Wie viele technische und organisatorische Vorkehrungen Unternehmen treffen, sagt viel über den Stellenwert des Datenschutzes aus. Fehlt es an bestimmten Mindestanforderungen, drohen Bußgelder in Höhe bis 300.000 Euro. Die personenbezogenen Daten werden damit leichte Beute für Hacker, Spione und Cyberkriminelle. Und die informationelle Selbstbestimmung der Betroffenen ist gefährdet.
Mit der zu erwartenden EU-Datenschutzgrundverordnung werden die Bußgelder sogar noch steigen. Nach Paragraf 44 Bundesdatenschutzgesetz können Freiheitsstrafen von bis zu zwei Jahren drohen.
Zur Person
Peter Suhling ist Fachexperte für Datenschutz und IT-Sicherheit. Er beschäftigt sich seit 1995 mit Managementsystemen (ISO 9001, ISO 14001, ISO 27001), deren Auditierung, Aufbau und Aufrechterhaltung – seit 2007 mit dem Datenschutz, sowie der Zertifizierung von Managementsystemen. Er ist Dozent an der Mannheimer Abendakademie.
Wer kein Fan von schwedischen Gardinen ist, für den gibt es eine Lösung: Unternehmen können einen Datenschutz-Check durchführen lassen. Anhand von zehn Merkmalen lässt sich feststellen, wie gut oder schlecht der Datenschutz in einem Unternehmen verankert ist. Auch Mitarbeiter können sich damit ein besseres Bild über das Unternehmen machen, für das sie arbeiten.
1. Horch, wer kommt von draußen rein
Fremde stehen plötzlich im Büro, da kein Empfang vorhanden ist und die Eingangstüren zu den Bürozeiten nicht verschlossen sind. Es ist nicht geregelt, wer Besucher empfängt. Diese stehen unvermittelt im Büro und fragen nach einem Kollegen oder nach dem Namen eines bestimmten Besprechungsraums. Auch wenn in diesen Büroräumen keine personenbezogenen Daten direkt am Computer oder auf den Schreibtischen eingesehen werden können, ist die Geheimhaltung gefährdet.
Lösungsansatz: Kunden und Lieferanten, darunter auch der Pizza-Lieferservice, müssen klingeln und werden von einem verantwortlichen Mitarbeiter im Eingangsbereich abgefertigt beziehungsweise nach einer Identifikation zum gewünschten Kollegen geleitet.
Forum IT-Sicherheit
Der Hackerangriff auf den Deutschen Bundestag hat auch dem letzten Vorstand die Augen geöffnet. Kein Unternehmen ist gefeit vor Cyberangriffen. Jede noch so kleine Sicherheitslücke in den IT-Systemen kann zum Einfallstor für Spionage- oder Sabotageattacken werden und Schäden in Millionenhöhe verursachen. Die Verunsicherung in den Unternehmen ist jedenfalls groß. Sind die Sicherheitsvorkehrungen wirklich auf dem allerneusten Stand, um die Kronjuwelen des Unternehmens zu schützen? Kennen die Mitarbeiter alle Indizien, die auf einen Angriff hindeuten? Wie lange brauchen die Alarmsysteme, um einen Angriff zu erkennen? Es gibt viele Fragen, aber nur wenige Experten, die fundierte Antworten liefern können. Zusammen mit Bernd-Oliver Bühler, geschäftsführender Gesellschafter der Janus Consulting und Spezialist für IT-Sicherheit, hat die WirtschaftsWoche die Sicherheitsverantwortlichen in deutschen Unternehmen gebeten, aus ihrer Sicht die größten Probleme und mögliche Lösungen vorzustellen.
Alle Beiträge finden Sie auf www.wiwo.de/it-forum
2. Freies WLAN für alle
Das Passwort für das Gäste-WLAN (oder noch schlimmer für das Unternehmensnetzwerk) ist im Empfangsbereich oder im Konferenzraum niedergeschrieben. In dieser Situation ist es für das Unternehmen schwierig, im Nachhinein mögliche verbotene Downloads prüfen zu lassen. Reicht der Empfang bis auf die Straße, bietet Wardriving, das unerlaubte Einloggen, eine einfache Gelegenheit, verbotene Aktivitäten über das Unternehmensnetzwerk bequem aus dem Auto durchzuführen.
Lösungsansatz: Falls ein Gästenetzwerk notwendig ist, kann dies ein externer Dienstleister installieren, der im Falle von Rechtsstreitigkeiten die Verantwortung trägt.
3. Keine Ahnung, keine Datenschutzrichtlinie, keine IT-Sicherheitsrichtlinie
Wenn Mitarbeiter nicht wissen, ob Sie die Firmen-E-Mail-Adresse für den privaten Gebrauch benutzen dürfen oder ob die Installation von Software aus dem Internet auf dem Arbeitsplatzrechner erlaubt ist, fehlt es an Regeln und Richtlinien. Dies kann teuer für ein Unternehmen werden. Bei Fehlverhalten von Mitarbeitern fehlen entsprechende Vorschriften.
Lösungsansatz: Erstellen Sie Richtlinien, die die Standard-Fallstricke klären. Lassen Sie diese von Geschäftsleitung und vom Betriebsrat absegnen.
4. Die Personalien bitte: Der Ausweis wird gescannt
Laut Personalausweisgesetz ist das Kopieren oder das Scannen des Personalausweise nicht grundsätzlich verboten, jedoch sind einige Regeln zu beachten: Die Erstellung einer Kopie muss erforderlich sein, aber nicht benötigte Informationen des Personalausweises müssen geschwärzt werden. Der Betroffene ist darauf hinzuweisen.
Lösungsansatz: Beschränken Sie sich auf Sichtkontrolle des Personalausweises oder prüfen Sie ein anderes Ausweisdokument.
Die Verwendung von Freemailern sagt viel über die IT-Infrastruktur des Unternehmens aus
5. Keinen Überblick über Gäste
Kein Besucherbuch bedeutet: keine Identifizierung der Gäste. Bei einer später benötigten Rückverfolgbarkeit müssten Kalender des Einladenden mit aufgenommenen Videoaufnahmen verglichen werden. Das bedeutet einen unverhältnismäßig hohen Aufwand.
Lösungsansatz: Ein ausgedrucktes Besucherbuch - bestehend aus den Spalten Unternehmen, Name, Datum, Uhrzeit-Kommt, Zweck, gegebenenfalls Autokennzeichen, Unterschrift Besucher, Uhrzeit-Geht, Unterschrift Mitarbeiter - hilft.
6. Datenschutz macht der Chef
Auch wenn nicht alle Unternehmen einen Datenschutzbeauftragten haben müssen - der Chef darf es jedenfalls nicht sein. Hier gibt es Interessenkonflikte.
Lösungsansatz: Prüfen, ob ein Datenschutzbeauftragter laut Gesetz vorhanden sein muss und falls ja, einen externen Datenschutzbeauftragten beauftragen.
7. Probleme beim Nutzen von kostenlosen E-Mail-Adressen
Nicht nur bei Anwälten oder Ärzten macht die Verwendung von Freemailern einen unprofessionellen Eindruck. Sie lassen auf eine nicht gut durchdachte oder nicht vorhandene IT-Infrastruktur schließen. Vertrauliche Informationen sind vom Freemailern einsehbar.
Lösungsansatz: Verbot des Einsatzes von Freemailern für die geschäftliche Korrespondenz und Erstellen von E-Mail-Adressen mit der Unternehmensdomain. Schließen einer Auftragsverarbeitung mit dem Provider.
8. Shouldersurfen im Stehen
Die Monitore der Mitarbeiter sind für Dritte einsehbar. Hierbei können Unternehmensfremde die Inhalte auf den Monitoren der Mitarbeiter lesen, ohne dass diese es bemerken. In besonders schlimmen Fällen ist dies sogar von außen möglich. Dieses sogenannte Shouldersurfen ist bei Banken im Bereich der Geldautomaten bekannt.
Lösungsansatz: Monitore drehen, um die Einsicht zu verhindern oder Monitore mit Blickschutzfolien versehen, falls das Drehen nicht möglich ist.
Verbrechen 4.0 - das ist möglich
Rund 75 Prozent aller Computer können heute innerhalb von Minuten gehackt werden.
Jeden Tag werden 600.000 Nutzerkonten attackiert, wie das Unternehmen 2011 selbst einräumte. Eine Zahl, die seitdem eher gestiegen ist.
Fast 90 Prozent aller Kleinunternehmen, deren Kundenkartei gestohlen wurde, müssen innerhalb von drei Jahren ihr Geschäft aufgeben.
Mittels manipuliertem GPS-Signal locken Gangster Lastzüge mit Waren oder Luxusyachten in Hinterhalte.
9. Datenverarbeitung auf Zuruf
Verarbeiten externe Dienstleister personenbezogene Daten des eigenen Unternehmens oder kann ein Zugriff nicht ausgeschlossen werden, muss ein Auftragsdatenverarbeitungsvertrag oder - neu nach der EU-Datenschutzgrundverordnung - eine Auftragsverarbeitung geschlossen werden. Ansonsten drohen empfindliche Bußgelder.
Lösungsansatz: Laden einer Vorlage aus dem Internet, prüfen der eigenen technischen und organisatorischen Maßnahmen plus Abschluss einer Auftragsverarbeitung. Wichtig: Prüfen lassen durch den Datenschutzbeauftragten.
10. Keine Verschlüsselung der Kontaktformulare
Bewerber erhalten nur eine E-Mail-Adresse, über die sie sich bewerben können. Mit einem Kontaktformular ohne SSL-Verschlüsselung wird keine sichere
Übertragung angeboten. Besonders heikel ist das, wenn über das Kontaktformular Bewerbungsunterlagen hochgeladen werden sollen. Lösungsansatz: Mit der IT-Abteilung und/oder dem IT-Dienstleister eine SSL-Verschlüsselung realisieren.
