Wie viele technische und organisatorische Vorkehrungen Unternehmen treffen, sagt viel über den Stellenwert des Datenschutzes aus. Fehlt es an bestimmten Mindestanforderungen, drohen Bußgelder in Höhe bis 300.000 Euro. Die personenbezogenen Daten werden damit leichte Beute für Hacker, Spione und Cyberkriminelle. Und die informationelle Selbstbestimmung der Betroffenen ist gefährdet.
Mit der zu erwartenden EU-Datenschutzgrundverordnung werden die Bußgelder sogar noch steigen. Nach Paragraf 44 Bundesdatenschutzgesetz können Freiheitsstrafen von bis zu zwei Jahren drohen.
Zur Person
Peter Suhling ist Fachexperte für Datenschutz und IT-Sicherheit. Er beschäftigt sich seit 1995 mit Managementsystemen (ISO 9001, ISO 14001, ISO 27001), deren Auditierung, Aufbau und Aufrechterhaltung – seit 2007 mit dem Datenschutz, sowie der Zertifizierung von Managementsystemen. Er ist Dozent an der Mannheimer Abendakademie.
Wer kein Fan von schwedischen Gardinen ist, für den gibt es eine Lösung: Unternehmen können einen Datenschutz-Check durchführen lassen. Anhand von zehn Merkmalen lässt sich feststellen, wie gut oder schlecht der Datenschutz in einem Unternehmen verankert ist. Auch Mitarbeiter können sich damit ein besseres Bild über das Unternehmen machen, für das sie arbeiten.
1. Horch, wer kommt von draußen rein
Fremde stehen plötzlich im Büro, da kein Empfang vorhanden ist und die Eingangstüren zu den Bürozeiten nicht verschlossen sind. Es ist nicht geregelt, wer Besucher empfängt. Diese stehen unvermittelt im Büro und fragen nach einem Kollegen oder nach dem Namen eines bestimmten Besprechungsraums. Auch wenn in diesen Büroräumen keine personenbezogenen Daten direkt am Computer oder auf den Schreibtischen eingesehen werden können, ist die Geheimhaltung gefährdet.
Lösungsansatz: Kunden und Lieferanten, darunter auch der Pizza-Lieferservice, müssen klingeln und werden von einem verantwortlichen Mitarbeiter im Eingangsbereich abgefertigt beziehungsweise nach einer Identifikation zum gewünschten Kollegen geleitet.
Forum IT-Sicherheit
Der Hackerangriff auf den Deutschen Bundestag hat auch dem letzten Vorstand die Augen geöffnet. Kein Unternehmen ist gefeit vor Cyberangriffen. Jede noch so kleine Sicherheitslücke in den IT-Systemen kann zum Einfallstor für Spionage- oder Sabotageattacken werden und Schäden in Millionenhöhe verursachen. Die Verunsicherung in den Unternehmen ist jedenfalls groß. Sind die Sicherheitsvorkehrungen wirklich auf dem allerneusten Stand, um die Kronjuwelen des Unternehmens zu schützen? Kennen die Mitarbeiter alle Indizien, die auf einen Angriff hindeuten? Wie lange brauchen die Alarmsysteme, um einen Angriff zu erkennen? Es gibt viele Fragen, aber nur wenige Experten, die fundierte Antworten liefern können. Zusammen mit Bernd-Oliver Bühler, geschäftsführender Gesellschafter der Janus Consulting und Spezialist für IT-Sicherheit, hat die WirtschaftsWoche die Sicherheitsverantwortlichen in deutschen Unternehmen gebeten, aus ihrer Sicht die größten Probleme und mögliche Lösungen vorzustellen.
Alle Beiträge finden Sie auf www.wiwo.de/it-forum
2. Freies WLAN für alle
Das Passwort für das Gäste-WLAN (oder noch schlimmer für das Unternehmensnetzwerk) ist im Empfangsbereich oder im Konferenzraum niedergeschrieben. In dieser Situation ist es für das Unternehmen schwierig, im Nachhinein mögliche verbotene Downloads prüfen zu lassen. Reicht der Empfang bis auf die Straße, bietet Wardriving, das unerlaubte Einloggen, eine einfache Gelegenheit, verbotene Aktivitäten über das Unternehmensnetzwerk bequem aus dem Auto durchzuführen.
Lösungsansatz: Falls ein Gästenetzwerk notwendig ist, kann dies ein externer Dienstleister installieren, der im Falle von Rechtsstreitigkeiten die Verantwortung trägt.
3. Keine Ahnung, keine Datenschutzrichtlinie, keine IT-Sicherheitsrichtlinie
Wenn Mitarbeiter nicht wissen, ob Sie die Firmen-E-Mail-Adresse für den privaten Gebrauch benutzen dürfen oder ob die Installation von Software aus dem Internet auf dem Arbeitsplatzrechner erlaubt ist, fehlt es an Regeln und Richtlinien. Dies kann teuer für ein Unternehmen werden. Bei Fehlverhalten von Mitarbeitern fehlen entsprechende Vorschriften.
Lösungsansatz: Erstellen Sie Richtlinien, die die Standard-Fallstricke klären. Lassen Sie diese von Geschäftsleitung und vom Betriebsrat absegnen.
4. Die Personalien bitte: Der Ausweis wird gescannt
Laut Personalausweisgesetz ist das Kopieren oder das Scannen des Personalausweise nicht grundsätzlich verboten, jedoch sind einige Regeln zu beachten: Die Erstellung einer Kopie muss erforderlich sein, aber nicht benötigte Informationen des Personalausweises müssen geschwärzt werden. Der Betroffene ist darauf hinzuweisen.
Lösungsansatz: Beschränken Sie sich auf Sichtkontrolle des Personalausweises oder prüfen Sie ein anderes Ausweisdokument.
