Kategorie: Allgemein

Apple plant mehr Verschlüsselung

9. Dezember 2022

Apple stellte am 07.12.2022 drei neue Sicherheitsfunktionen vor, die sich auf den Schutz von Daten in der Cloud beziehen und damit den nächsten Schritt in den laufenden unternehmensinternen Bemühungen darstellen, Nutzerinnen und Nutzern bessere Möglichkeiten zum Schutz ihrer Daten zu bieten.

„Wir bei Apple setzen uns unermüdlich dafür ein, unseren Nutzern die beste Datensicherheit der Welt zu bieten. Wir identifizieren und entschärfen ständig neue Bedrohungen für ihre personenbezogenen Daten auf dem Gerät und in der Cloud”, erklärte Craig Federighi, Senior Vice President of Software Engineering von Apple. „Unsere Sicherheitsteams arbeiten unermüdlich daran, die Daten der Nutzer zu schützen, und mit iMessage Contact Key Verification, Security Keys und Advanced Data Protection for iCloud stehen den Nutzern drei leistungsstarke neue Tools zur Verfügung, mit denen sie ihre sensibelsten Daten und Kommunikationen weiter schützen können.”

iMessage Contact Key Verification

Mit der iMessage Contact Key Verification könnten nach den Angaben von Apple Nutzer:innen sicherstellen, dass sie nur mit den beabsichtigten Personen kommunizieren. Gespräche zwischen Personen, die die iMessage Contact Key Verification aktiviert haben, würden automatisch gewarnt, falls es beispielsweise einem staatlich unterstützten Angreifer gelingen sollte, in den Cloud-Server einzudringen und ein fremdes System einzuschleusen, um diese verschlüsselte Kommunikation zu überwachen. Für noch mehr Sicherheit könnten iMessage-Benutzer einen Kontaktverifizierungscode persönlich über FaceTime oder einen anderen sicheren Anruf austauschen.

Security Keys für Apple ID

Mit Security Keys für Apple ID hätten Nutzer:innen die Möglichkeit, einen Sicherheitsschlüssel zu verwenden, um sich bei ihrem Apple ID Account anzumelden.

Advanced Data Protection für iCloud

Mit der Advanced Data Protection für iCloud, die eine Ende-zu-Ende-Verschlüsselung verwendet, könnten wichtige iCloud-Daten wie beispielsweise iCloud Backups, Fotos und Notizen geschützt werden. Diese Funktion ist somit die wichtigste Neuerung. Die Funktion verhindere somit auch, dass Apple den Inhalt einiger der sensibelsten Daten, die auf seinen Servern gespeichert sind, einsehen könne.

Auch sorge die Funktion dafür, dass die meisten iCloud Daten auch im Falle einer Datenpanne in der Cloud geschützt wären. iCloud schütze aktuell standardmäßig 14 sensible Datenkategorien mit Ende-zu-Ende-Verschlüsselung, darunter Passwörter in iCloud Keychain und Gesundheitsdaten. Für Benutzer:innen, die den erweiterten Datenschutz aktivieren würden, stiege die Gesamtzahl der Datenkategorien, die mit Ende-zu-Ende-Verschlüsselung geschützt würden auf 23. Lediglich iCloud Mail, Kontakte und Kalender seien die einzigen wichtigen iCloud-Datenkategorien, die nicht abgedeckt wären, da sie mit den globalen E-Mail-, Kontakt- und Kalendersystemen interagieren müssten. Verschlüsselte Backups würden laut Apple auf freiwilliger Basis erfolgen und noch vor Ende des Jahres verfügbar sein.

Fazit

Dieser Schritt wird Sicherheitsbefürworter erfreuen, von denen viele zuvor die unverschlüsselten iCloud-Backups als Schwachstelle in Apples Datenschutzpolitik bezeichnet hatten. Es bedeutet auch, dass der Inhalt der Daten im Falle eines Angriffs auf Apples Server nicht zugänglich wäre. Wie Staaten wie die Volksrepublik China und die Russische Föderation darauf reagieren werden, ist bisher noch nicht ersichtlich. Strafverfolgungsbehörden könnte dieser Schritt vor Probleme stellen, da es für Apple unmöglich sein wird, den Behörden den Inhalt eines verschlüsselten Backups zu übermitteln. Das FBI kritisierte die neue Funktion von Apple in einer Stellungnahme am Mittwoch und sagte, dass sie die Fähigkeit der Behörde, das amerikanische Volk vor kriminellen Handlungen zu schützen beeinträchtigen würde, wie das Wall Street Journal berichtet.

US-Bundesstaat Indiana verklagt TikTok wegen Daten- und Jugendschutzverstößen

8. Dezember 2022

Wie der Generalstaatsanwalt des US-Bundesstaats Indiana, Todd Rokita, am 7. Dezember 2022 bekannt gab, muss sich die chinesische Videoplattform TikTok in zwei Klageverfahren wegen seiner undurchsichtigen Datenverarbeitungspraktiken verantworten. Rokita bezeichnete die Plattform als „Trojanisches Pferd“, welches insbesondere bei Kindern und Jugendlichen großen Schaden anrichte.

Unangemessene Inhalte träfen auf Spionage

Die beiden Klagen des US-Bundesstaats thematisieren einen mangelnden Jugendschutz einerseits und andererseits mangelnden Datenschutz, der eine Spionage US-amerikanischer Nutzerinnen und Nutzer durch die chinesische Regierung ermögliche.

Obwohl die App im App-Store ab 12 Jahren freigegeben sei, würden Kinder und Jugendliche auf TikTok häufig mit unangemessenen Inhalten konfrontiert. So zeige TikTok diesen beispielsweise sexuelle und gewalttätige Inhalte sowie Alkohol- und Drogenmissbrauch. Dabei erlaube TikTok diese Inhalte nicht bloß, sondern schlage sie sogar gezielt vor. Mithilfe der Algorithmen sollten demnach junge Menschen von der App abhängig gemacht werden.

Hinsichtlich des Datenschutzes bemängelt Rokita insbesondere die Verbindungen TikToks zu China. Die chinesische Regierung habe einen erheblichen Einfluss auf die App, auch wenn TikTok dies abstreite. Problematisch sei hier unter anderem, dass die Daten von US-amerikanischen Nutzerinnen und Nutzern auf chinesischen Servern gespeichert würden, obwohl TikTok Verbindungen zu China in seinen Datenschutzbestimmungen im US-Markt unterschlage. Dabei seien diese Informationen in den EU-Datenschutzbestimmungen bereits enthalten. Entgegen TikToks Aussagen bestünde kein ausreichender Schutz vor Spionage seitens China. Insbesondere habe die chinesische Regierung bereits zuvor Interesse an der Datensammlung von TikTok gezeigt.

Erste Klage dieser Art – aber kein neuer Vorwurf

Die Vorwürfe gegen TikTok sind nicht neu. Zwar ist Indiana der erste Bundesstaat, der auf dem Klageweg gegen die App vorgeht. Doch schon 2020 hatte der damalige US-Präsident Donald Trump mit einem Verbot gedroht, woraufhin China mit einem Verkaufsstopp für Software-Algorithmen gekontert hatte. US-Präsident Joe Biden hatte den Verbotsversuch gestoppt. Zuletzt verboten die Gouverneure der US-Bundesstaaten Texas, Maryland, North Dakota und South Dakota sowie verschiedene Bundesministerien TikTok auf Dienstgeräten von Behördenangestellten. Auch der FBI-Chef Christopher Wray hatte Sicherheitsbedenken geäußert.

 

Europäische Datenschutzbehörden über Twitter-Übernahme alarmiert

Seit der Übernahme von Twitter durch Elon Musk ist in der Firmenzentrale wohl Chaos ausgebrochen. Nicht nur die User des sozialen Netzwerkes sind seitdem besorgt: Auch die europäischen Datenschutzbehörden sind von den neuesten Vorgängen alarmiert. Insbesondere geraten die unternehmensinternen Sicherheitsmechanismen mehr und mehr in den Vordergrund.

Hat Twitter seinen Hauptsitz in Dublin?

Twitter entließ rund die Hälfte seiner Mitarbeitenden, unter anderem auch seine Datenschutz- und Sicherheitsbeauftragten. Darüber sorgt sich die irische Datenschutzbehörde (DPC): Sie prüft, ob es Twitter weiterhin erlaubt ist, ihr allein anstatt allen 27 EU-Staaten gegenüber verantwortlich zu sein. Dieses One-Stop-Shop-Prinzip (OSS) nach Art. 56 Datenschutz-Grundverordnung (DSGVO) ermöglicht es Twitter, den Austausch mit allen EU-Staaten zu umgehen. Dafür muss das Unternehmern jedoch einen Hauptsitz innerhalb der EU angeben, um sich so nur noch gegenüber der Datenschutzbehörde des entsprechenden Mitgliedstaats zu verantworten.

Jedoch darf der Mechanismus nur eingesetzt werden, wenn von dem Unternehmen bei der Festlegung der Hauptniederlassung weitere Auflagen erfüllt werden. So muss Twitter zum Beispiel dafür sorgen, dass „die effektive und tatsächliche Ausübung von Managementtätigkeiten durch eine feste Einrichtung“, die die Verarbeitung personenbezogener Daten betreffen, im Land der Hauptniederlassung nachgewiesen wird. Daneben ist das Unternehmen verpflichtet, einen Datenschutzbeauftragten für die entsprechende nationale Aufsichtsbehörde zu benennen.

Mit einem Fragenkatalog untersucht die DPC, ob Twitter weiterhin seine Hauptniederlassung in Irland haben darf. Aufgrund des Chaos in der amerikanischen Firmenzentrale kommen jedoch Zweifel auf  – die Niederlassung in Irland muss nachweislich Einfluss auf das Unternehmen ausüben können. Falls nicht, droht Twitter die Regulierung durch jeden einzelnen der 27 EU-Staaten. Aus diesem Grund hat auch das Bundesamt für Datenschutz und Informationssicherheit (BfDI) Untersuchungen eingeleitet.

Marit Hansen, Landesdatenschutzbeauftragte Schleswig-Holsteins, bezweifelt gegenüber Netzpolitik.org,  „dass die Niederlassung in Dublin, die bisher ‚main establishment‘ war, wenig Einfluss auf Änderungen nehmen konnte, die auch Auswirkungen auf personenbezogene Daten (z.B. ‚Twitter Blue‘) hatten.“ Daneben sieht eine anonyme Quelle die Kriterien für eine Hauptniederlassung in Irland nicht länger erfüllt. Twitter habe seit der Übernahme durch Musk keine Informationen über Produktveränderungen an die irische Niederlassung weitergegeben.

Sorge bei den Datenschutzbehörden

Twitter bestätigte gegenüber der DPC, dass es weiterhin seinen Hauptsitz in Irland beansprucht und damit von der DPC reguliert werden möchte. Das Unternehmen benannte dafür Renato Monteira als amtierenden Datenschutzverantwortlichen.

Twitters jüngste Produktänderungen haben jedoch nicht den Eindruck erweckt, dass „von Europa aus weiterhin die ‚Entscheidungen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten‘ bei Twitter getroffen werden“, sagt Hansen. Sie sieht allerdings ein „positives Zeichen […] darin, dass man anscheinend bei Twitter auf die irische Datenschutzbeauftragte reagiert und sich auch getroffen hat.“

Folgen für Twitter

Falls Twitter seinen Anspruch auf Hauptniederlassung in Irland verliert, könnten alle 27 Datenschutzbehörden der EU aufsichtsbehördlich tätig werden. Dies geht mit einem enormen bürokratischen Mehraufwand und empfindlichen Sanktionen einher, die pro EU-Staat bis zu vier Prozent des jährlichen Umsatzes ausmachen können. Derartige Folgen blieben bislang nicht zuletzt wegen des unternehmensfreundlichen Charakters der irischen Behörde aus. Seitens der französischen und belgischen Behörden ist, angesichts ihrer Sanktionsentscheidungen in der Vergangenheit, ein deutlich aggressiveres Verhalten zu erwarten.

Daneben könnten unter anderem die deutschen Datenschutzbehörden gegen Twitter ein sogenanntes Dringlichkeitsverfahren nach Art. 66 DSGVO einleiten. Dies ist aber erst möglich, sobald der „Schutz betroffener Personen“ auf dem Spiel stände.

Hackerangriff auf Continental: Wohl 40 Terabyte an Daten erbeutet

6. Dezember 2022

Eine Gruppe Krimineller ist in das Netzwerk des Autozulieferers Continental eingedrungen und hat dort erheblich viele Daten entwendet. Die für das Leak verantwortliche Ransomware-Gruppe LockBit 3.0 schreibt in ihrem Blog im Darknet, dass mehr als 40 Terabyte erbeutet worden seien. Es wird in der IT-Sicherheitscommunity gar vom umfangreichsten Datendiebstahl der jüngeren Geschichte gesprochen. Dabei handelt es sich offenbar um hochsensible Daten der Arbeitnehmer:innen. Eine Liste aller Dateinamen steht bereits im Netz.

Unter den erbeuteten Daten befinden sich unter anderem Strategiepläne, Prüfberichte, Dokumente von Wirtschaftsprüfern, Budgetpläne, Listen mit Rückstellungen, Verhandlungen über Gehaltserhöhungen, Geheimhaltungsabkommen mit anderen Unternehmen und Projektbeschreibungen.

Aber auch mehr als 47.000 Dateien enthalten das Wort “Arbeitssicherheit”. Gibt man den Suchbegriff “Unfälle” ein, erfährt man nicht nur körperlichen Problemen und Verletzungen, sondern auch von den psychischen Problemen der Arbeitnehmer. Außerdem stehen einige Namen von Mitarbeitern in den Dateinamen – auch in Verbindung mit Gehaltsverhandlungen oder Gesundheitsdaten von Betriebsärzten. 

LockBit 3.0 – Eine Ransomware as a Service Gruppe

LockBit sei eine Ransomware-as-a-Service-Gruppe (RaaS), welche von der Entwicklung der Ursprungsversion bis hin zur aktuellen Version 3.0 mehrfach Modifikationen durchlaufen habe. Als Teil des Einschüchterungsprogramms beziehe sich LockBit 3.0 stets auf die Datenschutz-Grundverordnung (DSGVO).

„(Die Opfer) werden dazu aufgefordert, lieber der Lösegeldforderung nachzukommen, anstatt Bußgelder zu zahlen oder für die Wiederherstellung des öffentlichen Images sowie bei potenziellen Kundenklagen Geld zu verlieren“, berichtet Dmitry Bestuzhev, „Most Distinguished Threat Researcher“ bei Blackberry. Die Daten selbst werden derzeit für 40 Millionen Euro angeboten. LockBit verspricht: Wenn der Autozulieferer bezahlt, werden die Daten gelöscht. Datenschutzexperten raten jedoch davon ab, Ransomware-Gruppen das Erpressungsgeld zu zahlen.

LockBit wohl “Marktführer” in Ransomware-Angriffen

LockBit gilt als eine der größten Ransomware-Gruppen. Sicherheitsunternehmen bezeichneten sie im dritten Quartal 2022 sogar als führende Erpresser im digitalen Raum: Ungefähr jeder dritte Angriff geht laut unterschiedlichen IT-Experten auf das Konto der Gruppe. 

Schutz vor RAAS-Kampagnen: Best Practices

Bestuzhev empfiehlt in seiner aktuellen Stellungnahme folgende Best Practices:

  • Überwachen und patchen Sie Ihre Anlagen kontinuierlich. Das gilt auch für Soft- und Firmware.
  • Überprüfen Sie alle Konten und ihre Rechte. Entfernen Sie diejenigen, die nicht genutzt werden. Verfügen Konten über unnötig viele Privilegien, schränken Sie diese ein.
  • Überwachen Sie fehlgeschlagene Anmeldeversuche, Passwortänderungen und die Anmeldung neuer Benutzer.
  • Aktivieren Sie ein ,24×7 SOC’ (Security-Operations-Center), welches mit ,Sigma’-, ,Suricata’- und ,Yara’-Regeln erweitert wird. Unterstützen Sie es mit professionellen, hochwertigen Feeds.
  • Identifizieren Sie auch Anomalien und nicht nur Übereinstimmungen.
  • Erweitern Sie Ihren Überblick auf all Ihre Assets.
  • Ermöglichen Sie eine gute visuelle Datendarstellung, damit Sie einige Anomalien, wie zum Beispiel ausgehenden Netzwerkverkehr zur Datenexfiltration, visuell erkennen können.
  • Bereiten Sie ein zuverlässiges Backup-System vor, testen Sie es und seien Sie bereit, es einzusetzen. Bedenken Sie, dass es von Ihrem primären Netzwerk aus unzugänglich sein muss, damit der Bedrohungsakteur es nicht verschlüsseln kann.
  • Bereiten Sie Playbooks für jeden Bedrohungsakteur vor. Verlassen Sie sich nicht auf generische Playbooks.
  • Konzentrieren Sie sich im Wesentlichen nicht nur auf die Erkennung von Malware, sondern auch auf die Operationen der Bedrohungsakteure.
  • Führen Sie Purple-Teaming-Übungen (Ergänzung der Arbeit von Pentestern und IT-Security-Teams in den Firmen) auf der Grundlage von ,LockBit’-TTPs (Time-Triggered Protocols) durch, um Ihre Erkennungsfunktionen zu testen.

Innenministerkonferenz spricht sich für die Vorratsdatenspeicherung aus

Auf der diesjährigen Herbstkonferenz der Innenminister und -senatoren (Innenministerkonferenz) sprachen sich die Innenminister des Bundes und der Länder für eine umfassende Speicherung von IP-Adressen zur Strafverfolgung aus. Damit widersprach das Ergebnis dem nur wenige Wochen zuvor ergangenen Beschluss der Justizminister, die mit knapper Mehrheit der anlasslosen Vorratsdatenspeicherung eine Absage erteilt hatten.

EuGH-Urteil erfordert eine Neuregelung

Grund der Debatte war das Urteil des Europäischen Gerichtshofs (EuGH) vom 20. September 2022, worin dieser die deutsche Regelung der Vorratsdatenspeicherung als unvereinbar mit dem EU-Recht erklärt hatte. Das deutsche Telekommunikationsgesetz (TKG) sieht vor, dass Verkehrs- und Standortdaten zehn bzw. vier Wochen lang gespeichert werden müssen. Der EuGH befand, dass sich daraus sehr genaue Rückschlüsse auf das Leben von Privatpersonen ziehen ließen. Laut EuGH ist daher eine Vorratsdatenspeicherung von IP-Adressen nur in engen Grenzen, beispielsweise zum Schutz der nationalen Sicherheit oder zur Bekämpfung schwerer Kriminalität möglich.

Gegenentwurf zum sogenannten Quick-Freeze-Verfahren

Die Innenminister waren sich einig, dass das von Bundesjustizminister Marco Buschmann vorgeschlagene sogenannte „Quick-Freeze-Verfahren“ (wir berichteten) nicht ausreichend sei. Laut Hessens Innenminister Peter Beuth (CDU) seien längere IP-Speicherfristen dringend erforderlich, um Kindesmissbrauch im Internet wirksam zu bekämpfen. Auch Bundesinnenministerin Nancy Faeser zeigte sich erfreut von den Ergebnissen der Innenministerkonferenz.

Huawei: US-Regierung warnt NATO-Staaten vor gefährlichen Schwachstellen

2. Dezember 2022

Auf dem NATO-Gipfel in Bukarest kamen in der vergangenen Woche die Mitgliedsstaaten der Allianz zusammen. Neben dem russischen Angriffskrieg wurde dort auch die Sicherheit der IT-Infrastruktur der Verbündeten thematisiert. Im Zuge dessen warnte die US-Regierung Deutschland und andere europäische Verbündete vor dem chinesischen Netzausrüster Huawei. Die Sicherheit der Netz- und IT-Infrastruktur sei auch für die Sicherheit der NATO essenziell. Mobilfunknetze sollten demnach vor chinesischem Einfluss abgesichert werden.

Weitere Verbote in den USA

Die USA weisen schon länger auf die engen Verbindungen zwischen Huawei und den chinesischen Behörden hin und warnen vor Spionage und Sabotage. Die Regierung erließ unter Präsident Trump ein Embargo, das amerikanischen Unternehmen nicht gestattet, mit Huawei Geschäfte zu betreiben.

„Die Vereinigten Staaten sind der Überzeugung, dass wir nicht-vertrauenswürdigen Anbietern nicht gestatten können, an unserer digitalen Infrastruktur, einschließlich unseres 5G-Netzes, mitzuwirken“, erklärte die NATO-Botschafterin der USA, Julianne Smith, in einem Interview mit dem Handelsblatt.  Der Einsatz solcher Anbieter würde „inakzeptable Risiken für die nationale Sicherheit mit sich bringen und zugleich eine Gefahr für die Privatsphäre der Bürger darstellen“.

Vergangene Woche wurde dann auch die Zulassung neuer Telekommunikationsgeräte der chinesischen Unternehmen Huawei Technologies und ZTE durch die US-Regierung verboten, da sie ein „inakzeptables Risiko“ für die nationale Sicherheit der USA darstellten.

Die US Federal Communications Commission (FCC) teilte am Freitag mit, dass sie die endgültigen Regeln verabschiedet habe, die auch den Verkauf oder die Einfuhr von Geräten des chinesischen Überwachungsgeräteherstellers Dahua Technology, der Videoüberwachungsfirma Hangzhou Hikvision Digital Technology und der Telekommunikationsfirma Hytera Communications Corp. verbieten. Dieser Schritt ist das jüngste Vorgehen Washingtons gegen chinesische Tech-Giganten, von denen befürchtet wird, dass Peking sie zum Ausspionieren von Amerikanern einsetzen könnte.

Auch in Deutschland umstritten

Als die Diskussion um Sicherheitsbedenken durch den Einsatz von Netzwerktechnik aus der Volksrepublik China im Jahr 2019 zuletzt aufkam, hatte die damalige Bundesregierung noch betont, dass man zwar die Bedenken zur Kenntnis genommen habe, selbst aber keine Konsequenzen vorsehe.

Nach mehreren Warnungen leitete auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) Untersuchungen ein, die noch nicht abgeschlossen sind.

Als Reaktion auf die steigende Spionagegefahr in kritischen Infrastrukturen wie Mobilfunknetzen wurde in Deutschland das sog. Zweite Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0) Ende Mai 2021 verkündet. Kurze Zeit später veröffentlichte die Bundesnetzagentur als Ergänzung des Gesetzes den gemeinsam mit dem BSI erarbeiteten neuen Katalog für die Sicherheitsanforderungen für Telekommunikationsnetze. Mit diesem Gesetz wurden nicht nur Betreibern Kritischer Infrastrukturen strengere Vorgaben für die IT-Sicherheit auferlegt, sondern erstmals auch Vorschriften für Unternehmen im besonderen öffentlichen Interesse erlassen. Bei Nichteinhaltung drohen hohe Bußgelder. Ordnungswidrigkeiten können laut §14 Abs. 5 BSIG mit Geldbußen von bis zu 2 Mio. Euro belegt werden. Darüber hinaus ist es möglich, kritische Bauteile zu verbieten, wenn deren Einsatz den „sicherheitspolitischen Zielen der Bundesrepublik Deutschland, der EU oder der NATO“ entgegensteht oder der Hersteller „unmittelbar oder mittelbar von der Regierung, einschließlich sonstiger staatlicher Stellen oder Streitkräfte, eines Drittstaates kontrolliert wird“.

Nicht wenige Bundestagsabgeordnete fordern bereits, das Gesetzt vollumfänglich auszuschöpfen und bei Bedarf die Regelungen auch weiter zu verschärfen.

Verbraucher:innen in Deutschland auch unmittelbar betroffen

Neben Huawei sind beispielsweise auch Xiaomi, Vivo und OPPO Technologie-Hersteller aus China. Vor einem Kauf von Hard- und Software sollten Verbraucher:innen auch Aspekte der technischen Sicherheit sowie das Vertrauen in den Hersteller berücksichtigen. Nach einer Recherche des ZDFs gehen Experten aber durchaus davon aus, dass Huawei „im Ernstfall“ auf den Smartphones seiner Nutzer Spionage-Software installieren könnte. Bei Produkten von kleineren unbekannteren Herstellern sei dabei besondere Vorsicht geboten.

Regierungsinterne Diskussionen gehen weiter

Laut Medienberichten wollen neben den USA auch Australien, Neuseeland, Japan, Frankreich, das Vereinigte Königreich, Taiwan, einige osteuropäische Staaten sowie das Baltikum beim 5G-Ausbau auf Komponenten von Huawei verzichten. Zusätzlich soll Huawei-Technologie aus bereits existierenden 3G- wie auch 4G-Netzen teilweise entfernt werden. Das weitere Vorgehen in Deutschland steht aktuell noch auf dem Prüfstand.

In Zukunft sollen strengere Prüfungen im Einzelfall über die Zulassung von entsprechenden Komponenten in 5G-Netzen entscheiden. Zusätzlich befasst sich die Bundesregierung aktuell mit einem neuen Entwurf zur China-Strategie. Das Dokument wurde bisher allerdings noch nicht veröffentlicht – wir halten Sie auf dem Laufenden.

DSK: Forderungen zur datenschutzkonforme Verarbeitung von Gesundheitsdaten

1. Dezember 2022

Vergangene Woche veröffentliche die Konferenz der unabhängigen Datenschutzbehörden des Bundes und Länder (DSK) die „Petersberger Erklärung“, in der sie sich „zur datenschutzkonformen Verarbeitung von Gesundheitsdaten in der wissenschaftlichen Forschung“ äußerte. Konkret behandelte die DSK die Frage, wie der Gesetzgeber den Rahmen für eine datenschutzkonforme Verarbeitung von Forschungsdaten schaffen könne.

Forderung nach neuer Rechtsgrundlage

Zunächst betonte die DSK, dass neben der Möglichkeit, einen europäischen Gesundheitsdatenraum (wir berichteten) auszugestalten, auf nationaler Ebene der Bedarf zur Regelung der Nutzung von Forschungsdaten bestehe. Dabei bekräftigte die DSK als zentrale Forderung, dass die Einzelperson „(…) nicht zum bloßen Objekt der Datenverarbeitung gemacht werden“ dürfe.

Aus Sicht der DSK könne die Rechtsgrundlage für die Nutzung von Forschungsdaten eine datenschutzrechtliche Einwilligung im Sinne des Art. 4 Nr. 11 iVm Art. 7 DSGVO sein. Alternativ könne der Gesetzgeber eine gesetzliche Regelung als Rechtsgrundlage zur Datenverarbeitung schaffen. Dabei müsse eine Interessenabwägung erfolgen. Es sei einerseits das Recht auf informationelle Selbstbestimmung der betroffenen Personen zu beachten. Andererseits sei das Gemeinwohlinteresse zu berücksichtigen, zu dessen Zweck die Forschung erfolge.

Forderung nach weitreichenden Schutzmaßnahmen

Außerdem unterstrich die DSK die Wichtigkeit geeigneter „Garantien für die Rechte und Freiheiten betroffener Personen“. Geeignete Maßnahmen zum Schutz seien zunächst die Datenminimierung und Anonymisierung. Wenn eine Anonymisierung nicht möglich sei, solle zumindest eine Pseudonymisierung erfolgen. Letztere könne Aufgabe einer zu erschaffenden unabhängigen und eigenverantwortlichen Vertrauensstelle sein.

Soweit Forschende personenbezogene Daten aus verschiedenen Datenbanken verknüpfen wollen, solle eine Regelung besondere Schutzmaßnahmen vorsehen. Insbesondere die Einführung einer technischen Methode solle sicherstellen, dass trotz der Verknüpfung betroffene Personen nicht identifiziert werden können. Außerdem solle der Gesetzgeber festlegen, wer für einzelne Verarbeitungstätigkeiten im Forschungsprozess Verantwortlicher iSd Art. 4 Nr. 7 DSGVO sei.

Darüber hinaus äußerte die DSK sich zu der Regelung eines medizinischen Registers. Sie empfahl, dass zunächst eine Übersicht über die bereits bestehenden Register einzurichten sei. Auf diese Weise könne der Gesetzgeber dazu beitragen, eine mehrfache Datensammlung zu vermeiden. Bei der Errichtung eines neuen Register sei ein Standard für die einzuhaltende Qualität festzulegen.

Forschungsgeheimnis und neue Befugnisse

Im Anschluss forderte die DSK die Einführung eines Forschungsgeheimnisses. Das Ziel sei es, die unbefugte Offenlegung von Forschungsdaten unter eine Strafe zu stellen.

Abschließend forderte die DSK, dass die Datenschutzaufsichtsbehörden neue Befugnisse erhielten. Sie sollten erlassene Maßnahmen sofort vollziehen können.

265 Millionen Euro Bußgeld für Facebook-Mutter Meta

29. November 2022

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte infolge der unrechtmäßigen Veröffentlichung personenbezogener Daten ein Bußgeld in Höhe von 265 Millionen Euro gegen den Meta-Konzern.

Untersuchungsverfahren

Nachdem im April 2021 personenbezogene Daten von bis zu 533 Millionen Facebook- und Instagram-Nutzern aus über 100 Ländern online verfügbar waren, hatte die DPC Untersuchungen eingeleitet. Im Rahmen des Untersuchungsverfahrens arbeitete sie mit den anderen europäischen Datenschutzbehörden zusammen und prüfte die Tools Facebook Search, Facebook Messenger Contact Importer und Instagram Contact Importer. Mithilfe dieser Tools können Nutzer die im Smartphone gespeicherten Kontakte in die Instagram- oder Facebook-App importieren, um so Freunde oder Bekannte zu finden.

Mangelnde technische und organisatorische Maßnahmen zum Schutz der Daten

Im Rahmen ihrer Untersuchung beschäftigte sich die DPC mit den sogenannten technischen und organisatorischen Maßnahmen nach Artikel 25 DSGVO. Mit solchen Maßnahmen müssen nach dem Datenschutzrecht Verantwortliche sicherstellen, dass sie die Rechte der betroffenen Personen umfangreich schützen. Darunter fallen beispielsweise Pseudonymisierung und Verschlüsselung personenbezogener Daten, aber auch physische Schutzmaßnahmen oder das Bestehen zuverlässiger Backups.

Metas technische und organisatorische Maßnahmen sah die DPC nicht als ausreichend an. Daher sprach sie neben dem genannten Bußgeld von 265 Millionen Euro eine Verwarnung sowie die Anordnung aus, innerhalb einer Frist die Verarbeitungsvorgänge in Einklang mit dem Datenschutzrecht zu bringen und hierzu eine Reihe von bestimmten Abhilfemaßnahmen zu treffen.

Nicht das erste Bußgeld für Meta

Meta ist inzwischen vertraut mit Bußgeldern der europäischen Datenschutzbehörden. Insgesamt wurden dem Konzern schon fast eine Milliarde Euro an Geldbußen auferlegt, zuletzt im September in Höhe von 405 Millionen Euro wegen schwerer Datenschutzverstöße bei minderjährigen Instagram-Nutzern. Grund für die beachtliche Höhe der einzelnen Sanktionen ist Artikel 83 DSGVO, wonach Bußgelder bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens betragen können. Gegen die bisherigen Entscheidungen hat Meta jeweils Berufung eingelegt, daher ist auch in diesem Fall davon auszugehen, dass Meta das Bußgeld nicht ohne gerichtliche Überprüfung akzeptieren wird.

Microsoft 365 nicht datenschutzrechtskonform?

28. November 2022

Viele Verantwortliche möchten in ihrem Unternehmen oder ihrer Behörde gerne Office 365 (jetzt: Microsoft 365) nutzen. Seit Jahren sehen sich diese wegen der Bewertung der datenschutzrechtlichen Zulässigkeit erheblichen rechtlichen Unsicherheiten ausgesetzt. Die neueste Pressemitteilung der Datenschutzkonferenz ist für die Bewertung nun richtungsweisend. 

 

Bericht der Datenschutzkonferenz 

In der Mitteilung vom 28. November 2022 weist der Thüringer Landesbeauftrage für den Datenschutz und die Informationsfreiheit (TLfDI) Dr. Lutz Hasse auf die richtungsweisende Bewertung der Datenschutzkonferenz (DSK) zu Microsoft 365 hin: „Die DSK stellt (…) fest, dass der Nachweis von Verantwortlichen, Microsoft 365 datenschutzrechtskonform zu betreiben, auf der Grundlage des von Microsoft bereitgestellten „Datenschutznachtrags vom 15. September 2022“ nicht geführt werden kann. Solange insbesondere die notwendige Transparenz über die Verarbeitung personenbezogener Daten aus der Auftragsverarbeitung für Microsofts eigene Zwecke nicht hergestellt und deren Rechtmäßigkeit nicht belegt wird, kann dieser Nachweis nicht erbracht werden.“ 

Außerdem betonte er, dass sich die Bewertung der Datenschutzkonferenz nicht direkt an Microsoft wende, sondern an die Verantwortlichen, sodass diese Microsoft 365 nicht datenschutzrechtskonform verwenden könnten. Neben Fragen bezüglich der Datenübermittlung in die USA komme sowohl der Verstoß gegen Art. 28 DS-GVO als auch gegen die Rechenschaftspflicht aus Art. 5 Abs. 2 DS-GVO in Betracht. 

 

Microsoft widerspricht der DSK 

Als „Antwort“ auf diesen Bericht stellte Microsoft die Vereinbarkeit mit dem Datenschutzrecht fest und betonte ihre Position von August 2022. „Wir stellen sicher, dass unsere MS 365-Produkte die strengen EU-Datenschutzgesetze nicht nur erfüllen, sondern oft sogar übertreffen. Unsere Kunden in Deutschland und in der gesamten EU können MS 365-Produkte weiterhin bedenkenlos und rechtssicher nutzen.“ 

 

Fazit 

Verantwortlichen, die mit der MS 365-Software arbeiten, ist aufgrund der widerstreitenden Aussagen jedenfalls nicht geholfen, wodurch kein zufriedenstellender Zustand herrscht. Es bleibt demnach abzuwarten, ob es in dieser Meinungsverschiedenheit doch noch zu einer Einigung kommen wird. Bis dahin bleibt die Verwendung von MS 365 aus datenschutzrechtlicher Sicht noch unsicher. Wir werden schnellstmöglich über weitere Entwicklungen berichten.  

EU-Parlament: Angriff durch russische Hacker

24. November 2022

Hacker haben gestern die Webseite des europäischen Parlamentes durch einen sog. Distributed Denial of Service (DDoS)-Angriffs attackiert. Mehrere Medienportale berichten über den Angriff.

DDoS-Angriff

Demnach sei es Internetnutzern für einen gewissen Zeitraum nicht möglich gewesen, die Webseite des europäischen Parlamentes ungestört zu besuchen. Grund für die Ausfälle sei ein sog. DDoS-Angriff gewesen. Mit Hilfe dieses Angriffs werden gezielt so viele Anfragen an einen Server geschickt, dass er diese nicht mehr zeitgleich bearbeiten kann. Folglich kam es zu Ausfällen auf der Webseite.

Russische Verbindung

Zunächst sei unklar gewesen, wer den Angriff verursacht habe. Allerdings habe schnell der Verdacht bestanden, dass der Angriff im Zusammenhang mit einer gestern durch das europäische Parlament verabschiedeten Resolution stehe. In dieser Resolution habe das europäische Parlament den russischen Angriff der Ukraine und die damit verbundenen „Gräueltaten“, verurteilt. Zudem sei, so das europäische Parlament in seiner Resolution, die Russische Föderation ein „dem Terrorismus Vorschub leistender Staat“. Außerdem stellte das europäische Parlament fest, dass es Russland zu einem „terroristische Mittel einsetzenden Staat“ zähle.

Daraufhin sei zunächst der Verdacht entstanden, dass die russische Hackergruppe „Killnet“ für den Server-Angriff verantwortlich sei. Dieser Verdacht habe sich später durch das Bekenntnis der Gruppe bestätigt. Auf ihrem Telegram-Kanal habe Killnet die Verantwortlichkeit für den Angriff bestätigt.

Vermehrte Hackerangriffe

Der Angriff der Hackergruppe zählt nicht zu dem ersten Angriff einer pro-russischen Aktivistengruppen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte in seinem jährlichen Lagebericht von vermehrten Hackerangriffen gewarnt (wir berichteten). Dazu zählten ebenso Angriffe, die im Zusammenhang mit dem russischen Angriffskrieg stehen.

 

1 5 6 7 8 9 199