DATENSICHERHEIT
Wir sind Ihr Partner für Sicherheit!
IHRE DATEN IN SICHERER HAND
Der Datenschutz soll der in der zunehmend digitalen und vernetzten Informationsgesellschaft bestehenden Tendenz zum sogenannten gläsernen Menschen, dem Ausufern staatlicher Überwachungsmaßnahmen (Überwachungsstaat) und der Entstehung von Datenmonopolen von Privatunternehmen entgegenwirken.
SCHWERPUNKTE UNSERER ARBEIT:
Berliner Datenschutzbehörde (BlnBDI) erlässt Bußgeld nach DSGVO in Höhe von 14,5 Millionen EUR | Eine Einordnung – auch in Sachen Revisionssicherheit versus DSGVO
NOVEMBER 6, 2019, DATENSCHUTZRECHT, EU-DSGVO
Gestern gab die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Maja Smoltczy, per Pressemitteilung bekannt, dass am 30. Oktober gegen die Deutsche Wohnen SE ein Bußgeldbescheid in Höhe von 14,5 Millionen Euro aufgrund von Verstößen gegen die DSGVO erlassen worden sei. Dabei handelt es sich um das fünfthöchste Bußgeld, dass bislang EU-weit und um das höchste Bußgeld, dass bislang in Deutschland erlassen wurde.
Der Sachverhalt
Bereits im Jahr 2017 ergaben Vor-Ort-Prüfungen der Berliner Datenschutzbehörde bei der Deutsche Wohnen SE:
- dass Daten von MieterInnen ohne Prüfung, ob diese erforderlich sind, gespeichert wurden
- dass ein Archiv-System verwendet wurde, dass nicht über die Möglichkeit zur Löschung von nicht mehr erforderlichen Daten verfügte.
Schon nach dem BDSG-alt lagen hier offensichtliche Datenschutzverstöße vor. Zum einen wohl Datenerhebungen und -speicherungen, die ohne Rechtsgrundlage erfolgten. Zum anderen ein Verstoß gegen den Grundsatz der Datensparsamkeit.
In den von der Behörde begutachteten Einzelfällen wurden jahrelang personenbezogene Daten von MieterInnen verarbeitet, ohne dass noch ein Zweck zur Verarbeitung vorgelegen hätte. In der Pressemitteilung heißt es, es handelte sich dabei um Daten zu den persönlichen und finanziellen Verhältnissen der Mieterinnen und Mieter, wie z. B. Gehaltsbescheinigungen, Selbstauskunftsformulare, Auszüge aus Arbeits-und Ausbildungsverträgen, Steuer-, Sozial-und Krankenversicherungsdaten sowie Kontoauszüge.
Die BlnBDI sprach bereits im Jahr 2017 die dringende Empfehlung aus, das Archivsystem umzustellen. Dies bedeute, die Deutsche Wohnen SE hätte entweder die Software ändern und mit einem Löschkonzept versehen oder aber eine neue Software anschaffen müssen, die die Möglichkeit der Klassifizierung von Daten sowie deren differenzierte Löschung enthielt.
Im März 2019 prüfte die BlnBDI die Deutsche Wohnen SE erneut. Dabei stellte die Behörde fest, dass das Unternehmen 1,5 Jahre nach dem ersten Prüftermin und 9 Monate nach Geltung der DSGVO die angemahnten Zustände nicht beseitigt, sondern nur Vorbereitungen dazu getroffen hatte. Dies führte jedoch nicht zu einer Herstellung eines rechtmäßigen Zustandes der Verarbeitung der personenbezogenen Daten.
Vor diesem Hintergrund sah sich die Behörde verpflichtet, ein Bußgeld wegen des Verstoßes gegen Art. 25 DSGVO (privacy by design & default) sowie wegen eines Verstoßes gegen Art. 5 DSGVO zu erlassen.
Nach Art. 83 Abs. 1 DSGVO müssen Aufsichtsbehörden sicherstellen, dass Geldbußen für Verstöße in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sind.
Die Deutsche Wohnen SE machte 2018 einen Jahresumsatz von mehr als 1,1 Milliarde Euro jährlich. Ein Verstoß gegen Art. 25 DSGVO kann nach Art. 83 Abs. 4 a) DSGVO mit einer Geldbuße von bis zu 2% des weltweiten Jahresumsatzes geahndet werden. Ein Verstoß gegen Art. 5 DSGVO kann nach Art. 83 Abs. 5 a) DSGVO mit einer Geldbuße von bis zu 4% des weltweiten Jahresumsatzes geahndet werden.
Dem gemäß legte die BlnDI die Grundsumme zur Berechnung des Bußgeldes bei der Deutsche Wohnen SE auf 28 Millionen EUR und damit auf rund 2,5% des Jahresumsatzes fest. Bußgeldmildernd wurde berücksichtigt, dass das Unternehmen bereits erste Maßnahmen zur Beseitigung der rechtswidrigen Zustände ergriffen hatte und formal gut mit der Aufsichtsbehörde zusammenarbeitete. Weiter konnten auch keine missbräuchlichen Zugriffe von Dritten festgestellt werden, so dass nach Auffassung der BlnBDI ein Bußgeld im mittleren Bereich des vorgegebenen Bußgeldrahmens angemessen war.
Und so wurde wegen dieses strukturellen Verstoßes aufgrund des Einsatzes von unzureichender Software ein Bußgeld in Höhe von 14,5 Millionen EUR gegen die Deutsche Wohnen SE verhängt.
Der Bußgeldbescheid ist nicht rechtskräftig. Die Deutsche Wohnen SE möchte wohl dagegen vorgehen.
Die Rechtslage – Revisionssicherheit versus DSGVO (?)
Nachfolgend sollen die vorgeworfenen Verstöße gegen Art. 5 und Art. 25 DSGVO betrachtet werden. Spannend ist der dabei der zwischen dem Wunsch nach Revisionssicherheit und den Anforderungen der DSGVO (scheinbar) auftretende Konflikt.
Verstoß gegen Artikel 5 DSGVO
Die BlnBDI beanstandete zum einen, dass Daten ohne Prüfung der Erforderlichkeit verarbeitet wurden. Wenn dies nicht im Ergebnis zu Verstößen gegen Artikel 6 DSGVO führt, wonach jede Verarbeitung einer Rechtsgrundlage bedarf, so doch jedenfalls zu einem Verstoß gegen Artikel 5 DSGVO. Art. 5 DSGVO regelt die Grundsätze der Datenverarbeitung, wonach diese unter anderem
nur rechtmäßig, nur für festgelegte, legitime Zwecke nur dem Zweck angemessen sowie auf das notwendige Maß beschränkt („Datenminimierung“) erfolgen darf.
Wenn eine Datenverarbeitung erfolgt, ohne dass diese Grundsätze eingehalten werden, ist sie rechtswidrig. Dies Grundsätze können nicht eingehalten werden, wenn eben hinsichtlich verarbeiteter Daten nicht zuvor geprüft wird, ob die Verarbeitung diesen Grundsätzen entspricht. Die BlnBDI drückt wohl dies sehr verkürzt mit „Prüfung der Erforderlichkeit“ in ihrer Pressemitteilung aus.
Soweit so wenig wurde dies bislang kritisiert.
Verstoß gegen Artikel 25 DSGVO und Art. 5 DSGVO
Das BlnBDI beanstandete jedoch zum anderen, dass ein weiterer struktureller Verstoß vorlag (bzw. nicht abgestellt wurde). Nämlich der, dass eine Software zur Archivierung eingesetzt wurde, die keine Löschmöglichkeiten vorsah. Eine solche Software verstößt gegen den Grundsatz von Art. 25 DSGVO, der eben verlangt, dass Datenschutz auch durch Technikgestaltung und datenschutzfreundliche Voreinstellungen zu erfolgen hat (privacy by design & default). Weiter verstößt eine solche Software gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 c) DSGVO.
Mein Kommentar dazu lautet: Veto! Diese Argumentation ist mindestens so alt wie revisionssichere Systeme angeboten werden. Aber sie ist genauso lange genauso inkonsistent, da sie die verschiedenen Anforderungen aus gesetzlichen Aufbewahrungspflichten, Anforderungen an revisionssichere Speicherungen, Beweissicherungszwecken sowie den datenschutzrechtlichen Pflichten nicht hinreichend differenziert betrachtet.
Revisionssicherheit und DSGVO – geht das wirklich nicht zusammen?
Zunächst einmal muss geklärt werden, was Aufbewahrungspflichten und was Revionssicherheit eigentlich konkret ist und wie das jeweils rechtlich zu bewerten ist.
Das Thema Aufbewahrungspflicht ist an sich recht einfach. Der Gesetzgeber macht Beispielsweise in § 257 HGB oder 147 AO konkrete Vorschriften wie lange bestimmte Dokumente und sonstige Unterlagen aufzubewahren sind. In der Regel lauten die Fristen sechs Jahre, wie etwa Handels- und Geschäftsbrief, bzw. 10 Jahre, wie etwa Buchungsbelege oder Jahresabschlüsse. Demnach besteht eine gesetzliche Pflicht, diese Unterlagen über die genannten Zeiträume aufzubewahren. Ergo, eine Aufbewahrungspflicht. Ergo, eine gesetzliche Grundlage zur Verarbeitung von Daten im Sinne von Art. 6 I c) DSGVO.
Die Revisionssicherheit. Tja. Bösartig gesagt, ist das ein gesetzlich verankertes Konzept, mit dem die Hersteller von digitalen Archivierungssystemen durch das Umsetzen der Anforderungen an revisionssicheres Archivieren bei zeitgleichem Negieren von schon lange bestehenden datenschutzrechtlichen Anforderungen sehr viel Geld verdient haben. Warum verdient man mit dem Negieren von datenschutzrechtlichen Anforderungen viel Geld? Nun es ist natürlich wesentlichen einfacher, Systeme zu programmieren, die eine Klassifizierung von Daten sowie das entsprechende Anlegen von Löschkonzepten nicht vorsehen. Dazu macht es die Anwendung leichter, wenn der Kunde einfach „alles“ aus „Gründen der Revisionssicherheit“ (vermeintlich) speichern muss.
Nun lassen wir aber einmal die Polemik weg und betrachten die Themen Aufbewahrungspflicht, Revisionssicherheit und Pflicht zur Datenminimierung mit der soeben selbst eingeforderten Differenzierung.
Weder der Begriff „Revisionssicherheit“ noch „revisionssichere Archivierung“ taucht an irgendeiner Stelle im Gesetz auf. Jedoch regeln insbesondere §§ 146a, 146b der Abgabenordnung (AO) sowie die „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“ (GoBD, vormals: GoBS) recht genau auf welche Art und Weise elektronische Buchführungsdaten aufzubewahren sind. Unter Revisonssicherheit oder aber eben der „revisionssicheren Archivierung“ wird damit im Ergebnis verstanden, dass digitale Daten so aufbewahrt werden (müssen), dass dies den rechtlichen Anforderungen in Bezug auf Ordnungsmäßigkeit, Vollständigkeit, Sicherheit, Verfügbarkeit, Nachvollziehbarkeit, Unveränderlichkeit und Zugriffsschutz genügt.
Dabei geht es vor allem darum, dass die Buchführungsdaten nicht nachträglich veränderbar sein dürfen. Das ist natürlich sinnvoll, um Manipulationen zu verhindern. Daneben bieten derart „revisionssichere“ Systeme den Vorteil, dass der Kunde bei Verwendung eines solchen geprüften Systems unmittelbar die soweit ordnungsgemäße Aufbewahrung seiner Buchhaltungsunterlagen nachweisen kann (Beweissicherungszweck).
Aber so sehr man auch sucht, eines erfordern alle diese Vorschriften nicht, die Pflicht zur ewigen Aufbewahrung. Im Gegenteil.
In den §§ 146a, 146b AO finden sich gar keine Regelungen zu Aufbewahrungsfristen. Das ist auch unnötig, schließlich sind diese insbesondere in § 147 AO bereits geregelt. In der GoBD finden sich gleich mehrer Regelungen dazu, hier heißt es:
GoBD Ziffer 3 Rz. 27:
Diese Grundsätze müssen während der Dauer der Aufbewahrungsfrist nachweisbar erfüllt werden und erhalten bleiben.
GoBD Ziffer 3 Rz 33
Die progressive und retrograde Prüfung muss für die gesamte Dauer der Aufbewahrungsfrist und in jedem Verfahrensschritt möglich sein.
GoBD Ziffer 3 Rz. 34
Die Nachprüfbarkeit der Bücher und sonst erforderlichen Aufzeichnungen erfordert eine aussagekräftige und vollständige Verfahrensdokumentation (siehe unter 10.1), die sowohl die aktuellen als auch die historischen Verfahrensinhalte für die Dauer der Aufbewahrungsfrist nachweist und den in der Praxis eingesetzten Versionen des DV-Systems entspricht.
GoB Ziffer 3 Rz. 35
Die Nachvollziehbarkeit und Nachprüfbarkeit muss für die Dauer der Aufbewahrungsfrist gegeben sein.
GoBD Ziffer 9 Rz. 119
Sind aufzeichnungs- und aufbewahrungspflichtige Daten, Datensätze, elektronische Dokumente und elektronische Unterlagen im Unternehmen entstanden oder dort ein-gegangen, sind sie auch in dieser Form aufzubewahren und dürfen vor Ablauf der Aufbewahrungsfrist nicht gelöscht werden.
GoBD Ziffer 9.2 Rz. 130
Werden Handels- oder Geschäftsbriefe und Buchungsbelege in Papierform empfangen und danach elektronisch erfasst (scannen), ist das Scanergebnis so aufzubewahren, dass die Wiedergabe mit dem Original bildlich übereinstimmt, wenn es lesbar gemacht wird. Werden gescannte Dokumente per Optical-Character-Recognition-Verfahren (OCR-Verfahren) um Volltextinformationen angereichert (zum Beispiel Volltext recherchierbare PDFs), so ist dieser Volltext nach Verifikation und Korrektur über die Dauer der Aufbewahrungsfrist aufzubewahren und auch für Prüfzwecke verfügbar zu machen.
Anmerkung zu Ziffer 9.2. : Ich hatte mich über diese Formulierung zunächst stark gewundert und zunächst geschrieben, warum hier eine Ausnahme statuiert wurde, bei der denn eine Speicherung über die Aufbewahrungsfrist hinaus erfolgen können sollte. Dank @FranzOnBrands wurde dieses Missverständnis meinerseits ganz schnell aufgeklärt. Denn zu lesen ist hier in der GoBD „über die Dauer der Aufbewahrungsfrist“ im Sinne von „für die Dauer der Aufbewahrungsfrist“ und nicht im Sinne von „darüber hinaus“. So macht das auch gleich viel mehr Sinn. Aber vielleicht sind Sie darüber auch gestolpert…
GoBD Ziffer 10.1 Rz. 154
Für den Zeitraum der Aufbewahrungsfrist muss gewährleistet und nachgewiesen sein, dass das in der Dokumentation beschriebene Verfahren dem in der Praxis eingesetzten Verfahren voll entspricht. […] Die Aufbewahrungsfrist für die Verfahrensdokumentation läuft nicht ab, soweit und solange die Aufbewahrungsfrist für die Unterlagen noch nicht abgelaufen ist, zu deren Verständnis sie erforderlich ist.
In der GoBS, die noch weiterhin für alle Daten gilt, die vor 2015 angelegt wurden, gibt es entsprechende Passus und einen ganz eindeutigen zu Aufbewahrungsfristen, welche auf die Regelungen des HGB und der AO verweist:
Aufbewahrungsfristen
Daten mit Belegfunktion sind grundsätzlich sechs Jahre, Daten und sonst erforderliche Aufzeichnungen mit Grundbuch- oder Kontenfunktion sind grundsätzlich zehn Jahre aufzubewahren. Die Verfahrensdokumentation zur DV-Buchführung gehört zu den Arbeitsanweisungen und sonstigen Organisationsunterlagen im Sinne des § 257 Abs. 1 HGB bzw. § 147 Abs. 1 AO und ist grundsätzlich zehn Jahre aufzubewahren. Teile der Verfahrensdokumentation, denen ausschließlich Belegfunktion zukommt (z. B. die Dokumentation zur DV-Verkaufsabrechnung, aus der sich die Buchungen zu den Forderungen ergeben), sind grundsätzlich sechs Jahre aufzubewahren. […].
Die Anforderungen der Revisionssicherheit schließt den Grundsatz der Datenminimierung nicht aus
Aus der Zusammenschau der vorstehenden Regelungen ergibt sich grundsätzlich das nachfolgende Ergebnis:
Revisionssicherheit im Sinne der §§ 146a, 146b AO und der GoBD verlangt nicht, dass Daten ewig aufzubewahren sind. Im Gegenteil. Es wird durch die GoBD klargestellt, dass die Anforderungen zur Revisionssicherheit nur im Rahmen der gesetzlichen Aufbewahrungsfristen zu erfüllen sind. Die Anforderungen an die Revisionssicherheit erweitern also nicht die gesetzlichen Aufbewahrungsfristen, sie stellen damit keine gesetzliche Aufbewahrungspflicht im Sinne des Art. 6 I c) DSGVO dar. Und folglich stehen damit nicht dem Grundsatz der Datenminimierung nach Art. 5 I b) DSGVO und damit auch nicht den Anforderungen von Art. 25 DSGVO entgegen.
Es bedarf hier keines grundsätzlichen „Vorrangs“ des Datenschutzrechts wie Haerting proklamiert. Das Datenschutzrecht ist – soweit personenbezogene Daten verarbeitet werden – den Anforderungen an die Revisionssicherheit inhärent. Dies ergibt sich schon aus den steten Verweise auf die Aufbewahrungsfristen.
In Folge dessen wird auch deutlich, dass es einer Prüfung des Art. 6 I c) DSGVO durch die Behörden nicht bedurfte, jedenfalls bedurfte es keines Hinweises darauf in der Pressemitteilung, die wir alle bis zum jetztigen Zeitpunkt ausschließlich kennen.
Und in diesem Zusammenhang ist auch die – wahrscheinlich verkürzt wiedergegebene – die nachfolgende Äußerung Smoltczyks im Tagesspiegel zu verstehen
Die Deutsche Wohnen wollte bei der Speicherung der Mieter-Daten auf Nummer sicher gehen, sie wollten gesetzlichen Vorgaben entsprechen – Wohnungsunternehmen haben bestimmte Vorhaltepflichten. Diese Vorhaltepflichten gelten aber nicht für die beanstandeten Kategorien von personenbezogenen Daten; hier existieren je nach Kategorie unterschiedliche Löschfristen.
Dieser Satz Smoltzkys wurde zuweilen so ausgelegt, als würfe sie dem Unternehmen vor, sich an gesetzliche Regelungen gehalten zu haben. Die vorstehenden Sätze sind wohl vielmehr dahingehend zu verstehen, dass die Behörde das Unternehmen dafür mit einem Bußgeld belegt, dass es ein System verwendet, dass keine Differenzierung von Daten und kein Löschkonzept vorsieht, um den gesetzlich geltenden Aufbewahrungs- und den damit inhärenten anschließenden Löschpflichten nachzukommen.
Wenn das so ist, warum sind dann bei den wenigsten „revisionssicheren“ System Datenklassifizierungen und Löschkonzepte vorgesehen!?
Tja. Ehrliche Antwort: Ich weiß es auch nicht. Es bleibt hier nur bei meiner Vermutung, die ich oben bereits äußerste. Nämlich, dass eine Programmierung ohne Möglichkeit der Klassifizierung und der Anlage von Löschkonzepten weit weniger komplex und damit kostengünstiger ist sowie die Anwendung für den Kunden einfacher ist.
Das ändern bloß nichts daran, dass ein solches System weder den Anforderungen an § 146a, 146b AO und der GoBD noch an die DSGVO entspricht. Es ist eben nur ein Teil der gesetzlichen Anforderungen mitgedacht.
Anforderung „Datenklassifizierung“ und „Löschkonzepte“ ist nicht neu
Dabei ist die Anforderung, Möglichkeiten für Datenklassifizierung und Löschkonzepte vorzusehen, alles andere als neu. Die Löschfristen aus dem HGB und der AO sind wahrlich nichts Neues. Und auch das BDSG-alt kannte den Grundsatz der Datensparsamkeit.
In Folge dessen ist auch die Diskussion dem Grunde nach keine neue. In zahlreichen Mandaten tauchte diese Frage immer wieder auf. Immer wieder betonte ich dabei gegenüber meinen Mandanten, dass die Anforderungen an die Revisionssicherheit keinen Rechtsgrund darstellen, um personenbezogene Daten nicht zu löschen. Die Mandanten sahen sich jedoch stets in einem Dilemma gegenüber ihren System-Anbietern, die schlicht keine Löschungsmöglichkeiten unter Verweis auf die Revisionssicherheit vorsahen und Anmerkungen im Hinblick auf das BDSG-alt bzw. nun mehr die DSGVO eher jovial beiseite wischten und im Zweifel auf ihre „zertifizierte“ Revisionssicherheit verwiesen.
Nahezu niedlich (‚Tschuldigung) muten dabei Hinweise von System-Anbietern an, die als wichtigen Punkt „Einhaltung der Aufbewahrungspflichten“ bei „Merkmalen der Revisionssicherheit nach der GoBD“ anmerken, aber dabei scheinbar vergessen, dass nach der Einhaltung jedenfalls in Verbindung mit den datenschutzrechtlichen Vorschriften die Löschung von Datensätzen kommt.
Wieder etwas polemisch könnte man sagen: Tja. Es hat schon seinen Grund, weswegen Datenschützer seit Jahren immer wieder anmerken, dass es vielleicht ganz sinnvoll sei, sie bei IT-Projekten von Beginn an mit einzubinden.
Zurück zum Fall: BlnBDI ./. Deutsche Wohnen SE
Die Berliner Datenschutzbehörde hat mit dem Bußgeldbescheid gegen die Deutsche Wohnen SE nun den Finger in die eben hier aufgerissene Wunde gelegt. Mit ihrem Bußgeldbescheid hat die Behörde mittelbar die Rechtsauffassung (die auch die meine ist) bestätigt, dass sich aus den § 146a, 146b AO und der GoBD ergebenden Anforderungen an revisionssichere Systeme keine Pflicht zur (ewigen) Aufbewahrung und damit auch keine Rechtfertigung der Datenverarbeitung im Sinne von Art. 6 I c) DSGVO ergibt.
Folgerichtig ist damit, dass eine Archivierungssoftware, die keine Klassifizierung von Daten und damit keine Aufstellung von Löschkonzepten vorsieht, gegen die Grundsätze des Art. 25 DSGVO und Art. 5 Abs. 1 DSGVO verstößt.
Heißt das, der Bußgeldbescheid ist in Stein gemeißelt?
Fest steht nur, dass es sich um den Bescheid einer Behörde handelt. Dieser ist natürlich gerichtlich überprüfbar. Insoweit ist zunächst einmal gar nichts „in Stein gemeißelt“. Aufgrund der hier gemachten Ausführungen bin ich jedoch der Auffassung, dass ein einfacher Verweis auf die „zwingende Revisionssicherheit“ und damit auf eine gesetzliche Erlaubnis nach Art. 6 I c) DSGVO den Bescheid nicht dem Grunde nach zu Fall bringen wird.
Ob der Bescheid im Übrigen sinnvollerweise anzugreifen ist, kann ich überhaupt nicht beurteilen. Mir liegt nur die Pressemitteilung vor. Ich kenne weder den Bescheid selbst noch den exakten Sachverhalt. Insoweit möchte ich mir mögliche konkrete Angriffsvektoren nicht anmaßen.
Fazit: Es bleiben viele spannende Fragen
Gerade wenn der Bescheid gerichtlich überprüft und die Frage der Revsionssicherheit versus Grundsatz der Datenminimierung im Ergebnis wie hier beantwortet würde, verbleiben spannende Fragen. So etwa, ob Unternehmen die „rechtssichere“ Software für die „revisionssichere“ Archivierung erworben haben und nun feststellen müssen, dass sie in einem DSGVO-Compliance Problem stecken, Schadensersatzansprüche gegen den Hersteller haben könnten. Dieser hätte schließlich die gesetzliche Lage kennen müssen.
Datenschutz-Grundverordnung
Landesdatenschützer kündigen verstärkte Kontrollen an
04. Februar 2019
Die seit Mai vergangenen Jahres geltenden neuen EU-Datenschutzregeln entfalten ihre Wirkung, auch in Deutschland. Die obersten Datenschützer machen nun Ernst – und suchen gezielt nach Verstößen.
Stuttgart – Landesdatenschützer Stefan Brink will verstärkt nach möglichen Datenschutzverstößen im Südwesten fahnden. „2019 wird das Jahr der Kontrolle“, sagte er am Montag in Stuttgart. Ende Mai 2018 war die Datenschutz-Grundverordnung der EU in Kraft getreten. Damit wird im Kern die Verarbeitung personenbezogener Daten durch Firmen, Vereine und Behörden geregelt. 2018 hatten Brink und seine Mitarbeiter den Schwerpunkt auf Beratungen gelegt, um die Regeln zu umfangreich erklären – das soll im laufenden Jahr anders werden.
Seine Behörde werde jetzt angekündigte und unangekündigte Kontrollen vornehmen – vor allem in Unternehmen, die mit der Verarbeitung großer Datenmengen befasst sind. „Wir haben staatsanwaltschaftliche Befugnisse“, sagte Brink. Seine Mitarbeiter könnten auch ohne Zustimmung eines Unternehmens die Situation vor Ort betrachten und Unterlagen beschlagnahmen. Die Kontrollen könne es auch geben, ohne dass seiner Behörde konkrete Beschwerden vorlägen. Vereine werden bei den Kontrollen laut Brink aber zunächst nicht im Fokus stehen.
Anzahl Beschwerden gestiegen
Sprunghaft angestiegen ist auch die Zahl der Beschwerden, die die Behörden erreichten und die den nicht-öffentlichen Bereich, also beispielsweise Unternehmen, betrafen. Hier gab es einen Anstieg von 1872 (2017) auf 2714 (2018). Dabei ging es unter anderem um unerlaubte Werbungen, Spammails, Videoüberwachungen und speziell den Datenschutz, den Firmen gegenüber ihren Mitarbeitern einhalten müssen. Im vergangenen Jahr verhängte die Landesdatenschutzbehörde Bußgelder in Höhe von insgesamt rund 100 000 Euro.
Bislang habe Deutschland bei Datenschutzverstößen eher wirtschaftsfreundlich agiert, sagte Brink mit Blick auf die Zeit vor dem Inkrafttreten der EU-Datenschutz-Grundverordnung. Seit Mai 2018 werde in Sachen Bußgelder „scharf geschossen“. Strafen von bis zu 20 Millionen Euro sind möglich – nach der alten Rechtslage waren es hingegen maximal nur rund 300 000 Euro. Die Folge: Zwei Drittel der Unternehmen nähmen den Datenschutz mittlerweile ernst. Größere Unternehmen hätten kaum Probleme mit den Dokumentationspflichten, die sie im Umgang mit Daten nachweisen müssten. Kleine und mittlere Firmen und Vereine täten sich hingegen oft sehr schwer damit.
„Pflichten gelten für alle“
Darin liegt nach Brinks Einschätzung auch die größte Schwäche der neuen Regeln: Die neuen Datenschutzvorschriften unterscheiden nicht zwischen Großunternehmen und Vereinen, die oftmals rein ehrenamtlich getragen werden. „Die Pflichten gelten für alle. Das erweist sich in der Umsetzung als schwierig.“ Datenpannen müssen Brinks Behörde umgehend gemeldet werden – zudem müssen auch die informiert werden, deren Daten von der Panne betroffen sind, etwa nach einem Hackerangriff. Es kann aber auch um einen Laptop gehen, den ein Personalchef einer Firma versehentlich in der Bahn liegen lässt – und auf dem sich unverschlüsselte, personenbezogenen Daten befinden.
ISO/IEC 27001 – IN ZEITEN DER DIGITALISIERUNG
Die Welt der Internetsicherheit schreitet mit enormer Geschwindigkeit voran. Gleichzeitig helfen Verbesserungen der Technologien Hackern und Internetkriminellen zunehmend dabei, Schlupflöcher in der Datensicherheit auszunutzen. Die ständig steigende Kurve von Angriffen auf die Internetsicherheit ist ein wichtiges Thema für Internetnutzer und Unternehmensverbände. Und das sollten sie sein!
Ein aktuelles Beispiel für das zunehmende Ausmaß dieser Angriffe ist der jüngste Ransomware-Angriff im Dezember 2017, der als Wanna Cry bekannt wurde. Es war einer der größten Angriffe der letzten Jahre, der eine große Anzahl von Unternehmen auf der ganzen Welt betraf. Hier stellt sich dann die Frage: „Warum wurden sowohl große als auch kleine Unternehmen von diesem Angriff beeinträchtigt und beeinflusst?“. Es scheint, als ob die Welt zu begreifen beginnt, das erhöhte Sicherheitsmaßnahmen nicht nur eine Frage des Schutzes von Daten sind, sondern dass wir mit dem Schutz von Daten auch die gesamte Infrastruktur unseres Unternehmens schützen.
Was ist zu tun? – Wie können wir uns schützen?
Datenzugang beschränken
Die meisten Unternehmen erlauben einer Reihe von Mitarbeitern und Insidern privilegierten Zugang zu ihren vertraulichen Daten. Denken Sie darüber nach, wer in Ihrem Unternehmen Zugang zu sensiblen Kundendaten hat? Können Sie die Zugangsrechte von allen erkennen? Die meisten Führungskräfte von Unternehmen kennen keine Einzelheiten über einzelne Beschäftigte, die Zugang zu Daten haben und warum sie diesen haben. Hier besteht ein großes Risiko für Datenverlust, -diebstahl und -hacking.
Dies bedeutet, dass Unternehmen den Datenzugang einschränken müssen. Unternehmen müssen festlegen, wozu ein Mitarbeiter Zugang braucht und sie müssen sicherzustellen, dass sie nur Zugang zu dem haben, was sie benötigen. Nichts weiter. Diese ganzen Einschränkungen könnten Unternehmen helfen, ihre Daten effizienter zu verwalten und sicherzustellen, dass sie vor Diebstahl oder Verlust geschützt sind.
Angesichts der andauernden hochkarätigen Datenmissbräuche, von denen viele durch kompromittierte privilegierte Zugänge und Anmeldeinformationen verursacht wurden, ist es entscheidend, dass Unternehmen den privilegierten Zugang zu ihren Netzwerken kontrollieren, verwalten und überwachen, um dieses Risiko zu reduzieren. Die Ergebnisse dieses Berichts zeigen uns, dass viele Unternehmen das Risiko im Zusammenhang mit privilegiertem Zugang nicht adäquat handhaben können. Insider-Missbräuche, egal ob bösartig oder unbeabsichtigt, haben das Potenzial, wochen-, monate- oder sogar jahrelang unentdeckt zu bleiben, was zu einer verheerenden Schädigung eines Unternehmens führen kann.
Sensible Daten erkennen
Es ist für Unternehmen wichtig zu wissen, wo die wichtigsten Daten und sensiblen Geschäftsinformationen aufbewahrt werden. Dadurch wird sichergestellt, dass Sie die richtigen Informationen haben und mehr Ressourcen zum Schutz Ihrer sensibelsten und wertvollsten Güter bereitstellen
Obwohl vertrauliche Geschäftsdaten vermutlich nur rund 5-10% Ihrer gesamten Geschäftsdaten ausmachen, könnte eine Datenkompromittierung, die sensible oder personenbezogene Daten betrifft, zu einem immensen Verlust an Reputation und Umsatz für ein Unternehmen führen. Wenn wir zu Zugangsmanagement und -rechten zurückgehen, sollten wir mehr Wert auf strenge Maßnahmen für vertrauliche Daten als für andere Geschäftsdaten legen.
Im Voraus geplante Richtlinie zur Datensicherheit
Bei der Betrachtung der Abläufe und Prozesse, die erforderlich sind, um einen Internetangriff einzudämmen, besteht ein wichtiger Schritt darin, eine Liste von Sicherheitsmaßnahmen und Richtlinien zur Datensicherheit zu erstellen. Diese Planung könnte in kritischen Situation und Zeiten von Vorfallsreaktion erheblich helfen. Durch Richtlinien können Sie sofort reagieren, um extreme Auswirkungen eines Internetangriffs zu vermeiden.
Wie bei Zugangsmanagement und -rechten, könnte der Mitarbeiterzugang leicht festgelegt werden, und Sie würden weiterhin wissen, welche User in Ihrem Unternehmen möglicherweise geschädigt wurden. Es ist wichtig, daran zu denken, dass ein Richtlinien- und Verfahrensplan nur so gut ist wie seine letzte Revision. Technologie, Branchenvorschriften und Best Practices ändern sich ständig. Daher muss jemand diese Richtlinie und Verfahrensanleitung besitzen und immer nach neuen Wegen Ausschau halten, diese zu aktualisieren, um sie passend zu halten.
Starke und unterschiedliche Passwörter für jede Abteilung
Vertrauliche Daten sollten mit starken Passwörtern weggeschlossen werden. Stärkere Passwörter zu erstellen ist zur Bekämpfung einer Reihe von Passwort Hacker-Tools notwendig, die leicht auf dem Markt zu bekommen sind. Versuchen Sie, zu gewährleisten, dass Passwörter eine Kombination aus verschiedenen Zeichen wie Kleinbuchstaben, Großbuchstaben, Zahlen und Sonderzeichen enthalten.
Darüber hinaus stellt die Verwendung der gleichen Passwörter für verschiedene Programme und Zugänge auch ein Risiko dar. Wenn Ihr Passwort geknackt wurde, wird ein Hacker das gleiche Passwort bei allen wichtigen Konten, die Sie besitzen, ausprobieren.
Daher sollten Unternehmen für alle Mitarbeiter und Abteilungen eindeutige Passwörter ausgeben. Dies gelingt problemlos mit einem Passwort-Manager Tool. Außerdem sollte dafür gesorgt werden, dass alle Mitarbeiter eine angemessene Schulung zu Datensicherheit und Tipps zu Passwörtern erhalten.
Wenn möglich, ist es auch angebracht, Multi-Faktor-Authentifizierung einzusetzen. Das Hinzufügen eines weiteren Schrittes zu einem Passwort-Login bedeutet einen weiteren Schritt, den Hacker knacken müssen. Dies macht einen Hack viel unwahrscheinlicher und schwieriger. Einige gute Beispiele für Multi-Faktor-Authentifizierung sind Biometrie, Push-Benachrichtigungen auf Handys, Smartcards und Token-Authentifizierung.
Regelmäßige Datensicherung und -aktualisierung
Der letzte Punkt auf der Liste wichtiger Maßnahmen zur Datensicherheit ist der, regelmäßige Sicherheitskontrollen und Datensicherungen durchzuführen. Für einen unerwarteten Angriff oder einen Datenmissbrauch ist es sehr hilfreich, wenn ein Unternehmen seine Daten sichert. Für ein erfolgreiches Geschäft müssen Sie sich angewöhnen, Daten automatisch oder manuell im wöchentlichen oder täglichen Rhythmus zu sichern.
Darüber hinaus sollten die Daten durch aktualisierte Software und effiziente Antivirus-Tools geschützt werden. Um dies zu erreichen, müssen Sie jedoch eine fortschrittliche und effiziente IT-Abteilung haben. Sorgen Sie dafür, dass Sie jemanden mit den richtigen Fähigkeiten einstellen und dem Sie vertrauen können, dass er seinen Job richtig macht.
Verschenken sie nicht Ihre Sicherheit !
Wir beraten Sie gerne durch unsere IT Auditoren