Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Wie jedes Jahr findet im Spätsommer am 11. September 2023 in Kiel die Datenschutz-Sommerakademie in Kiel statt. Das Thema dieses Mal:

„Vom Volkszählungsurteil zur DSGVO: Ist der Datenschutz fit für KI & Co.?“

PRESSEMITTEILUNG
der Konferenz der unabhängigen Datenschutzaufsichtsbehörden
des Bundes und der Länder vom 21. März 2023

Am 18. März 2023 ist Prof. Dr. Dr. h. c. mult. Spiros Simitis verstorben. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz) trauert um einen der Begründer und Gestalter des Datenschutzes in Deutschland und Europa. Mit ihm verliert der Datenschutz einen eloquenten Fürsprecher und zugleich einen feinsinnigen und klugen Verteidiger, der neugierig und versiert neue Entwicklungen aufgriff und konstruktiv weiterdachte. Grieche von Geburt, Europäer aus Überzeugung und Datenschützer aus Leidenschaft.

Nach der Entscheidung des Schleswig-Holsteinischen Oberverwaltungsgerichts (OVG Schleswig) ist die gegenüber der Wirtschaftsakademie Schleswig-Holstein im Jahr 2011 angeordnete Deaktivierung der Facebook-Fanpage rechtmäßig erfolgt.

Das Gericht urteilte, dass die Verarbeitung personenbezogener Daten (Registrierungsdaten) von registrierten Nutzerinnen und Nutzern zur Erstellung der "Insights"-Statistik und die Verknüpfung und Speicherung dieser Daten zur Erstellung von Profilen und zu Werbezwecken eine zweckändernde Verarbeitung von Bestandsdaten nach dem damals geltenden Telemediengesetz darstellt, für die keine datenschutzrechtliche Erlaubnis vorlag.

Vielfach stellen Arbeitgeberinnen oder Arbeitgeber ihren Beschäftigten ein Mobiltelefon oder ein Smartphone zur dienstlichen Benutzung bereit. Wie beim Festnetztelefon im Büro stellt sich dann häufig die Frage, ob und inwieweit eine private Nutzung zulässig ist und wie sie zu regeln ist.

Die Corona-Pandemie wird mittlerweile auch als Vorwand für Phishingkampagnen und Betrugsversuche verwendet.

So sind derzeit E-Mails im Umlauf, die vermeintlich von Behörden und Banken, u.a. von der Investitionsbank Schleswig-Holstein, versendet werden. Sie fordern die Empfänger auf, Daten  (u.a. mittels eines  pdf-Formulars) zu Kontrollzwecken per E-Mail an die Behörden bzw. Banken zu übersenden.
 

Bei den sich derzeit überschlagenden Ereignissen in der Corona-Pandemie treten Viren für die IT-Infrastruktur (Trojaner, Schadcode, Malware) schnell in den Hintergrund.

Dennoch ist es wichtig, auf die praktischen Aspekte der IT-Sicherheit zu achten – nichts könnten beispielsweise Krankenhäuser und Arztpraxis weniger gebrauchten als eine Infektion der Computer mit Schadsoftware, die den IT-Betrieb für Tage lahmlegt.

Ein praktisches Problem besteht darin, dass viele Dokumente schnell per E-Mail ausgetauscht werden. Dabei gibt es unkritische Dateiformate, aber auch solche, die Schadcode beinhalten können. Daher wurden im Rahmen der Emotet-Welle verstärkt gefährlichen Dateiformate herausgefiltert (etwa Dateien mit Makros), von Hand nachbearbeitet (kontrolliert, ggf. weitergegeben) oder sogar vollständig blockiert. Dies erfolgt meist pauschal am zentralen E-Mail-Eingang – unabhängig von Absenderadressen.

Weil Dokumente häufig zeitkritisch sind, werden sie jetzt teilweise wieder ungeprüft zugestellt oder wichtige Dokumente kommen wegen der notwendigen Prüfung verspätet an. Beides ist zu vermeiden.

Ein Beitrag zur Lösung des Problems ist, Dateien im richtigen Datenformat zu versenden. Dabei ist es zunächst wichtig zu verstehen, welche Unterschiede die Formate mit sich bringen. Sogenannte offene Formate wie .docx, .xlsx oder .odt enthalten bearbeitbare Dokumente. Wer eine solche Datei empfängt, kann sie zumeist problemlos bearbeiten. Häufig ist dies erwünscht oder sogar notwendig. Offene Dateien können jedoch oftmals auch problematische Inhalte wie Makros oder Scripte enthalten, also kleine Programme, die mitunter schadhafter Natur sein können. Daher werden sie teilweise automatisiert herausgefiltert.

Geschlossene Dateiformate wie .pdf bieten stark eingeschränkte Bearbeitungsmöglichkeiten und sind als Papier-Ersatz gedacht. Hier können sich auch weniger Schadfunktionen verbergen.

Vor diesem Hintergrund gibt es – je nach Anwendungszweck – mehr oder weniger geeignete Dateiformate.

• Wenn Dateien nur Informationen (wie etwa Pressemitteilungen) transportieren, aber nicht weiterverarbeitet werden sollen, sind Dateiformate wie .pdf geeignet. Sie können mit typischer Bürokommunikationssoftware (z. B. MS Office, LibreOffice) direkt erzeugt werden (beim Speichern das Datenformat "pdf" wählen, oder als "pdf exportieren") – dies sind nur wenige Mausklicks.
  [Hinweis: Ebenso wie in Word-Dokumenten können in solchen PDF-Dateien weiterhin Metadaten enthalten sein, etwa Autorennamen, Überarbeitungen, Uhrzeiten, Versionsverläufe etc. Sie sind daher unter Umständen nicht für eine unmittelbare Veröffentlichung, etwa auf Webseiten, geeignet, sondern müssen entsprechend nachbearbeitet werden.]
• Auch aus pdf-Dateien lässt sich Text wieder extrahieren – wer wenige Zeilen Text aus empfangenen Dokumenten kopieren muss, benötigt dafür keine Word/Writer-Datei.
• Sollen die Empfangenden Dateien weiterverarbeiten und zurücksenden (etwa Ergänzungen vornehmen, Einträge hinzufügen, etc.), kann ebenfalls das PDF-Format geeignet sein. Anmerkungen lassen sich mit entsprechenden PDF-Betrachtern bereits in normalen PDF-Dokumenten hinterlassen. Sollen größere Datenmengen abgefragt werden, sind PDF-Formulare sinnvoll.
• E-Mails als solche sind auch "bearbeitbar", etwa wenn es sich um Ergänzungen im Text handelt, die in eine Antwort eingefügt werden können. Angänge sind dann nicht erforderlich.
• Vermieden werden sollten Dateien mit Makros, da solche Dateien aus gutem Grund herausgefiltert werden oder die Nutzung von Makros schlicht technisch unterbunden wird. Auch Tabellen lassen sich, wenn es nicht um automatische Auswertungen geht, in unkritischen Dateiformaten wie .csv abspeichern.
• Sollte der Einsatz von Makros oder Scripten aus funktionalen Gründen notwendig sein, sollten der Einsatz und die zu treffenden Schutzmaßnahmen zwischen Absender und Empfänger abgesprochen werden (etwa Speicherung und Ausführung empfangener Dateien in bestimmten Unterordnern, Software-Signaturen, Passwortschutz von Dateien).
• Alternativ zur E-Mail können auch gesicherte Datenaustauschportale (der Absendenden, der Empfangenden oder von ihnen beauftragter vertrauenswürdiger Dienstleister) genutzt werden, bei denen Dateien nach Nutzerüberprüfung per Upload/Download übertragen werden, etwa über Webportale: In diesem Fällen ist es unwahrscheinlich, dass es einem Angreifer gelingt, Dateien mit Schadcode dort abzulegen.

An das ULD wurde eine Anfrage nach dem Informationszugangsgesetz Schleswig-Holstein (IZG-SH) gestellt, die vom ULD zu beantworten ist. Ihr Gegenstand  ist die Herausgabe von E-Mail-Adressen von Datenschutzbeauftragten, die dem ULD gemäß Artikel 37 Abs. 7 Datenschutz-Grundverordnung (DSGVO) von Verantwortlichen gemeldet wurden. Das ULD muss als "informationspflichtige Stelle" derartige Anfragen bearbeiten. Anfragen nach dem IZG-SH müssen nicht begründet werden.
 

Folien im PDF-Format

Vortrag von Benjamin Walczak (ULD)

am 12. September 2019

im Rahmen der Digitalen Woche Kiel 2019