Prof. Dr. Christoph Bauer eprivacy GmbH

Transkript

1 TRUSTED PRIVACY Datensicherheit und Datenschutz bei Medical Apps Prof. Dr. Christoph Bauer GmbH Wachstumsmarkt Mobile Health Kieler Wirtschaftsfo rderungs- und Strukturentwicklungs GmbH Kiel,

2 Zahlen und Fakten 150 Kunden der eprivacy GmbH eprivacy ist in vielen Ländern tätig weltweit vergebene eprivacyseal Version EU / DE OBA Framework bestimmt den MarktstandarD vergebene OBA Trust Seal Zertifizierungen geprüfte mobile apps Consulting Projekte: Big Data Privacy by Design Kooperation mit verschiedenen Institutionen andere Zertifikate: DTSG Brand Safety Targeting Siegel, 2011 beteiligte Auditoren und Gutachter 20 2

3 Referenzen 3

4 Angebot im Überblick 1 Externer Datenschutzbeauftragter Analyse des Status Quo, Beratung und Erstellung aller Standard-Dokumente Hauptansprechpartner für Behörden, interner Ansprechpartner in allen Datenschutzangelegenheiten 2 Datenschutz Workshops Produktanalyse Privacy by Design Erforderliche und empfohlene Anpassungen; erweiterte Zusammenarbeit EPRIVACYSEAL DE VERSION 3 Privacy Evaluierung Komplette Produktanalyse und Bewertung Privacy by Design Offizielle Dokumentation von 4 Gütesiegel & OBA Zertifizierung Detaillierte technische und rechtliche Evaluierung Wettbewerbsvorteil durch unser Siegel Offizielles Siegel von und von der EDAA, powered by Siegel und Evaluation können zur externen Kommunikation verwendet werden OBA ZERTIFIZIERUNG Schlüsselkunden Webseiten Datenschutzbehörden Andere Prüfer oder Investoren 5 Datensicherheit ISO Detaillierte technische Beratung und Zertifizierung EPRIVACYSEAL EU VERSION Offizieller Anbieter der ISO Prüfung 4

5 Zertifizierungsprozess Ziel Datenschutzkonforme Produkte Datenschutzkonforme Prozesse Datenschutz in der Nutzer-und Kunden-Kommunikation Technische Produkte Organisation / Prozesse, Datenfluss und -architektur Rechtliche Grundlagen Nutzer-Rechte, Opt-out/ Opt-in Verträge, etc. Transparenz Stand der Technik Handlungsbedarf Konzept und Planung Optimierung des Status Quo durch Kunden Schwerpunkte Datenvermeidung und -transparenz, Nutzungen rechtlicher Gestaltungen, 1. aufgabe 2. analyse 3. UseCases, Anonymisierung von Daten Vorbereitung auf die Prüfung Organisation Prüfungsverfahren ziel goal ziel Aktiver Datenschutz für Marketing und Kundenbindung optimierung Datenschutz als Wettbewerbsvorteil 5. zertifizierung 4. finaler audit ziel siegelerstellung seal DE Version seal EU Version Zertifizierung und Gutachten Erteilung Gütesiegel Antragsverfahren für das Gütesiegel Gütesiegelerteilung seal Prüfung durch Gutachter Technik, Prozesse und Rechtslage Auflagen für das Gütesiegel Empfehlungen für weitere Verbesserungen 5

6 App - das Konzept Prüfung von Datensicherheit und Datenschutz Datensicherheit für alle gespeicherten Daten Datenschutz von personenbezogenen Daten Über 150 automatisierte und manuelle Prüfungen Hohe Zertifizierungsstandards Hoher Standard für Datenschutz auf der Basis von BDSG, TMG, EU- Recht und allgemeine Marktstandards Hoher Standard von Sicherheit / heutiger Stand der Technik erwartete Weiterentwicklung in Technik und Datenschutz Veröffentlichter Kriterienkatalog / akkreditierte Auditoren Prüfung von Apps und Zertifikat / Siegel Prüfung von Apps auf Datenschutz und Datensicherheit Zertifikat und Siegel App optional Blackbox-Testing und Whitebox-Testing eigene Software zur Prüfung von Apps Verbindung mit manuellen Tests und Software-Analyse Prüflabor eingerichtet mit automatisierten Prozessen und Prüfungen 5

7 App - Überblick Prüfungskriterien 1 Datenschutz Datenschutzerklärung / AGB Datenschutzeinstellungen durch Nutzer Nutzung von Daten durch die App Zugriff auf persönliche Daten des Nutzers oder Kontakte Weitergabe von Daten an Dritte Einhaltung der Datenschutzgesetze (u. a. BDSG, TMG) 2 Datensicherheit Untersuchung von Datenpaketen Analyse des ein- und ausgehenden Datenverkehrs Verschlüsselung des Datenverkehrs Sichere Speicherung von Daten Datenprüfung mit White-Hat-Hack Authentifizierung der Empfänger von Daten (WHOIS) 3 Online Behavioral Advertising / OBA Erstellen von Nutzerprofilen durch die App Opt-out-Möglichkeiten Kontaktmöglichkeiten mit dem Betreiber 6

8 App Testing Wesentliche Ergebnisse Folgende Sicherheitslücken werden häufig von unseren Experten festgestellt: 1. Benutzernamen und Passwörter können abgefangenwerden 2. Anwendungen verlangen Rechte, die für den Betrieb der Applikationen nicht benötigt werden (z.b. Kontaktliste oder Kalenderdatendes Nutzers) 3. Kein Schutz gegen einen Man-In-The-Middle Angriff 4. Vertrauliche Informationenwerden an unbeteiligte Dritte, ohne Einwilligung des Nutzers, weitergeleitet 5. UngenügenderSchutz der übermittelten Daten 6. Ungenügende Verschlüsselung der Datenauf dem Gerät 7. Personenbezogene Informationenkönnen durch Dritte mitgelesen und verarbeitet werden 7

9 Angriffsszenario - Beispiel Smartphone Peripherien zur Messung des Glukosewertes (Blutzucker) Es existieren Peripheriegeräte für Smartphones/Tablets, mit welchen der Blutzuckerspiegel des Nutzers über eine App ermittelt werden kann. Durch eine Manipulation des Datenverkehrs können hierbei falsche Messergebnisse angezeigtund im schlimmsten Fall eine falsche Medikamentendosisintravenös eingenommenwerden. Image: bm/ Content/ LIFESTYLE/Lifestyle/ Article/N ew-device-tests-blood-glucose-via-smartphone/9/230/

10 Studie Medical Apps Einige Fakten Ca. 140 wurden im Zeitraum Aug/Nov 2015 getestet ios und Android s selbstentwickelte Technologie kam zum Einsatz E-Health Kriterienkatalog, entwickelt von auf Basis internationaler Standards von Datenschutz/Datensicherheit Geprüfte Apps wurden nach Bekanntheitsgrad und Downloadzahlen ausgewählt Kategorie Medical Apps Warum ist das so wichtig? Wachsende Bedeutung von Medical Apps Vertrauliche Informationenwerden in den Apps verarbeitet Datenmissbrauch/ und falschehandhabungen können gesundheitliche Risiken nach sich ziehen Wichtige Punkte für App Anbieter: 1. Ist der Umgang mit den Nutzerdaten sicher und angemessen? 2. Wie vermeide ich rechtlichen Streit/ negative PR? 3. Wie trägt die App zur Verbesserung von Transparenz und Vertrauen der Nutzer bei? à Datenschutz als Wettbewerbsvorteil auf dem Markt! 10

11 Studie Medical-Apps wichtige Ergebnisse Konnten Logindaten abgefangen werden? Konnten Gesundheitsdaten abgefangenwerden? 20 % 80 % Yes No 48 % 52 % Yes No Konnten sonstige personenbezogene Datenabgefangenwerden? Konnte der Datenverkehrmanipuliert werden (z.b. empfohlene Medikation) 25 % 4 40 % 60 % Yes No 75 % Yes No 11

12 Studie Medical-Apps wichtige Ergebnisse Existiert eine Datenschutzerklärung für die Medical App? Kommuniziertdie App über SSL (gesicherte Verbindung)? 100% 100% 80% 80% 60% 40% Yes No 60% 40% Yes No 20% 20% 0% Android ios 0% Android ios Existiert ein Schutz gegen Man-In- The-Middle Angriffe? Ist eine Manipulation der ein- und ausgehendendatenmöglich 100% 100% 80% 80% 60% 40% Yes No 60% 40% No Yes 20% 20% 0% Android ios 0% Android ios 12

13 Studie Medical-Apps Social Engineering 1 2 Allg. Informationen Social Engineering ist die zwischenmenschliche Manipulation mit dem Ziel, bestimmtereaktionen bei Personen hervorzurufen, um an vertrauliche Informationen zu gelangen. Das beste Verschlüsselungsverfahren ist nutzlos, wenn der Mensch die Schwachstelleist. Für diesen Test wurden zusätzlich Apps anderer Kategorien verarbeitet, die Gesundheitsdaten verarbeiten (u.a. Versicherungen) Unser Angriff Erstellung eines Accounts zurregistrierungin der App Erstellung eines zweiten, ähnlich klingenden Accounts um vorzugeben der erste Account zu sein an den App Anbietermit folgendem Inhalt: - Ich habe mein Passwort für die App vergessen - Mein Account wurde gehacked und ich kann nicht mehrdarauf zugreifen - Anfrage die alte Adresse durch die neuezu ersetzen 3 Typische Antworten Hallo Frau XY, wir haben die neue adresse mit ihrem Konto verknüpft und die alte gelöscht. MfG Hallo Frau XY, aus datenschutzrechtlichen Gründen können wirkeine Details Ihres Kontos ändern. [ ] 4 Ergebnisse Viele Grüße In 47% allerfälle konnten persönliche Informationen (z.b. Logindaten eines unbeteiligten Dritten) ohne Verifizierung erfragt werden. Bei 53% allerfälle war der Angriff nicht erfolgreich. Access to sensitive data No access to sensitive data 13

14 Medical Apps Lösungsmöglichkeiten Einige wesentliche Lösungsmöglichkeiten der aktuellen Datenschutz-Probleme für der Medical-Apps: 1. Datenschutzerklärlung einbauen, die über alle Verwendungender Daten aufklärt 2. Datenschutzerklärung vor Nutzung der App und auchbei Nutzung der App verfügbar halten 3. Nur Datender Konsumentennutzen bzw. An Dritte weitergeben, wenn es für den Zweck der App erfoderlich ist und darüber aufgeklärt wurde. 4. Verschlüsselung aller Daten(pers.bez. Datenund Gesundheitsdaten) zum Schutz vor Manipulationen 5. Man-in-the Middle Schutz einbauen 6. Identität der Nutzer durch effektive Prozesse schützen, gerade abei verlorenen Passwörtern etc. Für alle Punkte gilt: Prüfung und ggf. Zertifizierung der App ist ein idealer Nachweis! 14

15 App Ablauf unserer Prüfung 1 Überprüfung Ihrer App durch eine neutrale Instanz Manuelle und softwareseitige Prüfung Über 150 einzelne Prüfkriterien 2 3 Detaillierte Dokumentation Detaillierter Prüfbericht Empfehlungen Auflagen Erteilung unseres App Siegels (optional) Umsetzung erteilter Auflagen Erstellung des Zertifikats

16 App sichert Vorsprung 1 Technologie Einsatz neuartiger und aktuell einzigartiger Prüf-Software Auf dem modernsten Stand der Technik Über 150 Einzelprüfungen möglich Prüfung aktueller und potenzieller zukünftiger Angriffsszenarien 2 Team Technische und juristische Experten IT-Sicherheitsexperten und White-Hat-Hacker Hochqualifizierte Auditoren 3 Prüflabor Eingerichtetes Lab Organisation / Ressourcen Software-Prüfung mit standardisierten Abläufen Schnelle und hochqualifizierte Prüfungen

17 App HS - High Security Prüfung Für höchste Sicherheitsstufen unsere High Security Prüfung 1 Prüfung von Apps für sehr hohe Sicherheitsstufen Apps, welche im Zusammenhang mit einem Mobile- Device- Management angewandt werden sollen Apps für Kommunikation, Geldtransfer, Banking, Apps, die mit vertraulichen Daten umgehen 2 High Security Kriterien Zu den über 150 Standard-Kriterien Weitere 60 Kriterien 3 Reale und erwartete Angriffsszenarien Angriffe der App von außen Angriffe der App von innen Social Engineering Häufig festgestellte Mängel Benutzernamen und Passwörter leicht auslesbar Nutzung von Daten, die eigentlich nicht benötigt werden (Kontakte, Kalender, Standort, ) Leichte Angreifbarkeit in unsicheren Netzwerken Weitersenden vertraulicher Daten unbemerkt an ungewollte Empfänger Ungenügende Verschlüsselung von Daten auf dem Gerät Erlangungvon persönlichen Daten unbeteiligter Dritter 18

18 Unsere Expertise Um das höchste Niveau von Kno w-ho w und Support für unsere Kunden zu garantieren, haben wir ein Netzwerk von Partnern und Verbänden aufgebaut. Wir stellen sicher, dass die Diskussionen über den Datenschutz und die Sicherheit der User vorsichtig in Medien und Politik platziert werden. Die Publikationen von werden als Fachartikel von anerkanntenmedien und Organisationen veröffentlicht. Wir sind auchteilnehmer des EU Round Table (Data Protection). Anerkannt vom ULD Mitglied des IT-Gipfels Mitglied von Verbänden Prof. Dr. Bauer und Dr. Eickmeier sind anerkannte Sachverständige beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD). Deswegen is dazu berechtigt, das ULD-Siegel zu vergeben. Das ULD nimmt die Position staatlicher Kontrolle und eine Beraterfunktion ein. Der Nationale IT-Gipfel ist die zentrale Plattform für die Zusammenarbeit von Politik, Wirtschaft und Wissenschaft, um den IKT-Standort Deutschland zu stärken. is t Mitglied der Arbeitsgruppe Mobile Security mit IT- Sicherheit von Smartphonesund Tablets als Kernthema. ist Mitglied etlicher deutscher und internationaler Verbände und Organisationen mit Fokus auf Datenschutz und Datensicherheit. BVDW, BITKOM, IAB Europe, LB MA sind ein wicht iger Bestandteil der Vernetzung und des Austauschs von Spezialisten. 18

19 Management Prof. Dr. Christoph Bauer CEO 20 Jahre Erfahrung in der Medienindustrie, CFO und COO bei Bertelsmann und AOL, CFO/COO bei wunderloop. Mitglied mehrerer Gruppen zu den Themen Datensicherheit und Datenschutzes (IAB EU, BVDW, BITKOM, BvD, GDD), mit einer Vielzahl an Publikationen zu Online Behavioral Targeting, Privatsphäre und Datenschutz. Akkreditierter Gutachter beim ULD, zertifizierter Prüfer ISO / Datensicherheit. Dr. Frank Eickmeier Head of Legal Rechtsanwalt und Partner der (IT/IP) Kanzlei UNVERZAGT VON HAVE, Consultant für bekannte Online-Marketing Firmen, Targeting Provider, Media Agenturen, Content Produzenten und Web 2.0 Plattformen. Publikationen zu Privatsphäre und Datenschutz, akkreditierter Gutachter beim ULD. 19

20 Sie finden uns hier Besuchen Sie uns gerne - oder rufen Sie uns an Unser Büro befindet in der schönen Hamburger Innenstadt, in direkter Nähe zur Alster. Die nächstgelegene Station heißt Jungfernstieg. Sie erreichen uns mit den S-Bahn- Linien S1, S2 und S3 - mit den U- Bahn-Linien U1, U2 und U4 - oder mit zahlreichen Buslinien. GmbH Grosse Bleichen Hamburg Germany info@eprivacy.eu Die Zeitpläne der Bahnen und Busse finden Sie hier: EPRIVACY linkedin.com/company/eprivacy-gmbh xing.com/companies/eprivacygmbh 20