Vorratsdatenspeicherung: Im Netz gibt es keine Privatsphäre!

VorratsdatenspeicherungAuf dem diesjährigen Polizeikongress wurde von vielen Rednern eine flächendeckende Vorratsspeicherung gefordert. Datenschützer warnten bereits in der Vergangenheit eindringlich vor den Gefahren, die von einer Vorratsdatenspeicherung ausgingen.

Andererseits muss man die Frage stellen, wie sollen Ermittlungsbehörden ermitteln, wenn es keine Anhaltspunkte gibt? Bei herkömmlichen Straftaten, gibt es immer wieder Augenzeugen, die bei einer Aufklärung einer Straftat helfen können oder es gibt Dokumente, die Beweise liefern. Im Internet ist der einzige „Augenzeuge“ die Technik.

Aber der Vorratsdatenspeicherung stellt noch weitere Herausforderungen auf. Kleine Firmen, die z.B. Webserver für ihre Kunden bereitstellen, stehen vor der großen Herausforderung, diese riesigen Datenmengen erfassen und speichern zu müssen. Dies bedeutet im Umkehrschluss höhere Kosten für den Kunden.

Der BKA-Vizepräsident, Jürgen Maurer, sagte (laut heise online): „Wer im Internet ist, hat die Privatheit verlassen.“. Dies müssten die Bürger verinnerlichen. Diese Aussage steht klar im Gegensatz zu anderen Gesetzen, die eine anonyme Internetnutzung vorgeben.

In jedem Falle sind die bekannten Cybercrime-Fälle im 5-stelligen Bereich. Die Dunkelziffer sei nicht annähernd bezifferbar, so Maurer.

Es wurde ein Umdenken in der Gesellschaft und der Presse gefordert. Es müsse jeder Hackerangriff verurteilt werden – egal welchem Ziele sie dienten. Eine solche Ansicht sollte selbstverständlich sein. In der realen Welt ist diese Denkweise durch aus selbstverständlich. Hier ein kleines Beispiel:

Ein Atomkraftgegner darf nicht zum Beispiel den Zaun eines Atommüllentlagers beschädigen, weil etwas Gutes für die Umwelt tun will.

An dieser Stelle ist die Politik gefordert eine Lösung zu finden, die zum einen die Strafverfolgung ermöglicht und zum anderen den Bürger vor einem Überwachungsstaat schützt.

Apple-Mitbegründer warnt vor Cloud

Logo Hubit-DatenschutzApple-Mitgründer Steve Wozniak meint, die Cloud werde furchtbare Probleme bringen. Welche Probleme dies sein könnten zeigt der Fall eines amerikanischen Journalisten, dessen iCloud-Konto durch Hacker mit einem simplen Trick aufgebrochen wurde.

Der Nutzen der Cloud Weitere Infos im Lexikonist groß und birgt viele Verlockungen.

Aber zurück zum Fall des Journalisten Mat Honan

Mat Honan bemerkte zufällig, dass sich sein iPhone ausschaltete und neustartete. Jedoch wurde er nicht durch sein bekannten Startbildschirm begrüßt, sondern durch den Installationsassistenten. Er wunderte sich, dachte aber an eine technische Störung und wollte seine Daten wiederherstellen, indem er sie aus der Cloud runterladen wollte. Jedoch wurde ihm der Zugriff verwehrt.

Er wollte über ein anderes Gerät auf die Cloud zugreifen. Dort wurde er aufgefordert einen PIN-Code einzugeben um die Daten zu entschlüsseln. Eine Solche PIN-Abfrage hatte er zuvor nicht gesehen oder installiert. Das Ipad verweigert ebenso seinen Dienst, wie das iPhone.
Jetzt wurde ihm klar, dass wohl Hacker am Werk gewesen seien.
Weitere Recherchen zeigten, dass auch sein Email- und Twitter-Account einer feindlichen Ãœbernahmen unterlagen.

Aber wie konnte all das geschehen. Mat Honan vermutet, dass es sich hierbei um einen Fall von Social Engineering (LINK zu Lexikon) handelte. Der Hacker hatte vermutlich Daten über den Journalisten gesammelt. Mit diesen Daten hat er sich vermutlich gegenüber dem Apple-Support als Mat Honan ausgegeben und so Zugriff auf die Daten erlangt. Hatte der Hacker erst Zugriff auf die iCloud hatte er hierüber auch Zugriff auf die Emailkonten und weitere Konten, wie z.B. Twitter.

Der entstandene Schaden kann nicht beziffert werden. Die Daten, wie Fotos, Dokumente etc., sind gelöscht und können nicht wiederhergestellt werden.

Tipps zum richtigen Umgang mit der Cloud

Der Datenschutzexperte Haye Hösel der Firma HUBIT rät die folgenden Punkte zu beachten:

Nutzen Sie die Cloud nicht aus reiner Bequemlichkeit. Nutzen Sie die Cloud nur, wenn es keine andere Lösung gibt.

Holen Sie sich Rat durch einen Datenschutzberater oder einen IT-Sicherheitsberater.

Suchen Sie sich einen europäischen Cloud-Anbieter, der Ihnen garantiert, dass die Daten in Europa gespeichert werden.

Auch Daten, die in der Cloud gespeichert werden, sollten in die Planung für eine regelmäßige Datensicherung einbezogen werden.

Wenn Sie als Unternehmen, Gewerbetreibender, Freiberufler, Verein etc. personenbezogene Daten in der Cloud speichern möchten, ist eine Vorabkontrolle durch den Datenschutzbeauftragten erforderlich. Wird keine Vorabkontrolle durchgeführt drohen hohe Bußgelder.

Speichern Sie keine Passwörter in der Cloud.

Verknüpfen Sie Ihren Cloud-Account mit keinem anderen Account, wie z.B. Facebook, Twitter oder Ihrer Email. Die Verknüpfung zwar eine komfortable Lösung, weil Sie sich nicht in jeden Account einzeln einloggen müssen, aber es birgt auch ein hohes Risiko, wie man an dem geschilderten Fall erkennen kann.

Viele Magentoshops sind unsicher

Logo Hubit-DatenschutzAnfang Juli wurde ein Problem im sogenannten Zend-Framework bekannt. Das Framework ist eine Sammlung von „Programmiervorlagen“, die von vielen Anbietern verwendet werden. Sie vereinfachen die Arbeit der Programmierer. Das Framework wird unter anderem auch in Magentoshops eingesetzt.

Wenn die XMLRPC-Schnittstelle aktiviert ist, können Angreifer die Inhalte aller Dateien auslesen. Inklusive der Passwortdateien, mit denen Sie dann wieder Zugriff auf die Datenbank und eventuell sogar das Emailsystem bekommen.

Das einzige, was hier hilft, ist ein Patch bzw. Update auf die neuste Version. Leider sind immer noch viele Magentoshops ungepatcht, wie auch auf golem.de zu lesen war. Nicht nur bei Magentoshops auch bei jeglicher anderer Software ist es wichtig, die aktuellen Sicherheitspatches einzuspielen.

Was ist die Cloud?

Datenschutz in der CloudDie Cloud ist im Prinzip wie eine Festplatte. Dieser Speicherbereich liegt auf irgendeinem Server irgendwo im Internet. Mittels einfacher Systeme wird es dem Nutzer leicht gemacht auf diese „Internetfestplatte“ mit fast jedem Gerät von überall auf der Welt zuzugreifen. Hierbei ist es unerheblich, ob es sich bei dem Gerät um einen Computer, ein Notebook, ein Handy, ein Smartphone oder Tablet-PC handelt. Wichtig ist nur eines: eine Internetverbindung.

Allerdings birgt dieser Dienst auch eine Reihe von Gefahren! Lassen Sie sich hierzu durch einen Datenschutzberater informieren.

Woher kommt das Wort Cloud?

In der Informationstechnologie wurde das Internet immer mit dem Symbol einer Wolke dargestellt. Hier liegt die Wurzel, denn Wolke heißt auf Englisch Cloud.

Haftungsrisiko für WLan –Betreiber

Logo Hubit-DatenschutzWer sein WLan anderen zur Verfügung stellt geht rechtliche Risiken ein. Dies betrifft zum Beispiel auch Gastwirte, Ladenbesitzer oder Campingplätze, die Ihren Kunden bzw. Gästen einen Internetzugang zur Verfügung stellen. Im Rahmen der sogenannten Störerhaftung kann der der Anschlussinhaber – also der Betreiber des WLans – für Straftaten der Nutzer zur Rechenschaft gezogen werden oder zumindest in die Mithaftung genommen werden.

Stellt zum Beispiel ein Kunde Musikdateien zum Download bereit, während er das WLan einer Gaststätte nutzt, so kann der Gastwirt hierfür haftbar gemacht werden.

Aus Sicht des Datenschützers ergeben meist noch weitere Aspekte. In vielen Fällen wird das Firmennetzwerk nicht von dem Besuchernetzwerk getrennt. Somit besteht für den Besucher des WLan eventuell die Möglichkeit auf Firmendaten des WLan-Betreibers zuzugreifen. Datenschutzberater der Firma HUBIT beraten Sie gern zu Risiken und möglichen Absicherungsmaßnahmen für Ihr Firmen-WLan.

Kamera-Attrappe auf Schultoilette

Logo Hubit-DatenschutzIn Österreich ließ eine Schulleiterin eine Kamera-Attrappe auf der Jungen-Toilette installieren. Angeblich habe sie dies mit der Verschmutzung rund um die Pissoirs begründet. Der Landesschulratspräsident habe mittlerweile angeordnet, die Attrappe zu demontieren hieß es.

Nicht nur in Österreich auch in Deutschland ist die Gerichtsbarkeit der Meinung, dass auch eine Kamera-Attrappe die Persönlichkeitsrechte schwerwiegend beeinträchtige und psychischen Druck ausübe. Eine Kamera-Attrappe unterliegt somit den gleichen Anforderungen, wie eine echte Kamera.

Jede Videoüberwachung (auch Attrappen) ist durch einen Datenschutzbeauftragten vor der Installation zu prüfen. Nur datenschutzrechtlich unbedenkliche Videoüberwachungen dürfen in Betrieb gehen.

Die Firma HUBIT – Datenschutz führt in Bremen, Hamburg, Hannover, Niedersachsen und Nordrhein Westfalen führt die Ãœberprüfung von Videoüberwachungen gemäß dem Bundesdatenschutzgesetz durch. Damit schützen Sie sich a) vor einer peinlichen Berichterstattung und b) vor einer Strafe und weiterhin können Sie c) ruhig schlafen, weil Sie wissen, dass Sie alles richtig gemacht haben.

Fahndung im Netz

Logo Hubit-DatenschutzDie Polizei setzt bei Ihren Ermittlungen immer mehr auf digitale Hilfsmittel. So werden mittlerweile auch soziale Netzwerke genutzt. Die Polizei in Niedersachsen hat auf diese Weise bereits mehrere Fahndungserfolge vermeldet. Nicht alle Bundesländer nutzen soziale Netzwerke.

Die Landesdatenschutzbeauftragten weisen teilweise daraufhin, dass die Nutzung der sozialen Netzwerke rechtliche grenzen im Telekommunikations- bzw. Telemediengesetz finden.

Es bleibt weiter abzuwarten, wie sich die rechtliche Lage und die Fahndungserfolge entwickeln.

Bewegungsdaten von Handykunden sollen verkauft werden

DatenverkaufDer spanische Konzern Telefonica will die Bewegungsdaten seiner Kunden vermarkten. Dies könnte auch die deutsche Tochter O2 und deren Kunden betreffen. Der hochverschuldete Telekom-Konzern will scheinbar auf diese Weise seine hohe Verschuldung reduzieren. Die begehrten Bewegungsdaten finden in der Wirtschaft dankende Abnehmer.

Telefonica hat zu diesem Zwecke eigens eine neue Tochtergesellschaft Telefonica Dynamic Insights gegründet. Laut tagesschau.de wirbt die Firma im Internet in einem Werbefilm mit den Wort: „Mit Telefónica Dynamic Insights können Sie ab jetzt sehen, wohin sich Kunden bewegen, während sie sich bewegen. Sie erfahren, wo Ihre potenziellen Kunden wirklich sind, wann sie da sind – und wie oft.“
Die Bewegungsdaten sollen zusätzlich mit Bestandsdaten, wie z.B: Alter und Geschlecht, angereichert werden.

Zunächst solle das Projekt in England starten und dann in Deutschland eingeführt werden. Laut focus.de sagte ein Sprecher, der Datenschutz müsse zu hundert Prozent eingehalten werden. Die Daten sollen anonymisiert verarbeitet werden.
Ohne eine Anonymisierung wäre dies in Deutschland gar nicht möglich.

Wenn hingegen die Daten nicht anonymisiert würden, sondern lediglich pseudonymisiert würden, wäre diese ein deutlicher Unterschied. Das Bundesdatenschutzgesetz definiert diese beiden Sachverhalte explizit.

Frank Rieger vom Chaos Computer Club (CCC) äußerte hierzu auf Twitter, man solle der Werbenutzung der Standortdaten wiedersprechen (oder gleich den Vertrag kündigen). Später twitterte er, wenn O2 jetzt von Kunden ordentlich und öffentlich Feuer bekämen, würden sich die anderen Operator überlegen, ob sie auch diesen Schritt gingen.

Whitepaper Datenschutz vom BVDW

BVDW Whitepaper DatenschutzDer Bundesverband Digitale Wirtschaft hat am 25.10.2012 ein Whitepaper zum Datenschutz rausgegeben.

Das Whitepaper zeigt klar auf, welche Anforderungen gesetzliche Datenschutz an die Wirtschaft stellt. Nun ist dieses Whitepaper auf die digitale Wirtschaft ausgelegt, dennoch können die meisten Punkte auf die Großzahl der deutschen Unternehmen projetziert werden.

In der Ankündigung zu dem Whitepaper heißt es auf der Webseite des BVDW:
„Trotz zahlreicher Informations- und Aufklärungsmaßnahmen herrscht in manchen Unternehmen noch die gelebte Praxis, kein aktives Datenschutz-Management zu betreiben. Dennoch müssen die rechtlichen Vorgaben zum Datenschutz in deutschen Unternehmen überall dort beachtet werden, wo personenbezogene Daten digital verarbeitet werden.“

Während eines kürzlich gehaltenen Vortrages fasste es Haye Hösel, Datenschutzberater und Inhaber der Firmen HUBIT, wie folgt zusammen: „[…] man kann es mit einem Satz sagen: Datenschutz ist eine gesetzliche Pflicht für alle Unternehmen in Deutschland.“

Sind Sie noch nicht (gut) beraten? Dann sprechen Sie uns an. Wir beraten Sie zu den gesetzlichen Erfordernissen des Datenschutzes und der Datensicherheit.

Facebook-Fanseiten in der Kritik

Logo Hubit-DatenschutzIm September 2012 fand in Bremen eine Sitzung der GDD-ErfaKreis Bremen statt. Teilnehmer waren Datenschutzbeauftragte verschiedener Unternehmen im Bremer Raum oder Unternehmen wie HUBIT-Datenschutz, die Unternehmen als externe Datenschutzberater zur Seite stehen. Als weiterer Gast konnte Frau Sommer begrüßt werden. Sie ist die Landesdatenschutzbeauftragte des Landes Bremen.

In einer offenen Diskussionsrunde wurden verschiedene Themen rund um den Datenschutz angesprochen. Unter anderem wurde die Frage gestellt, was ein Unternehmen machen müssen, damit der Auftritt bei Facebook gesetzlich (und datenschutzrechtlich) konform wäre. Die Antwort war eindeutig. Betreibe ein Unternehmen eine sogenannte Fanseiten bei Facebook, dann können gesetzliche Anforderungen nicht erfüllt werden.
Damit die gesetzlichen Anforderungen erfüllt werden, reicht es nicht aus, ein Impressum auf der Fanseite zu installieren. Vielmehr ist es derzeit schlicht unmöglich die gesetzlichen Anforderungen zu erfüllen. Dies liegt an der Art und Weise und dem Umfang der Datenerhebung auf bzw. durch Facebook. Der Unternehmer auf hat Aufklärungspflichten, die er schlicht nicht erfüllen kann, weil ihm selber die Informationen fehlen, wie und wofür Facebook Daten verarbeitet.

Die Datenverarbeitung von Facebook wird seit vielen Jahren kritisiert. Vorreiter ist hier sicherlich Herr Weichert, der Landesdatenschutzbeauftragten des Landes Schleswig Holstein. Auf der Webseite des schleswig-holsteinischen Landesdatenschutzbeauftragten ist eine Abhandlung über die genauen Gründe zu lesen und dass bereits mehrere Verfahren gegen Betreiber solcher Fanseiten eingeleitet wurden. Weiterhin wird auch erläutert, warum der Facebook-Like-Button datenschutzrechtlich kritisch betrachtet wird und der Like-Button nicht eingesetzt werden darf.