Mein Datenschutz-Blog - #THEPRIVÄCY

Ein modernes Webradio in der Teeküche sorgt nicht nur für schöne Musik und aktuelle Wetterdaten, es kann auch zu einem echten Datenrisiko werden. Denn in immer mehr Geräten stecken Assistenten wie Alexa, die dauerhaft lauschen. 

Schlaue Radios mit Nebenwirkung

Gute Musik hebt die Stimmung, aktuelle Wetterinformationen helfen bei der Planung von Dienstreisen und Events. Da macht ein Webradio im Büro oder in der Teeküche schon Sinn. Dank Online-Verbindung bieten die Internetradios zahlreiche Radiosender, ob national oder international.

Datenrisiko - Lauscht Alexa heimlich?

Doch die neuen Webradios können mehr: ...

Ein Arbeitgeber möchte das Fahrverhalten seiner Berufskraftfahrer optimieren. Deshalb installiert er in den Fahrzeugen ein System namens RIBAS. Ein altgedienter Fahrer hält das alles für Unfug und aktiviert das System nicht. Sage und schreibe drei Mal mahnt ihn der Arbeitgeber ab. Auch das hilft nicht. Da kündigt ihm der Arbeitgeber. Wird die Kündigung vor den Gerichten Bestand haben?

Es geht um Geld und um Fahrkomfort

Ein Nahverkehrsunternehmen will den Fahrkomfort für die Fahrgäste verbessern und außerdem Sprit sparen. Deshalb lässt es in seinen Bussen ein System mit Namen RIBAS installieren. Es ist inzwischen in ganz Deutschland weit verbreitet.

yourIT Datenschutz - Die Überwachung des Fahrverhaltens von Arbeitnehmern kann zulässig sein

BSI – bisher noch nie gehört? Das ist schade! Denn das „Bundesamt für Sicherheit in der Informationstechnik“ hilft Unternehmen und Normalbürgern gleichermaßen. Von seinen Sicherheitstipps kann jeder profitieren. Machen Sie einen Versuch!

Scheinbar sichere Internetseiten

„Ich surfe nur auf vertrauenswürdigen Seiten, darum muss ich mich nicht vor Cyber-Angriffen schützen.“

So denkt mehr als einer. Schön wär's, kann man dazu nur sagen.

Natürlich ist es vernünftig und richtig, sich von dubiosen Internetseiten von vornherein fernzuhalten. Das allein reicht aber nicht. Denn, so das BSI: „Leider können auch vertrauenswürdige Seiten hin und wieder von Schadsoftware betroffen sein.

Sie kann sich beispielsweise in Werbebannern verstecken und sich unbemerkt auf dem PC des Nutzers installieren. Sogenannte Drive-by-Downloads, bei denen Inhalte ohne Zutun des Nutzers im Hintergrund heruntergeladen werden, können auch über populäre Internet-Seiten erfolgen.“

yourIT - nützliche Sicherheitstipps vom BSI

Bequeme öffentliche WLANs

„Das Surfen in öffentlichen WLANs spart nicht nur Kosten, sondern ist auch sicher.“ 

Jedenfalls an der Ersparnis ist etwas dran. Doch sollte man auch bedenken, dass die Datenübertragung zwischen dem mobilen Gerät und dem Router, der die Internetverbindung herstellt, meist unverschlüsselt erfolgt.

Deshalb empfiehlt das BSI: „Über öffentliche WLANs sollten nie vertrauliche Daten übertragen werden, es sei denn, sie werden zuvor lokal auf dem eigenen Gerät verschlüsselt oder über ein virtuelles privates Netzwerk (VPN) übertragen. Das gilt vor allem, wenn auf das Heim- oder Firmennetzwerk zugegriffen werden soll.“

Bitte denken Sie dabei daran, die Vorschriften Ihres Unternehmens für externe Zugriffe auf das Firmennetzwerk zu beachten!

Scheinbar uninteressante Daten

„Ich habe nichts zu verbergen und keine wichtigen Daten, also bin ich doch kein Ziel für Cyber-Kriminelle und muss mich deshalb nicht schützen.“

Für Unternehmensdaten gilt das natürlich niemals. Aber vielleicht wenigstens für Ihre privaten Daten?

Das BSI sieht auch das anders: „Diese Ansicht ist grundlegend falsch. Cyber-Kriminelle können alle Daten für ihre Zwecke nutzen. Jeder, der mit einem ungeschützten Gerät im Internet surft, einkauft oder Online-Banking betreibt, hinterlässt eine Vielzahl an Daten, für die sich Cyber-Kriminelle interessieren.

Das sind nicht unbedingt die auf dem Rechner gespeicherten Urlaubsfotos, Korrespondenzen oder andere private Dokumente. Von einem ungeschützten Rechner können Kriminelle dort gespeicherte oder im Internet übertragene Zugangs-, Konto- und Kreditkartendaten leicht stehlen und missbrauchen.“

Wiegen Sie sich also nicht in falscher Sicherheit und achten Sie auch beim privaten Rechner auf einen aktuellen Virenschutz sowie auf regelmäßige Updates aller Programme!

Gelöscht und trotzdem noch vorhanden

„Wenn ich alle Daten von meinem Gerät lösche und anschließend den Papierkorb leere, sind die Daten ein für alle Mal weg.“ 

Sie sind gut mit der EDV vertraut und lächeln über so viel Naivität? Glückwunsch! Aber kennt sich Ihr Kollege genauso gut aus? Man kann über das Thema nicht oft genug sprechen: „Durch das Verschieben von Dateien in den Papierkorb bleiben die Dateien vollständig auf dem Speichermedium erhalten.

Auch nach Leeren des Papierkorbs lassen sich Daten mit wenig Aufwand wiederherstellen, da bei diesem Vorgang lediglich die Verweise auf die Daten im Index, dem Inhaltsverzeichnis der Festplatte, gelöscht werden und der Bereich zum Überschreiben freigegeben wird.“ So der Hinweis des BSI zu diesem Thema.

Ach übrigens: Auch in Scangeräten und Fotokopierern gibt es Datenträger mit großer Kapazität, die alles längerfristig festhalten. Wird das Gerät gestohlen, hat der Dieb Zugriff auf all diese Daten.

Attacke per E-Mail

„Wenn ich eine E-Mail nur anschaue, aber keinen Anhang öffne, kann nichts passieren.“

Klarer Fall: Bevor man einen Anhang öffnet, sollte man immer erst einmal überlegen, ob die Mail vertrauenswürdig ist. Aber für sich allein reicht das nicht als Schutz. Denn, so das BSI: „Viele E-Mails sind farbig, mit verschiedenen Schriften und Grafiken gestaltet.

Dort kann schädlicher Code versteckt sein, der bereits beim Öffnen der Mail ausgeführt wird, ohne dass dafür ein Anhang angeklickt werden muss.“

Empfehlung daher: „Deshalb sollten Nutzer in ihrem E-Mail-Programm die Anzeige von E-Mail im HTML-Format deaktivieren.“

Sie möchten noch mehr Tipps?

Dann geben Sie in einer Suchmaschine einfach „BSI Sicherheitsirrtümer“ ein! Und registrieren Sie sich jetzt für unser Online-Magazin Datenschutz Now!

Smartwatches, die intelligenten Armbanduhren, liegen im Trend und gehörten zu den beliebtesten Weihnachtsgeschenken. Um ihre Datensicherheit ist es jedoch nicht gut bestellt.

Technik-Fans aufgepasst!

Als Geschenke sind Mobilgeräte wie Smartphones und Tablet-Computer sehr gefragt. Auch die sogenannten Wearables wie Smartwatches und Fitness-Tracker. Doch leider wird bei aller Begeisterung vergessen, was die vielen neuen Geräte für unsere Privatsphäre bedeuten können.

Gerade die Wearables, also Geräte, die wir als Nutzer am Körper tragen, sind ständig bei uns. Sie müssen den Nutzer nicht verfolgen, sondern sind mit der Person direkt und eng verbunden. Diese Nähe sollte Anlass genug sein, um über die Funktionen der Smartwatches und anderer Wearables genauer nachzudenken.

So sind die Smartwatches nicht einfach nur Armbanduhren, die anstelle eines Zifferblatts ein hübsches buntes Display haben, das neben der Uhrzeit auch Fotos des Nutzers anzeigen kann.

Smartwatch, Datenschutz, yourIT

Smartwatches können mehr, als die Uhrzeit zu verraten

61 Prozent der Personen, die sich für eine Smartwatch interessieren, wünschen sich etwa das Anzeigen der Daten von Fitness-Apps wie der zurückgelegten Strecke beim Joggen. 39 Prozent würden mit ihrer Smartwatch gern Gesundheitsdaten wie Puls oder Blutdruck messen und bei Bedarf automatisch Verwandte oder den Arzt informieren.

Zudem möchten 23 Prozent die Smartwatch als Navigationsgerät einsetzen und 56 Prozent zum Anzeigen eingegangener SMS oder E-Mails, wie eine Bitkom-Umfrage ergab.

Offensichtlich gelangen so vertrauliche Daten wie E-Mails und SMS und sogar hochsensible Gesundheitsdaten auf die intelligenten Armbanduhren. Trotzdem haben lediglich 30 Prozent der Befragten Angst vor Datenmissbrauch.

Nur jeder Vierte hat die Sorge, dass Hacker die Smartwatch angreifen könnten. Da stellt sich die Frage, wie daten-schutzfreundlich und sicher Smartwatches und andere Wearables wirklich sind.

Prüfungen der Aufsichtsbehörden sind alarmierend

Mehrere Aufsichtsbehörden für den Datenschutz haben sich dieser Frage angenommen und verschiedene Wearables sowie die zugehörigen Fitness-Anwendungen überprüft – mit ernüchterndem Ergebnis.

Bereits die Datenschutzerklärungen erfüllen meistens nicht die gesetzlichen Anforderungen. Sie sind in der Regel viele Seiten lang, nur schwer verständlich und enthalten lediglich pauschale Hinweise zu essenziellen Datenschutzfragen, so die Aufsichtsbehörden.

Beunruhigend sind auch die Aussagen zur Datenweitergabe: Der Nutzer erfährt oftmals weder, an wen genau die Daten weitergegeben werden, noch kann er wider-sprechen. Generell sind die Daten aber auch für Werbezwecke und zur Profilbildung äußerst interessant.

Viele Geräte bieten keine Möglichkeit, Daten selbstständig vollständig zu löschen. Weder im Gerät selbst noch im Nutzerkonto gibt es eine Löschfunktion.

Mitunter werden die Fitness-Daten der Nutzer nicht nur von der Smartwatch auf das Smartphone übertragen, sondern direkt an den Anbieter oder an Partnerunternehmen des Anbieters. In der Regel ist dies mit Risiken verbunden, derer sich die Nutzer bewusst sein sollten, so die Datenschützer.

Sicherheitsfunktionen sind bei Smartwatches eine Seltenheit

Im Vergleich zu Smartphones sind die Smartwatches auch kaum mit Sicherheitsfunktionen ausgestattet, obwohl viele Modelle vergleichbare Betriebssysteme und die Möglichkeit haben, Apps zu installieren.

Einen Schutz vor Schadsoftware, eine Verschlüsselung der gespeicherten Daten, eine Verschlüsselung der Datenübertragung und einen Zugangsschutz zumindest über eine Passwortabfrage sucht man in aller Regel vergebens.

Neben der Privatnutzung der Smartwatches nimmt auch der berufliche Einsatz zu. Es gibt inzwischen bereits ausgesprochene Business-Smartwatches. Firmen-Mails landen dann ebenso auf der Smartwatch wie digitale Dokumente.

Denn der Speicherplatz ist dank Erweiterung über Speicherkarten durchaus üppig. Trotzdem haben selbst die Business-Smartwatches kaum Sicherheitsfunktionen zu bieten. Einige bringen einen Passwortschutz mit. Erst wenige Anbieter haben die Möglichkeit geschaffen, dass Sicherheits-Apps entwickelt und später installiert werden.

Vorsicht ist angebracht

Misstrauen Sie also dem geliebten Weihnachtsgeschenk Smartwatch. Machen Sie es nicht einfach zu Ihrem persönlichen Begleiter und Assistenten, der immer dabei ist und alle Termine und E-Mails kennt. Sonst könnten die vertraulichen Daten schneller die Armbanduhr verlassen, als Sie denken, und Sie hätten womöglich einen Spion am Handgelenk.

Nutzen Sie die vielfältigen Funktionen deshalb nur mit Vorsicht. Achten Sie darauf, dass die Verbindungen zwischen Smartwatch und anderen Geräten keinesfalls ständig aktiv sind.

So unterbinden Sie auch eine mögliche Übermittlung der aktuellen Standortdaten und eine dauerhafte Ortung durch Dritte.

Bürger, die persönlich gefährdet sind, können von Behörden in manchen Registern „Sperrvermerke“ eintragen lassen. Ihre Daten dürfen dann entweder gar nicht weitergegeben werden oder nur unter besonderen Vorsichtsmaßnahmen. Hat das Auswirkungen darauf, wie ein Unternehmen mit Daten solcher Personen umgehen darf?

Schutz gefährdeter Personen durch Behörden

Jeder, der eine Wohnung bezieht, muss sich beim Einwohnermeldeamt anmelden. Seine Daten kommen ins Melderegister. Normalerweise ist das eine völlig unspektakuläre Angelegenheit.
Es gibt allerdings auch Spezialfälle.

yourIT, Sperrvermerk, Datenschutz

So kann es vorkommen, dass ein Polizist persönlich gefährdet ist, weil sich Kriminelle an ihm rächen wollen. Er kann dann beantragen, dass für ihn im Melderegister eine Auskunftssperre eingetragen wird. Die Sperre soll verhindern, dass seine Adresse den falschen Leuten in die Hände fällt.

Auskünfte über die aktuelle Anschrift sind ohne eine solche Sperre relativ leicht zu erhalten. Zwar muss man dabei zumindest den Namen und den Vornamen der gesuchten Person nennen können. Gerade bei seltenen Namen stellt das aber keine große Hürde dar.

Auswirkungen auch auf Unternehmen?

So weit, so gut. Bis dahin ist das eine behördeninterne Angelegenheit, die Unter-nehmen normalerweise nicht weiter interessiert. Das ändert sich freilich sofort, wenn ein solcher Bürger mit Auskunftssperre von einem Unternehmen verlangt, ihn ebenfalls besonders zu schützen. Solche Forderungen häufen sich inzwischen.

Teils extreme Forderungen von Kunden

Manche Kunden gehen sogar so weit, dass sie verlangen, auch im Unternehmen so etwas wie eine interne Auskunftssperre zu bekommen. Sie soll bewirken, dass normale Unternehmensmitarbeiter keinen Zugriff mehr auf die Daten dieses Kunden haben. Ein Zugriff soll nur noch ausgewählten, besonders vertrauenswürdigen Mitarbeitern möglich sein.

Was auf den ersten Blick durchaus nachvollziehbar wirken mag, behindert bei näherem Hinsehen die Arbeitsabläufe  erheblich. Gäbe es einen solchen Anspruch,  müsste die Datenverarbeitung entsprechend angepasst werden. Außerdem wären besondere Mitarbeiter auszuwählen. Also alles keine Kleinigkeiten!

Position der bayerischen Datenschutzaufsicht

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in seinem Tätigkeitsbericht 2015/2016 klar Position bezogen, wie mit solchen Forderungen umzugehen ist. Es hebt Folgendes hervor:

• Unternehmen dürfen Daten ohnehin nur verarbeiten, wenn dies für die Tätigkeit des Unternehmens erforderlich ist.
• Ist diese Voraussetzung gegeben, dürfen alle Mitarbeiter Zugriff auf die Daten erhalten, die sie für ihre Arbeit brauchen. So muss etwa die Buchhaltung auf die Daten aller Kunden zugreifen können, bei denen noch eine Rechnung offen ist.
• Zugriffsbeschränkungen, die darüber hinausgehen, kann kein Kunde verlangen. In den Datenschutzgesetzen, die für Unternehmen gelten, gibt es keine Regelungen über so etwas wie Sperrvermerke oder Auskunftssperren.
• Ist im Register einer Behörde ein Sperrvermerk, eine Auskunftssperre oder et-was dergleichen eingetragen, dann hat dies nur für die Arbeit dieser Behörde Bedeutung. Auswirkungen auf Unternehmen ergeben sich dagegen nicht.

Vorsicht vor Überinterpretationen!

Dies ist eine wichtige Klarstellung. Sie darf allerdings auch nicht überinterpretiert werden. So kann Folgendes vorkommen:

• In einem Einwohnermelderegister ist für einen Bürger eine Auskunftssperre wegen Gefährdung eingetragen.
• Ein Unternehmen möchte vom Einwohnermeldeamt die aktuelle Anschrift dieses Bürgers erfahren. Der Grund: Es ist noch eine Rechnung offen, und der Bürger ist umgezogen, ohne dem Unternehmen seine neue Anschrift zu melden.
• Nach einigen Wochen teilt die Behörde die aktuelle Anschrift schließlich mit. Dabei macht sie allerdings eine besondere Auflage. Sie legt fest, dass die Anschrift nur für den Zweck verwendet werden darf, um den es bei der Anfrage ging. Das ist gewissermaßen der Preis dafür, dass das Unternehmen die Anschrift erhält, obwohl eine Auskunftssperre eingetragen ist.

Erst denken, dann Daten weitergeben!

Folge für die Praxis: Die Adresse darf nur zu dem Zweck verwendet werden, den Kunden wegen der konkreten Rechnung anzusprechen. Unzulässig wäre es dagegen, ihm beispielsweise Werbung an diese Adresse zu schicken.

Und dass jegliche Weitergabe der Anschrift an Stellen außerhalb des Unternehmens verboten ist, versteht sich von selbst.

Das gilt auch, wenn „befreundete Unternehmen“ anfragen, die ebenfalls nach der aktuellen Anschrift suchen.

Viele Online-Shops und Support-Seiten bieten Besuchern über Chat-Fenster Unterstützung bei Fragen an. Meist stecken keine Menschen, sondern Maschinen dahinter. Das hat Folgen für den Datenschutz.

„Mein Name ist Peter, wie kann ich Ihnen helfen?“

Im Internet kann man alles finden – wenn man es denn findet. Viele Online-Shops haben ein so umfangreiches Sortiment, dass man sich als Kunde eigentlich eine Beratung wünscht, wie man sie im Geschäft um die Ecke gewöhnt ist. Nur wartet im Internet niemand, um den Kunden zu unterstützen, so scheint es.

Doch plötzlich geht ein Dialog auf der Webseite auf, und es meldet sich ein Berater, der seine Hilfe anbietet. Meist ist es ein kleines Chat-Fenster, mit einem Foto oder einer Zeichnung, die eine Person zeigt. Die Person stellt sich mit einem Satz vor, und man kann seine Fragen stellen.

Solche Fenster findet man nicht nur in Online-Shops, sondern auch auf vielen Support-Webseiten. Neben der altbekannten FAQ-Liste, die Antworten auf die häufigsten Fragen vorhält, trifft man häufig auf diese Art von virtuellem Supportmitarbeiter, mit einer Meldung in einem Chat-Fenster, in das man seine Fragen und Probleme eintragen kann.

Online-Shops, Chatbots, yourIT, Datenschutz

Support und Beratung vom Automaten

Die Antworten und Tipps aus dem Chat-Fenster sind teilweise so gut, dass man eine echte Person dahinter vermuten könnte, jemanden aus einem Callcenter vielleicht. Oftmals sind es aber keine Menschen, die antworten, sondern Automaten, sogenannte Chat-Roboter oder Chatbots.

Nun könnte es einem ja gleichgültig sein, ob es nun ein Chatbot oder ein Callcenter ist, abgesehen von der Frage nach den wegfallenden Arbeitsplätzen.

Doch es ergeben sich weitere Konsequenzen aus der Entwicklung, dass sich die Betreiber von Webseiten in Zukunft vermehrt für Automaten entscheiden werden. Die Chatbots sollen möglichst intelligent sein.

Denn andernfalls sind die Nutzer unzufrieden, und es sind doch Menschen für Beratung und Support nötig. Deshalb werden Chatbots so entwickelt, dass sie den Besucher so weit wie möglich analysieren, um die Antworten persönlich und passend zu gestalten.

Ebenso werden die Fragen der Besucher gespeichert und ausgewertet, um sich auf die Fragen immer besser vorbereiten zu können – automatisiert, versteht sich.

Vorsicht bei der Eingabe persönlicher Informationen

Betrachtet man die Datenschutzerklärungen verschiedener Anbieter von Chatbots, lässt sich feststellen, dass die Anbieter teilweise die IP-Adressen und andere Daten der Besucher speichern, die Rückschlüsse auf die fragenden Personen zulassen.

Wer dann noch in seinen Fragen persönliche Details verrät, kann ungewollt ermöglichen, dass der Anbieter ein detailliertes Besucherprofil erzeugt. Je nach Anbieter und Betreiber lässt sich dieses Besucherprofil auch anders nutzen als dazu, die automatische Kundenbetreuung zu verbessern.

Bevor Sie also im nächsten Online-Shop oder Support-Forum dem virtuellen Berater Ihre Fragen anvertrauen, schauen Sie sich am besten die Datenschutzerklärung der Webseite und zum Chatbot an.

Datensparsamkeit ist Trumpf 

Denken Sie zudem auch hier an die Datensparsamkeit: Es geht weder um Smalltalk noch um einen persönlichen Kontakt, wenn Sie einen Chatbot nutzen, sondern um eine automatische FAQ-Liste, die mitunter sehr neugierig sein kann.

So hilfreich solche Dienste in Online-Shops und auf anderen Webseiten auch erscheinen – es geht eventuell eher um Ihre Daten, nicht nur um eine virtuelle Kundenberatung.

Kennen Sie die Risiken durch Automaten und Chatbots im Internet?
Testen Sie Ihr Wissen!

Frage: Fragefenster bei Online-Shops und Support-Seiten liefern nur Antworten und speichern nichts. Stimmt das?

• a. Ja, denn FAQ-Listen speichern ja auch nichts.
• b. Nein, meine Fragen und Kommentare können gespeichert werden.
• c. Nein, sogenannte Chatbots speichern mitunter sogar die IP-Adressen der Besucher. 

Lösung: Die Antworten b. und c. sind richtig. Nicht jedes Fragefenster führt zur Speicherung der IP-Adresse und anderer personenbezogener Daten, doch manche Chatbots tun dies.
Die Eingaben dagegen werden sogar häufig gespeichert, um zu erfahren, was die Nutzer am meisten interessiert. Zusammen mit den personenbezogenen Daten können dadurch genaue Nutzerprofile entstehen.

Frage: Steht in der Datenschutzerklärung des Online-Shops nichts dazu, speichert der Chatbot auch nichts. Stimmt das?

• a. Nein, denn viele Datenschutzerklärungen im Internet sind unvollständig. Zudem meinen           viele Webseitenbetreiber, der Anbieter der Chatbot-Software sei dafür zuständig.
• b. Ja, dann werden meine Angaben nicht gespeichert und ausgewertet.

Lösung: Die Antwort a. ist richtig. Genau wie beim Einsatz von Webanalyse-Werkzeugen vergessen viele Webseitenbetreiber, dass sie auf die Datenspeicherung und Datenauswertung hinweisen müssen.

Zudem haben viele Hersteller von Chatbot-Software selbst gar keine Datenschutzerklärung, oder der Besucher des Online-Shops findet sie kaum. Beachten Sie in jedem Fall, dass Sie sparsam mit Ihren Daten umgehen und so wenig wie möglich preisgeben, wenn Sie einen Chatbot nutzen.

Ein Thema für den Datenschutz? Virtual Reality (VR) ist einer der Top-Trends der Unterhaltungselektronik. Auch am Arbeitsplatz kommen bereits VR-Brillen zum Einsatz. Dabei sind nicht nur virtuelle Welten im Blick, sondern auch Sie als Nutzer.

VR ist keine Vision, sondern Realität

Ausgezeichnete Beratungspakete von yourIT - keine Vision sondern Realität

Jeder elfte Deutsche hat bereits eine der Virtual-Reality-Brillen ausprobiert. Fast jeder Dritte kann sich vorstellen, dies künftig zu tun, so eine Umfrage des Digitalverbands Bitkom.
Wenn Sie noch keine VR-Brille aufgesetzt haben: VR-Brillen präsentieren einen Bildschirm direkt vor Ihren Augen und decken das gesamte Sichtfeld ab. Dadurch schauen Sie direkt in die Bilder und Videos und sind scheinbar Teil der virtuellen Umgebung. Selbst wenn Sie nach oben, nach unten oder zur Seite blicken: Die virtuelle Realität umgibt Sie.

Die Frage, ob Sie Virenschutz oder Datenschutz wollen, erscheint auf den ersten Blick absurd. Denn Sie brauchen beides. Tatsächlich aber können Virenschutz-Lösungen zum Problem für den Datenschutz werden.

Wenn der Schutz zur Gefahr wird

Kaum jemand verzichtet komplett auf einen Virenschutz für den PC oder das Notebook, eigentlich sollte es niemand tun. Bei Smartphones sieht es schon deutlich schlechter aus: Jeder fünfte Smartphone-Besitzer (20,7 %) nutzt sein Mobilgerät ohne jegliche Sicherheitsfunktionen zum Schutz des Geräts und der darauf befindlichen Daten, so eine Umfrage für das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Aus Sicht des Datenschutzes sollte auf jedem Endgerät ein Schutz vor Malware oder Schadsoftware vorhanden sein. Doch diese Forderung kann zu einem Datenrisiko führen, wenn man nicht darauf achtet, wie es der Anbieter der Antiviren-Software mit dem Datenschutz hält.
Tatsächlich gibt es eine ganze Reihe von Virenschutz-Lösungen, die zwar Malware erkennen und abwehren, die es aber selbst nicht so genau mit dem Datenschutz zu nehmen scheinen.

yourIT, Datenschutz, Virenschutz, securITy

Überprüfung von Datenschutzerklärungen ergab Mängel

Das Testinstitut AV-Test aus Magdeburg hat die Datenschutzerklärungen von 26 Antiviren-Programmen untersucht und dabei viele Unzulänglichkeiten und Probleme entdeckt. So hatten zwei Anti-Malware-Lösungen überhaupt keine Datenschutzerklärung.
In fast jeder untersuchten Datenschutzerklärung räumten sich die Hersteller zudem in erheblichem Umfang Zugriffsrechte auf Daten ein, die für den Einsatz einer Schutz-Software nicht nötig sein dürften, so AV-Test.

Einige Extrembeispiele untermauern diese Einschätzung: So haben einzelne Hersteller angegeben, dass sie Daten über das Geschlecht, die Berufsbezeichnung sowie Rasse und sexuelle Orientierung eines Nutzers verarbeiten wollen.
Der Bezug zum Schutzzweck der Software ist offensichtlich nicht vorhanden. Die Vermutung liegt nahe, dass die Anbieter Nutzerinformationen zu Werbezwecken erheben bzw. an Dritte für Werbemaßnahmen weitergeben. Eine informierte Einwilligung, wie sie der Datenschutz fordert, erfragen sie dafür vom Nutzer nicht.

Kein blindes Vertrauen in die IT-Sicherheit

Leider können Sie also nicht davon ausgehen, dass alle Lösungen, die Ihre Daten vor Angreifern schützen, selbst mit den Daten so umgehen, wie es der Datenschutz ver-langt. Auch IT-Sicherheitsanwendungen müssen hinterfragt werden, wie sie es mit dem Datenschutz halten, genau wie jede andere Applikation, die Sie installieren oder nutzen möchten.

Genau genommen sollten Sie bei IT-Sicherheitslösungen wie den Antiviren-Programmen noch genauer hinschauen, was in der Datenschutzerklärung steht. Denn Sicherheitsprogramme haben sehr mächtige Funktionen und oftmals weitgehende Zugriffsberechtigungen auf die Daten.
Diese Berechtigungen brauchen sie in Teilen zwar, um wirklich schützen zu können. Doch sie machen auch einen falschen Umgang mit personenbezogenen Daten durch Sicherheitssoftware so gefährlich.

Nutzen Sie also auf jedem Endgerät einen Virenschutz, aber prüfen Sie bei jedem Tool auch die Datenschutzerklärung. Virenschutz und Datenschutz werden beide gebraucht, getrennt voneinander sollten sie nicht sein. Ohne Virenschutz ist Datenschutz heute nicht mehr möglich, ohne Datenschutz sollte es jedoch keine Virenschutz-Lösung geben.

Virenschutz = Datenschutz? Testen Sie Ihr Wissen!

Frage: Virenschutz ist elementar für den Datenschutz. Stimmt das?

• a. Ja, das stimmt. Trotzdem ist der Datenschutz beim Virenschutz nicht automatisch         garantiert.
• b. Virenschutz braucht man nur, wenn man das Internet nutzt.
• c. Virenschutz-Lösungen berücksichtigen automatisch den Datenschutz. 

Lösung: Die Antwort a. ist richtig. Virenschutz braucht man auf jedem Endgerät, gleich ob es einen Internetzugang hat oder nicht. Denn auch ein USB-Speicherstift kann zum Beispiel Malware einschleppen.
Trotzdem kann man nicht davon ausgehen, dass der Datenschutz beim Virenschutz automatisch stimmt. Prüfen Sie die Datenschutzerklärung des Anbieters genau, bevor Sie sich für eine Lösung entscheiden.

Frage: Antiviren-Software verarbeitet personenbezogene Daten nur zu Sicherheitszwecken. Stimmen Sie dem zu?

• a. Ja, zu welchen Zwecken sollte ein Sicherheitsprogramm denn sonst Daten verarbeiten?
• b. Man sollte in der Datenschutzerklärung prüfen, zu welchen Zwecken der Software-Anbieter personenbezogene Daten erhebt, nutzt und speichert. Man kann Erstaunliches finden ...

Lösung: Die Antwort b. ist richtig, wie eine Untersuchung von AV-Test ergeben hat. Ob die erhobenen Nutzerdaten wirklich dem Sicherheitszweck dienen oder nicht, können Sie sich klarmachen, indem Sie die Sicherheitsfunktionen betrachten und sich fragen, ob Sie diese denn möchten oder nicht.
So kann ein Zugriff auf die Standortdaten sinnvoll sein, wenn Sie die Funktion nutzen wollen, ein verlorenes oder gestohlenes Gerät wiederzufinden. Daten über das Geschlecht und die sexuelle Orientierung des Nutzers haben aber zweifellos nichts mit den Sicherheitsfunktionen zu tun. Trotzdem wollen manche Antiviren-Lösungen solche Daten erheben und verarbeiten. Hier ist mehr als Vorsicht angesagt – es empfiehlt sich die Suche nach einer anderen Antiviren-Software!

Wer in einem Unternehmen arbeitet, das Daten in die USA übermittelt, muss ihn kennen. Aber auch jeder Normalbürger sollte zumindest einmal davon gehört haben. Die Rede ist vom Privacy Shield, auf Deutsch etwa „Schutzschild für das Persönlichkeitsrecht“. Er kann seit dem 1. August 2016 genutzt werden. Viele Unternehmen hatten dringend darauf gewartet. Lesen Sie hier, weshalb...

Eine Herausforderung: Datenübermittlungen in die USA

Will ein Unternehmen Daten von Kunden oder auch Daten von Mitarbeitern an ein US-Unternehmen übermitteln, geht das nicht „leicht und locker“. Und zwar auch dann nicht, wenn es sich bei dem US-Unternehmen beispielsweise um die „US-Mutter“ handelt.

Bekanntlich gehören die USA nicht zur EU. Deshalb erlauben die EU-Regelungen zum Datenschutz den Transfer von Daten in die USA nur dann, wenn dort ein angemessenes Datenschutzniveau herrscht. Was als angemessen anzusehen ist, bestimmt sich dabei natürlich nach den Vorstellungen der EU.

Datenschutz, yourit, Privacy Shield

Datenschutz in den USA: durchaus, aber ...

Damit beginnen in der Praxis die Probleme. Zwar gibt es in den USA sehr wohl Datenschutzvorschriften. Deshalb sollte man gegenüber Kollegen aus den USA auch nie zu überheblich davon sprechen, die USA würden sowieso keinen Datenschutz kennen.

Nur zu schnell kann es einem sonst passieren, dass diese Kollegen etwa auf Regelungen hinweisen, die die Daten von Kindern ganz besonders schützen. Die Abkürzung hierfür heißt COPPA (Children's Online Privacy Protection Rule) und ist auch den meisten Durchschnitts-Amerikanern bekannt.

Die US-Regelungen setzen die Schwerpunkte aber ganz anders als die Vorschriften der EU. Manche Aspekte des Datenschutzes, die in Europa ganz hoch gehalten werden, gelten in den USA kaum etwas.

Langer Rede kurzer Sinn: Ein Datenschutzniveau, das nach den Vorstellungen der EU generell als angemessen anzusehen wäre, existiert in den USA nicht.

Individuelle Einwilligungen: nur theoretisch denkbar

Wie soll ein Unternehmen damit umgehen? Nun, es könnte beispielsweise jeden einzelnen Betroffenen um seine Einwilligung bitten und seine Daten erst dann übermitteln. Theoretisch wäre das denkbar. In der Praxis funktioniert das aber schon wegen des Aufwands nicht. Deshalb wählt der neue Privacy Shield einen anderen Ansatz.

Der besondere Ansatz von Privacy Shield:

•  Ein US-Unternehmen, das personenbezogene Daten aus der EU erhalten soll, verpflichtet sich dazu, umfangreiche Spielregeln für den Datenschutz einzuhalten. Sie sind unter dem Begriff „Privacy Shield“ zusammengefasst.
• Diese Verpflichtung erfolgt gegenüber den zuständigen US-Behörden. Das ist meist die Federal Trade Commission (FTC), eine Verbraucherschutzbehörde.
• Der Inhalt der Spielregeln ist zwischen dem US-Handelsministerium (Depart-ment of Commerce) und der Europäischen Kommission abgestimmt.
• Ist ein US-Unternehmen eine solche Verpflichtung eingegangen, gilt das Datenschutzniveau in diesem Unternehmen auch seitens der EU als angemessen.
• Die positive Folge für die europäischen Geschäftspartner solcher US-Unternehmen: Sie dürfen personenbezogene Daten an dieses Unternehmen unter denselben Voraussetzungen übermitteln, unter denen dies auch innerhalb der Europäischen Union zulässig wäre.

Keine Einwilligung der Betroffenen nötig

Die Betroffenen müssen nicht gefragt werden, ob sie damit einverstanden sind. Sie müssen aber in geeigneter Weise informiert werden. Dabei sind viele Einzelheiten zu beachten, um die sich die Spezialisten in den Unternehmen kümmern. In Deutschland sind dies die Datenschutzbeauftragten der Unternehmen.

Erinnern Sie sich noch an Safe Harbor? 

Manchem wird dieses Vorgehen irgendwie bekannt vorkommen. Völlig zu Recht! Ziemlich ähnlich lief dies auch schon bei den Safe-Harbor-Regelungen ab. Sie hatten sich über zehn Jahre lang beim Transfer von Daten aus der EU in die USA bewährt, jedenfalls aus der Sicht der meisten Unternehmen.

Allerdings hatte der Europäische Gerichtshof diese Regelungen im Oktober 2015 aus verschiedenen Gründen gekippt. Das geschah gewissermaßen über Nacht, also ohne jede Übergangsfrist. Deshalb waren neue Regelungen, wie sie der Privacy Shield nun vorsieht, dringend erforderlich.
Etwas vereinfacht lässt sich sagen: Der Inhalt des Privacy Shield ist neu und wesentlich ausgefeilter, als es die Regelungen von Safe Harbor waren. Der Verfahrensablauf ist aber ziemlich ähnlich.

Gegen die Spielregeln verstoßen? Lieber nicht!

Wie sieht es übrigens damit aus, dass sich die Unternehmen auch wirklich an die Spielregeln halten, zu denen sie sich verpflichtet haben? Die Chancen dafür stehen gut. Jeder weiß, wie kräftig US-Behörden bei Rechtsverstößen zupacken können. Und das gilt nicht nur, wenn es um Verstöße gegen Abgasregelungen geht. Auch Datenschutzverstöße von US-Unternehmen haben die amerikanischen Behörden schon schwer geahndet. Gehen Sie also davon aus: Privacy Shield ist ernst gemeint!

Als Experten im Bereich Datenschutz & Informationssicherheit unterstützen wir Sie gerne bei der Überprüfung Ihrer Dienstleister.

Der Datenschutz gemäß BDSG und auch gemäß EU-DSGVO verlangt technisch-organisatorische Schutzmaßnahmen nach dem Stand der Technik. Das klingt nicht sehr konkret – mit Absicht!

Am schönsten wäre eine genaue Anleitung...

Fast jeder zweite Internetnutzer (47 Prozent) ist in Deutschland in den vergangenen zwölf Monaten Opfer von Internetkriminalität geworden, so eine repräsentative Umfrage des Digitalverbands Bitkom. Die Vorfälle reichen von gefährlichen Infektionen durch Schadsoftware bis hin zu Online-Betrug und Erpressung.

Im Unternehmensbereich sieht es nicht viel besser aus: Etwa jedes dritte Unternehmen war in 2016 allein Opfer eines Hacker-Attacke mit Cybertrojanern.

Um die eigenen Daten zu schützen, aber auch um die Daten der Kunden, Partner und Mitarbeiter im Unternehmen zu schützen, sind also umfangreiche Maßnahmen für die Datensicherheit erforderlich.

Datenschutz, yourIT, securITy

Doch welche Maßnahmen sind genau notwendig? Wie schützt man sich am besten? Der Bitkom-Verband schreibt dazu: Gegen digitale Angriffe nutzen vier von fünf Internetnutzern (80 Prozent) ein Virenschutz-Programm und zwei von drei (67 Prozent) eine Firewall auf ihrem Computer.

Dabei weiß doch jedes Kind: Antiviren-Programme und Firewalls sind nicht mehr als der absolute Basisschutz für jeden Computer. Aber reicht das aus? Was fordern zum Beispiel die Datenschutzvorschriften? Gibt es hier eine konkrete Vorgabe zum Schutzumfang?

BDSG und DSGVO nennen kaum genaue Sicherheitsverfahren.

Im Bundesdatenschutzgesetz (BDSG) findet man: Eine Maßnahme für die Zugangskontrolle, Zugriffskontrolle und Weitergabekontrolle ist insbesondere die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.

Die ab Mai 2018 anzuwendende Datenschutz-Grundverordnung (DSGVO) nennt zusätzlich die Verschlüsselung sowie die Pseudonymisierung.

Grundsätzlich aber sagen beide Gesetze zu den Maßnahmen der Datensicherheit: Geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, sind zu treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.

Statt Schutzverfahren aufzulisten, verweisen die Texte jeweils in erster Linie auf den Stand der Technik. Warum eigentlich?

IT und Bedrohungen dynamischer als Gesetzgebung

Die gesetzlichen Regelungen fordern Schutzmaßnahmen nach dem Stand der Technik, weil die IT-Sicherheitslösungen jeweils zur aktuellen Bedrohungslage, zum Schutzbedarf der Daten und zur eingesetzten IT passen müssen. Veraltete IT-Sicherheitsmaßnahmen bieten keinen ausreichenden Schutz.

Die mobile App Pokémon Go hat für viele Menschen einen regelrechten Suchtfaktor. Und das keineswegs nur für Jugendliche – auch viele Erwachsene sind dem Spiel geradezu verfallen. Dabei darf der Datenschutz freilich ebenso wenig aus dem Blick geraten wie der Schutz von Unternehmensgeheimnissen. Im Dezember 2017 kam übrigens ein von den Fans sehnsüchtig erwartetes Mega-Update. Allzu schnell kann es besonderen Leichtsinn auslösen.

Pokéstops, Arenen und Monster

Die Spielkundigen verstehen sofort, was mit diesen Dingen gemeint ist. Sie ziehen sich in eine Arena zurück, um ein paar Monster zu besiegen. Ihre Kollegen wiederum wundern sich, wie ganz normale Menschen der Faszination von Dingen erliegen, die für die anderen um sie herum gar nicht sichtbar sind.

yourIT zu Pokémon Go und Datenschutz

Arbeitszeit ist keine Spielzeit! 

Klar ist, dass Spielen während der Arbeitszeit schon deshalb Fragen aufwirft, weil dann gerade nicht gearbeitet wird. Das ist zwar kein Thema des Datenschutzes, sondern des Arbeitsrechts. Freilich: Mehr Schaden als eine Zigarettenpause, die zu Unrecht nicht als Arbeitspause registriert wird, richtet das kurze Einfangen eines virtuellen Monsters während der Arbeitszeit auch nicht an, oder?

Bilder von Monstern und anderen Dingen 

Das kommt darauf an. Vielfach ist es üblich, eben eingefangene Monster zu fotografieren und das Foto an Freunde zu schicken. Blöd nur, wenn da noch andere Dinge auf dem Bild sind, etwa Konstruktionen, die nicht fotografiert werden dürfen. Wer weiß, wo ein solches Foto landet, und wer weiß, ob jeden Empfänger des Fotos wirklich nur die Monster interessieren.

Harmlose und andere Apps

Vielfach untersagen Unternehmen aus gutem Grund, Apps für private Zwecke auf dienstlichen Smartphones oder Tablets zu installieren. Ein solches Verbot gilt dann auch für die Pokémon-App. Das Argument, sie sei harmlos und könne keinen Schaden anrichten, kann daran nichts ändern. Erstens kommt es auf diesen Gesichtspunkt nicht an. Zweitens stellt sich die Frage, ob er zutrifft. Schon ein kurzer Blick in die Nutzungsbedingungen der App zeigt, dass sich der App-Anbieter das Recht einräumen lässt, unter bestimmten Bedingungen Daten an Dritte weiterzugeben. Was daraus im Einzelfall entstehen könnte, vermag niemand sicher abzuschätzen.

Diese 3 eigentlich selbstverständlichen Spielregeln sollten Sie beachten

3 Spielregeln sollten Sie unbedingt beachten:

• Spielregel 1: Ein völliges No-Go ist es vor diesem Hintergrund, berufliche Mail-Adressen bei dem Spiel zu benutzen.
• Spielregel 2: Wer spielen will, sollte das bitte nur auf seinem privaten Gerät tun und dabei nur eine private Mail-Adresse verwenden.
• Spielregel 3: Und die rechte Zeit für das Spiel ist die Freizeit, nicht die Arbeitszeit.

Wer diese Punkte beachtet, kann sein Spiel genießen und sich beim Monster-Kampf mit Pokémon Go bestens erholen.