Aktuelles

Datenschutzbeauftragter: Anhebung der Benennungsgrenze von 10 auf 20 Personen

In der Nacht auf den 28.6.2019 hat der Bundestag mit Koalitionsmehrheit das zweite Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) beschlossen.
Viele der rund 150 vorgesehen Änderungen an den Bundesgesetzen dienen dazu, die bereichsspezifischen gesetzlichen Regelungen zum Datenschutz, etwa durch die Anpassung von Begriffsbestimmungen und Verweisungen, redaktionell an die DSGVO anpassen. 
Kontrovers diskutiert wird die Änderung der Grenze zur Benennung eines Datenschutzbeauftragten von 10 auf  20 Personen, die ständig mit der Verarbeitung personenbezogener Daten betraut sein müssen. Diese Maßnahme soll zu einem Bürokratie-Abbau führen.
Die weiteren Bestimmungen zur Benennungspflicht bleiben unberührt.
Unabhängig davon sind die bisher geltenden Verpflichtungen, wie das Führen eines Verzeichnisses von Verarbeitungstätigkeiten, vom Verantwortlichen selbstverständlich weiterhin einzuhalten.

Der Bundesdatenschutzbeauftragte Ulrich Kelber hält dies nicht für den richtigen Weg und schreibt in einem Tweet:
Mit der Verwässerung der Anforderung zur Ernennung eines betrieblichen Datenschutzbeauftragten wird den Unternehmen nur Entlastung suggeriert. Datenschutzpflichten bleiben, Kompetenz fehlt ohne bDSB. Folge werden mehr Datenschutzverstöße und Bußgelder sein :(

Kelber empfiehlt stattdessen, die umfassenden Informations- und Dokumentationspflichten für kleine Betriebe anzugehen. Diese verursachen einen großen Aufwand aber nur wenig Datenschutz.

Die Gesellschaft für Datenschutz und Datensicherheit GDD schreibt dazu: 

Die Befreiung von der Bestellpflicht eines Datenschutzbeauftragten im Betrieb führt jedoch nicht zu einem Wegfall anderer datenschutzrechtlicher Pflichten. Am Ende wird mit dem Wegfall eines Datenschutzbeauftragten nicht Bürokratie, sondern Kompetenz und Sachverstand abgebaut. Auch ohne gesetzliche Bestellpflicht sind Unternehmen und Einrichtung gut beraten, einen betrieblichen Datenschutzbeauftragten zu benennen.

Den vollständigen Artikel finden Sie auf der Webseite der GDD: https://www.gdd.de/aktuelles/startseite/news/bundestag-beschliesst-2-dsanpug-und-aendert-damit-die-bestellpflicht-betrieblicher-datenschutzbeauftragter-gemaess-38-bdsg

Dem vom Bundestag beschlossenen 2. DSAnpUG muss noch der Bundesrat zustimmen.

Traditions-Juwelier Wempe Opfer eines Ransomware-Angriffes. Offenbar Lösegeldzahlung von über einer Million Euro.

Der Traditions-Juwelier Wempe wurde nach eigenen Angaben am 24.06.2019 Opfer eines Ransomware Angriffes auf die hauseigenen Server. Im Zuge des Angriffes wurden Firmendaten verschlüsselt und von den Angreifern eine Nachricht sowie eine E-Mail Adresse zur Kontaktaufnahme hinterlegt. Die Erpresser forderten ein Lösegeld und boten als Gegenleistung die Herausgabe des Passworts zur Entschlüsselung an.

Auf seiner Webseite gibt der Juwelier an, unmittelbar nach dem Angriff externe Experten für IT-Forensik und IT-Sicherheit hinzugezogen zu haben und bereits ein neues Sicherheitskonzept zu implementieren.

Laut Hamburger Abendblatt habe der Juwelier schließlich ein Lösegeld in Höhe von mehr als einer Million Euro in Bitcoin an die Erpresser gezahlt und daraufhin ein Passwort zur Wiederherstellung der verschlüsselten Daten erhalten.

Der Fall zeigt deutlich auf, dass die Gefahr, Opfer eines Angriffes mit Verschlüsselungs-Trojanern - auch Ransomware genannt – zu werden, noch immer sehr hoch ist. Besonders mittelständische Betriebe stehen im Fokus der Kriminellen.

Da die Angriffe meist aufgrund unachtsamen Umgangs mit E-Mail-Anhängen durch Mitarbeiter gelingen, haben wir ein Info-Blatt bereitgestellt, das die wichtigsten Regeln zum Schutz vor Ransomware zusammenfasst: 6 Regeln für den Schutz vor Ransomware und andere Schadsoftware

Für einen wasserdichten Schutz vor diesen neuartigen Bedrohungen bieten wir mit unserem Partner Sophos eine hochwertige Cloud-Lösung an, die mit ihrer Sandbox-technologie in der Lage ist, auch zielgerichtete Attacken mit bisher nicht bekannter Schadsoftware abzuwehren Weitere Informationen hierzu Sie auf unserer Portfolio-Seite: Sophos-Sandstorm

Telekom Magenta Cloud – unausgereiftes Produkt mit funktionalen Problemen

Die Telekom bietet mit ihrer Magenta-Cloud einen Cloudspeicher der in Deutschland gehostet wird und unter die deutschen Rechtsbestimmungen fällt. Dies ist unter Datenschutz-Aspekten gegenüber der Datenhandhabung bekannter amerikanischer Cloud-Anbieter wie Dropbox, Google & Co. grundsätzlich positiv zu bewerten.

Leider handelt es sich bei der Magenta Cloud aber um ein technisch noch unausgereiftes Produkt. So ist das Hosting langsam und unzuverlässig und die Datenwiederherstellung nicht gut gelöst. Daten und Ordner können nicht einzeln wiederhergestellt werden, sondern es muss bei jeder Wiederherstellung zuerst eine frühere Version des kompletten Cloud-Speicher wiederhergestellt werden. Hierfür muss immer ausreichend freier Speicherplatz in der Magenta Cloud freigehalten werden. Bereits geteilte Dateien und Sicherungskopien müssen bei Bedarf manuell gelöscht werden und eine Beschränkung auf den speziellen Ordner bietet weniger Flexibilität.

Während andere Anbieter Kollaborations-Features bereitstellen um mit anderen Nutzern Daten zu teilen und zu bearbeiten, fehlen diese Funktionen in der Magenta Cloud. Zudem können so geteilte Daten auf dem lokalen Rechner des Empfängers nicht synchronisiert werden. Der Nutzer muss die Dateien stattdessen manuell herunter- bzw. hochladen. Eine gleichberechtigte Zusammenarbeit ermöglicht dies nicht. Auch die Freigabefunktion für gemeinsames Arbeiten wurde nicht in die zugehörige Software integriert – im Kontextmenü fehlt eine Funktion zum Abrufen von Links, hier ist stets der Umweg über die Web-Oberfläche notwendig.

Leider existiert kein zufriedenstellender Support und es findet sich kein Weg mit der Telekom Kontakt aufzunehmen. Es gibt lediglich eine Verlinkung auf eine FAQ&Hilfe–Seite. Bei schwerwiegenden Problemen bleibt der Anwender auf sich allein gestellt. 

Ein weiteres Problem ist die fehlende Möglichkeit, vollständige Ordner offline zu speichern. Bei einzelnen Dateien ist dies jedoch möglich. Auch häufen sich viele Beschwerden, dass bspw. Fotos verdreht sind oder Buttons fehlen, was das Arbeiten erschwert 

Eine 2-faktor Authentifizierung fehlt.

Anstelle der primär an Privatanwender gerichteten Magenta Cloud, empfiehlt sich für den Geschäftsbetrieb eine Cloud-Lösungen, die für den Unternehmenseinsatz konzipiert wurde. „Nextcloud“ ist eine etablierte Cloudsoftware die von großen Unternehmen und Organisationen wie Siemens oder der Max-Planck-Gesellschaft genutzt wird, sich aber ebenfalls für kleine und mittelständische Unternehmen eignet. Wir hosten die Arconda-Nextcloud für unsere Kunden in einem deutschen Hochverfügbarkeitsrechenzentrum und ermöglichen ihnen alle bekannten Vorteile von Dropbox & Co. zu nutzen ohne Abstriche bei Datenschutz und -sicherheit eingehen zu müssen. 

Weitere Informationen: 

Artikel: Portfolio: Arconda Nextcloud

Faxe versenden trotz VoIP

Das Fax gibt es bereits seit 1974. Obwohl längst moderne Kommunikationsmittel existieren, versenden und empfangen zwei Drittel der Unternehmen in Deutschland noch immer regelmäßig Faxe.

Mit der Umstellung auf VoIP ist es schwieriger geworden weiterhin klassische Faxgeräte zu nutzen. Zwar gibt es die Möglichkeit diese über einen Analog/Digital-Wandler einzubinden, doch das Verfahren ist fehleranfällig. Aus diesem Grund empfehlen wir unseren Kunden Faxe über den Online-Dienstleister Fax.de zu versenden.

Fax.de ist von der Bundesnetzagentur klassifiziert und liefert Faxe als Cloud-Service aus. Hierbei empfängt Fax.de die Faxe von Ihnen digital und sendet sie als natives ISDN-Fax an den Empfänger. Dieses Verfahren ist deutlich weniger Fehleranfällig als der Fax-Versand via VoIP. Die Faxe lassen sich mit dieser Lösung direkt über die „Drucken“-Option Ihrer (Office-)Software als auch mittels einer App direkt vom Smartphone versenden und empfangen.

Das EU-US Privacy Shield

Im Jahr 2015 erklärte der Europäische Gerichtshof das Safe-Harbor-Abkommen für ungültig und es musste eine neue Rechtsgrundlage für die Übermittlung von personenbezogenen Daten aus der EU an US-Unternehmen geschaffen werden.
Am 12.06.2016 trat das von der EU-Kommission geschaffene EU-US Privacy Shield als Nachfolgeregelung in Kraft. Dieser Angemessenheitsbeschluss legt fest, dass für das Privacy Shield zertifizierte US-Unternehmen ein Datenschutzniveau erreichen, das es zulässt, personenbezogene Daten in die USA ohne weitere Sicherheiten an sie übermitteln zu können obwohl die USA datenschutzrechtlich betrachtet ein unsicherer Drittstaat sind. Die betroffenen US-Unternehmen werden bei der Zertifizierung vom US-Handelsministerium begleitet, das auch die offizielle Liste der zertifizierten Unternehmen führt und diese im Internet zum Download bereitstellt.
Vor der Übermittlung von personenbezogenen Daten in die USA ist sicherzustellen, dass das US-Unternehmen, an das die Daten übermittelt werden, in der Liste eingetragen ist.
Die Europäische Kommission prüft jährlich die Funktionsweise des EU-US Privacy Shields und veröffentlicht die Ergebnisse.

Rechte der betroffenen Person

Werden personenbezogene Daten auf der Grundlage des Privacy Shield an ein zertifiziertes U.S.-Unternehmen übermittelt, hat die betroffene Person unter anderem die folgenden Rechte:

• Recht auf Information
• gegebenenfalls Recht auf Widerspruch gegen eine Datenverarbeitung
• Recht auf Auskunft
• Recht auf Berichtigung unrichtiger Daten
• gegebenenfalls Recht auf Löschung
• Recht auf Inanspruchnahmen von Beschwerde-/Abhilfeverfahren und
• Recht auf Einreichung eines Antrags zur Anrufung der sogenannten Ombudsperson

Die geplante Ombudsperson ist eine von den Geheimdiensten unabhängige Stelle, die als Ansprechpartner für EU-Bürger dient. Sie gibt in konkreten Fällen Auskunft darüber, ob die geltenden Datenschutzbestimmungen eingehalten werden.

Beschwerderecht

Beschwerden werden zuerst beim Unternehmen eingereicht und müssen von diesem innerhalb von 45 Tagen beantwortet werden. Erfolgt keine oder eine nur unzureichende Antwort, ist die Beschwerde bei sog. unabhängigen Beschwerdestellen (in der Regel Streitschlichtungsstellen in den USA) möglich.Die letzte Instanz ist ein Schiedsverfahren (binding arbitration) in den USA.
Die betroffene Person kann sich auch an die zuständige Aufsichtsbehörde wenden, wenn sie der Meinung ist, dass das Unternehmen gegen Pflichten aus dem EU-US Privacy Shield verstoßen oder die Rechte verletzt hat. Daraufhin bemüht sich die Aufsichtsbehörde zusammen mit der US Federal Trade Commission darum, dass dem Anliegen nachgegangen wird.

Kritik

Kritiker bemängeln, dass das Privacy Shield nur wenige Verbesserungen ggü. dem Vorgängerabkommen Safe Harbor bietet.
Der Zugriff durch US-Behörden auf gespeicherte Daten von EU-Bürgern und die Maßnahmen der Massenüberwachung sind weiterhin ohne die Information der betroffenen Person zulässig.
Die Ombudsperson ist bisher nicht unabhängig genug und kann bei Verstößen wegen begrenzter Legitimation nicht effektiv eingreifen.

Aktuell

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Herr Ulrich Kelber, hat sich am 22.02.2019 im Ausschuss Digitale Agenda des Deutschen Bundestages zur aktuellen Lage des EU-US Privacy Shields geäußert. Er stellte Verbesserungen im Vergleich zum Vorjahr fest, äußerte allerdings auch Bedenken, was die Unabhängigkeit und die tatsächlichen Kompetenzen der noch zu installierenden Ombudsperson angeht. Auf Fragen zu den Entwicklungen in den USA, den Alternativen zum Privacy Shield und den Überwachungsbefugnissen der US-amerikanischen Sicherheitsdienste antwortete er zusammenfassend:

• der kritische und konstruktiven Dialog mit den Amerikanern ist notwendig
• die europäischen Gerichte müssen weiterhin rechtliche Leitplanken setzen
• für Verbesserungen ist der Druck innerhalb der USA nötig. Beispiele wie die dortigen Diskussionen und Datenschutzgesetzgebungsverfahren, wie z.B. in Kalifornien, geben Hoffnung auf weitere Fortschritte.

Die gesamte Pressemitteilung des BFDI zu dem Thema können Sie hier nachlesen:
BfDI beantwortet Fragen der Bundestagsabgeordneten zum EU-US Privacy Shield

Apple iCloud Drive – nur für Bilder & Filme geeignet

Als Bestandteil der iCloud bietet Apple mit seinem iCloud Drive eine Datenspeicherlösung die standardmäßig in macOS und iOS integriert ist, sich aber über ein Webinterface auch mit Hardware und Betriebssystemen andere Hersteller nutzen lässt. Für den Unternehmenseinsatz ist iCloud Drive schon allein aufgrund seines limitierten Funktionsumfangs und Fokussierung auf iOS und macOS nicht prädestiniert.

Hinzu kommen ernsthafte Sicherheitsbedenken den Datenschutz betreffend. So werden die Daten in Server-Infrastruktur von großen Cloud-Anbietern wie Amazon und Google gespeichert. Sie werden zwar verschlüsselt gelagert, doch Apple kann sie entschlüsseln um sie bspw. an Strafverfolgungsbehörden zu übergeben.

Zudem kamen in der Vergangenheit immer wieder kritische Details ans Tageslicht, wie die Aufzeichnung von Telefonprotokollen in die Cloud und das Sammeln von bestimmten Daten ohne Zustimmung des Nutzers (Neue Wörter im Tastaturwörterbuch, Informationen über Notizen und Spotlight-Suchen, Browserhistorie des iPhones).

Auch die praktische Nutzung des iCloud Drive ist stark limitiert. So können Unterordner nicht selektiv synchronisiert werden, Dateien und Ordner nicht klassisch freigegeben werden, und von Android Geräten nur mittels Weboberfläche auf die Daten zugegriffen werden.

Der Client von iCloud Drive steht für Windows und Mac zur Verfügung. Auf allen iPhones und iPads mit iOS 8 ist der Cloud-Speicher bereits installiert. Ältere Versionen können das Programm nicht nutzen. Es können nur iWorks Office Dokumente geteilt werden.

Ein E-Mail-Support existiert nicht.

Wir empfehlen daher den Einsatz einer Plattformunabhängigen Cloud-Lösung wie Nextcloud, die über einen deutlich größeren Funktionsumfang verfügt und sich auf eigener Serverinfrastruktur betreiben lässt.

Weitere Informationen: 

Artikel: arconda.ag/portfolio/cloud/arcondanextcloud

Das Safe Harbor-Abkommen

Unter dem Safe Harbor Abkommen versteht man einen im Jahr 2000 gefassten Beschluss der Europäischen Kommission, der die Einhaltung von Datenschutz-Grundsätzen bei der Übermittlung von personenbezogenen Daten in die USA sicherstellen sollte. Die teilnehmenden US-Unternehmen mussten öffentlichen erklären, sich an die vom Handelsministerium aufgestellten Regeln zu halten, um Safe Harbor beizutreten.
Am 06. Oktober 2015 wurde das Abkommen vom Europäischen Gerichtshof für ungültig erklärt Ein gleichwertiges Schutzniveau in den USA und der EU sei durch Safe Harbor nicht gewährleistet, weil es dort an entsprechenden Rechtsvorschriften und Verpflichtungen mangele. Weiterhin wurden die nicht ausreichenden Rechtsschutzmöglichkeiten für EU-Bürger bemängelt sowie der Umstand, dass der Beschluss der Kommission nicht die Zuständigkeit der Datenschutzbehörden aushebeln darf, die Anforderungen selbst zu prüfen.
Die EU-Kommission handelte nach der Aussetzung des Safe Harbor Abkommens zur Wiederherstellung der Rechtssicherheit bei der Übermittlung von personenbezogenen Daten in die USA das sog. EU-US Privacy Shield aus, das im Jahr 2016 in Kraft trat.

Allgemein

• Gültig in den Jahren 2000 bis 2015
• ein Beschluss der Europäischen Kommission auf der Grundlage eines Verfahrens des US-Handelsministeriums
• Rechtliche Grundlage für die Übermittlung personenbezogene Daten aus einem EU Mitgliedstaat in die USA
• Einhaltung der Europäischen Datenschutzrichtlinie
• Am 06.10.2015 wurde das Abkommen vom Europäischen Gerichtshof für ungültig erklärt 
  • kein gleichwertiges Schutzniveau in den USA und der EU, da es in den USA an entsprechenden Rechtsvorschriften und Verpflichtungen mangelt
  • keine ausreichenden Rechtsschutzmöglichkeiten für EU-Bürger (Zugang und ggf Korrektur oder Löschung der personenbezogenen Daten)
  • der Beschluss der Kommission darf nicht die Zuständigkeit der Datenschutzbehörden aushebeln, die Anforderungen selbst zu prüfen
• Nachfolger seit dem 01.10.2016: EU-US Privacy Shield

Funktionsweise

• Eine zulässige Übermittlung personenbezogener Daten kann nur an Unternehmen erfolgen, die an Safe Harbor teilnehmen. Dazu reicht eine öffentliche Erklärung aus, die besagt, dass sich das Unternehmen an die vom Handelsministerium FTC aufgestellten Regeln hält. Das Unternehmen wurde dann in eine Liste des US-Handelsministeriums aufgenommen
• Keine externe Zertifizierung erforderlich, die Umsetzung der Prinzipien wurde nicht überprüft
• Die Unternehmen mussten sich an sieben Grundsätze halten:
  • Informationspflicht: Unterrichtung der betroffenen Person
  • Wahlmöglichkeit: Widerspruchsrecht des Betroffenen für andere Nutzungen
  • Weitergabe: Vor der Weitergabe muss die betroffene Person darüber informiert und auf das Recht auf Widerspruch hingewiesen werden
  • Sicherheit: Sicherstellen einer ausreichenden Datensicherheit
  • Datenintegrität: Daten müssen vollständig und richtig sein
  • Auskunftsrecht: die betroffene Person hat ein Recht auf Auskunft, Änderung und Löschung von Daten
  • Durchsetzung: betroffene Personen haben das Recht, sich an eine geeignete Stelle, die die Einhaltung der Prinzipien durchsetzen kann, zu wenden

Kritik

• Die Snowden-Enthüllungen haben das Maß der Überwachungsmaßnahmen seitens der USA gezeigt und die bis dahin bestehende Kritik noch einmal verstärkt
• Das Verfahren beruht auf der Selbstzertifizierung von Unternehmen, eine Einhaltung der Standards wird nicht überprüft
• Das Abkommen hat nicht dazu geführt, ein ausreichendes Schutzniveau für die personenbezogenen Daten von EU-Bürgern zu gewährleisten. Hier sind besonders die umfangreichen Zugriffsrechte staatlicher Stellen kritisch zu sehen. Die Gesetzeslage in den USA erlaubt staatlichen Behörden ohne Wissen des Betroffenen den Zugriff auf gespeicherte Daten (z. B. USA PATRIOT Act) 

Weitere Informationen: 

Artikel: arconda.ag/portfolio/cloud/arcondanextcloud