IT-Sicherheit: EuGH kippt Safe Harbor

Die Vereinbarung „Safe Harbor“ hat bisher festgelegt, unter welchen Bedingungen Internetunternehmen Nutzerdaten aus Europa in den USA verarbeiten dürfen. Der EuGH erklärte das Abkommen jetzt für ungültig. Das hat Folgen.

Wer beim Datenschutz gute Noten bekommt

Ist Datenschutz schon in Deutschland eine heikle Sache, sieht es in den USA noch viel kritischer aus: Die dortigen Ermittlungsbehörden wie die NSA haben durch den Patriot Act, der nach den Anschlägen des 11. September 2001 erlassen und kürzlich leicht abgemildert wurde, viel umfassendere Rechte und Befugnisse zur Abfrage von Daten von Privatpersonen. Und diese nutzen sie auch, während die Gesetze und Regulierungen im Bereich Datenmanagement und Datenschutz mit den technologischen Entwicklungen nicht mithalten können. Die Nichtregierungsorganisation Electronic Frontier Foundation (EFF) will mit ihrem regelmäßigen Datenschutz-Report „Who has your back“ auf dieses Problem aufmerksam machen. EFF untersucht 24 große IT- und Telekomunternehmen daraufhin, wie sie mit dem Thema Datenschutz umgehen.

Bild: dpa

Der Report bewertet einerseits, ob sich Firmen gegen teils willkürliche staatliche Überwachung wehren. Zudem wird die Transparenz bewertet, die Firmen darüber herstellen, ob und wie staatlichen Ermittlungsbehörden bei ihnen Zugriff auf Nutzerdaten fordern. Die EFF hat über vier Jahre die Praktiken großer Internet- und IT-Konzerne beobachtet und analysiert, ob die Firmen ihren Fokus eher auf den Schutz der Nutzerdaten oder eher auf die Kooperation mit staatlichen Ermittlern legen. Dabei konnten sie in den vergangenen vier Jahren eine Entwicklung feststellen.

Bild: AP

Während das Thema Datenschutz vor vier Jahren bei kaum einem Unternehmen auf der Agenda stand, hat nun – einige Snowden-, Wikileaks-Enthüllungen und Spähaffären später – laut EFF ein Umdenken eingesetzt: Viele Firmen veröffentlichen Reports über ihren Umgang mit Nutzerdaten und über Regierungsanfragen nach Nutzerdaten.

Bild: dpa

Die EFF hat die Entwicklungen damit aufgefangen, dass sie die Firmen nun unter anderem in der Kategorie des industrieweiten Standards vorbildlicher Praktiken bewerten.

Ihre Kriterien im Überblick:

1. Unter dem erwähnten industrieweiten Standard verstehen die Aktivisten etwa, dass die Firma den Staat bei einer Datenanfrage nach einer offiziellen Vollmacht für den spezifischen Fall fragt. Außerdem wird erwartet, dass das Unternehmen einen Transparenzreport über staatliche Anfragen veröffentlicht und dass die Firma deutlich macht, wie sie mit den Regierungsanfragen formell verfährt.

2. In einer weiteren Kategorie wird geprüft, ob Internetfirmen die jeweiligen Nutzer einzeln informieren, wenn sie beziehungsweise ihre Daten von Regierungsanfragen betroffen waren. Als Best Practice Beispiel gelten die Firmen, die ihre Nutzer schon vor der Weitergabe über solche staatlichen Anfragen informieren, sodass diese sich juristisch zur Wehr setzen können.

Bild: dpa

3. Die Aktivisten checkten auch, ob Firmen bekannt machen, wie lange sie Nutzerdaten speichern. Es wurde dabei nicht bewertet, wie lange die Unternehmen IP-Logins, Übersichten über individuellen Datentransfer und auch eigentlich bereits gelöschte Daten speichern und für Ermittlungen verfügbar halten – es geht nur um die Transparenz.

4. Regierungen und staatliche Ermittlungsstellen fragen nicht nur Nutzerdaten an, teils verlangen sie von Internet- und Telekomkonzernen auch, unliebsame Nutzer zu blockieren oder Nutzeraccounts zu schließen. Für diese Praxis war zuletzt insbesondere Facebook kritisiert worden, das einige Insassen von Gefängnissen an der Eröffnung eines Accounts hinderte. Auch Informationen darüber honorierten die Aktivisten mit einer positiven Bewertung, wobei ihnen besonders Twitter in dieser Kategorie mit einem umfangreichen Report über Lösch-Gesuche positiv auffiel.

5. Unternehmen bekamen auch eine positive Bewertung, wenn sie sich im öffentlichen Diskurs gegen staatlich geduldete oder gar intendierte Hintertüren in Software und Netzwerken stellen. 21 von 24 untersuchten Firmen nehmen mittlerweile eine solche kritische Position gegenüber dem Überwachungsstaat ein.

Bild: dpa

Adobe hat laut den Aktivisten in den vergangenen Jahren alle Best Practice Standards übernommen, die in der Branche etabliert sind. Adobe verlangt von Ermittlungsbehörden eine explizite Erlaubnis, Daten von Nutzern anzufordern und bekennt sich zudem öffentlich dazu, keine Hintertüren in die eigene Software einzubauen. „Alle Regierungsanfragen für Nutzerdaten müssen bei uns durch den Vordereingang kommen“, schreibt Adobe in seinem Transparenzreport. Die EFF wertet eine solche starke Position gegen die früher gängige Praxis als bemerkenswert – unabhängig von der Wahrhaftigkeit.

Bild: AP

Triumph für Tim Cook. Apple erfüllt alle Kriterien der Aktivisten für möglichst große Transparenz im Bereich Datensicherheit. Der IT-Konzern lässt allerdings einige Hintertürchen offen, neben den Verpflichtungen zur Verschwiegenheit, die ihm etwa durch Gerichte in Einzelfällen auferlegt werden können. Apple behält sich vor, Nutzer nicht über eine Datenabfrage zu informieren, wenn dies nach Einschätzung des Unternehmens gefährlich für das Leben oder die Unversehrtheit von Personen werden könnte. Dies lässt Raum zur Deutung.

Bild: REUTERS

Der EuGH hat entschieden, dass das Safe Harbor Abkommen mit den USA ungültig ist. Das Gericht folgt damit dem Entscheidungsvorschlag seines Generalanwalts, der am 23.09.2015 veröffentlicht wurde und bereits für großes Aufsehen sorgte. Das Urteil betrifft zunächst nur Datenübermittlungen in die USA, hat aber darüber hinaus Konsequenzen für Datentransfers in sogenannte Drittländer generell.

Zum Hintergrund

Die Europäische Datenschutzrichtlinie bestimmt, dass die Übermittlung personenbezogener Daten in sog. Drittländer grundsätzlich nur zulässig ist, wenn dort ein angemessenes Datenschutzniveau besteht. Für die USA stellte die Kommission im Jahr 2000 fest, dass    beim US-Datenempfänger dann von einem "angemessenen Datenschutzniveau" auszugehen ist, wenn dieser den sog. "Safe Harbor Principles" beigetreten ist. Von der Möglichkeit einer Safe Harbor Zertifizierung haben bisher rund 4.410 Unternehmen Gebrauch gemacht und sich in die entsprechende Liste des US-Handelsministeriums eintragen lassen, darunter Internetgiganten wie Facebook, Google, Twitter und Yahoo. Safe Harbor ermöglichte es ihnen, Daten ihrer Nutzer in der EU auch in den USA zu speichern.

Zur Autorin

Sylle Schreyer-Bestmann

Die Autorin Sylle Schreyer-Bestmann ist Rechtsanwältin bei CMS Hasche Sigle am Standort Berlin. Sie berät nationale und internationale Unternehmen im Bereich des Datenschutzes, insbesondere bei der datenschutzkonformen Gestaltung ihrer Geschäftsmodelle, bei der internen Datenschutzorganisation und im Bereich Beschäftigtendatenschutz.

Der Fall Schrems

2013 war der Österreicher Max Schrems, Gründer des Vereins  zur Durchsetzung des Grundrechts auf Datenschutz "europe-v-facebook.org", mit seiner Beschwerde gegen die Speicherung seiner Daten von Facebook in den USA bei der irischen Datenschutzkommission gescheitert. Diese sah sich aufgrund der Kommissionsentscheidung zu Safe Harbor daran gehindert, die Speicherung von Schrems Daten in den USA zu unterbinden. Der mit dem Fall anschließend befasste irische High Court legte dem Europäischen Gerichtshof (EuGH) die Frage vor, ob ein Einschreiten der nationalen Datenschutzbehörden aufgrund von Safe Harbor tatsächlich nicht möglich sei.

Die Autorin Sylle Schreyer-Bestmann ist Rechtsanwältin bei CMS Hasche Sigle. Sie berät nationale und internationale Unternehmen im Bereich des Datenschutzes.

Bild:  Presse

EuGH stärkt die Befugnisse der nationalen Datenschutzbehörden

Der EuGH entschied, dass die Befugnisse der nationalen Datenschutzbehörden durch eine Angemessenheitsentscheidung der Kommission weder beseitigt noch beschränkt werden. Er betont die unabhängige Stellung, die den nationalen Kontrollstellen nach der Europäischen Datenschutzrichtlinie zukommt. Diese dürften in völliger Unabhängigkeit prüfen, ob bei der Datenübermittlung in ein Drittland die datenschutzrechtlichen Anforderungen gewahrt werden. Entsprechend habe die irische Datenschutzaufsicht im Fall Schrems auch zu prüfen, ob die Übermittlung seiner Daten durch Facebook in die USA auszusetzen sei, weil die USA kein angemessenes Schutzniveau für personenbezogene Daten bietet. Über die Wirksamkeit oder Unwirksamkeit einer Kommissionsentscheidung zur Angemessenheit könne jedoch nur der EuGH entscheiden. Dies hat nach dem EuGH zur Konsequenz, dass die Frage nach dem rechtlichen Bestand einer solchen Kommissionsentscheidung stets dem EuGH vorzulegen ist.

Forum IT-Sicherheit

Sicherheitschefs diskutieren über Cyberrisiken

Der Hackerangriff auf den Deutschen Bundestag hat auch dem letzten Vorstand die Augen geöffnet. Kein Unternehmen ist gefeit vor Cyberangriffen. Jede noch so kleine Sicherheitslücke in den IT-Systemen kann zum Einfallstor für Spionage- oder Sabotageattacken werden und Schäden in Millionenhöhe verursachen. Die Verunsicherung in den Unternehmen ist jedenfalls groß. Sind die Sicherheitsvorkehrungen wirklich auf dem allerneusten Stand, um die Kronjuwelen des Unternehmens zu schützen? Kennen die Mitarbeiter alle Indizien, die auf einen Angriff hindeuten? Wie lange brauchen die Alarmsysteme, um einen Angriff zu erkennen? Es gibt viele Fragen, aber nur wenige Experten, die fundierte Antworten liefern können. Zusammen mit Bernd-Oliver Bühler, geschäftsführender Gesellschafter der Janus Consulting und Spezialist für IT-Sicherheit, hat die WirtschaftsWoche die Sicherheitsverantwortlichen in deutschen Unternehmen gebeten, aus ihrer Sicht die größten Probleme und mögliche Lösungen vorzustellen.

Alle Beiträge finden Sie auf www.wiwo.de/it-forum

Entsprechend prüft der EuGH weiter und kommt zu dem Ergebnis, dass Safe Harbor insgesamt ungültig sei. Safe Harbor kranke daran, dass es nur für Unternehmen gilt, die sich dem Regime unterwerfen, nicht jedoch für die US-amerikanische Behörden. Deren Zugriff auf die Daten von EU-Bürgern werde durch Safe Harbor gerade nicht eingeschränkt. Die Kommission habe sich in ihrer Entscheidung in 2000 darauf beschränkt, das Safe Harbor Regime zu beleuchten aber nicht geprüft, ob die Rechtsordnung der USA insgesamt tatsächlich ein Schutzniveau der Grundrechte gewährleiste, das dem der Union gleichwertig ist. Dies sei unzureichend gewesen. Zu einem angemessenen Datenschutzniveau gehörten sowohl Regelungen zur Verhältnismäßigkeit des staatlichen Zugriffs auf Daten als auch Auskunftsrechte und Rechtsschutzmöglichkeiten des Betroffenen, die in den USA für von Datenübermittlungen betroffene EU-Bürger nicht vorhanden seien.