Sicherheit der Verarbeitung Verantwortung für Datenspuren. Was ändert sich, was bleibt? BvD Herbstkonferenz 27.10.2017, Stuttgart Folie: 1/95
Helmut Stellvertretender Datenschutzbeauftragter Rheinland-Pfalz Leiter Bereich Technik Postanschrift: Postfach 30 40 55020 Mainz Büroanschrift: Hintere Bleiche 34 55116 Mainz Telefon: +49 (6131) 208-2226 Telefax: +49 (6131) 208-2497 E-Mail: h.eiermann@datenschutz.rlp.de Web: www.datenschutz.rlp.de Folie: 2/95
IT-Entwicklung Der Wandel! Location Based Services! Ubiquitous Computing! Smart Home/Car/Metering...! RFID, VR,! Big Data! Autonome Systeme!... Cloud Computing mobile Datenverarbeitung + Internet Individuelle Datenverarbeitung mobile Datenverarbeitung Individuelle Datenverarbeitung + Internet Folie: 3/95
IT-Entwicklung Kontinuität 9 BDSG (Anlage)! Zutrittskontrolle! Zugangskontrolle! Zugriffskontrolle! Weitergabekontrolle! Eingabekontrolle! Auftragskontrolle! Verfügbarkeitskontrolle! Zweckbindungskontrolle mobile Datenverarbeitung Individuelle Datenverarbeitung + Internet Cloud Computing mobile Datenverarbeitung + Internet Individuelle Datenverarbeitung Folie: 4/95
9 BDSG (Anlage)! Zutrittskontrolle?! Zugangskontrolle! Zugriffskontrolle?! Weitergabekontrolle! Eingabekontrolle?! Auftragskontrolle?! Verfügbarkeitskontrolle! Zweckbindungskontrolle mobile Datenverarbeitung Cloud Computing 5 Folie: 5/95
Lieferanten Geschäftspartner IT-Dienstleister Konzern unternehmen Schutz digitaler Assets Call Center Joint Venture Unternehmen Unternehmen Kunden Folie: 6/95
Folie: 7/95
Sicherheitsvorfälle http://www.verizonenterprise.com/resources/reports/rp_dbir_2016_report_en_xg.pdf Folie: 8/95
Anmeldeaufforderung.HTACCESS Folie: 9/95
eiermann xxxxxx Folie: 10/95
Hippokrates 2.0 Praxen im Netz... für die Kennung test mit beliebigem Passwort LfD Rheinland-Pfalz H. Folie: 11/95
Hippokrates 2.0 Praxen im Netz... für vorgewählte Kennungen in einer Datei mit einem beliebigem Passwort (Wörterbuchattacke) z.b. admin administrator system sa nimda service test... LfD Rheinland-Pfalz H. Folie: 12/95
Folie: 13/95
Folie: 14/95
Dahinter stehende SQL-Anweisung: select... from... where name=... and passwd=... Folie: 15/95
Dahinter stehende SQL-Anweisung: select... from... where name=... and passwd=... Benutzereingabe führt zu: select... from... where name= 4711 or 1=1 Folie: 16/95
Anmeldung ohne gültige Benutzerkennung oder Passwort war möglich Zeitaufwand ca. 5 sec Folie: 17/95
Folie: 18/95
Folie: 19/95
Behandlungsdokumentation Folie: 20/95
Verschreibungen Folie: 21/95
Liste säumiger Zahler Folie: 22/95
Passwortdatei Folie: 23/95
... admin.asp, admin.js, admin.html Wir finden Dich... login.asp, login.js, login.html... anmeldung.asp, anmeldung.js, anmeldung.html Folie: 24/95
Hackers Google - SHODAN Folie: 25/95
Hackers Google Folie: 26/95
Hackers Google Folie: 27/95
BSI Lagebericht IT-Sicherheit Drive-by-Exploits Größte Gefahr bei Sicherheitslücken in Anwendungssoftware (CERT-Bund: 20/Woche) Folie: 28/95
Drive-by-Infection server.com evil-server.com <html> <iframe src=evil-server.com/eval.php </body> Evaluation Clientdaten: Betriebssystem Browsertyp / Version Konfiguration Exploit Plugins Schadcode - Fernsteuerung Keylogger Scanner Folie: 29/95
http://www.spiegel.de/netzwelt/web/it-probleme-in-nrw-computerviruslegt-mehrere-krankenhaeuser-lahm-a-1077469.html Folie: 30/95
Drive-by-Infection Folie: 31/95
Drive-by-Infection Folie: 32/95
9 BDSG (Anlage)! Zutrittskontrolle?! Zugangskontrolle! Zugriffskontrolle?! Weitergabekontrolle! Eingabekontrolle?! Auftragskontrolle?! Verfügbarkeitskontrolle! Zweckbindungskontrolle mobile Datenverarbeitung Cloud Computing 33 Folie: 33/95
Systematik der IT-Sicherheit / IT-Grundschutz Verfügbarkeit Vertraulichkeit Integrität Folie: 34/95
Datenschutz technisch-organisatorische Maßnahmen IT-Sicherheit Folie: 35/95
* Eckpunkte der Konferenz der Datenschutzbeauftragten des Bundes und der Länder Ein modernes Datenschutzrecht für das 21. Jahrhundert (18.3.2010) Folie: 36/95
Technikregelungen der Datenschutzgesetze Kontrollarten! Zutrittskontrolle! Zugangskontrolle! Zugriffskontrolle! Weitergabekontrolle! Eingabekontrolle! Auftragskontrolle! Verfügbarkeitskontrolle! zweckbezogene Verarbeitung technikoffene Schutzziele *! Verfügbarkeit! Integrität! Vertraulichkeit! Transparenz! Authentizität! Revisionsfähigkeit! Nichtverkettbarkeit! Intervenierbarkeit! Systemdatenschutz! Audit / Zertifizierung! Selbstdatenschutz * Eckpunkte der Konferenz der Datenschutzbeauftragten des Bundes und der Länder Ein modernes Datenschutzrecht für das 21. Jahrhundert (18.3.2010) Folie: 37/95
Das Standard-Datenschutzmodell (2016) http://www.datenschutz.rlp.de/downloads/mat/sdm-handbuch_v09a.pdf 38 Folie: 38/95
Folie: 39/95
EU Datenschutz-Grundverordnung Sicherheit der Verarbeitung 40 Folie: 40/95
EU Datenschutz-Grundverordnung - Instrumentarium " Sicherheit der Verarbeitung Erwägungsgründe 78, 83,84 Artikel 5, 25, 32 " Verhaltensregeln Erwägungsgründe 77, 81, 98, 99, 148 Artikel 24, 28, 32, 35, 40, 41 " Datenschutzfolgeabschätzung Erwägungsgründe 84, 89, 90-92, 94, 95 Artikel 35, 36, 39 Folie: 41/95
EU Datenschutz-Grundverordnung Instrumentarium " Zertifizierung Erwägungsgründe 77, 81, 100, 166 Artikel 24, 25,28, 32, 42, 43 " Datenschutzsiegel und prüfzeichen Erwägungsgründe 100 Artikel 42, 43 Folie: 42/95
EU DSGVO Art. 5 Grundsatz: angemessene Sicherheit [ ] Folie: 43/95
EU DSGVO Art. 5 Grundsatz: angemessene Sicherheit [ ] Folie: 44/95
EU DSGVO Art. 25 Datenschutz durch Technik & Voreinstellung Risikoadäquanz Folie: 45/95
EU DSGVO Art. 32 Sicherheit der Verarbeitung Risikoadäquanz Angemessene TOM 46 Folie: 46/95
EU DSGVO Art. 32 Sicherheit der Verarbeitung Vertraulichkeit Integrität Verfügbarkeit Sicherheitsmanagement 47 Folie: 47/95
EU DSGVO Art. 32 Sicherheit der Verarbeitung Risikoanalyse und -bewertung Folie: 48/95
EU DSGVO Art. 42 Zertifizierung Zertifizierungsverfahren Gütesiegel / Zertifikate Folie: 49/95
Was ist zu erwarten? Folie: 50/95
Instrumentarium DS-GVO! Risikobasierter Ansatz! Datenschutzfolgenabschätzung, Art. 35! Hohes Risiko der Rechtsverletzung! Datenschutzmanagementsystem, Art. 32 (1) d! RechenschaDspflicht, Art. 5 (2)! Verhaltensregeln, Art. 40! Datenschutz im wirtschadlichen WeLbewerb! AkkrediMerung, Art. 41! Gütesiegel, Art. 42! ZerMfizierung, Art. 42, 43 Folie: 51/95
Stand der Technik Folie: 52/95
Verwaltung Wirtschaft Datenschutz 27001! Verfügbarkeit! Integrität! Vertraulichkeit! Transparenz! Authentizität! Revisionsfähigkeit! Nichtverkettbarkeit! Intervenierbarkeit IT-Sicherheit Folie: 53/95
Codes of Conduct / Verhaltensregeln Folie: 54/95
EU-Mitgliedsstaaten EU-Kommission Codes of Conduct EU-Datenschutzausschuss Aufsichtsbehörden Verbände z.b.: BSI: BSI Standards 100-1 bis 4 ISO / IEC 15408 Folie: 55/95
EU-Mitgliedsstaaten EU-Kommission Codes of Conduct EU-Datenschutzausschuss Aufsichtsbehörden Verbände z.b.: ENISA: Leitlinien für Sicherheitsmaßnahmen Zu Art. 4/13 der e-privacy-richtlinie (2992/58/EC) EuroPrise: Sichereheitsmaßnahmen nach dem Europäischen Datenschutzsiegel 2013/0027 (COD): Entwurf EU-Richtlinie zur Netzwer- Informationssicherheit Folie: 56/95
EU-Mitgliedsstaaten EU-Kommission Codes of Conduct EU-Datenschutzausschuss Aufsichtsbehörden Verbände z.b.: DSB-Konferenez (D) CNIL (F) [ ] Standard Datenschutzmodell Good Practice Catalogue [ ] Art. 29-Gruppe Folie: 57/95
EU-Mitgliedsstaaten EU-Kommission Codes of Conduct EU-Datenschutzausschuss Aufsichtsbehörden Verbände z.b.: Datenschutzstandard DS-BvD-GDD-01 CoC Versicherungswirtschaft CoC Online-Werbung [ ] Folie: 58/95
Zertifizierung Folie: 59/95
Zertifizierungen EU-Kommission (delegierte Rechtsakte) Folie: 60/95
https://www.european-privacy-seal.eu/eps-en/criteria Folie: 61/95
Risikoanalyse / Datenschutzfolgeabschätzung Folie: 62/95
Risikoanalyse/Bewertung Folie: 63/95
Risiko = Schutzbedarf Risiko = Schaden x Eintrittswahrscheinlichkeit Folie: 64/95
Potentielle Risikobereiche:! Datensparsamkeit! Verfügbarkeit! Integrität! Vertraulichkeit! Nichtverkettbarkeit (Zweckbindung)! Transparenz! Intervenierbarkeit (Betroffenenrechte) https://www.lda.bayern.de/media/baylda_ds-gvo_18_privacy_impact_assessment.pdf Folie: 65/95
Potentielle Risikobereiche: Risikominimierung:! Datensparsamkeit! Verfügbarkeit ü! Integrität ü! Vertraulichkeit ü! Nichtverkettbarkeit! Transparenz ü! Intervenierbarkeit ü ü ü No risk no DSFA! fun! Folie: 66/95
Folie: 67/95
Datenschutzfolgeabschätzung = Vorabkontrolle Folie: 68/95
Datenschutzfolgeabschätzung Vorabkontrolle Folie: 69/95
Vorabkontrolle Inhaltliche Kriterien! Zulässigkeit (Rechtsgrundlage/Einwilligung)! Grundsätze der Datensparsamkeit und Datenvermeidung Datenumfang Personenbezug / Pseudonymisierung! Voraussetzungen für die Verarbeitung besonderer personenbezogener Daten! Wahrung/Gewährleistung der Rechte der Betroffenen Berichtigung, Auskunft, Sperrung Folie: 70/95
Vorabkontrolle Inhaltliche Kriterien! Auftragsdatenverarbeitung schriftlicher Auftrag Gewährleistung Sicherheitsmaßnahmen Wahrnehmung der Kontrollpflichten Verpflichtung ggf. Unterrichtung/Genehmigung der Aufsichtsbehörde Berücksichtigung besonderer Berufs- und Amtsgeheimnisse! Löschung Erforderlichkeit Fristen Folie: 71/95
Vorabkontrolle Formale Kriterien! Verfahrensverzeichnis! Anhörung der Aufsichtsbehörde / Beteiligungspflichten! Zulassungen soweit erforderlich! Information / Unterrichtung des Betroffenen! Dienstanweisung Folie: 72/95
Datenschutzfolgeabschätzung Vorabkontrolle! Datensparsamkeit! Verfügbarkeit! Integrität! Vertraulichkeit! Nichtverkettbarkeit (Zweckbindung)! Transparenz! Intervenierbarkeit (Betroffenenrechte) Risikoanalyse Folie: 73/95
Datenschutzmanagement Folie: 74/95
IT-Sicherheitsmanagment ISO 27001 Folie: 75/95
IT-Sicherheitsmanagment ISO 27001 Folie: 76/95
ISO 27001 " Risikobetrachtung und Bewertung " Methodische Behandlung identifizierter Risiken " Verantwortlichkeiten (risk owner) " Reaktion auf Sicherheitsvorfälle " Maßnahmenplanung (Annex A); Erklärung zur Anwendung (statement of applicability) Folie: 77/95
ISO 27001 (2013) " Zielvorgaben " Risikoanalyse " Maßnahmen " Ressourcen " Verantwortlichkeiten " Umsetzung Folie: 78/95
IT-Sicherheitsmanagment ISO 27001 Folie: 79/95
Die Untoten kommen wieder Folie: 80/95
Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und - Umsetzungsgesetz EU DSAnpUG-EU) BDSG-neu Folie: 81/95
BDSG / LDSG Rechtsanpassung: BDSG-Neu - erlassen LDSG-Neu - in Vorbereitung Fachgesetze -??? Mai 2016 Verabschiedung EU DSGVO 25. Mai 2018 Technische Datenschutzvorgaben: In-Kraft-Treten EU DSGVO Codes of Conduct? Best Practice? Audit/Zertifizierung? 27001 Folie: 82/95
EU DSGVO Datenschutzund IT-Sicherheits- Maßnahmen! Verfügbarkeit! Integrität! Vertraulichkeit! Authentizität???! Revisionsfähigkeit! Systemdatenschutz! Audit / Zertifizierung 83 Folie: 83/95
datenschutz.rlp.de Folie: 84/95
Sicherheit www.datenschutz.rlp.de der Verarbeitung nach DSGVO Folie: 85/95
Datenspuren Folie: 86/95
Situation Industriegesellschaft Informationsgesellschaft Warenflüsse Datenflüsse Folie: 87/95
Internet Folie: 88/95
Datenspuren im Internet Folie: 89/95
http://crackedlabs.org/dl/studie_digitale_ueberwachung.pdf Folie: 90/95
Individualisierung www.sciencerockstars.com 91 Folie: 91/95
MAC-Adress-Tracking Funknetz Probe-Requests 92 Folie: 92/95
MAC-Adress-Tracking MAC 00:40:96:aa:22:20 93 Folie: 93/95
Inhalts- und Metadaten http://www.theguardian.com/world/interactive/2013/nov/01/ snowden-nsa-files-surveillance-revelations-decoded#section/3 Folie: 94/95
Inhalts- und Metadaten http://www.theguardian.com/world/interactive/2013/nov/01/ snowden-nsa-files-surveillance-revelations-decoded#section/3 Folie: 95/95
Inhalts- und Metadaten http://www.theguardian.com/world/interactive/2013/nov/01/ snowden-nsa-files-surveillance-revelations-decoded#section/3 Folie: 96/95
Inhalts- und Metadaten http://www.theguardian.com/world/interactive/2013/nov/01/ snowden-nsa-files-surveillance-revelations-decoded#section/3 Folie: 97/95
Inhalts- und Metadaten http://www.theguardian.com/world/interactive/2013/nov/01/ snowden-nsa-files-surveillance-revelations-decoded#section/3 Folie: 98/95
Inhalts- und Metadaten http://www.theguardian.com/world/interactive/2013/nov/01/ snowden-nsa-files-surveillance-revelations-decoded#section/3 Folie: 99/95
Inhalts- und Metadaten http://www.theguardian.com/world/interactive/2013/nov/01/ snowden-nsa-files-surveillance-revelations-decoded#section/3 Folie: 100/95
Datenspuren Selbstdatenschutz Folie: 101/95
Folie: 102/95
e-privacy-verordnung Folie: 103/95
https://www.golem.de/news/datenschutz-eu-parlament-stimmteprivacy-verordnung-zu-1710-130831.html Folie: 104/95
https://www.golem.de/news/eprivacy-verordnung-ausschuss-votiert-fuer-trackingschutz-und-verschluesselung-1710-130714.html Folie: 105/95
2002 e-privacy Richtlinie TK Telekommunikation TMG Informations- und Kommunikationsdienste (Over-the-Top-Dienste OTT) 2018 e-privacy Verordnung Telekommunikation Trilog COM-EP-EC OTT 1 (Mail, Messenger,...)? OTT 2 (Internet-Angebote, Social Media-Dienste,...) Folie: 106/95
Inhalts- und Metadaten http://www.theguardian.com/world/interactive/2013/nov/01/ snowden-nsa-files-surveillance-revelations-decoded#section/3 Folie: 107/95
2018 Datenschutz- Grundverordnung 2018 e-privacy Verordnung Sicherheit der Verarbeitung Art. 25 Art. 32 Pseudonymisierung Verschlüsselung Risikoanalyse DS-Folgeabschätzung... Folie: 108/95
2018 Datenschutz- Grundverordnung 2018 e-privacy Verordnung Sicherheit der Verarbeitung Art. 25 Art. 32 Pseudonymisierung Verschlüsselung Risikoanalyse DS-Folgeabschätzung... Folie: 109/95
EU DSGVO Datenschutzund IT-Sicherheits- Maßnahmen! Verfügbarkeit! Integrität! Vertraulichkeit! Authentizität???! Revisionsfähigkeit! Systemdatenschutz! Audit / Zertifizierung 110 Folie: 110/95
Helmut Stellvertretender Datenschutzbeauftragter Rheinland-Pfalz Leiter Bereich Technik Postanschrift: Postfach 30 40 55020 Mainz Büroanschrift: Hintere Bleiche 34 55116 Mainz Telefon: +49 (6131) 208-2226 Telefax: +49 (6131) 208-2497 E-Mail: h.eiermann@datenschutz.rlp.de Web: www.datenschutz.rlp.de Folie: 111/95