Schlagwort: Best of Blog „Unter dem Radar“

Wie wirken sich Herausgabepflichten von US-Firmen auf die Nutzbarkeit von Cloud-Diensten für deutsche Behörden aus?

Der wissenschaftliche Dienst des Bundestages hat dazu ein Gutachten erarbeitet. Hochschulen sind auch Behörden, stehen also vor derselben Problematik!

Auf die Frage:

Sind personenbezogene Daten in Cloud-Diensten vor dem Zugriff durch US-Behörden geschützt?

Gibt es die salomonische Antwort:

Im Prinzip ja, zumindest aus datenschutzrechtlicher Sicht und insbesondere, sofern keine US-(Tochter-)Firmen in die Verarbeitung involviert sind. Aber selbst bei denen kommen möglicherweise keine Herausgaben vor.

Und dass es auf den Einzelfall ankommt und ob (durch den Cloud-Anbieter) geeignete Maßnahmen umgesetzt werden, die das Risiko einer Herausgabe minimieren.

„Wie wirken sich Herausgabepflichten von US-Firmen auf die Nutzbarkeit von Cloud-Diensten für deutsche Behörden aus?“ weiterlesen

Das Hinweisgeberschutzgesetz, die deutsche Umsetzung der Whistleblower-Richtlinie

Im Zusammenhang mit ihrer beruflichen Tätigkeit sind Hinweisgeber („Whistleblower“) nach dem Hinweisgeberschutzgesetz geschützt, wenn sie die Meldestellen nutzen. An Hochschulen können also Beschäftigte und Lehrbeauftragte Hinweise geben, jedoch nicht Studierende.

Vor dem Inkrafttreten des Gesetzes gab es keine rechtsicheren Kanäle, um auf Missstände in Unternehmen und Behörden aufmerksam zu machen. Die Weitergabe von vertraulichen Informationen an die Öffentlichkeit oder Presse ist allerdings weiterhin strafbar, wenn dadurch (Unternehmens-) Geheimnisse offengelegt werden. „Das Hinweisgeberschutzgesetz, die deutsche Umsetzung der Whistleblower-Richtlinie“ weiterlesen

ChatGPT kennt Dich – die neue Memory-Funktion

Wie vermutet, merkt sich OpenAI / ChatGPT nun, was man so chatted. Aus dem Chatverlauf wird ein Profil generiert und im sogenannten „Memory“ gespeichert.

Das Chatten soll sich dadurch verbessern, da ChatGPT dann einiges über die Person weiß und ständig dazulernt, z.B. was die Interessen sind, ob mensch Kinder hat …

Damit bietet chatGPT eine neue Angriffsfläche: Wer Zugriff auf das Profil bekommt, weiß einiges über die Person und kann das gezielt ausnutzen. Zunächst OpenAI und vermutlich auch Microsoft, aber künftig vielleicht auch Partner, die passgenauen Content liefern, wie mensch es von den Social Media Plattformen kennt. Und Kriminelle dürften auch ein Interesse haben, denn Identitätsdiebstahl wird mit einem gehackten Profil leichter.

Im Default ist der „Memory“ aktiviert und wird auch zum Training des LLM genutzt – immerhin kann beides in den Tiefen der Einstellungen deaktiviert werden (aber eben nur als Opt-Out). Auch wenn es mühsamer ist und der Chat vielleicht nicht so flüssig startet wie mit „Gedächtnis“ sollte jede*r die Memory-Funktion deaktivieren.

Weitere Informationen

Nachtrag vom 10. Juni 2024:

Die Memory-Funktion ist seit Ende April weltweit für ChatGPT Plus-Accounts verfügbar, allerdings bislang noch nicht in Europa und Korea.

Immerhin ist das „Gedächtnis“ transparent, d.h. Anwender können einzelne Erinnerungen löschen, wovon -sofern es aktiviert ist- auch Gebrauch gemacht werden sollte, siehe

Ein letzter Nachtrag

Die Memory-Funktion ist seit 2024/25 auch in Europa aktiviert. Auch für kostenlose Accounts mit eingeschränktem Umfang.

Bundesdatenschutzgesetz-Überarbeitung legalisiert Scoring mit einem „Lex Schufa“

Der EuGH machte mit dem „Schufa-Urteil“ deutlich, dass ein Score nur unter bestimmten Voraussetzungen zur automatischen Entscheidung genutzt werden darf und kritisierte die zu lange Speicherung von negativen Einträgen.

Nun hat sich der deutsche Gesetzgeber auf den Weg gemacht, eine Rechtsgrundlage zu erlassen und will mit dem neuen §37a BDSG (Bundesdatenschutzgesetz) eine „Lex Schufa“ schaffen, das:

Scoring legalisiert

und

automatische Entscheidungen
basierend auf einem Score erlaubt

und dafür einige Vorgaben enthält sowie Transparenzpflichten und Einspruchsmöglichkeiten auferlegt (siehe dazu den Vergleich der Wortlaute der bisherigen mit der neuen Regelung weiter unten).

Beispielsweise wären dank des neuen §37a BDSG automatische Entscheidungen zulässig über:

  • Kontoeröffnungen,
  • Kreditverträge,
  • (Vorauswahl von) Wohnungsmietinteressierten oder Stellenbewerber*innen sowie das
  • Zustandekommen von (Online-) Kaufverträgen

Es ist zu befürchten, dass die auf den ersten Blick recht kleinteilige Regelung (Entwurfstext siehe unten) weniger dem Ziel

  • „Verbraucherinnen und Verbraucher zu schützen“

dient sondern im Gegenteil

  • neue Möglichkeiten des Scorings

ermöglicht werden.

Der Entwurf des §37a sollte deshalb noch einmal auf den Prüfstand, der Versuch der detaillierten Regulierung verbietet zwar einiges explizit, lässt aber darüber hinaus viel Gestaltungsspielraum für Scorings.

Die neuen Beschränkungen könnten in den bisherigen Scoring-Paragraph §31 aufgenommen werden  (z.B. weder Anschriftendaten, besondere Kategorien personenbezogener Daten, Namen sowie Daten aus sozialen Netzwerken zu verwenden), aber automatische Entscheidungen sollten weiterhin untersagt bleiben, d.h der neue §37a sollte keinesfalls so verabschiedet werden.

„Bundesdatenschutzgesetz-Überarbeitung legalisiert Scoring mit einem „Lex Schufa““ weiterlesen

Passwörter adé? Wie sicher sind Passkeys?

Apple, Google und Microsoft führen Passkeys als Standard-Authentifizierung im Web ein. Damit werden Passwörter überflüssig und können nicht mehr gehackt werden.

Moderne Browser unterstützen sie, bald auch Webshops und Dienste wie Facebook & Co.

Hinweis v. 13.5.24:
Seit Februar hat sich einiges getan, u.a. unterstützt der Passwortmanager KeyPassXC mittlerweile Passkeys, so dass darüber eine Unabhängigkeit von Anbietern und ein Austausch über verschiedene Geräte hinweg grundsätzlich möglich ist, die vermutlich aber nur von einem Bruchteil der Anwender genutzt werden wird. Jedoch bleibt der Kritikpunkt bestehen, dass die Anbieter die Passkeys mit eigenen Tools verwalten wollen (und in ihrer Cloud speichern), eine leichtgewichtige, unabhängige und verlässliche Lösung zeichnet sich noch nicht ab.

  • Passkeys kurz erklärt und ihre Pros und Cons.

Spoiler: Es gibt keine Empfehlung zur Nutzung. Warten wir es lieber ab.

„Passwörter adé? Wie sicher sind Passkeys?“ weiterlesen

Kann ich gesammelte E-Mail-Adressen für einen Newsletter oder für Direktwerbung nutzen?

Frage:
Von unserem Bereich wurden im Rahmen von Veranstaltungen und anderen Aktivitäten E-Mail-Adressen von Interessenten erhoben, die wir jetzt für unseren neuen Newsletter verwenden wollen. Ist das datenschutzrechtlich zulässig?

Die kurze Antwort:

Nur dann, wenn eine Einwilligung für den Newsletter erteilt wurde.

Außerdem dürfen Daten nicht länger gespeichert werden als für die ursprüngliche Zweckerfüllung erforderlich ist.

Daten dürfen nicht länger als erforderlich gespeichert werden.

Sofern sie darüber hinaus gespeichert werden, ist das bereits ein Datenschutzverstoss.

Rückfrage:
Gibt es nicht eine Ausnahme für Direktwerbung?

Anwort:
Ja, aber nur in sehr engen Grenzen: Eine weitere Kontaktaufnahme ist nach §7 Absatz 3 UWG zulässig, wenn die E-Mail-Adresse im Zusammenhang mit einem Kauf oder einer Dienstleistung erhoben wurde und auf eigene ähnliche Waren oder Dienstleistungen aufmerksam gemacht werden soll. Die Verwendung für einen Newsletter geht nach üblicher Rechtssprechung darüber hinaus.

Die ausführliche Antwort:

„Kann ich gesammelte E-Mail-Adressen für einen Newsletter oder für Direktwerbung nutzen?“ weiterlesen

Schrems II – Whats next: Entwurf des neuen EU-US Data Privacy Framework

Worum es geht:

Transfers personenbezogener Daten aus der EU in die USA, die dort dem Zugriff der Sicherheitsbehörden unterliegen („Signals intelligence“, insb. der NSA).

Da viele Anwendungen von US-amerikanischen Unternehmen stammen, die Server in den USA nutzen, sind  personenbezogene Daten europäischer Bürger vor dem Zugriff möglicherweise nicht ausreichend geschützt.

Im Juli 2020 wurde vom EuGH das EU-US Privacy Shield gekippt, siehe Blogbeitrag Safe Harbour ade. Privacy Shield ade. What’s next?

Und nun?

Europäische Unternehmen und öffentliche Stellen müssen den Einsatz solcher Anwendungen seitdem aufwendiger datenschutzrechtlich absichern. Es genügt nicht mehr, dass sich ein US-Unternehmen auf den EU-US Privacy Shield  beruft.

Seitdem sind die neuen von der Europäischen Kommission erarbeiteten Standardvertragsklauseln und zusätzliche Schutzmaßnahmen geeignete Sicherheitsgarantien „Safeguards“, siehe z.B. die Orientierungshilfe der Baden-Württembergischen Datenschutzaufsicht (Oktober 2021): Was jetzt in Sachen internationaler Datentransfer?

Künftig soll der EU-US Data Privacy Framework, der den EU-US Privacy Shield in einigen Punkten erweitert, die Funktion übernehmen – nach der Executive Order des US-Präsidenten im Oktober 2022 hat die Europäische Kommission einen Angemessenheitsbeschluss als Entwurf vorbereitet, mit dem künftig Datentransfers in die USA datenschutzrechtlich abgesichert werden können:

Der europäische Datenschutzausschuss EDPB hat dazu im Februar 2023 Stellung genommen, begrüßt die vorgenommenen Verbesserungen, sieht aber noch weiteren Regelungsbedarf, u.a. für den sogenannten „bulk-upload“, bei dem große Datenmengen transferiert werden und erst im Anschluss gefiltert/selektiert wird:

Was in 2023 geschehen wird

Die Europäische Kommission nimmt die Stellungnahme des europäischen Datenschutzausschuss zur Kenntnis, das europäische Parlament kann eine Prüfung vornehmen und Anmerkungen geben und möglicherweise gibt es noch (Nach-)Verhandlungen mit der US-amerikanischen Seite. Letztlich ist ein finaler Angemessenheitsbeschluss der EU-Kommission für den EU-US Data Privacy Framework zu erwarten.

Damit könnten dann Datentransfers in die USA rechtlich abgesichert werden. Allerdings nur bis zum erwartbaren dritten Urteil des EuGH „Schrems III“ in einigen Jahren, da Max Schrems die Klage bereits ankündigte…

Nachtrag vom 13. Juli

Der Angemessenheitsbeschluss wurde nun gefällt, siehe Blogbeitrag

Datenschutz blockiert nicht – er ist unentbehrlich für die Verarbeitung personenbezogener Daten

In den Medien kocht die Kritik an Datenschützern hoch – sie seien die Verhinderer von Innovation und bremsen die Wirtschaft aus.

Ganz im Sinne der FDP, die es mit Ihrem Wahlspruch auf den Punkt brachte:

Digitalisierung first, Bedenken second

(Am Rande: Erfreulicherweise werden mittlerweile auch in der FDP wieder vermehrt Grundrechte eingefordert, beispielsweise um den Überwachungsstaat einzuhegen.)

Aktuell polemisiert Sascha Lobo im Spiegel gegen den Datenschutz, dabei geht es ihm inhaltlich insbesondere um die Unfähigkeit der deutschen (Ministerial-)Bürokratie und das Scheitern öffentlicher IT-Projekte wie dem E-Rezept.

Dafür Datenschützer verantwortlich zu machen ist jedoch weit hergeholt.

Richtig ist, dass der Schutz von Persönlichkeitsrechten oft nicht ernst genug genommen wird und Datenschutz in der langsam voranschreitenden Digitalisierung meist nicht von Anfang mitgedacht wird.

Sascha Lobo greift Thilo Weichert, den ehemaligen obersten Datenschützer Schleswig-Holsteins persönlich an und bezeichnet ihn als „Hohepriester der radikalen schleswig-holsteinischen Datenschutzschule“, die er als die Verhinderer ausgemacht haben will.

Datenschutz ist kein Supergrundrecht, es gibt immer wieder Abwägungen gegenüber anderen Grundrechten – in der Pandemie beispielsweise die physische Unversehrtheit. Jedoch sollten nicht unternehmerische Vermarktungsinteressen  oder Kontrollbedürfnisse des Staates der Maßstab sein, der mündige Bürger sollte im Zentrum stehen:

Privates soll auch privat bleiben!

Dieses sicherzustellen ist Aufgabe demokratisch verfasster Staaten. Die EU strebt einen angemessenen Schutz personenbezogener Daten an, und hat dafür 2016 einen Rechtsrahmen geschaffen, die DSGVO. Es gilt, sie mit Leben zu füllen und die Bürger vor der maßlosen Sammelwut von Unternehmen und den Überwachungsfantasien staatlicher Behörden zu schützen.

Dafür lohnt es sich zu kämpfen, das sollte auch Sascha Lobo wissen!

Aktuelle Stichworte sind:
Chatkontrolle,  Steuer-ID, angreifbare IT-Systeme dank geheimgehaltener Sicherheitslöcher, Staatstrojaner, Microtargeting, Nutzerprofile, Videoüberwachung mit biometrischen Verfahren u.v.m.

 

Hilferuf nach sicherer Software – Ursachen bekämpfen statt gegen Symptome wie Lösegeldzahlungen für Ransomware vorzugehen

Cyberangriffe mit Verschlüsselungstrojanern häufen sich in den letzten Jahren, neben privatwirtschaftlichen Unternehmen sind zunehmend öffentliche Einrichtungen wie Behörden und Universitäten betroffen. Seit dem Beginn des Ukrainekrieges sind die Cyberattacken mit Ransomware aggressiver geworden, so dass sowohl vorbeugende als auch lindernde Maßnahmen nun zwingend geboten sind und diskutiert werden – sowohl in der IT selbst als auch bei der Gesetzgebung.

Statt der Symptome sollten die Ursachen im Fokus stehen:

Heutige Software und Systeme sind sicherheitstechnisch löchrig wie ein Schweizer Käse.

Ziel sollte Sicherheit und Verlässlichkeit sein.

Jede Komponente sollte überprüfbar sein.

Ein offener Ransomletter-Brief zieht auch im universitären Umfeld seine Kreise. In diesem wird die Politik aufgefordert, Lösegeldzahlungen und Versicherungen, die diese abdecken, gesetzlich zu reglementieren, so dass die Ransomwaregangs Lösegelder nicht mehr so leicht eintreiben können und ihnen damit das Wasser abgegraben werden kann. Dass Lösegeldzahlungen nicht der richtige Weg sind, das Problem in den Begriff zu bekommen, liegt auf der Hand.

Jedoch wird sich das Ransomware-Geschäftsmodell durch ein Verbot von Lösegeldzahlungen nicht aushebeln lassen, denn:

  • einerseits werden angegriffene Unternehmen trotzdem Wege finden, Lösegeldzahlungen vorzunehmen, wenn sie dieses wollen und
  • andererseits der Schaden durch eine Zerstörung oder Weitergabe/Verkauf erbeuteter Daten an Dritte möglicherweise noch größer wäre

Insofern ist der Ansatz des offenen Briefs nicht zielführend. Im Gegenteil – wenn die Ursachen nicht beseitigt werden, wird es immer schlimmer. IT-Systeme werden von vielen Akteuren angegriffen, sowohl Geheimdienste als auch etliche -teilweise sogar staatlich beauftragte- Hacker tummeln sich darin.

Im Beitrag beschreiben wir den typischen Verlauf eines Ransomware-Angriffs und diskutieren, was Software sicherer machen könnte.

„Hilferuf nach sicherer Software – Ursachen bekämpfen statt gegen Symptome wie Lösegeldzahlungen für Ransomware vorzugehen“ weiterlesen

Kurzpapier: Einordnung der datenschutzrechtlichen Stellungnahme des behördlichen Datenschutzes

Die Stellungnahme des behördlichen Datenschutzes ist ein zentrales Element für die ordnungsgemäße Umsetzung von Verarbeitungstätigkeiten personenbezogener Daten.

Im Kurzpapier legen wir dar, welche Aufgaben den Verantwortlichen und welche dem behördlichen Datenschutz gesetzlich zugeordnet sind und wie die datenschutzrechtliche Stellungnahme einzuordnen ist.

Weitere Informationen