheit 25.10.2011

45. Datensicherheit 25.10.2011 • Auftragskontrolle Gewährleisten, daß personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.

46. Datensicherheit 25.10.2011 • Auftragskontrolle - Maßnahmen • sorgfältige Auswahl des Auftragnehmers • schriftlicher Vertrag (vgl. § 11 Abs. 2 BDSG) • Form- und Merkblätter für vollständige und klare Weisungen • Verpflichtung des Personals auf das Datengeheimnis (vgl. § 5 BDSG)  Arbeitsvertrag • gemeinsame Kontrollen durch Auftraggeber und Auftragnehmer • Löschung von Restdaten

47. Datensicherheit 25.10.2011 • Verfügbarkeitskontrolle Gewährleisten, daß personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

48. Datensicherheit 25.10.2011 • Verfügbarkeitskontrolle - Maßnahmen • Ausarbeitung eines Datensicherungskonzepts • Einrichtung einer unterbrechungsfreien Stromversorgung • Vorsorge gegen Wasserschäden • Keine Verwendung von Originaldaten für Testzwecke • Datenübergabe nur gegen Quittung

49. Datensicherheit 25.10.2011 • Verfügbarkeitskontrolle – Beispiel ticket-web • Datensicherungskonzept • Regelmäßige Datensicherung als Service für unsere „kleineren“ Kunden • Bei größeren Kunden • Consulting zur Datensicherung • Datentrennung im strukturieren DB-Cluster (Master und Slave an verschiedenen Orten) • ENTREE-propeller • Überwachung der Server • Überwachung der wesentlichen Funktionen • Überwachung der Backups

50. Datensicherheit 25.10.2011