Dienstag, 27. September 2016

Darknet – das böse Internet

Gibt es außer dem Internet, das wir täglich nutzen, wirklich noch ein zweites, dunkles Internet, das Darknet? Oder ist das nur eine von den vielen Verschwörungstheorien, die derzeit im Umlauf sind?

Werkzeuge für gute und schlechte Absichten


Dass man fast alle Dinge auf der Welt für gute und für schlechte Taten benutzen kann, ist jedem klar. Dafür gibt es viele Beispiele. So kann man ein Auto benutzen, um Freunde zu besuchen oder in den Urlaub zu fahren. 

Und ein Notarztfahrzeug ist eigentlich ausschließlich dazu da, Menschen zu retten. Das ändert aber nichts daran, dass man sogar damit einen Menschen absichtlich töten kann, ohne jeden Grund und einfach so.

Mit dem Internet ist es im Ausgangspunkt nicht anders. Man kann hier Freundschaften pflegen, Informationen besorgen und beispielsweise Urlaubsziele aussuchen. Aber natürlich lassen sich auch mit dem Instrument „Internet“ Straftaten begehen.

yourIT Datenschutz - Darknet
yourIT Datenschutz - Darknet

Das „Tatmittel Internet“


Deutlich wird das etwa in den polizeilichen Kriminalstatistiken. Hier gibt es einen eigenen Bereich mit der Überschrift „Tatmittel Internet“. Niemand wird überrascht sein, dass dort Betrügereien auftauchen, die Kriminelle mithilfe des Internets begehen. 

Ein aktuelles Beispiel: Auf einer Webseite wird so getan, als hätte jemand eine Ferienwohnung anzubieten. Sobald er genügend Vorauszahlungen eingesammelt hat, ist die Webseite verschwunden. 

Die Ferienwohnung hat es natürlich in Wirklichkeit nie gegeben. Sogar die Bilder von der angeblichen Wohnung waren von anderen Webseiten gestohlen, das heißt von dort illegal kopiert.

Wirklich übel: das „echte Darknet“


Ärgerlich, manchmal auch schlimm für die Betrogenen. Aber solche Dinge hat es ohne das Internet auch früher schon gegeben. Das Internet macht solche Straftaten manchmal nur viel leichter. 

Das Darknet, also das ausschließlich dunkle Internet, muss aber etwas anderes sein, das ahnt man bei solchen Beispielen sofort. Und so ist es auch. Tatsächlich gibt es Bereiche im Internet, die ausschließlich kriminellen Zwecken dienen und mit denen ein Normalbürger nie zu tun hat. 

Dort geht es nur um Waffenhandel, Rauschgift und Schlimmeres. Über einen solchen Bereich des Internets haben sich zum Beispiel auch islamistische Attentäter Waffen besorgt.

Kein Zugang über normale Suchmaschinen


Wer sich nicht genau vorstellen kann, wie so etwas funktioniert, sollte einmal kurz darüber nachdenken, wie er eine Seite im Netz findet. Dazu ist eine Suchmaschine nötig, beispielsweise Google. Viele glauben, dass solche Suchmaschinen alles finden, was es im Netz gibt. 

So einfach ist es jedoch nicht. Eine Suchmaschine findet nur die Seiten, an die sie andocken kann. Und natürlich lässt sich eine Seite auch so programmieren und einrichten, dass dies nicht gelingt. Dann finden sie jedenfalls die gängigen Suchmaschinen nicht.

Zugangscodes und anonymisierte Kommunikation


Hier bietet sich dann ein Anknüpfungspunkt für kriminelle Aktivitäten. Eine Webseite wird so eingerichtet, dass sie nur jemand findet, der die genaue Adresse kennt und das macht die ganze Sache noch ein Stück perfekter der einen Zugangscode eingeben kann, nach dem die Seite fragt.

Die Adresse und den Zugangscode müssen die Beteiligten auf irgendeinem Weg vorher untereinander austauschen. Dafür bieten sich spezielle Seiten in sozialen Netzwerken an. Sie sind ebenfalls so ausgestaltet, dass man nicht „einfach so“ hineinkommt, sondern erst, wenn man auf Anfrage zugelassen wird.

Zusätzlich ist es denkbar, dass die Kommunikation über ein Netzwerk erfolgt, das Verbindungsdaten anonymisiert. Besonders das Netzwerk Tor wird in diesem Zusammenhang oft genannt.
Bedenken sollte man dabei, dass es für viele Menschen auf der Welt äußerst wichtig ist, nur über Netzwerke zu kommunizieren, in denen sie anonym bleiben können. 

Man denke etwa an Oppositionelle in Diktaturen. Solche Netzwerke sind also nicht automatisch böse oder gar kriminell. Sie lassen sich aber leicht in kriminelle Aktivitäten „einbauen“.

Unter Beobachtung des Bundeskriminalamts


All dies zeigt, dass man in das Darknet nicht einfach so durch Zufall hineingerät. Wer dort anzutreffen ist, will ganz bewusst dort sein und braucht einige Kenntnisse über die Funktionsweise des Internets.


Niemand muss also befürchten, beim Surfen versehentlich in den dunklen Teil des Internets hineinzugeraten. Ernst zu nehmen ist er aber trotzdem. Aus gutem Grund spielt das Darknet eine große Rolle im Bundeslagebild Cybercrime, das das Bundeskriminalamt (BKA) jedes Jahr veröffentlicht.

Montag, 26. September 2016

Download von Schadsoftware am Arbeitsplatz - Finger weg von der Privatnutzung

Ein Arbeitnehmer surft an seinem Arbeitsplatz immer wieder privat im Internet. Nur in den Pausen natürlich. Er weiß genau, dass die Unternehmensleitung privates Surfen verboten hat. Aber auch die Vorgesetzten wissen Bescheid. Und bisher hat keiner etwas dagegen gesagt. Eines Tages läuft es aber ziemlich schlecht: Der Mitarbeiter lädt sich eine Software herunter und speichert sie auf dem Dienst-PC. Dabei fängt er sich aggressive Schadsoftware ein. Der PC liegt lahm. Bekommt er jetzt Ärger?


Ein Verstoß mit Folgen


Es war zwar offiziell verboten, aber im Alltag störte es niemanden, auch keinen Vorgesetzten. Und das übrigens ausgerechnet in einem Sachverständigenbüro für Kriminaltechnik. Deshalb nutzte ein Mitarbeiter in den Pausen das Internet immer wieder privat.

Eines Tages installierte er eine Software auf seinem Dienst-PC, mit der man Tondateien verkleinern kann. Für seine Arbeit braucht er diese Software nicht. Leider fing er sich beim Herunterladen einen ganzen Rattenschwanz an Schadsoftware ein. Der PC lag still. Ein Fachmann musste ihn wieder in Gang bringen. Das kostete den Arbeitgeber 865 Euro.

Verbotene Privatnutzung mit Folgen - Arbeitsplatz und Geld sind weg
Verbotene Privatnutzung mit Folgen - Arbeitsplatz und Geld sind weg

Schadensersatz und fristlose Kündigung


Dieses Geld will der Arbeitgeber jetzt von seinem Arbeitnehmer zurück. Außerdem hat er ihm fristlos gekündigt. Begründung: Verstoß gegen das Verbot, das Internet am Arbeitsplatz privat zu nutzen!

Der Arbeitnehmer wehrt sich


Der Arbeitnehmer fühlte sich im falschen Film. Kann es sein, dass die Unternehmensleitung Verstöße gegen dieses Verbot erst toleriert – wenn dann aber mal etwas passiert, gleich grob wird? Das wollte er nicht glauben. Deshalb klagte er gegen die Kündigung. Außerdem weigerte er sich, die 865 Euro zu zahlen. Schließlich – so dachte er sich – muss man für Fehler am Arbeitsplatz doch im Normalfall überhaupt nicht haften. Auch wenn es einen Schaden gibt.

Fiasko bei Gericht


Mit dieser Haltung hatte er beim Landesarbeitsgericht Mainz allerdings gleich doppelt Pech: Erstens bestätigte das Gericht die fristlose Kündigung. Zweitens verurteilte es ihn dazu, die 865 Euro zu zahlen. Für beides nennt das Gericht gute Gründe.

Fristlose Kündigung bestätigt


Was die fristlose Kündigung angeht, spielt es aus der Sicht des Gerichts kaum eine Rolle, dass die Unternehmensleitung privates Surfen tolerierte. Im konkreten Fall hilft das dem Kläger nichts. Was der Kläger getan hat, war nämlich nicht einfach „ein bisschen surfen“. Vielmehr hat er für rein private Zwecke Software heruntergeladen und installiert. Das ist viel gefährlicher als reines Surfen.

Außerdem hatte der Virenscanner beim Installieren einen Warnhinweis gegeben. Den hatte der Kläger jedoch einfach weggeklickt. Das war aus der Sicht des Gerichts besonders leichtfertig. Und schließlich hatte die Unternehmensleitung den Kläger im Laufe des letzten Jahres auch noch dreimal im Datenschutz schulen lassen. Er hätte also wissen müssen, was Sache ist.

Abmahnung entbehrlich


Insgesamt kommt das Gericht deshalb zu der Auffassung, dass sich der Arbeitgeber auf den Kläger nicht mehr verlassen kann. Aus rein privaten Interessen war dem Kläger die Sicherheit des EDV-Systems letztlich egal. Weil das schwer wiegt, musste der Arbeitgeber ihn vor einer Kündigung nicht erst abmahnen.

Dem Kläger hätte auch ohne Abmahnung klar sein müssen, dass der Arbeitgeber ein solches Verhalten auf keinen Fall toleriert. Deshalb konnte der Arbeitgeber sofort fristlos kündigen, und das Gericht erklärte diese Kündigung für wirksam.

Schadensersatzpflicht des Arbeitnehmers


Das nächste Fiasko erlebte der Kläger bei der Frage des Schadensersatzes. 865 Euro sind für den Kläger viel Geld. Sein Monatslohn betrug nämlich nur 2800 Euro brutto. Dennoch sieht das Gericht keinen Grund, schonend mit dem Kläger umzugehen. Er muss die 865 Euro zahlen.

Den Betrag an sich hält das Gericht für angemessen. Dabei argumentiert es vereinfacht gesagt so, dass ein Fachmann, der Schadsoftware beseitigt, eben nicht billig ist. Außerdem ist eine solche Arbeit relativ aufwendig.

Keinerlei Haftungserleichterung


Über irgendeine Haftungserleichterung verliert das Gericht in seiner Entscheidung kein Wort. Das lässt sich leicht erklären. Der Kläger hat den Schaden nämlich gar nicht während der Arbeit angerichtet. Die Software hat er vielmehr für rein private Zwecke während der Pause heruntergeladen. Und das hat mit der Arbeit natürlich nichts zu tun.

Wer das Urteil selbst lesen will, findet es mit dem Aktenzeichen 5 Sa 10/15 im Internet sofort.

Die wichtigste Lehre aus dem Urteil lautet: Bloß weil ein Arbeitgeber nichts unternimmt, wenn Mitarbeiter gegen ein Verbot verstoßen, ist noch lange nicht alles Mögliche erlaubt! Wenn er zum Beispiel privates Surfen duldet, nimmt er privates Herunterladen von Software nicht zwangsläufig in Kauf.

Der Schaden hätte weitaus höher ausfallen können


Unserer Meinung nach hat der Arbeitnehmer sogar noch Glück im Unglück gehabt. Stellen Sie sich vor, der Virus hätte nicht nur den eigenen Rechner lahmgelegt, sondern - wie es bei Erpressungstrojanern wie Locky & Co. derzeit leider üblich ist - das gesamte Unternehmensnetzwerk und evtl. sogar noch Netzwerke von Kunden und Lieferanten. Dann wäre die zu ersetzende Rechnung der IT-Spezialisten für die Behebung des Schadens schnell weitaus höher ausgefallen. Und dazu käme unter Umständen noch Betriebsausfall, etc.

Fazit: Finger weg von der Privatnutzung von Internet und E-Mail am Arbeitsplatz


Wenn Sie kein Risiko eingehen möchten, Ihren Arbeitsplatz zu verlieren und zusätzlich auf hohen Rechnungen sitzen zu bleiben, sollten Sie als Arbeitnehmer die Finger lassen von der Privatnutzung von Internet und E-Mail am Arbeitsplatz. Alles andere wäre grob fahrlässig.

Mittwoch, 7. September 2016

Online-Konferenzen: Vorsicht, ungebetene Gäste!

Virtuelle Meetings im Internet sparen Zeit und Geld. An der Sicherheit sollten Unternehmen aber nicht sparen. Doch genau das passiert gegenwärtig bei vielen Online-Konferenzen.


Schreibtisch statt Stau


Regelmäßige Kommunikation ist wichtig, im Projektteam genauso wie mit Kunden. Die Treffen und persönlichen Gespräche kosten allerdings Zeit – Zeit, die kaum jemand hat. Hinzu kommt, dass viele Teams und erst recht die Kunden weit verstreut sind, sodass lange Reisezeiten die Folge sind.

Da klingt es mehr als verlockend, möglichst viele Konferenzen und Schulungen virtuell über das Internet durchzuführen. Technische Lösungen dafür gibt es reichlich. Viele sind sogar kostenlos.

yourIT: Online Meeting
yourIT: Online Meeting

Lösungen für Online-Konferenzen gibt es viele


Sicherlich wurden Sie schon zu einem Online-Meeting mit Kunden oder Teammitgliedern eingeladen. Dabei werden Sie festgestellt haben, dass der eine Kunde die Online-Konferenzlösung A, der andere die Lösung B bevorzugt.

Schnell hat man eine ganze Reihe von Erweiterungen für den Webbrowser installiert, die in der Regel neben Webcam, Mikrofon und guter Internetverbindung die einzige Voraussetzung für das Online-Meeting sind.

Die Zugangsdaten für die Online-Konferenz erhalten Sie meist per E-Mail – als unverschlüsselte Mail wohlgemerkt. Oder Sie müssen sich registrieren, wobei Sie mitunter ohne ersichtlichen Grund eine Reihe von personenbezogenen Daten angeben müssen.

Verschiedene Lösungen machen es einfacher, komfortabler: Sie bekommen einen Link per Mail, den Sie zur vereinbarten Zeit anklicken, und schon kann es mit dem virtuellen persönlichen Austausch losgehen. Losgehen kann nun aber auch eine Online-Attacke oder ein Spionageversuch!

Wer lädt (wirklich) ein, wer nimmt (heimlich) teil?


Da der Link als Einladung zur Online-Konferenz in aller Regel als ungeschützte E-Mail verteilt wird, ist weder sichergestellt, dass der angegebene Absender stimmt, noch besteht Gewissheit, dass der Link zur Teilnahme nicht in die Hände unbefugter Dritter gelangt.

Das Datenschutzproblem ist offensichtlich: Es ist nicht gewährleistet, dass die Identitäten der Teilnehmer stimmen. Vertrauliche Videokonferenzen, die einfach über das ungeschützte Versenden eines Links eingeleitet werden, sind zweifellos ein Datenrisiko.

Achten Sie auf die Online-Sicherheit


Wenn Sie in Zukunft zu einer Online-Konferenz eingeladen werden oder selbst eine veranstalten, denken Sie nicht nur an den einfachen Zugang und den hohen Komfort. Vergessen Sie nicht die nötige Datensicherheit. Dazu gehören die folgenden Standardmaßnahmen:

  • Verschlüsselung der Datenübertragung 
  • Malware-Schutz (Risiko durch infizierte Dokumente, Plug-ins und Links)
  • Zugangsschutz über Benutzername und Passwort (keine direkte Teilnahme über Link)
  • Kontrolle der Teilnehmerliste 
  • kontrollierter, bewusster Einsatz von Mikrofon und Webcam
  • Beschränkung der Freigabe von (Desktop-)Inhalten


Mittwoch, 31. August 2016

Damit der Online-Kalender nicht zum Datenleck wird

Ein digitaler Kalender, der über das Internet gepflegt wird, ist wirklich praktisch. Leider ist er auch wirklich gefährlich, wenn der Datenschutz nicht stimmt.


Terminüberschneidungen müssen nicht sein


Stellen Sie sich vor, Sie sind beruflich unterwegs und bekommen einen Anruf. Es ist der Leiter einer anderen Abteilung, der Sie zu einem Projekttreffen einlädt. Da sind Sie gern dabei, Sie sagen zu.

Kurze Zeit später ruft jemand aus Ihrer Familie an und berichtet von einer Einladung der Nachbarn. Ob Sie dann Zeit haben, lautet die Frage. Nach Ihrer Erinnerung schon, Sie sagen wieder zu.

Zurück im Büro schauen Sie in Ihren Kalender. Sie ahnen es schon: Sowohl bei dem Projekttreffen als auch bei der Einladung der Nachbarn haben Sie bestehende Termine übersehen. Solche Terminüberschneidungen sind mehr als ärgerlich.

Bei Ihnen kommt das nicht vor, da Sie einen Online-Kalender nutzen, auf den Sie über das Internet auch unterwegs Zugriff haben? Dann haben Sie vielleicht keine Terminüberschneidungen. Dafür aber möglicherweise ein Datenleck.

yourIT Datenschutz - digitaler Kalender
yourIT Datenschutz - digitaler Kalender

Vertrauliche Daten in Kalendern sind oftmals ungeschützt


Bekanntlich steht es um die Verschlüsselung von E-Mails nicht gut (siehe auch Seite 1). Vertrauliche Daten werden unverschlüsselt über das Internet übertragen. Was leider übersehen wird: Das ist bei so manchem Online-Kalender nicht anders. In den digitalen Kalendern stehen vertrauliche Termine und Kontakte. Doch verschlüsselt werden die Inhalte der Kalender kaum.

Durch den möglichen Online-Zugriff auf den Kalender müssen Sie mit Datenrisiken aus dem Internet rechnen. Dazu gehören gefälschte Termineinladungen, die nur darauf abzielen, an Ihr Passwort für den Online-Kalender zu gelangen.

Solche Angriffe beginnen mit einer scheinbaren Termin-Einladung, enthalten einen manipulierten Link auf den Online-Termin und fangen dann die Zugangsdaten zu Ihrem Online-Kalender ab. Phishing-Angriffe und Passwortdiebstahl gibt es eben leider auch bei Kalendern.

Terminkalender: voll von Terminen und von Risiken


Viele der Funktionen von Online-Kalendern, die sehr praktisch sind, können zur Gefahr für Ihre Daten werden, wenn Sie nicht genug für den Datenschutz tun.

Online-Kalender bieten Freigabefunktionen für einzelne Termine, für alle Termine bis hin zur Veröffentlichung ganzer Kalender im Web. Vorsicht: Sie könnten versehentlich Termine mit personenbezogenen Daten zu Suchmaschinen-Futter machen, also öffentlich ins Netz stellen. Am besten tragen Sie nur Termine in einem Online-Kalender ein, die Sie auch ans Schwarze Brett hängen würden. Andernfalls ist zusätzlicher Schutz erforderlich.

Bei dem Import aus anderen Kalender-Programmen sollten Sie ebenfalls vorsichtig sein. Prüfen Sie nach dem Import genau, welchen Status die importierten Termine haben, zum Beispiel öffentlich oder privat.

Funktionen von Kalendern wie Dateianhang machen klar, dass digitale Kalender in Wirklichkeit Kommunikationsanwendungen sind. Damit ist auch klar, dass Dateien, die mit Terminen übertragen werden, genauso schadhaft sein können wie der Anhang einer E-Mail.

Tipps: Datenschutz bei Online-Kalendern

  • Verzichten Sie auf generelle Freigaben und definieren Sie lieber die Freigabe konkret bei Einzelterminen!
  • Prüfen Sie die angehängten Dateien zu Terminen auf Malware!
  • Denken Sie bei Einladungen zu Terminen an mögliches Phishing!
  • Wählen Sie die Passwörter zu den digitalen Kalendern ausreichend stark! 
  • Überprüfen Sie Termin-Importe auf falsche Freigaben!
  • Denken Sie auch bei digitalen Kalendern an die Datensparsamkeit!


Online-Kalender: Kennen Sie die Risiken? Machen Sie den Test!


Frage: Um Online-Kalender zu schützen, reicht ein starkes Passwort. Stimmt das?

  • a: Ja, dank Passwortschutz kann kein Unbefugter meine Termine lesen.
  • b: Nein, Datendiebe versuchen, auch die Passwörter für Online-Kalender zu stehlen. 

Lösung: Die Antwort b. ist richtig. Auch bei Online-Kalendern gibt es Phishing-Attacken. Schützen Sie daher vertrauliche Inhalte genau wie bei E-Mail zusätzlich. Achten Sie bei der Wahl des Online-Kalenders auf eine Verschlüsselung.

Frage: Der klassische Kalender ist sicherer als ein digitaler. Stimmen Sie dem zu?

  • a: Nein, ohne besonderen Schutz können natürlich auch Kalender in Papierform eingesehen werden. Jeder Kalender braucht einen Zugangsschutz.
  • b: Ja, denn mit dem Internet kommen neue Risiken für vertrauliche Termine hinzu. Datendiebe können unerkannt über das Internet die zu schützenden Termine lesen und sogar verändern oder löschen.

Lösung: Die Antwort a ist richtig, gleichzeitig aber auch die Antwort b. Vertrauliche Termine müssen grundsätzlich geschützt werden, bei Kalendern in Papierform und bei digitalen Kalendern.

Durch das Internet können auch Unbefugte Zugriff erlangen, die nicht an einen Kalender in Papierform kommen würden, wenn dieser auf dem Schreibtisch liegt. Doch auch die Kalender auf dem Schreibtisch müssen besser geschützt werden. Räumen Sie daher bitte Ihren Kalender weg. wenn Sie den Schreibtisch verlassen.

Sonntag, 28. August 2016

WhatsApp & Datenschutz - So widersprechen Sie der Datenweitergabe an Facebook

WhatsApp hat am 25.08.2016 zum ersten Mal seit der Übernahme durch Facebook die Nutzungsbedingungen und Datenschutzrichtlinie geändert.Vor 2 1/2 Jahren hat sich Facebook den Messenger-Dienst WhatsApp für 19 Milliarden Dollar einverleibt. Ein solcher Mega-Deal muss sich irgendwann auszahlen. Dazu verknüpft Facebook nun die Nutzer-Daten von WhatsApp mit den eigenen. Sie können dies verhindern. Wir zeigen Ihnen hier, was sie tun müssen.



Screenshot WhatsApp Zustimmung Nutzungsbedingungen und Datenschutzrichtlinie
WhatsApp Zustimmung Nutzungsbedingungen und Datenschutzrichtlinie

Auf dem Weg zum gläsernen Internet-Nutzer


Kurz nach der Übernahme durch Facebook hatten die WhatsApp-Verantwortlichen noch auf dem WhatsApp Blog verkündet: "Und das wird sich für euch, unsere Benutzer, ändern: Nichts. [...] Es hätte zwischen unseren beiden Firmen nie eine Partnerschaft geben können, wenn wir in irgendeiner Form unsere grundlegenden Prinzipien, die unsere Firma, unser Produkt und unsere Vision definieren, hätten verletzten müssen."

Donnerstag 25.08.2016 ist der Tag, an dem dieses Versprechen offiziell gebrochen wurde. Experten gehen davon aus, dass WhatsApp und Facebook bereits seit der Übernahme Nutzer-Daten austauschen. Ebenfalls auf dem WhatsApp Blog wurde nun die aus Sicht von WhatsApp notwendigen Änderungen der WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie verkündet - mit weitreichenden Folgen!

Diese neuen WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie sind ein weiterer Schritt hin zum gläsernen Internet-Nutzer.

"Heute aktualisieren wir zum ersten Mal seit vier Jahren die Nutzungsbedingungen und Datenschutzrichtlinie von WhatsApp, als Teil unserer Pläne in den kommenden Monaten Wege zu testen, wie Personen mit Firmen kommunizieren können. Die aktualisierten Dokumente spiegeln auch wider, dass wir jetzt ein Teil von Facebook sind [...]"

Was ändert sich?


Durch die neuen Bedingungen nimmt sich WhatsApp das Recht, WhatsApp-Account-Informationen mit Facebook zu teilen, um die Erlebnisse der Nutzer mit Werbung und Produkten auf Facebook zu "verbessern". Die Chats und die Telefonnummer des Nutzers werden aber auch weiterhin nicht auf Facebook geteilt.

Es geht also nicht nur um die Weitergabe der Mobilfunknummer des WhatsApp-Nutzers an Facebook, wie die seit Donnerstag kursierenden Pressemeldungen und Blogbeiträge suggerieren (vgl. BILD.de). Das wäre vermutlich wirklich nicht so schlimm, weil die meisten Facebook-Nutzer ihre Mobilfunknummer eh schon im Facebook-Account hinterlegt haben.

Sondern es geht zumindest prinzipiell darum, dass ALLE WhatsApp-Daten eines Nutzers an Facebook weitergeleitet werden sollen.

Als externem Datenschutzbeauftragten ist mir diese Denkweise von amerikanischen Unternehmensgruppen bereits bekannt. Alle Daten im Konzern sollen allen Konzernunternehmen bedingungslos zur Verfügung stehen, um damit den Profit zu optimieren. In Deutschland sehen wir das anders. In unserem BDSG gibt es kein Konzernprivileg. Jedes Konzernunternehmen wird als einzelnes Unternehmen betrachtet und unterliegt für die Datenweitergabe denselben Ansprüchen wie externe Unternehmen. Es ist also jeweils einzeln zu klären, ob eine Datenweitergabe überhaupt in Frage kommt und wenn ja, zu welchem Zweck welche Daten weitergegeben werden dürfen und ob es sich dabei um eine Auftragsdatenverarbeitung gemäß § 11 BDSG (Controller - Prozessor) oder um eine Funktionsübertragung (Controller - Controller) handelt.

WhatsApp versucht sich mit der aktuellen Zustimmungs-Anfrage zu den neuen WhatsApp Nuntzungsbedingungen und zur Datenschutzrichtlinie nun offiziell eine Einwilligung gemäß § 4a BDSG einzuholen.

Was bedeutet das?


WhatsApp begründet die Neuerungen der WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie wie folgt: "Durch die Zusammenarbeit mit Facebook haben wir mehr Möglichkeiten, z. B. können wir grundlegende Kennzahlen über die Häufigkeit, mit der Benutzer unsere Dienste verwenden, verfolgen, und besser gegen Spam auf WhatsApp vorgehen. Indem deine Telefonnummer mit den Facebook-Systemen verbunden wird, kann Facebook dir besser Freunde vorschlagen und dir passendere Werbung anzeigen, falls du einen Account dort haben solltest. Du könntest z. B. Werbung von einem Unternehmen sehen, mit dem du bereits in Kontakt standst, anstatt eines vorgeschlagen zu bekommen, von dem du noch nie gehört hast."

Mit der Telefonnummer des WhatsApp-Nutzers können verschiedene Profile eindeutig einem bestimmten Nutzer zugeordnet werden. Damit will Facebook die Werbung besser personalisieren. Wenn zum Beispiel ein WhatsApp-Nutzer seine Handynummer auch mit Unternehmen geteilt habe, die Anzeigen bei Facebook schalten, könnten ihm durch den Abgleich Angebote des Händlers eingeblendet werden.

Interessant ist, dass innerhalb der Facebook-Gruppe auch der Fotodienst Instagram WhatsApp-Daten nutzen soll, um einem Nutzer Follower-Vorschläge zu machen. WhatsApp selbst soll aber werbefrei bleiben.

Screenshot WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie Wesentliche Updates I
WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie Wesentliche Updates I

Screenshot WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie Wesentliche Updates II
WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie Wesentliche Updates II

Screenshot WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie Wesentliche Updates III
WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie Wesentliche Updates III

Screenshot WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie
WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie

Bleiben die Chats auf WhatsApp tatsächlich privat?


Screenshot WhatsApp-Nutzer-Account nach Zustimmung der Daten-Weitergabe an Facebook
WhatsApp-Nutzer-Account nach Zustimmung der Daten-Weitergabe an Facebook
Das ist die aktuelle Meldung im Account eines WhatsApp-Nutzers, der nicht widerstehen konnte und der Datenschutz-Anfrage von WhatsApp einfach zugestimmt hat. Hier steht ganz eindeutig: "[...] um meine Erlebnisse mit Werbung und Produkten auf Facebook zu verbessern."

Also in meinem Nutzer-Account stehen keine "Erlebnisse". Die "Erlebnisse" jedes WhatsApp-Nutzers stehen doch in dessen ChatsIn meinen Augen kann dies nur bedeuten, dass WhatsApp die Chats künftig "ausliest" und interessante "Erlebnisse" der Nutzer an Facebook weitermeldet.

Auch wenn nicht die Chats selber an Facebook weitergegeben werden, denn die sind ja seit dem 05.04.2016 Ende-zu-Ende-verschlüsselt und somit nur für die beteiligten Nutzer einsehbar, sollen die Unterhaltungen anscheinend künftig offenbar doch irgendwie "belauscht" werden, um aus den "Nutzer-Erlebnissen" lukrative Werbeplatzierungen auf Facebook zu ermöglichen.

Falls WhatsApp dies tatsächlich nicht so meinen sollte und die Chats unangetastet bleiben, wurde die Wortwahl extrem unglücklich gewählt.

Kann ich als Nutzer wiedersprechen?

Früher oder später bekommt jeder WhatsApp-Nutzer nun eine Aufforderung von WhatsApp, den neuen WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie zuzustimmen.

Wenn Sie als durchschnittlicher WhatsApp-Nutzer nichts von der Weitergabe Ihrer Nutzer-Daten an Facebook halten und kein Interesse daran haben, Facebook zu helfen, deren Werbe-Erfahrungen zu verbessern, bietet Ihnen WhatsApp hierfür zwei Möglichkeiten - die allerdings auf den ersten Blick nicht zu erkennen sind.

Möglichkeit 1 - Einfach nicht zustimmen!


Keiner zwingt Sie, den Änderungen der WhatsApp Nutzungsbedingungen und Datenschutzrichtlinie zuzustimmen. Die Möglichkeit zum Nein-Sagen (Opt-Out) ist nur etwas versteckt angebracht - rein zufällig natürlich.

Screenshot WhatsApp FAQ neue Nutzungsbedingungen und Datenschutzrichtlinie
WhatsApp FAQ neue Nutzungsbedingungen und Datenschutzrichtlinie

Um nicht zuzustimmen müssen sie ganz unten in der Nachricht von WhatsApp - unterhalb von "ZUSTIMMEN" - im Text „Lies unsere Nutzungsbedingungen und Datenschutzrichtlinien und lerne mehr zu den Auswahlmöglichkeiten, die du hast“ dem Link hinter "Lies" folgen. Danach müssen Android-Nutzer nur noch den Haken aus dem Auswahlkästchen entfernen bzw. iPhone-Nutzer den Schieberegler nach links schieben. Das war's! Sie können dann auf Zustimmen klicken.Ihre Daten werden nicht weitergegeben.

Möglichkeit 2 - Zustimmung zurücknehmen - Nur bis 24.09.2016 möglich!


Sie waren mal wieder zu schnell und haben der Meldung auf WhatsApp zugestimmt, ohne groß darüber nachzudenken? Kein Problem: Sie können Ihre Zustimmung zurücknehmen. 

Das geht folgendermaßen:

Sie gehen in der WhatsApp-App in Ihren Account. Ganz unten gibt es einen neuen Eintrag "Meine Account-Info teilen" mit einem gesetzten Haken dahinter.

Falls Ihnen nicht klar ist, ob Sie der WhatsApp-Meldung vorschnell bereits zugestimmt haben oder nicht, erkennen dies übrigens genau an diesem neuen Eintrag im Account. Ohne Ihr Zutun gibt es diesen Eintrag im Account nicht.

Screenshot WhatsApp-Nutzer-Account nach Zustimmung der Daten-Weitergabe an Facebook
WhatsApp-Nutzer-Account nach Zustimmung der Daten-Weitergabe an Facebook

Wenn Sie den gesetzten Haken entfernen, meldet WhatsApp folgendes:

Screenshot WhatsApp-Nutzer-Account Meldung nach Zustimmung der Daten-Weitergabe an Facebook
WhatsApp-Nutzer-Account Meldung nach Zustimmung der Daten-Weitergabe an Facebook

Da Sie Ihre WhatsApp-Daten eben NICHT TEILEN wollen - auch nicht in der Zukunft, wählen Sie genau dies aus. Danach sieht Ihr Account wieder genau so aus, wie vor der Zustimmung zur Daten-Weitergabe an Facebook.

Screenshot WhatsApp-Account ohne Zustimmung zur Datenweitergabe an Facebook
WhatsApp-Account ohne Zustimmung zur Datenweitergabe an Facebook

Aber Achtung: Diese Möglichkeit steht Ihnen nur bis zum 24.09.2016 zur Verfügung.

Ist mein Widerspruch wirksam?


Im "Kleingedruckten", den FAQ zu WhatsApp steht: "Die Facebook-Unternehmensgruppe wird diese Information trotzdem erhalten und für andere Zwecke, wie Verbesserung von Infrastruktur und Zustellsystemen, des Verstehens der Art der Nutzung unserer bzw. ihrer Dienste, der Absicherung der Systeme und der Bekämpfung von Spam, Missbrauch bzw. Verletzungshandlungen."

Screenshot WhatsApp FAQ Hinweis zur Datenweitergabe an Facebook-Unternehmensgruppe
WhatsApp FAQ Hinweis zur Datenweitergabe an Facebook-Unternehmensgruppe

Das Verb am Ende des Satzes fehlt auch im Originaltext (siehe oben). Unklar bleibt auch, was mit "diese Information" gemeint ist. Betrifft das nur die Nutzung der Nutzer-Daten zu nicht werbliche Nutzung, oder ...

Welche Möglichkeiten haben neue Nutzer?


Eine Wahl haben nur am 25.08.2016 bereits bestehende WhatsApp-Benutzer. Wer sich danach neu zu WhatsApp anmeldet bekommt beim Öffnen der App folgenden Screen angezeigt:

Screenshot WhatsApp neuer User Zustimmung Nutzungsbedingungen und Datenschutzrichtlinie
WhatsApp neuer User Zustimmung Nutzungsbedingungen und Datenschutzrichtlinie

Neue Nutzer müssen demnach den aktuellen WhatsApp Nuntzungsbedingungen und der Datenschutzrichtlinie zustimmen. Eine Möglichkeit für eine anderweitige Entscheidung findet sich nicht.

Fazit zu den neuen WhatsApp Nutzungsbedingungen und zur Datenschutzrichtlinie


Aus Sicht des Datenschutzes macht ein Widerspruch zu den neuen WhatsApp Nutzungsbedingungen und Datenschutzrichtlinien absolut Sinn. Vielleicht ist das sogar eine gute Gelegenheit, die Datenschutz-Einstellungen seines Facebook-Accounts mal (wieder) zu überdenken. Eine Garantie, dass sich Facebook und WhatsApp an Ihre persönlichen Vorgaben zum Datenschutz halten wird, gibt es aber auch weiterhin nicht. Wer sicher gehen will, dass seine Daten nicht Datenschutz-widrig benutzt und weitergegeben werden, muss seine Nutzung von Facebook und WhatsApp aufgeben, seine Accounts löschen und die Apps löschen.

Ich bin gespannt, wieviele WhatsApp- und Facebook-Nutzer tatsächlich dem Datenkraken den Rücken kehren und aus meiner Kontaktliste verschwinden werden. Bisher folgten den EXIT-Androhungen der Nutzer meist keine Taten. Vielleicht testen Facebook, WhatsApp & Co. ja gerade auch nur, wie weit sie gehen können...

Freitag, 26. August 2016

Der Kindergeburtstag auf Facebook

Welche Regeln gelten eigentlich, wenn man Fotos von einem Kindergeburtstag auf Facebook stellen will? Ärger ist in solchen Fällen häufiger, als man denkt. Kurzes Nachdenken vorher verhindert Schwierigkeiten nachher!

Kinderfotos auf Facebook – gute Idee oder nicht?


Der Kindergeburtstag war eine schöne Sache. Die Kinder amüsierten sich prima. Und manche Eltern waren froh, ihren Nachwuchs einfach einmal für einen Nachmittag bei lieben Nachbarn abgeben zu können. Es entstanden dabei wirklich schöne Fotos. Da-ran wollte der Vater des Geburtstagskinds auch andere teilhaben lassen. Deshalb wählte er zehn besonders schöne Fotos aus und stellte sie auf die eigene Facebook-Seite.

Ob das eine gute Idee war, darüber gingen die Meinungen schnell auseinander. Probleme gab es vor allem mit den Eltern eines Kindes, das beim Geburtstag dabei war und das gleich auf mehreren Fotos zu sehen war. Dessen Eltern leben nämlich getrennt. Der Vater fand das mit den Fotos auf Facebook ganz gut. Die Mutter hielt dagegen überhaupt nichts davon.

yourIT Datenschutz - Fotos vom Kindergeburtstag auf Facebook posten?!
yourIT Datenschutz - Fotos vom Kindergeburtstag auf Facebook posten?!

Klare gesetzliche Regelungen


Solche Fälle muss man sich nicht ausdenken. Wenn man sich etwas umhört, wird man rasch fündig. Und schon stellt sich die Frage, was in solchen Fällen eigentlich zu beachten ist. So sehr es manchen wundert: Es gibt dafür klare gesetzliche Regeln. Sie stehen in einem Gesetz, das schon über 100 Jahre alt ist. Es wird meistens mit seiner Abkürzung KUG erwähnt. 

Sein vollständiger Name „Kunsturheberrechtsgesetz“ ist zum einen recht sperrig. Zum anderen führt er auch in die Irre. Die Regelungen in diesem Gesetz haben nämlich nichts mit dem Urheberrecht zu tun und auch nichts mit der Kunst. Vielmehr geht es um das, was die Juristen „Recht am eigenen Bild“ nennen. Das Urheberrecht ist dagegen inzwischen in einem anderen Gesetz geregelt.

Einwilligung nötig – bei Minderjährigen von den Eltern


Beim Recht am eigenen Bild geht es um die Frage, ob es jemand dulden muss, dass Bilder von seiner Person verbreitet werden. Die Grundregel hierfür lautet klar: Nein, das muss er nicht. Wenn ich Bilder von jemandem verbreiten will, brauche ich seine Einwilligung dazu. Das gilt natürlich auch für Kinder. Einzige Besonderheit: In diesem Fall kann nicht das Kind selbst einwilligen. Vielmehr brauche ich die Einwilligung der Eltern.

Besonderheiten eines Kindergeburtstags


Damit ist man sofort wieder beim Kindergeburtstag, von dem Fotos auf Facebook verbreitet werden. Daran ist Folgendes rechtlich wichtig:


  • Fotos auf Facebook sind normalerweise öffentlich zugänglich. Das gilt vor allem dann, wenn der Zugriff nicht auf bestimmte Personen beschränkt ist.
  • Aber auch dann, wenn eine solche Beschränkung auf bestimmte Personen vor-genommen wird, ändert das nichts daran, dass die Bilder jedenfalls gegenüber diesen Personen verbreitet werden.
  • Man kann es also drehen und wenden, wie man will: Bilder von Personen darf man normalerweise nur dann auf Facebook einstellen, wenn man die Einwilligung dieser Personen hat.
  • Bei Kindern ist es Sache der Eltern, ob sie einwilligen oder nicht.
  • Das ist kein Problem, solange sich die Eltern einig sind. Was aber ist, wenn ein Elternteil Ja sagt und ein Elternteil Nein? Wenn beide Eltern anwesend sind und sich vor Ort so verhalten, ist ein Einstellen der Bilder auf Facebook ausgeschlossen.
  • Und wie sieht es aus, wenn nur ein Elternteil anwesend ist? Muss man dann den anderen anrufen und ihn ebenfalls fragen? Nach Auffassung der meisten Juristen gehört eine solche Einwilligung zu den alltäglichen Dingen, die auch ein Elternteil für sich allein erledigen kann. Aber hier muss man ein bisschen vorsichtig sein. Ginge es beispielsweise um Fotos für Werbezwecke, sähe das schon wieder anders aus. Denn das ist dann keine banale Angelegenheit mehr.

Das immer zulässige „Gruppenfoto“ – ein rechtlicher Mythos


Häufig hört man, dass es kein Problem sei, wenn man Bilder einer Gruppe veröffentliche. Und manche wollen sogar wissen, das gelte vor allem dann, wenn die Gruppe aus sieben oder mehr Personen besteht. Manchmal wird sogar behauptet, diese Zahl 7 stünde sogar im Gesetz.

Nichts davon ist wahr. Es handelt sich vielmehr um ein Beispiel für rechtliche Märchen. Zwar gibt es im KUG eine Regelung für Fotos von Demonstrationen, Umzügen und ähnlichen Ereignissen. Es ist klar, dass man davon nie Bilder veröffentlichen könnte, wenn man die Einwilligung aller beteiligten Personen bräuchte. Deshalb fordert das Gesetz für diese speziellen Fälle keine Einwilligung. Man kann sie fotografieren und diese Fotos auch verbreiten und veröffentlichen. Kindergeburtstage gehören jedoch sicher nicht in diese Kategorie.

Mittwoch, 24. August 2016

Ein Blick in die eigenen Behandlungsunterlagen

Meist bekommt man als Patient durchaus Einsicht in die Unterlagen über die eigene Behandlung. Aber falls es doch einmal Konflikte gibt: Welche Spielregeln gelten dann eigentlich?


Funktion von Behandlungsunterlagen


Behandlungsunterlagen dienen dem Patienten wie dem Arzt. Der Arzt braucht sie als Gedankenstütze. Manchmal benötigt er sie auch, um Vorwürfe wegen falscher Behandlung abzuwehren. Der Patient wiederum will die Unterlagen vorlegen, wenn er einen anderen Arzt aufsucht. Vielleicht möchte er sich aber auch nur informieren, was gesundheitlich eigentlich mit ihm los ist. Dann können Behandlungsunterlagen eine hoch spannende Lektüre sein.

Bild Nachweis: Fotolia_115646552

Regelungen zu ihrem Inhalt


Was in Behandlungsunterlagen eines Arztes stehen muss, ist gesetzlich geregelt. Enthalten sein müssen sämtliche aus fachlicher Sicht für die derzeitige und künftige Behandlung wesentlichen Maßnahmen und deren Ergebnisse. So legt es § 630f des Bürgerlichen Gesetzbuchs (BGB) fest.
Aus der Sicht eines medizinischen Laien mag die Formulierung etwas schwammig wirken. Aus der Sicht eines medizinischen Fachmanns sieht das schon anders aus. Außerdem hat die etwas weite Formulierung einen wesentlichen Vorteil: Neue fachliche Erkenntnisse dazu, was in Behandlungsunterlagen hinein gehört, lassen sich recht schnell umsetzen. Das Gesetz muss dazu nicht geändert werden.

Diagnosen, Befunde, Therapien


Das Gesetz nennt konkrete Beispiele dafür, was auf jeden Fall in die Unterlagen hinein gehört, nämlich

die Anamnese (also die medizinische Vorgeschichte des Patienten),
ferner Diagnosen,
Untersuchungen,
Untersuchungsergebnisse,
Befunde,
Therapien und ihre Wirkungen,
Eingriffe und ihre Wirkungen,
Einwilligungen und Aufklärungen.

Besonders wichtig für den Patienten: Arzt-briefe sind auf jeden Fall in die Patientenakte aufzunehmen.

Rechtsanspruch auf Einblick


Oft ist die Rede davon, dem Patienten werde Einblick in die Behandlungsunterlagen „gewährt“. Manche verstehen dies so, dass der Arzt den Einblick sozusagen Gnaden halber und nach seinem Ermessen bewilligen kann – oder eben auch nicht. Das trifft jedoch nicht zu. Vielmehr hat der Patient einen gesetzlichen Anspruch auf Einblick in die Behandlungsunterlagen, die ihn selbst betreffen. So regelt es ausdrücklich § 630g BGB.

Anspruch auf Kopien


Häufig wird es so sein, dass ein Patient die Unterlagen nicht versteht. Viele Begriffe sind nur Fachleuten klar. Und selbst ein Fachmann braucht Zeit, um den Inhalt von Unterlagen richtig zu interpretieren. Oft wollen Patienten deshalb Kopien ihrer Behandlungsakte. Auch dieser Anspruch ist gesetzlich inzwischen klar festgelegt (siehe § 630g Absatz 2 BGB: „Der Patient kann auch elektronische Abschriften von der Patientenakte verlangen.“).

Kostenpflicht für Kopien


Genauso klar ist allerdings auch geregelt, dass der Patient die Kosten hierfür tragen muss. Man sollte sie nicht unterschätzen. Denn selbstverständlich gehören dazu nicht nur die eigentlichen Kopierkosten, sondern auch die Kosten für das Personal, das Ko-pien anfertigt. Glück hat ein Patient, dessen Patientenakte elektronisch geführt ist. Das Übertragen der Daten auf einen elektronischen Datenträger verursacht kaum irgend-welche Kosten.

Ansprüche der Erben und Angehörigen


Etwas schwierig wird es, wenn ein Patient verstorben ist. Relativ häufig wollen dann Angehörige wissen, wie es eigentlich zum Tod kam. Fragen dazu sind allerdings oft vergeblich. Das gilt sogar dann, wenn eine enge familiäre Beziehung besteht und beispielsweise die Ehefrau fragt, warum ihr Mann gestorben ist.
Der Grund: Die ärztliche Schweigepflicht gilt auch nach dem Tod weiter, und der Gesetzgeber wollte sie nicht zu sehr aushöhlen. Das Gesetz lässt deshalb den Anspruch auf Einsicht in die Behandlungsunterlagen nicht einfach pauschal auf die Erben oder auf nahe Angehörige übergehen. Vielmehr heißt es in § 630g Absatz 3 BGB, dass die Erben „zur Wahrnehmung vermögensrechtlicher Interessen“ Einblick in Behandlungsunterlagen nehmen dürfen.
Das praktisch wichtigste Beispiel hierfür: Die Lebensversicherung will nicht zahlen, weil sie die Umstände des Todes für unklar hält. Dann kann es für den Erben Gold wert sein, wenn er mithilfe der Behandlungsunterlagen nachweisen kann, dass die Versicherung sehr wohl zahlen muss.

Erst reden, dann zum Gesetz greifen


Insgesamt hat der Gesetzgeber die Rechte der Patienten in den letzten Jahren gestärkt. Grenzen haben diese Rechte allerdings nach wie vor. Suchen Sie deshalb immer zunächst das Gespräch mit dem Arzt, der Sie behandelt hat. Greifen Sie erst dann zum Gesetz, wenn sonst wirklich kein vernünftiges Ergebnis zu erzielen ist.