Schwerpunkt: Records Management

Transkript

1 5. Jahrgang, Heft 2, Juni 2005 Schwerpunkt: Records Management fokus: Der Lebenszyklus von Dokumenten fokus: Die elektronische Beweisführung report: GPS-Überwachung von Mitarbeitenden Herausgegeben von Bruno Baeriswyl Beat Rudin Bernhard M. Hämmerli Rainer J. Schweizer Michael Waidner

2 i n h a l t f o k u s Schwerpunkt: Records Management auftakt Endlich erfasst: Der Fehler im System von Aernschd Born Seite 61 Management elektronischer Dokumente von Bruno Baeriswyl Seite 64 Lebenszyklus von Dokumenten im Zentrum von Regula Nebiker / Mireille Othenin-Girard / Patrick Moser Seite 65 Recht und elektronische Archivierung von Jacques Beglinger Seite 72 Die elektronische Beweisführung von Bruno Wildhaber Seite 78 Archiv mit Dokumentenversteigerung von Windsor W. Hsu / Shauchi Ong / Birgit Pfitzmann Seite 82 Unter dem Stichwort «Records Management» verbirgt sich heute eine vielschichtige Problematik im Umgang mit elektronischen Dokumenten. Eine Übersicht. Archivierung in der Informationsgesellschaft bedeutet professionelles Informationsmanagement über den gesamten Lebenszyklus eines Dokumentes. Zeitgemässe Archivierungspraxis und modernes Archivrecht unterstützen und ergänzen den Datenschutz. Zahlreiche Neuerungen im schweizerischen Recht regulieren die elektronische Datenhaltung und die Archivierung. Eine Übersicht. Management elektronischer Dokumente Lenbenszyklus von Dokumenten im Zentrum Recht und elektronische Archivierung In Zukunft werden viele Beweisverfahren mit elektronischen Beweismitteln geführt werden. Damit diese Daten auch in Zukunft noch über die notwendige Beweisqualität verfügen, müssen verschiedene Massnahmen getroffen werden. Die elektronische Beweisführung i m p r e s s u m digma: Zeitschrift für Datenrecht und Informationssicherheit, ISSN: , Website: Herausgeber: Dr. iur. Bruno Baeriswyl, Dr. iur. Beat Rudin, Prof. Dr. Bernhard M. Hämmerli, Prof. Dr. iur. Rainer, J. Schweizer, Dr. Michael Waidner Redaktion: Dr. iur. Bruno Baeriswyl und Dr. iur. Beat Rudin Rubrikenredaktor: Dr. iur. Amédéo Wermelinger Zustelladresse: Redaktion digma, c/o Stiftung für Datenschutz und Informationssicherheit, Kirschgartenstrasse 7, CH-4010 Basel Tel. +41 (0) , redaktion@digma.info Erscheinungsplan: jeweils im März, Juni, September und Dezember Abonnementspreise: Jahresabo Schweiz: CHF , Jahresabo Ausland: Euro (inkl. Versandspesen), Einzelheft: CHF Anzeigenmarketing: Schulthess Druck AG, Esther Cossalter, Arbenzstrasse 20, Postfach, CH-8034 Zürich Tel. +41 (0) , Fax +41 (0) , esther.cossalter@schulthess.com Druck: Schulthess Druck AG, Bruno Erb, Arbenzstrasse 20, Postfach, CH-8034 Zürich, ISDN +41 (0) Verlag und Abonnementsverwaltung: Schulthess Juristische Medien AG, Zwingliplatz 2, Postfach, CH-8022 Zürich Tel. +41 (0) , Fax +41 (0) , zs.verlag@schulthess.com 6 2 d i g m a

3 Bildnisschutz und Medienfreiheit Die Jagd nach dem heiligen Gral Selbstbestimmtes Identitymanagement Bildnisschutz und Medienfreiheit stehen in einem Spannungsverhältnis. Der Ausgleich in der Praxis erfolgt durch ihre Auslegung in der einschlägigen Rechtsprechung. Dienstleistungen im Bereich des «ethischen» Hackens sind kein Ersatz für die Konzipierung und Umsetzung eines eigentlichen Informatiksicherheitsprozesses. «Ethisches» Hacken kann einen solchen Prozess bestenfalls ergänzen. Neue Konzepte für datenschutzförderndes Identitätsmanagement stehen im Mittelpunkt beim Projekt PRIME «Privacy and Identity Management for Europe» («Datenschutz- und Identitätsmanagement für Europa»). r e p o r t MEDIEN Bildnisschutz und Medienfreiheit von Marie-Theres Tinnefeld Seite 86 SICHERHEIT Die Jagd nach dem heiligen Gral von Rolf Oppliger Seite 92 FORSCHUNG Selbstbestimmtes Identitymanagement von Jan Camenisch, Marit Hansen Seite 94 RECHTSPRECHUNG GPS-Überwachung von Mitarbeitenden von Amédéo Wermelinger Seite 96 GPS-Überwachung von Mitarbeitenden Der Einsatz eines GPS-Überwachungssystems setzt eine Ausgestaltung voraus, welche dem Prinzip der Verhältnismässigkeit genügt. E-Government dank Datenschutz! E-Government steckt in einem Tief. Die Schuldigen sind identifiziert; neben vielen der Datenschutz. Kein E-Government wegen Datenschutz oder E-Government gerade dank Datenschutz? f o r u m agenda Seite 99 schlusstakt E-Government dank Datenschutz! von Beat Rudin Seite 100 cartoon von Hanspeter Wyss d i g m a

4 r e p o r t S i c h e r h e i t Die Jagd nach dem heiligen Gral PD Dr. Rolf Oppliger, esecurity Technologies, Gümligen, rolf. oppliger@esecurity. ch Sicherheit kann als Zustand des Nichtvorhanden- oder Geschütztseins vor Bedrohungen und Risiken umschrieben werden. Damit ist Sicherheit eine subjektiv wahrnehmbare und kaum messbare Grösse. Was im Einzelfall als «sicher» oder «unsicher» zu bezeichnen ist, hängt auch vom Betrachter und dessen individuellen Risikobereitschaft ab. So werden zum Beispiel die Risiken (und damit umgekehrt auch die Sicherheit) im Flugverkehr nicht von allen Personen gleich eingeschätzt. Die individuelle Risikoeinschätzung hängt ab von der Fluggesellschaft, vom Flugzeugtyp, von der aktuellen Bedrohungslage (z. B. in Bezug auf terroristische Aktivitäten) und von der individuellen Risikobereitschaft. Sicherheit ist damit immer relativ und situationsbezogen. Informatiksicherheit Auf dem Wandel von einer Industrie- zu einer Informationsgesellschaft kommt der Informatiksicherheit eine zunehmend grosse Bedeutung zu. Diese befasst sich mit der Sicherheit in der Informatik, d.h. mit der sicheren Speicherung, Verarbeitung und Übertragung von Daten. Dabei geht es in erster Linie darum, die Verfügbarkeit, Vertraulichkeit, Integrität, Authentizität, Verbindlichkeit oder Anonymität bzw. Pseudonymität von Daten sicherzustellen. Natürlich sind diese Ziele zum Teil auch widersprüchlich und Zielkonflikte sind entsprechend vorprogrammiert. Bis heute fehlt eine (brauchbare) Metrik für die Informatiksicherheit und in der Praxis gibt es entsprechend viele «Räuber-und- Gendarm»-Spiele zwischen Angreifern (sog. «Black hats») und Verteidigern (sog. «White hats»). Solche Spiele hat es immer schon gegeben. Man denke in diesem Zusammenhang etwa an Geldtransporte im Wilden Westen, «einbruchsichere» Safes und «ausbruchsichere» Gefängnisse. In der Informatiksicherheit geht es darum, Informatiksysteme und Betriebsmittel (insbesondere Daten) vor Angriffen (von innen und aussen) zu schützen. Aufgrund der asymmetrischen Lastverteilung ist es möglich und wahrscheinlich, dass ein Angreifer früher oder später erfolgreich sein wird. Man beachte, dass der Angreifer nur eine Schwachstelle finden und ausnutzen muss, während sich der Verteidiger gegen das Ausnutzen aller Schwachstellen gleichermas-sen schützen muss. Entsprechend viele Möglichkeiten gibt es, ein Informatiksystem anzugreifen (man denke hier etwa an die verschiedenen Formen von «Denial-of-service»-Angriffen). Während direkte Angriffe technisch erschwert werden können, ist bei indirekten Angriffen über die Benutzer der Informatiksysteme die Verteidigungssituation ungleich schwerer. Die jüngsten Phishing-Vorfälle haben uns gezeigt, dass indirekte Angriffe in Form von «Social Engineering» immer möglich und vergleichsweise einfach sind. Informatiksicherheitsprozess Informatiksicherheit ist als soziotechnisches Fachgebiet äusserst komplex. Obwohl es keinen heiligen Gral gibt, versuchen viele Firmen, ihre Produkte oder Dienstleistungen als solche anzupreisen und zu vermarkten. Vor derartigem Marktgeschreie muss gewarnt werden. Informatiksicherheit kann nur aus dem Zusammenspiel von technischen, organisatorischen und rechtlichen Sicherheitsmassnahmen und -vorkehrungen resultieren, und selbst dann wird ein Informatiksystem noch angreifbar sein. Entsprechend wichtig ist es, einen Informatiksicherheitsprozess zu definieren und konsequent umzusetzen. Ausgehend von einem Bedrohungsmodell ist eine Bedrohungs- und Risikoanalyse durchzuführen. Diese Analyse ist bei der Formulierung eines Sicherheitsleitbildes bzw. einer Sicherheitspolitik zu berücksichtigen. Das Sicherheitsleitbild hat die Frage zu beantworten, was man im Bereich der Informatiksicherheit erreichen und gegen wen man sich schützen will. Diese Zielvorstellungen sind im Rahmen einer Sicherheitsstrategie zu konkretisieren. Wie will man diese Ziele erreichen? Wie lauten die strategischen Vorgaben? Im nächsten Schritt sind die strategischen Vorgaben in Form von Sicherheits- 9 2 d i g m a

5 architekturen und Implementationsrichtlinien zu konkretisieren. Diese Architekturen und Richtlinien beziehen sich auf die technischen, organisatorischen und rechtlichen Sicherheitsmassnahmen, die sinnvollerweise einzusetzen sind. Schliesslich haben alle Massnahmen einen Zyklus zu durchlaufen. Sie müssen entworfen, implementiert, überprüft und möglicherweise auch wieder verbessert werden. Trotz aller Sicherheitsmassnahmen und -vorkehrungen werden sich Vorfälle ereignen und entsprechend sind Möglichkeiten zu thematisieren, solche Vorfälle zu erkennen und auf die Vorfälle in einer geeigneten Art und Weise zu reagieren. Diese Themen haben in der jüngeren Vergangenheit gegenüber der Frage, wie man Vorfälle präventiv verhindern kann an Bedeutung zugelegt. Analogie Die Aufgabe eines Informatiksicherheitsverantwortlichen kann mit der Aufgabe eines Architekten verglichen werden. Wieso unterscheiden sich Einfamilienhäuser, Ferienhäuser und Bankfilialen architektonisch und sicherheitstechnisch? Die Antwort ist wohl in der unterschiedlichen Bedrohungs- und Risikolage zu finden. Eine Bankfiliale ist eben mehr und stärkeren Angreifern ausgesetzt als ein Ferienhaus. In analoger Weise sind Informatiksysteme architektonisch so zu entwerfen, zu implementieren und zu betreiben, dass sie den relevanten Bedrohungen und Risiken etwas entgegenzusetzen haben. Dazu muss man natürlich wissen, welche Bedrohungen und Risiken relevant sind bzw. wie relevant sie wirklich sind. Viele Firmen bieten heute «ethisches» Hacken in Form von Tiger Team-Analysen an, und diese Dienstleistungen werden auch rege nachgefragt. Entsprechend stellt sich die Frage, ob dieser Ansatz geeignet ist, um auf die gestiegenen Anforderungen im Informatiksicherheitsbereich zu reagieren. Dabei ist zu vermerken, dass «ethisches» Hacken heute oft als Alternative zur Definition und Implementation eines Informatiksicherheitsprozesses verstanden wird. Viele Informatikverantwortliche haben in Bezug auf Sicherheit ein schlechtes Gefühl und versuchen dieses Gefühl dadurch loszuwerden, dass sie eine externe Firma mit der Durchführung von Sicherheits- oder Penetrationstests beauftragen. Natürlich ist die Hoffnung dann die, dass die Firma nichts findet und man entsprechend beruhigt zur Tagesordnung übergehen kann. Der Nutzen dieses Ansatzes ist trügerisch und die Aussagekraft von ad-hoc durchgeführten Sicherheits- oder Penetrationstests ist nicht sehr gross. Was heisst es, wenn auf der einen Seite eine (oder mehrere) Verwundbarkeit(en) gefunden wird? Ist das Informatiksystem dann nach der Bereinigung dieser Verwundbarkeit(en) sicher? Was heisst es auf der anderen Seite, wenn keine Verwundbarkeit gefunden wird? Würde ein anderes Tiger Team, das möglicherweise mehr Zeit und andere Werkzeuge zur Verfügung hat, ebenfalls keine Verwundbarkeit finden? Wenn der Ansatz des «ethischen» Hackens sinnvoll und nützlich wäre, dann müsste es in der realen Welt so etwas wie «ethische» Einbrecher und entsprechende Dienstleistungen geben. Solche Dienstleistungen gibt es aber nicht (oder wenigstens ist nichts derartiges in einer breiteren Öffentlichkeit bekannt). Zum Beispiel gibt es keine Bank, die «ethische» Einbrecher anstellt, um die potenzielle Verwundbarkeit ihrer Filialen zu überprüfen. Eine mögliche und wohl auch wahrscheinliche Erklärung geht davon aus, dass wir in der realen Welt sehr wohl wissen, dass es ein einbruchsicheres Gebäude nicht gibt. Entsprechend ver(sch)wenden wir unsere beschränkten Geld- und Zeitmittel nicht mit dem Nachweis, dass in ein Gebäude eingebrochen werden kann. Stattdessen investieren wir die Mittel in die Architektur bzw. den Aufbau und Einsatz geeigneter Sicherheitsmassnahmen und -vorkehrungen (z. B. Alarmanlagen oder Bewachung). Man kann davon ausgehen, dass sich im Laufe der Zeit ein ähnliches Selbstverständnis um die Verwundbarkeiten von Informatiksystemen herausbilden wird, und dass die Bedeutung von «ethischem» Hacken und entsprechenden Tiger Team-Analysen (als Ersatz für eine seriös durchdachte Sicherheitsarchitektur und -konzeption) langfristig abnehmen wird. Stattdessen werden Informatiksicherheitsprozesse definiert und umgesetzt werden müssen (natürlich können solche Prozesse dann immer noch extern überprüft werden). Trotz aller Bemühungen werden sich sicherheitsrelevante Vorfälle aber auch in Zukunft noch ereignen, und entsprechende wichtig wird es sein, diese Vorfälle möglichst früh zu erkennen und geeignet darauf zu reagieren. K u r z u n d b ü n d i g Informatiksicherheit ist als soziotechnisches Fachgebiet zu komplex, als dass es einen heiligen Gral geben könnte. Dies gilt in besonderem Masse für Dienstleistungen im Bereich des «ethischen» Hackens. Im Artikel wird argumentiert, dass solche Dienstleistungen keinen Ersatz für die Konzipierung und Umsetzung eines eigentlichen Informatiksicherheitsprozesses sein kann. «Ethisches» Hacken kann einen solchen Prozess bestenfalls ergänzen. d i g m a

6 digma Zeitschrift für Datenrecht und Informationssicherheit erscheint vierteljährlich Meine Bestellung 1 Jahresabonnement digma (4 Hefte des laufenden Jahrgangs) à CHF bzw. bei Zustellung ins Ausland EUR (inkl. Versandkosten) Name Vorname Firma Strasse PLZ Ort Land Datum Unterschrift Bitte senden Sie Ihre Bestellung an: Schulthess Juristische Medien AG, Zwingliplatz 2, CH-8022 Zürich Telefon Telefax zs.verlag@schulthess.com Homepage: