Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen Mindeststandard nach § 8 BSI-Gesetz (BSIG) zum Thema „Schnittstellenkontrolle“ veröffentlicht. Der Mindeststandard „Schnittstellenkontrolle“ regelt die Absicherung von Schnittstellen von IT-Systemen und macht Vorgaben zu Einsatz und Eigenschaften entsprechender Softwarelösungen für die Bundesverwaltung. Der Mindeststandard richtet sich vornehmlich an IT-Sicherheitsbeauftragte und IT-Verantwortliche in der Bundesverwaltung, steht darüber hinaus jedoch auch für andere Institutionen in Wirtschaft und Gesellschaft sowie für die Verwaltung in den Ländern und Kommunen zur Verfügung.

Schnittstellen wie USB-Anschlüsse bergen Risiken für den Einfall von Schadsoftware und unerwünschten Abfluss von Informationen. Mobile Datenträger wie USB-Sticks und SD-Karten sowie Mobilgeräte wie Smartphones und Tablets sind im geschäftlichen und privaten Bereich weit verbreitet. Eine unbedachte Nutzung – entgegen etwaiger interner Sicherheitsrichtlinien – kann ein Risiko für die gesamte IT-Infrastruktur einer Behörde, eines Unternehmens oder einer sonstigen Institution darstellen. Zwei grundsätzliche Forderungen sind daher im Mindeststandard umgesetzt:

• Schnittstellen sind auf IT-Systemen der Bundesverwaltung angemessen zu schützen.
• Eingesetzte Schnittstellenkontrollen haben bestimmte Mindestsicherheitsanforderungen zu erfüllen. Diese Anforderungen schützen dabei sowohl vor der generellen Nutzung nicht genehmigter Geräte, als auch vor der unsachgemäßen Nutzung genehmigter Geräte.

Der Mindeststandard „Schnittstellenkontrolle“ steht hier zum Download zur Verfügung.

vzbv kritisiert Gesetzentwurf zur Anpassung des deutschen Rechts an die Datenschutz-Grundverordnung

• Gesetzentwurf aus Verbrauchersicht größtenteils inakzeptabel.
• Verbraucher dürfen in Deutschland nicht schlechter gestellt sein als in anderen EU-Mitgliedsstaaten.
• vzbv fordert, das derzeitige Datenschutz-Niveau in Deutschland mindestens zu erhalten

Das Datenschutz-Niveau in Deutschland darf nicht durch die Anpassung des nationalen Rechts an die Datenschutz-Grundverordnung (DSGVO) abgesenkt werden. Das fordert der Verbraucherzentrale Bundesverband (vzbv) in seiner Stellungnahme zum Gesetzentwurf, den das Bundesministerium des Innern (BMI) im November vorgelegt hat.

„Mit dem vorliegenden Gesetzentwurf würden Verbraucher in Deutschland künftig datenschutzrechtlich deutlich schlechter gestellt als Verbraucher in anderen EU-Mitgliedsstaaten“, kritisiert Klaus Müller, Vorstand des vzbv.

Entwurf in Teilen europarechtswidrig

Der Entwurf bleibt nach Ansicht des vzbv nicht nur hinter den Datenschutzstandards der europäischen Datenschutz-Grundverordnung zurück, sondern auch hinter dem aktuellen Bundesdatenschutzgesetz. „Das Bundesinnenministerium handelt entgegen früherer Zusagen der Bundesregierung, den hohen deutschen Datenschutzstandard zu erhalten“, so Müller. „Sollten die Regelungen in ihrer derzeitigen Form beschlossen werden, würde dies zu einer massiven Verschlechterung von Verbraucherrechten führen. Das darf nicht sein.“

Die vom vzbv geforderten Regelungen zum Kreditscoring sind im Entwurf enthalten. Die Art und Weise, wie sie begründet werden, sei jedoch unzulässig. Denn der jetzige Wortlaut stelle ein Einfallstor für weitere, nicht wünschenswerte Regelungen dar. Unternehmen könnten so legitimiert werden, den Nutzungszweck von erhobenen Daten zu ändern – also diese beispielsweise an Dritte weiterzugeben oder anderweitig ohne Zustimmung der Betroffenen zu verwenden. „Dies ist nicht nur absolut inakzeptabel, sondern sogar europarechtswidrig“, betont Müller. Der vzbv fordert, dass Daten von Verbrauchern nur für festgelegte, eindeutige und legitime Zwecke erhoben und weiterverarbeitet werden dürfen. Verbraucher, die beispielsweise Fragen zu ihrem Kreditscoring haben oder damit nicht einverstanden sind, hätten im vorliegenden Entwurf weniger Rechte. Die Möglichkeiten der Information, Auskunft oder Löschung ihrer Scoringdaten würde künftig in unverhältnismäßiger Weise eingeschränkt werden.

Kabinettsbeschluss im Januar erwartet

Die Frist für Stellungnahmen ist am 7. Dezember 2016 abgelaufen. Der vorliegende Referentenentwurf ist nun Gegenstand weiterer Beratungen im Ressortkreis. Ein Kabinettsbeschluss ist für Januar 2017 geplant. Der vzbv wird den Prozess kritisch begleiten.

Alle Forderungen und Anmerkungen zum Gesetzentwurf finden Sie in der Stellungnahme des vzbv zum Download.

​Mit ihr soll die vor einem Jahr vom Bundestag beschlossene “Speicherpflicht für Verkehrsdaten” gekippt werden. Die Kläger unter Federführung des Vereins Digitalcourage e.V. halten sie trotz der Änderungen gegenüber der ersten Auflage des Gesetzes zur Vorratsdatenspeicherung für unzulässig. Für die Provider hat bereits im Mai die Firma Space.net gegen das Gesetz geklagt.

Wie schon vor Monaten angekündigt, wurde jetzt vom Verein Digitalcourage e.V. als Stellvertreter eines breiten Bündnisses aus Bürgerrechtlern, Datenschützern, Politikern und Prominenten eine Verfassungsbeschwerde gegen das vor gut einem Jahr vom Bundestag beschlossene, neue Gesetz zur Vorratsdatenspeicherung, eingelegt. Um der Klage (PDF) Nachdruck zu verleihen, wurde auch eine Liste mit Unterschriften von mehr als 32.000 Unterstützern eingereicht. Mit der Klage wird angestrebt, die umstrittene Neuauflage des Gesetzes ebenso für verfassungswidrig erklären zu lassen, wie seinen Vorgänger.

Die mit dem Gesetz erlaubte, systematische Speicherung von Telefon- und Internetdaten ohne konkreten Anlass, halten Kritiker auch in ihrer überarbeiteten Form nach wie vor für einen Angriff auf Grundrechte. Mit dem Gesetz wird die Speicherung von Telekommunikationsdaten für zehn Wochen und von Standortdaten bei Gesprächen im Mobilfunknetz für vier Wochen geregelt. Daten zum E-Mail-Verkehr sind von den Regelungen ausgenommen.

Die erste Regelung zur Vorratsdatenspeicherung wurde nach drei Jahren im Jahr 2010 vom Bundesverfassungsgericht für unzulässig erklärt. Den bei der Neufassung vom Gesetzgeber sehr wohl zugegebenen Eingriff in die Grundrechte wollte das Bundesjustizministerium durch eine reduzierte Speicherdauer sowie höhere Zugriffshürden für die Daten gering halten.

So legte das Ministerium Wert darauf, dass mit den gespeicherten Daten keine Persönlichkeits- und Bewegungsprofile erstellt werden dürfen. Auch erklärte es, dass sogenannte Berufsgeheimnisträger, Notrufe sowie Beratungsstellen besonderen Schutz erfahren und E-Mails sollen nicht gespeichert werden sollen. Außerdem sollen “nur Verbindungsdaten”, nicht aber Inhalte von Gesprächen gespeichert werden.

Das ist in den Augen der Kritiker aber lediglich Kosmetik. Denn “die Vorratsdatenspeicherung ist das erste Überwachunggesetz, das sich gegen die ganze Bevölkerung richtet. Das ist der Dammbruch”, erklärt Patrick Breyer von der Piratenfraktion Schleswig-Holstein in einer von Digitalcourage e.V. herausgegebenen Stellungnahme. “Die Unterscheidung zwischen Inhalts- und Kommunikationsdaten stimmt nicht mehr. Wir wissen heute, nach dem aktuellen Stand der Forschung, dass Metadaten Rückschlüsse zulassen, die mindestens so tiefgreifend wie die Inhalte sind.”

Ein weiteres Zugeständnis des Gesetzgebers war, dass Sicherheitsbehörden lediglich im Zusammenhang mit schweren Straftaten und nach richterlicher Genehmigung auf die gespeicherten Daten zugreifen dürfen. Außerdem müssen die Betroffen bei einem Abruf ihrer Daten stets über den Zugriff durch die Sicherheitsbehörden informiert werden. Doch auch das halten die Kritiker für Augenwischerei. Ihnen geht es darum “ob wir in einem Staat leben, in dem ermittelt wird, oder in einem, in dem präventiv alle Bürgerinnen und Bürger überwacht werden“, wie ein Sprecher heute erklärte.

Klage der Provider läuft schon

Zwar können Provider bei besonders hohen Kosten für die Speicherung auf Entschädigungen durch den Staat hoffen, dennoch hat der des eco Verband der Internetwirtschaft e.V. das Vorhaben als “Mittelstandskiller” kritisiert. Der Anforderungskatalog ziehe für die betroffenen Unternehmen einen immensen Aufwand bei der Umsetzung nach sich. Insbesondere im Mittelstand seien die Auswirkungen “verheerend”. Einer der mittelständischen Provider, die Münchner Firma Space.net, hatte auch daher bereits im Mai eine Klage eingereicht, mit der unter anderem geklärt werden soll, ob die verlangte anlasslose Datenspeicherung mit EU-Recht vereinbar ist.

Außerdem verletzen nach Ansicht des Klägers die Vorschriften für die Vorratsdatenspeicherung sowohl die Berufsfreiheit als auch die unternehmerische Freiheit. Schließlich bürdeten sie Providern auch Kosten in dreistelliger Millionenhöhe auf, wobei viele dieser Kosten kleine Anbieter im Verhältnis stärker treffen als große, was ein “völlig unnötiger Eingriff in den Markt” sei.

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat einen Leitfaden erarbeitet und veröffentlicht, welcher einen Überblick über die Regelungen des EU-US Privacy Shield ermöglichen soll. Der Leitfaden richtet sich schwerpunktmäßig an verantwortliche Stellen.

Zur Umsetzung der Angemessenheitsentscheidung der EU-Kommission über das EU-US Privacy Shield sind Abstimmungen zwischen den Aufsichtsbehörden in Deutschland und der EU erforderlich – auch um gemeinsame Verständnisse in Auslegungsfragen  zu erreichen. Nach Angaben der LDI NRW werden Informationen deshalb kontinuierlich aktualisiert, erweitert und gegebenenfalls angepasst.

Der Leitfaden setzt sich mit folgenden Fragen auseinander und versucht diese zu beantworten:
1. An welcher Stelle ist das EU-US Privacy Shield für verantwortliche Stellen relevant?
2. Darf das EU-US Privacy Shield ab sofort herangezogen werden, um ein angemessenes Datenschutzniveau für Datenübermittlungen in
die USA zu gewährleisten?
3. Welche Bedenken bestehen auf Seiten der europäischen Datenschutzbehörden und welche Auswirkungen haben sie?
4. Welche Prüfpflichten obliegen verantwortlichen Stellen?
5. Gibt es Übergangsregelungen?
6. Können alle US-Unternehmen an der Selbstzertifizierung teilnehmen?
7. Welche Inhalte haben die Grundsätze des EU-US Privacy Shield?
8. Gibt es Ausnahmen von den Grundsätzen des EU-US Privacy Shield?
9. Welche Betroffenenrechte ergeben sich aus dem EU-US Privacy Shield?
10. Sind besondere Vorgaben hinsichtlich Personaldaten zu beachten?
11. Welche staatlichen Stellen überwachen die Einhaltung des EU-US Privacy Shield?
12. Welche Rolle hat die Ombudsperson des EU-US Privacy Shield inne?
13. Welche Anforderungen sind zu beachten, wenn ein datenempfangendes US-Unternehmen als Auftrags(daten)verarbeiter tätig wird?

Quelle: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen Praxis-Leitfaden zum Thema „Informationssicherheits-Webchecks“ veröffentlicht. Der Leitfaden richtet sich vornehmlich an IT-Sicherheitsbeauftragte und IT-Verantwortliche in Unternehmen, Behörden und anderen Institutionen und beschreibt eine strukturierte, praxisorientierte Vorgehensweise bei IT-Penetrationstests auf Webanwendungen. Der Leitfaden unterstützt Penetrationstester dabei, Webchecks möglichst effizient und effektiv durchzuführen. Darüber hinaus können IT-Verantwortliche in Unternehmen und Behörden den Leitfaden als Hilfestellung nutzen, um konkrete Anforderungen an einen externen Dienstleister zu formulieren und so einen für ihre Zwecke geeigneten Penetrationstester zu finden.

Angriffe auf IT-Systeme finden täglich statt und treffen auch vermeintlich weniger attraktive Ziele. Webchecks sind ein geeignetes Mittel, um die aktuelle Sicherheit einer Webanwendung festzustellen. Informationssicherheits-Webchecks dienen dazu, die Erfolgsaussichten eines vorsätzlichen Cyber-Angriffs auf die eigenen Systeme einzuschätzen und dadurch die Wirksamkeit der vorhandenen Sicherheitsmaßnahmen zu überprüfen sowie weitere notwendige Sicherheitsmaßnahmen abzuleiten.

Der Praxis-Leitfaden für Informationssicherheits-