Risiko

Big Brother Awards, Informationssicherheit, Datenschutz, der Mensch

Big Brother Awards 2020

Viele haben schon von ihnen gehört, aber keine konkrete Vorstellung. Die Big Brother Awards sind eine internationale Auszeichnung, die in Deutschland gestartet und bereits in 19 Ländern verliehen wurde.  Sie wird vom  Digitalcourage e.V., einem Verein u.a. für Datenschutz und Informationsfreiheit seit dem Jahr 2000 jährlich ausgerichtet. Als Negativpreis zeichnet Einrichtungen und Personen aus, die Privatsphäre und Datenschutz in herausragender Weise ignorieren und kompromittieren. 

Traditionell finden die Big Brother Awards im Stadttheater Bielefeld statt. Die für diesen Monat – am 30.04.2020 – geplante Preisverleihung wird aus aktuellem Anlass verschoben und der Ersatztermin neu bekannt gegeben. 

Umsetzung der Big Brother Awards 

Werden etwa Daten entgegen der ursprünglichen Motivation ihrer Erhebung verwendet und gar gehandelt, so liegt regelmäßig das Fehlen einer Zweckbindung und einer Rechtsgrundlage vor, zwei der elementaren Forderungen des geltenden europäischen Datenschutzrechts

Ein Ziel der Auszeichnung ist das Publikmachen von rechtswidrigen Ambitionen und Handlungen, welche die Informationssicherheit im weiteren Sinne und demokratische Kriterien fahrlässig oder vorsätzlich belasten. Damit möchten die Preisverleiher die Verursacher unter Druck setzen und damit zur Transparenz veranlassen. Die voraussichtlich von den Preisträgern unerwünschten Schlagzeilen sind dabei offiziell erwünschtes Resultat der Verleihung der Big Brother Awards. 

Die Jury hierzulande setzt sich aus Vertretern der Digitalcourage e.V., der Deutschen Vereinigung für Datenschutz  (DVD), des Forums InformatikerInnen für Frieden und gesellschaftliche Verantwortung  (FIfF), des Fördervereins Informationstechnik und Gesellschaft  (Fitug), des Chaos Computer Clubs  (CCC), der Humanistischen Union  (HU) und der Internationalen Liga für Menschenrechte  (ILMR) zusammen. Bei diesen Organisationen handelt es sich nicht – wie gerne kolportiert – um (Cyber-) Kriminelle, sondern um Einrichtungen, die sich für den Schutz und die Kultivierung dieser gesetzlich vorgeschriebenen Rechte verpflichten. Sehen Sie selbst: 

Preisträger des vorigen Jahres 

  • In der Kategorie Technik ging der Big Brother Award 2019 an das Europäische Institut für Telekommunikationsnormen (ETSI), Abteilung „Technical Committee CYBER“. Dies betraf Forschungen zu einem neuen geplanten Standard „ETS“ (vormals „eTLS“) für eine Sollbruchstelle in der Verschlüsselung im Internet, der es staatlichen Behörden erlaubt, Onlineverbindungen zu entschlüsseln. Während vielerorts Gerätehersteller die Sollbruchstelle ausbauen, forscht man hier an der finalen Beseitigung von Datenschutz und Grundrechten aus der Digitalisierung. Eine wohlverdiente Preisverleihung für den größten bevorstehenden Rückschritt der BRD. 
  • In der Kategorie Verbraucherschutz – „ZEIT“. Das Online-Modul der Zeitung hat für das so heimatlich und aufrecht klingende Projekt „Deutschland spricht“ Google-Dienste eingesetzt, über die politische Ansichten der „sprechenden Deutschen“ an Server in den USA übermittelt wurden. Das Nachfolgeprojekt von „Deutschland spricht“ ließ sich die Zeit anschließend gleich von Google direkt finanzieren. Eine echte Arbeit „am Bürger“. Dass „Zeit Online“ zudem Werbetracker und Facebook-Pixel einsetzte, trug ebenfalls zur Preisverleihung bei. 
  • Ein besonderes Schmankerl der bereits implizit potenziell rechtswidrigen Überwachung ist Palantir. Der zugehörige Preisträger des Big Brother Awards in der Kategorie Behörden & Verwaltung – der hessische Innenminister Peter Beuth. Unter seiner Federführung kam man mit dem auch bei der CIA geschätzten US-Unternehmen Palantir ins Geschäft. Eingesetzt wird seither deren Analysesoftware mit zugehörigem Zugriff des Unternehmens auf umfangreiche Datenbestände der hessischen Polizei von den USA aus. Hoffentlich hat man auch an den AV-Vertrag gedacht 🙂 Die Software erlaubt es, Massendaten aus externen sowie Polizeiquellen automatisiert zu analysieren und nach eigens definierbaren Kriterien auszuwerten. Die DSGVO spricht bei solchen Verarbeitungen u.a. direkt vom Profiling und knüpft mit Art. 22 hieran strenge Kriterien. Dieses naturgemäß nur in den Händen professioneller Informatiker kontrollierbare Instrument dürfte in der alltäglichen Anwendung durch mehr oder weniger geschulte Sachbearbeiter Auswirkungen auf die faktische Existenz von Grundrechten, Datenschutz und Informationssicherheit generell haben. 
  • In Sachen Biotechnik ging der Big Brother Award 2019 an die weit verbreitet bekannte Firma Ancestry.com. Personen, die Familienforschung betreiben wollten, wurden aufgefordert, ihre Speichelproben einzusenden. Die daraus gewonnenen Gen-Daten wurden anschließend von Ancestry an die kommerzielle Pharmaforschung verkauft, u.a. Grundlage verdeckter Vaterschaftstest und für polizeiliche genetische Rasterungen. 
  • Der Big Brother Award 2019 in der Kategorie Kommunikation ging an die Firma Precire mit ihrer Sprachanalyse-Software, die Auswahl von Bewerbern und die Analyse der Emotionen von Anrufern ermöglicht. 

Weitere Stellungnahmen, Inhalte und die vollständige Sendung Preisverleihung 2019 finden Sie auf der Website der Big Brother Awards. 

Das smarte Home-Office: Gefahr für den Datenschutz?

Smart Home klingt erst mal nur nach Vernetzung im Privathaushalt. In Wirklichkeit aber bringt Smart Home auch Risiken für geschäftliche Daten mit sich. Gerade jetzt in Zeiten vermehrter Nutzung von Home-Office.

Smart Home: Bald auch bei Ihnen daheim?

Der deutsche Smart-Home-Markt boomt und wird sich bis 2022 auf 4,3 Milliarden Euro verdreifachen, so die Studie „Der deutsche Smart-Home-Markt 20172022. Zahlen und Fakten“ des Verbands der Internetwirtschaft (eco) anlässlich der Internationalen Funkausstellung (IFA) 2017 in Berlin.

Viele Neuheiten auf der IFA drehten sich um das vernetzte Zuhause. Für das hohe Interesse an Smart Home und die Vielfalt an neuen Angeboten gibt es gute Gründe: Die Vernetzung von Waschmaschine, Fernseher oder Heizung soll für mehr Komfort im Alltag sorgen und zudem zu Energieeinsparungen führen, wie das BSI (Bundesamt für Sicherheit in der Informationstechnik) ausführt.

Bequem, aber nicht ohne Risiko für ein Home-Office

Doch das BSI macht noch auf etwas Anderes aufmerksam: Smart-Home-Geräte werden per Software gesteuert und werden im Zweifel über das Internet mit der Außenwelt, dem Hersteller und auch untereinander vernetzt. Gerade das bringt neue Risiken mit sich, die Sie als Nutzer, aber auch als Organisation mit Nutzern im Home-Office im Blick haben sollten. 

Auch die Aufsichtsbehörden für den Datenschutz und die Verbraucherschützer machen auf die Risiken aufmerksam. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit in Rheinland-Pfalz, Prof. Dr. Kugelmann, zum Beispiel sagte:

„Es wird zunehmend deutlich, dass in einer digitalisierten Umwelt vermeintlich belanglose technische Daten wie zum Beispiel die Verbrauchswerte der Heizung geeignet sind, Dritten tiefe Einblicke in den Lebensalltag Einzelner zu verschaffen.“

Smart Home: Keine reine Privatsache

Nun scheinen diese Datenrisiken nur den Privathaushalt zu betreffen, also kein Problem für den betrieblichen Datenschutz zu sein. Dem ist aber nicht so: Durch die Nutzung privater Geräte zu betrieblichen Zwecken (BYOD = Bring Your Own Device), die private Nutzung betrieblicher Geräte und durch Telearbeit kommt es dazu, dass Firmengeräte oder betrieblich genutzte Geräte in das Smart Home eingebunden werden. Damit werden die Smart-Home-Risiken plötzlich zu Organisations-Risiken.

Wer ein Smart Home hat und darin ein Home-Office betreibt, verzichtet meist darauf, für das Home Office ein eigenes, getrenntes Netzwerk zu betreiben. Stattdessen arbeiten die vernetzte Heizung des Hauses und der Drucker im Home Office im gleichen Netzwerk. Die App zur Steuerung des Smart Home läuft auf dem gleichen Smartphone wie die betrieblichen Apps. Es ist deshalb entscheidend, dass die Datensicherheit im Smart Home stimmt – für den privaten Nutzer und für die betroffene Organisation.

Smart Home braucht mehr Datenschutz, auch aus Organisationssicht

Wie eine Studie des Digitalverbands Bitkom ergab, wünschen sich die Smart-Home-Nutzer und -Interessenten mehr Sicherheit: So sagen 92 Prozent derjenigen, die bereits Smart-Home-Anwendungen besitzen, dass ihnen unabhängige Zertifikate und Siegel zur Sicherheit vor Hacker-Angriffen sehr oder eher wichtig sind. Einen vom Hersteller garantierten Schutz vor Hacker-Angriffen finden 89 Prozent wichtig. 

Auch Datenschutz spielt eine große Rolle beim Kauf. So sagen 84 Prozent, dass ihnen ein hoher Datenschutzstandard wichtig ist, ein unabhängiges Siegel dafür wäre für 79 Prozent ein wichtiges Kaufargument. Zwei Drittel (68 Prozent) achten beim Kauf außerdem darauf, dass die Smart-Home-Daten nur in Deutschland gespeichert werden.

Diese Forderungen an Smart Home werden auch den Organisationen im Datenschutz helfen. Achten Sie deshalb auf sichere Smart-Home-Lösungen, für sich selbst und für den Datenschutz Ihrer Organisation!

Regelungen für das Home-Office um Smart Home ergänzen

Aus diesem Grund sollten Sie im Rahmen der Regelungen und Anweisungen für Home-Office bitte auch das Thema Smart Home berücksichtigen. Viele Router bieten heute schon an, zwei getrennte Netze (sowohl kabelgebunden, als auch per WLAN) zu betreiben. Die Funktion ist meist mit „Gastnetz“ beschrieben. Diese Netze laufen parallel nebeneinander und der Zugriff von einem Netz in das andere ist technisch unterbunden. So wäre es daher eine gute Lösung vorzuschreiben, dass für das Home-Office genutzte Geräte in einem anderen Netz laufen als die Smart Home Geräte.

Übersicht der DSGVO Bußgelder

Mit schöner Regelmäßigkeit hört und liest man in den Medien etwas von Bußgeldern im Datenschutz basierend auf der DSGVO oder anderer Datenschutzgesetze. Merken kann man sich die alle nicht. Doch es kann nicht schaden, das eine oder andere Bußgeld für verschiedene Formen an Datenschutzverstößen zu kennen. DSGVO Bußgelder sollten zwar nicht der alleinige Antrieb zur Einhaltung von Rechtsvorschriften sein, aber vielleicht muss man als interner oder externer Datenschutzbeauftragter auch mal mit Zahlen kommen, damit sich etwas in der Organisation bewegt 🙂

Übersicht der DSGVO Bußgelder

Und da ist es sehr hilfreich, dass sich die Betreiber von https://dsgvo-portal.de die Mühe machen, stets aktuelle Bußgelder zu erfassen und zu katalogisieren. Kann ja ganz hilfreich sein, zu wissen und anzuführen, dass für Werbeanrufe ohne Einwilligung, Informationsmängel in Apps und unzureichende TOM (technische und organisatorische Maßnahmen) die italienische Datenschutzaufsicht im Januar 2020 ein Bußgeld in Höhe von 27,8 Mio Euro verhängt hat. Die genannten Verstöße sind ja nicht selten. Vielleicht ein weiterer Anstoß, um solche Mängel in der eigenen Organisation anzugehen.

Die im Portal gelisteten DSGVO Bußgelder lassen sich nach diversen Kriterien sortieren und anzeigen, z.B. nach Bußgeldhöhe, Datum, Land und auch Bußgeldempfänger (da finden sich einige alte Bekannte, aber auch sehr viele neue Namen). Ein Wermutstropfen, wenn man das so sehen mag, ist jedoch vorhanden: In der Übersicht finden sich die Bußgelder, welche von den Aufsichtsbehörden verhängt wurden. Das muss nicht identisch sein, was von den betroffenen Organisationen z.B. nach Beschreiten des Rechtsweges dann wirklich gezahlt wurde. Sofern es hierzu Erkenntnisse gibt, finden sich diese unter den Details, die man zu jedem Vorgang aufrufen kann. Darin wird auch die Art des Verstoßes weiter konkretisiert.

Danke an die Betreiber des Portals.

„Ich bereue den Passwort-Wahnsinn“ – weg mit den Passwort Mythen

Wieso bisher ein Passwort dauernd gewechselt werden musste

8 Seiten, die es in sich haben. Die „NIST Special Publication 800-63. Appendix A“. Verfasst 2003 von Mister Bill Burr. Seinerzeit Mitarbeiter des National Institute of Standards and Technology (NIST). Das NIST ist eine US-Behörde, die unter anderem für Technologiestandards zuständig ist. Die damalige Empfehlung hielt Einzug in die Sicherheitsliteratur und hält sich seither dort hartnäckig. Auch der BSI IT-Grundschutz und andere Sicherheitsstandards bauen auf dieser Empfehlung auf. Nach seiner Pensionierung fand Burr offene Worte für seine damalige Empfehlung ein sicheres Passwort: „Ich bereue den Passwort-Wahnsinn“

Bisher galt ein Passwort als sicher, wenn es komplex war und dauernd geändert wurde

Das NIST empfahl bisher zur Passwortsicherheit:

  1. Passwörter sollen komplex sein (Großschreibung, Kleinschreibung, Zahlen, Sonderzeichen)
  2. Passwörter sollen alle 90 Tage gewechselt werden

Im Ergebnis fluchten die Endanwender rund um den Globus. Sicherer sind Passwörter hierdurch nicht geworden. Dafür haben diese Empfehlungen viel Nerven und Zeit gekostet.

„Ich bereue den Passwort-Wahnsinn“

In einem Interview hat sich der nun in Rente stehende Burr gegenüber der Washington Post geäußert. „Die Wahrheit ist: Ich war auf dem falschen Dampfer.“ Wir haben auf unserem Sicherheitsblog in 2016 bereits einen Artikel hierzu verfasst „Über Bord mit veralteten starren Passwort-Richtlinien“.

Das NIST hat nun im Sommer 2017 diese 14 Jahren alten Empfehlungen und Regelungen zur Passwortsicherheit komplett überarbeitet. Und diesen Wahnsinn damit hoffentlich gestoppt. Bis sich das in der Literatur und erst recht in der Praxis durchsetzt, wird es jedoch einige Zeit brauchen. Im Final Draft zum Baustein ORP4 des BSIFinal Draft zum Baustein ORP4 des BSI (IT-Grundschutz) heißt es im Oktober 2019:

IT-Systeme oder Anwendungen SOLLTEN NUR mit einem validen Grund zum Wechsel des Passworts auffordern. Reine zeitgesteuerte Wechsel SOLLTEN vermieden werden. Es MÜSSEN Maßnahmen ergriffen werden, um die Kompromittierung von Passwörtern zu erkennen. Ist dies nicht möglich, so SOLLTE geprüft werden, ob die Nachteile eines zeitgesteuerten Passwortwechsels in Kauf genommen werden können und Passwörter in gewissen Abständen gewechselt werden.

In den aktuell (Stand 02/2020) veröffentlichten Baustein OPR4Baustein OPR4 hat dies leider noch keinen Einzug gefunden. Aber die Richtung stimmt.

Eine sichere Passwort-Richtlinie

Die aktualisierten Passwortempfehlungen lauten (zusammengefasst):

  • Keine Sonderzeichen mehr: Eine Auswahl an Groß- und Kleinbuchstaben zusammen mit Zahlen ist ausreichend. Besser ..
  • Längere Passwörter: Ein um nur einen Buchstaben verlängertes Passwort vergrößert den Suchraum für Passwortknacker mehr als ein Sonderzeichen. 12 Stellen sind Minimum, besser 20, Optimum 64. Dabei dürfen durchaus ganze Sätze zum Einsatz kommen. Solange es sich dabei nicht um bekannte Zitate oder Redewendungen handelt (Risiko Wörterbuchattacke!).
  • Keine regelmäßigen Änderungen mehr: Es erhöht sich lediglich die Gefahr des Vergessens oder Aufschreibens von Passwörtern. Das schafft keine Sicherheit, im Gegenteil!
  • Keine Sicherheitsfragen zur Freischaltung: Wo liegt die Sicherheit, wenn sich die Frage „Wie heißt ihr Haustier?“ aus dem öffentlichen Facebook Profil eines Nutzers beantworten lässt?

Wir empfehlen zusätzlich eine Bedrohungsanalyse für die zu schützenden Logins. Greifen weitere Sicherheitsmaßnahmen wie automatische Sperre nach x Fehlversuchen , können auch kürzere Passwörter durchaus Sinn machen. Beantworten Sie sich doch einfach mal die Frage, wieso Banken eine EC-Karte mit einer PIN aus 4 Ziffern schützen? Weil Sie keine Ahnung von Sicherheit und Risiken haben? Oder weil die Karte nach 3 Fehlversuchen einfach gesperrt wird?

Natürlich kann es zwingende Gründe geben, ein Passwort doch mal zu ändern:

  • Es hat jemand bei der Eingabe des Passworts zugesehen (Shoulder Surfing)
  • Sie haben Ihr Passwort weitergegeben, statt einen Stellvertreterzugriff einzurichten
  • Ihre Zugangsdaten werden bei „Have I been pawned“„Have I been pawned“ oder auch dem Identity Leak CheckerIdentity Leak Checker des HPI (umfangreicher als HIBP) als kompromittiert gemeldet

Aber nur weil jedes Jahr der sog. „Change your Password“-Day ausgerufen ist, brauchen Sie nicht aktiv zu werden.

In vielen Fällen kann als weitere – unabhängige – Schutzmaßnahme auch eine Zwei-Faktor-Authentifizierung (2FA) zum Einsatz kommen und sehr nützlich sein. Neben dem Login mit Benutzername und Passwort wird über eine weitere unabhängige Komponente (Faktor) ein mehrstelliger Code zeitabhängig generiert, der zusätzlich angegeben werden muss. Diese Komponente kann ein Hardware-Token, eine Keycard oder auch ein Smartphone sein. Es gibt zahlreiche weitere Möglichkeiten für eine 2FA (Beitrag auf Wikipedia mit Erklärungen). Durch die Kombination dieser beiden voneinander unabhängigen notwendigen Angaben für den Login entsteht ein sehr hoher Schutz. Vorausgesetzt, auf den zweiten Faktor wird gut aufgepasst (Schutz des Smartphones mit Code-Sperre bei Inaktivität, Absicherung der 2FA App auf dem Smartphone mit weiterem Code oder Fingerprint).

Suchen Sie Argumente, die hausinterne Passwortrichtlinie zeitgemäß und sicher umzugestalten? Orientieren Sie sich an der neuen NIST Policy. Fakten zu den Mythen und Irrtümern als Argumentationshilfe finden Sie in unserem Blogbeitrag „Über Bord mit veralteten starren Passwort-Richtlinien“.

Sinnvoll ist es sicherlich, Admin-Kennwörter strengeren Schutzregelungen zu unterwerfen. Serverdienste sollte nicht nicht als Hauptadmin laufen, sondern einen eigenen Dienste-Admin erhalten. Administratoren verfügen über zwei Nutzeraccounts: Den personenbezogenen Administrationsaccount und einen Standardnutzer. Keine Admin-Aufgabe zu erledigen, dann wird auch nur im Standardnutzer gearbeitet. Und eigentlich selbsterklärend: Administrations-Accounts haben per Gruppenrichtlinie keinen Zugriff auf das Internet (leider immer noch nicht weit verbreitet).

Auch am Privat-PC gilt: Ein Admin-Account für Installation und Konfiguration, ein normaler Nutzer mit eingeschränkten Rechten für das tägliche Surfen, Mailen und Daddeln. Kostet wenig Zeit für das Umloggen bei Bedarf, erhöht aber das Schutzlevel um einiges.

Und nutzen Sie für die Flut an Passwörtern doch einfach einen Passwort-Tresor (keine Cloud-Anbieter) wie Keepass. Eine praktische Anleitung und Hilfe finden Sie hier im Blog.Eine praktische Anleitung und Hilfe finden Sie hier im Blog.

Weitere Beiträge zum Thema Passwort

Ihr Datenschutzbeauftragter oder Informationssicherheitsbeauftragter unterstützt Sie gerne bei diesem Thema. Sie haben keinen? Sprechen Sie uns an.

Update 01.02.2020:
Ergänzen von Gründen für Passwort-Wechsel, Hinweise auf Umgang mit Admin-Accounts, Verweis auf BSI Draft Baustein ORP.4

Informationssicherheitskonzept Arbeitshilfe V 3.0 erschienen – jetzt mit LSI Siegel

Wer benötigt ein Informationssicherheitskonzept?

Jede Organisation ist gefordert, die Anforderungen aus Art. 32 DSGVO zu erfüllen. Da steht in Absatz 1:

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:

a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Unter b) sind die Grundwerte der Informationssicherheit Vertraulichkeit, Verfügbarkeit und Integrität genannt. Betrachten wir die Kurzdefinitionen aus der Informationssicherheit hierzu.

Vertraulichkeit: Keine unberechtigte Kenntnisnahme (bis hin zum Mißbrauch) der Informationen, weder durch Mitarbeiter noch durch Externe.

Integrität: Die Informationen sind korrekt, vollständig und unverfälscht. Änderungen sind nachvollziehbar und rückgängig zu machen.

Verfügbarkeit: Die Informationen stehen zur richtigen Zeit am richtigen Ort zur Verfügung (nicht beschränkt auf IT-Verfügbarkeit). [Verfügbarkeit ist in der Tat erst an dritter Stelle, auch wenn in der Praxis um das Thema Ausfallzeiten gerne der Tanz um das goldene Kalb stattfindet.]

Diese Grundwerte der Informationssicherheit sicherzustellen, ist das Ziel eines jeden Informationssicherheitskonzepts, auch des Standards der sog. „Arbeitshilfe“.

Unterpunkt d) verlangt von Ihrer Organisation, die Wirksamkeit der im Hinblick auf Vertraulichkeit, Integrität und Verfügbarkeit ergriffenen technischen und organisatorischen Maßnahmen regelmäßig zu prüfen und bei Bedarf nachzujustieren oder geeignete zusätzliche bzw. ergänzende Schutzmaßnahmen einzuführen. Auch dies ist eine der Kernfunktionen eines funktionierenden Informationssicherheitskonzepts.

Salopp gesagt, verlangt die DSGVO von Organisationen in diesem Fall nicht weniger als die Einführung eines Informationssicherheitskonzepts und dessen kontinuierlichen Betrieb. Klar kann man versuchen, sich auch selbst ein Konzept zu „basteln“, bleibt nur die Frage „Wieso sollte man das tun?“

Bayerische Kommunen sind per Gesetz (BayEGovG) sogar dazu verpflichtet, bis zum 01.01.2020 ein Informationssicherheitskonzept eingeführt und im laufenden Betrieb zu haben.

Bewährte Standards wie die ISO 27001, der BSI IT-Grundschutz, ISIS12 (als Ableitung aus dem IT-Grundschutz) sind seit vielen Jahren bewährte Standards, um ein Informationssicherheitskonzept einzuführen, zu betreiben und damit auch die Anforderungen aus Art. 32 DSGVO zu erfüllen. Diese Standards skalieren zwar auch für kleinere Organisationen, sind dennoch sehr ressourcenintensiv. Hier hat für den kommunalen Bereich die Innovationsstiftung Bayerische Kommune im Auftrag der Bayerischen Kommunalen Spitzenverbände angesetzt und gerade für kleinere kommunale Einrichtungen durch a.s.k. Datenschutz die „Arbeitshilfe zur Einführung eines Informationssicherheitskonzepts nach Art. 11 BayEGovG“ entwickeln lassen. Dieser Standard basiert auf den Erkenntnissen und Vorgehensweisen aus zahlreichen IT-Grundschutz-Projekten sowie dem früheren „Quick Check Datenschutz + Datensicherheit“. Entgegen der Bezeichnung und ursprünglichen Ausrichtung auf den kommunalen Bereich ist die „Arbeitshilfe“ universell einsetzbar und natürlich auch in Unternehmen einsetzbar. Hierzu sind lediglich Begrifflichkeiten anzupassen, statt Bürgermeister heißt es dann eben Geschäftsführer.

Standard für Informationssicherheit Arbeitshilfe Version 3.0 erschienen

Am 26. September 2019 ist die Arbeitshilfe mittlerweile in Version 3.0 erschienen. Die Weiterentwicklung und Anpassung oblag erneut uns von der a.s.k. Datenschutz. Neben Aktualisierungen z.B. bei Links zum gerade aufgefrischten BSI IT-Grundschutz stand neben der Fehlerkorrektur die Anpassung an das Siegel „Kommunale IT-Sicherheit“ des Landesamts für Sicherheit in der Informationstechnik – kurz LSI – in Nürnberg im Vordergrund. Wenn Sie mehr über das LSI Siegel erfahren wollen, finden Sie Details hierzu in einem weiteren Blogbeitrag.

Kommunale Einrichtungen, die sich zur Einführung eines Informationssicherheitskonzepts auf Basis der Arbeitshilfe entscheiden, erfüllen mit der Umsetzung die Anforderungen des LSI zum Erhalt des Siegels „Kommunale IT-Sicherheit“. Das setzt natürlich eine ernsthafte und ehrliche Bearbeitung der 9 Kapitel der Arbeitshilfe zur Informationssicherheit in der Kommune voraus.

Hier geht es direkt zum Download der Arbeitshilfe V 3.0. Sollte der Link nicht mehr funktionieren, nutzen Sie bitte die Startseite der Innovationsstiftung und suchen die Veröffentlichung vom 28.09.2019.

Mit a.s.k. Datenschutz und der Arbeitshilfe zum Siegel „Kommunale IT-Sicherheit“

Wenn Sie sich bei der Einführung der Arbeitshilfe in Ihrer Verwaltung durch das Team von a.s.k. Datenschutz unterstützen lassen, dann übernehmen wir am Ende die Formalitäten der notwendigen Angaben und Auskünfte gegenüber des LSI. Einem Erhalt des Siegels sollte dann nichts mehr im Wege stehen.

Sollten wir Sie im Anschluß auch als externe Informationssicherheitsbeauftragte betreuen, kümmern wir uns mit Ihnen gemeinsam auch um die Verlängerung des Siegels nach Ablauf der 2 Jahre Gültigkeitsdauer. Dazu muss dem LSI der Weiterbetrieb Ihres Informationssicherheitskonzepts belegt bzw. nachgewiesen werden. Auch dies würden wir von a.s.k. Datenschutz übernehmen.

Übrigens nutzen wir zur Einführung und zum Betrieb Ihres Informationssicherheitskonzepts auf Basis der Arbeitshilfe eine hochmoderne und vollverschlüsselte Projektplattform. Damit wird die Bearbeitung der Punkte zwar kein Kinderspiel, aber die Dokumentation dazu erledigt sich fast von selbst. Gleichzeitig versäumen Sie und wir keine Revisionstermine und Wiedervorlagen. Mehr Infos in diesem Blogbeitrag. Unsere Plattform ist bereits für Version 3.0 der Arbeitshilfe aktualisiert und angepasst.

Unternehmen und die Arbeitshilfe als Informationssicherheitskonzept

Wie eingangs schon beschrieben, ist auch dies kein Problem. In der Wortwahl werden zwar kommunale Funktionen adressiert, aber die inhaltlichen Anforderungen an Informationssicherheit sind zwischen Unternehmen und Behörden identisch. Ersetzen Sie in Gedanken einfach Begriffe wie „Bürgermeister“ mit „Geschäftsführer“ und schon sind Sie in der Unternehmenswelt angekommen.

Das einzige Manko: Das LSI Siegel „Kommunale IT-Sicherheit“ kann nur von kommunalen Einrichtungen erworben werden. Als Unternehmen sind Sie hier außen vor. Gerne unterstützen wir auch Ihr Unternehmen bei der Einführung eines Informationssicherheitskonzepts.

Angebot Informationssicherheitskonzept für Kommunen bzw. Behörden

Sie wünschen ein unverbindliches Angebot? Dann nutzen Sie einfach unser verschlüsseltes Anfrage-Formular. Wir melden uns zeitnah bei Ihnen.

Unverbindliches Angebot anfordern