Wenn die Tage wieder länger werden und Temperaturen steigen, ist es Zeit für den Frühjahrsputz! Ebenso wie schwer zugängliche Ecken im Haus gründlich gereinigt und nicht mehr benötigte Gegenstände entsorgt werden, sollten auch digitale Begleiter wie das Smartphone in regelmäßigen Abständen entrümpelt und auf den neusten Stand gebracht werden. Um keinen Winkel zu übersehen, hilft folgende Checkliste:

Ungenutzte Apps und Dateien ausmisten

Überprüfen Sie, welche Apps Sie tatsächlich nutzen. Wenig oder gar nicht gebrauchte Apps, die in Vergessenheit geraten und nicht mehr aktualisiert worden sind, sollten Sie löschen. Überprüfen Sie außerdem Download-, Foto- und Daten-Ordner und entfernen Sie nicht benötigte Daten von Ihrem mobilen Gerät.

Cookies löschen und Caches leeren

Beim Surfen im Web sammeln sich über Cookies jede Menge Daten auf Ihrem Smartphone, von Suchbegriffen über besuchte Webseiten bis hin zu persönlichen Daten. Indem Sie die Cookies löschen, entfernen Sie alle Surfspuren. Sie verwalten Cookies in den Einstellungen des jeweiligen Browsers und können diese dort entweder manuell löschen oder diesen Vorgang in bestimmten zeitlichen Intervallen automatisiert durchführen lassen. Das Gleiche gilt für den Cache, den Zwischenspeicher des Browsers: Auch dieser sollte regelmäßig geleert werden, um unnötig gespeicherte Daten von besuchten Internetseiten zu löschen.

Gespeicherte Verbindungseinstellungen und Zugangsdaten überprüfen

Egal ob ein auf Reisen genutztes öffentliches WLAN oder eine Bluetooth-Verbindung zu einem Automaten zum Ausdruck von Fotos: Diese Verbindungsdaten bleiben auf dem Smartphone gespeichert. Sie sollten nicht regelmäßig benötigte Verbindungen löschen, um zu verhindern, dass Sie sich gegebenenfalls unfreiwillig automatisch wieder mit einem Netzwerk oder Gerät verbinden. Auch bei Apps oder Web-Diensten können Zugangsdaten gespeichert werden, beispielsweise für das Online-Shopping. Nehmen Sie sich die Zeit, Ihren Benutzernamen und das Passwort jeweils manuell einzugeben.

Sicherheits-Updates installieren und automatisieren

Halten Sie Betriebssystem und Apps stets auf dem aktuellsten Stand, um Sicherheitslücken zu schließen. Um kein Update zu verpassen ist es sinnvoll, die automatische Update-Funktion zu aktivieren.

Appberechtigungen überprüfen

Viele Apps verlangen Berechtigungen, die sie für ihre eigentliche Funktionalität nicht benötigen. Dazu gehören der Zugriff auf Standortdaten, das Adressbuch oder den Telefonstatus. Oftmals erschließt sich die Notwendigkeit nicht. Sie sollten deshalb stets kritisch prüfen, ob die jeweilige App die angegebenen Zugriffsrechte wirklich benötigt um funktionsfähig zu sein und diese dann gegebenenfalls in den Einstellungen deaktivieren.
Seien Sie besonders achtsam bei App-Updates: Diese bringen manchmal eine Änderung oder Erweiterung der Zugriffsrechte mit sich.

Sichere Passwörter verwenden

Sowohl der Zugriff auf das Gerät selbst als auch auf jede einzelne App ist idealerweise mit einem separaten Passwort zu schützen. Ein gutes, sicheres Passwort, das möglichst komplex aus mindestens acht Zeichen besteht, ist dabei das A und O.

Daten durch Backups sichern

Wichtige Daten auf dem Smartphone sollten Sie durch regelmäßige Backups sichern. Geeignete Speicherorte sind ein Computer oder externe Datenträger wie eine SD-Karte oder eine externe Festplatte. Auch die Verschiebung von Daten, die Sie nicht unbedingt benötigen, aber dennoch nicht gänzlich löschen möchten, ist in diesem Zusammenhang sinnvoll.

Der Zeitplan des Gesetzgebungsverfahrens zur Verabschiedung des DSAnpUG-EU (inkl. des darin in Artikel 1 enthaltenen BDSG-neu) sieht nach dem Kabinettsbeschluß des Regierungsentwurfs vom 01.02.2017 wie folgt aus:

• Bundesrat – Ausschuss Innere Angelegenheit: 23.02.2017
• Bundesrat Plenum 1. Beratung: vsl. 10.03.2017
• Bundestag:
  – voraussichtlich 09.03.2017: 1. Lesung (parallel zur Behandlung im Bundesrat wegen der eilbedürftigkeit)
  – voraussichtlich 26.04.2017: abschließende Behandlung im federführenden Innenausschuss
  – voraussichtlich 27.04.2017: 2. und 3. Lesung (und damit Gesetzesbeschluß im Bundestag)
• Bundesrat Plenum: voraussichtlich12.05.2017: 2. Beratung (als zustimmungspflichtig eingestuft)
• Anschließend: Unterschrift durch den Bundespräsidenten und Verkündung im Bundesgesetzblatt

Wenn dieser Plan eingehalten wird, wird das deutsche Umsetzungsgesetz zur DS-GVO etwas mehr als ein Jahr vor deren Gültigwerden verabschiedet. Die Übergangsfrist von der Veröffentlichung des Gesetzes im Bundesgesetzblatt bis zu dessem Inkrafttreten wird dann etwa ein Jahr sein.

Datenschutzbeauftragte befinden sich bereits in der heißen Phase zur Umsetzung der geforderten Maßnahmen aus der neuen Europäischen Datenschutzgesetzgebung. Dabei stellt sich mitunter die Frage, welche Anforderungen sich in Bezug auf die Informationssicherheit im Unternehmen ableiten lassen. Ist die Einführung eines ISMS verpflichtend?

Definition eines ISMS nach ISO27001:

Teil des gesamten Managementsystems, der auf der Basis eines Geschäftsrisikoansatzes die Entwicklung, Implementierung, Durchführung, Überwachung, Überprüfung, Instandhaltung und Verbesserung der Informationssicherheit abdeckt.

Gegenüber dem Bundesdatenschutzgesetz bekam die Informationssicherheit in der Datenschutz-Grundverordnung einen neuen Stellenwert. Dies zeigte sich mitunter daran, dass die Pflicht zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen als Grundsatz in Art. 5 der Datenschutz-Grundverordnung aufgenommen wurde.

Art.5 Abs. 1 lit.f DS-GVO:

Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).

Ein zusätzlicher Hinweis für eine „erweiterte Informationssicherheit“ ergibt sich aus den Begrifflichkeiten in Art.5 DS-GVO. „Integrität und Vertraulichkeit“ sind elementare Grundsätze der IT-Sicherheit. In bisherigen Gesetzen zum Schutz personenbezogener Daten waren diese nicht vorhanden.

Kriterien der technischen und organisatorischen Maßnahmen in Art.32 „Sicherheit der Verarbeitung“

Art.32 Abs.1

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Art.32 Abs.2

Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung – insbesondere durch Vernichtung, Verlust oder Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden – verbunden sind.

Gegenüber der Anlage zu §9 BDSG in der zumindest indirekte Maßnahmen aufgeführt wurden, wirkt Art.32 noch abstrakter. Es lassen sich aber Hauptbestandteile eines ISMS zuordnen.

Schritt 1 Feststellen des Schutzbedarfes Art.32 Abs.2

Das Schutzniveau personenbezogener Daten orientiert sich an der Schutzbedürftigkeit und dem sich ergebenden Schadenspotential bei unberechtigter Kenntniserlangung. Daraus ergibt sich

eine notwendige Schutzbedarfsanalyse. In der Regel werden Daten verschiedenen Kategorien des Schutzbedarfs zugeordnet, beispielsweise: normal, hoch und sehr hoch.

Schritt 2 Bewerten von Risiken

Art.32 Abs.1 und Abs.2 beinhalten die Risikobeurteilung. Maßnahmen die zum Schutz personenbezogener Daten getroffen werden, müssen künftig unter Berücksichtigung des Risikos für die Persönlichkeits- und Freiheitsrechte Betroffener ausgewählt werden. Dieser Risikobewertungsansatz bezieht sich jetzt nicht mehr nur auf klassische Unternehmenswerte, sondern schließt den Betroffenen und seine personenbezogenen Daten mit ein.

Schritt 3 Maßnahmenauswahl und Risikobehandlung

In Art.32 Abs.2 lit. a-c werden Maßnahmen zur Risikobehandlung aufgeführt.

a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten;

b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;

c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;

Die Bundesregierung hat heute einen Gesetzesentwurf zum Datenschutz beschlossen, mit dem das nationale Recht an die europäische Datenschutzgrundverordnung (DSGVO) angepasst werden soll. Ein entsprechender Referentenentwurf des Bundesministeriums des Innern war zuvor von vielen Seiten – unter anderem vom Verbraucherzentrale Bundesverband (vzbv) – als inakzeptabel kritisiert worden.

Der vzbv begrüßt, dass die Bundesregierung die Kritik am Entwurf des Bundesministeriums des Innern aufgenommen und wesentliche Punkte nachgebessert hat. Unternehmen können den Nutzungszweck von erhobenen Daten nicht, wie ursprünglich vorgesehen, über die Vorgaben der Datenschutzgrundverordnung hinaus ändern. Außerdem wurden die bisherigen verbraucherschützenden Regelungen zum Kreditscoring in den neuen Entwurf überführt.

Gleichzeitig schränkt aber leider auch der aktuelle Entwurf Rechte von betroffenen Personen in nicht akzeptabler Art und Weise ein. Beispielsweise müssten Unternehmen Betroffene künftig nicht über eine Datenverarbeitung informieren, wenn dies einen unverhältnismäßigen Aufwand bedeuten würde. Mit dieser unklaren Definition lässt der Gesetzentwurf eine Hintertür für Unternehmen offen. Die informationelle Selbstbestimmung von Verbrauchern wird damit untergraben. Eine derartige Einschränkung der Betroffenenrechte ist aus Sicht des vzbv nicht mit der Datenschutzgrundverordnung vereinbar. Deutsche Verbraucher würden datenschutzrechtlich schlechter gestellt als Verbraucher in anderen EU-Mitgliedsstaaten.

Ob der im Kabinettsentwurf vorgesehene, neue Paragraf für private Krankenversicherungen zulässig ist, erachtet der vzbv als äußerst fraglich. Diese Regelung, die auch für die Verarbeitung von Gesundheitsdaten gelten soll, ist aus vzbv-Sicht besonders kritisch zu bewerten. Die Datenschutzgrundverordnung stellt hier nämlich besonders hohe Anforderungen.

Die Regelung für private Krankenversicherungen soll eine automatisierte Entscheidung im Einzelfall ermöglichen, wenn dem Antrag einer betroffenen Person auf Erstattung der Rechnung nicht vollständig stattgegeben wird. Bislang war in diesen Fällen eine Einzelfallprüfung vorgesehen.

Der vorliegende Entwurf ist nun Gegenstand des parlamentarischen Gesetzgebungsprozesses. Die Verhandlungen sollen bis Mai 2017 abgeschlossen sein, damit die Vorschriften gemeinsam mit der Datenschutzgrundverordnung ab Mai 2018 angewendet werden können. Der vzbv wird den Prozess kritisch begleiten.

Das oberste US-Berufungsgericht hat bestätigt, dass Microsoft die in Irland gespeicherten E-Mails eines europäischen Nutzers nicht an die Regierungsbehörden herausgeben muss. Gleichzeitig forderten die Richter eine Gesetzesänderung, um dies künftig zu ermöglichen.

Microsoft hat im seit drei Jahren währenden Rechtsstreit mit der amerikanischen Regierung um die Herausgabe von E-Mails eines europäischen Nutzers einen wichtigen Sieg errungen. Als vierte und letzte Instanz hat das oberste Berufungsgericht in New York jetzt entschieden, das aktuell gültige Urteil nicht zu revidieren. Demzufolge kann die Regierung Microsoft nicht dazu zwingen, die in seinem Rechenzentrum in der irischen Hauptstadt Dublin gespeicherten E-Mails eines europäischen Nutzers herauszugeben. Anders als von zwei vorherigen Instanzen argumentiert, sei der mögliche Zugriff von Microsoft auf die Daten in seinen ausländischen Rechenzentren nicht mit deren Speicherung auf US-Hoheitsgebiet gleichzusetzen, wie es der Patriot Act und ähnliche einschlägige Vorschriften zur Wahrung der nationalen Sicherheit fordern. Allerdings war die Entscheidung des Berufungsgerichtes nicht einstimmig und könnte weitere Konsequenzen für amerikanische Cloud-Anbieter nach sich ziehen. Um künftig Risiken für die nationale Sicherheit durch die von ihnen festgestellte Rechtslage zu vermeiden, regten die Richter selbst eine Verschärfung der Gesetze an, mit der auch der Zugriff auf ausländische Rechenzentren amerikanischer Anbieter ausdrücklich möglich gemacht werden könnte. Die Chancen, dass die Trump-Administration dies umsetzt, sind hoch.

Auch Microsofts Rechtsverantwortlicher Brad Smith forderte deshalb nach dem Urteil klare Regelungen, auf die sich die Nutzer verlassen können und mit denen sichergestellt wird, dass die Gesetze anderer Länder geachtet werden. In Deutschland und Europa versucht Microsoft dem Zugriffswillen amerikanischer Behörden mit der Microsoft Cloud Deutschland vorzubauen. Bei diesem Modell werden die Daten zwar in deutschen Microsoft-Rechenzentren gespeichert, aber von T-Systems als Datentreuhändler verwaltet. Damit wird der Zugriff für die US-Behörden zusätzlich erschwert. Auch wenn das neue Urteil diese zusätzliche Absicherung, die teilweise auch mit erheblichen Zusatzkosten für die Kunden verbunden ist, unnötig erscheinen lässt, so dürfte das Modell durch die Vorschläge der Richter in Bezug auf weiterreichende Zugriffsrechte doch zusätzlichen Rückenwind bekommen.

Im vorliegenden Fall hatten die US-Behörden Microsoft bereits 2013 dazu aufgefordert, sämtliche Nutzerdaten und E-Mails des Mannes herauszugeben, da sie wegen Drogenschmuggels gegen ihn ermittelten. Das Unternehmen hatte sich mit dem Verweis auf die europäischen Datenschutzgesetze und das übliche Verfahren für internationale Rechtshilfeersuchen dagegen gewehrt und den Behörden lediglich die in den USA gespeicherten Daten zum Nutzeraccount übermittelt. Daraufhin hatte die Regierung von Barack Obama ein Gerichtsverfahren gegen Microsoft eingeleitet, um die Herausgabe zu erzwingen. Nachdem die ersten zwei Instanzen der Ansicht gewesen waren, dass Microsoft als amerikanisches Unternehmen nach dem Patriot Act unabhängig internationaler Gesetze und Vorschriften dazu verpflichtet sei, hatte die dritte Instanz diese Meinung im Sommer des vergangenen Jahres überraschend revidiert.