Datenschutzbeauftragte befinden sich bereits in der heißen Phase zur Umsetzung der geforderten Maßnahmen aus der neuen Europäischen Datenschutzgesetzgebung. Dabei stellt sich mitunter die Frage, welche Anforderungen sich in Bezug auf die Informationssicherheit im Unternehmen ableiten lassen. Ist die Einführung eines ISMS verpflichtend?

Definition eines ISMS nach ISO27001:

Teil des gesamten Managementsystems, der auf der Basis eines Geschäftsrisikoansatzes die Entwicklung, Implementierung, Durchführung, Überwachung, Überprüfung, Instandhaltung und Verbesserung der Informationssicherheit abdeckt.

Gegenüber dem Bundesdatenschutzgesetz bekam die Informationssicherheit in der Datenschutz-Grundverordnung einen neuen Stellenwert. Dies zeigte sich mitunter daran, dass die Pflicht zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen als Grundsatz in Art. 5 der Datenschutz-Grundverordnung aufgenommen wurde.

Art.5 Abs. 1 lit.f DS-GVO:

Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).

Ein zusätzlicher Hinweis für eine „erweiterte Informationssicherheit“ ergibt sich aus den Begrifflichkeiten in Art.5 DS-GVO. „Integrität und Vertraulichkeit“ sind elementare Grundsätze der IT-Sicherheit. In bisherigen Gesetzen zum Schutz personenbezogener Daten waren diese nicht vorhanden.

Kriterien der technischen und organisatorischen Maßnahmen in Art.32 „Sicherheit der Verarbeitung“

Art.32 Abs.1

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Art.32 Abs.2

Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung – insbesondere durch Vernichtung, Verlust oder Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden – verbunden sind.

Gegenüber der Anlage zu §9 BDSG in der zumindest indirekte Maßnahmen aufgeführt wurden, wirkt Art.32 noch abstrakter. Es lassen sich aber Hauptbestandteile eines ISMS zuordnen.

Schritt 1 Feststellen des Schutzbedarfes Art.32 Abs.2

Das Schutzniveau personenbezogener Daten orientiert sich an der Schutzbedürftigkeit und dem sich ergebenden Schadenspotential bei unberechtigter Kenntniserlangung. Daraus ergibt sich

eine notwendige Schutzbedarfsanalyse. In der Regel werden Daten verschiedenen Kategorien des Schutzbedarfs zugeordnet, beispielsweise: normal, hoch und sehr hoch.

Schritt 2 Bewerten von Risiken

Art.32 Abs.1 und Abs.2 beinhalten die Risikobeurteilung. Maßnahmen die zum Schutz personenbezogener Daten getroffen werden, müssen künftig unter Berücksichtigung des Risikos für die Persönlichkeits- und Freiheitsrechte Betroffener ausgewählt werden. Dieser Risikobewertungsansatz bezieht sich jetzt nicht mehr nur auf klassische Unternehmenswerte, sondern schließt den Betroffenen und seine personenbezogenen Daten mit ein.

Schritt 3 Maßnahmenauswahl und Risikobehandlung

In Art.32 Abs.2 lit. a-c werden Maßnahmen zur Risikobehandlung aufgeführt.

a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten;

b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;

c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;

Die Bundesregierung hat heute einen Gesetzesentwurf zum Datenschutz beschlossen, mit dem das nationale Recht an die europäische Datenschutzgrundverordnung (DSGVO) angepasst werden soll. Ein entsprechender Referentenentwurf des Bundesministeriums des Innern war zuvor von vielen Seiten – unter anderem vom Verbraucherzentrale Bundesverband (vzbv) – als inakzeptabel kritisiert worden.

Der vzbv begrüßt, dass die Bundesregierung die Kritik am Entwurf des Bundesministeriums des Innern aufgenommen und wesentliche Punkte nachgebessert hat. Unternehmen können den Nutzungszweck von erhobenen Daten nicht, wie ursprünglich vorgesehen, über die Vorgaben der Datenschutzgrundverordnung hinaus ändern. Außerdem wurden die bisherigen verbraucherschützenden Regelungen zum Kreditscoring in den neuen Entwurf überführt.

Gleichzeitig schränkt aber leider auch der aktuelle Entwurf Rechte von betroffenen Personen in nicht akzeptabler Art und Weise ein. Beispielsweise müssten Unternehmen Betroffene künftig nicht über eine Datenverarbeitung informieren, wenn dies einen unverhältnismäßigen Aufwand bedeuten würde. Mit dieser unklaren Definition lässt der Gesetzentwurf eine Hintertür für Unternehmen offen. Die informationelle Selbstbestimmung von Verbrauchern wird damit untergraben. Eine derartige Einschränkung der Betroffenenrechte ist aus Sicht des vzbv nicht mit der Datenschutzgrundverordnung vereinbar. Deutsche Verbraucher würden datenschutzrechtlich schlechter gestellt als Verbraucher in anderen EU-Mitgliedsstaaten.

Ob der im Kabinettsentwurf vorgesehene, neue Paragraf für private Krankenversicherungen zulässig ist, erachtet der vzbv als äußerst fraglich. Diese Regelung, die auch für die Verarbeitung von Gesundheitsdaten gelten soll, ist aus vzbv-Sicht besonders kritisch zu bewerten. Die Datenschutzgrundverordnung stellt hier nämlich besonders hohe Anforderungen.

Die Regelung für private Krankenversicherungen soll eine automatisierte Entscheidung im Einzelfall ermöglichen, wenn dem Antrag einer betroffenen Person auf Erstattung der Rechnung nicht vollständig stattgegeben wird. Bislang war in diesen Fällen eine Einzelfallprüfung vorgesehen.

Der vorliegende Entwurf ist nun Gegenstand des parlamentarischen Gesetzgebungsprozesses. Die Verhandlungen sollen bis Mai 2017 abgeschlossen sein, damit die Vorschriften gemeinsam mit der Datenschutzgrundverordnung ab Mai 2018 angewendet werden können. Der vzbv wird den Prozess kritisch begleiten.

Das oberste US-Berufungsgericht hat bestätigt, dass Microsoft die in Irland gespeicherten E-Mails eines europäischen Nutzers nicht an die Regierungsbehörden herausgeben muss. Gleichzeitig forderten die Richter eine Gesetzesänderung, um dies künftig zu ermöglichen.

Microsoft hat im seit drei Jahren währenden Rechtsstreit mit der amerikanischen Regierung um die Herausgabe von E-Mails eines europäischen Nutzers einen wichtigen Sieg errungen. Als vierte und letzte Instanz hat das oberste Berufungsgericht in New York jetzt entschieden, das aktuell gültige Urteil nicht zu revidieren. Demzufolge kann die Regierung Microsoft nicht dazu zwingen, die in seinem Rechenzentrum in der irischen Hauptstadt Dublin gespeicherten E-Mails eines europäischen Nutzers herauszugeben. Anders als von zwei vorherigen Instanzen argumentiert, sei der mögliche Zugriff von Microsoft auf die Daten in seinen ausländischen Rechenzentren nicht mit deren Speicherung auf US-Hoheitsgebiet gleichzusetzen, wie es der Patriot Act und ähnliche einschlägige Vorschriften zur Wahrung der nationalen Sicherheit fordern. Allerdings war die Entscheidung des Berufungsgerichtes nicht einstimmig und könnte weitere Konsequenzen für amerikanische Cloud-Anbieter nach sich ziehen. Um künftig Risiken für die nationale Sicherheit durch die von ihnen festgestellte Rechtslage zu vermeiden, regten die Richter selbst eine Verschärfung der Gesetze an, mit der auch der Zugriff auf ausländische Rechenzentren amerikanischer Anbieter ausdrücklich möglich gemacht werden könnte. Die Chancen, dass die Trump-Administration dies umsetzt, sind hoch.

Auch Microsofts Rechtsverantwortlicher Brad Smith forderte deshalb nach dem Urteil klare Regelungen, auf die sich die Nutzer verlassen können und mit denen sichergestellt wird, dass die Gesetze anderer Länder geachtet werden. In Deutschland und Europa versucht Microsoft dem Zugriffswillen amerikanischer Behörden mit der Microsoft Cloud Deutschland vorzubauen. Bei diesem Modell werden die Daten zwar in deutschen Microsoft-Rechenzentren gespeichert, aber von T-Systems als Datentreuhändler verwaltet. Damit wird der Zugriff für die US-Behörden zusätzlich erschwert. Auch wenn das neue Urteil diese zusätzliche Absicherung, die teilweise auch mit erheblichen Zusatzkosten für die Kunden verbunden ist, unnötig erscheinen lässt, so dürfte das Modell durch die Vorschläge der Richter in Bezug auf weiterreichende Zugriffsrechte doch zusätzlichen Rückenwind bekommen.

Im vorliegenden Fall hatten die US-Behörden Microsoft bereits 2013 dazu aufgefordert, sämtliche Nutzerdaten und E-Mails des Mannes herauszugeben, da sie wegen Drogenschmuggels gegen ihn ermittelten. Das Unternehmen hatte sich mit dem Verweis auf die europäischen Datenschutzgesetze und das übliche Verfahren für internationale Rechtshilfeersuchen dagegen gewehrt und den Behörden lediglich die in den USA gespeicherten Daten zum Nutzeraccount übermittelt. Daraufhin hatte die Regierung von Barack Obama ein Gerichtsverfahren gegen Microsoft eingeleitet, um die Herausgabe zu erzwingen. Nachdem die ersten zwei Instanzen der Ansicht gewesen waren, dass Microsoft als amerikanisches Unternehmen nach dem Patriot Act unabhängig internationaler Gesetze und Vorschriften dazu verpflichtet sei, hatte die dritte Instanz diese Meinung im Sommer des vergangenen Jahres überraschend revidiert.

Laut einer KPMG-Studie werden mehr als ein Drittel aller deutschen Unternehmen Opfer von Wirtschaftskriminalität. Größter Risikofaktor sind die eigenen Mitarbeiter.

• Mehr als drei Viertel der Unternehmen in der Studie wähnen sich in trügerischer Sicherheit.
• Größte Tätergruppe sind eigene Mitarbeiter mit 84 Prozent der Nennungen. Sie stecken sehr häufig mit Externen unter einer Decke

Über Wirtschaftskriminalität zu schreiben ist insofern etwas kompliziert, als der Begriff zwei sehr unterschiedliche Phänomene bezeichnet. Zum einen geht es dabei um Straftaten, bei denen Unternehmen die Opfer sind, also etwa um Datendiebstahl in großen Stil durch Cyberangriffe Externer. Zum anderen dreht sich Wirtschaftskriminalität um Straftaten durch Unternehmen, wobei die Opfer sowohl der eigene Laden als auch Externe sein können.

Die Meinungsforscher von TNS Emnid haben jetzt im Auftrag von KPMG eine Befragung von 500 Unternehmen durchgeführt, um die Entwicklung von Art und Umfang solcher Straftaten in den zurückliegenden zwei Jahren zu ermitteln.

Untreue vor Diebstahl und Unterschlagung

45 Prozent der befragten Firmen, so ein zentrales Ergebnis, waren in dieser Zeit von Wirtschaftskriminalität betroffen, also entweder Täter oder Opfer solcher Taten.

Die häufigsten Deliktarten sind Betrug und Untreue (45 Prozent), dicht gefolgt von Diebstahl und Unterschlagung mit 43 Prozent. Letztere beiden kommen bei Großunternehmen mit 63 Prozent überdurchschnittlich häufig vor. Hier sind darüber hinaus Korruptionsdelikte auf dem Vormarsch, 45 Prozent der Befragten Großen hatten damit bereits zu tun. Das bedeutet, dass diese Art von Delikten im Vergleich zur Situation vor zwei Jahren – dem Zeitpunkt der vorigen Befragung – um 50 Prozent zugenommen hat.

Gefahren werden massiv unterschätzt

Bemerkenswert ist diese Zahl insofern, als gerade Großunternehmen das Risiko, angegriffen zu werden, massiv unterschätzen: Lediglich 23 Prozent von ihnen befürchten einen Angriff, mehr als drei Viertel wähnen sich also in (trügerischer) Sicherheit.

Autozulieferer Leoni um 40 Millionen Euro geprellt

Wie gefährlich solche Arglosigkeit sein kann, beweist ein aktueller prominenter Fall: Der große Autozulieferer Leoni aus Nürnberg gab im August bekannt, um 40 Millionen Euro geprellt worden zu sein. Nach Unternehmensangaben nutzten die Ganoven gefälschte Dokumente und Identitäten, um über „elektronische Kommunikationswege“ an das Geld zu kommen.

Offensichtlich hatte sich jemand als Leoni-Mitarbeiter ausgegeben, behauptet, besondere Befugnisse zu haben und unter diesem Vorwand unterschiedliche Geschäftsvorgänge zum eigenen Nutzen ausführen lassen.

Die Masche erinnert ein wenig an den populären „Enkeltrick“, bei der Betrüger alte Leute anrufen, sich als Verwandte ausgeben und anschließend Geld überweisen lassen. Nur dass der Leoni-Betrüger eben behauptet hat, statt Verwandter eine Art Chef zu sein, dessen Anweisungen Folge zu leisten sei.

Ein Leser von Spiegel Online schrieb zu diesem Fall sehr passend, die Masche ziehe nur, „wenn alle Mitarbeiter einschließlich Revision einen gepflegten Schlaf haben und niemand sich traut, den ‚Chef‘ gezielt anzusprechen, woher er seine Vollmachten hat.“

Am gefährlichsten sind die eigenen Mitarbeiter

So skurril der Fall Leoni ist: Mehrheitlich entstehen die Schäden anders. Größte Tätergruppe sind laut KPMG-Studie die eigenen Mitarbeiter mit 84 Prozent der Nennungen. Diese stecken bei ihren Taten sehr häufig mit Externen unter einer Decke.