2. Fachtag der Technischen Bildung. Datenschutz und IT-Sicherheit in Industrie 4.0

Transkript

1 2. Fachtag der Datenschutz und IT-Sicherheit in Industrie 4.0

2 Was ist Industrie 4.0 überhaupt?

3 Ein Buzzword Industrielle Revolution auf Basis cyber-physischer Systeme Die Zukunft

4 Ein Buzzword Industrielle Revolution auf Basis cyber-physischer Systeme Die Zukunft

5 Definitionsversuche

6 Definitionsversuche: Industrie 4.0 ist ein Marketingbegriff Zukunftsprojekt der deutschen Bundesregierung Individualisierung bzw. Hybridisierung der Produkte und die Integration von Kunden und Geschäftspartnern in die Geschäftsprozesse Quelle: Gablers Wirtschaftslexikon

7 Definitionsversuche: Industrie 4.0 ist ein Megatrend, an dem kein Produzent vorbei kommt Reale und virtuelle Welt, Mensch und Maschine werden noch stärker verschmelzen und ständig miteinander kommunizieren Intelligente Roboter finden eigenständig Lösungen. Und das im laufenden Fertigungsprozess um auf Kundenwünsche oder ein verändertes Marktumfeld noch schneller zu reagieren als bisher Quelle: mittelstand DIE MACHER

8 Definitionsversuche: Das Zukunftsprojekt Industrie 4.0 zielt darauf ab, die deutsche Industrie in die Lage zu versetzen, für die Zukunft der Produktion gerüstet zu sein Sie ist gekennzeichnet durch eine starke Individualisierung der Produkte unter den Bedingungen einer hoch flexibilisierten (Großserien-) Produktion Kunden und Geschäftspartner sind direkt in Geschäfts- und Wertschöpfungsprozesse eingebunden Mit intelligenteren Monitoring- und Entscheidungsprozessen sollen Unternehmen und ganze Wertschöpfungsnetzwerke in nahezu Echtzeit gesteuert und optimiert werden können Quelle: Bundesministerium für Bildung und Forschung (BMBF)

9 Eigenschaften von Industrie 4.0

10 Eigenschaften von Industrie 4.0 Losgröße: 1/ Individualisierung Monitoring und Entscheidungsprozesse in Echtzeit Wertschöpfungsprozess Vernetzung von Welt, Mensch und Maschine Integration von Kunden und Geschäftspartnern

11 Eigenschaften von Industrie 4.0 Losgröße: 1/ Individualisierung Monitoring und Entscheidungsprozesse in Echtzeit Wertschöpfungsprozess Vernetzung von Welt, Mensch und Maschine Integration von Kunden und Geschäftspartnern Integration von Mitarbeitern?

12 Bausteine der Industrie 4.0 Sensoren Aktoren Kommunikationsmodule und architektur Datenverarbeitungsinstanzen Datenverarbeitungszwecke und Anwendungsszenarien Ideen

13 Vorhersagen für verbundene Dinge im Jahr in Milliarden , ABIresearch Cisco Gartner IDC Intel Juniper Research

14 Was bedeutet Industrie 4.0 für das eigene Arbeitsumfeld

15 Szenarien

16 Szenario 1

17 Szenario 1 Kunde bestellt individuell (Losgröße 1) Smart Factory plant den Produktionsprozess: Produktionsort (Fabrikauswahl) Ressourcenbestellung notwendige Mitarbeiter Qualifikation Arbeitsgeschwindigkeit Verfügbarkeit (Urlaub, Krankheit) Belastbarkeit/Einsatzfähigkeit

18 Datenschutzrechtliche Fragen Werden personenbezogene Daten erhoben? Werden personenbezogene Daten gespeichert? Wie werden die Daten wo verarbeitet und zu welchen Zwecken? Wie automatisiert sind Entscheidungen in der Industrie 4.0?

19 Personenbeziehbarkeit durch Sensordaten: Unmittelbare Personenbeziehbarkeit der gemessenen Daten Sensoren erheben direkt biometrische Daten Videokameras Mikrofonarrays Direkte Erfassung von Identifikationsmerkmalen Personenbeziehbarkeit durch den Kontext der Erhebung Smarter Bewegungsmelder im öffentlichen Raum (-) Smarter Bewegungsmelder am Einzelarbeitsplatz (+)

20 Personenbeziehbarkeit durch Nutzungsdaten: Was muss die Industrie 4.0 über einzelne Mitarbeiter wissen? Werden personenbezogene Daten künftig aus andern Systemen (HR/ERP) über Schnittstellen eingebunden? Qualifikation Arbeitsgeschwindigkeit Schulung und Unterweisung Eignung Verfügbarkeit (Urlaub, Krankheit) Belastbarkeit/Einsatzfähigkeit Oder werden Daten durch das System selbst erhoben und bewertet (Wissensstand des Mitarbeiters ermitteln um bedarfsgerechte Hilfestellung geben zu können)

21 Rechtliche Grundlagen der Datenverarbeitung Sofern personenbezogene Daten betroffen, gilt das Verbot mit Erlaubnisvorbehalt aus 4 Abs. 1 BDSG.

22 Rechtliche Grundlagen der Datenverarbeitung 32 BDSG im Beschäftigungsverhältnis. Einwilligung als Rechtsgrundlage im Beschäftigungsverhältnis kaum möglich. Betriebsvereinbarung. Fragen: Was ist zur Durchführung des Beschäftigungsverhältnisses erforderlich? Wie werden die Betroffenenrechte gewahrt (u.a. Information der Betroffenen bei komplexen Datenverarbeitungen, BigData)? Gibt es automatisierte Einzelentscheidung nach 6a BDSG?

23 Wo werden die Daten eigentlich verarbeitet?

24 Wo werden die Daten eigentlich verarbeitet?

25 Wo werden die Daten eigentlich verarbeitet?

26 Datensparsamkeit und Datenlöschung Frühzeitige Pseudonymisierung/ Löschung von personenbezogenen Daten auf jeder Ebene Kontroll- und Datenschutzverluste wo möglich durch lokale Datenverarbeitung vermeiden (Fog Computing) Privacy by Design und Privacy by Default Bisherige Datenschutzregelungen anwenden

27 Herausforderungen Sicherheit Globale Vernetzung Schwachstellenmanagement und Patch Fernzugriff Benutzerverwaltung Verschlüsselung

28 Lösungsansätze Klassische IT und Produktionstechnik wachsen zusammen IEC (Managementsystem, technische Anforderungen, sichere Produkte) ANSI/ISA-99 ISO (Informationssicherheitsmanagement als dauerhafter Prozess) Zones and Conduits IDS, Monitoring, Selbstdiagnose Defense in Depth Entwicklung neuer Systeme mit moderner Technik Forschungsprojekte (IUNO, etc) Safety und Security Vertragsgestaltung mit Zulieferern, Partnerfabriken, etc. Penetrationstests, Audits Awarenessprojekte (OWASP, OWASP IoT warum kein OSP I40)

29 Szenario 2

30 Szenario 2 Mitarbeiter wird durch Datenbrille unterstützt Anleitung/Vorgaben für Aufgaben (Lager) Anzahl der Teile Lagerort Fehlerreduktion Messung der Leistung Aufzeichnung des Sichtfeldes Eyetracking PPM

31 Rechtliche Grundlagen der Datenverarbeitung Grundsätzlich wie Szenarion 1 aber ggf. hohe Eingriffsintensität. Rahmenbedingungen festlegen! Was ist erforderlich?

32 Sensorspezifische Regelungen 6b BDSG: Optisch-elektronische Beobachtung öffentlich zugänglicher Räume (Videoüberwachung). 201a StGB: Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen; z.b. unbefugte Bildaufnahmen in Wohnungen (auch Besucher werden geschützt). 201 StGB: Abhören des nichtöffentlich gesprochenen Wortes mittels Abhörgeräten oder Aufnahme auf Tonträger.

33 Weitere Szenarien?

34 Herausforderungen Datenschutz Mehr Daten Echtzeitdaten Größerer Datenfluss Big Data Verwaltung über die Cloud

35 Lösungen Bestehende Datenschutzprinzipien anwenden Cloud vs Fog-Computing (Datensparsamkeit) Erforderlichkeits-Prinzip Verhältnismäßigkeit Pseudonymisieren/Anonymisieren Keine automatisierten Einzelentscheidungen Keine unzulässige Leistungs- und Verhaltenskontrolle Mitbestimmung

36 Bremen Berlin Köln Würzburg Vielen Dank! Sven Venzke-Caprarese Justiziar Telefon: +49 (0)

37 Übrigens: Wir bloggen zum Thema

38 Weiterführende Links

39 Datenquellen für Diagramm auf Folie