Neuerungen im myGINDAT Portal

Wir möchten Sie heute über Neuerungen im myGINDAT Portal informieren.

Wir haben eine neue Kachel auf myGINDAT zu den Schulungsinstanzen.

Wenn Sie diese anklicken werden Ihnen unter dem Text der Erreichbarkeit  5 Fragen angezeigt, und wir möchten Sie bitten diese Fragen zu beantworten.

Durch die Beantwortung der Fragen, haben wir die Möglichkeit Ihre Online-Schulung noch besser auf Sie und Ihr Unternehmen abstimmen zu können.

Gut vorbereitet für den Cyber-Ernstfall

Heutzutage wird es immer wahrscheinlicher, dass ein Unternehmen früher oder später ins Visier eines Cyberangriffs gerät.
Die Firma Sophos entwickelte einen Incident-Response-Plan in 10 Schritten, um im Falle einer Cyberattacke die Kontrolle zu behalten, den Schaden zu minimieren und Folgekosten zu verhindern.

  1. Alle Beteiligten und Betroffenen festlegen
    Alle entscheidenden Personen müssen in die Incident-Planung einbezogen werden. Es sollten außerdem alternative Kommunikationswege geschaffen werden, die im Falle eines Angriffs nicht in Mitleidenschaft gezogen werden.
  2. Kritische Ressourcen identifizieren
    Das Schadensausmaß im Ernstfall muss ermittelt werden. Dabei sind Prioritäten zu vergeben, welche Ressourcen und Systeme in welchem Umfang geschützt werden müssen.
  3. Ernstfall-Szenarien üben und durchspielen
    Anstatt nach Handlungsanleitungen zu suchen oder nach der Intuition zu handeln, sollten Übungsszenarien (mit unterschiedlichen Arten von Angriffen) vorbereitet und erprobt werden.
  4. Security-Tools bereitstellen
    Es sollte in Präventive Maßnahmen investiert werden, wie etwa Security-Lösungen für Netzwerk, Server, Cloud und E-Mails, KI-gestützte Automation, sowie eine Verwaltungs- und Alarmkonsole, um Angriffe möglichst frühzeitig zu erkennen.
  5. Maximale Transparenz sicherstellen
    IT- und Sicherheitsteams müssen einen Überblick über alle Vorgänge haben, um alle angreifbaren Punkte in Systemen zu kennen und angemessen auf Angriffe reagieren zu können.
  6. Zugriffskontrolle implementieren
    Nicht alle Mitarbeiter benötigen dieselben Zugriffsrechte. Mehrstufige Authentifizierung und selektive Vergabe von Administrator-Rechten schränken die potenziellen Schäden eines Angriffs ein. Zusätzlich sollte darüber nachgedacht werden, ein Zero-Trust-Konzept zu erstellen und umzusetzten.
  7. In Analyse-Tools nutzen
    Es sollten Tools wie EDR (Endpoint Detection and Response) oder XDR (Extended Detection and Response) eingerichtet werden, die Systeme nach Indikatoren für einen im Gange befindlichen Angriff absuchen.
  8. Reaktionsmaßnahmen festlegen
    Wird ein Angriff erstmal entdeckt, muss die IT wissen, welche Maßnahmen gegen welche Angriffsform eingesetzt werden müssen.
  9. Awareness-Trainings durchführen
    Mitarbeiter sollten im Training ein simuliertes Angriffs-Szenario durchgehen, um  sie für die korrekte Handhabung einer Notsituation und die Risiken ihrer eigenen Handlungen zu sensibilisieren.
  10. Managed Security Services
    Idealerweise hat man einen Incident-Response-Plan zusammen mit einem geschulten Team. Dies ist nicht für jedes Unternehmen umsetzbar – man kann dennoch in Erwägung ziehen, einen externen Dienstleister wie einen Provider von MDR (Managed Detection and Response) zu verpflichten.

Weitere Informationen finden Sie hier:
https://www.secupedia.info/aktuelles/gut-vorbereitet-fuer-den-cyber-ernstfall-18279

Kundenportal myGINDAT: neue Funktionen

Seit der Einführung unseres Kundenportals myGINDAT (https://www.gindat.de/anmeldung.html) arbeiten wir permanent an dem Ausbau und Erweiterung der Website.

Im Vergleich zum Vorjahr können wir Ihnen noch mehr Funktionen anbieten, die Sie beim Aufbau und Überwachen Ihres Datenschutzmanagementsystems unterstützen.
Neben der Erstellung Ihrer Verarbeitungsverzeichnisse, können Sie zwischenzeitlich auch Ihre Dienstleisterliste online pflegen sowie Ihre technischen und organisatorischen Maßnahmen dokumentieren.

Auch der Upload von Dokumenten, wie z.B. die verabschiedete Datenschutzrichtlinie (Richtlinie Betriebliche Datenschutzorganisation_DSGVO), ist bereits seit einigen Monaten möglich.

Ab sofort bietet Ihnen das Kundenportal aber auch die Möglichkeit, alle notwendigen Audits, die Ihr Datenschutzbeauftragter in seiner Funktion durchführen muss, zu überwachen.
Sehen Sie jederzeit, wann der nächste Datenschutz-Jahresbericht fällig ist, oder wann wieder ein Website-Security-Audit durchgeführt wird.

Auch die Fälligkeit einer neuen Gebäudebegehung zur Prüfung der physikalischen Sicherheit Ihrer Organisation oder die Notwenigkeit eines neuen Netzwerkscans zur Überprüfung der internen Infrastruktur, können Sie ab sofort einsehen.
Falls ein geplanter Termin unserseits mal nicht passt, können Sie diesen auch bequem im Portal direkt neu terminieren. Bitte beachten Sie jedoch, dass der Termin eine Frist von 3 Monaten nicht übersteigen kann.

Derzeit arbeiten wir an einem Hinweisgebersystem, damit Sie die Whistleblower-Richtlinie in Ihrem Unternehmen rechtskonform umsetzen können.

Sollte ein Termin dennoch einmal nicht passen, können Sie uns weiterhin auch telefonisch erreichen.
Bei Fragen zum Kundenportal stehen wir Ihnen wie gewohnt montags bis freitags von 08:00 Uhr bis 17:00 Uhr unter der 02191 909 430 oder per Mail unter info@gindat.de zur Verfügung.

Polizei nutzte Luca-Daten von Kneipenbesuchern ohne Rechtsgrundlage

Dass die Daten der Luca-App auch für die Strafverfolgung interessant sind, dürfte wenig überraschen. Da die Privatsphäre der App nicht auf technischer Ebene gesichert ist, war es auch nur eine Frage der Zeit, bis Behörden Zugang auf die Daten anfordern. Noch fehlt dazu eine klare Rechtsgrundlage um die Daten zur Ermittlung von Zeugen zu nutzen, was der Staatsanwaltschaft aber erst im Nachhinein aufgefallen sein will.

So geschehen, als es in einer Kneipe zu einem Sturz kam. Die betroffene Person verstarb mehrere Tage später an den Folgen, woraufhin die Polizei ermittelte und zwecks Zeugenbefragung die Luca-Daten der Kneipe erfragte. Als sie die Daten zunächst nicht erhielten, wandte sich die Polizei an das Gesundheitsamt, welches ebenfalls bei der Kneipe eine Herausgabe anforderte, die daraufhin auch erfolgte.

Diese Nutzung der Daten außerhalb der ursprünglich gedachten Kontaktverfolgung ist mittlerweile nur ein weiterer Kritikpunkt. Denn angesichts der zurückgegangenen Nutzung (in Bayern wurden 2 Wochen lang keine Daten abgefragt) dürfte sie mittlerweile zur tatsächlichen Bekämpfung der Pandemie kaum noch nützen. Dazu kommt, dass Luca scheinbar auch in Erwägung zieht, die Nutzerdaten in Zukunft nicht mehr für die Pandemie-Nachverfolgung, sondern auch gewinnbringend zu nutzen, indem die Luca-App für Events oder die Gastronomie eingesetzt wird.

Weitere Informationen finden Sie hier:
https://netzpolitik.org/2022/mainz-polizei-nutzte-luca-daten-von-kneipenbesuchern-ohne-rechtsgrundlage/

Datenschutzrechtliche Anforderungen an eine Website (Teil 1): Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) und die Abgrenzung zur DSGVO

Am 1. Dezember ist das Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) in Kraft getreten, das die ePrivacy-Richtlinie in nationales Recht umsetzt. Das Gesetz enthält u.a. Regelungen für Webseitenbetreiber, die Cookies oder ähnliche Technologien einsetzen möchten.

Schutz der Privatsphäre bei Endeinrichtungen

Die zentrale Regelung, die Betreiber von Webseiten beachten müssen, ist § 25 TTDSG.

Nach § 25 Absatz 1  Satz 1 TTDSG ist  „die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, (…) nur zulässig, wenn der Endnutzer (…) eingewilligt hat.“

Das Gesetz stellt – im Einklang mit der höchstrichterlichen Rechtsprechung – klar, dass das Gesetz bereits dann zur Anwendung kommt, wenn Informationen in der Endeinrichtung (z. B. Laptop, Smartphone oder Tablet) gespeichert oder ausgelesen werden. Das bedeutet, dass Cookies oder sonstige Technologien auch dann von der Regelung erfasst werden, wenn keine personenbezogenen Daten verarbeitet werden, also Informationen, die keine Rückschlüsse auf die Identität des Webseitenbesuchers zulassen. Damit geht die Regelung über die DSGVO hinaus. Denn Zweck der Norm ist nicht nur der Schutz von personenbezogenen Daten, sondern der Schutz vor Fremdzugriffen.

Werden die Information auf einer Endeinrichtung gespeichert oder ausgelesen, so ist nach § 25 Absatz 1  Satz 1 TTDSG die Einwilligung des Besuchers der Website notwendig. Zu beachten ist, dass es nicht nur um die Speicherung/Auslesung von Cookies geht, auch wenn dies der häufigste Anwendungsfall ist, sondern auch um andere Technologien wie:

  • Web Storage: Wie ein Cookie, aber mit größerer Kapazität.
  • Web-Beacons, auch Zählpixel genannt, sind kleine 1×1-Pixel-große Grafiken. Beim Zugriff auf diese Internetinhalte wird der Pixel vom Server geladen und dokumentiert den Abruf der Website.
  • Browser-Fingerprinting: Beim Browser-Fingerprinting wird der Besucher anhand von Informationen wie Bildschirmauflösung, Betriebssystemversion oder installierte Schrift wiedererkannt.

Abgrenzung zur DSGVO

Beim Speichern und Auslesen von personenbezogenen Daten konkurriert das TTDSG mit der DSGVO.

Werden Cookies oder andere Technologien, die keine personenbezogenen Daten erfassen, eingesetzt, so ist § 25 TTDSG anwendbar. Möglich ist jedoch auch die Speicherung bzw. der Zugriff auf Cookies mit personenbezogenen Daten. In dem Fall ist das TTDSG vorrangig (vgl. Artikel 95 DSGVO), da es das speziellere Gesetz darstellt.

Die weitere Verarbeitung, z. B. die Bildung von Nutzerprofilen, wird vom § 25 TTDSG nicht erfasst, weshalb die Erlaubnisnormen der DSGVO zu beachten sind. In diesem Zusammenhang ist darauf hinzuweisen, dass die Verwendung von Pseudonymen z. B. in Form einer eindeutigen Identifizierungsnummer nicht dazu führt, dass kein Personenbezug vorliegt, da IDs oder Kennungen dazu genutzt werden können die einzelnen Besucher zu unterscheiden und zu adressieren.

Kommt sowohl das TTDSG als auch die DSGVO zur Anwendung, sind keine separaten Einwilligungen erforderlich. Die Besucher müssen jedoch ausreichend über die Verarbeitungen informiert werden.

Ausnahme

Nach § 25 Absatz 2 Nr. 2 TTDSG ist die Einholung einer Einwilligung entbehrlich, wenn der Dienst unbedingt erforderlich ist, um einen Dienst zur Verfügung zu stellen, den der Besucher der Website ausdrücklich wünscht. Das sind z. B. Warenkorb-Cookies oder Systeme zur Betrugsprävention. Was jedoch unter dem Begriff unbedingt erforderlich zu verstehen ist, erfahren Sie in Teil 2 unserer Reihe.

Max Macht
Volljurist