Analyse von Webseiten auf Sicherheits- und Privatheitsprobleme: Konzept und rechtliche Zula ssigkeit

Transkript

1 Analyse von Webseiten auf Sicherheits- und Privatheitsprobleme: Konzept und rechtliche Zula ssigkeit Dominik Herrmann Universität Hamburg mit Max Maaß (TU Darmstadt) und Anne Laubach (Uni Kassel)

2 Motivation 2

3 Wer weiß eigentlich, dass ich mich für Sozialhilfe interessiere? 3

4 Existierende Scanning-Dienste konzentrieren sich auf einzelne Seiten 4

5

6 6

7 Existierende Scanning-Dienste richten sich primär an Entwickler und Betreiber verwenden vordefinierte Auswertungsmethoden 7

8 PrivacyScore hat anderen Fokus Ziel: öffentliche Benchmarks um Anreize für Betreiber schaffen, den Schutz der Privatsphäre zu verbessern. Jeder kann (annotierte) Listen von Webseiten hochladen und das Ranking beeinflussen. Open Source (GPLv3+) und Open Data NUTZERDEFINIERTE ATTRIBUTE Schneiden Städte in Bayern besser ab als in Hamburg? Korreliert Größe eines Krankenhauses mit Rang seiner Webseite?? 8

9 Ranking und Detail-Ergebnisse 9

10 Öffentliches Ranking

11 Detail-Ergebnisse

12

13 Anteil mit NoTrack Anteil mit EncWeb 13

14 Ethische Erwägungen Rechtliche Beurteilung 14

15 Drei relevante Fragestellungen 1 Untersuchung von Webseiten ohne Zustimmung der Betreiber 2 Rechtliche Bewertung der Untersuchungsergebnisse 3 Veröffentlichung der Ergebnisse auf der PrivacyScore-Webseite 15

16 1 Untersuchung von Webseiten ohne Zustimmung der Betreiber Können Anbieter automatisierten Abruf ihrer Webseite verbieten? Kein Eigentumsrecht ( 903 BGB) an Daten weil es Daten an körperlicher Eigenschaft von Sachen ( 90 BGB) fehlt; daher auch kein ausschließliches Nutzungsrecht an Daten. Kein absolutes virtuelles Hausrecht für öffentliche Teile einer Seite weil vertragliche Vereinbarungen oder Nutzungsbedingungen nur dann verbindlich, wenn vom Nutzer anerkannt (z.b. durch Registrierung). 16

17 1 Untersuchung von Webseiten ohne Zustimmung der Betreiber Zugriff und Verwertung kann verboten sein: Datenschutz (DSGVO, BDSG, TMG) falls beim Scannen pers.-b. Daten erhoben werden i.d.r. nicht der Fall Urheberrecht (UrhG) falls Werk i.s.v. 2 Abs. 1 oder geschützte Datenbank i.s.v. 4 Abs. 2; i.d.r. fehlt aber geforderte geistige Schöpfungshöhe falls Leistungsschutzrecht anwendbar nur bei wesentlichen Teilen falls Webseite ein Computerprogramm ( 2 Abs. 1 Nr. 1, 69a Abs. 1); HTML ist nur Beschreibungssprache Gesetz gegen unlauteren Wettbewerb (UWG) bei Beeinträchtigungder Verfügbarkeit Schutz durch Rate Limiting Strafgesetzbuch (StGB) falls Zugangssicherung ( 202a) umgangen wird i.d.r. nicht der Fall 17

18 2 Rechtliche Bewertung der Untersuchungsergebnisse Ergebnisse werden lediglich dargestellt, rechtliche Bewertung muss Umstände des Einzelfalls berücksichtigen. Ausführlich diskutiert im Beitrag für zwei Beispiele: Erlaubnis und technische Umsetzung der Einbindung von Tracking- und Analysediensten Erforderlichkeit von Transportverschlüsselung PrivacyScore nicht als Ersatz sondern als Unterstützung für Datenschutzbeauftragte und Aufsichtsbehörden gedacht. 18

19 3 Veröffentlichung auf der PrivacyScore-Webseite Können Anbieter die Veröffentlichung der Ergebnisse unterbinden? Ergebnisse ( 17 Tracker ) sind Tatsachenbehauptungen Rankings ( abc.de ist Platz 8 ) sind Werturteile fallen unter die grundrechtlich normierte Meinungsfreiheit Informationelle Selbstbestimmung der Seitenbetreiber verletzt? Ergebnisse betreffen i.d.r. nicht die Privatsphäre, sondern die Sozialsphäre (berufliche, politische, andere öffentliche Aktivitäten) 19

20 Analyse von Webseiten auf Sicherheits- und Privatheitsprobleme: Konzept und rechtliche Zula ssigkeit Max Maaß, Anne Laubach und Dominik Herrmann Transparenz, Aufmerksamkeit und Anreize für Betreiber, Sicherheit und Datenschutz ernst zu nehmen PrivacyScore läuft derzeit auf ca. 30 virtuellen Maschinen Betrieb grundsätzlich rechtlich zulässig Funktionen für geschlossene Benutzergruppen geplant -