Kategorie: Allgemein

Open Source Business Alliance: Mindestanforderungen an Cloud-Angebote für die öffentliche Hand

Cloud-Lösungen werden künftig für staatliche Einrichtungen, Behörden und Bildungseinrichtugnen eine große Rolle spielen. Auf dem Weg zu digitaler Souveränität sind deshalb angemessene Vorgaben wichtig, um Sicherheit und Datenschutz der Anwendungen garantieren zu können. Diese sollten fester Bestandteil öffentlicher Ausschreibungen werden.

Die OSB-Alliance, der Bundesverband von Open Source Anbietern und Anwendern, hat dazu ein Positionspapier veröffentlicht.

Dieses formuliert aus ihrer Sicht erfüllbare Kriterien, die bei der Umsetzung von Cloud-Diensten im öffentlichen Sektor berücksichtigt werden sollen.

Sie formulieren zwei Kernziele für die digitale Souveränität:
  1. Wirkungsvoller Schutz von persönlichen Daten der Bürger*innen und vertraulichen Informationen  vor unerlaubtem Zugriff.
    Der Staat bzw. seine Behörden müssen jederzeit die Kontrolle darüber bewahren, wer, wann und unter welchen Umständen auf welche Daten zugreifen darf.
  2. Unabhängigkeit der Einsatzfähigkeit digitaler Infrastrukturen von anderen Staaten oder Unternehmen.
    Wirtschaftliche Abhängigkeiten und die Gefahr daraus resultierender politischer Zwänge müssen vermieden werden, um elementare staatliche Funktionen sicherzustellen und für Krisen- oder Katastrophenfällen widerstandsfähig, d.h. „resilient“, zu sein .

Diese beiden Fähigkeiten zur (1) Kontrolle von Datenflüssen sowie zur (2) Nutzung und Gestaltung von Informationstechnologie tragen entsprechend dem Papier zur digitalen Souveränität einer Organisation, einer Einzelperson oder von ganzen Staaten bei.

Wenig überraschend benennen sie Transparenz, Nachvollziehbarkeit und Überprüfbarkeit auf Code-Basis als wesentliche Aspekte für die Sicherheit von Cloud-Diensten. Mögliche Ableitungen von Daten sind nur dadurch zu vermeiden – Open Source Code sei (auch) deswegen für alle Teile von Cloud-Anwendungen zu bevorzugen.

Neben vielen weiteren Punkten wird (Daten-)portabilität eingefordert, um dem Lock-in-Problem zu begegnen: Es muss möglich sein, den Cloud-Anbieter zu wechseln (sonst gern als Multi-Cloud-Strategie bezeichnet).

Warum ist all das überhaupt erwähnenswert?

Leider sieht es bei Cloud-Anwendungen zur Zeit nicht danach aus, dass die oben genannten Punkte erfüllt werden können.

Der Cloud-Markt wird derzeit durch die großen US-Firmen bestimmt, d.h. Amazon mit AWS, Microsoft mit Azure und Google mit Google Cloud. Sie bieten nur Garantien vertraglicher Art – unabhängige und regelmäßige Code-Überprüfungen, wie sie in etablierten Open Source Projekten üblich sind, gibt es nicht.

Die Auftraggeber müssen darauf vertrauen, dass in den Rechenzentren der Anbieter alles mit rechten Dingen zugeht.

Die dort eingesetzte Cloud-Technologie ist -zumindest bei Platform as a Service (PaaS) und Software as a Service (SaaS)– Anbieter-spezifisch, proprietär und nicht Open Source. Der Auftraggeber kann somit keine echte Kontrolle über die Verarbeitungstätigkeiten haben, d.h. wer Zugriff auf Daten und Code hat und wo diese verarbeitet werden. Ein Wechsel von Anwendungen weg von einem dieser Anbieter ist ein unvorhersagbares Mammut-Projekt – es ist ein Lock-in gegeben.

Mittlerweile sind die Open Source Cloud-Technologien wie Open Stack weit ausgereift, mit ihrer Leistungsfähigkeit sind sie eine echte Alternative zu den kommerziellen US-amerikanischen Diensten. Auch in Deutschland gibt es kommerzielle Anbieter Open Source-basierter Cloud-Lösungen, so dass größere Anwendungen auch außerhalb des eigenen Rechenzentrums betrieben werden können.

Insofern sollten öffentliche Einrichtungen bei Cloud-Technologien von vornherein auf Open Source statt auf proprietäre Lösungen setzen.

Möglicherweise sind die US-amerikanischen Cloud-Anbieter durch Vergaberichtlinien für öffentliche Aufträge davon zu überzeugen, dass sie künftig (auch) auf Open Source setzen (Open Source bedeutet an dieser Stelle, dass der Code transparent ist, die Software jedoch u.U. nur mit Lizenzkosten nutzbar).

Weitere Informationen

 

Vorratsspeicherung ade – EuGH kippt deutsche Regelung

Der Eingriff in die Grundrechte sei nicht verhältnismäßig, insbesondere die anlasslose Vorratsspeicherung von Verkehrs- und Standortdaten. Eine allgemeine Speicherung von IP-Adressen und die gezielte Vorratsdatenspeicherung zur Bekämpfung schwerer Kriminalität kann aber von den Mitgliedsstaaten geregelt werden.

Die seit Jahren anhaltende Diskussion um die allgemeine Vorratsdatenspeicherung sollte mit dem Urteil ein Ende finden – auch wenn immer wieder vereinzelt Forderungen danach zu hören waren, zuletzt von der Innenministerin Faeser. Eine Nachfolgeregelung wird es wohl geben, diese muss aber deutlich weniger Daten speichern, wenn sie das EuGH-Urteil umsetzen soll.

Aus der Pressemitteilung:

„Ein solcher Satz von Verkehrs– und Standortdaten, die zehn bzw. vier Wochen lang gespeichert werden, kann aber sehr genaue Schlüsse auf das Privatleben der Personen, deren Daten gespeichert wurden – etwa auf Gewohnheiten des täglichen Lebens, ständige oder vorübergehende Aufenthaltsorte, tägliche oder in anderem Rhythmus erfolgende Ortsveränderungen, ausgeübte Tätigkeiten, soziale Beziehungen dieser Personen und das soziale Umfeld, in dem sie verkehren –, und insbesondere die Erstellung eines Profils dieser Personen ermöglichen.“

Weitere Informationen

D*ie Datenschutzbeauftragte verbietet das! – Oder doch nicht?

Sehr oft hört mensch im beruflichen Kontext die Aussage: „Das dürfen wir so nicht machen, unser*e Datenschutzbeauftragte*r hat das verboten.

Aber hat er* sie das wirklich?

Kurze Antwort vorab: Nein, dieses Recht steht ih*r nicht zu!

Aber wozu gibt es dann die Datenschutzbeauftragten?

De*m Datenschutzbeauftragten eines Betriebs, einer Behörde oder eines Unterbehmens obliegt u.a. die Aufgabe der Beratung der Leitungsebene sowie der gesamten Belegschaft in allen datenschutzrechtlichen Fragen. Auch hat sie*er die Einhaltung aller datenschutzrechtlichen Bestimmungen zu überwachen. Allerdings steht de*r Datenschutzbeauftragten kein Weisungsrecht zu.

Demnach muss Er*Sie nicht datenschutzkonforme Verarbeitungsvorgänge beanstanden, hat aber kein Recht diese zu verbieten oder zu erlauben.

Entscheidungen über die Umsetzung von Verarbeitungsvorgängen  trifft ausschließlich die Leitungsebene, ggf. die nachgeordneten Führungskräfte. Sie sind Verantwortliche im Sinne der Datenschutzgrundverordnung  und somit auch verantwortlich für die Einhaltung der bei der Verarbeitung personenbezogener Daten gebotenen organisatorischen und technischen Sicherheit und aller datenschutzrechtlichen Vorschriften.

Fazit:

Verbieten oder erlauben dürfen nur die Leitungsebene, bzw. die nachgeordneten Führungskräfte.

D*ie Datenschuztbeauftragte darf ausschließlich Empfehlungen abgeben.

Vielleicht ist es manchmal einfach bequemer oder leichter d*en Datenschutzbeauftragte*n als Buhmenschen vorzuschieben.

 

TU Berlin: Nach einem Jahr sind die Auswirkungen des IT-Sicherheitsvorfalls weitgehend überwunden

Seit dem Angriff auf die Windows-Systeme der TU mit einem Verschlüsselungstrojaner im April 2021 waren – und sind es zum Teil bis heute – sämtliche TU-Angehörige von den Auswirkungen des Vorfalls in Form von ausgefallenen bzw. eingeschränkten Diensten betroffen.

Mittlerweile sind die meisten Dienste wieder verfügbar bzw. durch Alternativen ersetzt worden, für die die verbliebenen Arbeiten an den Diensten der ZECM gibt es eine Roadmap. Einige Dienste wurden außer Betrieb genommen, bspw. tubmeeting, MS Sharepoint und WebAFS.

Die TU hat aus dem Vorfall gelernt und hart daran gearbeitet, die IT-Systeme sicher neu aufzustellen.

Weitere Informationen

Wo finde ich nützliche Hinweise zum Forschungsdatenschutz?

Neben dem Besuch vieler anderer mehr oder weniger informativen Web-Seiten lohnt sich für alle Forscher*innen und Interessierte auch ein Blick auf die Homepage  https://www.forschungsdaten-bildung.de/ des Leibniz-Institut für Bildungsforschung und Bildungsinformation.

Dort findet mensch viele Hinweise und Downloads zum Thema Forschungsdaten und Forschungsdatenschutz.

Weitere Informationen

 

IT-Sicherheit an brandenburgischen Hochschulen in Gefahr?

Im letzten Jahr hat der Landesrechnungshof Brandenburg (LRH BB) Untersuchungen zur IT-Sicherheit an den acht Hochschulen des Landes durchgeführt.

Unter dem Strich sind die Hochschulen dabei nicht besonders gut weggekommen, die Verbesserung der IT-Sicherheit sei in den letzten 30 Jahren trotz der bekannten Bedrohungen nicht ausreichend angegangen worden – was lt. LRH in nicht unwesentlichem Maße an den unzureichenden Mitteln und Maßnahmen durch das Wissenschaftsministerium lag.

Im Jahresbericht sind die Einschätzungen einschließlich der Stellungnahme des Ministeriums dokumentiert.

„IT-Sicherheit an brandenburgischen Hochschulen in Gefahr?“ weiterlesen

SMS mit Links auf Schadsoftware-Webseiten

Leider werden viele Phishing-Mails oder Links auf Schadsoftware-Webseiten versandt, die nicht so offensichtlich sind.

Nun häufen sich aber auch SMS und andere Nachrichten, die versuchen uns auf infizierte Webseiten zu lenken:

Ob sie gezielt an adressiert sind oder nur zufällig gesandt werden macht dabei keinen grundsätzlichen Unterschied. Da SMS-Benachrichtigungen oft ein Mittel der Wahl sind, sollte mensch darin ggf. enthaltene Links nur nach genauer Überprüfung aufrufen.

Darum:

Augen auf!
Ein Link auf eine infizierte Webseite in einer SMS oder E-Mail ist schnell geklickt.

Dabei kann sich ein Trojaner einnisten, der nicht nur abhören, sondern auch Bankgeschäfte tätigen oder Erpressungszahlungen fordern könnte.

Und leider sind viele Smartphones technisch nicht mehr sicher, da ältere Modelle keine Updates mehr erhalten (wir sprechen hier teilweise von ein Jahr alten Geräten!).

In manchen Fällen hilft dann nur ein Zurücksetzen auf die Werkseinstellungen…

Weitere Informationen

 

 

 

3G-Regeln für Beschäftigte (der TU Berlin)

Mit dem Inkrafttreten des

„Gesetz(es) zur Änderung des Infektionsschutzgesetzes und weiterer Gesetze anlässlich der Aufhebung der Feststellung der epidemischen Lage von nationaler Tragweite“

zum 24.11.2021 ist der § 28b neu ins Infektionsschutzgesetz eingefügt worden.

Danach müssen alle Arbeitgeber*innen  ab sofort sicherstellen und nachweisen, dass ausschließlich geimpfte, genesene oder getestete Beschäftigte die Arbeitsstätte betreten.

Gleichzeitig sind alle Beschäftigten verpflichtet, einen Impfnachweis, einen Genesenennachweis oder einen tagesaktuellen Testnachweis innerhalb der Arbeitsstätte mit sich zu führen, zur Kontrolle zur Verfügung zu halten oder bei ihren Arbeitgeber*innen zu hinterlegen.

„3G-Regeln für Beschäftigte (der TU Berlin)“ weiterlesen

Vor – während – nach einem Cyberangriff: Wie am besten reagieren?

Zu den Erfahrungen mit den Folgen des Cyberangriffs seit April beantwortete Mattis Neiling als Datenschutzbeauftragter Fragen in einem Panel der 4. Jahrestagung Cybersecurity am 28.10.2021. Er stellte dabei einige auch aus Sicht des Datenschutzes wichtige Punkte in den Vordergrund, die in diesem Beitrag näher ausgeführt werden:

  • Bewährt haben sich Notfallpläne, die für die beteiligten Mitarbeiter*innen klare Handlungsstrategien aufzeigen.
  • Die umgehende Konstitution eines Krisenstabs ist sinnvoll für ein geordnetes Vorgehen, das alle Belange bedenkt
  • Die Wiederinbetriebnahme der Dienste berücksichtigt die IT-forensische Analyse, erfolgt umsichtig und mit Verbesserungen der Sicherheitsarchitektur

Antworten auf einige Fragen werden im Anschluss daran dargestellt, u.a. eine Chronologie der Ereignisse in Folge des Cyberangriffs seit Ende April.

„Vor – während – nach einem Cyberangriff: Wie am besten reagieren?“ weiterlesen

Online-Whiteboards in der Lehre datenschutzgerecht nutzen

Bereits im Wintersemester 2020/21 haben wir uns zusammen mit engagierten Lehrenden und der Zentraleinrichtung Wissenschaftliche Weiterbildung und Kooperation an der TU (ZEWK) auf die Suche nach datenschutzkonformen Online-Tools begeben.

Insbesondere Whiteboard-Tools werden gern genutzt. Online-Whiteboards eignen sich zur Visualisierung von Abläufen und Zusammenhängen sowie zur Gestaltung digitaler Poster oder Präsentationen. Ein Teilen und kollaboratives Bearbeiten der Boards ist in der Regel möglich.

Die Tools können direkt im Browser aufgerufen werden, einige gibt es auch als App.

Wir haben uns drei Tools (Miro, Conceptboard und Collaboard) näher angesehen und konnten einen der Anbieter sogar motivieren, sein Tool (Collaboard) datenschutzfreundlich anzupassen.

„Online-Whiteboards in der Lehre datenschutzgerecht nutzen“ weiterlesen