Sächsische Datenschutzbeauftragte startet Mastodon-Kanal
Veröffentlicht am:
Die Sächsische Datenschutzbeauftragte nutzt für ihre Öffentlichkeitsarbeit ab sofort auch den Microblogging-Dienst Mastodon. Nutzerinnen und Nutzer können Dr. Juliane Hundert unter @sdb@bfdi.bund folgen.
»Kommunikation über Soziale Netzwerke funktioniert auch datenschutzfreundlich und ohne die großen Tech-Konzerne. Der Kurznachrichtendienst Mastodon ist dafür ein gutes Beispiel. Er ist dezentral, werbefrei und kommt ohne Überwachung der Nutzenden aus. Auch für Unternehmen und die öffentliche Verwaltung bietet Mastodon Vorteile. Denn anders als bei den großen gewerblichen Anbietern kann Mastodon datenschutzkonform betrieben werden.
Für mich ist die Plattform deshalb ein wichtiger Bestandteil einer zeitgemäßen und bürgernahen Kommunikation. Mit meiner Behörde informiere ich bei Mastodon über aktuelle Themen rund um den Datenschutz und die Informationsfreiheit«, sagt Dr. Juliane Hundert und ergänzt: »Ich würde mich freuen, wenn demnächst auch weitere öffentliche Stellen aus Sachsen auf Mastodon zu finden sind.«
Ihr Profil betreibt die Sächsische Datenschutzbeauftragte auf einer Instanz des Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI). Es ist dort öffentlich und ohne Registrierung auf https://social.bund.de/@sdb einsehbar.
Über Mastodon
Mastodon ist eine datenschutzfreundliche Alternative zu Twitter. Nutzerinnen und Nutzer können auf Mastodon Kurznachrichten veröffentlichen, sogenannte »Toots« oder auf Deutsch: »Tröts«. Die maximale Länge dieser Nachrichten beträgt 500 Zeichen. Bilder und Videos können ebenfalls eingebunden werden. Anders als bei Twitter gibt es auf Mastodon keinen zentralen Anbieter des Dienstes, denn das Mastodon-Netzwerk besteht aus einer Vielzahl an Servern, auf denen sogenannte Mastodon-Instanzen laufen. Diese Instanzen, die häufig von Privatpersonen eingerichtet und betrieben werden, können miteinander verbunden werden. Ein weiterer Unterschied zu Twitter: Bei Mastodon gibt es keinen Algorithmus, der auf Basis der detaillierten Auswertung des persönlichen Nutzungsverhaltens Nachrichten sortiert und damit sogenannte »Filter-Blasen« generiert. Stattdessen werden die Neuigkeiten der abonnierten Kanäle chronologisch geordnet.
Wer sich ein Mastodon-Profil einrichten und darüber kommunizieren möchte, findet beispielsweise auf https://joinmastodon.org/servers eine Liste mit verfügbaren Instanzen. Für die Nutzung von Mastodon auf Mobilgeräten stehen in den App-Stores zahlreiche kostenfreie und oftmals quelloffene Applikationen zum Download bereit.
Über die Sächsische Datenschutzbeauftragte
Die Sächsische Datenschutzbeauftragte ist für Sachsen die unabhängige Datenschutz-Aufsichtsbehörde nach Artikel 51 Absatz 1 der Datenschutz-Grundverordnung (DSGVO). Dies ergibt sich im Hinblick auf nicht-öffentliche Stellen (z. B. Unternehmen und Vereine) aus § 14 Absatz 2 des Sächsischen Datenschutzdurchführungsgesetzes; im Hinblick auf öffentliche Stellen (z. B. Behörden) aus § 14 Absatz 1 desselben Gesetzes.
Seit 2022 hat Dr. Juliane Hundert das Amt inne und wird in ihrer Dienststelle in Dresden von über 30 Mitarbeiterinnen und Mitarbeitern unterstützt. Die Sächsische Datenschutzbeauftragte kontrolliert die Einhaltung der Datenschutzvorschriften und geht Beschwerden von Bürgerinnen und Bürgern nach. Zu den weiteren Aufgaben zählt unter anderem die Beratung sächsischer Verantwortlicher bei datenschutzrechtlichen Fragestellungen.
Mit Inkrafttreten des Sächsischen Transparenzgesetzes übernimmt Dr. Juliane Hundert ab 2023 auch die Funktion der Transparenzbeauftragten.
Tätigkeitsbericht 2021 veröffentlicht – Hoher Beratungsbedarf und Anstieg bei gemeldeten Datenpannen
Die Sächsische Datenschutzbeauftragte Dr. Juliane Hundert hat am Dienstag in Dresden ihren Tätigkeitsbericht für das zurückliegende Jahr vorgestellt. Der Bericht basiert im Wesentlichen noch auf dem Wirken der Datenschutzbehörde unter ihrem Amtsvorgänger Andreas Schurig, dessen Dienstzeit am 31. Dezember 2021 endete.
Auf über 200 Seiten sind Schwerpunkte der Aufsichtstätigkeit, Statistiken, Hinweise zur Auslegung der Datenschutz-Grundverordnung, zur Sanktionspraxis und Datenschutz-Rechtsprechung zusammengefasst. Außerdem enthält der Bericht eine Übersicht zu den veröffentlichten Dokumenten der Datenschutzkonferenz und des Europäischen Datenschutzausschusses.
Datenschutz in der Corona-Pandemie
Der Berichtszeitraum umfasst das zweite Pandemiejahr. Zahlreiche Vorgänge standen im Zusammenhang mit Corona-Schutz-Maßnahmen, wie beispielsweise die Testpflicht für Urlaubsrückkehrer (Beitrag 1.1), 3G-Regelung am Arbeitsplatz (1.1), Impfwerbung des Sozialministeriums (2.2.10), Testungen in Schulklassen (2.4.1) sowie die Quarantäne-Kontrolle durch Polizeibedienstete (2.4.5). Die Fragestellungen bewegten sich regelmäßig im Spannungsfeld zwischen einem wirksamen Infektionsschutz und dem nach Datenschutzrecht zulässigen Eingriffen in die Persönlichkeitsrechte der Bürgerinnen und Bürger.
Löschung von Corona-Datenbeständen
In Bezug auf die aktuelle Situation betont Dr. Juliane Hundert: „Unternehmen und Behörden haben noch vorhandene Corona-Datenbestände umgehend zu überprüfen und nicht mehr erforderliche Daten zu löschen. Für die Kontaktnachverfolgung, wie sie beispielsweise in Restaurants oder Behörden üblich war, gibt es inzwischen keine gesetzliche Grundlage mehr. Des Weiteren entfallen die Zutrittskontrollen zum Arbeitsplatz, denn Arbeitgeberinnen und Arbeitgeber dürfen den Impf-, Genesenen- und Teststatus von Beschäftigten grundsätzlich nicht mehr abfragen. Ausgenommen davon sind Einrichtungen und Unternehmen des Gesundheitswesens. Aufgrund der speziellen Regelungen im Gesundheitsbereich sind dort nach wie vor bestimmte Datenverarbeitungen erforderlich und damit rechtskonform. Das betrifft die einrichtungsbezogene Impfpflicht in § 20a Infektionsschutzgesetz (neu).
Bei den zu löschenden Informationen und Unterlagen handelt es sich oftmals um besonders schützenswerte Gesundheitsdaten. Vor allem solche Dokumente dürfen nicht einfach in den Papierkorb geworfen werden, sondern sind fachgerecht zu vernichten.“
Die datenschutzkonforme Vernichtung von Datenträgern sollte sich nach der DIN 66399 richten. Die Norm enthält auch Vorgaben zum Löschen von Papierdokumenten. Demnach sind Aktenvernichter der Sicherheitsstufe 4 oder höher geeignet.
Anzahl der Beratungen steigt erneut (6.2.3)
Die Beratung in Datenschutzfragen zählte 2021 weiterhin zu den Hauptaufgaben. Über 1.100 Vorgänge entfielen auf diesen Bereich – ein Plus von über 9 Prozent gegenüber dem Vorjahr. Das waren fast so viele Fälle wie im Jahr 2018, als die Datenschutz-Grundverordnung wirksam wurde.
„Im Zuge der Digitalisierung haben wir es häufig mit sehr komplexen Datenverarbeitungen zu tun. Daher empfehle ich datenverarbeitenden Stellen stets, frühzeitig ihre Datenschutzbeauftragten einzubeziehen. Dieses Vorgehen hat sich bewährt. Schließlich lassen sich somit viele Verstöße von vornherein verhindern. Natürlich können sich Verantwortliche mit ihren Fragen auch an mich und meine Dienststelle wenden.“, erläutert Dr. Juliane Hundert.
Zu den Beratungsvorgängen zählte beispielsweise auch ein wissenschaftliches Projekt, bei dem eine Forschungseinrichtung mithilfe von Videobeobachtung das Fahrverhalten von E-Scootern untersuchte (2.2.4). Das Beispiel zeigt: „Es ist möglich, dass Forschungsdaten so verarbeitet werden, dass die Persönlichkeitsrechte der Bürgerinnen und Bürger bestmöglich geschützt werden“, so die Sächsische Datenschutzbeauftragte und fügt hinzu: „Ich unterstütze die Forderung der Datenschutzkonferenz, Methoden zu entwickeln, die eine Verarbeitung von Forschungsdaten nach europäischen Werten ermöglichen.“
Hohes Beschwerdeaufkommen (6.2.2)
Das Aufkommen bei Beschwerden und Hinweisen zu Datenschutzverstößen lag mit 1.254 auf dem hohen Niveau des Vorjahres. Ein Teil davon betraf die sogenannten Telemedien. Dr. Juliane Hundert empfiehlt: „Betreiber von Websites und Apps sollten die Verwendung von Cookies und anderen Technologien dringend überprüfen. Der häufig unrechtmäßige Einsatz von Tracking- und Zusatzdiensten offenbart Informationsdefizite bei den Verantwortlichen. Hier liegt noch viel Aufklärungsarbeit vor uns.“
Im Tätigkeitsbericht finden Verantwortliche ein vereinfachtes Prüfschema, mit dem sich häufige Datenschutzschwachstellen bei Websites und Apps ermitteln lassen (4.1.1).
Gemeldete Datenpannen auf neuem Höchststand (4.4)
Nach Artikel 33 der Datenschutz-Grundverordnung sind Verantwortliche verpflichtet, im Falle der Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung diese der Aufsichtsbehörde zu melden.
„Im Berichtszeitraum sind 923 Meldungen von Datenschutzverletzungen in meiner Behörde eingegangen. Im Vergleich zum Vorjahr entspricht dies einer Steigerung um rund 45 Prozent. Wie in der Vergangenheit bereits prognostiziert steigt angesichts der fortschreitenden Digitalisierung auch das Risiko für Datenpannen“, erläutert die Sächsische Datenschutzbeauftragte.
Rund ein Drittel der Meldungen von Datenschutzverletzungen sind auf Cyberkriminalität zurückzuführen. Zu den besonderen Vorfällen zählten Anfang 2021 die Sicherheitslücken in Microsoft Exchange-Servern (4.4).
Weitere Fallgruppen, die im Berichtszeitraum besonders häufig auftraten: Fehlversand, offene E-Mail-Verteiler, Verlust auf dem Postweg, Verlust von Datenträgern und Datenschutzverletzungen durch Auftragsverarbeiter.
Breites Themenspektrum
Neben den Vorgängen, die im Zusammenhang mit der Pandemie standen, bearbeitete die Behörde eine große Vielfalt an weiteren Datenschutzthemen: Hingewiesen werden soll hier auf die Videoüberwachung durch Privatleute (2.2.6), den Einsatz einer Lernplattform mit künstlicher Intelligenz in der Schule (2.1.2), Internetveröffentlichungen von Wettkampfergebnissen im Jugendgolfsport (2.3.2), die biometrische Zutrittskontrolle in einer Freizeiteinrichtung (2.4.2), Stellungnahmen zu Gesetzesentwürfen und Rechtsverordnungen (6.2.7), Gesichtserkennung für die Strafverfolgung durch die Polizei (8.2) u. v. m.
Bezug des Tätigkeitsberichts 2021
Der Bericht der Sächsischen Datenschutzbeauftragten kann über den zentralen Broschürenversand des Freistaates Sachsen kostenfrei bestellt werden: publikationen.sachsen.de
Download als PDF-Datei: www.saechsdsb.de
Über die Sächsische Datenschutzbeauftragte
Die Sächsische Datenschutzbeauftragte ist für Sachsen die unabhängige Datenschutz-Aufsichtsbehörde nach Artikel 51 Absatz 1 der Datenschutz-Grundverordnung (DSGVO). Dies ergibt sich im Hinblick auf nicht-öffentliche Stellen (z. B. Unternehmen und Vereine) aus § 14 Absatz 2 des Sächsischen Datenschutzdurchführungsgesetzes; im Hinblick auf öffentliche Stellen (z. B. Behörden) aus § 14 Absatz 1 desselben Gesetzes.
Seit 2022 hat Dr. Juliane Hundert das Amt inne und wird in ihrer Dienststelle in Dresden von über 30 Mitarbeiterinnen und Mitarbeitern unterstützt. Die Sächsische Datenschutzbeauftragte kontrolliert die Einhaltung der Datenschutzvorschriften und geht Beschwerden von Bürgerinnen und Bürgern nach. Zu den weiteren Aufgaben zählt unter anderem die Beratung sächsischer Verantwortlicher bei datenschutzrechtlichen Fragestellungen.
Start des Zensus 2022 – Dr. Juliane Hundert: „Einhaltung des Datenschutzes wird kontrolliert“
Veröffentlicht am:
Am 15. Mai startet in Sachsen mit dem Zensus 2022 eine große Bevölkerungs-, Gebäude- und Wohnungszählung.
Das Statistische Landesamt organisiert die Erhebung, bei der rund 15 Prozent der sächsischen Bevölkerung im Rahmen einer Haushaltebefragung persönliche Informationen über sich preisgeben müssen. Die gesetzliche Grundlage bildet insbesondere das vom Bundesgesetzgeber verabschiedete Zensusgesetz 2022, wonach für Befragte eine Auskunftspflicht besteht. Weiterhin enthält das Gesetz detaillierte Regelungen zum Datenschutz und zur Datenverarbeitung.
Dazu erklärt die Sächsische Datenschutzbeauftragte Dr. Juliane Hundert:
„In seinem wegweisenden Volkszählungsurteil aus dem Jahr 1983 hat das Bundesverfassungsgericht das Grundrecht auf informationelle Selbstbestimmung festgeschrieben. Die Richter haben damit dem Staat bei Bevölkerungsbefragungen klare Grenzen gesetzt. Er muss unter anderem eine Rechtsgrundlage schaffen sowie organisatorische und verfahrensrechtliche Vorkehrungen treffen, damit die erhobenen Daten nicht in falsche Hände gelangen. In der Praxis heißt das beispielsweise, dass statistische Einzelangaben einer befragten Person streng geheim zu halten sind. Sie dürfen nicht an Verwaltungsbehörden oder Private herausgegeben werden. Mit meiner Behörde werde ich beim Zensus 2022 stichprobenartig überprüfen, ob die datenschutzrechtlichen Bestimmungen eingehalten werden. Bürgerinnen und Bürger haben schließlich ein Recht darauf, dass der Staat ihre Daten stets rechtskonform verarbeitet.“
Befragte Personen haben beim Zensus zum Beispiel Angaben zu ihrer Wohnsituation, zur Bildung und Erwerbstätigkeit zu machen.
Ein Teil der Erhebung ist die Haushaltebefragung. Dabei nehmen Beauftragte des Statistischen Landesamts persönlich Kontakt zu den auskunftspflichtigen Personen auf.
Die zweite Säule bildet die Gebäude- und Wohnungszählung (GWZ). Alle Eigentümerinnen und Eigentümer sowie Verwalterinnen oder Verwalter von Wohneigentum erhalten hierzu Post. Bei der GWZ wird kein persönlicher Kontakt durch Erhebungsbeauftragte aufgenommen. Zu befragende Personen erhalten Zugangsdaten zum Online-Fragebogen. Über eine Hotline können sie auch einen Papierfragebogen anfordern.
Über die Sächsische Datenschutzbeauftragte
Die Sächsische Datenschutzbeauftragte ist für Sachsen die unabhängige Datenschutz-Aufsichtsbehörde nach Artikel 51 Absatz 1 der Datenschutz-Grundverordnung (DSGVO). Dies ergibt sich im Hinblick auf nicht-öffentliche Stellen (z. B. Unternehmen und Vereine) aus § 14 Absatz 2 des Sächsischen Datenschutzdurchführungsgesetzes; im Hinblick auf öffentliche Stellen (z. B. Behörden) aus § 14 Absatz 1 desselben Gesetzes.
Seit 2022 hat Dr. Juliane Hundert das Amt inne und wird in ihrer Dienststelle in Dresden von über 30 Mitarbeiterinnen und Mitarbeitern unterstützt. Die Sächsische Datenschutzbeauftragte kontrolliert die Einhaltung der Datenschutzvorschriften und geht Beschwerden von Bürgerinnen und Bürgern nach. Zu den weiteren Aufgaben zählt unter anderem die Beratung sächsischer Verantwortlicher bei datenschutzrechtlichen Fragestellungen.
Mehr Informationen: www.saechsdsb.de
Oberste Landesbehörden müssen rechtskonformen Betrieb von Facebook-Fanpages nachweisen
Veröffentlicht am:
Dr. Juliane Hundert informiert Staatskanzlei über neues Gutachten der Datenschutzkonferenz
Ob in Ministerien, Universitäten oder Stadtverwaltungen: Facebook-Fanpages sind bei öffentlichen Stellen immer noch weit verbreitet. Dabei hat der Europäische Gerichtshof bereits im Jahr 2018 in einem Urteil deutlich gemacht: Die Hürden für eine datenschutzkonforme Facebook-Nutzung liegen für öffentliche Stellen hoch, denn sie sind gemeinsam mit Facebook für die Einhaltung des Datenschutzes verantwortlich.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat nun ein Gutachten zur datenschutzrechtlichen Konformität des Betriebs von Facebook‐Fanpages vorgelegt. Es bestätigt die Rechtsprechung und berücksichtigt auch neuere gesetzliche Regelungen.
Im Ergebnis heißt es: „Für die bei Besuch einer Fanpage ausgelöste Speicherung von Informationen in den Endeinrichtungen […] sowie für die Verarbeitungen personenbezogener Daten, die von Seitenbetreibern verantwortet werden, sind keine wirksamen Rechtsgrundlagen gegeben. Darüber hinaus werden die Informationspflichten aus Art. 13 DSGVO nicht erfüllt.“
Die Sächsische Datenschutzbeauftragte Dr. Juliane Hundert erklärt dazu: „Kann eine Behörde die datenschutzrechtliche Konformität ihrer Fanpage-Nutzung nicht nachweisen, muss sie ihre Seite deaktivieren. Es ist allseits bekannt, wie intransparent die Daten von Nutzerinnen und Nutzern auf dieser Plattform verarbeitet werden. Dabei entstehen komplexe Persönlichkeitsprofile, die beispielsweise in autoritären Staaten auch zur Manipulation von Wahlen eingesetzt werden können. Behörden, die eine Facebook-Fanpage betreiben, sollten sich darüber im Klaren sein, dass die Nutzung unweigerlich mit Rechtsverstößen gegen den Datenschutz verbunden ist. Deshalb ist es für öffentliche Stellen höchste Zeit, sich mit Facebook zusammenzusetzen und eine datenschutzkonforme Nutzung zu vereinbaren oder sich von Facebook zu verabschieden.“
Auf der 103. Datenschutzkonferenz hatten sich die Datenschutzbeauftragten der Länder und des Bundes dazu entschlossen, die ihrer Aufsicht unterstehenden obersten Bundes- und Landesbehörden über das DSK-Gutachten zu informieren. Sie haben vereinbart, auf die Deaktivierung von Facebook-Fanpages hinzuwirken, wenn die Verantwortlichen die datenschutzrechtliche Konformität nicht nachweisen können.
Auch die Sächsische Staatsregierung betreibt Facebook-Fanpages. Die Sächsische Datenschutzbeauftragte hat das Gutachten bereits an die Staatskanzlei weitergeleitet. Nun müssen die Verantwortlichen belegen, dass ihre Fanpages datenschutzkonform betrieben werden oder mitteilen, bis wann der Seitenbetrieb eingestellt wird.
Sollte es zu keiner Lösung kommen, kann die Sächsische Datenschutzbeauftragte gemäß der Datenschutz-Grundverordnung die Verarbeitung personenbezogener Daten verbieten.
Dr. Juliane Hundert betont: „Öffentliche Stellen müssen sich an Recht und Gesetz halten. Sie haben zudem eine Vorbildfunktion. Die Überprüfung der Fanpages der obersten Landesbehörden ist nur ein erster Schritt. Andere Behörden, zum Beispiel Kommunen, müssen die Datenschutzkonformität ihrer Facebook-Fanpages ebenfalls prüfen. Der Einsatz dieser Social-Media-Plattform ist in den allermeisten Fällen rechtswidrig. Auf Nummer sicher geht, wer auf dieses Soziale Netzwerk verzichtet. Stattdessen empfehle ich, das Informationsangebot datenschutzkonform auf der eigenen Website auszubauen und andere datenschutzfreundliche Kommunikationswege aufzubauen. Davon profitieren alle Bürgerinnen und Bürger, nicht nur Facebook-Nutzende.“
Über die Sächsische Datenschutzbeauftragte
Die Sächsische Datenschutzbeauftragte ist für Sachsen die unabhängige Datenschutz-Aufsichtsbehörde nach Artikel 51 Absatz 1 der Datenschutz-Grundverordnung (DSGVO). Dies ergibt sich im Hinblick auf nicht-öffentliche Stellen (z. B. Unternehmen und Vereine) aus § 14 Absatz 2 des Sächsischen Datenschutzdurchführungsgesetzes; im Hinblick auf öffentliche Stellen (z. B. Behörden) aus § 14 Absatz 1 desselben Gesetzes.
Seit 2022 hat Dr. Juliane Hundert das Amt inne und wird ihrer Dienststelle in Dresden von über 30 Mitarbeiterinnen und Mitarbeitern unterstützt. Die Sächsische Datenschutzbeauftragte kontrolliert die Einhaltung der Datenschutzvorschriften und geht Beschwerden von Bürgerinnen und Bürgern nach. Zu den weiteren Aufgaben zählt unter anderem die Beratung sächsischer Verantwortlicher bei datenschutzrechtlichen Fragestellungen.
Mehr Informationen: www.saechsdsb.de
Digitalisierung sicher gestalten: Mehr Schutz vor Cyberattacken notwendig
Veröffentlicht am:
Sachsens Datenschutzbeauftragter plädiert für mehr Prävention.
Jeder Cyberangriff kostet im Schnitt mehr als 21.000 Euro.
Angesichts der jüngsten Hacker-Angriffe gegen deutsche Unternehmen plädiert der Sächsische Datenschutzbeauftragte für deutlich mehr Prävention. „Sachsens Unternehmen sollten nicht erst warten, bis sie das Opfer von Hacker-Attacken geworden sind“, sagt Andreas Schurig. Im Gegenteil: „Prävention ist wirksamer und wichtiger als je zuvor, damit Daten von Kunden und Mitarbeitern nicht in die falschen Hände gelangen.“
Zuwachs bei gemeldeten Datenpannen
Nach der Datenschutz-Grundverordnung müssen Unternehmen genauso wie Organisationen und die Verwaltung Datenschutzverletzungen bei der zuständigen Aufsichtsbehörde melden. Der Trend in Sachsen zeigt hierbei deutlich nach oben: Im Jahr 2018 meldeten Verantwortliche dem Sächsischen Datenschutzbeauftragten 227 Fälle. 2019 waren es 450 Meldungen. 2020 verzeichnete die Behörde einen Anstieg um 40 Prozent auf 635 Meldungen. Und diese kontinuierliche Steigerung setzt sich 2021 fort: In den vergangenen zehn Monaten wurden bereits 750 Meldungen registriert. Davon sind rund ein Drittel auf Cyberkriminalität zurückzuführen – ein spürbarer Zuwachs in der Arbeit des Sächsischen Datenschutzbeauftragten. „Allerdings gehe ich davon aus, dass es in Wirklichkeit viel mehr Betroffene gibt. Die Dunkelziffer dürfte sehr hoch sein“, sagt Andreas Schurig. Und diese Hacker-Angriffe sind für die betroffenen Unternehmen und Organisationen teuer: Eine Cyberattacke kostet im Schnitt 21.818 EUR je Vorfall (Quelle: Statista). Die Zahl der Angriffe und das Ausmaß der Schäden nehmen stark zu. Insgesamt belaufen sich die Kosten für digitale Angriffe auf die deutsche Wirtschaft allein 2020 auf ca. 24,3 Milliarden Euro. Das waren viermal mehr als noch 2019 (Quelle: Bitkom-Studie).
Noch gravierender sind durch Erpressungssoftware (engl. “Ransomware”) verursachte Schäden: Die durchschnittlichen Gesamtkosten der Firmen für die Behebung eines Angriffs durch Erpressungssoftware liegen bei ca. einer Million Euro; etwa 46 Prozent der deutschen Unternehmen sind betroffen (Quelle: Sophos State of Ransomware 2021). “Diese Entwicklung ist sehr besorgniserregend. Mangelhafte Datensicherheit offenbart meist auch Schwächen beim Datenschutz. Das ist nicht nur für die betroffenen Unternehmen existenzbedrohend, sondern auch für Menschen, deren Daten in den Besitz von Kriminellen gelangen. Identitätsdiebstahl gehört dabei zu den schlimmsten Folgen. Betroffenen droht ein finanzieller und sozialer Totalschaden“, warnt Andreas Schurig.
Vorsorge bestes Mittel
Gleichzeitig macht der oberste sächsische Datenschützer klar, dass Prävention und Vorsorge die richtigen Mittel gegen Hacker-Angriffe und Cyber-Erpressung sind. „Der beste Schutz ist, auf den Ernstfall gut vorbereitet zu sein.“ Folgende Vorkehrungen sind zu empfehlen:
Daten sichern! Die Daten von Firmen und Organisationen müssen unbedingt gesichert sein. Diese Backups sollten selbst nicht von Cyberangriffen erfasst werden können.
Firewall richtig konfigurieren! Die Firewall sollte nur erforderliche Datenverbindungen zulassen. Auch ein Frühwarnsystem über ungewöhnlich hohen Datenverkehr kann Systemverantwortlichen dabei helfen, größeren Schaden abzwenden.
Notfallplan beachten! Für die Fälle von Cyber-Erpressungen bzw. Hacker-Angriffen sollte ein Notfallplan vorliegen, der im Akutfall abzuarbeiten ist. Dazu gehört auch eine Regelung, wann der IT-Administrator, Datenschutzbeauftragte oder auch die Mitarbeiter, Unternehmensleitung und Kunden zu informieren sind.
Reservetechnik vorhalten! Eine dringende Empfehlung ist zudem, Reservetechnik vorzuhalten. Ermittler können das angegriffene IT-System forensisch untersuchen, während das Unternehmen trotz Cyberangriff rasch wieder arbeitsfähig ist.
Frühzeitig kommunizieren! Verantwortliche sollten betroffene Personen oder Abteilungen auch dann schnell über den Vorfall informieren, wenn noch nicht sicher ist, ob und welche personenbezogenen Daten betroffen sind.
Weiterbildung! IT-Verantwortliche und all jene, die in Unternehmen und Organisationen für die IT-Sicherheit zuständig sind, benötigen regelmäßig Weiterbildungen.
„Prävention ist eine richtige und kluge Investition, die sich im Fall einer Attacke erheblich auszahlt“, sagt Sachsens Datenschutzbeauftragter Andreas Schurig. Die Alternative zu Prävention sei bei Cyber-Erpressung oftmals nur der teure Freikauf.
Anzeige und Meldung bei der zuständigen Datenschutzbehörde
Im Falle einer Verletzung des Schutzes personenbezogener Daten hat der Verantwortliche gemäß Artikel 33 der Datenschutz-Grundverordnung unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, dies dem Sächsischen Datenschutzbeauftragten zu melden. Dazu bietet die Behörde auf ihrer Website ein Online-Formular an, mit dem die Verantwortlichen alle relevanten Informationen schnell und unkompliziert übermitteln können.
Welche Informationen benötigt der Sächsische Datenschutzbeauftragte?
Bei einem Hackerangriff, Datendiebstahl oder anderen Attacken sollten Unternehmen bzw. Verantwortliche sich so schnell wie möglich bei der Polizei melden. Parallel sollte die Datenschutzverletzung dem Sächsischen Datenschutzbeauftragten mitgeteilt werden. Wichtige Angaben für eine solche Meldung nach Artikel 33 Datenschutz-Grundverordnung sind:
Angaben zum Verantwortlichen (Name des betroffenen Unternehmens/Vereins etc.) inkl. Telefon- und E-Mail-Kontakt;
Zeitraum der Panne sowie Zeitpunkt des Vorfalls;
Angaben zu Bereich und Kategorie des Vorfalls (z. B. Hacking, Diebstahl usw.);
Angaben zu betroffenen Daten (z. B. Adressen, E-Mail-Adressen, Bank- oder Kreditdaten, Passwörter, Gesundheit)
Angaben zum Vorfall und zu den ergriffenen und/oder beabsichtigten Maßnahmen.
Auf die Meldung der Datenpanne folgt die Prüfung durch den Sächsischen Datenschutzbeauftragten. Hierbei ist vor allem von Interesse: Welcher Schaden könnte Personen durch den Vorfall entstehen bzw. welcher Schaden ist bereits eingetreten? Wie konnte es dazu kommen und welche Vorkehrungen sind zukünftig zur Vermeidung einer Wiederholung zu ergreifen? Sofern erforderlich, steht der Sächsische Datenschutzbeauftragte bei der Klärung dieser Fragen mit dem Verantwortlichen im Austausch und berät bei den zu ergreifenden Maßnahmen. Das Ziel ist stets, Bürgerinnen und Bürger bei hohen Risiken zu informieren und sie durch die richtigen Maßnahmen vor Schaden zu bewahren.
Über den Sächsischen Datenschutzbeauftragten
Der Sächsische Datenschutzbeauftragte ist für Sachsen die unabhängige Datenschutz-Aufsichtsbehörde nach Artikel 51 Absatz 1 der Datenschutz-Grundverordnung (DSGVO). Dies ergibt sich im Hinblick auf nicht-öffentliche Stellen (z. B. Unternehmen und Vereine) aus § 14 Absatz 2 des Sächsischen Datenschutzdurchführungsgesetzes; im Hinblick auf öffentliche Stellen (z. B. Behörden) aus § 14 Absatz 1 desselben Gesetzes.
Seit 2004 hat Andreas Schurig das Amt inne und wird in seiner Dienststelle in Dresden von über 30 Mitarbeiterinnen und Mitarbeitern unterstützt. Der Sächsische Datenschutzbeauftragte kontrolliert die Einhaltung der Datenschutzvorschriften und geht Beschwerden von Bürgerinnen und Bürgern nach. Zu den weiteren Aufgaben zählt unter anderem die Beratung sächsischer Verantwortlicher bei datenschutzrechtlichen Fragestellungen.
RSS Feed abonnieren