Gefahr

Big Brother Awards, Informationssicherheit, Datenschutz, der Mensch

Big Brother Awards 2020

Viele haben schon von ihnen gehört, aber keine konkrete Vorstellung. Die Big Brother Awards sind eine internationale Auszeichnung, die in Deutschland gestartet und bereits in 19 Ländern verliehen wurde.  Sie wird vom  Digitalcourage e.V., einem Verein u.a. für Datenschutz und Informationsfreiheit seit dem Jahr 2000 jährlich ausgerichtet. Als Negativpreis zeichnet Einrichtungen und Personen aus, die Privatsphäre und Datenschutz in herausragender Weise ignorieren und kompromittieren. 

Traditionell finden die Big Brother Awards im Stadttheater Bielefeld statt. Die für diesen Monat – am 30.04.2020 – geplante Preisverleihung wird aus aktuellem Anlass verschoben und der Ersatztermin neu bekannt gegeben. 

Umsetzung der Big Brother Awards 

Werden etwa Daten entgegen der ursprünglichen Motivation ihrer Erhebung verwendet und gar gehandelt, so liegt regelmäßig das Fehlen einer Zweckbindung und einer Rechtsgrundlage vor, zwei der elementaren Forderungen des geltenden europäischen Datenschutzrechts

Ein Ziel der Auszeichnung ist das Publikmachen von rechtswidrigen Ambitionen und Handlungen, welche die Informationssicherheit im weiteren Sinne und demokratische Kriterien fahrlässig oder vorsätzlich belasten. Damit möchten die Preisverleiher die Verursacher unter Druck setzen und damit zur Transparenz veranlassen. Die voraussichtlich von den Preisträgern unerwünschten Schlagzeilen sind dabei offiziell erwünschtes Resultat der Verleihung der Big Brother Awards. 

Die Jury hierzulande setzt sich aus Vertretern der Digitalcourage e.V., der Deutschen Vereinigung für Datenschutz  (DVD), des Forums InformatikerInnen für Frieden und gesellschaftliche Verantwortung  (FIfF), des Fördervereins Informationstechnik und Gesellschaft  (Fitug), des Chaos Computer Clubs  (CCC), der Humanistischen Union  (HU) und der Internationalen Liga für Menschenrechte  (ILMR) zusammen. Bei diesen Organisationen handelt es sich nicht – wie gerne kolportiert – um (Cyber-) Kriminelle, sondern um Einrichtungen, die sich für den Schutz und die Kultivierung dieser gesetzlich vorgeschriebenen Rechte verpflichten. Sehen Sie selbst: 

Preisträger des vorigen Jahres 

  • In der Kategorie Technik ging der Big Brother Award 2019 an das Europäische Institut für Telekommunikationsnormen (ETSI), Abteilung „Technical Committee CYBER“. Dies betraf Forschungen zu einem neuen geplanten Standard „ETS“ (vormals „eTLS“) für eine Sollbruchstelle in der Verschlüsselung im Internet, der es staatlichen Behörden erlaubt, Onlineverbindungen zu entschlüsseln. Während vielerorts Gerätehersteller die Sollbruchstelle ausbauen, forscht man hier an der finalen Beseitigung von Datenschutz und Grundrechten aus der Digitalisierung. Eine wohlverdiente Preisverleihung für den größten bevorstehenden Rückschritt der BRD. 
  • In der Kategorie Verbraucherschutz – „ZEIT“. Das Online-Modul der Zeitung hat für das so heimatlich und aufrecht klingende Projekt „Deutschland spricht“ Google-Dienste eingesetzt, über die politische Ansichten der „sprechenden Deutschen“ an Server in den USA übermittelt wurden. Das Nachfolgeprojekt von „Deutschland spricht“ ließ sich die Zeit anschließend gleich von Google direkt finanzieren. Eine echte Arbeit „am Bürger“. Dass „Zeit Online“ zudem Werbetracker und Facebook-Pixel einsetzte, trug ebenfalls zur Preisverleihung bei. 
  • Ein besonderes Schmankerl der bereits implizit potenziell rechtswidrigen Überwachung ist Palantir. Der zugehörige Preisträger des Big Brother Awards in der Kategorie Behörden & Verwaltung – der hessische Innenminister Peter Beuth. Unter seiner Federführung kam man mit dem auch bei der CIA geschätzten US-Unternehmen Palantir ins Geschäft. Eingesetzt wird seither deren Analysesoftware mit zugehörigem Zugriff des Unternehmens auf umfangreiche Datenbestände der hessischen Polizei von den USA aus. Hoffentlich hat man auch an den AV-Vertrag gedacht 🙂 Die Software erlaubt es, Massendaten aus externen sowie Polizeiquellen automatisiert zu analysieren und nach eigens definierbaren Kriterien auszuwerten. Die DSGVO spricht bei solchen Verarbeitungen u.a. direkt vom Profiling und knüpft mit Art. 22 hieran strenge Kriterien. Dieses naturgemäß nur in den Händen professioneller Informatiker kontrollierbare Instrument dürfte in der alltäglichen Anwendung durch mehr oder weniger geschulte Sachbearbeiter Auswirkungen auf die faktische Existenz von Grundrechten, Datenschutz und Informationssicherheit generell haben. 
  • In Sachen Biotechnik ging der Big Brother Award 2019 an die weit verbreitet bekannte Firma Ancestry.com. Personen, die Familienforschung betreiben wollten, wurden aufgefordert, ihre Speichelproben einzusenden. Die daraus gewonnenen Gen-Daten wurden anschließend von Ancestry an die kommerzielle Pharmaforschung verkauft, u.a. Grundlage verdeckter Vaterschaftstest und für polizeiliche genetische Rasterungen. 
  • Der Big Brother Award 2019 in der Kategorie Kommunikation ging an die Firma Precire mit ihrer Sprachanalyse-Software, die Auswahl von Bewerbern und die Analyse der Emotionen von Anrufern ermöglicht. 

Weitere Stellungnahmen, Inhalte und die vollständige Sendung Preisverleihung 2019 finden Sie auf der Website der Big Brother Awards. 

Übersicht der DSGVO Bußgelder

Mit schöner Regelmäßigkeit hört und liest man in den Medien etwas von Bußgeldern im Datenschutz basierend auf der DSGVO oder anderer Datenschutzgesetze. Merken kann man sich die alle nicht. Doch es kann nicht schaden, das eine oder andere Bußgeld für verschiedene Formen an Datenschutzverstößen zu kennen. DSGVO Bußgelder sollten zwar nicht der alleinige Antrieb zur Einhaltung von Rechtsvorschriften sein, aber vielleicht muss man als interner oder externer Datenschutzbeauftragter auch mal mit Zahlen kommen, damit sich etwas in der Organisation bewegt 🙂

Übersicht der DSGVO Bußgelder

Und da ist es sehr hilfreich, dass sich die Betreiber von https://dsgvo-portal.de die Mühe machen, stets aktuelle Bußgelder zu erfassen und zu katalogisieren. Kann ja ganz hilfreich sein, zu wissen und anzuführen, dass für Werbeanrufe ohne Einwilligung, Informationsmängel in Apps und unzureichende TOM (technische und organisatorische Maßnahmen) die italienische Datenschutzaufsicht im Januar 2020 ein Bußgeld in Höhe von 27,8 Mio Euro verhängt hat. Die genannten Verstöße sind ja nicht selten. Vielleicht ein weiterer Anstoß, um solche Mängel in der eigenen Organisation anzugehen.

Die im Portal gelisteten DSGVO Bußgelder lassen sich nach diversen Kriterien sortieren und anzeigen, z.B. nach Bußgeldhöhe, Datum, Land und auch Bußgeldempfänger (da finden sich einige alte Bekannte, aber auch sehr viele neue Namen). Ein Wermutstropfen, wenn man das so sehen mag, ist jedoch vorhanden: In der Übersicht finden sich die Bußgelder, welche von den Aufsichtsbehörden verhängt wurden. Das muss nicht identisch sein, was von den betroffenen Organisationen z.B. nach Beschreiten des Rechtsweges dann wirklich gezahlt wurde. Sofern es hierzu Erkenntnisse gibt, finden sich diese unter den Details, die man zu jedem Vorgang aufrufen kann. Darin wird auch die Art des Verstoßes weiter konkretisiert.

Danke an die Betreiber des Portals.

Informationssicherheitskonzept Arbeitshilfe V 3.0 erschienen – jetzt mit LSI Siegel

Wer benötigt ein Informationssicherheitskonzept?

Jede Organisation ist gefordert, die Anforderungen aus Art. 32 DSGVO zu erfüllen. Da steht in Absatz 1:

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:

a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Unter b) sind die Grundwerte der Informationssicherheit Vertraulichkeit, Verfügbarkeit und Integrität genannt. Betrachten wir die Kurzdefinitionen aus der Informationssicherheit hierzu.

Vertraulichkeit: Keine unberechtigte Kenntnisnahme (bis hin zum Mißbrauch) der Informationen, weder durch Mitarbeiter noch durch Externe.

Integrität: Die Informationen sind korrekt, vollständig und unverfälscht. Änderungen sind nachvollziehbar und rückgängig zu machen.

Verfügbarkeit: Die Informationen stehen zur richtigen Zeit am richtigen Ort zur Verfügung (nicht beschränkt auf IT-Verfügbarkeit). [Verfügbarkeit ist in der Tat erst an dritter Stelle, auch wenn in der Praxis um das Thema Ausfallzeiten gerne der Tanz um das goldene Kalb stattfindet.]

Diese Grundwerte der Informationssicherheit sicherzustellen, ist das Ziel eines jeden Informationssicherheitskonzepts, auch des Standards der sog. „Arbeitshilfe“.

Unterpunkt d) verlangt von Ihrer Organisation, die Wirksamkeit der im Hinblick auf Vertraulichkeit, Integrität und Verfügbarkeit ergriffenen technischen und organisatorischen Maßnahmen regelmäßig zu prüfen und bei Bedarf nachzujustieren oder geeignete zusätzliche bzw. ergänzende Schutzmaßnahmen einzuführen. Auch dies ist eine der Kernfunktionen eines funktionierenden Informationssicherheitskonzepts.

Salopp gesagt, verlangt die DSGVO von Organisationen in diesem Fall nicht weniger als die Einführung eines Informationssicherheitskonzepts und dessen kontinuierlichen Betrieb. Klar kann man versuchen, sich auch selbst ein Konzept zu „basteln“, bleibt nur die Frage „Wieso sollte man das tun?“

Bayerische Kommunen sind per Gesetz (BayEGovG) sogar dazu verpflichtet, bis zum 01.01.2020 ein Informationssicherheitskonzept eingeführt und im laufenden Betrieb zu haben.

Bewährte Standards wie die ISO 27001, der BSI IT-Grundschutz, ISIS12 (als Ableitung aus dem IT-Grundschutz) sind seit vielen Jahren bewährte Standards, um ein Informationssicherheitskonzept einzuführen, zu betreiben und damit auch die Anforderungen aus Art. 32 DSGVO zu erfüllen. Diese Standards skalieren zwar auch für kleinere Organisationen, sind dennoch sehr ressourcenintensiv. Hier hat für den kommunalen Bereich die Innovationsstiftung Bayerische Kommune im Auftrag der Bayerischen Kommunalen Spitzenverbände angesetzt und gerade für kleinere kommunale Einrichtungen durch a.s.k. Datenschutz die „Arbeitshilfe zur Einführung eines Informationssicherheitskonzepts nach Art. 11 BayEGovG“ entwickeln lassen. Dieser Standard basiert auf den Erkenntnissen und Vorgehensweisen aus zahlreichen IT-Grundschutz-Projekten sowie dem früheren „Quick Check Datenschutz + Datensicherheit“. Entgegen der Bezeichnung und ursprünglichen Ausrichtung auf den kommunalen Bereich ist die „Arbeitshilfe“ universell einsetzbar und natürlich auch in Unternehmen einsetzbar. Hierzu sind lediglich Begrifflichkeiten anzupassen, statt Bürgermeister heißt es dann eben Geschäftsführer.

Standard für Informationssicherheit Arbeitshilfe Version 3.0 erschienen

Am 26. September 2019 ist die Arbeitshilfe mittlerweile in Version 3.0 erschienen. Die Weiterentwicklung und Anpassung oblag erneut uns von der a.s.k. Datenschutz. Neben Aktualisierungen z.B. bei Links zum gerade aufgefrischten BSI IT-Grundschutz stand neben der Fehlerkorrektur die Anpassung an das Siegel „Kommunale IT-Sicherheit“ des Landesamts für Sicherheit in der Informationstechnik – kurz LSI – in Nürnberg im Vordergrund. Wenn Sie mehr über das LSI Siegel erfahren wollen, finden Sie Details hierzu in einem weiteren Blogbeitrag.

Kommunale Einrichtungen, die sich zur Einführung eines Informationssicherheitskonzepts auf Basis der Arbeitshilfe entscheiden, erfüllen mit der Umsetzung die Anforderungen des LSI zum Erhalt des Siegels „Kommunale IT-Sicherheit“. Das setzt natürlich eine ernsthafte und ehrliche Bearbeitung der 9 Kapitel der Arbeitshilfe zur Informationssicherheit in der Kommune voraus.

Hier geht es direkt zum Download der Arbeitshilfe V 3.0. Sollte der Link nicht mehr funktionieren, nutzen Sie bitte die Startseite der Innovationsstiftung und suchen die Veröffentlichung vom 28.09.2019.

Mit a.s.k. Datenschutz und der Arbeitshilfe zum Siegel „Kommunale IT-Sicherheit“

Wenn Sie sich bei der Einführung der Arbeitshilfe in Ihrer Verwaltung durch das Team von a.s.k. Datenschutz unterstützen lassen, dann übernehmen wir am Ende die Formalitäten der notwendigen Angaben und Auskünfte gegenüber des LSI. Einem Erhalt des Siegels sollte dann nichts mehr im Wege stehen.

Sollten wir Sie im Anschluß auch als externe Informationssicherheitsbeauftragte betreuen, kümmern wir uns mit Ihnen gemeinsam auch um die Verlängerung des Siegels nach Ablauf der 2 Jahre Gültigkeitsdauer. Dazu muss dem LSI der Weiterbetrieb Ihres Informationssicherheitskonzepts belegt bzw. nachgewiesen werden. Auch dies würden wir von a.s.k. Datenschutz übernehmen.

Übrigens nutzen wir zur Einführung und zum Betrieb Ihres Informationssicherheitskonzepts auf Basis der Arbeitshilfe eine hochmoderne und vollverschlüsselte Projektplattform. Damit wird die Bearbeitung der Punkte zwar kein Kinderspiel, aber die Dokumentation dazu erledigt sich fast von selbst. Gleichzeitig versäumen Sie und wir keine Revisionstermine und Wiedervorlagen. Mehr Infos in diesem Blogbeitrag. Unsere Plattform ist bereits für Version 3.0 der Arbeitshilfe aktualisiert und angepasst.

Unternehmen und die Arbeitshilfe als Informationssicherheitskonzept

Wie eingangs schon beschrieben, ist auch dies kein Problem. In der Wortwahl werden zwar kommunale Funktionen adressiert, aber die inhaltlichen Anforderungen an Informationssicherheit sind zwischen Unternehmen und Behörden identisch. Ersetzen Sie in Gedanken einfach Begriffe wie „Bürgermeister“ mit „Geschäftsführer“ und schon sind Sie in der Unternehmenswelt angekommen.

Das einzige Manko: Das LSI Siegel „Kommunale IT-Sicherheit“ kann nur von kommunalen Einrichtungen erworben werden. Als Unternehmen sind Sie hier außen vor. Gerne unterstützen wir auch Ihr Unternehmen bei der Einführung eines Informationssicherheitskonzepts.

Angebot Informationssicherheitskonzept für Kommunen bzw. Behörden

Sie wünschen ein unverbindliches Angebot? Dann nutzen Sie einfach unser verschlüsseltes Anfrage-Formular. Wir melden uns zeitnah bei Ihnen.

Unverbindliches Angebot anfordern

 

 

 

 

BSI warnt vor GermanWiper: Löschen statt Verschlüsseln ist die Devise dieses Trojaners

Wer aktuell eine Bewerbung per Email erhält, sollte besonders wachsam sein. Hatten auf Stellenanzeigen hin präparierte Krypto-Trojaner wie Golden Eye damals das Verschlüsseln aller Daten auf dem Zielsystem im Sinn, sieht das bei GermanWiper nun anders aus. Statt Verschlüsselung greift diese neue Ransomware zum Löschen aller Daten. Im angehängten ZIP-Archiv befindet sich dieses Mal kein Word-Dokument mit Makros, sondern eine Windows-Link-Datei. Wird diese gestartet, öffnet sich die Windows Powershell und der eigentliche Schadcode von GermanWiper wird geladen und ausgeführt. Lt. BSI gibt der Text der Email noch keinen Anlass zum Argwohn. Unbedarfte bzw. unsensibilisierte Anwender dürften also durchaus eine Risikogruppe für diesen Angriff darstellen.

Hoffen auf eine Lösegeldforderung nach möglicher Bitcoin-Lösegeldzahlung braucht man bei GermanWiper nicht. Denn statt zur Verschlüsselung zu greifen, löscht GermanWiper einfach alle Daten im Rahmen der Zugriffsrechte des Anwenders. Gelöscht wird nicht mit dem klassischen Verschieben in den Papierkorb und anschließendem Leeren des Papierkorbs. In diesem Fall wären die Daten meist mit mehr oder weniger Aufwand wiederherstellbar. GermanWiper überschreibt vorhandene Daten mit Nullen. Perfide: Am Ende zeigt GermanWiper doch einen Lösegeldbildschirm an. Darauf eingehen, sollte man jedoch nicht. Denn die von GermanWiper gelöschten Daten können auch nach Zahlung von Lösegeld nicht mehr wiederhergestellt werden.

Wohl dem, der ein funktionsfähiges und regelmäßig geprüftes Backup seiner Daten hat. Dieses sollte selbstverständlich „offline“ sein, also durch einen Angriff wie mit GermanWiper nicht erreichbar sein. Berechtigungskonzepte sollten nach dem least privilege Prinzip umgesetzt sein (nur so viele Zugriffsrechte wie zwingend notwendig). Externe Laufwerke aber auch Netzlaufwerke sollten wirklich nur im Fall der Datensicherung verbunden sein und danach wieder getrennt werden. Eine Grundanforderung ist ebenfalls: Ein Administrator surft mit seinen erweiterten Rechten nicht im Internet und liest damit auch keine Emails. Für diese Tätigkeiten steht ein eingeschränkter Account zur Verfügung.

Im Rahmen eines Informationssicherheitskonzepts aber auch bei regelmäßig durch den Datenschutzbeauftragten geprüften technischen und organisatorischen Maßnahmen sollte dies gewährleistet sein. Auch regelmäßige Tests zur Datenwiederherstellung (Recovery-Tests) helfen, diesem Risiko zu begegnen. Vielleicht wäre es auch ein guter Zeitpunkt, die schon eine Weile zurückliegende Sensibilisierung der Mitarbeiter nachzuholen.

Sie verfügen noch über keinen Datenschutzbeauftragten? Mit einem Informationssicherheitskonzept wie dem BSI IT-Grundschutz, ISIS12 oder der Variante „Arbeitshilfe“ für kleinste Einrichtungen haben Sie zwar schon geliebäugelt, aber noch nichts dergleichen umgesetzt? Dann sprechen Sie uns gerne an. Gerne unterstützen wir Sie auch als externe Datenschutzbeauftragte und externe Informationssicherheitsbeauftragte mit unserem Team in Berlin, Simmelsdorf und München und unserer über 10 Jahre bewährten Erfahrung mit pragmatischen Lösungen.

Schadcode über Excel Power Query statt Makros

Der klassische Angriffsweg: Schadcode über Makros in Office-Dokumenten

Das Angriffszenario kennen wir zur Genüge. Eine Word- oder Excel-Datei enthält Makro-Code, der nach Öffnen des Dokuments und einen unachtsamen Klick des Nutzers auf „Makros aktivieren“ den eigentlichen Schadcode (zumeist einen Verschlüsselungstrojaner) nachlädt. Es soll sogar ganz Hartgesottene geben, in deren Office-Installation „Makros automatisch ausführen“ eingestellt ist, spart nämlich viel Arbeitszeit 😉

Informierte Anwender und IT-Abteilungen können mit diesem Risiko mittlerweile recht gut umgehen. Neben den technischen Lösungen ist natürlich auch die regelmäßige Sensibilisierung der Anwender zwingend nötig. Diese sind nämlich keine Security-Spezialisten und sollten rechtzeitig und immer wieder auf neue möglichen Stolperfallen für Sicherheit und Datenschutz hingewiesen werden.

Randnotiz: Im Rahmen der Einführung eines ISMS nach ISIS12 wurde uns der Begriff „regelmäßig“ mit zwischen 5 und 10 Jahren erklärt. Das kann man so sehen, sollte aber aus Gründen der eigenen Organisationssicherheit dann doch zeitlich eher etwas straffer ausgelegt sein. Begründung war übrigens: Schulungen halten nur unnötig von der Arbeit ab. 😉

Makros bekommen Konkurrenz durch Excels Power Query – neues Einfallstor für Schadcode

Forscher haben eine Angriffstechnik über Microsofts Power Query entdeckt (externer Link), die sogar ohne Zutun des Anwenders nach dem Öffnen eines präparierten Excel-Sheets Schadcode nachlädt und ausführt. Betroffen sind Excel 2016, Excel 2019 und alle älteren Versionen, in denen Power Query als Add-In nachträglich installiert wurde. Power Query wird lt. Microsoft zur Verbindung mit externen Datenquellen genutzt. Ein von Heise entsprechend präpariertes Dokument schlug bei der Prüfung durch Virus Total keinen Alarm. Wie diese Sicherheitslücke konkret ausgenutzt werden kann und wie einfach das geht, beschreibt Heise in einem Beitrag (externer Link) sehr konkret.

Aktuell soll dieses Angriffszenario noch nicht ausgenutzt werden, Angriffe sind noch keine bekannt. Zeit genug, sich dagegen zu wappnen. Eine Möglichkeit besteht darin, Power Query komplett zu deaktivieren (Registry). Weitere Schutzmaßnahmen beschreibt Microsoft im Security Advisory 4053440 (externer Link).