Home / Aktuelles & Termine / it.sec blog

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat eine Orientierungshilfe verabschiedet, in der sie die Anforderungen an die Verfahren zum Versand und zur Entgegennahme von E-Mails dargelegt hat. Diese basiert auf den Vorgaben der Art. 5 Abs. 1 lit. f, 25 und 32 Abs. 1 Datenschutzgrundverordnung (DSGVO).

 

Werden E-Mails, die personenbezogene Daten enthalten oder aus denen sich Informationen über natürliche Personen ableiten lassen, nicht verschlüsselt, besteht das Risiko, dass unbefugte Personen mitlesen. Dies stellt eine Datenschutzverletzung i.S.d. Art. 33 DSGVO dar. Um dies abzuwenden sollten solche E-Mails standardmäßig verschlüsselt werden.

 

Inanspruchnahme von E-Mail-Diensteanbietern

 

Öffentliche E-Mail-Diensteanbieter müssen zum Schutz der Vertraulichkeit und Integrität die Anforderungen der Technischen Richtlinie „Sicherer E-Mail-Transport“ des Bundesamts für Sicherheit in der Informationstechnik (BSI TR-03108-1) einhalten.

 

Bei Inanspruchnahme öffentlicher E-Mail-Diensteanbieter müssen Verantwortliche sicherstellen, dass die Diensteanbieter hinreichende Garantien für die Einhaltung der Anforderungen aus der DSGVO und insbesondere der genannten Technischen Richtlinie bieten. Dies umfasst auch die sichere Anbindung eigener Systeme und Endgeräte an die Diensteanbieter.

 

Außerdem müssen die Verantwortlichen das Risiko für die Rechte und Freiheiten der natürlichen Personen, das sich aus der Verarbeitung personenbezogener Daten ergibt, abschätzen. Entsprechend der Einordnung des Risikos als normal oder hoch, müssen ggf. zusätzliche Maßnahmen ergriffen werden.

 

Entgegennahme von personenbezogenen Daten

 

Nimmt der Verantwortliche per E-Mail gezielt personenbezogene Daten entgegen, muss er folgende Anforderungen erfüllen:

 

Bei einem normalen Risiko für die Rechte und Freiheiten der natürlichen Personen muss der Verantwortliche den sicheren Empfang der E-Mails über einen verschlüsselten Kanal sicherstellen. Der Empfangsserver muss mindestens den Aufbau von TLS-Verbindungen (direkt per SMTPS oder nach Erhalt eines STARTTLS-Befehls über SMTP) ermöglichen und darf ausschließlich die in der TR 02102-2 aufgeführten Algorithmen verwenden.

 

Bei einem hohen Risiko muss der Verantwortliche eine qualifizierte Transportverschlüsselung und den Empfang von Ende-zu-Ende verschlüsselten Nachrichten ermöglichen. Außerdem muss er bestehende (PGP- oder S/MIME-) Signaturen qualifiziert prüfen.

 

Versand von E-Mails

 

Stellt der Bruch der Vertraulichkeit beim Versand von E-Mails mit personenbezogenen Daten ein normales Risiko für die Rechte und Freiheiten der natürlichen Personen dar, muss der Verantwortliche eine obligatorische Transportverschlüsselung sicherstellen und sollte sich an der Technischen Richtlinie „Sicherer E-Mail-Transport“ des Bundesamts für Sicherheit in der Informationstechnik (BSI TR-03108-1) orientieren.

 

Bei einem hohen Risiko muss der Verantwortliche eine Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung sicherstellen. Ggf. kann auf einzelne Anforderungen verzichtet werden, dies hängt jedoch von den bestehenden Risiken, der konkreten Ausgestaltung des Übertragungsweges und kompensierenden Maßnahmen ab.

 

Ist der Verantwortliche gemäß § 203 StGB zur Geheimhaltung von Kommunikationsinhalten verpflichtet, muss zusätzlich zu den o.g. Maßnahmen zwingend eine Verschlüsselung vorgenommen werden, sodass nur diejenigen, an die die Inhalte der Nachrichten offenbart werden dürfen, eine Entschlüsselung vornehmen können.

 

Verschlüsselungs- und Signaturverfahren

 

Die folgenden Verschlüsselungs- und Signaturverfahren kommen dabei in Betracht:

 

Eine Transportverschlüsselung ist das Mindestmaß, das zur Erfüllung der gesetzlichen Anforderungen erforderlich ist. Hierdurch wird das normale Risiko, das sich aus der Verarbeitung personenbezogener Daten ergibt, bereits ausreichend gemindert.

 

Durch eine obligatorische Transportverschlüsselung soll eine unverschlüsselte Übermittlung der Nachrichten ausgeschlossen werden. Dabei sind die Anforderungen der Technischen Richtlinie „Kryptographische Verfahren: Empfehlungen und Schlüssellängen“ des Bundesamts für Sicherheit in der Informationstechnik (BSI TR-02102-2) zu erfüllen sind.

 

Durch eine qualifizierte Transportverschlüsselung wird ein ausreichender Schutz gegen aktive Angriffe von Dritten in den Netzverkehr gewährleistet.

 

Eine Ende-zu-Ende-Verschlüsselung mit den Verfahren S/MIME und OpenPGP gewährt den durchgreifendsten Schutz der Vertraulichkeit der Inhaltsdaten. Neben dem Transportweg wird auch die Zwischenspeicherung und -verarbeitung auf den an der Übermittlung beteiligten Server geschützt.

 

Eine Signatur mit dem S/MIME- oder OpenPGP-Verfahren ermöglicht einen nachhaltigen Schutz der Integrität der E-Mail-Inhalte gegen unbefugte Beeinträchtigung. Der Schutz umfasst neben dem Transportweg auch die Zwischenspeicherung und -verarbeitung auf den an der Übermittlung beteiligten Servern.

 

Fazit

 

Eine E-Mail-Verschlüsselung ist daher als technische und organisatorische Maßnahme i.S.d. Art. 32 DSGVO vorzunehmen, wobei die Verschlüsselungs- und Signaturverfahren dem entsprechenden Risiko angepasst werden müssen.

 

Falls Sie hierbei Unterstützung benötigen oder weitere Fragen haben, sprechen Sie uns gerne an.

 

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

Videokonferenzen ermöglichen im Berufsalltag nicht nur eine persönlichere Kontaktpflege als ein Telefonat. Durch die Möglichkeit den Bildschirm zu teilen, können mehrere Personen gleichzeitig und gemeinsam an einem Projekt arbeiten. Konferenzen und Schulungen, ja sogar ärztliche Untersuchungen, Parteitage und Demonstrationen werden mittlerweile per Videokonferenz durchgeführt, was nicht nur Reisezeiten und damit – kosten spart, sondern darüber hinaus auch einen Beitrag zum Umweltschutz leistet.

 

Es ist daher davon auszugehen, dass auch zukünftig Videokonferenzen vermehrt eingesetzt werden. Umso wichtiger ist es, sicherzustellen dass die Videokonferenzen auch datenschutzrechtlich einwandfrei ablaufen.

 

Voraussetzungen für sichere Videokonferenzen

 

Vorab die schlechte Nachricht: Nach Auffassung der Berliner Beauftragten für Datenschutz und Informationsfreiheit erfüllt keine der gängigen Anbieter (z.B. Microsoft Skype oder Zoom Video) sämtliche datenschutzrelevanten Rechtmäßigkeitsvoraussetzungen. Eine detaillierte Übersicht durch die Behörde in Kürze wird in Aussicht gestellt.

 

Zu achten sei indes auf folgende Punkte:

 

  • Abschluss eines Vertrags zur Auftragsverarbeitung mit dem Diensteanbieter;
    • Dies führt dazu, dass die Daten weder für eigene Zwecke des Diensteanbieter verwendet werden noch an Dritte weitergegeben werden dürfen.
    • Vermeidung des Transfers in Drittstaaten außerhalb der EU;
      • Falls ein Drittstaatentransfer nicht vermeidbar ist, weil der Anbieter (wie oftmals) in den USA ist: Sicherstellung der Rechtmäßigkeit des Transfers durch Standardvertragsklauseln, Privacy-Shield o.ä.
      • Nutzung von verschlüsselten Kanälen sowohl für die Vermittlung der Verbindungen als auch für die Übertragung von Ton- und Bilddaten;
        • Falls keine Verschlüsselung angeboten wird, nur Anbieter aus der EU/EFTA wählen
        • Berufsgeheimnisträger (Ärzte, Rechtsanwälte, Steuerberater usw.) müssen zudem beachten, dass nur solche Dienstleister eingesetzt werden, die bei einem Vertraulichkeitsbruch auch strafrechtlich belangt werden können.
          • Für medizinische Leistungserbringer gilt es darüber hinaus, Anlage 31b zum Bundesmantelvertrag-Ärzte zu beachten, wonach der Videodienstanbieter den schriftlichen Nachweis führen muss, dass er die entsprechenden Vorgaben einhält.

 

Risikoabwägung

 

Anders als bei Telefonaten ist der Betreiber eines Videokonferenzsystems nicht durch das Fernmeldegeheimnis verpflichtet. Theoretisch ist damit denkbar, dass sowohl der Dienstebetreiber als auch sonstige unbefugte Dritte sich in die Konferenz mit einwählen, Aufzeichnungen erstellen oder gar Inhalte manipulieren. Selbst wenn Sie den Diensteanbieter vertraglich verpflichten hiervon abzusehen, wird es in der Regel schwer sein, einen solchen Anspruch außerhalb der EU auch durchzusetzen. Zudem behalten sich manche Anbieter vor, Persönlichkeits- und Nutzungsprofile der Gesprächsteilnehmer zu erstellen und auszuwerten ggfs. auch an Dritte zu verkaufen.

 

Es empfiehlt sich daher, auf größere, bekannte Anbieter auszuweichen, die bei Missbrauch zumindest einen Ruf zu verlieren haben. Außerdem müssen Sie abwägen, welche Inhalte in der Videokonferenz abgesprochen werden und wie groß der Schaden wäre, wenn ein unbefugter Dritter Kenntnis über diese Inhalte hätte.

 

Risiko identifizieren und minimieren

 

Zur Minimierung des Risikos empfiehlt es sich einerseits, die Anbieter Ihres Videodienstes und auch das „Kleingedruckte“ im Vertrag genau zu überprüfen und damit Risiken zu identifizieren. Andererseits können Sie auch durch sogenannte organisatorische Maßnahmen dafür sorgen, dass die Risiken überschaubar bleiben, etwa indem Sie eine Richtlinie für die Durchführung von Videokonferenzen erstellen. In einer solchen Richtlinie können Sie festlegen, welche Themen im Rahmen von Videokonferenzen vermeidbar sind. Oftmals lassen sich Themen auch per einfacher Telefonkonferenz über das reguläre Festnetz klären, wo die Vertraulichkeit der Kommunikationsinhalte über das Fernmeldegeheimnis gewahrt bleiben.

 

Fazit und Ausblick

 

Am sichersten ist es, wenn Sie Ihre Videokonferenzlösung selbst betreiben. Sofern Sie dies für Sie nicht mit angemessenem Aufwand und angemessenen Kosten zu realisieren ist, versuchen Sie einen seriösen Anbieter möglichst innerhalb der EU zu finden. Erstellen Sie eine Richtlinie zur Durchführung von Videokonferenzen und benennen Sie Themen, die in derartigen Konferenzen nicht erörtert werden dürfen.

 

Falls Sie Fragen dazu haben melden Sie sich gerne bei uns, damit wir Sie unterstützen können.

 

i.A. des Datenschutzbeauftragten

 

C. Lürmann

 

Rechtsanwältin

 

Consultant für Datenschutz

Corona macht auch vor dem Datenschutz nicht halt. Die jetzt notwendigen Maßnahmen verlangen Unternehmen und ihren Mitarbeitern einiges ab. Umso besser, wenn datenschutzrechtliche Bestimmungen frühzeitig in die Überlegungen einbezogen werden, um betroffene Personen nicht noch stärker zu belasten.

 

Wir haben nachfolgend die wichtigsten Themen für Sie zusammengefasst:

 

Rundmail vom Mutterkonzern

 

Es gibt vermehrt Konzerne, die eine Richtlinie mit Verhaltensregeln herausgeben, um die Gefahr der Ansteckung mit dem Coronavirus innerhalb der Belegschaft einzudämmen (z.B. Verbot des Händeschüttelns). Hier müssen ggf. mitbestimmungsrechtliche Vorgaben beachtet und der Betriebsrat vorab eingebunden werden. Die Erhebung der betrieblichen E-Mail-Adressen aller aktiven Mitarbeiter konzernweit zum Versand der Rundmail, um über die Konzernrichtlinie zu informieren, kann auf ein berechtigtes Interesse gestützt werden, da es internen Verwaltungszwecken dient. Sehen Betriebsvereinbarungen Einschränkungen vor bei der konzernweiten Adressverarbeitung, müssen diese beachtet werden. Die konzernweite Adressverarbeitung sollte auch bereits in den Intercompany-Vertrag aufgenommen worden sein. Vor Versand der Rundmail müssen die E-Mail-Adressen ins „BCC“-Feld eingetragen werden. Ein offener E-Mail-Verteiler stellt ggf. eine unbefugte Datenverarbeitung dar.

 

 

Frage des Arbeitgebers nach der letzten Urlaubsreise

 

So ist eine in Zusammenhang mit dem Coronavirus erfolgte Umfrage bei Mitarbeitern nach der letzten Urlaubsreise nach Art. 9 DSGVO, §§ 26 Abs. 3, 22 Abs. 1 Nr. 1 lit. b) BDSG abgedeckt. Im Sinne des Verhältnismäßigkeitsgrundsatzes gilt jedoch: Die Frage des Arbeitgebers muss sich darauf beschränken, ob der Mitarbeiter sich in einem Risikogebiet aufgehalten hat. Die Erhebung des genauen Urlaubsortes ist nicht zulässig. Um Missverständnissen vorzubeugen, sollte der Arbeitgeber die aktuellen Risikogebiete aufzählen.

 

Abklärung von Risikogruppen

 

Der Arbeitgeber darf ebenso abklären, ob einzelne Beschäftigte zu einer Risikogruppe[1] gehören. Zweck muss dabei sein, diese bereits im besonderen Maße vor der Gefahr einer Ansteckung zu schützen, bspw. in dem sie von Schulungen, Seminaren, Messen oder sonstigen Veranstaltungen befreit werden oder die Erlaubnis für einen Home-Office-Arbeitsplatz erhalten.

 

Umgang mit Verdachtsfällen

 

Aufgrund seiner arbeitsvertraglichen Nebenpflichten hat der Mitarbeiter eine Informationspflicht, wenn eine Ansteckungsgefahr mit dem Coronavirus besteht, bspw. weil er selbst positiv auf das Virus getestet wurde oder möglicherweise infiziert ist, weil er in den letzten 14 Tagen unmittelbaren Kontakt hatte mit einer infizierten Person. Der Arbeitgeber muss aufgrund seiner Fürsorgepflicht die übrigen Beschäftigten informieren, wenn diese einer Ansteckungsgefahr durch einen Kollegen ausgesetzt waren. Eine Übermittlung der Namensangaben oder sonstiger Angaben, die den (möglicherweise) infizierten Kollegen identifizieren, ist in der Regel jedoch nicht zulässig.

 

Notfallkontakte für Warnungen / Schließungen / Quarantäne-Maßnahmen etc.

 

Grundsätzlich ist die Preisgabe der privaten Telefonnummern ein erheblicher Eingriff in die Persönlichkeitsrechte der Mitarbeiter. Für Notfälle wie die jetzige Pandemie mit dem Coronavirus ist die Erhebung von Notfallkontaktdaten wie privaten Telefonnummern ausnahmsweise nach Art. 6 Abs. 1 lit. f) DSGVO zulässig, seitens des Mitarbeiters jedoch freiwillig und widerrufbar. Der Arbeitgeber darf die Daten ausschließlich verwenden, um die Mitarbeiter kurzfristig über die aktuellen internen Maßnahmen zur Eindämmung der Pandemie (z.B. Standortschließungen) zu informieren oder vor einer Ansteckungsgefahr zu waren.

 

Home-Office

 

Als Präventionsmaßnahme sowie wegen der vorläufigen Schließung von Kitas und Schulen, weichen Mitarbeiter nun vermehrt auf Home-Office-Arbeitsplätze aus.

 

Sofern in Privatwohnungen personenbezogene Daten, für die der Arbeitgeber verantwortlich ist, verarbeitet werden, muss der Arbeitgeber dafür Sorge tragen, dass die Sicherheit der Daten an diesen Verarbeitungsstandorten ebenso gewährleistet ist. Der Arbeitgeber sollte daher frühzeitig entsprechende Arbeitsmittel bereitstellen (festplattenverschlüsselte Notebooks, sichere VPN-Verbindung, Sichtschutzfolien etc.) und Mitarbeitern konkrete Vorgaben machen zum vertraulichen Umgang mit Daten im Home-Office.

 

Die Liste an Maßnahmen, sowohl für den Arbeitgeber als auch den Arbeitnehmer, ist sehr umfassend, kommen Sie bei Fragen dazu bitte direkt auf uns zu!

 

Gerne unterstützen und beraten wir Sie auch kurzfristig zu weiteren Themen wie z.B.

 

  • Zugriffsrechte, Speicherdauer und Informationspflichten
  • Umgang mit Besucherdaten
  • Übermittlung von Betroffenendaten an Öffentliche Stellen

 

Unsere Kontaktdaten für Ihre Datenschutz-Fragen:

 

Dr. Bettina Kraft

 

Tel. +49 731 20589-0

 

datenschutz@it-sec.de

 

 

Bleiben Sie gesund!

 

Ihre it.sec GmbH

 

 

[1]https://www.rki.de/DE/Content/InfAZ/N/Neuartiges_Coronavirus/Steckbrief.html#doc13776792bodyText2

Wenn Unternehmen bei uns Penetrationstests beauftragen, kommt es vor, dass Web-Applikation-Firewalls (WAF) oder Intrusion-Prevention-Systeme (IPS) vorhanden sind, welche die eigentlichen Zielsysteme zusätzlich schützen. Diese Systeme greifen in den Datenstrom ein, versuchen Angriffe zu erkennen und blocken diese im Idealfall gleich ab, sodass die geschützten Systeme davon gar nichts mitbekommen. Oft haben wir Diskussionen darüber, ob diese Systeme für unsere Tests (zumindest für unsere Quell-IP-Bereiche) ausgeschaltet werden sollen oder nicht. Wir legen unseren Kunden im Normalfall nahe, die Systeme auszuschalten – warum, soll hier kurz beschrieben werden.

IDS und WAF Systeme aus Sicht des Sicherheitsmanagements

Intrusion Prevention Systeme (IPS) oder WAFs (Web-Applikation-Firewalls) werden i.d.R. (!) auf neudeutsch als „second line of defense“ oder „mitigierende Maßnahme“ betrachtet. Das bedeutet, dass sie unterstützend wirken, Risiken mindern, nicht aber die eigentliche Sicherheitsmaßnahme sind.

Bei „normalen“ IT-Systemen oder Web-Anwendungen gilt nach wie vor, dass diese dem „Stand der Technik“ entsprechend programmiert, gewartet und betrieben werden sollen. Dies umfasst beispielsweise eine sichere Programmierung, ein funktionierendes Patch- und Vulnerability Management (um bekannte Sicherheitslücken zu beseitigen), welches dazu führt, dass ausnutzbare Sicherheitslücken zeitnah beseitig werden und dadurch keine vermeidbaren Schwachstellen mehr vorliegen. Ein Penetrationstest dienst als sogenannte Wirksamkeitskontrolle. IPS und WAF Systeme sollten nicht dafür eingesetzt werden die Programmierfehler in der Web-Anwendung zu kaschieren oder sich den sicheren Betrieb von Serversystemen einzusparen.

IPS und WAF mindern also das Risiko, welches entsteht, wenn man Patches und Updates nicht zeitnah einspielen kann, Fehler bei der Wartung passieren, Sicherheitslücken übersehen wurden, irreparabel sind - oder neu eingebaut und noch nicht durch einen Penetrationstest aufgedeckt wurden. Diese Systeme funktionieren aber nur in engen Grenzen, auch daher stellen sie i.d.R. einen ZUSATZ-SCHUTZ dar, das Auffangnetz, wenn man so will.

Also an oder aus?

Für Penetrationstests schaltet man diese Systeme in aller Regel aus, um die Sicherheit der eigentlichen Systeme oder Anwendungen zu prüfen. Das ist ein wenig wie bei der Autoinspektion: nur weil der Airbag funktioniert, kann man nicht auf die Prüfung der Bremsen verzichten. Außerdem ist es schon deswegen notwendig die eigentlichen Sicherheitslücken zu kennen, weil IPS und insbesondere WAFs erst gut funktionieren können, wenn man sie konkret darauf adjustiert. Auch aus Compliance-Sicht ist dies üblicherweise das richtige Vorgehen.

Ausnahmen?

Ausnahmen sind gegeben, wenn man tatsächlich explizit die Funktion der IPS oder WAF testen will. Dies kann dann der Fall sein, wenn die eigentlichen Systeme schon geprüft wurden und man nun wissen möchte, ob der Zusatzschutz auch funktioniert. Oder aber – typischerweise – wenn die eigentlichen Zielsysteme sich einem normalen Sicherheitsmanagement entziehen, weil es sich z.B. um Embedded Devices, ICS oder Legacy Systeme handelt, die nicht gepatcht werden können aber Sicherheitslücken haben. Hier kann man in Ermangelung von Alternativen ein IPS oder eine WAF als erste Verteidigungslinie einsetzen.

Entscheidet man sich gegen eine Abschaltung, muss man bedenken, dass zeitlicher Mehraufwand beim Testen entsteht, da man nicht nur die eigentlichen Sicherheitslücken finden muss, sondern auch noch Wege die Schutzsysteme auszutricksen. Hierzu ist deutlich mehr Zeit erforderlich, oder die Ergebnisqualität leidet.

Daher ist es wichtig die Umstände, bzw. Zielsetzung des Tests vorab mit it.sec abzusprechen, damit Sie auch das bekommen, was Sie brauchen.

Holger Heimann

Geschäftsführer

„Ransomware“ sollte auch durch die mediale Verbreitung niemandem mehr ein Fremdwort sein. Kurz erklärt ist Ransomware ein Schadprogramm, das eine kritische Lücke im System ausnutzt, um bspw. alle greifbaren Daten (lokal auf dem Rechner, aber auch auf Netzwerkfreigaben) zu verschlüsseln, die dann - laut Angreifer - nur gegen Bezahlung (vorwiegend in Bitcoins) wieder entschlüsselt werden. Dass Ransomware also keine leichtzunehmende Bedrohung ist, hat sich spätestens seit WannaCry & Co. gezeigt. Allein davon waren weltweit über 300.000 Geräte infiziert und der Schaden wird auf ca. 4 Milliarden US-Dollar geschätzt. Bei solch einem immensen Schaden blieben selbst deutsche Unternehmen nicht verschont. So war u.a. die Deutsche Bahn von der Ransomware betroffen. Damit wäre nun auch im globalen Maße bewiesen, dass ein Zusammenbrechen von realer Infrastruktur durch Software nicht mehr nur die Fantasie eines Hollywood-Films ist.

Ein weiteres erschreckendes Beispiel ist, dass eine Variante namens "SamSam", u.a. die komplette IT eines ganzen Krankenhauses in den USA lahm legte. Hier forderten die Angreifer 4 Bitcoins (zu dem damaligen Zeitpunkt umgerechnet ca. 55.000 US-Dollar). Das Krankenhaus war anfangs gegen eine Bezahlung und musste daher auf Papier und Stift umsteigen, entschied sich aber nach zwei Tagen das Lösegeld zu bezahlen. In diesem Fall kam der Erpresser seinem Versprechen nach und entschlüsselte die Dateien.

Doch ist dies immer der Fall? Leider nein!
Des Öfteren werden die Daten so verschlüsselt, dass ein Entschlüsseln nicht mehr möglich ist und auch gar nicht erst von den Angreifern eingeplant wird. Unzählige Opfer verfügen darüber nicht genügend Kenntnisse und wissen sich oft nicht anders zu helfen und greifen somit zur Geldbörse. Wie der "Telstra Security Report" zeigt, konnten in ca. 80 % der Vorfälle die Daten entschlüsselt werden.

Der Report enthält aber auch das erschreckende Ergebnis einer Umfrage, dass vier von fünf Ransomware-Opfer bei einer erneuten erfolgreichen Attacke den Erpresserbetrag wieder bezahlen würden, sofern keine Backups vorhanden sind. Das Signalwort hierbei ist "erneut". Bedeutet dies nun, dass diejenigen, die bereits einmal Opfer einer Ransomware-Attacke wurden, sich kaum bis keine Gedanken über die Sicherheit ihrer Daten machen und wie die Daten gegen Angriffe von außen besser geschützt werden können?!? Unserer Erfahrung nach leider ja!

Ob nun von Hand oder mittels Software, tägliche Backups von kritischen Daten sollten heutzutage zum Standard gehören. Dabei ist es wichtig mit Blick auf Ransomware, dass mindestens ein Backup-Medium offline ist, d.h. abgekoppelt von allen Verbindungen, z.B. eine externe und manuell abschaltbare Festplatte.

Neben dem Backup der Daten, empfiehlt es sich auch jegliche eingesetzte Software auf dem neuesten Stand zu halten, um sich gegen Ransomware zu schützen. Auch sollte das Bewusstsein der Mitarbeiter oder von Freunden und Verwandten geschult werden und lieber zweimal überlegt werden, bevor man Links oder Anhänge in E-Mails anklickt oder öffnet. Dadurch wird das Risiko eines erfolgreichen Ransomware-Angriffs deutlich verringert. Der damit einhergehende Imageverlust bei Unternehmen fällt weg und es spart eine Menge Geld (und Nerven).

Bitte bedenken Sie auch, dass jede Lösegeldzahlung das Geschäftsmodell Ransomware weiter fördert.

Christian Stehle Junior IT Security Consultant und
Christopher Schöndube Senior IT Security Consultant

Am 15.05.2018 hat ein Forscherteam ein Paper veröffentlicht, in dem verschiedene Angriffsszenarien auf verschlüsselte E-Mails beschrieben werden. [1]

Die grundsätzliche Idee ist, das Verhalten von E-Mailprogrammen bzw. das Verhalten beim Darstellen von E-Mails dahingehend zu beeinflussen, dass Daten, nach dem regulären Entschlüsseln einer E-Mail, über einen "Backchannel" (geheimer, verdeckter Rückkanal) an den Angreifer zurückgeleitet werden.

Möglicher Angriffsablauf:

  1. Ausgangssituation: Ein Angreifer (Mallory) ist im Besitz einer verschlüsselten Nachricht (A) von Alice (z.B. durch Kompromittierung des E-Mail Servers, oder durch Zugriff auf ihr E-Mail-Postfach).
  2. Mallory erzeugt eine neue manipulierte E-Mail (B), die die verschlüsselte Nachricht (A) enthält.
  3. Der Angreifer versendet die manipulierte E-Mail (B) an Alice. Dabei wird die E-Mail mit dem Public Key von Alice erneut verschlüsselt.
  4. Alice öffnet die E-Mail und kann, da sie im Besitz des privaten Schlüssels ist, die E-Mail entschlüsseln. Je nachdem wie ihr E-Mail Client konfiguriert ist, kann nun die ursprüngliche Nachricht (A) durch ausnutzen von Schwachstellen abgegriffen werden, wenn
    1. das E-Mailprogramm HTML auswertet,
    2. automatisch Ressourcen (Bilder, Stylesheets, ...) nachgeladen werden, oder
    3. der Client von Bob die Webseite des Angreifers erreichen kann.

Gegenmaßnahmen

Um solche Angriffe zu verhindern sollten folgende Gegenmaßnahmen umgesetzt werden:

  • Der E-Mail Client sollte so konfiguriert werden, dass externe Ressourcen (Bilder, Stylesheets, Schriftarten, ...) nicht automatisch geladen werden. Dies ist auch generell aus Datenschutzgesichtspunkten zu empfehlen.
  • Der Einsatz von HTML E-Mails beim Einsatz von Verschlüsselung sollte vermieden / blockiert werden.
  • Das automatische Entschlüsseln von Nachrichten sollte deaktiviert werden.
  • E-Mail Clients sollten aktuell gehalten werden.
  • E-Mail Plugins für den Einsatz von Verschlüsselung sollten aktuell gehalten werden.

Fazit:

Handelt es sich bei EFAIL um das Ende von S/MIME und PGP? Definitiv nicht, auch wenn bei S/MIME und PGP leider noch kein ausreichender Integritätsschutz implementiert ist.

Die von den Forschern dargestellten Angriffsszenarien sind größtenteils sehr aufwendig, oder leicht zu verhindern, so dass wenn die entsprechenden Gegenmaßnahmen umgesetzt sind, das Risiko auf ein akzeptables Niveau reduziert werden kann. Wer das Risiko noch weiter verringern möchte, kann das Entschlüsseln von E-Mails außerhalb des E-Mailprogramms durchführen.

[1] https://efail.de/efail-attack-paper.pdf

Anfang Januar 2018 wurden drei erhebliche Schwachstellen in den meisten modernen Prozessoren veröffentlicht. Diese wurden von drei unterschiedlichen Forscherteams entdeckt (Google Project Zero, Cyberus Technology, Graz University of Technology) und sind unter den zwei Namen

  • Meltdown (CVE-2017-5754 Rogue Data Cache Load) und
  • Spectre (CVE-2017-5715 - Branch Target Injection und CVE-2017-5753 - Bounds Check Bypass)

bekannt geworden. Sie betreffen nicht nur Desktop- und Serverrechner, sondern auch Mobilgeräte. [1] [2]

Diese Schwachstellen ermöglichen es einem Angreifer potenziell den gesamten Arbeitsspeicher eines Systems auszulesen - inklusive beispielsweise Passwörtern, Krypto-Schlüsseln oder persönlichen und vertraulichen Daten.

Bei den drei Sicherheitslücken handelt es sich um Designprobleme in den Prozessoren. Daher sind sie praktisch für alle Betriebssysteme (Windows, MacOS, Linux, AIX, Android, iOS, etc.) relevant. Meltdown kann zwar durch Softwarepatches vollständig behoben werden, Spectre jedoch – zumindest mit Stand heute – nicht. Ein vollständiger Schutz vor Spectre ist durch die jetzigen Patches nicht gegeben, der Angriff wird nur erschwert, bzw. die Erfolgsquote reduziert.

Wording in Veröffentlichungen

Man liest sehr oft, dass durch aktuelle Patches ein Spectre-Angriff erschwert würde. Diese Aussage ist zwar richtig, man muss sie aber richtig lesen. Leider bleibt dann nicht mehr viel an Sicherheit davon übrig:

Ein einzelner Angriff zielt darauf ab, einen Datenblock aus dem CPU-Speicher auszulesen, der einem nicht gehört. Das dauert vielleicht einige Millisekunden. Der Erfolg eines einzelnen Angriffs ist nicht garantiert, man kann es aber immer wieder probieren, irgendwann klappt es.

Nach dem Patch sinkt die Chance, dass es klappt, was aber leider nicht mehr heisst, als dass ein Angreifer es halt ein paar mal mehr versuchen muss, bis es klappt.

Die Folge ist nur, dass man es nur schwer schaffen wird sich in kurzer Zeit (Sekunden oder Minuten) ein zusammenhängendes, vollständiges und zeitlich integres Speicherabbild des Hosts zusammenzubauen. In längerer Zeit bekommt man aber trotzdem alle möglichen Speicherfragmente zu sehen - und das kann reichen. Es ist ein wenig wie Fliegen fangen. Es ist schwer, aber irgendwann kriegt man sie schon.

Zur Darstellung der möglichen Auswirkungen haben wir verschiedene Szenarien unterschieden:

- Einzelplatz-PC bzw. Smartphones

Mit Hilfe einer der Schwachstellen kann ein Angreifer Zugriff auf Daten erhalten, auf die er sonst keinen Zugriff hätte. Hierzu muss er Code auf dem System ausführen dürfen ohne besondere Rechte dafür haben zu müssen, was im Grunde überall, z.B. durch JavaScript, oder durch eine präparierte App auf einem Smartphone, möglich ist. Dabei können Datenfragmente auch aus Speicherbereichen anderer Prozesse oder virtueller Maschinen ausgelesen werden und zu einem Gesamtbild zusammengesetzt werden. Aber auch schon einzelne Speicherfragmente können Informationen wie Passwörter, Verschlüsselungs-Keys, E-Mails oder dergleichen enthalten.

- Client-Server Architektur

Mit Hilfe von Meltdown & Spectre können nur Daten aus dem Speicher des physischen Servers ausgelesen werden, auf dem der Angriffscode ausgeführt wird. Somit besteht bei physisch dedizierten Systemen keine direkte Gefahr für Angriffe vom Client aus, solange kein Code vom Client aus auf dem Server ausgeführt werden kann. Dies ist zumindest bei Fileserver Anwendungen i.d.R. nicht der Fall. Anders sieht es aus, wenn man RDP oder Citrix (oder ssh oder anderen interaktiven) Zugriff auf einen Rechner hat.

- Virtualisierte Systeme

Bei virtualisierten Systemen muss zwischen voll-virtualisierten Systemen (z.B. VMware, Hyper-V) und para-virtualisierten (bei der Para-Virtualisierung steht dem Gastsystem lediglich ein API-Zugriff auf die Host-Hardware zur Verfügung, z.B. Xen) bzw. Betriebssystemvirtualisierung (hierbei teilen sich das Gastsystem und das Hostsystem den Kernel, z.B. Docker, Linux Container LXC) unterschieden werden.

Para-Virtualisierung und Betriebssytemvirtualisierung können sowohl durch Meltdown als auch durch Spectre angegriffen werden. Hierbei kann u.U. der gesamte Arbeitsspeicher des Hosts ausgelesen werden - und damit auch der aller virtuellen Maschinen.

Voll-virtualisierte Systeme sind für Meltdown nur dahingehend verwundbar, dass innerhalb eines virtuellen Systems Daten ausgelesen werden können, innerhalb von diesem aber wiederum aus dem gesamten dieser virtuellen Maschine zugeordneten Speicher - also auch der anderer Prozesse und Benutzer oder des Kernels.

Spectre kann theoretisch auch hier die Grenzen zwischen den virtuellen Systemen überwinden und von anderen Systemen und dem Host Daten auslesen. Google hat nach eigenen Angaben in einem PoC bereits gezeigt, dass bei einer virtuellen Maschine Daten aus dem Kernelspeicher des Hosts ausgelesen werden konnten. [2]

- Cloud

Für Cloud Anbieter, welche (Para-)Virtualisierung nutzen, gelten die gleichen Aussagen von oben für virtualisierte Systeme. Allerdings ist der Impact möglicherweise noch größer als innerhalb einer Institution: es können unter Umständen Daten von anderen Kunden ausgelesen werden. Wirklich wirksame Gegenmaßnahmen gibt es derzeit nicht.

Diesen Aspekt darf man sich getrost auf der Zunge zergehen lassen und das erste Aha-Erlebnis noch ein wenig mit Risiko- und Compliance-Aspekten nachwürzen.

Komplexität eines Angriffs

Die Schwachstellen können ausgenutzt werden, wenn ein Angreifer irgendwelchen Code auf einem System ausführen kann, ohne besondere Rechte. Dies ist aber immer der Fall (er benutzt ja Programme) und kann z.B. auch schon über den vorhandenen Webbrowser geschehen, z.B. durch JavaScript. Bei Meltdown sind nicht einmal genaue Kenntnisse des angegriffenen Prozesses notwendig, bei Spectre hingegen sind tiefgründige Kenntnisse über den eingesetzten Prozessor, dessen Branch Prediction Unit, sowie den anzugreifenden Prozess notwendig. Dieses Wissen ist derzeit nicht öffentlich verfügbar. Die vorgestellten Proof-of-Concepts wurden bisher nur unter Laborbedingungen durchgeführt. Aber eben nur "bisher".

Bis heute sind offenbar keine Exploits (Ausnutzen der Schwachstellen von einem Angreifer) in Umlauf. Da der Angriff jedoch keine Spuren hinterlässt, kann nicht mit Sicherheit gesagt werden, dass keine Angriffe stattfanden. Insbesondere durch das Bekanntwerden des Angriffs ist mit Sicherheit davon auszugehen, dass früher oder später neue Exploits entwickelt und verbreitet werden.

Das Szenario, dass nach und nach immer bessere Angriffswerkzeuge („Exploits“) öffentlich verfügbar sein werden und der Werkstudent oder die Sekretärin in ihrer Citrix-Sitzung den Serverspeicher des Virtualisierungs-Hosts per Skript in einer E-Mail auslesen können, ist nicht so sehr weit hergeholt. Aber auch Remote Angriffe per Web-Seite sind möglich.

Antivirus

Virenscanner werden vermutlich nur eingeschränkt - wenn überhaupt - in der Lage sein, Angriffe zu erkennen, da diese weitgehend dem normalen Verhalten von Programmen entsprechen. Klar es wird Heuristiken geben, aber auch klar, die kann man austricksen.

Datenschutzaspekte

Wie weit kann virtuellen oder Multiuser-Systemen überhaupt noch vertraut werden und wie teuer kann es unter der DSGVO werden, wenn man sich nicht ernsthaft mit der Lösung beschäftigt hat? Man kann die Situation durchaus so bewerten, dass ohne weitere Maßnahmen, die über bloßes Patchen hinausgehen, die Sicherheit der Datenverarbeitung nach Art. 32 DSGVO nicht mehr überall gewährleistet ist. Über den Art. 83 DSGVO kann man dann erahnen, wie teuer es werden könnte (nämlich bis zu theoretischen 10Mio. € oder 2% des weltweiten Vorjahresgesamtumsatzes des Unternehmens).

Andererseits wird kein Datenschutzbeauftragter seinen Mandanten raten können, die Datenverarbeitung vorübergehend auszusetzen, bis man alles umgebaut und die Daten nach Hardware sortiert getrennt verarbeiten kann.

Wir werden diese Frage der Einschätzung daher an die Aufsichtsbehörden für den Datenschutz richten und weiter berichten!

Fazit

Durch die Bemühungen der verschiedenen Soft- und Hardwarehersteller wurde in der Vergangenheit die Sicherheit stetig verbessert. Nun zeigen Meltdown und Spectre, dass sich die Risikolage von jetzt auf gleich ändern kann.

Meltdown und Spectre zeigen sehr grundlegende Schwachstellen auf, die auf Hardwaredesignproblemen beruhen. Wodurch, zumindest bei Spectre, das Patchen deutlich erschwert, wenn nicht gar unmöglich wird. Somit ist die eigentliche Herausforderung, das Risiko entsprechend (neu) zu bewerten und wie in einem Unternehmen alternative, kompensatorische Maßnahmen umgesetzt werden können. Spectre-Patches können u.E. derzeit nicht als wirksam angesehen werden.

Die Auswirkungen sind im Grunde so gewaltig, dass man gerne dazu tendiert sie nicht wahrhaben zu wollen. Bringt aber nix.

Aktuelle Empfehlungen

  • Die Schwachstellen sind im Rahmen des regulären Schwachstellen Managements zu bewerten und zu behandeln, also im Rahmen des jeweiligen Verfahrensrisikos. Wichtig: Rosa Brille weg und Risiken realistisch einschätzen! Wie Sie handeln bleibt immer noch Ihnen überlassen, aber machen Sie sich nichts vor!
  • Nach erfolgreichem Test sollten die vorhandenen Patches (Betriebssystem und Mikrocontroller) ausgerollt werden. Tests sind wichtig, da die Hersteller in der Eile auch schon nicht-funktionale Patches verteilt haben.
  • Im Rahmen des Risikomanagementprozesses sollten die Schwachstellen bzw. Patches zumindest für absehbare Zeit, in kurzen Abständen, etwa wöchentlich, neu bewertet werden.
  • Aktuell hilft wohl nur die hardwarebasierte Trennung von wirklich relevanten Daten. Wer bisher Medizindaten und die Parkplatzverwaltung auf derselben Hardware hatte, sollte umdenken!
  • Vendor Management: fordern Sie von Ihrem Cloud Anbieter Aussagen ein, wie er gedenkt Ihre Daten vor anderen zu schützen! Hier wird es auch rechtlich spannend, denn was er tun muss und was nicht, und was dann davon ihr Problem bleibt oder seins, das hängt von Ihrem Vertrag ab.
  • Wenn Sie personenbezogene oder hochsensible Daten bearbeiten, empfehlen wir einen noch strengeren Blick. Noch gibt es keine aufsichtsbehördliche Stellungnahme wie mit einer Situation umzugehen ist, in die man durchaus interpretieren kann, dass viele Verfahren auf absehbare Zeit nicht weiter betrieben werden dürften. Unter der Strafandrohung des BDSG war das nicht weiter schlimm. Die DSGVO wartet da mit ganz anderen Geschützen auf.

Autoren: Florian Franke, Holger Heimann, Christian Stehle

[1] https://meltdownattack.com/

[2] https://googleprojectzero.blogspot.de/2018/01/reading-privileged-memory-with-side.html

20 Mitarbeiter 50 Millionen A1 Digital Abbinder Abmahnung Abmahnungen Abo-Falle Abstandsmessung Abstandsüberwachung Abstimmung Abwehr terroristischer Straftaten ADCERT Adressbuch AfD Airbnb Amnesty Anbieter Angemessenheitsbeschluss Angemessenheitsentscheid Angreifer Angriff Anklage Anonymisierung Ansteckungsgefahr Anwendbarkeit Anwendung Anwesenheit AOK Apple Applikationen AppLocker Arbeitgeber Arbeitnehmer Arbeitsabläufe Arbeitsgericht Arbeitsmittel Arbeitsrecht Arbeitsunfähigkeitsbescheinigung Arbeitszeit Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 37 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Attacken Auchfsichtsbehörde Audit Aufsichtsbehörde Aufsichtsbehörden Auftragsverarbeiter Auftragsverarbeitung Aufzeichnung Auskunftei Auskunftsansprüche Auskunftsrecht Auskunftsverlangen auslisten Ausnutzung Ausspähen Austritt Austrittsabkommen Auswertung Authentizität Automatisierte Einzelentscheidung Autsch Avast Backup Baden-Württemberg BAG BayDSG Bayerisches Datenschutzgesetz BDSG BDSG-Neu Beamte BEAST Bedrohung Beekeeper Begrifflichkeiten Beherbergungsstätten BEM Benachrichtigungspflicht Benutzerauthentifizierung Berechtigungen Berufsgeheimnis Beschäftigtendatenschutz Beschäftigtenumfragen Beschluss Beschlussfassung Beschwerde besondere Kategorien personenbezogener Daten Besucherdaten betriebliche Eingliederungsmanagement betriebliche Nutzung betrieblicher E-Mail-Account betrieblicher Internetzugang Betriebsrat Betriebsratssitzung Betriebsvereinbarung Betriebsverfassungsgesetz Betriebsversammlungen betroffene Personen Betroffenenanfragen Betroffenendaten Betroffenenrechte BetrVG Bewegungsprofil Bewerberdaten BfDI BGH Bildaufnahmen Bildberichterstattung Bildrechte biometrische Daten Biometrische und genetische Daten Bitcoins Bitkom BKA Black- bzw. Whitelisting Technologie Bonität Bonitätsprüfung Bounty Brexit Britische Datenschutzbehörde Browser BSI Bug-Bounty-Programm Bund Bundesamt für Sicherheit in der Informationstechnik Bundesarbeitsgericht Bundesfinanzministerium Bundeskartellamt Bundesnetzagentur Bundesregierung Bürokratieentlastungsgesetz Bußgeld Bußgelder Bußgeldverfahren BVG Callcenter Cambridge Analytics Citizen-Score Cloud Cloud-Lösung CNIL Compliance Computer Cookie Cookies Corona Coronavirus COVID-19 CovidLock Malware Coworking-Spaces Custom Audience Cyber Cyber-Attacken Cyberangriffe Cyberkriminalität Cyberkriminelle Cybersicherheit Cyble c`t Darknet Dashcam data breaches data protection officer Daten Daten-für-alle-Gesetz Datenaustausch Datenerhebung Datenlöschung Datenminimierung Datenmonopol Datenpanne Datenpannen Datenschutz Datenschutz Grundverordnung Datenschutz und Informationsfreiheit Datenschutz- und Informationssicherheitsbeauftragten Datenschutz-Folgenabschätzung Datenschutz-Schulungen Datenschutzabkommen Datenschutzaufsichtsbehörde Datenschutzauskunft-Zentrale Datenschutzbeauftragte Datenschutzbeauftragten Datenschutzbeauftragter Datenschutzbehörde Datenschutzerklärung Datenschutzgesetz Datenschutzgrundsätze Datenschutzgrundverordnung Datenschutzkonferenz datenschutzkonform Datenschutzmängel Datenschutzniveau Datenschutzprinzipien Datenschutzvereinbarung Datenschutzverletzung Datenschutzverletzungen Datenschutzverstöße Datensicherheit Datentransfer Datenübermittlung Datenübermittlung an Dritte Datenübermittlung in Drittstaaten Datenübertragung Datenverarbeitung Datenverarbeitungsprozesse Dating Dating-Portale Deutsch deutsch Deutsche Bahn Deutsche Bundesbank deutsche Telemediengesetz Deutsche Wohnen SE Diebstahl Dienste Diensteanbieter Dienstleister Diesel-Fahrverbot Dieselfahrverbot Dieselskandal Direktwerbung Do not track-Funktion Dokumentation Donald Trump Dritter Drittland Drittstaat Drittstaat ohne angemessenes Datenschutzniveau Drittstaaten DSAnpUG-EU DSG DSGVO DSK Durchsuchung Dynamic Data Exchange Protokoll dynamische IP-Adresse E-Mail E-Mail-Kampagnen e-Privacy-Verordnung E-Rechnung eCall-Technologie EDÖB EES EFAIL ehrenamtlich tätiger Vereine Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte Eigentum Einhaltung Einschränkungen Einsichtnahme Einwilligung Einwilligungserklärung Einwilligungserklärungen elektronische Kommunikation Empfänger Ende-zu-Ende Ende-zu-Ende-Verschlüsselung Englisch ENISA Entlastung Entsorgung ePrivacy ePVO Erfassung Ergebnisliste Erhebung Erhebung personenbezogener Daten Erhebungsverbot Ernährung Erwägungsgrund 48 der DSGVO eSafety-Initiative Essenswünsche Ethik ETIAS EU EU Kommission EU-Bürger EU-Datenschutz-Grundverordnung EU-Datenschutzgrundverordnung EU-Mitgliedsstaaten EU-Parlament EU-Richtlinie EU-Standardvertragsklauseln EU-Vertreter EuGH Euratom Europa Europäische Atomgemeinschaft Europäische Aufsichtsbehörde Europäische Kommision Europäische Union europäischen Vorschriften Europäischer Gerichtshof EWR externe Quellen Extra-Bezahlung Extra-Kosten Facebook Facebook-Fanpages Facebook-Pixel Fachbereich Fahrzeugdaten Fahrzeuge Fanpage Fanpagebetreiber FBI Feedback Fernmeldegeheimnis Festplatte Finanzsektor Firmensitz FlugDaG Fluggast Fluggastdaten Fluggastdatengesetz Folgenabschätzung Formalien Foto Framework freiwillig fristlose Kündigung Funkmäuse Funktastaturen Fürsorgepflicht GDPR gefährdet Geheimhaltung Geldbörse Geldbußen Geldstrafe Gemeinsam Verantwortliche Gericht Gerichtsbeschluss Gesellschaft für Informatik Gesetz Gesetz gegen den Unlauteren Wettbewerb Gesetz gegen Wettbewerbsbeschränkungen gestohlen Gesundheitsdaten Gewährleistung ginlo Business Google Google Analytics GPS grenzüberschreitend Groß-Britannien Großbritannien Grundrechtseingriffen Grundsatz der Zweckbindung GWB H & M Hack hack day Hackathon hacken Hacker Hackerangriff hackfest halal Handy-Tracking Hash-Verfahren Hausverwaltung Head of Cyber Security Architectur Health Checks Hinweisgeber Hoccer Höchstvermietungsdauer Home Office Home-Office Homeoffice Hygiene Immobilienmakler Information Informationen Informationsfreiheit Informationspflicht Informationspflichten Informationssicherheit Informationssicherheitsbeauftragte Infrastruktur Inhalteanbieter Insights Installation Integrität interner Datenschutzbeauftragter Internet Intrusion-Prevention-Systeme Investition iOs-App IP-Adresse iPad iPhone IPS Irland ISO/IEC 27001 IT Governance IT GRC IT-Forensik IT-forensische Untersuchung IT-Mitarbeiter IT-Security IT-Sicherheit IT-Systeme Italien ITSECX Jahresbericht Japan Jin-hyok Joint Control Kanada Kennzeichen-Scan Keynote Klagebefugnis Klingelschilder KNLTB kollektive Daten Kommune Kommunikation Konferenz Kontaktbeschränkungen Kontaktdaten Kontakte Kontaktpersonen Kontaktsperre Konzern konzerninterner Datentransfer Körpertemperatur KoSIT Krankenkasse Kriminalität Kriminelle Krise KUG Kundenbindung Kundenzufriedenheit Künstliche Intelligenz Kunsturhebergesetz Kurzarbeit Landesbeauftragte Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg Landesdatenschutzbeauftragten Landesverband Laptop Lazarus Lebensweise Lehrer Leistungs- und Verhaltenskontrolle LfDI Baden-Württemberg LfDI BW Like-Button LLC Löschpflicht Löschung personenbezogener Daten Löschungsrecht Lösegeld Machtposition Mail Makler Malware Markennamen Markenrecht marktbeherrschende Stellung Marktforschung Marktortprinzip Maßnahmen MD5 Meldebehörde Meldepflicht meldepflichtige Krankheit Meldeportal Meldescheine Meldesystem Meldung Meltdown Menschenrecht Menschrechtsverletzungen Messenger Messung Microsoft Mieter Mietverhältnis Misch-Account Missbrauch Missbrauch von Kundendaten missbräuchlich Mitarbeiter Mitbestimmung Mitbestimmungsrecht Mitbewerber Mitglieder Mitgliedsstaaten Mitwirkung Mobiltelefon MouseJack-Angriffe Nebenjob Nebentätigkeit Netzwerklabor Neutrale Schule nicht datenschutzkonform Niederlande NIST No-Deal-Brexit Nordkorea Notebook Nutzer Nutzung Nutzungsbedingungen Oberlandesgericht Düsseldorf öffentliche Stelle Office Office 365 Öffnungsklauseln OLG OLG Stuttgart One Stop Shop One-Stop-Shop Online Online-Gewinnspiel Online-Kommunikationstools OpenPGP Opfer Österreich Pandemie Papierrechnung Passenger Name Records Passwort Passwort-Sicherheit Passwörter Passwörter. 2016 Passwortfilters Passwortregeln Passwortschutz Patientendaten Penetration Tests Penetrationstest Penetrationstests personal data Personalabteilung Personalausweiskopien Personalfragebogen Personalverantwortliche personenbezogene Daten Personenbilder persönliche Daten Persönlichkeitsrechte Pflichten Pharmalobbyist Phishing Phishing-Kampagnen Phising Plattformbetreiber PNR-Daten PNR-Instrumente Polizei POODLE Power Query PowerShell-Umgebung Prävention Praxistipps Privacy by Default Privacy by Design Privacy Shield privat private Endgeräte private Handynummer private Mobilfunknummer private Telefonnummer Privatnutzung Privatnutzungsverbot Privatspäre Privatsphäre Problem Profiling Quantencomputer Quarantäne Ransomware reale Infrastruktur Rechenzentren Rechenzentrum Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte Rechte der betroffenen Person Rechtmäßigkeitsvoraussetzungen Rechtsabteilung rechtswidrig Referenten Regelungsaufträge Reichweitenanalyse Risiken Risiko Risikogruppen Risikomanagement Risk & Compliance Management Robert-Koch-Institut Rufschädigung Ruhezeiten S/MIME SamSam Sanktion Sanktionen Schaden Schadensersatz Schadprogramm Schadsoftware Schüler Schulung Schutz schützenswert Schutzmaßnahmen Schutzniveau schutzwürdige Interessen Schwachstellen Schweiz SDSG second line of defense Security by Design Seitenbetreiber Sensibilisierung SHA1 sicher Sicherheit Sicherheits- und Datenschutzmängel Sicherheitslücke Sicherheitslücken Sicherheitsmängel Sicherheitsstandards Sicherheitsvorfall Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Sicherung der Daten Siegel Signal Signatur Sitzungen Skype Smartphone Social Plugin Software Software-Entwicklung Sony Sony PSN Soziale Netzwerke soziale Netzwerke SPD Spectre Speicherdauer Sponsoren Sprache Sprachkenntnis Standardvertragsklauseln Standort Steuerberater Strafe Strafverfolgung Studenten Suchanfrage Suchmaschine Supercomputer Risikolage supervisory authority Support Swiss IT Security Gruppe Swiss-US Privacy Shield Synergiepotenziale Systemadministrator Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Technische und organisatorische Maßnahmen technische und organisatorische Maßnahmen Telefonnummer Telefonwerbung Telemarketing Telemediendienst Telemediengesetz Teleselling Telstra Security Report Tennisclub Threema Work TIBER TIBER-DE TKG TLS TMG TOM Tools Totalrevision Tracking Tracking Tools Tracking-Tools Transportverschlüsselung Twitter Übergangsphase Übermittlung personenbezogener Daten Übernahme Übertragung Überwachungssoftware Umfrage Umsetzungsfrist Unberechtigte Datenabfrage unerlaubt Unionsbürger unpersonalisierter Benutzer-Account Unterlassungsanspruch Unternehmen Unternehmensgröße Unternehmensgruppe Unternehmenssprache unzulässig Update Urteil US-Behörden US-Regierung USA UWG Vegan Vegetarier Verantwortlicher Verantwortung Verarbeitung Verarbeitungsverbot Verbot Verbraucher Verbraucherzentralen Verdachtsfälle Vereinbarung Vereinigte Königreich Vereinigtes Königreich Großbritannien und Nordirland Verfahren C-311/18 Verlängerung verloren Verlust Vermieter Vernichtung von Datenträgern Veröffentlichung Verordnung (EU) 2015/758 verschlüsseln Verschlüsselte E-Mails Verschlüsselung Verschlüsselungsverfahren Verstoß Verstöße Vertrag zur Auftragsverarbeitung Vertragsanbahnung Verwaltungsakt Verwaltungsgericht Karlsruhe VG Mainz Video-Kommunikation Videokamera Videokonferenz Videokonferenzen Videoüberwachung Virus Voraussetzungen Voreinstellungen Vorsicht Vorteile Wachstum WAF WannaCry Warnung Web-Applikation-Firewalls Webcast Webseite Webseiten Webseitenbesucher Website Website-Betreiber Webtracking Webtrecking weisungsunabhängig Weitergabe Weitergabe an Dritte Weltanschauung Werbeaussage Werbezwecke Werbung Wettbewerb Wettbewerbsrecht wettbewerbsrechtliche Abmahnung Wettbewerbsverstöße WhatsApp Whistleblower Whistleblowing Widerruf Widerrufsrecht Widerspruchsrecht Wien Windows Wire Enterprise Wirklichkeitsmodell Wohnung X-Rechnung Youtube Zeiterfassung zentralisierte Verwaltung Zertifikat Zertifizierung Zoom Zoom Video Zugangsdaten Zugriff Zugriffsmöglichkeiten Zugriffsrechte Zugriffsverwaltung Zukauf zulässig Zulässigkeit zusätzliche Maßnahmen Zusatzschutz zuständig Zwangsgeld Zweck Zweckbindung Zweckbindungsgrundsatz § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 35 BDSG-Neu § 38 BDSG-Neu § 3a UWG § 42a BDSG § 42b BDSG § 88 TKG

Tags

Mo Di Mi Do Fr Sa So
          1 2
3 4 5 6 7 8 9
10 11 12 13 14 15 16
17 18 19 20 21 22 23
24 25 26 27 28 29 30
31