Technisch-organisatorischer Datenschutz

Transkript

1 Edition IT-Sicherheit Technisch-organisatorischer Datenschutz - Leitfaden für Praktiker - Bearbeitet von Dr. Peter Münch 4., überarbeitete und erweiterte Auflage Taschenbuch. 496 S. Paperback ISBN Format (B x L): 17 x 24 cm Gewicht: 849 g Wirtschaft > Betriebswirtschaft: Theorie & Allgemeines > Wirtschaftsinformatik, SAP, IT-Management Zu Inhaltsverzeichnis schnell und portofrei erhältlich bei Die Online-Fachbuchhandlung beck-shop.de ist spezialisiert auf Fachbücher, insbesondere Recht, Steuern und Wirtschaft. Im Sortiment finden Sie alle Medien (Bücher, Zeitschriften, CDs, ebooks, etc.) aller Verlage. Ergänzt wird das Programm durch Services wie Neuerscheinungsdienst oder Zusammenstellungen von Büchern zu Sonderpreisen. Der Shop führt mehr als 8 Millionen Produkte.

2 1.1 Einführung 1. Ziele des technisch-organisatorischen Datenschutzes 1.1 Einführung Es gehört zu den wichtigen Aufgaben des Datenschutzbeauftragten, auf die Gewährleistung des technischen und organisatorischen Datenschutzes hinzuwirken. Das bedeutet, dass es u. a. um die Umsetzung der in 9 und Anlage Bundesdatenschutzgesetz (BDSG) oder in anderen Gesetzen verlangten technischen und organisatorischen Sicherheitsmaßnahmen zum Schutz der betroffenen Personen vor missbräuchlichem Umgang mit ihren persönlichen Daten geht. Der für den Datenschutz Verantwortliche ( die verantwortliche Stelle ) hat die Pflicht, diese gesetzliche Vorgabe in seinem Verantwortungsbereich umzusetzen. Es wird noch gezeigt, dass die gesetzliche Pflicht eigentlich zweitrangig ist, denn im Vordergrund steht das Eigeninteresse des Unternehmers oder des Behördenleiters, dass seine Daten bzw. Informationen und zwar nicht nur die personenbezogenen in ihrem gesamten Lebenszyklus sicher vor unbefugter Verwendung, vor Diebstahl, vor Verfälschung oder vor Zerstörung sind. In der Praxis werden verschiedene Begriffe verwendet: So spricht man von Daten und Informationen, von Datenverarbeitung und Informationsverarbeitung, von Datensicherheit, von IT-Sicherheit, d.h. von Sicherheit in der Informationstechnik (IT-Security), von Informationssicherheit, von Informationsverarbeitungssicherheit u.a.m. sowie schließlich von Datenschutz. Zum Selbstverständnis und zur Orientierung für diese Schrift sollen darum folgende Erläuterungen gegeben werden. Daten sind gewissermaßen als Rohmaterial anzusehen, aus dem unter bestimmten Umständen Informationen werden. Zu diesem Zweck müssen Daten über folgende Eigenschaften verfügen: - Sie müssen syntaktisch richtig, also formal fehlerfrei sein. - Sie müssen eine klar erkennbare Bedeutung haben (semantischer Aspekt), denn wenn zum Beispiel das Wort Ball zusammenhangslos verwendet wird, weiß man nicht, ob es sich um das Sportgerät oder um die Tanzveranstaltung handelt. 15

3 1. Ziele des technisch-organisatorischen Datenschutzes - Sie müssen wahr sein, denn unwahre Daten führen zu falschen Entscheidungen und Handlungen. - Sie müssen zeitgerecht zur Verfügung stehen, d.h. dann, wenn sie für Entscheidungen oder Handlungen benötigt werden. Sind diese Voraussetzungen erfüllt, werden die Daten für bestimmte Zwecke und für bestimmte Aktionsträger zu Informationen - sie sind Basis für Entscheidungen und/oder Handlungen (pragmatischer Aspekt). Das gilt jedoch nur für den Fall, dass der Datenempfänger nicht schon über das aus den Daten resultierende Wissen verfügt. Informationen sind also im Vergleich zu Daten eine neue Qualität. Der Prozess, aus Daten Informationen zu gewinnen, wird durch automatisierte Datenverarbeitung beschleunigt, in vielen Fällen überhaupt erst möglich. Massenhafte Datenspeicherung und hohe Operationsgeschwindigkeit verlängern praktisch das menschliche Gedächtnis und ergänzen die Leistung des Gehirns. Durch die Datenverarbeitung sind die gewonnenen Informationen zu einer bedeutenden Produktivkraft geworden - diese ist der Triebfaktor der Informationsgesellschaft. Begrifflich können daher Datenverarbeitung und Informationsverarbeitung synonym verwendet werden. Bei den Begriffen Datensicherheit, IT-Sicherheit usw. verhält es sich etwas anders. Klare Abgrenzungen oder gar Definitionen einzelner Begriffe gibt es nicht; jeder Autor formuliert eine eigene, z.b. Datensicherheit ist das Ergebnis des Sicherungs- und Katastrophenmanagements, entsprechend festgelegten Zielen sicherzustellen, dass die richtigen Daten zum richtigen Zeitpunkt bei den richtigen Aufgabenträgern - und zwar ausschließlich bei diesen - verfügbar sind. [HEI 90, S. 157] Datensicherheit ist die umgangssprachliche Bezeichnung aller Aspekte der Absicherung eines Systems der Informationstechnik gegen Angriffe. Sie ist der...zustand, bei dem Daten und datenverarbeitende Prozesse vor Beeinträchtigung bewahrt sind. [POH 89, S. 49] 16

4 1.1 Einführung Datensicherheit bezieht sich auf den physisch orientierten Schutz der Daten vor unbefugten Zugriffen, Zerstörung und Verfälschung. [SCH 94, S. 110] Unter Computer-Sicherheit, Computer-Security, Informationssicherheit versteht man das Fachgebiet, das sich mit allen Fragen der Sicherheit in informationstechnischen Systemen beschäftigt. Unter Sicherheit ist hier das Ziel zu verstehen, informationsverarbeitende Systeme so zu entwerfen, herzustellen und einzusetzen, dass ein Maximum an Schutz gegenüber Bedienungsfehlern, technischem Versagen, katastrophenbedingten Ausfällen und absichtlichen Manipulationsversuchen gegeben ist. [KER 91, S. 9] IT-Sicherheit bedeutet Schutz vor unbefugter Preisgabe von Informationen (Vertraulichkeit), Schutz vor unbefugter Veränderung von Informationen (Integrität) und Schutz vor unbefugter Vorenthaltung von Informationen oder Betriebsmitteln (Verfügbarkeit). [ITS 19, S. 1] In verschiedenen Publikationen wird auch der Begriff Datenschutz inhaltlich der Datensicherheit gleichgesetzt, was nicht akzeptiert werden kann. Der Datenschutz wird in der Datenschutzrichtlinie der Europäischen Union z.b. definiert als Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten [EUR 95] oder: Zweck des BDSG ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. Somit wird deutlich, dass der Datenschutz eine juristische Kategorie ist. Ohne geeignete, in den Datenschutzgesetzen verankerte technische und organisatorische Maßnahmen (genannt Technisch-organisatorischer Datenschutz ) wird es schwer sein, die juristisch definierten Ziele durchzusetzen. Im Mittelpunkt aller Definitionen stehen somit die Daten; in der Tat geht es auch um deren Sicherheit, alles andere ist Mittel zum Zweck. Darum wird in folgenden Ausführungen überwiegend der Begriff Datensicherheit verwendet. Um Verwechslungen auszuschließen soll an dieser Stelle auch der Begriff Datensicherung näher erläutert werden. Oft wird darunter verstanden, Daten zur Sicherheit zu kopieren (Backup), um sie im 17

5 1. Ziele des technisch-organisatorischen Datenschutzes Bedarfsfall wieder zurückgewinnen zu können. Dies ist jedoch zu eng betrachtet, was im folgenden Zusammenhang verdeutlicht werden soll: Der Autor versteht unter Datensicherheit das für ein bestimmtes Datenverarbeitungssystem erzielte Ergebnis, welches durch die bewusste Anwendung der geltenden Rechtsvorschriften, durch geeignete und angemessene technisch-organisatorische Maßnahmen zur Vermeidung bzw. Verminderung von Störungen des Datenverarbeitungsprozesses erreicht wird. Datensicherheit ist somit ein Zustand, oder besser: ein erreichtes Niveau, welches man z.b. mit Sehr Hoch, Hoch, Mittel oder Gering beschreiben könnte. Datensicherung (im erweiterten Sinne) ist dagegen die Durchführung von gesetzlichen und unternehmerischen Anforderungen gerecht werdenden technischen und organisatorischen Maßnahmen, durch die Datensicherheit erreicht wird. Es ist der Weg zum Ziel, also ein Prozess. Die genannten Zusammenhänge werden in Bild 13 auf Seite 51 verdeutlicht. 18

6 1.2 Der wachsende Stellenwert der Datensicherheit Der wachsende Stellenwert der Datensicherheit in der Informationsgesellschaft Seit Anfang der 90er Jahre wird ganz offiziell von einer neuen Stufe der Technischen Revolution gesprochen, die die Menschheit in die Informationsgesellschaft führt. Ausgelöst von Debatten der US- Administration zu einer nationalen Informationsinfrastruktur, die später in der Erkenntnis, dass solch eine Strategie nur global verwirklicht werden kann, in den Brüsseler G7-Wirtschaftsgipfel hineingetragen wurde, stellte die Europäische Kommission 1994 den Aktionsplan Europas Weg in die Informationsgesellschaft auf [HÜB 97, S. 161]. Der Deutsche Bundestag berief schließlich eine Enquete-Kommission Zukunft der Medien in Wirtschaft und Gesellschaft - Deutschlands Weg in die Informationsgesellschaft, die ihre Arbeit am 31. Januar 1996 aufnahm [TAU 96] und 1998 ihren Schlussbericht vorlegte. Mit der im Juli 1999 gegründeten Initiative D21 - Deutschland im 21. Jahrhundert [ wollen Unternehmerpersönlichkeiten und Unternehmen den Wandel von der Industrie- zur Informationsgesellschaft beschleunigen. Diese politischen Ziele waren von Anfang an mit begleitenden Informationsicherheitsanstrengungen verbunden. Abb. 1: Abhängigkeit der wirtschaftlichen Entwicklung von der Einführung neuer Technologien [nach NEF 93] 19

7 1. Ziele des technisch-organisatorischen Datenschutzes Das besondere Interesse von Wirtschaft und Politik ist dadurch begründet, dass mit dem umfassenden und effektiven Einsatz der Informationstechnik ein neuerlicher wirtschaftlicher Aufschwung erwartet werden kann. Nefiodow begründet diese Erwartungshaltung aus historischer Sicht [NEF 93], in dem er die Erkenntnisse des russischen Ökonomen Nikolai Dmitrijewitsch Kondratieff in die Gegenwart projiziert (Abb. 1). Sicher setzt sich das Kondratieffsche Gesetz nicht im Selbstlauf durch, sondern erfordert zielstrebiges und bewusstes Handeln der mit der Informationsverarbeitung in der Praxis, in Forschung und Entwicklung befassten Menschen. v.h. 60 Entwicklung Prognose Landwirtschaft Informationswirtschaft Dienstleistung Industrieproduktion AGRAR- INDUSTRIEGESELLSCHAFT INFORMATIONS- GESELLSCHAFT GESELLSCHAFT Abb. 2: Beschäftigungsstruktur im Vier-Sektoren-Modell [Quelle: nach Dostal- DOS 95] Typisch für die Informationsgesellschaft ist es, dass immer mehr Menschen ihren Lebensunterhalt mit der Entwicklung bzw. der Nutzung der Informationstechnologie verdienen (Abb. 2). Bereits heute gibt es Unternehmen, die ohne Anwendung der Informationstechnik gar nicht mehr existieren können (Banken, Versicherungen usw.). In größeren Unternehmen wird man kaum 20

8 1.2 Der wachsende Stellenwert der Datensicherheit... einen Lohnbuchhalter finden, der noch in der Lage ist, die Bezüge der Mitarbeiter auf manueller Basis zu berechnen. Auf dem Marketing- Sektor findet man ständig neue Möglichkeiten, Daten von potentiellen Kunden zu sammeln, sie zu aggregieren, zu analysieren und aus ihnen neue Informationen zu gewinnen. Die von Datenschützern argwöhnisch beobachtete Data-Warehouse-Technologie, verknüpft mit dem Data-Mining ist wohl kaum aufzuhalten. Hinter diesem Begriff Datenwarenhaus verbirgt sich eine ganz wichtige Erkenntnis: Daten - oder in ihrer veredelten Form: Informationen - sind zur Ware geworden. Mit ihnen ist viel Geld zu verdienen, sie sind unverzichtbarer Bestandteil der Wertschöpfungskette geworden. Wertvolles Wirtschaftsgut ist jedoch zu schützen und zu bewahren. Werden Wertsachen, wie wertvoller Schmuck, viel Geld oder wichtige Dokumente in unbekanntes, häufig als unsicher angesehenes Ausland mitgenommen, so wird man ganz schnell den Hoteltresor nutzen, Personaldokumente nur als Kopie und Geld nur in kleineren Mengen bei sich führen usw. Vergleichbare Verhältnisse liegen vor, wenn Daten unüberlegt dem Internet anvertraut werden, auf transportablen PCs oder Datenträgern relativ ungeschützt mitgenommen werden usw. usw. Je wertvoller aber die Daten sind, umso mehr wächst der Stellenwert der Datensicherheit. Sicherheit in der Informationsgesellschaft ist zu einem Thema avanciert, dass viele Buchseiten füllt, in zunehmenden Maße Experten und Entscheidungsträger in Konferenzsäle treibt und nicht zuletzt Gegenstand politischer oder gar militärischer Überlegungen geworden ist. Dennoch ist das Bestreben nach Datensicherheit wie auch nach Datenschutz in der Informationsgesellschaft richtig einzuordnen beides ist wichtig, aber wichtiger ist die Datenverarbeitung mit ihren schier grenzenlosen Möglichkeiten zum Wohle der Gesellschaft an sich. Folgerichtig steht im zweiten Begründungssatz zur Europäischen Datenschutzrichtlinie: Die Datenverarbeitungssysteme stehen im Dienste der Menschen, sie haben... zum wirtschaftlichen und sozialen Fortschritt, zur Entwicklung des Handels sowie zum Wohlergehen der Menschen beizutragen. 21

9 1. Ziele des technisch-organisatorischen Datenschutzes Erst nach diesem vorangestellten Postulat begründet die Richtlinie Notwendigkeit und Zielstellung von Datenschutz und Datensicherheit. Das Problematische aber auch Interessante ist, dass wir einer regelrechten Inflation im qualitativen und quantitativen Zuwachs der Datenverarbeitungssysteme ausgesetzt sind. Ständig erscheinen neue informationstechnische Entwicklungen mit abenteuerlich klingenden, meist englischsprachigen Begriffen aber auch neue Bedrohungen für die Informationstechnik und die sie nutzenden Menschen, von denen wir gestern noch nichts gehört haben. Gerade haben wir uns an ein neues Betriebssystem gewöhnt, gibt es schon wieder ein fortgeschritteneres, angeblich viel leistungsstärkeres. Nur ein begrenzter Ausschnitt aus der multimedialen Informationswelt soll im Folgenden betrachtet werden (Abb. 3). Cloud Computing Offene Netze Internet Mobilfunknetze Interne Netze: LAN, Intranet CRM ISP,ASP,SSP E-Business Teledienste E-/M- Commerce Telearbeit Multimediale Informationswelt (Daten, Texte, Bilder, Sprache) Trustcenter PKI Kryptographie Chipkarten RFID Biometrie Videokameras schnelle Kommunikationsnetze Personalcomputer Bürokommunikation (DMS, EA, Office-Pakete u.a.) ERP Moderne Betriebssysteme Groß-/ Supercomputer Transportable PC / PDA Netzcomputer Vernetzte Workstations Client-/Server- Systeme Abb. 3: Bekannte und neue Technologien in der Informationswirtschaft Personalcomputer (PC), ganz gleich ob sie am Arbeitsplatz oder als transportables Gerät unterwegs eingesetzt sind, ob sie isoliert oder vernetzt verwendet werden, durchdringen die Arbeits- und Lebensprozesse immer mehr. Die Zahl ihrer Anwender wird als 22

10 1.2 Der wachsende Stellenwert der Datensicherheit... symptomatische Messlatte für das erreichte Niveau auf dem Weg in die Informationsgesellschaft gewertet und in internationalen Vergleichsstatistiken geführt. Im Jahr 2008 waren in Europa durchschnittlich zwei Drittel aller Haushalte mit PC ausgestattet; Spitzenreiter war Island mit 92 %. Deutschland belegte mit 82 % den achten Platz. In europäischen Unternehmen arbeiten durchschnittlich 50 % aller Beschäftigten mindestens einmal pro Woche am PC; Spitzenreiter ist Finnland mit 70 %. An siebenter Stelle liegt Deutschland mit 58 % [BIT 10]. In die angeführten Statistiken sind die den Wachstum größtenteils bestimmenden Notebooks einbezogen, nicht aber die Persönlichen Digitalen Assistenten (PDA). Diese Technik zunächst als tastaturlose elektronische Notizbücher benutzt haben sich inzwischen in die Nähe der Notebooks weiter entwickelt und werden mit anderen Geräten wie z.b. Smartphones gekoppelt. Netzcomputer waren noch 1996 der große Renner auf der Computermesse CeBIT in Hannover. Die Grundphilosophie hieß: Nur die notwendige, preisgünstige Kommunikationsschnittstelle an den Arbeitsplatz und die ganze Speicher- und Verarbeitungsleistung in das Internet! Sicherheitsbefürchtungen und drastischer Preisverfall bei traditionellen PCs bremsten dieses Vorhaben aus - was die zukünftige Entwicklung in Richtung Cloud Computing mit sich bringt, wird man sehen. Netzcomputer waren als eine Komponente in Client-Server-Systemen gedacht, indem sie reine Terminalfunktionen übernehmen sollten. Diese Systeme basieren auf einer Arbeitsteilung zwischen zentralen, leistungsstarken Rechnern und den am Arbeitsplatz oder unterwegs befindlichen PCs. Unter Sicherheitsaspekten ist eine Zentralisierung der Speicher- und Verarbeitungskapazitäten vorteilhaft; unter Wirtschaftlichkeitsaspekten kann eine Verteilung der Intelligenz verbunden mit einer lokalen Datenhaltung günstiger sein. Groß- und Supercomputer wurden schon seit längerer Zeit totgeredet, weil der PC ein nahezu gleiches Leistungspotential hätte. Das ist nur im historischen Vergleich richtig, denn heute sind diese Rechner auf Multiprozessor-Basis aufgebaut und haben eine ganz andere Struktur als die Großrechner der 70er Jahre. Diese Technik wird ihre Existenzberechtigung in großen Forschungseinrichtungen (Optimierungs- und Simulationsrechnungen, Krypto-Analysen usw.) oder im Telekommunikationsbereich (Vermittlungsknoten) behalten. 23

11 1. Ziele des technisch-organisatorischen Datenschutzes Wenn heute über moderne Betriebssysteme (BS) gesprochen wird, dann finden traditionelle Großrechner-BS kaum noch Beachtung, obwohl sie nach wie vor ihre Dienste leisten. Vielmehr stehen die Systeme im Mittelpunkt, die eine massenhafte Verbreitung haben. Zweifelsfrei werden heutzutage die Microsoft-BS noch am häufigsten eingesetzt. Schätzungsweise % aller in der Praxis eingesetzten BS stammen aus der Redmonder Softwareschmiede. Innerhalb der letzten 10 Jahre wurden 8 neue bzw. weiterentwickelte Windows-BS auf den Markt gebracht. Ehemals einfache, für die Benutzer überschaubare und leicht bedienbare Betriebssysteme sind heute zu wahren Monstern geworden. Windows 2000 umfasste beispielsweise knapp 35 Mio. Befehlszeilen, davon sind etwa 60 % im Vergleich zur Vorgängerversion (Windows NT 4.0) neu entwickelt worden. Mit Windows-XP wurde wiederum eine Erweiterung vorgenommen und mit dem Anfang 2007 in den Handel gekommenen Windows VISTA und dem 2009 vertriebenen Windows 7 wurden weiterere Gigant geschaffen. Programmierfehler sind unvermeidlich und bei derart gewaltigen Systemen sind es mehrere Tausend, die vor der Markteinführung nicht gefunden worden sind. Zudem wird es für Prüfer kaum möglich sein, herauszufinden, welche Bugs und versteckten Pfade so genannte Hintertüren - sich im System befinden. Selbst, wenn sich Microsoft dazu entschließen sollte, den Windows-Quellcode offen zu legen was Bill Gates einmal provokatorisch in den Raum stellte, wäre es kaum machbar, eine annähernd zuverlässige Überprüfung vorzunehmen. Wissenschaftler sprechen davon, dass die scheinbare Komplexität derartiger Systeme ein Flickwerk aus unvollständig durchdachten, ungeeignet erscheinenden Lösungen besteht, die jeglicher Innovation entgegenstehen [FIT 02, S. 2] und fordern neue Hardware- Architekturen, die überschaubare Steuersoftware zulassen und eine Vielzahl von heutzutage softwareseitig gelösten Komponenten in die Hardware verschieben sollen, womit nicht zuletzt die Sicherheit der Systeme in hohem Maße steigen würde. Microsoft selbst bezeichnet sein neues VISTA als ein Betriebssystem, dass das sicherste sei, was jemals das Unternehmen verlassen hat. Ein wesentlicher Grund dafür sei, so der Senior Security Manager Michael Howard, dass VISTA als erstes MS-Betriebssystem den Security Development Lifestyle vollständig durchlaufen hat und unabhängige Experten die Möglichkeit hatten, diesen Prozess zu begleiten. In der Tat sind etliche neue oder weiterentwickelte Sicherheitskomponenten enthalten: 24

12 1.2 Der wachsende Stellenwert der Datensicherheit... - Der verbesserte Windows Defender ist ein integrierter Schutz vor Schaden stiftender Software, welcher auch punktuell unbekannte Viren usw. erkennen und melden soll. Er ist jedoch kein vollständiger Ersatz für professionelle Antiviren- Software. - Ein großes Plus ist das integrierte, sichere Festplattenverschlüsselungssystem auf Basis des Advenced Encryption Standard (AES) mit 128- bzw. 256 Bit Schlüssellänge und ausgereifter Schlüsselverwaltung. In dieser Hinsicht ist ein Add-On-Produkt verzichtbar. - Ein weiterer Fortschritt gegenüber Windows XP ist die nunmehr bidirektional wirkende Firewall, d.h. nicht nur ankommende sondern auch ausgehende Datenströme können gefiltert werden. Bei allem Fortschritt wird man jedoch im Unternehmensbereich nicht auf ein ausgewogenes, vorgeschaltetes Firewallsystem verzichtet können. - Das Risiko des unkontrollierten Anschlusses von externen Geräten, wie z.b. USB-Sticks, kann insofern eingeschränkt werden, dass die Schnittstellen (Treiber) benutzerorientiert frei geschaltet bzw. gesperrt werden können (Device Control). Voraussetzung ist ein gut durchdachtes und sorgfältig verwaltetes Berechtigungskonzept (Zugriffskontrolle). - Eine interessante Neuigkeit ist das integrierte Image-Tool, welches eine sektororientierte Sicherung und Wiederherstellung der Serverfestplatteninhalte ermöglicht, teilweise sogar im Hintergrund ohne Zutun des Nutzers. Ein ordentlich organisiertes Backup-Konzept kann mit diesem Feature allerdings nicht ersetzt werden. Diese neuen Features versprachen den Unternehmen zweifellos einen Sicherheitsgewinn, der teilweise relativ kostengünstig und unkompliziert realisiert werden konnte. Allerdings waren diese neuen, teilweise instabilen Sicherheitsmechanismen ein Hauptkritikpunkt bei der VISTA-Nutzung. Windows 7 hat im Rahmen mehrerer Versionen an diesen Kritikpunkten angesetzt, deren Zuverlässigkeit verbessert und neue Elemente, wie z.b. den BitLocker to Go hinzugefügt. Mit diesem neuen Feature können portable Speichermedien (z.b. USB- Sticks) verschlüsselt werden. Grundsätzlich sollten neue Betriebssysteme nicht überstürzt eingesetzt werden. Erfahrungen, die grundsätzlich für alle neuen, relativ komplexen IT-Systeme gelten, zeigen darauf hin, dass man die 25

13 1. Ziele des technisch-organisatorischen Datenschutzes Einführung erst dann vornehmen sollte, wenn die so genannten Kinderkrankheiten geheilt worden sind. Die Konferenz der Datenschutzbeauftragten von Bund und Ländern hat in einer Entschließung gefordert,...nur solche Produkte einzusetzen, welche auch eine Transparenz der Verfahrensabläufe gewährleisten [TLF 99, S. 296]. Diese u.a. auf so genannte Open- Source-Software abzielende Forderung rückt u.a. das Betriebssystem Linux in den Mittelpunkt des Interesses. Sein Verbreitungsgrad steigt ständig. Das System hat einen überschaubaren Systemkern und zeichnet sich durch hohe Stabilität aus. Obwohl Open Source eine bessere Transparenz und somit Überprüfbarkeit durch vertrauenswürdige Instanzen (Zertifizierer) ermöglicht, bedeutet dies nicht à priori hohe Datensicherheit. Für den kommerziellen Nutzer sollte Linux daher stets von einem vertrauenswürdigen Provider bezogen werden, der für koordinierte Aktualität und Interoperabilität sorgt. Insbesondere für inzwischen überall eingesetzte und erprobte Office-Systeme müssen die entsprechenden Schnittstellen vorhanden sein. Ein kostenlos aus dem Internet herunter geladenes Betriebssystem wird die erforderlichen Stabilitätseigenschaften nicht aufweisen können. Anwendungssoftware (Personalinformationssysteme, Buchhaltungsprogramme und andere betriebswirtschaftliche Anwendungen, verfahrenstechnische bzw. wissenschaftlich-technische Programme, Krankenhausinformationssysteme usw.), wird heute kaum noch von unternehmenseigenen Programmieren entwickelt; vielmehr werden fertige ERP-Produkte, so genannte Standardsoftware-Pakete, von spezialisierten Softwarehäusern gekauft - auf diesem Sektor hat u. a. SAP einen bedeutenden Platz eingenommen. Die ERP-Strategie ist wirtschaftlicher, birgt aber einige Probleme in sich. Trotz relativ hoher Flexibilität solcher Produkte muss die eigene Betriebsorganisation umgestellt bzw. angepasst werden. Auch die Fragen der Datensicherheit und des Datenschutzes werden von den Herstellern im Interesse höherer Portabilität und Flexibilität oft recht oberflächlich behandelt. Es ist daher bei Test und Einführung streng auf ein angemessenes Sicherheitskonzept und deren Umsetzung durch entsprechende Parametrisierung, ggf. durch Add-On-Produkte zu achten. Hier sind betriebliche Datensicherheitsspezialisten gefragt und falls personenbezogene Daten im Spiel sind auch die Datenschutzbeauftragten. Letztere werden insbesondere auf solche wichtigen Datenschutzprinzipien achten müssen, wie 26

14 1.2 Der wachsende Stellenwert der Datensicherheit... Datenvermeidung, Datensparsamkeit und Erforderlichkeit. Dieses Bemühen kann durch so genannte Produktaudits, wie sie im 9a BDSG angekündigt und vom Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein [DSA 01], von der Landesregierung Bremen [DSA 04] und von der Europäischen Kommission mit dem EuroPrise in die Praxis überführt wurden, unterstützt werden. Es ist allerdings kaum vorstellbar, dass mächtige ERP-Software unter den genannten Prämissen ein Datenschutzgütesiegel erhalten kann. Unter dem Begriff Bürokommunikation werden alle rechnergestützten Abläufe in einer Unternehmung verstanden, die mit dem Umlauf und der Bearbeitung von Dokumenten zu tun haben. Die damit im Allgemeinen zusammenhängende, jedoch noch weit in die Zukunft orientierte Zielstellung heißt: Papierloses Büro. Dabei spielen traditionelle Office-Systeme, wie Textverarbeitung, Tabellenkalkulation oder kleine Datenbanksysteme gegenwärtig die dominierende Rolle, während Dokumentenmanagementsysteme (DMS) einschließlich der elektronischen Archivierung erst im Kommen sind. Bei Office- Systemen sind die integrierten Sicherheitsmechanismen meistens so schwach, dass sie nur geringen Sicherheitsanforderungen gerecht werden. Auch hier können so genannte Add-On-Produkte Abhilfe schaffen. Datenschutzkontrollen sind bei dieser Verarbeitungsform nur schwer durchführbar, da es sich um vielfältige individuelle Datenverarbeitung handelt, die oft mit unvorhersehbarer Zweckänderung einhergeht. Die Gewährleistung der Datensicherheit ist insbesondere bei DMS ein schwieriges Problem. Schließlich ist zu sichern, dass die Dokumente bei ihrem Durchlauf nur den Berechtigten zugeführt werden, dass sie unversehrt bleiben und dass sie bei der elektronischen Archivierung, die nach deutschen Gesetzen bis zu 30 Jahren zu erfolgen hat, wiederauffindbar, verfügbar und rechtlich beweisbar nicht verändert worden sind. Im Laufe von 30 Jahren gibt es zahlreiche Technikumbrüche (Hardware, Datenträger, Software), bei denen die genannten Sicherheitsziele durch ein gut durchdachtes Migrationskonzept technisch-organisatorischer Maßnahmen auf Dauer zu garantieren sind. Bürokommunikation ist - wie auch vielfältige andere Anwendungen - ohne leistungsfähige Netze nicht realisierbar. Dabei kommt man mit traditionellen lokalen Netzen (LAN) allein nicht mehr aus. Sowohl an die leitungsgebundenen als auch an funkorientierte Kommunikationsnetze (DATEX, ISDN, A-DSL, ATM; GSM, GPRS, UMTS, WLAN, Bluetooth usw.) werden sehr hohe Anforderungen 27

15 1. Ziele des technisch-organisatorischen Datenschutzes bezüglich der Übertragungsgeschwindigkeit und -sicherheit sowie der Interoperabilität und Standardisierung gestellt. Systemimmanente Sicherheitsmechanismen sind bei drahtlosen Netzen eher schwach ausgeprägt, was ebenfalls zusätzliche Sicherheitsvorkehrungen erfordert. Ein möglichst verzögerungsarmes Internet wird es wohl erst geben, wenn weltweit Übertragungsraten jenseits von 2 GBit/s erreicht werden. In einem Flächenversuch realisierte Siemens in Zusammenarbeit mit Worldcom im Jahr 2001 in Dallas (USA) 3,2 TBit/s (3,2 Billionen Bit/s) und unter Laborbedingungen den Weltrekord von 7 TBit/s [ Mit UMTS soll eine Rate von 2 MBit/s erzielt werden. Laut BITKOM hatten 2008 immerhin 78 % der Deutschen einen Internetzugang. Der europäische Durchschnitt liegt bei 64 %; führend sind Island und Norwegen mit 91 % [BIT 10]. Besonders wichtig ist eine weltweite Standardisierung der Netze, so dass ohne lästige und kostentreibende Umsetzung kommuniziert werden kann. Dabei sollen nicht nur die Übertragungen sondern auch die im Netz angebotenen Dienste interoperabel sein. Mit dem Internet wurde ein bedeutender Schritt in diese Richtung getan. Internationale Sicherheitsstandards im Rahmen der Internet- Technologie zu schaffen, ist allerdings kein einfaches Problem. Darum liegt die Verantwortung auch bei jedem Nutzer selbst, sich vor den vielfältigen Angriffen aus dem globalen Netz zu schützen. Die Weiterentwicklung zum Web 2.0, dem Netz der unbegrenzten Partner zu Partner-Kommunikation, verlangt dem Nutzer ein hohes Verantwortungsbewusstsein bei der Preisgabe seiner persönlichen Daten ab. Hier lauert insbesondere die Gefahr der Extraktion von Persönlichkeitsprofilen, die den Nutzer in vielen Lebenssituationen bloßstellen. Ja sogar gefährden können. Mit dem Cloud Computing, dem Datenverarbeiten in der Wolke, erscheint ein verlockendes Angebot zur Kosteneinsparung. Die Frage nach der Vertrauenswürdigkeit der irgendwo im weltweiten Netz vorhandenen IT-Infrastruktur, der Anwendungen und Sicherheitsmechanismen stellt nicht nur die für die Datensicherheit Verantwortlichen sondern insbesondere auch Datenschutzbeauftragte vor gewaltige Herausforderungen. Das Hauptproblem liegt darin, dass den Sicherheitszusagen des Anbieters nahezu blind vertraut werden muss, weil Kontrollmöglichkeiten kaum vorhanden sind. 28

16 1.2 Der wachsende Stellenwert der Datensicherheit... Ein nahezu unbegrenztes Entwicklungsfeld steht den drahtlosen Netzen offen. In Deutschland gibt es bekanntlich mehr Handys als Einwohner. Diese sind schon längst keine Telefone im herkömmlichen Sinne mehr sie entwickelten sich zu intelligenten Geräten, die in der Internetwelt ihren Platz gefunden haben. Massenhafte Verbreitung impliziert aber auch große Sicherheitsprobleme, sowohl für den Nutzer selbst, als auch für die sie umgebende Informationstechnik und darin gespeicherten Daten. Während in der Anfangszeit der elektronischen Datenübertragung herkömmliche analoge Telefonnetze genutzt wurden, haben wir heute eine umgekehrte Tendenz: Die immer schneller gewordenen Datennetze erlauben auch eine hohen Qualitätsansprüchen gerecht werdende Übertragung der Sprache. Voice over IP (VoIP) also der Transport des gesprochenen Wortes mittels Internet-Protokoll ermöglicht der Wirtschaft deutliche Kosteneinsparungen. Allerdings verlagern sich damit die aus der Internet-Technologie bekannten Sicherheitsprobleme unvermeidbar in den Bereich der Telefonie. Das umfassende Service-Angebot mittels Unternehmensgrenzen übergreifenden vernetzten Systemen wird im Allgemeinen mit Telemediendiensten bezeichnet. Sie reichen über entsprechende Angebote im elektronischen Geschäftsverkehr (E-Business), speziell im elektronischen Handel (E-/M-Commerce) oder in elektronischen Kundenbindungssystemen (CRM) bis hin zu solchen Dienstleistungen wie Abwicklung des Internet-Zugangs (Internet Service Providing - ISP), Bereitstellung von standardisierten Anwendungssystemen über das Internet (Application Service Providing - ASP) oder Bereitstellung von Sicherheitsdiensten (Security Service Providing - SSP) über das Netz. Im Großen und Ganzen handelt es sich dabei immer um Anbieter-Nutzer-Aktivitäten, die vor allem Vertrauenswürdigkeit verlangen. Die entsprechenden Sicherheitsvorkehrungen werden darum in erster Linie vom Anbieter erwartet. Da bei diesen Diensten in der Regel personenbezogene Daten im Spiel sind bzw. der Zugriff auf solche Daten möglich ist, haben die Datenschutzbeauftragten stets zu prüfen, ob es sich um Auftragsdatenverarbeitung im Sinne des 11 BDSG handelt. Ein besonderes Sicherheits- und auch Datenschutzrisiko existiert häufig bei so genannter Telearbeit, die in vielfältigen Organisationsformen abgewickelt werden kann aber immer eine Verbindung zwischen Auftraggeber (ggf. Arbeitgeber) und Telearbeiter über 29

17 1. Ziele des technisch-organisatorischen Datenschutzes Telekommunikation einschließt. Die außerhalb des Unternehmensnetzes befindlichen Telearbeitseinrichtungen können Heimarbeitsplätze (Desktops) oder unterwegs befindliche Notebooks, PDAs, Smartphones usw. sein. Diese Form der ausgelagerten Arbeit wird sich in Zukunft stark entwickeln die industriegesellschaftliche Trennung von Wohnen und Arbeiten wird in der Informationsgesellschaft rückgängig gemacht. Nach einer Erhebung der Schrader- Stiftung ist allein in Deutschland die Zahl der Telearbeiter von 1994 bis 2004 von auf mehr als gestiegen, was einem Anteil von 6 % aller Erwerbstätigen entsprach. Bis zum Jahr 2010 hat das Marktforschungsinstitut IDC weltweit 850 Millionen Telearbeiter vorausgesagt. Diese Entwicklung stellt für IT-Sicherheitsexperten und auch für Datenschützer eine gewaltige Herausforderung dar, denn alle betrieblichen Regelungen müssen in geeigneter Weise auf den häuslichen Bereich der Arbeitnehmer ausgedehnt werden. Moderne Informationstechnologien sind gleichzeitig Schlüsseltechnologien der Informationssicherheit und spielen eine ständig wachsende Rolle bei der Gewährleistung von Datenschutz und Datensicherheit; sie begegnen uns in der Praxis immer häufiger in kombinierter Form. Eine herausgehobene Bedeutung kommt der kryptographischen Technik zu, die wie kein anderes Verfahren bei gewissenhafter Anwendung Vertraulichkeit der Daten verspricht. Sie wird heute vor allem unter Einsatz von Chipkarten und so genannten Public-Key -Infrastrukturen (PKI) genutzt. Vertrauenswürdige Instanzen (Trustcenter) gewährleisten die abgesicherte Partner- Partner-Beziehung bei verschlüsselter Kommunikation. Es zeigt sich, dass intelligente Chipkarten so genannte Smartcards die Anwendung der Verschlüsselungstechnologie kräftig aufwerten und vereinfachen können. Chipkarten werden immer öfter in Verbindung mit biometrischen Verfahren und auch mit Videotechnik zur zuverlässigen Identifizierung von Personen eingesetzt. Alle diese modernen Verfahren bergen natürlich auch gewisse, das Persönlichkeitsrecht betreffende Risiken in sich, sodass eine intensive datenschutzrechtliche Begleitung (Datenschutz-Audit, Vorabkontrolle!) ihrer Einführung erforderlich wird. In letzter Zeit sorgen die so genannten RFID-Systeme für öffentliches Aufsehen. Es handelt sich dabei um kleinste Sende- und Empfangseinrichtungen, die auf funktechnischer Basis funktionieren und zur Identifikation von Sachen und/oder Personen dienen. Prinzipiell ist 30

18 1.2 Der wachsende Stellenwert der Datensicherheit... uns diese Technik in Form von Transpondern (Token) schon längere Zeit bekannt; sie wird in berührungslosen Zutrittskontrollsystemen eingesetzt. Erst durch die fortschreitende Miniaturisierung bei gleichzeitig wachsenden Speichermöglichkeiten und größer werdender Reichweite der Funksignale wird diese Technik zum Datenschutzproblem, wie folgende DPA-Meldung zeigen soll: Während Sie die Bar betreten, wartet Ihr Lieblingsdrink schon wirbt der schottische Barbesitzer Brad Stevens in Glasgow für die elektronische Geldbörse. Ein Mikrochip, so groß wie ein Reiskorn, soll den Gästen implantiert und beim Betreten der Bar gescannt werden. (Westfälischer Anzeiger vom 18. Januar 2005). So gesehen bahnt sich tatsächlich der gläserne Bürger an und das ist erst der Anfang. Der amerikanische Wissenschaftler Mark Weiser propagierte 1991 den visionären Artikel The Computer for the 21st Century und verwendete den Begriff Ubiquitous Computing (allgegenwärtige Datenverarbeitung), der inzwischen auch als Pervasives Computing (alles durchdringende Informationsverarbeitung) bekannt wurde. Weisers Zukunftsprognosen sagen voraus, dass der Computer in seiner heutigen Gestalt verschwindet aber dessen informationsverarbeitende Funktionalität allgegenwärtig und unsichtbar verfügbar sein wird. Bis etwa im Jahr 2012 soll aus dieser Vision schrittweise Wirklichkeit werden. In der ersten Phase werden potentielle Anwender bis auf wenige Ausnahmen (z.b. Autoindustrie, Lagerwirtschaft, Spedition) mangels erkennbaren Nutzens eher zurückhaltend reagieren. Datensicherheitsaspekte (z.b. mangelhafte Verfügbarkeit, umständliche Nutzeridentifikation, Selbstzerstörungsfunktion), Datenschutzprobleme (vermutlicher Datenmissbrauch, ein weiterer Schritt in Richtung gläserne Gesellschaft ) sowie Umweltschutzprobleme (z.b. Elektro- Smog) bremsen noch die Entwicklung. In der zweiten Phase wird sich das Internet vor allem durch die Einbindung leistungsfähiger Funknetze so weiterentwickeln, dass es tiefer in die häusliche Umgebung vordringt, also z.b. die Einbindung intelligenter Haushaltsgeräte ermöglicht. Auf dem Wirtschaftssektor wird sich Pervasives Computing mehr und mehr durchsetzen: Erhebliche Kostenreduzierung im Lager- und Logistikbereich, kassenlose Supermärkte, Ersatz von Fahrscheinen, Einsatz in Bibliotheken und Videotheken, Lokalisierung von beweglichen 31

19 1. Ziele des technisch-organisatorischen Datenschutzes Gegenständen (z.b. Fahrräder, Autos) und Menschen (Behinderte, Kinder, Straftäter), Identifizierung von Patienten im Gesundheitswesen (Ausschluss von Verwechslungen, Hilfe bei Nichtansprechbarkeit) u.a.m. In der dritten Phase sollen alle Bedenken aus Datenschutz-, Datensicherheits-, Umwelt- und Akzeptanzproblemen weitgehend überwunden sein und Pervasives Computing zum Alltag gehören. Die damit verbundene Komplexität der Systeme wird allerdings schwer nachprüfbar sein, was zu einer echten Herausforderung für das IT- Sicherheitsmanagement und Institute, wie etwa das BSI, werden wird. Dennoch: Ein enormer wirtschaftlicher und gesellschaftlicher Nutzen wird schließlich umfassend überzeugen [MÜN 04]. Das Unabhängige Landeszentrum für den Datenschutz in Schleswig- Holstein begleitete gemeinsam mit der Humboldt-Universität Berlin diese Entwicklung bis zum März 2006 mit der Technikfolgeabschätzung TAUCIS [ULD 06]. Im Resultat zeigt sich, dass auch der Datenschutz mit den bisherigen gesetzlichen Instrumentarien kaum noch beherrschbar sein wird und dass eine Modernisierung des Datenschutzrechts hinsichtlich der informationstechnologischen Entwicklungen des 21. Jahrhunderts unumgänglich ist. Es spannt sich also gegenwärtig ein weiter Bogen um moderne Informationsverarbeitungstechnologien und man kann sicher sein, dass regelmäßig Neues hinzu kommt - diese Entwicklung ist nun mal charakteristisch für die Informationsgesellschaft. Alle diese Verfahren bergen Datenschutz- und Datensicherheitsrisiken in sich und erfordern darum die größte Aufmerksamkeit des Managements in den sie nutzenden Unternehmungen, vor allem aber der Datenschutz- und Datensicherheitsspezialisten. Verantwortungsträger in Staat und Wirtschaft erkennen im steigenden Maße die Risiken, die die Informationsgesellschaft mit sich bringt und sind bereit, immer mehr in die Absicherung der Informationsverarbeitung zu investieren. 32