Datensicherheit und Datenschutz von ehealth Apps

Transkript

1 Datensicherheit und Datenschutz von ehealth Apps Analyse von ca. 730 Apps auf Datensicherheit und Datenschutz eprivacy GmbH, ConHIT Berlin, April 2015

2 eprivacy Wir bieten Beratungen und Prüfungen in den Bereichen Datensicherheit, Datenschutz und Compliance... Datenschutzrechtliche und technische Gestaltung von digitalen Geschäftsmodellen... Expertise in digitalen Geschäften wie ehealth, Onlinemarketing, Offline/Online-Daten, Big Data, etc.... Zertifikate für Unternehmen und Produkte bei vorbildlichem Datenschutz... Unabhängigkeit, Spezialisierung auf digitale Geschäfte in Deutschland und Europa 2015 eprivacy 2

3 Referenzen Leading Companies in digital business in Europe and Germany 2015 eprivacy 3

4 eprivacy 2015 eprivacy 4

5 Hintergrund der Überprüfung von Datensicherheit und Datenschutz von Apps Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) gab Juni 2013 auf Grundlage des deutschen Datenschutzrechts Hinweise an die Anbieter zur Entwicklung und zum Betrieb von Apps heraus. Die Anforderungen beziehen sich auf die Art der Einbindung der Aufklärung über Datenschutz, auf Inhalt und Gestaltung der App und auf die Möglichkeit, den App-Anbieter zu kontaktieren. Zudem hat das BayLDA Sommer 2014 eine Orientierungshilfe zu den Datenschutz-Anforderungen an App-Entwickler und App-Anbieter veröffentlicht, die die Anforderungen an Datenschutz und Datensicherheit bei Apps darstellt. eprivacy hat auf dieser Basis ein Prüfverfahren (eprivacyapp) entwickelt, mit dem die Sicherheit von Apps geprüft und verbessert werden kann eprivacy 5

6 Mobile Apps Aktuelle Fälle Quelle: eprivacy 6

7 Mobile Apps Aktuelle Fälle Quelle: eprivacy 7

8 Mobile Apps Aktuelle Fälle 2015 eprivacy 8

9 Studie Einleitung Zertifizierungssystem eprivacyapp zur Analyse von Datensicherheit und Datenschutz von Apps Untersuchungszeitraum: Oktober 2014 bis Februar 2015 Ca. 730 Apps verschiedenster Kategorien wurden in Labortests überprüft Apps der Betriebssysteme ios (43%) und Android (57%) wurden überprüft Im Detail untersuchte Kategorien: Mobile Banking, Kommunikation, Social Media und ehealth (Health und Fitness) 2015 eprivacy 9

10 Testablauf Datensicherheit " Kommuniziert die App über eine SSL Verbindung? " Konnten persönliche Informationen über die App ausgelesen/abgefangen werden? " Besitzt die App einen Schutz vor einem Man-In-The-Middle Angriff? Datenschutz " Verfügbarkeit der Datenschutzerklärung über die App " Verfügbarkeit der Datenschutzerklärung vor und nach einem Login " Versionierung der Datenschutzerklärung 2015 eprivacy 10

11 Apps ohne Datenschutzerklärung Apps without data rpivacy delcara3on 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% All Mobile Banking Communica=on Social Media E- Health Quelle: eprivacy, 2015, Studie: Datensicherheit und Datenschutz bei Apps 2015 eprivacy 11

12 Testablauf Datensicherheit " Kommuniziert die App über eine SSL Verbindung? " Konnten persönliche Informationen über die App ausgelesen/abgefangen werden? " Besitzt die App einen Schutz vor einem Man-In-The-Middle Angriff? Datenschutz " Verfügbarkeit der Datenschutzerklärung über die App " Verfügbarkeit der Datenschutzerklärung vor und nach einem Login " Versionierung der Datenschutzerklärung 2015 eprivacy 12

13 Frage: Wozu benötigt meine App einen Schutz vor einem Man-In-The-Middle Angriff? 2015 eprivacy 13

14 Angriffsszenario Blutzuckerspiegel Messgeräte " Es existieren Peripheriegeräte für Smartphones/Tablets, mit welchen der Blutzuckerspiegel des Nutzers ÜBER EINE APP ermittelt werden kann. " Durch eine Manipulation des Datenverkehrs können hierbei falsche Messergebnisse angezeigt und im schlimmsten Fall eine falsche Medikamentendosis intravinös eingenommen werden. Image: eprivacy 14

15 Angriffsszenario Anzahl der medizinischen Apps, welche keinen Schutz vor einer Manipulation des Datenverkehrs implementiert haben: 2015 eprivacy 15

16 Angriffsszenario Anzahl der medizinischen Apps, welche keinen Schutz vor einer Manipulation des Datenverkehrs implementiert haben: 100% (Android & ios) Quelle: eprivacy, 2015, Studie: Datensicherheit und Datenschutz bei Apps 2015 eprivacy 16

17 Apps ohne SSL Kommunikation 100% Apps without SSL communica3on 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% E- Health Business Travel Media und Video 2015 eprivacy 17

18 Zertifizierung Gerade im Bereich ehealth werden vertraulichste Informationen über genutzte Medikamente, Dosierungen, Namen, Ärzte, uvm. übermittelt und gerade hier sollte Datensicherheit und Datenschutz groß geschrieben werden eprivacy 18

19 Vertrauen in Apps erhöhen durch... " Unabhängige Überprüfung durch eprivacy " Erlangung eines Gütesiegels durch durch Zertifizierung " Zertifizierung nach Vorgaben des BayLDA 2015 eprivacy 19

20 eprivacyapp Das Konzept 2015 eprivacy 20

21 eprivacyapp Zertifizierung 1) Zertifizierungsprozess " Automatisierte und manuelle Prüfungen " über 100 Prüfkriterien, offener Kriterienkatalog 2) Dokumentation " Detaillierte Methodenbeschreibungen " Konkrete Handlungsempfehlungen 3) Gütesiegel eprivacyapp (optional) " Siegel für TRUSTED PRIVACY " Anforderungen müssen erfüllt sein " Ist dies geschehen, wird das Gütesiegel erteilt 2015 eprivacy 21

22 Ist die Studie einsehbar? 1 2 Studie zum kostenlosen Download auf: eprivacy 22

23 Kontakt Prof. Dr. Christoph Bauer Geschäftsführer eprivacy GmbH Große Bleichen Hamburg Michael Eckard Head of Research & App-Testing eprivacy GmbH Große Bleichen Hamburg Tel Mobil Tel Mobil