Kategorie: Online-Datenschutz

Staatstrojaner soll zukünftig auch Smartphones überwachen

21. Juli 2017

Der Einsatzbereich des Staatstrojaners ist in Deutschland erheblich vergrößert worden. Im Zuge dessen beabsichtigt das Bundeskriminalamt (BKA) noch dieses Jahr die erforderliche Software fertigzustellen, damit der noch mächtigere Staatstrojaner fortan auch Smartphones überwachen kann. Demnach sind nicht mehr nur, wie bisher, Skype und Windows betroffen, sondern auch Messenger auf mobilen Plattformen wie Android, iOS und Blackberry.

Das Parlament hat im Eilverfahren ein Gesetz verarbschiedet, welches die Strafverfolgungsbehörden ermächtigt, in bestimmten Fällen verschlüsselte Internet-Telefonate und Chats über Messenger wie Signal, WhatsApp oder Threema zu überwachen. Erforderlich dafür ist, dass die vom BKA momentan sich in intensiver Entwicklung befindliche Schadsoftware die Geräte der Betroffenen infiziert. Dieses Vorgehen läuft zwar der allgemeinen IT-Sicherheit zuwider. Nach Angaben des BKA hat dieses jedoch alle „Grundrechtsschonenden Alternativen“ ohne Erfolg überprüft. Damit kann die Polizei u.a. auch, sofern der Verdacht auf eine besonders schwere Straftat vorliegt, komplette IT-Systeme wie Computer oder Smartphones ausspähen.

Sammelklage gegen Facebook vor dem EuGH

20. Juli 2017

Der österreichische Datenschützer Maximilian Schrems will mit einer Sammelklage von 25.000 Verbrauchern aus der ganzen Welt gegen Facebook vorgehen. Vor dem OGH in Wien hatte der Jurist schon gegen die missbräuchliche Verwendung von Nutzerdaten geklagt. In Österreich ist es möglich, dass viele Personen ihre Ansprüche an eine Person abtreten, die dann alle Ansprüche gesammelt geltend machen kann, die sogenannte „Sammelklage österreichischer Prägung“. Mehr als 25.000 Verbraucher hatten über Schrems´ Webseite ihre Ansprüche gegen Facebook an Maximilian Schrems abgetreten.

Facebook führte an, dass die österreichischen Gerichte hierfür nicht zuständig seien. Somit bliebe Betroffenen nur der Weg einer einzelnen Klage gegen Facebook. Der Europäische Gerichtshof (EuGH) muss nun klären, ob eine Sammelklage gegen Facebook grundsätzlich zulässig ist.

Je nach der Entscheidung des EuGH könnte eine europaweite, oder gar weltweite Sammelklage möglich, oder aber auch nur für Verbraucher aus bestimmten Ländern zulässig sein. Andernfalls müssten viele parallele Verfahren in Österreich und anderen Ländern geführt werden. Mit einer schnellen Entscheidung ist aber nicht zu rechnen. Der EuGH-Generalanwalt will erst nach dem Sommer eine Einschätzung abgeben.

Schrems ist vor dem EuGH kein Unbekannter. Er hatte bereits eine Klage vor den EuGH gebracht. Dieser Rechtsstreit drehte sich um die Weitergabe von Facebook-Daten an den US-amerikanischen Geheimdienst NSA. Der EuGH setzte darauf das Safe-Harbor-Abkommen aus.

Unternehmen in Sorge wegen Cyber-Attacken

10. Juli 2017

Bei kleinen und mittelgroßen Unternehmen wächst die Angst vor Cyber-Attacken. Zu diesem Ergebnis kommt eine Studie der Gothaer die zwischen Ende April und Anfang Mai diesen Jahres (vor dem Trojaner Wannacry) durchgeführt wurde. Insgesamt wurden 1000 kleine und mittlere Unternehmen befragt.

35 % der befragten Unternehmen halten es für wahrscheinlich, dass Cyber-Risiken bestehen. Im Jahr 2015 waren es noch 5 % weniger.

Zur Risikominimierung setzen die Unternehmen Virenschutzprogramme und Firewalls ein, jedoch gibt jedes 5. Unternehmen an, dass es einen solchen Schutz nicht hat. Eine mehrfache Datensicherung führen nur zwei von drei Unternehmen durch. Cyber-Policen die inzwischen von vielen Versicherungen angeboten werden haben nur 9% der Unternehmen.

Im Ergebnis rangiert die Angst vor Cyber-Attacken auf Rang drei der meist gefürchteten Risiken. Davor befindet sich noch das Risiko von Einbruch/Vandalismus und das Risiko von menschlichem Versagen.

Kategorien: Allgemein · Hackerangriffe
Schlagwörter:

Weitere Staaten erwägen „Facebook“-Gesetz nach deutschem Vorbild

5. Juli 2017

Das umstrittene Netzwerkdurchsetzungsgesetz von Justizminister Heiko Maas wurde am 30. Juni 2017 vom deutschen Bundestag verabschiedet. Ziel des neuen Gesetzes ist es, schneller und effektiver gegen Hassmeldungen und sog. „Fake News“ in sozialen Netzwerken wie Facebook, Twitter oder Youtube vorgehen zu können. Dazu sind die betroffenen Unternehmen nach dem neuen Gesetz verpflichtet, offensichtlich rechtswidrige Inhalte, die ihnen von anderen Usern gemeldet werden, innerhalb von 24 Stunden nach ihrer Meldung zu löschen. In Ausnahmefällen, in denen nicht unmittelbar erkennbar ist, ob die Inhalte rechtswidrig sind, wird den Unternehmen eine Entscheidungsfrist von 7 Tagen zur Verfügung gestellt.

Kritiker befürchten, dass die Unternehmen in Zukunft schneller Inhalte löschen werden, um so den im Zweifel drohenden hohen Geldbußen zu entgehen. Als Folge wird eine Einschränkung des Grundrechts auf freie Meinungsäußerung befürchtet. Zwar befürworten die meisten Kritiker den Ansatz von Justizminister Maas, kritisieren jedoch die Umsetzung in Form des jetzt verabschiedeten Gesetzes. Ein Problem stelle es insbesondere dar, dass es den Unternehmen überlassen werde, über die Rechtswidrigkeit von geposteten Inhalten zu entscheiden. Darüber hinaus seien die vorgesehenen Löschfristen zu kurz bemessen und die Unternehmen so zu einem „overblocking“ von Inhalten gezwungen.

In Italien und Israel wird das Netzwerkdurchsetzungsgesetz hingegen positiv betrachtet. Auch die Regierungen dieser Länder sind der Ansicht, dass eine Selbstregulierung der Plattformen nicht ausreichend sei.

Umzugsadressen einsehbar

Wenn ein Umzug ins Haus steht, kann man über das Internetportal umziehen.de, das von der Deutsche Post Adress GmbH & Co. KG betrieben wird, viele Unternehmen und Institutionen über seine neue Anschrift informieren. Dadurch kann etwa sichergestellt werden, dass auch nach einem Umzug die Zustellbarkeit von Briefen und sonstigen Postsendungen sichergestellt ist.

Vor kurzem hat es bei der Deutsche Post Adress GmbH & Co. KG nun wohl ein Datenleck gegeben. Personen mit entsprechenden Computerfähigkeiten soll es unkompliziert möglich gewesen sein, die von den Nutzern des Portals umziehen.de hinterlegten Daten einzusehen. Konkret sollen Daten zu Namen, Alter und neuer Adresse, Umzugsdatum und E-Mail-Adresse offengelegen haben. Auslöser für diese Panne soll nach Angaben der Post ein Update für das Portal umziehen.de gewesen sein. Kurz nach Bekanntwerden der Sicherheitslücke sei man aber in der Lage gewesen diese zu schließen. Im Anschluss habe man die zuständige Datenschutzaufsichtsbehörde in Nordrhein-Westfalen über den Vorfall informiert und vorsorglich eine Informationsmail an die Nutzer des Portals umziehen.de geschickt.

Diese Datenpanne veranschaulicht, dass es für Unternehmen wichtig ist, bestehende Prozesse für den Umgang mit Datenpannen (Data Breach Management) zu implementieren. Das Bundesdatenschutzgesetz (BDSG) regelt in § 42a gewisse Informationspflichten gegenüber der zuständigen Datenschutzaufsichtsbehörde und den von einer Datenpanne betroffenen Personen. Ein Verstoß gegen diese Verpflichtung stellt nach § 43 Abs. 2 Nr. 7 BDSG eine Ordnungswidrigkeit dar, die mit bis zu 300.000 EUR Geldbuße geahndet werden kann und in den in § 44 Abs. 1 BDSG aufgeführten Fällen sogar eine Straftat darstellt. Die Bedeutung eines funktionierenden Data Breach Managements erhöht sich noch einmal vor dem Hintergrund der ab Mai 2018 geltenden Datenschutzgrundverordnung (DSGVO), da diese strengere Maßstäbe als das BDSG stellt und auch höhere Bußgelder vorsieht.

Über die Regelungen der DSGVO zum Umgang mit Datenpannen informieren wir Sie unter anderem auch in unserem nächsten Blogbeitrag der Themenreihe DSGVO.

Gesetz zur Umsetzung der NIS-Richtlinie in Kraft getreten

4. Juli 2017

Am 30.06.2017 ist das Gesetz zur Umsetzung der EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS-Richtlinie) in Kraft getreten.

Damit werden u. a. die Befugnisse des Bundesamtes für Sicherheit in der Informationstechnik (BSI) erweitert: Vor allem werden die Aufsichts- und Durchsetzungsbefugnisse des BSI über die Betreiber Kritischer Infrastrukturen ergänzend zum IT-Sicherheitsgesetz ausgeweitet. Außerdem wird mit der Richtlinie und ihren Umsetzungsgesetzen ein einheitlicher Rechtsrahmen für den Auf- und Ausbau nationaler Kapazitäten für die Cyber-Sicherheit geschaffen. Eine weiteres wichtiges Ziel, Mindestsicherheitsanforderungen an und Meldepflichten für Kritische Infrastrukturen zu kreieren, wurde ebenfalls erreicht.

Darüber hinaus trat zeitgleich die erste Verordnung zur Änderung der BSI-Kritisverordnung vom 03.05.2016 in Kraft. Druch sie werden die kritischen Infrastrukturen, bislang Energie, Informationstechnik und Telekommunikation, Wasser sowie Ernährung, um die Sektoren Finanz- und Versicherungswesen, Gesundheit sowie Transport und Verkehr ergänzt.

PSD2 ermöglicht Drittanbietern Zugriff auf Kontodaten

30. Juni 2017

PSD2 ist die Abkürzung für Payment Service Directive 2, eine neue EU-Richtlinie, die es ab 2018 auch anderen lizenzierten Drittanbietern ermöglicht, Zugriff auf Kontodaten ihrer Kunden zu erhalten. Damit müssen sich Banken, die bisher die absolute Marktmacht hinsichtlich der Finanzen und auch der Zugriffsmöglichkeit auf die Kundenkontendaten hatten, auf dem Markt neu positionieren. Unter die Drittanbieter fallen nicht nur andere Geldhäuser, sondern auch sogenannten Fintechs. Letztere sind junge Unternehmen, die im Umfeld der Finanzindustrie spanennde neue technologiebasierte Zahlungslösungen für den Onlinehandel oder intelligente Finanz-Apps zur Geldanlage anbieten. Ein Beispiel ist die Sofortüberweisung der SOFORT GmbH. Dabei handelt es sich um eine Onlinezahlungsart, bei welcher der Kunde seine PIN und TAN an die Anbieter der Sofortüberweisung übermittelt. Diese überprüfen dann seinen Kontostand und veranlassen anschließend die Überweisung. Problematisch war bisher, dass die AGB vieler Banken vorsehen, dass der Kunde die Daten gar nicht weitergeben darf. Dazu hat das Bundeskartellamt im Fall der Sofortüberweisung bereits klargestellt, dass die AGB-Verbote der Banken wettbewerbswidrig sind. Diese gesetzliche Grauzone wird nun durch die PSD2 beseitigt und die Banken sind gezwungen, sich gegenüber den digitalen Entwicklungen des Marktes zu öffnen.

Aus Kundenperspektive ist die neue EU-Richtlinie durchaus begrüßenswert, denn sie bringt ausschließlich Vorteile mit sich. So können Kunden zukünftig selbst entscheiden, wer Zugriff auf ihr Konto haben soll, indem sie Drittanbietern ihre Einwilligung per PIN oder TAN erteilen, wenn diese ihr Konto einsehen möchten. Darüber hinaus profitieren Kunden von neuen Diensten, die in diesem Zusammenhang entstehen womit für sie der Markt auch an Transparenz und Vielfalt gewinnt.

Google stoppt E-Mail-Scans für personalisierte Werbung

29. Juni 2017

Was viele Nutzer des googleeigenen Mailingsdienstes Gmail vemutlich bisher gar nicht wissen: Google scannt alle E-Mails der Nutzer, um diese in einem zweiten Schritt mit personalisierter Werbung ansprechen zu können. Doch mit dieser Praxis soll nun Schluss sein. Dies kündigte die für Googles Cloud-Geschäft zuständige Managering Diane Greene zumindest nun im Blog des Unternehmens an. Ohne den genauen Zeitpunkt des Stopps zu nennen, erklärte sie „Nach dem Wechsel wird der Inhalt der Nachrichten in Gmail nicht mehr gescannt, um die Anzeigen zu personalisieren.

In der kostenlosen Variante des Mailingsdienstes wird die Scan-Methode bereits seit dem Start des Services 2004 angewendet, um die Bereitstellung finanzieren zu können. Die Praxis, die Mails im Posteingang des jeweiligen Nutzers zu scannen, um ihn dann im Web-Interface mit, auf die Inhalte der Mails zugeschnittener Werbung anzusprechen, hatte schon damals zu vielen kritischen Stimmen gesorgt, die allerdings erst jetzt Früchte tragen, indem Google den E-Mail-Scan einstellt.

Trotz der umstrittenen Funktion war die Nachfrage, vor allem aufgrund des großen und bis dato konkurrenzlosen Funktionsumfang, für den werbefinanzierten Google-Dienst groß. Auch die Bezahlversion Google G Suite, bei dem das Scan-Verfahren nicht eingesetzt wird, nutzen inzwischen 3 Millionen Kunden.

Ganz entfallen wird die personalisierte Werbung beim Nutzen von Gmail aber weiterhin nicht. Der Konzern will sich aber nun nach anderen Kriterien richten. So kann Google einem Kunden aufgrund des vom Android-Smartphone gemeldeten Standorts, der besuchten Websites oder aufgrund der Nutzung googleeigener Apps zugeschnitte Anzeigen darstellen. Auch die Mails werden weiterhin gescannt, um so z.B. Komfortaktionen des Google-Assistenten Now nutzen zu können.

Durch entsprechende Änderungden ihrer Accounteinstellungen können Google-Nutzer der Personalisierung und der weitergehenden Informationsübermittlung an Google widersprechen.

Neue Cyber-Attacke durch Ransomware

28. Juni 2017

Nachdem bereits vor etwas mehr als einem Monat zahlreiche Unternehmen und private Nutzer Opfer des Trojaners WannaCry geworden sind, findet momentan wohl eine neue Cyber-Angriffswelle statt. Arne Schönbohm, der Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI), teilte mit, dass es sich nach ersten Erkenntnissen um eine Angriffswelle mit der Schadsoftware Petya handele die Schwachstellen ausnutze, die bereits die Ransomware WannaCry ausgenutzt hätte.

Bei dieser Art von Cyberattacken werden Dateien auf den betroffenen Computersystemen verschlüsselt und der Nutzer wird zur Zahlung eines Lösegelds aufgefordert, damit die Daten wieder entschlüsselt werden. Die Zahlung des Lösegeldes garantiert jedoch nicht, dass die Daten tatsächlich wieder entschlüsselt werden. Unter anderem deswegen rät das BSI betroffenen Unternehmen auch dazu, nicht auf Lösegeldforderungen einzugehen.

Die ersten Attacken mit der Petya-Ransomware ereigneten sich nach aktuellem Informationsstand in der Ukraine und betrafen dort verschiedene Unternehmen wie beispielsweise die Zentralbank, den internationalen Flughafen Kiew-Borispyl und die U-Bahn. Auch das Kernkraftwerk Tschernobyl wurde von dem Cyberangriff betroffen. Die technischen Systeme des Kraftwerks sollen aber weiterhin normal funktionieren. Lediglich die Kontrolle der Radioaktivität müsse manuell stattfinden. Neben diesen Unternehmen sind auch die Deutsche Post in der Ukraine, das russische Ölunternehmen Rosneft oder die dänische Reederei Maersk von der Attacke betroffen.

Die Verbreitung von WannaCry konnte dadurch wesentlich verlangsamt werden, dass eine in den Code eingebettete Kill-Switch-Funktion entdeckt wurde. Wie sich die aktuelle Petya-Ransomware genau verbreitet und ob auch sie über einen solchen eingebauten Notschalter verfügt ist aktuell noch nicht ersichtlich.

Neues Snapchat-Feature „Snap Map“ erfasst automatisch Aufenthaltsort der Nutzer

26. Juni 2017

Letzte Woche präsentierte der Video-Messenger Snapchat ein neues Feature. „Snap Map“ erlaubt es dem Nutzer, seinen aktuellen Standort freizugeben und damit anderen Nutzern in Echtzeit mitzuteilen, wo er sich gerade befindet. Der jeweilige Aufenthaltsort wird auf einer Weltkarte angezeigt und soll Nutzern des Messengerdienstes zeigen, wo sich ihre Freunde gerade aufhalten und was sie gerade erleben.

Aus datenschutzrechtlicher Sicht stellt diese Funktionsweise einen nicht unerheblichen Eingriff in das allgemeine Persönlichkeitsrecht in Ausgestaltung des Rechts auf informationelle Selbstbestimmung dar. Zwar ist die neue Funktion grundsätzlich freiwillig und der Nutzer wird aufgefordert, diese aktiv einzuschalten, im Tutorial fehlt es jedoch an der Erklärung, dass eine einmal akivierte Standortfreigabe bestehen bleibt, was bedeutet, dass der Standort jedes Mal aktualisiert wird, wenn der Nutzer die Snapchat-App öffnet.

Wie ein Test der neuen Funktion von The Verge zeigt, ist der Karteneintrag so genau, dass man bei genauem Hinsehen sogar die Hausnummer des Hauses erraten konnte, an dem sich der Nutzer, der die Standortaktulaisierung aktivierte, befand. Auch auf den Detailgrad der angezeigten Weltkarte wird bis dato im Rahmen des Tutorials nicht hingewiesen und dürfte viele Nutzer überraschen. Besonders problematisch ist die neue Funktion, weil vor allem junge Leute die App nutzen und gerade diese die genauen Details und Einstellmöglichkeiten oftmals nicht erfassen können und schnell überlesen.

Wie ein Snapchat-Sprecher The Verge mitteilt, fragt die App in regelmäßigen Abständen nach, ob der Standort weiterhin bei jedem Öffnen aktualisiert werden solle. Zudem würde seitens Snapchat sichergestellt, dass die Standortdaten in „kurzen Zeitabständen“ gelöscht werden. So bleibe der Standort acht Stunden auf der Karte einsehbar, wenn die App in diesem Zeitraum nicht geöffnet und der Standort erneut aktualisiert wird.

Nutzer der App, die das neue Feature nicht nutzen wollen, sollten in den sog. „Geistmodus“ (Ghost Mode) wechseln.

1 2 3 47