Source: https://www.c-iam.com/Ein-Blog-fuer-EU-Datenschutz-Grundverordnung/woche/5
Timestamp: 2018-02-25 13:15:59+00:00

Document:
KW 5: Authentifizierung: Begeistern Sie mit schicken Accessoires Ihre Mitarbeiter und erfüllen Ihre Rechenschaftspflicht!
Wenn Sie das gemacht haben, lesen Sie den folgenden Halbsatz nach „gewährleisten,“ in §64: „insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten. Der Verantwortliche hat hierbei die einschlägigen Technischen Richtlinien und Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik zu berücksichtigen.“
Es scheint, als ob der Gesetzgeber bei besonderen Kategorien personenbezogener Daten einen besonderen Schutzbedarf unterstellt. Das BSI schreibt Link in einer Broschüre mit dem Titel „Notfallmanagement mit der Cloud für KMUs“: „Die Verarbeitung von Daten mit erhöhtem Schutzbedarf bedingt auch einen erhöhten Schutz Link Für die Verarbeitung solcher Daten empfiehlt es sich, nur Dienste mit zusätzlichen Methoden zur Authentisierung zu nutzen.“ Offenbar ist die Verwendung eines zweiten Faktors Stand der Technik Link – auch in Kleinunternehmen!
Authentisierung: Wenn Sie durchs Werkstor Ihres Arbeitgebers gehen, „authentisieren“ Sie mich mit Ihrem Mitarbeiterausweis – die Werksicherheit „authentifiziert“ Sie an Hand Ihres Fotos als Mitarbeiterin. Um im Beispiel zu bleiben: Wollte Ihr Unternehmen jetzt eine Zwei-Faktor-Authentisierung (2FA) am Werkstor einführen, müssten Sie künftig womöglich zusätzlich noch Ihre Personalnummer nennen. So wie Sie am Bankautomaten nicht nur die EC-Karte, sondern auch noch eine PIN benötigen.
Der Fachanwalt für IT-Recht Stephan Hansen Oest warnt: „Wenn die Risikoanalyse einen hohen Schutzbedarf ergibt, dann wird (man) eine 2FA ggf. aus Art. 32 DSGVO ableiten können.“ Diesem Artikel der (Europäischen) DSGVO entspricht § 64 BDSG (neu).
Besondere Kategorien personenbezogener Daten …
Wer also „besondere Kategorien personenbezogener Daten“ verarbeitet, der sollte einen zweiten Faktor zur elektronischen Authentifizierung seiner Mitarbeiter, Patienten oder Lieferanten nutzen. Zu diesen besonderen Kategorien personenbezogener Daten zählen Link nach Art. 9 (1) DSGVO „Daten, aus denen die
oder die Gewerkschaftszugehörigkeit
hervorgehen, sowie die Verarbeitung von
Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen
Also Gewerkschaften, Kirchen und Parteien in Bund, Ländern und Gemeinden, Blutspendedienste, das Gesundheitswesen, die Pflegewirtschaft, die Heimatvertriebenen aus der ganzen Welt und die Verarbeiter von Bildern sollten die technischen Richtlinien Link und Empfehlungen Link des BSI im Zusammenhang mit der Verarbeitung personenbezogener Daten genau studieren. Zu den genannten Branchen kommen noch ein paar Exoten – etwa das Gastgewerbe; die Rheinland-Pfälzische Aufsichtsbehörde warnte Link bereits 2013: „Viele Hotelgastdaten sind zudem besonders persönlich und sensibel, denn der Kontakt zwischen Gast und Hotel ist naturgemäß eng. Das Hotel kennt die Essgewohnheiten und –vorlieben des Gastes, erfährt von seinen Freizeitinteressen, reinigt täglich sein Bad und richtet sein Bett. Häufig hat das Hotel sogar Kenntnis vom Gesundheitszustand des Gastes, von Krankheiten, Allergien oder Diäten. Das Hotel weiß, welche Fernsehprogramme der Gast bevorzugt, welche Besucher er empfängt, welche Zahlungsmittel er einsetzt und welches nächste Reiseziel er ansteuert. Deshalb ist der Schutz der Gastdaten nach dem Datenschutzgesetz absolut notwendig und die Enttäuschung der Gäste bei Fehlern besonders gut nachvollziehbar.“
… gibt’s nicht nur im Gastgewerbe
Also das Gastgewerbe weiß über die Gesundheit seiner Gäste Bescheid. Beim Essen sind aber nicht nur die Diäten geheimhaltungswürdig. Getreu dem Motto „Du bist, was Du isst“ können weitere Informationen über Religion oder Weltanschauungen hinzukommen: Vegetarier und Veganer zum Beispiel sind Link nach Ansicht der Berliner Zeitung „falsche Moralisten“. Ähnliche Vorhaltungen könnten auch denen gemacht werden, die an Pilgerreisen Link teilnehmen. Weltanschauungen könnten auch aus den Kundendaten von Wein- und Tabakhändlern abgeleitet werden. Oder den Abonnenten der Zeitschrift „Der Feinschmecker“. Hinzu kommen Bekleidungshersteller: Die Weltanschauungen einer katholischen Nonne dürften sich signifikant von denen eines Mitglieds der Hells Angels, des Bayerischen Trachtenverbands Link oder eines Freikletterers unterscheiden und sich dabei auch in der jeweiligen Kleidung spiegeln. Was Konsequenzen für die Sicherheit von Kundendatenbanken der Hersteller und Verleger mit sich bringt.
Der Kreis derer, die unter Art. 9 fallen, ist erheblich und wächst parallel zur Digitalisierung: Von Essgewohnheiten können auch elektronische Fotoalben oder die Geräte zur Selbstvermessung zeugen: „Selbstvermessung: Auf der Jagd nach dem Optimum“ titelt Link „GEO“.
Bei der Beurteilung, ob Ihre Institution zu den Verpflichteten nach Art. 9 zählt oder nicht und Sie persönlich „verantwortlich“ nach Art. 4 Link Nr. 7 sind, ist nicht Ihr Maßstab relevant – sondern der des Gesetzgebers!
Zur Frage, ob die „TAZ“, „DIE WELT“ und die „Junge Freiheit“ demnächst noch unverhüllt aus dem Zeitungsrohr lugen dürfen, fragen Verlags- und Versandleiter bitte ihren Anwalt oder die zuständige Aufsichtsbehörde.
Jetzt aber zur 2FA bei elektronischen Medien: datenschutzbeauftragter-info nennt Link die generellen Möglichkeiten einer Person, sich zu authentisieren:
„sie hat geheime Informationen, die nur ihr bekannt sind (z.B. Passwort)
sie ist selbst das Identifizierungsobjekt (z.B. biometrische Merkmale wie Fingerabdruck).“
Zu dem bereits genutzten Passwort soll ein weiterer Faktor hinzukommen; Der Fingerabdruck wäre sicher eine äußerst praktische Angelegenheit, weil er immer dabei ist und er einfach zu nutzen wäre.
Datenschutz durch Technik und durch Voreinstellung
Und wenn wir uns mit diesem Fingerabdruck gegenüber unserem Arbeitgeber oder dem Tele-Arzt authentisieren könnten, hätte das noch einen ganz besonderen Vorteil – Erwägungsgrund 78 der DSGVO mit der Überschrift „Geeignete technische und organisatorische Maßnahmen“ Link empfiehlt: „Um die Einhaltung dieser Verordnung nachweisen zu können, sollte der Verantwortliche interne Strategien festlegen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technik (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) Genüge tun.“
Datenschutz soll also bereits in der Technik enthalten und noch dazu voreingestellt sein. Beide Voraussetzungen wären wohl mit einem zweiten Authentisierungsfaktor in Form eines Fingerabdrucks gegeben.
Das Problem: Fingerabdrücke sollen sich nicht nur von Wassergläsern sondern auch per Kamera nehmen lassen. Sogar Laien sollen in der Lage sein Link , das auf eine Distanz von bis zu sieben Metern zu tun. Anschließend sollen sich solche Fingerabdrücke auf Latexhandschuhe übertragen lassen – behauptet Link DIE WELT unter Bezug auf das Bundeskriminalamt. Da ist es also keine gute Idee, „Victory“-Zeichen in irgendwelche Kameras zu machen Link . Eine geklaute Kreditkarte kann man ersetzen. Wer aber ersetzt Ihnen Ihren geklauten Fingerabdruck? Insbesondere dann, wenn der sich auch noch dazu in Ihrem Personalausweis oder Reisepass befindet?! Das Schlimme an dieser Geschichte ist: Der Artikel aus der „Welt“ ist 13 Jahre alt – und trotzdem ist die Idee aus der Mottenkiste der Daktyloskopie nicht totzukriegen!
In Malaysia wollten sich Kriminelle wohl nicht die Mühe mit dem Herstellen der Fingerabdruckkopie machen, um anschließend den Mercedes ihres Opfers mit diesem imitierten Fingerabdruck starten zu können – stattdessen schnitten sie ihrem Opfer einem Bericht der Britischen BBC zufolge Link den Finger kurzerhand ab. Womöglich ein Grund dafür, dass sich Fingerabdrücke hierzulande beim Starten von Automobilen noch nicht massenweise durchgesetzt haben.
Mit schicken Accessoires die Rechenschaftspflicht der DSGVO erfüllen
Eine Hardware-Lösung wie von datenschutzbeauftragter-info erwähnt, scheint da schon cleverer zu sein: Irgendein Signal außerhalb des Rechners soll der gewünschten Anwendung bestätigen, dass der Mensch vor dem Gerät befugt ist, sich zu diesem bestimmten Dienst mit diesem bestimmten Benutzernamen anzumelden. Der Vorteil: Ohne das bisschen Hardware geht nichts! Da kann ein Roboter am anderen Ende der Welt noch so viele Versuche unternehmen, sich anzumelden – es wird ihm nicht helfen! Deshalb kann das Passwort für den Berechtigten tatsächlich trivial sein: „1234“. Nach drei Fehlversuchen in physischer Nähe des Rechners lässt sich die erneute Eingabe beliebig verzögern und damit auch eine unberechtigte Nutzung durch Diebe verhindern.
Das Manko: Solche Lösungen sind aufwendig und damit teuer. Sie sind jedoch vermutlich billiger als die mit der DSGVO einhergehenden Geldbußen und Schadenersatzforderungen.
Für Sie bieten sich jetzt zwei Möglichkeiten: Sie können lautstark gegenüber Ihren Mitarbeitern darüber klagen, wie teuer das Alles wird – oder Sie versuchen, aus der Not eine Tugend zu machen: Spendieren Sie allen Ihren Mitarbeitern/Kunden/Partnern entsprechende Accessoires; das gibt’s in Form von Schmuck Link oder als Schlüsselanhänger Link . In Zukunft hätten tatsächlich nur noch die Berechtigten Zugriff zu Mails, Mitarbeiter-/Kundendaten, Bestellungen, Rechnungen und SAP. Oder auch Zugang zu Firmenauto, -parkplatz, -gebäude und dem Serverraum. Die Botschaft: „Ihre Sicherheit ist es uns wert!“
Vermitteln Sie mit dieser Investition das Signal: „Wir wollen die Vorgaben der DSGVO erfüllen!“ Erzeugen Sie Begeisterung und Aufbruchstimmung – wenn nicht nur Sie sich selbst engagieren, sondern auch Ihre Mitarbeiter mit dem Herzen dabei sind, ist die Wahrscheinlichkeit größer, dass die Aufsichtsbehörde das registriert und zu honorieren weiß – und bei etwaigen Verstößen weniger penibel ist als sie es vielleicht sein könnte. Werben Sie bei Ihrem Branchenverband für derartige Lösungen und tragen so zur Sicherheit Dritter bei – vielleicht erwidern die eine solche Geste mit ähnlichen Maßnahmen und es entwickelt sich ein System vernetzter Sicherheit. Offenbar gibt’s Link schon ein paar Vorbilder dafür…
Die Zukunft der Datensicherheit: Zugang zu personenbezogenen Daten nur noch mit beringtem Finger?: Tokenize Inc.
Nach der Authentisierung und der Authentifizierung ist in der nächsten Woche die „Autorisierung“ dran: Wer von den künftigen Ring-Trägern darf damit tatsächlich in den Server-Raum?
Je weniger Rechte ein Mitarbeiter hat, umso geringer die Schäden, die Dritte in seinem Namen verursachen können. Und: Je präziser Ihr Identitätsmanagement, umso besser erfüllen Sie Ihre Rechenschaftspflicht!

References: §64
 Art. 32
 § 64
 Art. 9
 Art. 9
 Art. 9
 Art. 4