Source: http://kiosk.freie-fachinformationen.de/mkg-spezial-cyberschutz-in-der-anwaltskanzlei/62648405/8
Timestamp: 2019-05-20 07:23:23+00:00

Document:
ANFORDERUNGEN ................................................................................................................................................................................................................... Man sieht, dass diese beispielhaften Sicherheitsmaßnahmen nicht übermäßig schwer umzusetzen wären, sie dürften aber auch nur für kleine Kanzleien ohne sensible Daten und ohne wichtige Geschäftsgeheimnisse der Mandanten ausreichen. Weitere Anregungen für typische technische und organisatorische Maßnahmen können einem Muster des deutschen Anwaltsvereins entnommen werden. Zum Gratis-Download hier klicken. Checkliste für technische und organisatorische Maßnahmen der Datensicherheit. B BEISPIELMAßNAHMEN FÜR GRÖßERE KANZLEIEN MIT SENSIBLEN DATEN Eine größere Kanzlei würde etwa zusätzlich noch ein Berechtigungskonzept (also Regelungen darüber, wer auf welche Daten und Akten zugreifen darf) benötigen – was bei einer 1-Mann-Kanzlei naturgemäß nicht nötig wäre. Kanzleien, die wesentlich sensiblere personenbezogene Daten (etwa Vaterschaftstest, Informationen aus intimen Details aus dem Privatleben, Krankenakten oder psychiatrische Gutachten über Personen) müssen solche Daten stärker schützen. Die oben genannten Maßnahmen müssen gegebenenfalls verschärft werden (z. B. durch Mindestanforderung für Passwortlänge; Verschlüsselung der gespeicherten Daten; Ende-zu-Ende-Verschlüsslung in der E-Mail-Kommunikation; Home-Office nur über VPN-Verbindungen und zusätzliche Auflagen an das Ausdrucken und die Mitnahme und Verwendung von ausgedruckten Daten usw.). C ANALYSE DER IN EINER KANZLEI VERARBEITETEN DATENKATEGORIEN UND DEREN SCHUTZBEDARF Welche technischen und organisatorischen Maßnahmen genau umgesetzt werden sollten, kann nur ermittelt werden, wenn klar dokumentiert ist, welcher Schutzbedarf für die durch die Kanzlei verarbeiteten Daten besteht. Welche Daten müssen vor welchen Bedrohungen angesichts welcher Schadenspotentiale geschützt werden? Die Prüfung von Art. 32 DSGVO muss mit der Frage beginnen, vor welchen Risiken die zu implementierenden technischen und organisatorischen Maßnahmen schützen sollen. Dies betonen auch die Datenschutzaufsichtsbehörden in den wenigen veröffentlichten Papieren zu Art. 32 DSGVO und dieser Analyseschrift (in der IT-Fachsprache häufig „Schutzbedarfsanalyse“ genannt). Dies ergibt sich auch aus allen gängigen IT-Sicherheitsstandards, wie den BSI-Grundschutzkatalogen/dem BSI-Kompendium, den Standards der ISO-Normenreihe 27001ff, den „Common Criteria“ oder dem von den Datenschutzaufsichtsbehörden entwickelten „Standard Datenschutz Modell“. MITGLIED werden im Jubiläumsjahr einmalig € 20,-* Die Arbeitsgemeinschaft IT-Recht im DAV feiert! Werden Sie Mitglied im Jubiläumsjahr für den einmalig rabattierten Beitrag von € 20,-* und feiern Sie mit auf dem 10. Deutschen IT-Rechtsabend** am 25.4.2019 ab 19.00 Uhr ** Anmeldung erforderlich unter Angabe der Seminarnummer 72899-19 8 bei // fitzlaff@anwaltakademie.de SONDERAUSGABE davit mit Vorzugskonditionen Fachanwalt werden und bleiben Netzwerken lokal und bundesweit IT-Recht kompakt und High end auf den IT-Rechtstagen Fachzeitschriften und Online-Recherche Mitmachen: Reden, Schreiben, Vernetzen davit DAV 20 JAHRE IT-RECHT *Für Mitglieder der Örtlichen Anwaltsvereine
ANFORDERUNGEN ................................................................................................................................................................................................................... (1) WELCHE DATEN WERDEN (2) RELEVANTE RISIKEN (3) PROBLEM DER FAKTISCHEN VERARBEITET? – RÜCKGRIFF ERMITTLUNG VON RISIKEN AUF DAS VERZEICHNIS DER VERARBEITUNGSTÄTIG- KEITEN Haben Sie einen Überblick darüber, welche Daten in Ihrer Kanzlei gespeichert und verarbeitet werden? Im Idealfall hat eine Kanzlei bereits im Rahmen der Vorbereitung auf die DSGVO ein so genanntes Verzeichnis der Verarbeitungstätigkeiten erstellt. Dieses Verzeichnis enthält eine Reihe an Details zu allen Datenverarbeitungsvorgängen, die in der jeweiligen Kanzlei konkret vorkommen (also z. B. Verfahren bezüglich der eigenen Mitarbeiter wie „Lohnbuchhaltung“ oder Bis hierhin galt die Faustregel: Wer die Anforderungen aus Art. 32 DSGVO erfüllt, erfüllt zugleich auch die Anforderungen der anderen oben genannten Vorgaben des Standesrechts und des Strafrechts bzw. handelt nicht „fahrlässig“ im Sinne sämtlicher denkbarer zivilrechtlicher Anspruchsgrundlagen. Im Hinblick auf die relevanten Risiken für die Daten einer Anwaltskanzlei ist nun zu differenzieren: Art. 32 DSGVO schützt ausschließlich natürliche Personen vor Bedrohungen wie Im nächsten Schritt ist zu bewerten, wie hoch die Wahrscheinlichkeit ist, dass ein (materieller oder immaterieller) Schaden als Folge einer verwirklichten Gefahr eintritt und wie schwer dieser Schaden sein könnte. Häufig ist hierbei fraglich, auf welcher Informationsgrundlage solche Prognosen vorgenommen werden können. Denn es gibt keine objektiven Langzeitstudien darüber, wie häufig Anwaltskanzleien angegriffen werden, welche Daten hierbei abhandenkommen und zu welchem Schaden dies führt. Die vielfach befürchtete staatliche „Personalverwaltung“ oder Verfahren bezüglich Identitätsdiebstahl, finanziellem Verlust Wirtschaftsspionage wird für größere Mandanten wie „Verwaltung von Geldern für Mandaten inklusive Geldwäscheprozess“ oder „Führen eines Prozesses im allgemeinen Zivilrecht“ oder „Führen einer familienrechtlichen Streitigkeit“). Gemäß Art. 30 DSGVO ist jeder datenschutzrechtlich Verantwortliche verpflichtet, ein solches Verzeichnis zu führen. Wenn diese (einer Person, nicht eines Unternehmens), unbefugter Aufhebung der Pseudonymisierung, Belästigung durch Werbung, Verlust des Zugriff auf Accounts oder anderen wirtschaftlichen oder gesellschaftlichen Nachteilen. Nicht relevant sind für Art. 32 DSGVO Wirtschaftskanzleien eventuell eine Rolle spielen, aber welche Art von „Tätern“ und „Angreifern“ soll sich eine kleinere Kanzlei für Verkehrsrecht vorstellen? Wenn man aktuelle Studien zur Lage der IT-Sicherheit in Deutschland liest (wie sie etwa vom Bundesamt für Sicherheit in der Aufgabe sorgfältig erledigt wurde, kann hingegen wirtschaftliche Risiken von Unter- Informationstechnologie herausgegeben anhand des Verzeichnisses der Verarbeitungstätigkeiten bereits abgelesen werden, welche Daten in einer Kanzlei verarbeitet werden. nehmen wie etwa Geschäftsgeheimnisse, ein unautorisierter Zugriff auf geheime Unterlagen der Forschungsabteilung oder sensible Finanzinformationen. Diese Aspekte sollte ein Anwalt dennoch im Rahmen der Schutzbedarfsanalyse berücksichtigen. Auch wenn dies zur Erfüllung von Art. 32 DSGVO nicht notwendig ist, dient dieser Aspekt zur Erfüllung der anderen oben genannten Normen (z. B. dem Standesrecht und der berufsrechtlichen Verschwiegenheitsverpflichtung aus § 203 StGB). werden: www.bsi.bund.de) oder auch nur die Tagespresse durchgeht, könnte man leicht den Eindruck gewinnen, Unternehmen aller Branchen und Größen – und damit auch Anwälte – seien der ständigen Gefahr durch Hacking ausgesetzt. Sucht man hingegen in Kommentierungen von § 203 StGB oder in Juris/Beck-Online nach Verurteilungen von Anwälten wegen Unterlassens der Vornahme einer gebotenen IT-Sicherheitsmaßnahme stellt man fest, 9 // SONDERAUSGABE
Seite 7: ANFORDERUNGEN .....................

References: Art. 32
 Art. 32
 Art. 32
 Art. 32
 Art. 30
 Art. 32
 Art. 32
 § 203
 § 203