Datenspuren im Internet

Transkript

1 Sorgfaltspflichten des Treasurers bei der Nutzung von Internet-Diensten fsdz Lukas Fässler Rechtsanwalt & Informatikexperte Rechtsanwälte Fässler Sidler Dehmer Zgraggen Artherstrasse 23a, 6300 Zug Mainaustrasse 19, 8034 Zürich Patrick Hofmann terreactive AG Rathausgasse 31 CH-5001 Aarau Phone: ++41 (0) Fax: ++41 (0)

2 Moderne IT-Systeme sind zunehmend Ziel von Angriffen durch Unbefugte Offenheit der Systeme (LAN, WAN, Internet & Intranet) vereinfachen Hacker-Attacken und Datendiebstahl Geschäftsgeheimnisse, Marketingpläne, Kundendaten, Angebote, Konstruktionspläne etc. sind bevorzugte Angriffsobjekte und niemand merkt etwas davon!!

3 Empfang kompromitierender Abstrahlung von Bildschirmen

4 Anleitungen für Viren / Cookies und andere schädliche Programme

5 1. Technische Herausforderung 2. Rechtliche Beachtungspunkte 3. Selbstschutz - Möglichkeiten

6 Technische Herausforderung Gefahren in einer vernetzten Welt Dr. Patrick Hofmann TerreActive AG

7 Rechtliche Beachtungspunkte Arbeitsvertragsrecht Sonderstellung als Mitglied der GL Der Staat lauscht mit Selbstschutzmöglichkeiten

8 Sorgfalts- und Treuepflichten des Arbeitnehmers Art. 321a OR Der Arbeitnehmer hat die ihm übertragene Arbeit sorgfältig auszuführen und die berechtigten Interessen des Arbeitgebers in guten Treuen zu wahren. Er hat Maschinen, Arbeitsgeräte, technische Einrichtungen und Anlagen sowie Fahrzeuge des Arbeitgebers fachgerecht zu bedienen und diese sowie Material, die ihm zur Ausführung der Arbeit zur Verfügung gestellt werden, sorgfältig zu behandeln. Der Arbeitnehmer darf geheim zu haltende Tatsachen, wie namentlich Fabrikations- und Geschäftsgeheimnisse, von denen er im Dienst des Arbeitgebers Kenntnis erlangt, während des Arbeitsverhältnisses nicht verwerten oder anderen mitteilen; auch nach dessen Beendigung bleibt er zur Verschwiegenheit verpflichtet, soweit es zur Wahrung der berechtigten Interessen des Arbeitsgebers erforderlich ist.

9 Umgang mit PC-Infrastruktur unterliegt Sorgfaltspflicht. Geheimhaltungspflicht verlangt hohes Mass an Sicherheits- und Schutzmassnahmen. Geheimhaltung unterliegende Fabrikations- und Geschäftsgeheimnisse müssen vor unbefugtem Drittzugang geschützt werden. Wenn der Arbeitgeber nicht selber umfassende Schutzmassnahmen erlässt (Weisungen, Richtlinien, Sicherheitsschleusen, Viren- und Zugriffschutz), ist der Arbeitnehmer verantwortlich für die ihm zur Verfügung gestellte Infrastruktur und seine Handlungen.

10 Befolgung von Anordnungen und Weisungen Art. 321 d OR Der Arbeitgeber kann über die Ausführung der Arbeit und das Verhalten der Arbeitnehmer im Betrieb oder Haushalt allgemeine Anordnungen erlassen und ihnen besondere Weisungen erteilen. Der Arbeitnehmer hat die allgemeinen Anordnungen des Arbeitgebers und die ihm erteilten besonderen Weisungen nach Treu und Glauben zu befolgen.

11 1. Weisungen zum Umgang mit Internet und am Arbeitsplatz 2. Weisungen zur privaten Nutzung der Internet-Dienste 3. Weisungen zur Überwachung der Internet-Dienste durch Arbeitgeber

12 Als Mitglied der GL in Geschäftsgeheimnisse eingebunden Erhöhte Sorgfalts- und Treuepflichten bei Benutzung der PC-Infrastruktur (Verschlüsselung von ; Verschlüsselung von gespeicherten Daten etc.) Höhere Anforderungen an Mitverantwortung bezüglich Bereitstellung geschützter und gesicherter Arbeitsplätze für die Mitarbeiter Mitverantwortung für den Erlass von Weisungen im Umgang mit Informatik- Infrastruktur, wenn diese Kommunikation über öffentliche Netze zulässt (Schutz des Unternehmens vor Datenklau und Mithören) Entlastung in Verantwortung durch trusted third party audits bezüglich Datenschutz- und Datensicherheitsmassnahmen (intrusion detection, Massnahmenplan, Umsetzung, IST-Soll Vergleich)

13 Haftung des Arbeitnehmers Art. 321e OR Der Arbeitnehmer ist für den Schaden verantwortlich, den er absichtlich oder fahrlässig dem Arbeitgeber zufügt. Das Mass der Sorgfalt, für die der Arbeitnehmer einzustehen hat, bestimmt sich nach dem einzelnen Arbeitsverhältnis, unter Berücksichtigung des Berufsrisikos, des Bildungsgrades oder der Fachkenntnisse, die zu der Arbeit verlangt werden, sowie der Fähigkeiten und Eigenschaften des Arbeitnehmers, die der Arbeitgeber gekannt hat oder hätte kennen sollen. Wer Weisungen oder Richtlinien des Arbeitgebers nicht beachtet oder die von ihm verlangten Sicherheits- oder Schutzmassnahmen nicht anwendet, handelt grobfahrlässig und haftet für sein Verhalten. Konsequenzen: -> bis zu fristloser Kündigung des Arbeitsverhältnisses mit Schadenersatz für den nachgewiesenen Schaden

14 Der Staat lauscht mit BG betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) per (Art ) Vo über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF) per (Art ) Gilt für die Überwachung des Post- & Fernmeldeverkehrs, die angeordnet und durchgeführt wird, im Rahmen eines Strafverfahrens des Bundes oder eines Kantons, zum Vollzug eines Rechtshilfeersuchens nach dem Rechtshilfegesetz (SR 351.1). Dienst für Besondere Aufgaben (DBA) im Departement Leuenberger

15 Provider müssen Informationen über den Verkehr während 6 Monaten aufbewahren. Ab müssen Provider die Überwachungsdaten an DBA weiterleiten. Dieser speichert sie in einer Datenbank, in der die Behörden die Daten einsehen können. Noch weitergehende Forderungen Nationalrat: Motion Alexander J. Baumann (SVP) vom : Effizienz in der Terrorismusbekämpfung Ergänzungen der BÜPF um weitere Tatbestände wie Schreckung der Bevölkerung (Antrax-Briefe), Verbreitung von menschlichen Krankheiten und Tierseuchen. Ständerat: Postulat zur Registrierung von Handybesitzern mit Prepaid-Karten (am BR angenommen)

16 Beispiele von Selbstschutz-Massnahmen Arbeitsplatz-Selbstdiagnose bezüglich Zugriffsmöglichkeiten Sicherheits-Einstellungen Ihres Browser überprüfen

17 Beispiele von Selbstschutz-Massnahmen Passwort abcdefg0123 Verschlüsselungs-Software 30-Tage Trial-Version Passwort abcdefg0123

18 Beispiele von Selbstschutz-Massnahmen Virenschutz Internet- Sicherheit Symantec Security Check Firewall- Schutz

19 Beispiele von Selbstschutz-Massnahmen Biometrische Systeme Finger print detection Smart-Harddisks Data protection Smart Card Systems Card protection Kensington micro saver Physischer Geräteschutz

20 Zusammenfassung Arbeitnehmer muss Sorgfaltspflichten beachten & Weisungen einhalten Arbeitnehmer muss Geheimhaltungspflichten beachten Arbeitgeber muss Weisungen erlassen Arbeitgeber muss Systeme / Infrastruktur umfassend schützen 1. Infrastruktur Risk-Management a) Technischer Sicherheits-Checkup b) rechtliche Checkup 2. Trusted third party audits 3. Massnahmen umsetzen und dokumentieren 4. Schulung und Instruktion an Mitarbeiter 5. im privaten Umfeld Schutzbedarf nicht vernachlässigen

21 Folienvortrag Teil 1 & 2 Sicherheitseinstellungen für den Browser Zusammenstellung einiger Schutzmassnahmen gegen unbefugte Angriffe auf IT-Systeme Leitfaden über Internet- & Überwachung am Arbeitsplatz Lukas Fässler Rechtsanwalt & Informatikexperte Rechtsanwälte Fässler Sidler Dehmer Zgraggen Artherstrasse 23a, 6300 Zug Mainaustrasse 19, 8034 Zürich faessler@fsdz.ch Patrick Hofmann terreactive AG Rathausgasse 31 CH-5001 Aarau Phone: ++41 (0) Fax: ++41 (0)