Kategorie: Online-Datenschutz
5. Juli 2017
Wenn ein Umzug ins Haus steht, kann man über das Internetportal umziehen.de, das von der Deutsche Post Adress GmbH & Co. KG betrieben wird, viele Unternehmen und Institutionen über seine neue Anschrift informieren. Dadurch kann etwa sichergestellt werden, dass auch nach einem Umzug die Zustellbarkeit von Briefen und sonstigen Postsendungen sichergestellt ist.
Vor kurzem hat es bei der Deutsche Post Adress GmbH & Co. KG nun wohl ein Datenleck gegeben. Personen mit entsprechenden Computerfähigkeiten soll es unkompliziert möglich gewesen sein, die von den Nutzern des Portals umziehen.de hinterlegten Daten einzusehen. Konkret sollen Daten zu Namen, Alter und neuer Adresse, Umzugsdatum und E-Mail-Adresse offengelegen haben. Auslöser für diese Panne soll nach Angaben der Post ein Update für das Portal umziehen.de gewesen sein. Kurz nach Bekanntwerden der Sicherheitslücke sei man aber in der Lage gewesen diese zu schließen. Im Anschluss habe man die zuständige Datenschutzaufsichtsbehörde in Nordrhein-Westfalen über den Vorfall informiert und vorsorglich eine Informationsmail an die Nutzer des Portals umziehen.de geschickt.
Diese Datenpanne veranschaulicht, dass es für Unternehmen wichtig ist, bestehende Prozesse für den Umgang mit Datenpannen (Data Breach Management) zu implementieren. Das Bundesdatenschutzgesetz (BDSG) regelt in § 42a gewisse Informationspflichten gegenüber der zuständigen Datenschutzaufsichtsbehörde und den von einer Datenpanne betroffenen Personen. Ein Verstoß gegen diese Verpflichtung stellt nach § 43 Abs. 2 Nr. 7 BDSG eine Ordnungswidrigkeit dar, die mit bis zu 300.000 EUR Geldbuße geahndet werden kann und in den in § 44 Abs. 1 BDSG aufgeführten Fällen sogar eine Straftat darstellt. Die Bedeutung eines funktionierenden Data Breach Managements erhöht sich noch einmal vor dem Hintergrund der ab Mai 2018 geltenden Datenschutzgrundverordnung (DSGVO), da diese strengere Maßstäbe als das BDSG stellt und auch höhere Bußgelder vorsieht.
Über die Regelungen der DSGVO zum Umgang mit Datenpannen informieren wir Sie unter anderem auch in unserem nächsten Blogbeitrag der Themenreihe DSGVO.
4. Juli 2017
Am 30.06.2017 ist das Gesetz zur Umsetzung der EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS-Richtlinie) in Kraft getreten.
Damit werden u. a. die Befugnisse des Bundesamtes für Sicherheit in der Informationstechnik (BSI) erweitert: Vor allem werden die Aufsichts- und Durchsetzungsbefugnisse des BSI über die Betreiber Kritischer Infrastrukturen ergänzend zum IT-Sicherheitsgesetz ausgeweitet. Außerdem wird mit der Richtlinie und ihren Umsetzungsgesetzen ein einheitlicher Rechtsrahmen für den Auf- und Ausbau nationaler Kapazitäten für die Cyber-Sicherheit geschaffen. Eine weiteres wichtiges Ziel, Mindestsicherheitsanforderungen an und Meldepflichten für Kritische Infrastrukturen zu kreieren, wurde ebenfalls erreicht.
Darüber hinaus trat zeitgleich die erste Verordnung zur Änderung der BSI-Kritisverordnung vom 03.05.2016 in Kraft. Druch sie werden die kritischen Infrastrukturen, bislang Energie, Informationstechnik und Telekommunikation, Wasser sowie Ernährung, um die Sektoren Finanz- und Versicherungswesen, Gesundheit sowie Transport und Verkehr ergänzt.
30. Juni 2017
PSD2 ist die Abkürzung für Payment Service Directive 2, eine neue EU-Richtlinie, die es ab 2018 auch anderen lizenzierten Drittanbietern ermöglicht, Zugriff auf Kontodaten ihrer Kunden zu erhalten. Damit müssen sich Banken, die bisher die absolute Marktmacht hinsichtlich der Finanzen und auch der Zugriffsmöglichkeit auf die Kundenkontendaten hatten, auf dem Markt neu positionieren. Unter die Drittanbieter fallen nicht nur andere Geldhäuser, sondern auch sogenannten Fintechs. Letztere sind junge Unternehmen, die im Umfeld der Finanzindustrie spanennde neue technologiebasierte Zahlungslösungen für den Onlinehandel oder intelligente Finanz-Apps zur Geldanlage anbieten. Ein Beispiel ist die Sofortüberweisung der SOFORT GmbH. Dabei handelt es sich um eine Onlinezahlungsart, bei welcher der Kunde seine PIN und TAN an die Anbieter der Sofortüberweisung übermittelt. Diese überprüfen dann seinen Kontostand und veranlassen anschließend die Überweisung. Problematisch war bisher, dass die AGB vieler Banken vorsehen, dass der Kunde die Daten gar nicht weitergeben darf. Dazu hat das Bundeskartellamt im Fall der Sofortüberweisung bereits klargestellt, dass die AGB-Verbote der Banken wettbewerbswidrig sind. Diese gesetzliche Grauzone wird nun durch die PSD2 beseitigt und die Banken sind gezwungen, sich gegenüber den digitalen Entwicklungen des Marktes zu öffnen.
Aus Kundenperspektive ist die neue EU-Richtlinie durchaus begrüßenswert, denn sie bringt ausschließlich Vorteile mit sich. So können Kunden zukünftig selbst entscheiden, wer Zugriff auf ihr Konto haben soll, indem sie Drittanbietern ihre Einwilligung per PIN oder TAN erteilen, wenn diese ihr Konto einsehen möchten. Darüber hinaus profitieren Kunden von neuen Diensten, die in diesem Zusammenhang entstehen womit für sie der Markt auch an Transparenz und Vielfalt gewinnt.
29. Juni 2017
Was viele Nutzer des googleeigenen Mailingsdienstes Gmail vemutlich bisher gar nicht wissen: Google scannt alle E-Mails der Nutzer, um diese in einem zweiten Schritt mit personalisierter Werbung ansprechen zu können. Doch mit dieser Praxis soll nun Schluss sein. Dies kündigte die für Googles Cloud-Geschäft zuständige Managering Diane Greene zumindest nun im Blog des Unternehmens an. Ohne den genauen Zeitpunkt des Stopps zu nennen, erklärte sie “Nach dem Wechsel wird der Inhalt der Nachrichten in Gmail nicht mehr gescannt, um die Anzeigen zu personalisieren.
In der kostenlosen Variante des Mailingsdienstes wird die Scan-Methode bereits seit dem Start des Services 2004 angewendet, um die Bereitstellung finanzieren zu können. Die Praxis, die Mails im Posteingang des jeweiligen Nutzers zu scannen, um ihn dann im Web-Interface mit, auf die Inhalte der Mails zugeschnittener Werbung anzusprechen, hatte schon damals zu vielen kritischen Stimmen gesorgt, die allerdings erst jetzt Früchte tragen, indem Google den E-Mail-Scan einstellt.
Trotz der umstrittenen Funktion war die Nachfrage, vor allem aufgrund des großen und bis dato konkurrenzlosen Funktionsumfang, für den werbefinanzierten Google-Dienst groß. Auch die Bezahlversion Google G Suite, bei dem das Scan-Verfahren nicht eingesetzt wird, nutzen inzwischen 3 Millionen Kunden.
Ganz entfallen wird die personalisierte Werbung beim Nutzen von Gmail aber weiterhin nicht. Der Konzern will sich aber nun nach anderen Kriterien richten. So kann Google einem Kunden aufgrund des vom Android-Smartphone gemeldeten Standorts, der besuchten Websites oder aufgrund der Nutzung googleeigener Apps zugeschnitte Anzeigen darstellen. Auch die Mails werden weiterhin gescannt, um so z.B. Komfortaktionen des Google-Assistenten Now nutzen zu können.
Durch entsprechende Änderungden ihrer Accounteinstellungen können Google-Nutzer der Personalisierung und der weitergehenden Informationsübermittlung an Google widersprechen.
28. Juni 2017
Nachdem bereits vor etwas mehr als einem Monat zahlreiche Unternehmen und private Nutzer Opfer des Trojaners WannaCry geworden sind, findet momentan wohl eine neue Cyber-Angriffswelle statt. Arne Schönbohm, der Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI), teilte mit, dass es sich nach ersten Erkenntnissen um eine Angriffswelle mit der Schadsoftware Petya handele die Schwachstellen ausnutze, die bereits die Ransomware WannaCry ausgenutzt hätte.
Bei dieser Art von Cyberattacken werden Dateien auf den betroffenen Computersystemen verschlüsselt und der Nutzer wird zur Zahlung eines Lösegelds aufgefordert, damit die Daten wieder entschlüsselt werden. Die Zahlung des Lösegeldes garantiert jedoch nicht, dass die Daten tatsächlich wieder entschlüsselt werden. Unter anderem deswegen rät das BSI betroffenen Unternehmen auch dazu, nicht auf Lösegeldforderungen einzugehen.
Die ersten Attacken mit der Petya-Ransomware ereigneten sich nach aktuellem Informationsstand in der Ukraine und betrafen dort verschiedene Unternehmen wie beispielsweise die Zentralbank, den internationalen Flughafen Kiew-Borispyl und die U-Bahn. Auch das Kernkraftwerk Tschernobyl wurde von dem Cyberangriff betroffen. Die technischen Systeme des Kraftwerks sollen aber weiterhin normal funktionieren. Lediglich die Kontrolle der Radioaktivität müsse manuell stattfinden. Neben diesen Unternehmen sind auch die Deutsche Post in der Ukraine, das russische Ölunternehmen Rosneft oder die dänische Reederei Maersk von der Attacke betroffen.
Die Verbreitung von WannaCry konnte dadurch wesentlich verlangsamt werden, dass eine in den Code eingebettete Kill-Switch-Funktion entdeckt wurde. Wie sich die aktuelle Petya-Ransomware genau verbreitet und ob auch sie über einen solchen eingebauten Notschalter verfügt ist aktuell noch nicht ersichtlich.
26. Juni 2017
Letzte Woche präsentierte der Video-Messenger Snapchat ein neues Feature. “Snap Map” erlaubt es dem Nutzer, seinen aktuellen Standort freizugeben und damit anderen Nutzern in Echtzeit mitzuteilen, wo er sich gerade befindet. Der jeweilige Aufenthaltsort wird auf einer Weltkarte angezeigt und soll Nutzern des Messengerdienstes zeigen, wo sich ihre Freunde gerade aufhalten und was sie gerade erleben.
Aus datenschutzrechtlicher Sicht stellt diese Funktionsweise einen nicht unerheblichen Eingriff in das allgemeine Persönlichkeitsrecht in Ausgestaltung des Rechts auf informationelle Selbstbestimmung dar. Zwar ist die neue Funktion grundsätzlich freiwillig und der Nutzer wird aufgefordert, diese aktiv einzuschalten, im Tutorial fehlt es jedoch an der Erklärung, dass eine einmal akivierte Standortfreigabe bestehen bleibt, was bedeutet, dass der Standort jedes Mal aktualisiert wird, wenn der Nutzer die Snapchat-App öffnet.
Wie ein Test der neuen Funktion von The Verge zeigt, ist der Karteneintrag so genau, dass man bei genauem Hinsehen sogar die Hausnummer des Hauses erraten konnte, an dem sich der Nutzer, der die Standortaktulaisierung aktivierte, befand. Auch auf den Detailgrad der angezeigten Weltkarte wird bis dato im Rahmen des Tutorials nicht hingewiesen und dürfte viele Nutzer überraschen. Besonders problematisch ist die neue Funktion, weil vor allem junge Leute die App nutzen und gerade diese die genauen Details und Einstellmöglichkeiten oftmals nicht erfassen können und schnell überlesen.
Wie ein Snapchat-Sprecher The Verge mitteilt, fragt die App in regelmäßigen Abständen nach, ob der Standort weiterhin bei jedem Öffnen aktualisiert werden solle. Zudem würde seitens Snapchat sichergestellt, dass die Standortdaten in “kurzen Zeitabständen” gelöscht werden. So bleibe der Standort acht Stunden auf der Karte einsehbar, wenn die App in diesem Zeitraum nicht geöffnet und der Standort erneut aktualisiert wird.
Nutzer der App, die das neue Feature nicht nutzen wollen, sollten in den sog. “Geistmodus” (Ghost Mode) wechseln.
21. Juni 2017
Eine Datenbank mit persönlichen Wählerinformationen zu 198 Millionen US-Bürgern stand 2 Wochen frei zugänglich im Internet zum Download zur Verfügung.
Wie die US-Website Gizmodo berichtet, hatte das Unternehmen Deep Root Analytics im Auftrag der Republikanischen Partei eine Datenbank mit bis zu 198 Millionen Datensätzen an Wählerinformationen erstellt. Aus dieser gingen Namen, Geburtsdaten, Adressen und Telefonnummern eines Großteils der rund 200 Millionen wahlberechtigten US-Bürger hervor. Daneben waren in der Datenbank auch Analyseergebnisse zur politischen Einstellung, Religion, ethnischer Herkunft und wahrscheinliche Meinungen zu Themen wie Waffenbesitz, Stammzellenforschung oder Abtreibung der betroffenen Personen aufgeführt.
Auf die Datenbank aufmerksam geworden war die IT-Sicherheitsfirma UpGuard, nach deren Angaben die Eingabe der URL ausreichend war, um auf 1,1 Terrabyte der Datenbank, die auf einem Amazon Server gespeichert war, zugreifen und sie herunterzuladen zu können. Nicht einmal die Eingabe eines Passworts sei nötig gewesen.
Deep Root Analytics hat mit einer Stellungnahme auf die Datenpanne, die mittlerweile behoben ist, reagiert und eigene Fehler eingeräumt. So wird die Datenpanne auf ein fehlerhaftes Update am 1. Juni zurückgeführt. Weiter heißt es darin, dass die Daten gesammelt würden, um personalisierte Wahlwerbung im Fernsehen schalten zu können.
8. Juni 2017
OneLogin wurde in der vergangenen Woche Opfer eines Hackerangriffs.
Das Unternehmen ist ein Single Sign-on-Dienst-Hersteller. Single Sign-on-Dienste werden hauptsächlich von Unternehmen eingesetzt und erleichtern deren Mitarbeitern das Einloggen. Mit Hilfe dieser Systeme müssen die Mitarbeiter sich nicht für jeden Dienst den sie nutzen einzeln anmelden, sondern sie melden sich nur einmalig an und können dann verschiedene Dienste nutzen für die sonst eine separate Passwort-Eingabe notwendig ist. Auf der einen Seite eine Arbeitsbeschleunigung, auf der anderen Seite aber auch ein beliebtes Angriffsziel für Hacker.
Wie OneLogin am 31.Mai bekannt gab kam es zu einem Angriff. Der Hacker ist über die Amazon Web Services (AWS) in die Systeme des Unternehmens eingedrungen und hatte Zugriff auf diverse Datenbanken. Der Hacker wurde sieben Stunden lang nicht bemerkt. Erst dann stellten Angestellte ungewöhnliche Datenbankaktivitäten fest und stellten den betroffenen Cloud-Server ab, wie Alvaro Hoyos, Sicherheits-Chef von OneLogin, auf dem firmeneigenen Blog bekannt gibt.
Nicht bekannt, aber auch nicht auszuschließen ist, ob der Hacker die gespeicherten Daten entschlüsseln konnte.
Kunden empfiehlt OneLogin alle Kennwörter und Zertifikate zu ändern, um sicher zu gehen, dass Außenstehende keinen Zugriff auf die Daten bekommen.
Dieser Hackerangriff ist nicht der ersten für OneLogin. Bereits im Jahre 2016 kam es zu einem Angriff auf die Systeme des Unternehmens.
7. Juni 2017
Der EU-Rat hat am vergangenen Donnerstag seinen Vorschlag für eine Verordnung für ein „Reiseinformations- und Genehmigungssystem“ veröffentlicht und so seine Zustimmung zu einem entsprechenden, von der EU-Kommission vorgeschlagenen, Meldesystem signalisiert.
Ab 2020 soll nach dem US-amerikanischen Vorbild ESTA das „EU Travel Information and Authorisation System“ (ETIAS) eingeführt werden. Über dieses sollen sich dann alle Personen, die visumfrei in die EU einreisen vorab online registrieren.
Abgefragt werden Angaben zur Identität, Reisedokument, Aufenthaltsort, Kontaktmöglichkeiten, infektiöse Krankheiten oder Ausbildung.
Der EU-Datenschutzbeauftragte Giovanni Buttarelli hatte bereits im März diesen Jahres eine Stellungnahme zu dem Verordnungsentwurf der Kommission veröffentlicht, in der er sich in vielerlei Hinsicht kritisch zu dem Vorhaben äußert. So bemängelt er unter anderem, dass die Kommission nicht die erforderliche Datenschutzfolgeabschätzung mitgeliefert hätte, zudem hält er die Art und den Umfang der abgefragten Daten für problematisch. So sei insbesondere der Zugriff auf Gesundheitsdaten von der Komission zu rechtfertigen. Darüber hinaus fehle laut Buttarelli eine Begründung für die Übermittlung der Daten an Strafverfolgungsbehörden wie Europol oder Interpol.
Der Entwurf des EU-Rats berücksichtigt die Stellungnahme sowie eine Studie, die die Effektivität und Verhältnismäßigkeit des Verordnungsentwurfs untersucht und einige der vorgesehenen Maßnahmen als unzureichend beurteilt.
Abzuwarten bleibt noch eine Stellungnahme des EU-Parlaments bevor eine einheitliche Fassung erarbeitet werden kann.
31. Mai 2017
Das Kammergericht Berlin (Urt. v. 31. Mai 2017, AZ 21 U 9/16) hat heute über die Frage entschieden, ob die Eltern eines verstorbenen Mädchens Einsicht in dessen Facebook-Konto nehmen dürfen.
Der Entscheidung liegt folgender Sachverhalt zugrunde:
Im Jahr 2012 wurde die minderjährige Tochter der Kläger an einem Berliner U-Bahnhof von einer Bahn erfasst und tödlich verletzt. Die genauen Umstände des Unfalls sind ungeklärt. Die Eltern hoffen, Rückschlüsse auf die Umstände, insbesondere eine mögliche Selbsttötungsabsicht, aus den Unterhaltungen, die die Verstorbene über ihr Facebook-Konto geführt hatte, ziehen zu können.
Nachdem Facebook die Herausgabe der Zugangsdaten für das Benutzerkonto abgelehnt hatte, hat das Landgericht Berlin im Jahr 2015 in erster Instanz zugunsten der Eltern entschieden.
Das Facebook-Konto sei nicht anders zu behandeln als vererbbare Briefe oder Tagebücher, das Persönlichkeitsrecht der Verstorbenen stehe einer Vererbarkeit nicht entgegen. Auch dürften die Sorgeberechtigten erfahren, worüber ihr Kind kommuniziere.
Facebook legte gegen diese Entscheidung Berufung ein und argumentierte in dem Verfahren mit dem Persönlichkeitsrecht der Gesprächspartner der Verstorbenen. Diese hätten darauf vertraut, dass die Inhalte der Unterhaltungen nicht Dritten bekanntgegeben werden und daher datenschutzrechtlich geschützt sind.
Das Kammergericht hat heute in zweiter Instanz zu Gunsten von Facebook entschieden und die Klage der Eltern abgewiesen.
Das Gericht hat die Frage der Veerbbarkeit des Facebook-Kontos offengelassen, da jedenfalls das Fernmeldegeheimnis nach dem Telekommunikationsgesetz einer Einsichtnahme durch die Eltern entgegenstehe. In der Pressemitteilung des Gerichts wird dazu ausgeführt:
Selbst wenn man davon ausgehe, dass dieser Account in das Erbe falle und die Erbengemeinschaft Zugang zu den Account-Inhalten erhalten müsse, stehe das Fernmeldegeheimnis nach dem Telekommunikationsgesetz entgegen. Dieses Gesetz sei zwar ursprünglich für Telefonanrufe geschaffen worden. Das Fernmeldegeheimnis werde jedoch in Art. 10 Grundgesetz geschützt und sei damit eine objektive Wertentscheidung der Verfassung. Daraus ergebe sich eine Schutzpflicht des Staates und auch die privaten Diensteanbieter müssten das Fernmeldegeheimnis achten. Nach einer Entscheidung des Bundesverfassungsgerichts (Urteil vom 16.6.2009, 2 BvR 902/06, BVErfGE 124, 43) erstrecke sich das Fernmeldegeheimnis auch auf E-Mails, die auf den Servern von einem Provider gespeichert seien. Denn der Nutzer sei schutzbedürftig, da er nicht die technische Möglichkeit habe, zu verhindern, dass die E-Mails durch den Provider weitergegeben würden. Dies gelte entsprechend für sonstige bei Facebook gespeicherten Kommunikationsinhalte, die nur für Absender und Empfänger oder jedenfalls einen beschränkten Nutzerkreis bestimmt sind.
Gesetzliche Ausnahmen von dem Schutz des Fernmeldegeheimnis seien nicht ersichtlich, auch führe das Recht der elterlichen Sorge nicht zu seinem entsprechenden Einsichtnahmerecht, denn dieses erlösche mit dem Tod des Kindes. Das den Eltern noch zufallende Totenfürsorgerecht könne nicht dazu dienen, einen Anspruch auf Zugang zu dem Social-Media-Account des verstorbenen Kindes herzuleiten.
Das Urteil des Kammergerichts ist nicht rechtskräftig, da der Senat die Revision zum Bundesgerichtshof zugelassen hat.
Pages: 1 2 ... 43 44 45 46 47 ... 90 91 
