Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

07.03.1986

BDSG muß "informationellen Selbstbedienungsladen" verhindern

Die Datenverarbeitung in Netzen birgt Gefahren in sich, die die Sicherheitsexperten und Datenschutzbeauftragten auf den Plan rufen und gerade im Zuge der Novellierung des Bundesdatenschutzgesetzes (BDSG) für neuen Zündstoff sorgen. Der Gesetzgeber soll - so Bernd Hentschel von der Gesellschaft für Datenschutz- und Datensicherung - für den Netzverkehr keine "lex specialis" festlegen. Zu würdigen sei aber, daß die Gesetzeshüter den Problemkreis aufgriffen sowie rechtliche Maßnahmen unterstützten, die einen "informationellen Selbstbedienungsladen" verhinderten. Dem Anwender empfiehlt der Experte in DV-Sicherheitsfragen, sich bei einschlägigen Problemen nicht so sehr von den Werbesprüchen der Hersteller verleiten zu lassen, sondern sich an qualifizierte Berater zu wenden. Da der Teufel im Detail steckt, sieht auch Hans-Ludwig Drews, Hauptreferent beim Datenschutzbeauftragten der Siemens AG, den Gesetzgeber letztlich überfordert. So seien die Stellen, die im Rahmen des automatisierten Abrufverfahrens beim Anzapfen der Daten durch Dritte über die schutzwürdigen Belange der Betroffenen zu entscheiden hätten, sicher nicht zu beneiden. sch

Norbert Heinemann

Abteilungsleiter beim Kommunalen Gebietsrechenzentrum Starkenburg, Darmstadt

Der hessische Datenverarbeitungsverbund mit den kommunalen Gebietsrechenzentren in Darmstadt, Frankfurt, Wiesbaden, Gießen und Kassel sowie der hessischen Zentrale für Datenverarbeitung hat seit Jahren die Nutzungspalette zentraler Verwaltungs- und Vollzugsverfahren über Datenfernverarbeitung ständig erweitert. Dies hat dazu geführt, daß im öffentlichen Bereich in Hessen mehr als 3000 Terminals bei staatlichen und kommunalen Anwendern installiert sind.

Das Kommunale Gebietsrechenzentrum Starkenburg mit Sitz in Darmstadt betreibt derzeit ein Datenverarbeitungsnetz mit mehr als 500 angeschossenen Arbeitsplätzen. Die Verbindung zu den Zentralrechnern erfolgt über Einrichtungen der Deutschen Bundespost in sternförmiger Vernetzung. Seit einiger Zeit geht der Trend zu einer Mischung der bisher installierten unintelligenten Terminals mit Personalcomputern. Der hessische Datenverarbeitungsverbund hat hierzu Standards erarbeitet und seinen Anwendern Empfehlungen gegeben. Er wird in Zukunft das Angebot zentraler Verfahren um lokale Verfahren ergänzen beziehungsweise erweitern. Zur Datenschutzproblematik ist zunächst festzustellen, daß die angeschlossene Verwaltung Herrin ihrer Daten ist und mit allen freigegebenen Programmen in Erfüllung ihres gesetzlichen Auftrags zum Verwaltungsverzug auf diese zugreifen darf. Die eingesetzten Programme sind von den Rechnungsprüfungsämtern geprüft; die Datenbestände bestehen und wachsen auf der Basis genauer gesetzlicher Regelungen. Dazu hat das Land Hessen seit 1970 als erstes Bundesland ein Datenschutzgesetz mit entsprechend aktiven Datenschutzbeauftragten. Es wurde 1978 erneuert und erweitert und befindet sich derzeit in einer weiteren Überarbeitung.

Das hessische Datenschutzgesetz gilt für Behörden und andere öffentliche Stellen des Landes Hessen (zum Beispiel Finanzämter, Katasterämter oder Gewerbeaufsichtsämter) und der Städte und Gemeinden (zum Beispiel Meldeämter, Sozialämter und Ordnungsämter), aber auch für Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts unter Aufsicht des Landes (zum Beispiel Hochschulen, Industrie- und Handelskammern sowie Zweckverbände). Somit ist die Beachtung von Regeln des Datenschutzes und eine große Sensibilität für Datenschutzprobleme in den hessischen Rechenzentren selbstverständlich. Aus datenverarbeitungstechnischer Hinsicht seien einige Maßnahmen zum Datenschutz beschrieben. Die Dienste des kommunalen Rechenzentrums regeln natürlich den Zugriff auf Anwendungs- und Zuständigkeitsebenen; verschiedene Stufen der Benutzeridentifikation und Schutzworteingabe sind vor Beginn der Terminalarbeit zu absolvieren.

Der Personalcomputer bietet zunächst mit einer Benutzeroberfläche den gleichen Zugangsmechanismus wie bei den Zentralverfahren mit den dort üblichen Prüf- und Zuweisungsvorgängen. Darüber hinaus besteht die Möglichkeit, auf Zeit- und Paßwortebene mit Hardwarezusätzen einen äußerst weitgehenden Zugang zu verschaffen, der selbst gezielte Hackeraktivitäten aushält. Ergänzend hierzu stehen physische Hilfsmittel, wie zum Beispiel Abdeckung der Netzhalter durch Schlüsselmechanismen, zur Verfügung. In Untersuchung befinden sich die Methoden der Verschlüsselung der Datenbestände auf dem Personalcomputer als weitergehende Maßnahme.

Bernd Hentschel

Vorstandsvorsitzender der Gesellschaft Datenschutz und Datensicherung e.V. in Bonn

Auf allen Anwendungsgebieten der automatisierten Datenverarbeitung wird verstärkt die Einrichtung und der Ausbau von geschlossenen oder offenen Netzen vorangetrieben. Dieser entscheidende Folgeschritt von der Datenverarbeitung zum integrierten Verbund von Datenverarbeitung und Datenkommunikation birgt aber auch neue Gefahren in sich, die die Sicherheitsexperten und Datenschutzbeauftragten in Wirtschaft und Verwaltung auf den Plan rufen.

Mit der Installation und dem Anschluß an Netze entstehen neue Risiken für den Betreiber und Anwender, die man bisher beim Online- und Closed-Shop-Betrieb teils mit organisatorischen Mitteln wenn auch nicht beseitigen, so doch in den Griff bekommen konnte.

Gegenüber dem mit Timesharing-Verfahren verbundenen und aufgetretenen Gefahren potenzieren sich diese bei Netzbetrieb, da

- die Zahl der Teilnehmer großer wird,

- die Art der Teilnehmer durch andere Benutzerkreise sich ändert und

- längere Übertragungswege gegeben sind.

Somit entsteht "die Gretchenfrage" für den Datenschutz- und Sicherheitsbeauftragten und damit überhaupt für alle Netzbetreiber und Anwender nach der Kontrolle der Benutzer, der Eingabestellen und Übertragungswege.

Werden nämlich Rechner untereinander oder mit ihren Terminals über öffentliche Datenübertragungsnetze verbunden, dann reichen die üblichen Sicherheitsvorkehrungen bei weitem nicht aus. Die Alternative der Einrichtung privater DFÜ-Netze wird nur bestimmten Behörden und Organisationen vorbehalten bleiben. Dem wachsenden Kreis der Netzbetreiber und -anwender bleiben vorläufig nur die am Markt verfügbaren Alternativen an Herstellerangeboten zur Erhöhung der Sicherheit durch Verschlüsselung und Verifikation von Kommunikationssoftware, die aber nicht einfach als das "Ei des Kolumbus" zu übernehmen sind.

Wer die Eigenschaften der Netze nicht kennt, kennt auch nicht ihre Schwachstellen. Es bedarf daher breiter Aufklärung und nicht so sehr der Werbesprüche seitens der Anbieter und ihrer dressierten Vertriebsapparate. Darum haben wir diesem Problemkomplex ein spezielles Sicherheitsforum gewidmet, das die Eigenschaften der Netze und ihrer Komponenten, aber auch mögliche Methoden zur Absicherung vorstellt, gewichtet und mit den Teilnehmern diskutiert.

Aus datenschutzrechtlicher Sicht versucht der Gesetzgeber, flankierend einen Schutzzaun zu verankern, der in dem neuen Koalitionsentwurf zur Novellierung des Bundesdatenschutzgesetzes Eingang gefunden hat. Vorgesehen ist, einen neuen Paragraphen in das Bundesdatenschutzgesetz (BDSG) aufzunehmen, der einerseits die Zulässigkeit des unmittelbaren Abrufes durch den Empfänger, andererseits das Procedere und die erforderlichen technischen und organisatorischen Maßnahmen zwischen speichernder Stelle und Empfänger regeln soll. Es handelt sich um den Paragraphen 6a "Automatisiertes Abrufverfahren". Der Gesetzgeber kann und soll für den Netzverkehr keine "lex specialis" festlegen; zu würdigen ist aber, daß er den Problemkreis aufgreift und rechtliche Maßnahmen fordert und unterstützt, die einen "informationellen Selbstbedienungsladen" verhindern helfen

Es gilt jedoch, das vom Bundesverfassungsgericht postulierte Recht auf informationelle Selbstbestimmung zu wahren und zu sichern. Datensicherheit bedeutet für den Datenhalter Kostenaufwand, dem das Angemessenheitsprinzip im BDSG entgegenkommt Für den Netzbetrieb muß dieses Prinzip ebenfalls Gültigkeit haben.

Hans-Ludwig Drews

Hauptreferent beim Datenschutzbeauftragten der Siemens AG, München

Aus der Sicht des Datenschutzes in einem Industrieunternehmen bedarf das Bereithalten personenbezogener Daten zum Abruf durch Dritte - Übermittlung gemäß ° 2 Absatz 2 Nummer 2 Bundesdatenschutzgesetz (BDSG) - keiner über die derzeitige Fassung des BDSG hinausgehenden (Zuverlässigkeits-)Regelung.

Es ist nicht zutreffend - wie gelegentlich behauptet wird -, daß die Eröffnung eines Online-Anschlusses die Übermittlung eines "gesamten Datenbestandes" darstellen muß beziehungsweise ermöglicht. Es gibt vielmehr eine ganze Reihe von Sicherungsmaßnahmen, durch deren Einsatz der Zugriff auf bestimmte Daten, bis auf Datenfeldebene, beschränkt werden kann. Dadurch werden Direktabrufverfahren zuverlässiger, sicherer und kontrollierbarer als manche herkömmlichen Übermittlungsverfahren.

Solche Maßnahmen der Zugriffsberechtigung für den Online-Betrieb zu treffen, gebietet bereits die Zugriffskontrolle laut Nummer 5 der Anlage zu ° 6 Absatz 1 Satz 1 BDSG. Bei der Übermittlung von Daten durch deren Weitergabe an Dritte im Einzelfall muß die speichernde Stelle die Zulässigkeit der Übermittlung nach den ° ° 3 , 1 0 , 11 , 24 und 32 BDSG prüfen.

Die gleiche Zulässigkeitsprüfung hat die speichernde Stelle durchzuführen, wenn die Übermittlung nicht durch Weitergabe von Daten erfolgen soll, sondern durch deren Bereithalten zum Abruf durch Dritte: Durch entsprechende Maßnahmen der Zugriffsberechtigung hat sie sicherzustellen, daß nur der Abruf solcher Daten möglich ist, für die die Prüfung der Zulässigkeit ein positives Ergebnis hatte. Durch solche Maßnahmen kann gewährleistet werden, daß nur solche Daten abgerufen werden können, die auch im Einzelfall nach Prüfung der Zulässigkeit weitergegeben worden wären.

Mit dem Abruf von Daten im Online-Betrieb vergleichbar ist die regelmäßige Weitergabe von Daten im Online-Betrieb. Auch hier ist vor Festlegung der regelmäßigen Weitergabe im Verfahren zu prüfen, für welche Daten die Zulässigkeit gegeben ist und für welche nicht; letztere dürfen dann in der DV-Liste nicht enthalten sein. Gegenüber diesem Sachverhalt ergibt sich durch den Datenabruf im Online-Betrieb kein neuer Tatbestand, der besonders regelungsbedürftig wäre.

Wenn also die Prüfung der Zulässigkeit einer Datenübermittlung ein positives Ergebnis hatte kann diese auch durchgeführt werden, unabhängig davon wie die Datenübermittlung erfolgt - ob im Offline-Betrieb oder im Online-Betrieb . Im letzteren Fall sind gemäß Nummer 5 der Anlage zu a 6 Absatz 1 Satz 1 BDSG entsprechende Maßnahmen der Zugriffskontrolle zu treffen, um die Zugriffsberechtigung so detailliert wie nach dem Ergebnis der Zulässigkeitsprüfung notwendig nach Art und Umfang der Daten festzulegen - bei Bedarf für jedes einzelne Datenfeld. Diese Festlegung gibt für jeden Fall des tatsächlichen Abrufs die Sicherheit daß die Übermittlung im Rahmen der einmal festgestellten Zulässigkeit bleibt - auch dann, wenn der Abruf der übermittelnden Stelle gar nacht mehr zur Kenntnis gelangt. Hat die Prüfung der Zulässigkeit einer Datenübermittlung jedoch kein eindeutig positives Ergebnis, darf die Übermittlung dieser Daten nicht erfolgen - natürlich auch nicht im Online-Betrieb.

Die Koalitionsfraktionen CDU/CSU und FDP schlagen nun in einem neu formulierten ° 6a BDSG unter anderem folgendes vor:

- Die Einrichtung eines automatisierten Abrufverfahrens ist zulässig, soweit der Abruf der Daten durch Dritte unter Berücksichtigung der schutzwürdigen Belange der Betroffenen und der Aufgaben Geschäftszwecke oder Ziele der speichernden Stelle oder des Empfängers angemessen ist. (Die Stellen, die diese Abwägung in praxi durchführen müssen, sind gewiß nicht zu beneiden!).

- Speichernde Stelle und Empfänger legen Anlaß und Zweck des Abrufverfahrens die Datenempfänger, die Art der zu übermittelnden Daten und die nach ° 6 erforderlichen technischen und organisatorischen Maßnahmen schriftlich fest.

Es ist bedauerlich, daß auf diese Weise eine bestimmte Technik über die doch schon geltenden BDSG-Bestimmungen hinaus zusätzlich besonders reglementiert werden soll; heute sind es Online-Systeme - und morgen?