Thema: und Recht

Transkript

1 Vortrag bei ISACA Thema: und Recht ermöglicht eine schnelle und kostengünstige Kommunikation mit Kunden, Partnern und Mitarbeitern. Dies führt dazu, dass die elektronische Post in der heutigen Arbeitswelt unentbehrlich geworden ist. Inhalte wie Besprechungsprotokolle, Vertragsentwürfe, Angebote, Bewerbungen und andere personenbezogene Daten werden immer häufiger per übermittelt. kann jedoch bei unbedachtem Einsatz auch zu Schaden führen. Denn der Einsatz von hat viele rechtliche Facetten (bzw. eine weitgehende rechtliche Bedeutung), z.b.: der Geschäftsabschluss per die rechtlichen Grenzen bei der Überwachung des -Verkehrs im Arbeitsverhältnis und Datenschutzrecht Einsatz von durch Berufsgeheimnisträger die Einordnung von -Disclaimern der Umgang mit unerwünschten Spam-Nachrichten die (fehlende) Beweiskraft von die Neuerungen durch die qualifizierte elektronische Signatur (digitale Signatur) Aufbewahrung und Archivierung von geschäftsrelevanten - Nachrichten C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 1 von 19 Erstelldatum 22

2 Das Recht stellt auch eine Reihe von Anforderungen an die Informationssicherheit bzw. Verlässlichkeit der Technik. Diese Rahmenbedingungen sind beim Einsatz von zu berücksichtigen. Ansonsten drohen Klagen wegen Fahrlässigkeit. Folgende Aspekte / Bereiche werden wir in den nächsten 40 Minuten betrachten: Vertragsabschluss via Aufbewahrungspflicht von s Datenschutz und Datensicherheit SPAM Diverses Vertragsabschluss via Generell Das schweizerische Obligationenrecht stellt für die meisten Verträge keine Formvorschriften auf. Verträge können also auch formlos geschlossen werden. Massgebend ist eine gegenseitige übereinstimmende Willenserklärung. Damit kann ein Vertrag auch per abgeschlossen werden. Und damit kann auch eindeutig festgehalten werden, dass ein ein Dokument mit juristischer Bedeutung ist. Die Geschäftsabwicklung per ist aber dann in Frage gestellt, wenn es um den Beweis geht, ob, wer und mit welchem Inhalt etwas per vereinbart wurde. Der Richter ist in seiner Beweiswürdigung frei. C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 2 von 19 Erstelldatum 22

3 Er entscheidet also, ob er ein unverschlüsseltes überhaupt als Beweis oder Indiz zulässt. Eine beweiskräftige Geschäftsabwicklung via kann nur durch die digitale Signatur erreicht werden. Digitale Signatur Eine von Hand geleistete Unterschrift stellt eine eindeutige Verbindung zwischen einem Schriftstück und seinem Autor her. Wie gesagt, ist dies beim nicht gegeben. Mit der digitalen Signatur wird die rechtsverbindliche Kommunikation ermöglicht. Indem Sie digitale Daten mit einer Signatur versehen, geben Sie anderen Personen die Möglichkeit, nachzuprüfen, dass die Daten von Ihnen stammen. Ausserdem kann nachgewiesen werden, ob an den Daten nachträglich Veränderungen vorgenommen worden sind. Die digitale Signatur bietet folgende Funktionen: Sicherstellung der Urheberschaft Die digitale Signatur hat in diesem Fall die gleiche Funktion wie die herkömmliche Unterschrift. Ein digital signiertes Dokument bietet die Möglichkeit, seinen Autor eindeutig festzustellen. Wenn die verwendete Signatur den Anforderungen des Signaturgesetzes genügt, hat das signierte Dokument vor Gericht die gleiche Beweiskraft wie eine handschriftlich signierte Urkunde. Dieses Prinzip wird auch als Nichtabstreitbarkeit der Urheberschaft oder Non-Repudiation bezeichnet. Sicherstellung der Integrität Nachdem ein Dokument digital signiert wurde, darf es nicht mehr verändert werden. Ohne den privaten Schlüssel des Autors ist es nicht möglich das Dokument zu verändern. Ausserdem kann ein verändertes C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 3 von 19 Erstelldatum 22

4 Dokument nicht neu signiert werden. Aus diesem Grund kann jede nachträgliche Manipulation eines digital signierten Dokumentes entlarvt werden. Aber Achtung! Dokumente mit einer digitalen Signatur sind immer noch lesbar und schützen die Vertraulichkeit und den Zugriff vor Dritten nicht. Sollen die Daten vor unberechtigter Einsicht geschützt werden, muss man sie zusätzlich verschlüsseln. Bundesgesetz über die elektronische Signatur Am 1. Januar 2005 ist das Bundesgesetz über Zertifizierungsdienste im Bereich der elektronischen Signatur in Kraft getreten. (Bundesgesetz über die elektronische Signatur, ZertES) und die ausführende Verordnung des Bundesrates (VZertES) Verträge, für die von Gesetzes wegen die Einhaltung der einfachen Schriftform (eigenhändige Unterschrift) vorausgesetzt wird, können nun auch elektronisch abgeschlossen werden (Z.B. die Abtretung einer Forderung / Lehrvertrag). Den Vertragsparteien steht es zudem offen, für Verträge, die an sich formfrei (mündlich, per unsigniertem etc.) abgeschlossen werden könnten, die einfache Schriftform als Voraussetzung zum Vertragsabschluss zu vereinbaren (Art. 16 Abs. 2 OR). Das vertraglich vereinbarte Erfordernis der einfachen Schriftform könnte mit elektronisch signierten Dokumenten eingehalten werden. Aufbewahrungspflicht von s Gesetzliche Grundlagen C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 4 von 19 Erstelldatum 22

5 Gerade weil im Geschäftsleben viel per vereinbart wird, besteht auch eine Aufbewahrungspflicht analog den Bestimmungen über schriftliche Dokumente. In den letzten Jahren haben verschiedene Erlasse die rechtlichen Rahmenbedingungen für die Aufbewahrung von geschäftsrelevanten Unterlagen erweitert. Die am in Kraft getreten Regelungen über die kaufmännische Buchführung in Art. 957 ff. OR, wie auch die Verordnung über die Führung und Aufbewahrung der Geschäftsbücher vom sehen die Möglichkeit (nicht die Pflicht!), der elektronischen Aufbewahrung vor. Art. 957 Abs. 2 OR hält fest, dass Bücher, die Buchungsbelege und die Geschäftskorrespondenz schriftlich, elektronisch oder in vergleichbarer Weise geführt und aufbewahrt werden können. Das Unternehmen hat also die Pflicht, geschäftsrelevante s während 10 Jahren aufzubewahren. Es hat aber die Wahl, ob es geschäftsrelevante s ausdrucken und physisch ablegen will oder ob es die s elektronisch archivieren will. Ein ist geschäftsrelevant, wenn es Vereinbarungen enthält, die ein Unternehmen bindet, damit Rechte und Pflichten eingeht oder finanzielle Folgen für das Unternehmen hat. Was sind die Folgen, wenn Sie s nicht archivieren? Wer Geschäftsbücher ordnungswidrig führt oder der gesetzlichen Pflicht, Geschäftsbücher, Geschäftsbriefe und Geschäftstelegramme aufzubewahren, nicht nachkommt, wird gemäss Art. 325 StGB mit Haft oder mit Busse bestraft. -Archivierung genau regeln Wer also s als Kommunikationsmittel für geschäftsrelevante Vorgänge zulässt, ohne dies genau zu regeln, wird sich mit einiger Wahrscheinlichkeit Probleme einhandeln. Für das Unternehmen bedeutet dies: C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 5 von 19 Erstelldatum 22

6 Die -Nutzung im Rahmen von Geschäftsprozessen ist genau zu beschreiben und zu dokumentieren. Für alle geschäftsrelevanten Transaktionen sollten mindestens Rückbestätigungen verlangt werden s sind durch die Benutzer zu klassieren und zu klassifizieren (Aussonderung der geschäftsrelevanten s). Journalisieren ist nicht Archivieren Viele Unternehmen setzen ein Archivierungs-Software ein, welche alle ein- und ausgehenden s speichert oder journalisiert. Man versteht also unter der Journalisierung von s die generelle Aufzeichnung von allen s und ist ein Spezialfall der Archivierung bzw. der Ablage von Geschäftskorrespondenz. Die Journalisierung löst keine Probleme, sondern schafft primär neue nämlich die Gefahr des E-Discovery und das Finden von s in einem Datenhaufen von mehreren Jahren. Jornalisieren kann als Hilfsmittel dienen, aber nur in Ergänzung der oben erwähnten Massnahmen. Ist die -Archivierung genau geregelt und funktioniert die Klassierung der s durch die Benutzer, dient die Jornalisierung vor allem der Abdeckung von Lücken, Störungen oder Fehlmanipulationen. Risiken bei der Archivierung von s Weil beim Verfassen von s die möglichen Rechtsfolgen von Äusserungen zuwenig bedacht werden, steigt das Risiko für das Unternehmen, wenn alle s langfristig aufbewahrt werden. C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 6 von 19 Erstelldatum 22

7 Deshalb ist vorauszusehen, dass in gerichtlichen Verfahren der - Verkehr zunehmend als Datenquelle ausgewertet wird (so genanntes E-Discovery). Dies kann insbesondere im Verkehr mit Partnern in den USA auch in scheinbar einfachen Gerichtsfällen zu einer grossen finanziellen und organisatorischen Belastung führen. Eine Herausgabepflicht kann sogar dann eintreten, wenn der Sachverhalt mit dem Geschäft nicht direkt zu tun hat. Unternehmen, welche sich in diesem Spannungsfeld bewegen, sollten sich darüber speziell informieren (Problem der Globalisierung). s zur Archivierung ausdrucken Als Alternative zur elektronischen Archivierung dient zweifellos das Ausdrucken und Ablegen von s und ist im Einzelfall durchaus zweckmässig. Es ist jedoch zu bedenken, dass die Beweisqualität durch den Medienbruch grundsätzlich abnimmt, indem Transferdaten und eventuelle elektronische Signaturen beim Ausdruck verloren gehen. Weisungen zur -Archivierung Die Erstellung einer Weisung zur -Archivierung ist, wie erwähnt, sehr zu empfehlen und verlangt umfassende Kenntnisse des betreffenden Unternehmens und seiner betrieblichen Abläufe. Eine Weisung sollte folgende Punkte Umfassen: Ausgangslage Grundlagen Massnahmen in Bezug auf die Erstellung C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 7 von 19 Erstelldatum 22

8 Massnahmen in Bezug auf die Aufbewahrung Massnahmen in Bezug auf die Vernichtung Dokumentenliste (Wer ist verantwortlich / Archivierungsdauer / Wo / Bemerkungen) Datenschutz Generell Das Datenschutzrecht bezweckt den Schutz der Persönlichkeit von Personen, über die Daten gesammelt und bearbeitet werden. Geschützt werden sowohl natürliche wie auch juristische Personen. s haben mehrfachen Bezug zu Personendaten. Einerseits liefern oft bereits Absender- und Empfängeradresse personenbezogene Daten, andererseits können die Inhalte persönliche oder betriebliche Informationen wiedergeben, z.b. Betriebsgeheimnisse. Datensicherheit Das Bundesgesetz über den Datenschutz (Datenschutzgesetz; DSG) verlangt, dass Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden. Es sind Massnahmen zur Gewährleistung der Vertraulichkeit, der Verfügbarkeit und der Richtigkeit der Daten zu ergreifen. Welche Massnahmen angemessen sind, überlässt der Gesetzgeber bewusst dem Anwender. Dieser hat aufgrund des Zwecks und des Umfangs der Datenbearbeitung sowie nach Prüfung möglicher Risiken für die betroffenen Personen und aufgrund des gegenwärtigen Standes der Technik über die einzusetzenden Mittel zu entscheiden. C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 8 von 19 Erstelldatum 22

9 Welche Massnahme zur Sicherung von Daten getroffen werden muss, ist also nach den konkreten Umständen im Einzelfall zu entscheiden. Je sensibler die personenbezogenen Informationen sind, desto stärkere Sicherungsmassnahmen sind verlangt. Eines ist jedoch klar: Um den Anforderungen an die Datensicherheit gerecht zu werden, müssen Mitteilungen mit sensiblen personenbezogenen Daten vor ihrer Übermittlung verschlüsselt werden. Wer solche -Nachrichten unverschlüsselt versendet, verletzt die Persönlichkeit der betroffenen Personen. Es drohen Rufschädigung, Schadenersatz- und Genugtuungsansprüche. Datengeheimnis Mit Haft oder Busse bestraft werden kann, wer vorsätzlich geheime, besonders schützenswerte Personendaten oder Persönlichkeitsprofile unbefugt bekannt gibt, von denen er bei der Ausübung seines Berufes, der die Kenntnis solcher Daten erfordert, erfahren hat (Art. 35 DSG; Verletzung der beruflichen Schweigepflicht). Im Unterschied zur in Art. 321 StGB geregelten Verletzung des Berufsgeheimnisses braucht es zur Verletzung des Datengeheimnisses keine bestimmte Berufszugehörigkeit. Das Antragsdelikt kommt jedoch nur dann zur Anwendung, wenn vorsätzlich besonders schützenswerte Personendaten oder Persönlichkeitsprofile bekannt gegebene wurden. Unter die besonders schützenswerten Personendaten fallen religiöse, weltanschauliche, politische Ansichten, Informationen zur Gesundheit und zur Intimsphäre einer Person, Rassenzugehörigkeit, Massnahmen der sozialen Hilfe sowie Daten über administrative oder strafrechtliche Verfolgungen und Sanktionen. Persönlichkeitsprofile sind Zusammenstellungen von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt, z.b. Kundenprofile. Strafbar ist nur die vorsätzliche Bekanntgabe. Unter Bekanntgeben versteht das Datenschutzgesetz das Zugänglichmachen von C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 9 von 19 Erstelldatum 22

10 Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen (Art. 3 DSG). Unverschlüsselte s gewähren eine solche Einsichtnahme. Die Kenntnis um die fehlende Vertraulichkeit von unverschlüsselten E- Mails ist heute dem Allgemeinwissen zuzurechnen. Der Versender von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen handelt zumindest eventualvorsätzlich - und damit strafbar. Das Datengeheimnis nach Art. 35 DSG kann durch den Versand unverschlüsselter -Nachrichten verletzt werden. Dem Versender drohen Haft oder Busse. Private am Arbeitsplatz Im Zusammenhang mit der Nutzung von am Arbeitsplatz stellen sich viele Fragen: Darf mein Vorgesetzter meine s lesen? Darf ich am Arbeitsplatz das Internet für private Zwecke verwenden? Wer ist verantwortlich, wenn ein Virus eingeschleppt wird? Der Eidgenössische Datenschutzbeauftragte (EDSB) setzt sich seit mehreren Jahren mit der Problematik der Internet- und - Überwachung am Arbeitsplatz auseinander. Für die -Überwachung gelten die mehr oder weniger gleichen Grundsätze wie für die klassische Papierpost welche für private Post am Arbeitsplatz einen uneingeschränkten Schutz bieten. Ähnlich wie bei Post und Telefon darf der Arbeitgeber aufgrund des Persönlichkeitsschutzes und des Verhaltensüberwachungsverbotes keine Einsicht in den Inhalt privater s des Arbeitnehmers haben. Eine automatisierte Unterscheidung zwischen privaten und geschäftlichen s ist aber kaum möglich. C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 10 von 19 Erstelldatum 22

11 Private s sind vom Absender demzufolge durch eine Vermerkoption privat zu kennzeichnen. Wenn kein Unterscheidungsvermerk zwischen privaten und beruflichen s besteht und die private Natur eines s aufgrund der Adressierungselemente nicht erkennbar und nicht anzunehmen ist, darf der Arbeitgeber analog den klassischen Postsendungen davon ausgehen, dass das beruflich ist. Bestehen Zweifel über die Natur eines s, ist sie mit dem Angestellten zu klären. Ist die private -Nutzung am Arbeitsplatz untersagt, verzichtet der Arbeitnehmer am besten darauf. Eine vollständige Verhinderung eingehender privater s ist hingegen nicht möglich. Der Arbeitgeber muss sich bewusst sein, dass er den Arbeitnehmer nicht für den Eingang aller privater s verantwortlich machen kann. Das Postgeheimnis gilt aber auch, wenn die private -Nutzung am Arbeitsplatz untersagt ist. und Verschwiegenheitspflicht In vielen Vertragsbeziehungen ist Vertraulichkeit die Basis der Zusammenarbeit. Die Verschwiegenheit kann vertraglich festgelegt oder von Gesetzes wegen vorgeschrieben sein. Bei Berufsgeheimnisträgern wie Ärzten oder Rechtsanwälten sind die Geheimhaltungspflichten so bestimmend, dass ihre Verletzung mit Busse oder Gefängnis geahndet wird. und Berufsgeheimnisträger Berufsgeheimnisträger werden aufgrund Ihres besonderen Vertrauensverhältnisses zu Ihren Klienten gesetzlich und C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 11 von 19 Erstelldatum 22

12 standesrechtlich in die Pflicht genommen. Es handelt sich dabei insbesondere um Rechtsanwälte, Ärzte, Apotheker, Revisoren, Geistliche etc. Der Versand unverschlüsselter s wird dem besonderen Vertrauensverhältnis und den Geheimhaltungspflichten der Berufsgeheimnisträger nicht gerecht. Die Verletzung des Berufsgeheimnisses wird strafrechtlich mit Gefängnis oder Busse bestraft. SPAM Rechtliche Würdigung von SPAM Das Versenden unverlangter Werbe- s ist in der Schweiz, im Gegensatz zur EU, noch nicht durch ein Spezialgesetz oder eine Spezialbestimmung geregelt. Auf Anträge aus dem Parlament hat der Bundesrat reagiert und dem Parlament eine Änderung des UWG unterbreitet. Er schlägt eine Opt-In Lösung und damit faktisch ein Verbot von unverlangten Massenwerbesendungen per oder SMS vor. Nach in Kraft treten dieses Gesetztes müssen demnach Absender von Massenwerbung vor dem Versand die Einwilligung der Empfänger einholen (Opt-In Modell), es sei denn, es handle sich bei den Empfängern der s um bereits bestehende Kundinnen und Kunden. SPAM in der EU Die Richtlinien der EU verlangten seit Juli 2002 (Datenschutzrichtlinie für elektronische Kommunikation) Folgendes: C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 12 von 19 Erstelldatum 22

13 Werbe- s (Spam) und andere Arten von Direktwerbung (Fax, automatische Anrufsysteme) dürfen nur mehr bei (vorheriger) Einwilligung der Teilnehmer verschickt werden. Zulässig bleiben jedoch unverlangte Werbe- an Personen, mit denen bereits eine Geschäftsbeziehung besteht, beispielsweise an Kunden eines Versandhandels. Der Kunde kann jedoch jederzeit die Einstellung künftiger Sendungen verlangen (Opt-Out). Juristisch kann ein Opfer von SPAM erst etwas unternehmen, wenn er den Versender von SPAM auffordert, ihn von weiteren Sendungen zu verschonen und er danach weiterhin bombardiert wird (Verstoss gegen das UWG). Diverses Rechtliche Hinweise in der Signatur (Disclaimer) Ein falscher Mausklick, und ein landet irgendwo, nur nicht beim gewünschten Empfänger. Während der Sender eines Briefes wenigstens noch davon ausgehen kann, dass der Brief verschlossen und damit der Inhalt geheim bleibt, weil vom Postgeheimnis geschützt, besteht wie beim Telefax das Problem, dass ein Mail von jedem, der es in der Mailbox empfängt, lesbar ist. Immer häufiger sieht man nun rechtliche Hinweise oder so genannte Disclaimer, wie das folgende Beispiel: Diese Mitteilung sowie ev. Beilagen enthalten vertrauliche Informationen, welche ausschliesslich für den/die oben erwähnten Empfänger bestimmt sind. Falls Sie diese Mitteilung irrtümlich erhalten haben, machen wir Sie darauf aufmerksam, dass eine Veröffentlichung, Vervielfältigung, Verteilung oder Nutzung der Mitteilung und ev. Beilagen gegen Zivil- und/oder Strafrecht verstossen kann. Wir bitten Sie um umgehende Information auf: Tel +41 (0) , Fax +41 (0) Vielen Dank C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 13 von 19 Erstelldatum 22

14 Haben solche Disclaimer überhaupt eine Wirkung und wie ist die rechtliche Würdigung? Es ist bezeichnend, dass diese rechtlichen Hinweise/Disclaimer aus dem Mutterland der rechtlichen Warnungen auf allen möglichen Produkten, den USA, stammen. Rechtliche Hinweise sollen nun den Empfänger verpflichten, die Mitteilung für sich zu behalten. Nur: Den eigentlichen Fehler beging der Sender, nicht der Empfänger, und für diesen muss auch der Sender gerade stehen (etwa, wenn der eigentlich vorgesehene Empfänger zu Schaden kommt). -Disclaimer dürfen grundsätzlich von jedem verwendet werden. Zivilrechtliche Verpflichtungen des Empfängers lassen sich bei fehlgeleiteten s aber meist nicht ableiten. Die an den Empfänger der gerichtete Bitte, den Absender über den Irrtum zu informieren, verpflichtet den Empfänger nicht. Andere Äusserungen, wie das Festhalten eines Verbots der Verwendung des irrtümlich erhaltenen s, die Verpflichtung zur vertraulichen Behandlung, eine Rechtswahl und ein allfälliger Gerichtsstand sowie die Verpflichtung das zu löschen, stellen Willenserklärungen des Absenders dar. Vertragsrechtlich können sie als Offerte bzw. Angebot angesehen werden. Damit sich der irrtümliche Empfänger bindet, braucht es nun seinerseits eine zustimmende Erklärung. Die meisten irrtümlich zugestellten s werden sofort gelöscht oder der Disclaimer wird ignoriert. Stillschweigen des unbekannten Empfängers kann hier nicht als Akzept angesehen werden. In manchen -Disclaimern finden sich auch Hinweise auf zwingendes Gesetzesrecht, dessen Verstoss strafrechtlich relevant sein C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 14 von 19 Erstelldatum 22

15 kann. Z.B. das Verbot der Veröffentlichung urheberrechtlich geschützter Informationen, die irrtümlich zugestellt wurden. Solche Vorschriften gelten jedoch unabhängig davon, ob dies im Disclaimer des s erwähnt werden oder nicht. Eine Aufklärung über die Gesetzeslage kann im Hinblick auf eine abschreckende Wirkung Sinn machen. Das Festhalten von möglichen Freiheitsstrafen ist im allgemeinen Geschäftsverkehr jedoch eher kontraproduktiv. Zusammenfassend lässt sich festhalten, dass -Disclaimer aus rechtlicher Sicht weitestgehend entbehrlich sind. Auf alle Fälle genügen sie nicht, um die Vertraulichkeitsanforderungen an Berufsgeheimnisträger zu erfüllen. Werden vertrauliche Informationen publik, weil sie in falsche Hände geraten, wird ein Disclaimer nicht viel nützen und strafbar macht sich der Versender auch mit Disclaimer. Besser ist es, sich vorher zu überlegen, ob die Daten verschlüsselt oder auf sicherem Weg (Brief / Kurier) verschickt werden sollen. Mobbing per Computer erleichtern den Büroalltag. Doch sie ermöglichen auch eine besonders hinterhältige Form der Fertigmacherei: das PC-Mobbing. Mobbing umfasst alle Formen von Psychoterror am Arbeitsplatz. Dort wo am Computer gearbeitet wird, hat sich mit dem PC-Mobbing ein besonders perfider Auswuchs breit gemacht. Beim PC-Mobbing nutzt der Täter den Computer oder die Internet- Leitung, um sein Opfer heimlich auszuspionieren, um es zu erniedrigen oder dessen Arbeit zu sabotieren. C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 15 von 19 Erstelldatum 22

16 Dazu eignen sich Internet / Intranet und -Systeme besonders gut und es gelingt dem Täter häufig, anonym zu bleiben. Denn Manipulationen am PC sind einfacher, als man gemeinhin annimmt. Je besser der Angreifer mit der Computer-Technik vertraut ist, desto leichter fällt es ihm, in das System des Opfers einzudringen und Daten zu manipulieren, zu stehlen oder zu löschen. Was sind die rechtlichen Folgen: Das Mobbing-Opfer leidet unter zunehmendem Psychostress und wird oft krank und der Täter riskiert seine Karriere, denn Datensabotage führt bei eindeutigem Nachweis zur fristlosen Kündigung. Der Arbeitgeber verletzt die Fürsorgepflicht gegenüber seinen Mitarbeitern, falls er nicht konsequent und kompromisslos gegen PC- Mobbing Massnahmen ergreift. Die Massnahmen können organisatorischer oder technischer Natur sein -Policy schafft Verbindlichkeit Mehr als 90% der Unternehmen und Behörden nutzen -Systeme, aber nur ein Bruchteil davon hat die Nutzung geregelt. Konflikte sind deshalb oft vorprogrammiert. Definieren Sie verbindliche Richtlinien ( -Policy) für den Gebrauch und die Gestaltung von s. Erstellen Sie ein Handbuch, welches jedem Mitarbeiter verteilt wird. So lange im Unternehmen nicht klar ausgesprochen und schriftlich festgelegt wurde, was in der -Kommunikation erwünscht, erlaubt und verboten ist, wird jeder subjektive Auslegungen und Vermutungen anstellen, mit möglicherweise fatalen Folgen. Eine -Policy schafft für alle Beteiligten Verbindlichkeiten und umfasst den gesamten Kommunikationsprozess. Ziel ist es: C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 16 von 19 Erstelldatum 22

17 Die vertraulichen Daten und die Kommunikation des Unternehmens zu schützen. Den Ruf des Unternehmens zu bewahren. Den Eingriff in die Privatsphäre des Mitarbeiters möglichst gering zu halten. Die Effektivität des -Systems zu gewähren. Den angemessenen Gebrauch festzuschreiben (Verhältnis zwischen privaten und geschäftlichen Mails). Bilden Sie schliesslich Ihre Mitarbeiter im Umgang und in der Handhabung der -Policy aus, damit diese auch wirksam ist und nicht nur ein Papiertiger bleibt. Haftung aus Virenverbreitung Aufgrund der technischen Entwicklungen in der Informationstechnologie in den letzten Jahrzehnten wurden auch die Möglichkeiten für kriminelle Handlungen auf diesem Gebiet immer zahlreicher. Allerdings fehlte lange Zeit eine gesetzliche Grundlage, um solche Delikte zu bestrafen. Der Gesetzgeber konnte seinerzeit solche neuartigen Delikte nicht voraussehen und somit auch nicht unter Strafe stellen. Und für eine Tat, die nicht ausdrücklich verboten ist, kann auch niemand bestraft werden wurden diese Lücken im Strafrecht mit den Strafgesetzbuch- Neuerungen im Abschnitt über strafbare Handlungen gegen das Vermögen geschlossen. Der neue Artikel ist angelehnt an Art. 144 (Sachbeschädigung), bezieht sich aber speziell auf den Tatbestand der Datenbeschädigung und der Virenverbreitung. C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 17 von 19 Erstelldatum 22

18 Wichtig ist die Tatsache, dass nur jene Tätigkeiten unter Strafe gestellt sind, die vorsätzlich begangen werden. Eine Person muss wissen oder annehmen, dass es sich bei den betreffenden Programmen um Sabotageprogramme handelt. Wer Computerviren lediglich verbreitet, unabsichtlich und unwissend, um was für Programme es sich handelt, wird nicht bestraft. Gemäss Art. 41 Abs. 1 OR ist derjenige, der einem anderen widerrechtlich Schaden zufügt, sei es absichtlich oder fahrlässig, diesem zum Ersatz verpflichtet. Folglich müssen für eine Verschuldenshaftung folgende Voraussetzungen erfüllt sein: Schaden: Ein Schaden bedeutet eine unfreiwillige Einbusse, die jemand an seinem Vermögen erleidet. Im Falle einer Infektion mit Computerviren können verschiedene Schadensarten auftreten. Einerseits muss der Aufwand, um die zerstörten Daten zu reparieren bzw. wiederzubeschaffen berücksichtigt werden. Andererseits können auch Folgeschäden auftreten, wie zum Beispiel entgangener Gewinn, wenn in einer Firma ein System ausfällt. Widerrechtlichkeit: Widerrechtlich ist entweder die Verletzung absoluter Rechte (Persönlichkeits- oder Eigentumsverletzung) oder die Verletzung einer zwingenden Rechtsnorm, die zum Schutz eines anderen aufgestellt ist und ein Verhalten vorschreibt, das Schädigungen vermeidet. In Betracht kommen vor allem Vorschriften aus dem Bereich des Strafrechts, so zum Beispiel für den Computerviren-Tatbestand Art. 144bis über die Datenbeschädigung Vorsatz oder Fahrlässigkeit: Vorsatz ist das absichtliche Herbeiführen eines Schadens. Fahrlässig handelt derjenige, der die im Verkehr erforderliche Sorgfalt ausser Acht lässt. Dabei müssen persönliche Kenntnisse und Fähigkeiten, die über dem Durchschnitt liegen, C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 18 von 19 Erstelldatum 22

19 zusätzlich berücksichtigt werden. So dürfen zum Beispiel von einem EDV-Spezialisten mehr Kenntnisse über Virenschutzmassnahmen erwartet werden als von einer Sekretärin. Adäquater Kausalzusammenhang: Ein adäquater Kausalzusammenhang liegt dann vor, wenn die Ursache nach dem gewöhnlichen Lauf der Dinge und der allgemeinen Lebenserfahrung geeignet ist, den eingetretenen Erfolg zu bewirken. Art. 41 Abs. 1 OR kann man in Anlehnung an den Computerviren- Tatbestand wie folgt interpretieren: Wer virenverseuchte Programme vorsätzlich oder fahrlässig verbreitet und somit das Eigentum (z.b. Hardware) oder ein sonstiges Recht (z.b. das Nutzungsrecht an einer Software) eines anderen widerrechtlich verletzt, ist zum Ersatz des daraus entstandenen Schadens verpflichtet. C:\1Daten WKN\01 Aktuelle Projekte\ISACA\Vortrag bei ISACA.doc Seite 19 von 19 Erstelldatum 22