Wiesbadener-Kreis

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor E-Mails mit dem Betreff „Verifizierung Ihrer Kreditkarte“. Der Empfänger einer solchen E-Mail wird aufgefordert, den in der E-Mail enthaltenen Internet-Link „VeriSign“ anzuklicken. Daraufhin öffnet sich ein Fenster mit der Aufforderung, Kreditkartendaten einzugeben. Als Unterzeichner der E-Mail wird das „Bundesamt des Innern“ angegeben.
Das BSI sowie das Bundeskriminalamt (BKA) weisen ausdrücklich darauf hin, dass das Bundesinnenministerium nicht der Urheber dieser E-Mails sei.
Den angegebenen Link solle man nicht anklicken, sondern die Mail löschen.
Nähere Infos sind nachzulesen in der Pressemitteilung unter https://www.bsi.bund.de/ContentBSI/Presse/Pressemitteilungen/Presse2013/ang-KKzertifizierung_BMI_12012013.html

Der Landesbeauftragte für den Datenschutz in Baden-Württemberg hat das Merkblatt „Videoüberwachung durch nicht-öffentliche Stellen“ aktualisiert. Der Inhalt ist in die Kapitel Risiken, Zulässigkeit, Maßnahmen vor der Einrichtung, Durchführung sowie besondere Fallkonstellationen eingeteilt. Zusätzlich befindet sich im Anhang eine Checkliste für Betreiber einer Videoüberwachung.

Laut einer Mitteilung der österreichischen Studentengruppe „Europe-v-Facebook“ möchte diese gegen den Facebook-Prüfbericht von der irischen Datenschutzbehörde gerichtlich vorgehen. In der Mitteilung heißt es, dass dieses Verfahren zu einem der größten Musterverfahren im Datenschutz werden könnte. Außerdem hätte es gute Chancen bis zum Europäischen Gerichtshof zu laufen.

Seit langer Zeit drängt die Gruppe auf einen verbesserten Datenschutz bei Facebook und hat diverse Anzeigen gegen Facebook eingebracht.

Die europäische Tochter von Facebook hat ihren Sitz in Irland. Seit dem Eingang der Anzeigen kümmert sich die irische Datenschutzbehörde.

Facebook habe zwar mittlerweile auf ein paar Kritikpunkte reagiert, indem z.B. die Gesichtserkennung abgeschaltet wurde und die Datenschutzrichtlinie geändert wurde, dies ist aber für die Studentengruppe bei weitem nicht genug. Sie glauben, dass ihre Anzeigen bei den Behörden nicht ausreichend bei der Prüfung berücksichtigt werden und dass die Iren „massiv vom gemeinsamen Rechtsverständnis der Europäischen Union“ abweichen würden.

Thilo Weichert, der schleswig-holsteinische Datenschützer, hat den Bericht bereits im September als nicht ausreichend kritisiert. Wichtige Fragen, wie die Verarbeitung von Cookie- und Social-Plugin-Daten, werden nicht beantwortet und es gebe keine rechtliche Prüfung der Datenverarbeitung.

Eine rechtskonforme Lösung der Behörde scheint nicht absehbar. Deshalb bereitet sich die Gruppe nach ihren Angaben nun auf ein Gerichtsverfahren gegen die irische Datenschutzbehörde vor. Nach Einschätzung der Studentengruppe benötigen sie hierfür allerdings 100.000 bis 300.000 Euro.

Man versucht nun, diesen Betrag unter anderem über die Spendenplattform „Gemeinsam für ernsthaften Datenschutz“, (https://www.crowd4privacy.org/) im Internet zu sammeln.

Das BSI hat die neue Broschüre „Überblick IT-Grundschutz“ vorgestellt, die hier heruntergeladen werden kann.

Die Broschüre richtet sich an Entscheider, die mit dem Thema Informationssicherheit in ihrem Unternehmen konfrontiert sind und zeigt auf, warum Informationssicherheit notwendig ist, wie sie organisiert werden kann und wie mit Hilfe des BSI IT-Grundschutzes eine Unterstützung bei Umsetzung der Informationssicherheit erfolgen kann.

Die Eintragung in die sogenannte Robinsonliste hatten wir als Möglichkeit dargestellt, sich gegen ungebetene Werbung schützen zu können. Durch den Eintrag soll im Idealfall eine „Isolation“ von Werbemaßnahmen möglich sein wie bei dem Held des Buches „Robinson Crusoe“. Allerdings ist zur Zeit ein derart vollständiger Schutz gegen Werbung noch nicht möglich. Die Befolgung der Liste ist freiwillig. Immerhin aber hat eine wachsende Anzahl von Unternehmen erkannt, dass es auch für sie von Interesse sein kann, sich an die Liste zu halten, etwa um kostenpflichtige Abmahnungen zu verhindern. Leider jedoch ist die Eintragung bislang nur folgenden Gruppen erlaubt: privaten Verbrauchern, Kleingewerbetreibenden, Freiberuflern und Selbständigen. Kleine und mittelständische Unternehmen fallen daher bereits nicht mehr unter die möglichen Nutzer.

Das Kopieren von Personalausweisen hatten wir bereits in unserem Infobrief als Datenschutzproblem dargestellt. Bereits die Kenntnis persönlicher Kerndaten kann von Datendieben missbraucht werden. Dazu gehört auch die Personalausweisnummer. Hier besteht die besondere Gefahr des so genannten Identitätsdiebstahls. Durch Kenntnis u.a. der Personalausweisnummer sind Fälschungen von Dokumenten und falsche Angaben gegenüber Behörden und Institutionen möglich, die ernsthafte persönliche und finanzielle Konsequenzen nach sich ziehen können.

So ist denkbar, dass Straftaten begangen und in diesem Zusammenhang die falsche Identität des Opfers des Datendiebstahls angenommen wird. Dies kann zur Folge haben, dass Einträge im Bundeszentralregister (dem zentralen Strafregister der Bundesrepublik Deutschland) zulasten des Opfers erfolgen und im schlimmsten Fall eine Verhaftung oder Strafe. Weiterhin ist möglich, dass ein Kreditkartenkonto auf den Namen des Opfers eröffnet und dann mit der fremden Identität eingekauft wird. Ggf. werden unter der falschen Identität sogar weitere offizielle Dokumente wie Führerschein oder Reisepass beantragt, die dann zusätzlich noch eine gesteigerte Glaubhaftigkeit für sich haben. Mittels eines gefälschten Führerscheins kann der Täter dann die Folgen von Straßenverkehrsdelikten – von Einträgen im Verkehrszentralregister bis hin zu Bußgeldern, Strafen und Haftbefehlen – auf das Opfer des Identitätsbetruges „abwälzen“.

Diesen Gefahren ist durch entsprechende Vorsicht bei der Weitergabe von Daten wie der Personalausweisnummer entgegenzuwirken. Kommt es zum Ernstfall, so sind unverzüglich Behörden und Kreditinstitute zu informieren und Einträge bei Kreditauskunfteien vornehmen zu lassen.

Häufig wird die Frage gestellt, ob auch ein Wirtschaftsprüfer eine Vertragsanlage zur Auftragsdatenverarbeitung hinsichtlich § 11 BDSG unterzeichnen muss.

Bei dieser Frage hat der Landesdatenschutzbeauftragte des Landes Sachsen-Anhalt die Meinung vertreten, dass eine Auftragsdatenverarbeitung nur dann vorläge, wenn die beauftragte Stelle den strikten Anweisungen des Auftraggebers im Hinblick auf ihren Auftrag unterliegen würde.
Regelmäßig sei dies bei einem Wirtschaftsprüfer nicht der Fall. Wirtschaftsprüfer entscheiden in der Regel selbst über die Art und Weise der Prüfung und sind nicht an Weisungen des Auftraggebers gebunden.

Daher sei ausgeschlossen, dass Wirtschaftsprüfung als Auftragsdatenverarbeitung anzusehen sei.

Wenn Wirtschaftsprüfer also (ihrer Aufgabe entsprechend) zur Erfüllung ihres Auftrages selbständige fachlich intellektuelle Leistungen  erbringen und nicht nur Daten in ihrem Rechner verarbeiten, gilt für die Datenweitergabe § 28 BDSG. Aus diesem Grunde ist § 11 BDSG hier nicht anzuwenden.

Mitte Oktober 2012 trieb Facebook den Datenschützern einmal mehr die Schweißtropfen auf die Stirn. Um das eigene Konto zusätzlich zu sichern, konnten die Nutzer ihre Handynummer eingeben. Diese wurde von Facebook – und zwar ohne die Einverständniserklärung der Nutzer – zur Rückwärtssuche freigegeben. Das bedeutet, wer nach der Nummer suchte, erhielt Name, Geschlecht und Profilbild.

Wenige Tage später hat ein Unbekannter, der unter dem Namen Suriya Prakas auftrat, eine Liste mit mehr als 850 Namen und Telefonnummern veröffentlicht. Mit Hilfe von einem einfachen Script erzeugte er Zufallstelefonnummern und fragte über Facebook ab, ob es ein dazugehöriges Profil gäbe. Wenn das Script fündig wurde, speicherte es die dazugehörigen bei Facebook registrierten Namen und Nummern ab.

Bemerkenswerterweise wurde Suriya Prakas beim Abruf der massenhaften Datensätze (zehntausend Datensätze in einem Durchlauf) über die mobile Version von Facebook nicht blockiert. Erst als eine E-Mail mit einem Hinweis auf ein Sicherheitsproblem eintraf, wurde nach einigen Tagen der Massenzugriff gestoppt.

Facebook hat die Darstellung des Unbekannten nicht bestritten. Ein Sprecher bemerkte, dass eine Zugriffssperre bei zu vielen Datenabrufen greifen würde und dass man die Obergrenze nach den Enthüllungen reduziert hätte.

Datenschutz und IT-Sicherheit haben gemeinsame Schnittstellen. Zur Information sei hier auf die Veröffentlichung des BSI vom 16.10.2012 zur sicheren PC-Nutzung hingewiesen, einzusehen unter https://www.allianz-fuer-cybersicherheit.de/ACS/DE/Home/Wegweiser/kleinstUnternehmen_node.html.

Neuerliche Datenpannen veranlassen uns, auf die Dringlichkeit der Sicherstellung der laut Bundesdatenschutzgesetz BDSG erforderlichen technischen und organisatorischen Maßnahmen (häufig als TOM bezeichnet) hinzuweisen.

Wenn es zu einer Datenpanne gekommen ist – unabhängig von der Ausprägung – sollten Sie Ihren Datenschutzbeauftragten sofort informieren, damit er zusammen mit dem Unternehmen den Sachverhalt einschätzen und Maßnahmen ergreifen kann.