{"id":3038,"date":"2020-04-08T09:52:31","date_gmt":"2020-04-08T07:52:31","guid":{"rendered":"https:\/\/barth-datenschutz.de\/?p=3038"},"modified":"2023-03-07T08:41:08","modified_gmt":"2023-03-07T07:41:08","slug":"datenschutz-in-krisenzeiten","status":"publish","type":"post","link":"https:\/\/barth-datenschutz.de\/blog\/datenschutz-in-krisenzeiten\/","title":{"rendered":"Datenschutz in Krisenzeiten"},"content":{"rendered":"

Das Einmaleins f\u00fcr KMU: So vermeiden Sie Bu\u00dfgelder und sch\u00fctzen Ihre Informationen<\/strong><\/p>\r\n

Noch Mitte Februar haben vermutlich die Wenigsten von uns erahnen k\u00f6nnen, dass nur vier Wochen sp\u00e4ter eine der gr\u00f6\u00dften Wirtschaftskrisen seit dem Zweiten Weltkrieg unser Land mit voller Wucht erwischen w\u00fcrde. Bis heute ist es reine Spekulation, wie lange die Krise andauern wird und wie die aus ihr resultierenden Folgen aussehen werden.<\/p>\r\n

Vorweggeschickt: Ich befasse mich in diesem Artikel nicht mit den Entscheidungen der Regierung zur Einschr\u00e4nkung von Freiheitsrechten f\u00fcr uns B\u00fcrger und auch nicht mit der Diskussion, ob Tracking-Apps die richtige Ma\u00dfnahme zur Eind\u00e4mmung von Covid-19 sein k\u00f6nnen.<\/p>\r\n

Mir soll es ausschlie\u00dflich darum gehen, wie KMU (kleine und mittelgro\u00dfe Unternehmen) unter den erschwerten Bedingungen der Corona-Einschr\u00e4nkungen weiterhin die Anforderungen der DSGVO durch praktikable und kurzfristig umsetzbare Ma\u00dfnahmen erf\u00fcllen k\u00f6nnen und personenbezogene Daten sowie sensible Gesch\u00e4ftsinformationen sicher und vertraulich verarbeiten.<\/p>\r\n

\"\"<\/p>\r\n

Existenz\u00e4ngste sind kein Freibrief f\u00fcr laxe Datensicherheit<\/strong><\/p>\r\n

Alle Unternehmer sind aktuell im Krisenmodus und erste Unternehmerpflicht ist es, das \u00dcberleben der Firma w\u00e4hrend der Krise sicherzustellen.<\/p>\r\n

F\u00fcr die Verantwortlichen in den Betrieben hei\u00dft es nun, den Schutz der personenbezogenen Daten und der Gesch\u00e4ftsgeheimnisse auch dann zu gew\u00e4hrleisten, wenn die Mitarbeiter von zu Hause aus arbeiten.<\/p>\r\n

Als die Corona-Krise noch keine 2 Tage alt war, erreichte mich ein Hilferuf aus einer Steuerberaterkanzlei. Ein Mitarbeiter hatte im Homeoffice versehentlich eine E-Mail ge\u00f6ffnet, welche auf den ersten Blick nicht als Phishing-Nachricht zu erkennen gewesen war. Nach dem \u00d6ffnen des Anhangs wurde eine Ransomware, genauer gesagt, der Erpressungstrojaner Devos heruntergeladen.<\/p>\r\n

Der Schadcode fand seinen Weg auf den Server der Kanzlei und schon am n\u00e4chsten Morgen war kein Zugriff mehr auf die Datenbank m\u00f6glich, s\u00e4mtliche digitale Mandantendaten waren verschl\u00fcsselt. Die Cyberkriminellen forderten ein L\u00f6segeld, zahlbar in einer Kryptow\u00e4hrung, im Gegenzug w\u00fcrde der Schl\u00fcssel zur Freigabe des Datenbankservers via E-Mail zugesandt.<\/p>\r\n

Um es vorwegzunehmen: Auf eine solche L\u00f6segeldforderung einzugehen, ist niemals eine Option. In der Kanzlei konnte durch einen externen IT-Experten mit viel Aufwand das System wiederhergestellt werden, allerdings nur auf den Stand von Mitte Januar \u2013 die Daten der vergangenen acht Wochen waren verloren. Sie k\u00f6nnen sich vorstellen, dass neben den Kosten f\u00fcr die IT- und Datenschutzberatung auch der Imageschaden f\u00fcr die Kanzlei immens hoch war.<\/p>\r\n

Der Steuerberater hatte noch Gl\u00fcck im Ungl\u00fcck, denn der IT-Experte konnte nachweisen, dass keine Daten abgeflossen waren. Nat\u00fcrlich wurde der Vorfall der zust\u00e4ndigen Aufsichtsbeh\u00f6rde der Polizei gemeldet, aber der Schaden ist nun in der Welt, obwohl er leicht h\u00e4tte vermieden werden k\u00f6nnen.<\/p>\r\n

\"\"<\/p>\r\n

Kleinkriminelle werden Ihr Gesch\u00e4ftsmodell ins Internet verlagern<\/strong><\/p>\r\n

Aus meiner Sicht wird das Ph\u00e4nomen der sogenannten \u201eScriptkiddies\u201c an Bedeutung gewinnen. Scriptkiddies sind meist jugendliche Hacker, die ohne tiefgreifende Programmierkenntnisse versuchen, mit Hilfsprogrammen in fremde Computersysteme einzudringen.\u00a0<\/p>\r\n

Zuk\u00fcnftig werden sich auch Kleinkriminelle, die sich bisher auf eher physische Verbrechen wie Raub oder Einbruch spezialisiert hatten, verst\u00e4rkt der Scriptkiddies-Methoden bedienen und sich \u00fcber ungesch\u00fctzte Homeoffice-Arbeitspl\u00e4tze und offene Videomeetings Zutritt zu den Systemen verschaffen.<\/p>\r\n

Bedenken Sie also, dass die Personen, die Sie angreifen werden, keine Profi-Hacker sind. Es sind Kleinkriminelle, die ihr Gesch\u00e4ftsmodell \u201edigitalisiert\u201c haben.\u00a0\u00a0<\/p>\r\n

Verantwortliche, die die IT-Sicherheit ignorieren, sind einfache Opfer<\/strong><\/p>\r\n

Bei Verantwortlichen, die den technischen Datenschutz und die IT-Sicherheit ignorieren, werden diese digitalisierten Kleinkriminellen leicht zum Ziel gelangen und betr\u00e4chtlichen Schaden anrichten. Werden die Vorgaben der DSGVO bewusst oder fahrl\u00e4ssig ignoriert, ist es nicht nur der gute Unternehmensruf, der darunter leidet, es drohen auch Schadensersatzanspr\u00fcche, hohe Bu\u00dfgelder und nat\u00fcrlich die Kosten f\u00fcr die Instandsetzung der Systeme.<\/p>\r\n

Be\u00e4ngstigende Ereignisse wie Zoom-Bombing gingen schon w\u00e4hrend der ersten Corona-Woche durch die Presse und auch die Anzahl von Phishing-Attacken via E-Mail und Webseiten ist seitdem gestiegen \u2013 gleichzeitig wird die \u201eQualit\u00e4t\u201c von Schad-E-Mails immer besser.\u00a0<\/p>\r\n

Dabei k\u00f6nnen die meisten Angriffe schon durch ein paar unkomplizierte technische und organisatorische Ma\u00dfnahmen vermieden werden. H\u00e4tte die Kanzlei ihren Mitarbeiter sensibilisiert, bevor sie ihn ins Homeoffice schickte, h\u00e4tte dieser den Schadcode wahrscheinlich gar nicht erst heruntergeladen.<\/p>\r\n

F\u00fcr Gro\u00dfunternehmen gelten andere Angriffsszenarien, sie m\u00fcssen sich anders sch\u00fctzen<\/strong><\/p>\r\n

Gro\u00dfunternehmen, vor allem KRITIS-Unternehmen (KRITIS = Kritische Infrastrukturen) wie Krankenh\u00e4user oder Energieversorger, haben eine Extremsituation wie die Corona-Pandemie vermutlich auch nicht vorhergesehen. Durch IT-Grundschutzma\u00dfnahmen und professionelle Digitalisierungsprojekte sind diese Organisationen allerdings so aufgestellt, dass zumindest die gef\u00e4hrdete Flanke Datenschutz und IT-Sicherheit \u201egeschlossen\u201c ist.\u00a0<\/p>\r\n

Gro\u00dfunternehmen werden, im Gegensatz zu Ihnen, nicht von Kleinkriminellen und Scriptkiddies angegriffen, sondern von Profi-Hackern, die mit viel Kapital ausgestattet sind, um L\u00fccken im System zu finden.\u00a0<\/p>\r\n

Sie als Kleinunternehmer m\u00fcssen sich anders sch\u00fctzen, denn Sie haben andere Angreifer, nutzen andere Software und bieten andere Sicherheitsl\u00fccken.\u00a0<\/p>\r\n

Der Transfer von der analogen in die digitale Welt darf nicht bei der Sicherheit aufh\u00f6ren<\/strong><\/p>\r\n

Durch die Corona-Pandemie sind viele KMU pl\u00f6tzlich gezwungen, neue digitale Werkzeuge anzuwenden, die in ihrer Kernfunktion meist auch sehr gut sind. Leider k\u00f6nnen Sie als Verantwortlicher die Programme nicht ohne weiteres im betrieblichen Kontext sicher einsetzen.\u00a0<\/p>\r\n

Trotz allem Verst\u00e4ndnis f\u00fcr Ihre aktuellen Sorgen um Ihre wirtschaftliche Zukunft: Sie m\u00fcssen die Sicherheit und den Datenschutz auch jetzt im Auge behalten, bevor Sie diese Tools betrieblich einsetzen.<\/p>\r\n

Der Personalaktenschrank und der einfache T\u00fcrriegel<\/strong><\/p>\r\n

Stellen Sie sich vor, ein Schreiner hat auf Ihrem Firmenflur einen Schrank gebaut und behauptet nun, der hier abgebildete T\u00fcrriegel sei v\u00f6llig ausreichend, um Ihre Personalakten in diesem Schrank zu verschlie\u00dfen.<\/p>\r\n

Sie w\u00fcrden dem Schreiner erwidern, dass erstens der Flur der falsche Standort f\u00fcr den Schrank sei und der T\u00fcrriegel zudem v\u00f6llig ungeeignet, um ein unbefugtes \u00d6ffnen der Schrankt\u00fcr zu verhindern \u2013 er solle gef\u00e4lligst den Schrank im Personalb\u00fcro aufbauen und ihn mit einem Sicherheitsschloss versehen.\u00a0<\/p>\r\n

\"\"<\/p>\r\n

Was bei einem Aktenschrank in der Personalabteilung also v\u00f6llig normal ist, wird online bei denselben sensiblen Daten von vielen ignoriert, unter anderem mit der Begr\u00fcndung: \u201eDas Unternehmen ist zu klein\u201c, oder noch schlimmer: \u201eWir haben niemanden, der das richtig kann.\u201c<\/p>\r\n

Aus lokalen Schreinern werden globale Gro\u00dfkonzerne<\/strong><\/p>\r\n

In der digitalen Welt hei\u00dfen diese \u201eSchreiner\u201c beispielsweise Microsoft, Zoom, Adobe, Google oder Apple.\u00a0<\/p>\r\n

Und auch diese Unternehmen bieten ihren \u201eStandard-Schrank\u201c immer mit einem \u201eT\u00fcrriegel\u201c an, manch ein Hersteller hat sogar gar nichts anderes im Angebot. Solche Produkte, zum Beispiel WhatsApp oder Skype, sind dann gem\u00e4\u00df ihrer Nutzungsbedingungen nicht f\u00fcr gewerblichen Einsatz vorgesehen.\u00a0<\/p>\r\n

Bei anderen muss man durch eigenes \u201eKonfigurieren\u201c erst selbst den T\u00fcrriegel durch ein\u00a0Sicherheitsschloss ersetzen, zum Beispiel bei Windows 10 und Office365 Business. Und bei wieder anderen gibt es das Produkt mit \u201eT\u00fcrriegel\u201c immer kostenlos, f\u00fcr das Sicherheitsschloss aber muss man bezahlen, beispielsweise beim Videomeeting-Programm \u201eZoom\u201c.\u00a0\u00a0<\/p>\r\n

Was ist das Ziel des Datenschutzes?<\/strong><\/p>\r\n

Ich werde zwar als \u201eDatenschutzbeauftragter\u201c bezeichnet, aber eigentlich ist es nicht der korrekte Ausdruck f\u00fcr das, was das Ziel des \u201eDatenschutzes\u201c sein sollte.\u00a0<\/p>\r\n

Der Fokus des Datenschutzes liegt bei der betroffenen Person \u2013 also jedem einzelnen B\u00fcrger.\u00a0<\/p>\r\n

Gesch\u00fctzt werden sollen in erster Linie nicht unsere Daten, sondern unsere Freiheitsrechte: unser Recht auf informationelle Selbstbestimmung und unser Recht, in Ruhe gelassen zu werden. Au\u00dferdem sollen uns transparente Informationen wie Datenschutzhinweise in die Lage versetzen, eine Entscheidung zu treffen, bevor wir zum Beispiel ein Benutzerprofil bei Facebook anlegen oder uns in einem Online-Shop registrieren.\u00a0<\/p>\r\n

Die Datenschutzgrundverordnung bildet nun das Regelwerk, wie sich Beh\u00f6rden und die Privatwirtschaft zu verhalten und zu organisieren haben, damit die Rechte der Betroffenen, also unsere Rechte, gewahrt bleiben.\u00a0<\/p>\r\n

Datenschutz ist kein Selbstzweck!<\/strong><\/p>\r\n

Das sollten die \u201eDatensch\u00fctzer\u201c immer im Hinterkopf behalten. Am Ende des Tages ist die Datenschutzgrundverordnung kein Selbstzweck, sondern dient vor allem dazu, dass die B\u00fcrger trotz der fortschreitenden Digitalisierung ihr Recht auf informationelle Selbstbestimmung immer noch wahrnehmen k\u00f6nnen. Datenschutz ist aber meiner Meinung nach nicht dazu da, Innovation zu verhindern oder Unternehmen das Leben zu erschweren.<\/p>\r\n

Die DSGVO schreibt daher zum Beispiel vor, dass eine Datenverarbeitung (im Datenschutz meinen wir dabei immer personenbezogene Daten, keine Betriebsgeheimnisse) einer Rechtsgrundlage bedarf. Weiter muss der Zweck der Datenverarbeitung transparent dargelegt und bestimmt sein.\u00a0<\/p>\r\n

Rechenschaftspflicht, Informationspflichten, weitere Grunds\u00e4tze der Verarbeitung: Es gibt noch einiges, was die DSGVO verbindlich regelt und von den Verantwortlichen erf\u00fcllt werden muss.\u00a0<\/p>\r\n

Wie Sie als Verantwortlicher eines KMU oder eines Vereins die Vorgaben der DSGVO umsetzen k\u00f6nnen, erfahren Sie in meinen Beitr\u00e4gen zu Datenschutz365.<\/a>\u00a0<\/p>\r\n

Technischer Datenschutz mehr als nur Pflichterf\u00fcllung<\/strong><\/p>\r\n

Schicken Sie Ihre Mitarbeiter ins Homeoffice, werden sie von dort aus Videokonferenzen und Online-Meetings durchf\u00fchren, sie werden mit dem gesch\u00e4ftlichen oder privaten Smartphone an Microsoft-Teams-Meetings teilnehmen oder Kurznachrichten versenden.\u00a0<\/p>\r\n

Als Verantwortlicher m\u00fcssen Sie nun Mindeststandards vorgeben, Richtlinien definieren und vertragliche Regelungen treffen, damit die Daten immer gesch\u00fctzt sind – im Homeoffice, auf dem Weg vom Homeoffice in die Firma oder w\u00e4hrend der \u00dcbertragung zu Kollegen, Lieferanten und Kunden.<\/p>\r\n

Sie haben schon erfahren, dass Sie die Programme, die Ihnen das digitale Leben erleichtern, nicht ohne Sicherheitsma\u00dfnahmen anwenden d\u00fcrfen.\u00a0 Wenn Sie nichts tun, \u00fcberlassen Sie es dem Zufall, ob Ihre Daten gesch\u00fctzt sind. Dar\u00fcber hinaus m\u00fcssen Sie auch organisatorische Pflichten beachten und zum Beispiel die Auftragsverarbeitung mit dem Hersteller regeln.\u00a0<\/p>\r\n

Denken Sie an die Geschichte mit unserem Schreiner. Wenn Sie sich in der digitalen Welt nicht aktiv um die Sicherheit bem\u00fchen, haben Sie vielleicht einen T\u00fcrriegel im Einsatz, vielleicht lagern Sie Ihre Personalakte aber auch offen im Innenhof. Handeln Sie also, am besten sofort.\u00a0\u00a0<\/p>\r\n

Praktische Tipps f\u00fcr Verantwortliche<\/strong><\/p>\r\n

Die hier verlinkten Beitr\u00e4ge helfen Ihnen dabei, sofort Ma\u00dfnahmen zu ergreifen. Sch\u00fctzen Sie sich vor Cyberattacken und agieren Sie im Sinne der DSGVO und der IT-Sicherheit.\u00a0<\/p>\r\n

    \r\n
  1. Homeoffice und DSGVO – mit Checkliste f\u00fcr das Arbeiten von zu Hause aus<\/a><\/li>\r\n
  2. Welche Werkzeuge gibt es und wof\u00fcr sind diese geeignet? Inklusive kritischem Blick durch die Datenschutzbrille (ab dem 14.04.2020 verf\u00fcgbar)<\/li>\r\n
  3. No-Gos bei der Online-Kommunikation (ab dem 21.04.2020 verf\u00fcgbar)<\/li>\r\n
  4. FAQ \u2013 alle Fragen, die sich aus der Praxis ergeben\u00a0 (ab dem 30.04.2020)<\/li>\r\n<\/ol>\r\n

    Stellen Sie Fragen und geben Sie Anregungen<\/strong><\/p>\r\n

    Ich freue mich \u00fcber Ihr Feedback. Sei es zu diesem Artikel oder zu offenen Fragen aus Ihrer eigenen Arbeitspraxis. Gerne nehme ich auch konstruktive Kritik und Hinweise von Kollegen an.\u00a0<\/p>\r\n

    F\u00fcr Fragen nutzen Sie gerne meine Datenschutzsprechstunde. Wenn Sie das Thema vertiefen m\u00f6chten, freue ich mich darauf, Sie bei einem meiner Webinare begr\u00fc\u00dfen zu d\u00fcrfen.\u00a0<\/p>\r\n

    Und wenn Sie nun mit Ihrem Datenschutz-Management loslegen wollen, schauen Sie sich doch mal meine L\u00f6sung Datenschutz365 an.\u00a0<\/p>\r\n

    Ihr Achim Barth<\/p>\r\n

    2×2 Minuten wie erlebe ich pers\u00f6nlich die Krise und was hat mich am meisten \u00fcberrascht!<\/h3>\r\n\r\n
    \r\n
    https:\/\/www.youtube.com\/watch?v=xboiaVjfo4M<\/div>\r\n
    https:\/\/www.youtube.com\/watch?v=fwgAWtsOvAI&feature=youtu.be<\/div>\r\n<\/figure>\r\n","protected":false},"excerpt":{"rendered":"

    Das Einmaleins f\u00fcr KMU: So vermeiden Sie Bu\u00dfgelder und sch\u00fctzen Ihre Informationen Noch Mitte Februar haben vermutlich die Wenigsten von <\/p>\n","protected":false},"author":106,"featured_media":3043,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[25,34,22],"class_list":["post-3038","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-oeffentlich","tag-corona","tag-datenschutz","tag-dsgvo"],"_links":{"self":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/posts\/3038","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/users\/106"}],"replies":[{"embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/comments?post=3038"}],"version-history":[{"count":0,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/posts\/3038\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/media\/3043"}],"wp:attachment":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/media?parent=3038"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/categories?post=3038"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/tags?post=3038"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}