Datenschutz

Einsatz mobiler IuK (6.TB, 1.3)

Im 5. TB (15.16) wurde über Sicherheitsaspekte beim Einsatz drahtloser Netze berichtet. Nunmehr liegt auch eine Orientierungshilfe des AK Technik der DSB des Bundes und der Länder zum Datenschutz in drahtlosen Netzen vor (www.thueringen.de/datenschutz).

Drahtlose Netze wie WLAN (Wireless Local Area Networks) sind inzwischen schon alltägliche Praxis und werden insbesondere mit mobilen IT-Geräten genutzt. Der mittelbare Einsatz von WLAN bspw. für entfernte Zugriffe auf lokale Datenbestände oder zur elektronischen Kommunikation stellt allerdings nur eine von mehreren Sicherheitsrisiken beim Einsatz mobiler IT dar. Denn naturgemäß sind schon mit dem Einsatz mobiler IuK-Geräte wie Laptop, PDA (Personal Digital Assistant), Mobiltelefon oder Smart-Phone (als Kombination von Mobiltelefon und PDA) Gefahren für die Vertraulichkeit, Integrität und Verfügbarkeit der zu verarbei-tenden Daten und aber auch der IuK-Infrastruktur verbunden. Zu verzeichnen ist nicht nur eine ständig wachsende Anzahl an eingesetzten mobilen Kommunikationsgeräten, sondern auch eine zunehmende Funktions- und Einsatzvielfalt dieser Geräte. Auch für die öffentlichen Stellen des Landes ist dieser Trend zutreffend. So wurden auf Anfragen oberster Landesbehörden bereits vom TLRZ Tests für mobile Anwendungen durchgeführt.

Im Mittelpunkt stand hierbei die BlackBerry-Technologie, um Benutzern über drahtlose Verbindungen mit Wireless-Geräten Zugriffe auf im lokalen Netz der jeweiligen Stelle vorgehaltene Daten zu ermöglichen. Von großem Interesse ist die hierbei zur Anwendung kommende sog. Push-Technologie, die es ermöglicht, auf dem Behördenserver eingehende E-Mails diese bei Abwesenheit des Nutzers direkt auf sein mobiles IT-Gerät weiterzuleiten.

Aus datenschutzrechtlicher Sicht ist es somit wichtig, auf die mit dem Einsatz mobiler IuK verbundenen Gefährdungen und Sicherheitsanforderungen hinzuweisen.

Charakteristisch für mobile Geräte sind u. a. ihre netzunabhängige Stromversorgung, ihr zu vernachlässigendes Gewicht und ihre geringen Abmessungen. Sie lassen sich somit bequem und ständig mit sich führen, wobei der milieuwechselnde Einsatz solcher Geräte typisch ist. So werden sie auch an potentiell unsicheren Orten wie Hotelzimmer, Bahn, Mietwagen, Schwimmbädern etc. genutzt und ihre geringen Abmaße verleiten zu einer ungesicherten Aufbewahrung. Als Ausdruck einer modernen Lebensform werden sie zudem gern Außenstehenden als Statussymbole präsentiert. Somit ergibt sich beim Einsatz mobiler IuK eine nicht geringe Gefährdung durch einen Verlust (Diebstahl/Verlieren) der Geräte. Zumal herstellerseitig ohne zusätzliche Schutzmaßnahmen die Daten in der Regel unverschlüsselt auf den Geräten gespeichert werden und für die Zugangskontrolle häufig nur einfache, kurze numerische Passwörter eingesetzt werden. Soweit keine regelmäßigen Datensicherungen erfolgten, ist bei einem Verlust der Geräte neben der möglichen Offenbarung der Daten auch deren unwiederbringlicher Verlust verbunden. Eine fehlende Datensicherungsstrategie (Backup) stellt somit eine Schwachstelle auch bei der Nutzung mobiler IuK dar. Ohne zusätzliche Sicherheitsmaßnahmen ist auch die drahtlose Kommunikation mit GMS, GPRS, UMTS, WLAN oder Bluetooth ein Unsicherheitsfaktor, da Luftschnittstellen leicht zugänglich und abhörbar sind. Abgesehen von Laptops gibt es für die meisten mobilen Gerätearten kein dominierendes Betriebs- und Applikationensystem. Insofern ist eine „standardisierte" Sicherheitslösung zum Einhalten der gesetzlich vorgegebenen Sicherheitsziele gemäß § 9 Abs. 2 ThürDSG (Vertraulichkeit, Integrität, Verfügbarkeit) schwierig. Da auch jeder Nutzer umfassend von den neuen Funktionen des Mobile Computings partizipieren möchte, können sich schon durch eine unsachgemäße Handhabung der Geräte, bspw. infolge fehlender detaillierter Einweisung der Nutzer, auch Risiken für die Sicherheit gespeicherter und übertragener Daten ergeben und ohne verbindliche Richtlinien für den Betrieb und den Einsatz der mobilen Geräte ist der Umgang mit diesen Geräten und den hier zu verarbeitenden Daten allein in das Ermessen der Nutzer gestellt. Wie die Praxis zeigt, kann schon eine fehlende zentrale Administration der Geräte sicherheitstechnische Risiken bergen. Das Fehlen der zentralen Administration kann u. a. ermöglichen, Software von unsicheren Quellen zu installieren, schadenstiftende Programme zu laden und ohne Sicherheitskontrolle weiter zu transportieren. Insbesondere für Smart-Phones, die über GPRS oder UMTS ständig online sind, besteht diese Gefahr. So ist hier schon äußerste Vorsicht bei der Installation von Klingeltönen aus dem Internet geboten. Auch ein nicht geregelter Einsatz flexibler Speicherkarten kann zur intensiven Verbreitung schadenstiftender Programme beitragen. Soweit keine Verzeichnisse über die eingesetzten mobilen Geräte und eventuell eingerichtete Verbindungen bspw. in das lokale Netz geführt werden, ist zudem die für eine sichere Betriebsweise notwendige Transparenz nicht gegeben.

Um den mit dem Einsatz mobiler IuK verbundenen Risiken zielgerichtet begegnen zu können, ist es generell wichtig, die mobile Infrastruktur als einen Bestandteil der gesamten IT-Struktur aufzufassen und in diese einzugliedern. Und für die Nutzer gilt es zu beachten, die schon mit dem Einsatz der herkömmlichen IuK vertrauten Sicherheitsregeln zum Umgang mit Internet und E-Mail auf die neuen mobilen Szenarien zu übertragen. Die Sensibilisierung der Nutzer hierfür ist äußerst wichtig, um den hiermit verbundenen Gefährdungen bewusst zu begegnen, aber auch um die verfügbaren und eingerichteten Sicherheitsmaßnahmen zu nutzen.

Insbesondere mobile Mitarbeiter möchten die mit der mobilen IT verbundenen Möglichkeiten, wie den Zugriff auf ihre Daten im internen Netz, auf ihre E-Mail-Postfächer oder den Terminkalender nutzen. Auch über das drahtlose Umfeld hinaus sind hier Sicherheitsmechanismen zur Authentifizierung, Verschlüsselung und Zugriffskontrolle erforderlich. Hier bieten insbesondere Smart-Phones mit ihrem breiten Funktionsspektrum entsprechende Möglichkeiten. Je nach Anbieter werden auch schon Sicherheitslösungen zum Zugriffsschutz und zur Verschlüsselung der gespeicherten Daten angeboten. Auch für die Datenübertragung werden Sicherheitslösungen auf der Basis von IPSec-VPN-Client-Programmen (5. TB, 15.1.2, 15.7, 15.16) angeboten, die eine wirksame Authentifizierung der Benutzer bzw. Geräte sowie verschlüsselte Datenübertragungen ermöglichen. Eine Alternative zur IPSec-Technologie bietet die SSL-basierte VPN-Technik. SSL (Secure Socket Layer) ist ein Internet-Protokoll, das die Authentizität des angewählten Rechners (Server) überprüft und die Daten verschlüsselt überträgt. Die VPN-Tunnel werden hier über die SSL-Verschlüsselung des Webbrowsers aufgebaut. Da die meisten Mobilfunkgeräte heute mit Webbrowsern ausgerüstet sind, ergibt sich damit der Vorteil, dass die bisher üblichen VPN-Clients auf den Endgeräten nicht installiert werden müssen. Über jedes mobile Endgerät, welches über einen Internetbrowser verfügt, kann somit eine geschützte Zugriffsverbindung zum lokalen Netz aufgebaut werden.

Wie bei der herkömmlichen IT sind auch für den Einsatz von mobiler IuK gemäß § 9 Abs. 2 ThürDSG auf der Grundlage eines Sicherheitskonzeptes die zu treffenden technischen und organisatorischen Maßnahmen zu ermitteln. Die umgesetzten Maßnahmen müssen dem Schutzbedarf der Daten und dem Einsatzzweck der mobilen IuK angemessen sein. Nachfolgend sind beispielhaft technische und organisatorische Maßnahmen aufgezeigt, die seitens der Verantwortlichen für den Einsatz mobiler IuK zu beachten sind, wie

  1. Erfassen aller mobilen Geräte im IuK-Geräteverzeichnis und eventuelle Aktualisierung der Verfahrensverzeichnisse,
  2. Vergabe verbindlicher Regelungen für den Einsatz der mobilen Endgeräte
    Hierzu gehören Vorgaben zum Umgang mit dem Gerät, zur Verfahrensweise bei Verlust des Gerätes, zur Weitergabe an Dritte, zur Zulässigkeit privater Nutzung, zum Datenumgang (was darf wo gespeichert werden), Backup-Strategie etc.

    Zentrale Administration der Geräte u. a.:
    • Einrichtung eines einheitlichen Grundzustandes vor der Auslieferung an den Benutzer. Dies umfasst u. a. die Installation geprüfter Anwendungen, berechtigter Kommunikationsprofile, Virenscanner, Personalfirewall, Verschlüsselungssoftware/ Sicherheitsprotokolle, das Aktivieren der Sicherheitsmechanismen sowie das Deaktivieren aller nicht erforderlichen Dienste (z. B. Bluetooth).
    • Aktualisieren von Software und Benutzerprofilen sowie zeitnahes Einspielen aktueller Sicherheitspatches und Updates.
       


Zu den Sicherheitsvorkehrungen gehören auch Hinweise an die Nutzer zum Umgang und Einsatz der mobilen IuK, um die hiermit verbundenen Risiken zu minimieren. U. a. sind die Nutzer aufgefordert:
 

  1. die Geräte sicher vor Verlust aufzubewahren, insbesondere bei Nutzung in unterschiedlichen Milieus,
  2. den Einsatz in der Öffentlichkeit möglichst zu unterlassen, wenn sensible Daten gespeichert sind,
  3. den Verlust des mobilen Gerätes sofort der verantwortlichen Stelle zu melden, damit der Account des Nutzers unmittelbar gesperrt werden kann,
  4. das Zugangspasswort zu aktivieren, herstellerseitig vordefinierte Passwörter zu ersetzen, vorgegebene Grundsätze zur Passwortgestaltung und Nutzung an der Hard- und Software einzuhalten,
  5. nur genehmigte Software einzusetzen und eigenmächtig keine Veränderungen vorzunehmen,
  6. regelmäßige Datensicherungen (Backups) durchzuführen, auch Adressbücher zu sichern, eventuelle Einbeziehung der Konfigurationsdaten vorzunehmen, zu beachten, dass auch ein leerer Akku zu Datenverlust führen kann,
  7. keine Parameter für die Zugriffskontrolle auf das interne lokale Netz (Nutzerkennung, Nutzerpasswort) auf dem Gerät zu speichern,
  8. schutzwürdige Daten (auch) auf den mobilen Speicherkarten verschlüsselt zu speichern und
  9. keine solche Daten zu übertragen, soweit kein dem Stand der Technik entsprechend sicheres Kommunikationsverfahren eingesetzt wird.
     

Gemäß dem konkreten Einsatzziel der eingesetzten IuK und der Sensibilität der zu verarbeitenden Daten müssen die ergriffenen technischen und organisatorischen Maßnahmen vor allem sicherstellen:

  1. die Sicherheit der Daten auf dem Endgerät selbst (Gerätesicherheit),
  2. das Verhindern von eigenmächtigen Eingriffen in die zentral implementierten Hard- und Softwareprofile und der unbefugten Installation von Applikationen auf dem Endgerät (Applikationssicherheit),
  3. eine sichere Übertragung zwischen dem mobilen Endgerät und dem Behördennetzwerk (Übertragungssicherheit).

Ihr Kontakt zum TLfDI


Logo des TLFDI

Sie brauchen die Hilfe des TLfDI?

Postfach 90 04 55 | 99107 Erfurt
Häßlerstrasse 8 | 99096 Erfurt

Tel.: 03 61 / 37 71 900
Fax : 03 61 / 37 71 904

Logo Freistaat Thüringen