IT-Sicherheit und Datenschutz

Transkript

1 Rechtliche Anforderungen an die Geschäftsführung Rechtsanwältin Anna Cardillo PrivCom Datenschutz GmbH, Hamburg

2 Warum eigentlich????

3 IT-Sicherheit vor allem im eigenen Interesse! Vertraulichkeit Integrität Verfügbarkeit Authentizität Zurechenbarkeit der verwendeten Daten

4 Die größten Datenpannen in den letzten zwei Jahren: Telekom (T-Online) DB SchülerVZ Lidl AWD u.v.m.

5 -In Friedrichshafen verschickte ein Mitarbeiter der Polizeidirektion unter anderem eine Lagebeurteilung zur Terrorfahndung in Baden-Württemberg, Einsatzaufträge und eine Liste gefährdeter Einrichtungen versehentlich an einen größeren Presseverteiler anstatt an seine Kollegen -. Bei einem ahnungslosen Hamburger gingen mehr als hundert s ein, die "hochsensible und sehr persönliche Daten" von Alice-Kunden enthielten. Darunter seien jeweils die komplette Bankverbindung mit Kontonummer und die genaue Adresse gewesen - inklusive Stockwerk der Wohnung. Die Nachrichten landeten in dem -Postfach des 48- Jährigen, weil dieser sich die Adresse alice@alice.de eingerichtet hatte

6 Bei mir sinn die Deller vunn de Wend gfloge! Eine Frau ruft bei der Mannheimer Polizei an, beschwert sich über den lautstarken Nachbarn es würden schon die Teller von der Wand fliegen (so die hochdeutsche Version). Drei Jahre nach diesem Notruf landet ein Mitschnitt dieses Anrufs auf Youtube Die Anruferin wird zum Gespött im Internet Bild: Ganz Deutschland lacht über diese Frau

7 Peinliche Panne bei den Münchner Stadtwerken. Bei einer Steuerprüfung wurden versehentlich die Gehaltsdaten der Aufsichtsräte an 300 Mitarbeiter g t. Einem Steuerprüfer, der bei den Stadtwerken zugange gewesen war, war am 5. Oktober ein blöder Fehler unterlaufen: Beim Versand einer klickte er wohl zu früh, sodass lediglich der Buchstabe k in die Adresszeile rutschte. Hinter diesem k verbirgt sich der innerbetriebliche Verteiler der Stadtwerke für den gesamten kaufmännischen Bereich.

8 Nur Einzelfälle??? Könnte Ihnen das nicht passieren??? Wie sicher ist Ihr Unternehmen???

9 Ein Mitarbeiter wurde soeben gekündigt und kehrt an seinen Arbeitsplatz zurück, um noch schnell Kundendaten und die Pläne der neuesten Produktentwicklung auf seine SD-Karte zu kopieren. Könnten Sie das verhindern? Ein Mitarbeiter vergisst seinen Firmenlaptop mit Kundendaten in der S-Bahn oder ein USB-Stick mit den Protokollen des letzten Meetings rutscht dem Geschäftsführer aus der Hosentasche. Sind die Informationen sicher?

10 Ein unbedarfter Mitarbeiter startet ein kleines Programm aus dem Internet. Den enthaltenen Trojaner meldet der Virenscanner leider erst später. Die Technik-Abteilung benutzt unlizenzierte Programme, die immer wieder die Systemstabilität beeinträchtigen und zu erhöhtem Aufwand beim Benutzer-Helpdesk führen. Wie sicher ist Ihr System? Vertrauliche Daten Ihrer Kunden tauchen in Form einer CD bei den Medien auf. Die Geschäftsführung möchte nun wissen, wie und von wem diese Daten kopiert wurden. Die archivierten Firmen- s geben keinen Aufschluss darüber, ebenso wenig die Auswertung der Web-Logs. Wo finden Sie die Antworten?

11 Auch sehr beliebt : Gekündigter externer Netzwerkadmin verfügt auch nach 6 Monaten noch über Root-Passwörter

12 Eine HIV-infizierte Krankenschwester, die in einem öff. Krankenhaus arbeitet, wird dort gleichzeitig behandelt. Ihre Infektion wird im Krankenhaus bekannt und ihr befristeter Arbeitsvertrag nicht verlängert. Es lässt sich nicht mehr feststellen, wer auf ihren Datensatz im Krankenhausinformationssystem zugegriffen hat. Der Zugriff auf dieses System war jedem im Krankenhaus möglich, die Zugriffsrechte waren nicht eingeschränkt. Später werden zwar Zugriffsrechte beschränkt, aber nicht jeder Zugriff protokolliert bzw. die Protokollierung alsbald gelöscht.

13 Der Europäische Gerichtshof für Menschenrechte sah in der verspäteten Einführung von Zugriffsbeschränkungen und in der unerfüllbaren Beweisführungslast für die Geschädigte einen Verstoß gegen Art. 8 der Europäischen Menschenrechtskonvention und sprach der Klägerin sowohl Schadensersatz als auch Schmerzensgeld zu (Beklagte war Finnland).

14 .. Also auch mit Haftung verbunden. was sagt der deutsche Gesetzgeber?

15 Chefsache. Mehr nicht? Was muss Chef denn regeln???

16 Tja,. Keine speziellen IT-Sicherheitsgesetze, in denen die Haftung der verantwortlichen Personen konkret geregelt ist. Jedoch allgemeine Gesetze, aus denen sich die Haftung der Geschäftsführung für IT- Sicherheit ableiten lässt. Immer geht es darum, dass die Geschäftsführung die Verfügbarkeit und Sicherheit der Daten zu gewährleisten und dafür zu sorgen hat, dass Bedrohungen und unerlaubte Zugriffe abgewehrt werden. Konkrete Maßnahmen werden jedoch nicht vorgeschrieben!

17 Aber: IT-Grundschutzkatalog des Bundesamts für Sicherheit in der Informationstechnologie (BSI) und ISO Standard enthalten Empfehlungen

18 Haftung der Geschäftsführung der Kapitalgesellschaften AG, GmbH 91 II AktG: Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. 93 I S.1 AktG: Die Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden 93 II AktG: (2) Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet.

19 43 GmbHG (1) Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden. (2) Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden.

20 Geschäftsführung und Firmenleitung müssen sich natürlich nicht persönlich um Details der Umsetzung von erforderlichen Maßnahmen kümmern. Aber: den Rahmen dafür schaffen und qualifizierte Verantwortliche einsetzen, die für die Umsetzung und Überwachung der Maßnahmen zuständig sind.

21 Unter Umständen: Haftung der Arbeitnehmer gegenüber dem Arbeitgeber (insb. IT-Leiter, bdsb) Allerdings: sog. privilegierte Arbeitnehmerhaftung

22 VORSICHT! Schnittstelle zum Datenschutz! D.h. personenbezogene Daten anderer können betroffen sein! Mangelhafte Standards bei der Datensicherheit können Verstöße gegen Datenschutz nach sich ziehen. Verbot unbefugter Übermittlung von personenbezogenen Daten, Verstoß gegen die Verpflichtung technisch-organisatorische Maßnahmen zu gewährleisten. Daher empfehlenswert, das eine zusammen mit dem anderen zu planen!

23 Automatisierte Datenverarbeitung ist nur legal, wenn ein Gesetz sie erlaubt oder der Betroffenen eingewilligt hat. Insbesondere: Keine unbefugte Verarbeitung personenbezogener Daten Einhaltung von technisch-organisatorischen Maßnahmen um Verstöße gegen Datenschutzvorschriften möglichst auszuschließen

24 Nicht nur Gesetzesverstöße: Unternehmensverluste durch Ausfall der Systeme (Datenverlust) Verlust von Entwicklungswissen (Werksspionage) Imageschaden Verteuerung der Unternehmenskredite Verlust/Verteuerung von Versicherungsschutz Bußgelder (BDSG, UWG)

25 Pflichten der Geschäftsführung (1): Sicherstellen einer bedarfs- und rechtskonformen IT- Nutzung Einführen eines IT-Sicherheitskonzepts u. dessen Aktualisierung Unternehmensweites Risikomanagement Ordnungsgemäße Abbildung der wirtschaftlichen Verhältnisse des Unternehmens in der Buchführung

26 Pflichten der Geschäftsführung (2): Sicherung von Vertraulichkeit und Geheimhaltung (vertragliche Pflichten i.v.m. BGB) Professionelle Beschaffung von IT-Systemen u. Durchführung von IT-Projekten (BGB, HGB) Datenschutzkonformität sicherstellen (BDSG i.v.m. UWG) Bei an US-Börsen notierten Unternehmen: Umfangreiche Pflichten nach Sarbanes-Oxley Act

27 Sicherstellung einer bedarfs- und rechtskonformen IT- Nutzung?... alles, was erforderlich ist... Beschaffung, Einsatz einer funktionierenden Firewall Back-Up Konzept und Durchführung desselben Archivierung Mechanismen zum Schutz vor Datenverlust... Bei Verstoß (persönlich!) haftbar Schadenersatzansprüche v. Kunden, Dienstleistern

28 Vielen Dank für Ihre Aufmerksamkeit! Kontakt: Rechtsanwältin Anna Cardillo Rothenbaumchaussee Hamburg T PrivCom Datenschutz GmbH Behringstr. 28 a Hamburg T anna.cardillo@privcom.de