Source: http://docplayer.org/690698-Sicherheit-von-daten-und-identitaeten-angesichts-nsa-und-big-data.html
Timestamp: 2018-03-21 06:03:11
Document Index: 80760485

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG']

Sicherheit von Daten und Identitäten angesichts NSA und Big Data - PDF
Download "Sicherheit von Daten und Identitäten angesichts NSA und Big Data"
Ursula Gretel Adenauer
1 a-i3/bsi-symposium 2014 Sicherheit von Daten und Identitäten angesichts NSA und Big Data Tagungsbericht Das 9. a-i3/bsi Symposium 2014 stand mehr noch als jemals zuvor im Zeichen tagesaktueller Themen. Am 19. und 20. Mai stellten Vertreter aus Wirtschaft, Forschung und Verwaltung hochaktuelle Probleme aus dem Bereich des Identitätsschutzes im Internet vor und diskutierten über Lösungen. Neben NSA und Big Data waren der Heartbleed-Bug in OpenSSL und das erst wenige Tage zuvor verkündete Google-Urteil die wichtigsten Diskussionspunkte. Ein Tagungsbericht. In einer kurzen Einführung honorierte Prof. Gereon Wolters, Dekan der juristischen Fakultät der RuhrUniversität Bochum, die Verdienste der a-i3 und blickte auf die langjährigen Tätigkeiten zurück, bevor er an die Bürgermeisterin Erika Stahl übergab, die die komplexe Materie aus Ihrer Sicht beschrieb. Prof. Dr. Georg Borges und Prof. Dr. Jörg Schwenk gingen als Vertreter der a-i3 in medias res und gaben einen kurzen Überblick über Aktuelle Herausforderungen für die Sicherheit von Daten. Im technischen Teil machte Prof. Dr. Jörg Schwenk vor allem auf den Heartbleed-Bug aufmerksam und warnte vor einer anzunehmenden Steigerung von Angriffen auf Verschlüsselungstechniken. Hintergrund sei, dass das notwenige theoretische Grundwissen seit 2010 die kritische Masse erreicht habe und nun gezielt für Angriffe eingesetzt werden könne. Nach wie vor zu den aktuellen Themen zu zählen ist das Cross-SiteScripting (XSS), begünstigt durch eine neue BrowserGeneration und HTML5. Seinen technischen Ausführungen schloss er noch einen Apell an, Forschern das Unknown Internet, also firmeninterne Netzwerke, die über das Internet abgewickelt werden, für Forschungszwecke zu öffnen. Hier lägen große unbekannte Bereiche, potenzielle Angriffe könnten daher nicht erforscht werden. Prof. Borges schloss sich diesen Ausführungen an und gab einen Überblick der Herausforderungen aus rechtlicher Sicht. Festzustellen war vor allem, dass Phishing noch nicht tot sei, vielmehr sei der Bereich des Online-Banking hochaktuell, wie auch die Inanspruchnahme des a-i3-beratungstelefons beweist. Aber auch neue Entwicklungen bieten aus juristischer Sicht spannende Themen: Sichtwort Heartbleed: Wer haftet eigentlich für den Fehler in der Software?, Stichwort Google-Urteil: Gibt es jetzt wirklich ein Recht auf Vergessenwerden?, Stichwort Standardisierung: Gibt es nun endliche eine verlässliche Grundlage für CloudComputing, Stichwort Datenschutz: Wie kann man sich noch vor der Datensammelwut und Big Data schützen?. In Themenbereich 1: Spionage und Cybercrime führte Prof. Dr. Jörg Schenk, Mitglied der a-i3 und Inhaber des Lehrstuhls für Netz- und Datensicherheit, ein. Er zeigte die Auswirkungen der Enthüllungen
2 a-i3/bsi-symposium Tagungsbericht 2 von Edward Snowden auf und, dass diese letztlich zu der Frage führen, die jede Firma beschäftigt oder beschäftigen sollte: Wie sicher ist mein Webauftritt? Den ersten thematischen Vortrag übernahm Prof. Dr. Christoph Sorge, Inhaber der juris-stiftungsprofessur an der Universität des Saarlandes. Zu dem Thema NSA-Affäre Was war aus technischer Sicht wirklich überraschend? konnte der gelernte Informatiker und seit langem auch mit IT-rechtlichen Themen befasste Sorge feststellen, dass die Fähigkeiten von NSA und GCHQ neben dem Mitschneiden von Metadaten auch die Beeinflussung von Standards umfassen. Auch gebe es eine Kooperation mit Routerherstellern für einen direkten Zugang zu den Netzen. Im Rahmen von Prism und Tempora seien Daten von Google, Microsoft, Yahoo, Skype und Facebook erfasst worden. Hervorzuheben ist die Möglichkeit, dass auch Daten von nicht ans Internet angeschlossenen Rechnern ausgewertet wurden. Hierzu sollen Hardware-Lieferungen abgefangen und die Hardware zum Zwecke der Spionage abgeändert worden sein. Sorge warf aber auch die Frage auf, in wieweit wir wirklich im Fokus der NSA stehen und stellte kontroverse Aussagen über die Tätigkeiten der USA im Bereich der Wirtschaftsspionage auf. Sein Fazit lautet: Wirklich überraschend ist die ganze NSA-Affäre aus technischer Sicht nicht. Was vielmehr überrascht ist das schiere Ausmaß der Überwachung! An den Vortrag von Prof. Sorge anschließend erläuterte Stephan Sachweh von der Pallas GmbH, einem IT-Betriebshaus für kleine und mittlere Unternehmen unter dem Titel Ist meine Website noch sicher? Massive Angriffe gegen Joomla, Wordpress und Typo3 einen etwas alltäglicheren Bereich von Spionage und Cybercrime. Er begann mit einem kleinen Überblick zum technischen Aufbau von Joomla, Typo3 und Wordpress. Den Content-Management-Systemen (CMS) ist gemein, dass sie freie Software sind, die daher große Verbreitung gefunden haben und sich durch Ihren modularen Aufbau inhaltich leicht pflegen lassen. Auch Werbeagenturen und Webdesigner können für diese CMS professionelle zugleich günstige Layouts erstellen. Doch genau hier liegt nach Sachweh das Problem: Nur weil die Software weit verbreitet ist und von einer Werbeagentur erstellt wurde, ist sie noch lange nicht sicher. Im Gegenteil: Viele Unternehmen verlassen sich zu sehr auf die Sicherheit und administrieren ihre Webauftritte nicht oder nur unzureichend. Mit einmal bekannten Schwachstellen und automatischen Scans können Kriminelle die Serverkapazitäten für sich nutzbar machen. Etwa für den Versand von Spam- und Phishing-Mails oder für illegales Filesharing. Die Folgekosten können für den Betreiber umfassend sein. Sachweh rät daher dringend zu einem durchdachten Konzept. Beispielhaft nennt er die Reduktion verfügbarer Funktionen auf ein notwendiges Minimum. Wo ich nur eine Webvisitenkarte haben möchte, muss kein Mailserver ungenutzt im Hintergrund mitlaufen. Einen weniger technischen Ansatzpunkt für den Schutz einzelner Bürger stellt Dr. Dirk Häger, Bundesamt für Sicherheit in der Informationstechnik (BSI), mit seinem Vortrag Warnung als Schutz gegen Identitätsmissbrauch Der Warndienst des BSI vor. Der Dienst umfasst nicht nur Warnungen wegen gehackter -Konten, wegen derer er Anfang des Jahres in die Presse gekommen war, sondern auch Produktwarnungen und Warnungen wegen Schwachstellen in IT- und Kommunikationssystemen. Grundsätzlich, so Häger, betreibe das BSI auch keine Massenwarnungen um panikartige Reaktionen zu vermeiden. Warum sich dies im Falle des ersten aufgefundenen Datensatzes von 16 Mio. aufgefundenen -Adressen anders verhält, erklärt Häger mit dem erhöhten Gefahrenpotenzial der Daten: Ein großer Teil der aufgefundenen E- Mail-Adressen konnte deutschen Nutzern zugeordnet werden, etwa % der Adressen seien zudem noch aktiv gewesen. Im Wesentlichen sei die Aktion des BSI in der Öffentlichkeit gut aufgenommen worden, Kritik gab es allerdings an dem Ausbleiben von Negativ-Benachrichtigungen. Häger schilderte dann, wie das BSI auf die Kritik reagierte und sich bei einem zweiten Fund von etwa 18 Mio. -Adressen direkt an die - Provider wandte. Auch wenn die Effektivität geringer war, wurde die Maßnahme in der Fachpresse besser aufgenommen. Häger schloss mit Ideen und Verbesserungen für mögliche künftige Warnungen. Starbug, der sich beim Chaos Computer Club (CCC) und beruflich schon seit 10 Jahren mit der Sicherheit biometrischer Systeme beschäftigt, präsentierte unter dem Titel Hacking biometrische Systeme Zur Sicherheit des iphone-fingerabdruckscanners seinen erfolgreichen Versuch den Fingerabdrucksensor des aktuellen iphones (TouchID) zu überwinden. Dabei gab er zunächst einen kurzen Überblick, wo biometrische Zugangssysteme eingesetzt werden. Dies sind neben Zugangskontrollen zu Gebäuden und Computern auch Elemente des Finanzsektors und staatliche Stellen, etwa im Bereich Kriminalistik und Grenzkontrollen. Angriffspunkte liegen nach Starbug in hinterlegten Daten, der Erkennungssoftware selbst oder in verwendeten Sensoren. Da sich Starbug für einen Angriff auf den Sensor entschied, erläuterte er kurz Merkmale der Haut, die für eine Identifizierung in Frage kommen, sowie verwendbare Sensortechniken. Den Hack selbst bezeichnete Starbug als denkbar einfach : Wer die
3 a-i3/bsi-symposium Tagungsbericht 3 Möglichkeit hat, einen Fingerabdruck so wie wir ihn täglich an tausenden Gegenständen hinterlassen mit einem handelsüblichen Scanner zu erfassen, kann mit einem Platinen-Belichtungsgerät und etwas Holzleim einen funktionierenden Dummy bauen. Die Einführung in Themenbereich 2: Cloud Dienste Standards und Datenschutz-Zertifizierung übernahm Prof. Borges. Er nannte als eine zentrale Herausforderung der Nutzung von Cloud-Technologien die Erfüllung der datenschutzrechtlichen Anforderungen. Standards und Zertifizierungen seien wesentliche Elemente für einen verbreiteten Einsatz von Cloud-Diensten und könnten nicht zuletzt im Bereich des Datenschutzes für Rechtssicherheit sorgen. Technische Anforderungen an Virtuelle Maschinen (VM) im Rahmen des Cloud Computing sind vielfältig. Die Lösungen unterscheiden sich stark und sind regelmäßig nicht interoperabel. Eine Möglichkeit von Standardisierung stellte Prof. Dr. Jörg Schenk mit OA- SIS-Standard für Cloud vor. Eine Schnittstelle für die Steuerung und Zugriff auf Cloud-VMs wurde von OASIS mit der Security Assertion Markup Language 2.0 (SAML) geschaffen. Diese identifiziert und signiert Daten, die von einem Zertifikataussteller verbürgt werden. In den Daten enthalten sind im Rahmen von SAML auch Anweisungen, wie Daten zu behandeln sind. Dies macht die Daten in verschiedenen Clouds wie jenen der Anbieter Amazon, Google, MS Office oder SuisseID einsetzbar. Noch einen Schritt weiter geht ein Standard, der es auch erlaubt ganze VMs von einer Cloud in eine andere unter Beibehaltung der Funktionen zu übertragen: Topology and Orchestration Cloud Applications 1.0 (TOSCA). Nachteil: Der große Funktionsumfang macht den Standard kompliziert. Dr. Patrick Grete stellte im Anschluss den Ansatz des BSI zu sicherem Cloud Computing Möglichkeiten und Grenzen vor. Dabei stellte er zunächst fest, dass es im Rahmen des Cloud Computing keine absolute Sicherheit geben könne, immer nur eine bestmögliche. Es gehe daher vielmehr um ein angemessenes Schutzniveau. Er wies in diesem Kontext auf das BSI-Eckpunktepapier Sicherheitsempfehlungen für Cloud Computing-Anbieter hin, welches praxisnahe, mit vertretbarem Aufwand umsetzbare, technische und organisatorische Maßnahmen enthalte. Die größten Gefahrenquellen sieht er im Rahmen von Orchestrierung, Netz, Ressourcen und Protokollierung, dem Bereich des sog. Cloud Management. Daneben sieht er verhältnismäßig neue Gefahren, darunter Clickjacking, XSS und SQL-Injections. Von zunehmender Bedeutung seien auch Penetrationstests. Nur mit diesen könnten Systeme auf Sicherheit überprüft werden. Am wichtigsten jedoch die Aufforderung Richtung Nutzer: Mit Vorsicht und kritischem Denken lassen Sich die meisten Sicherheitsprobleme erfolgreich umschiffen. Christoph Rechsteiner von der SAP AG präsentierte zum ersten Mal den neuen Datenschutz Standard für die Cloud: ISO 27018, der erst wenige Wochen vor dem Symposium verabschiedet wurde. Der im Rahmen der 27000er Reihe modulare Standard solle dabei alle vorherigen Standards inkludieren. Der modulare Aufbau sorge zudem dafür, dass andere Standards erhalten bleiben und weiter genutzt werden können: Nach einer Risikoanalyse gemäß ISO werden Anforderungen an technisch-organisatorische Maßnahmen durch ISO getroffen. Der sektorspezifische ISO konkretisiert die Anforderungen des ISO dabei. Er soll Vertrauen bei Kunden und Behörden bezüglich der Verarbeitung personenbezogener Daten schaffen. Datenschutz-Zertifizierung für Cloud Dienste: Der Trusted Cloud-Ansatz wurde von Dr. Thorsten Behling von WTS Legal vorgestellt. Der Trusted Cloud-Ansatz beinhaltet die Idee, eine Zertifizierung für Bereiche zu schaffen, bei denen eine Überprüfung der gesetzlichen Vorgaben durch das einzelne Unternehmen überfordern würde. Vor allem bei der Überprüfung der technischen und organisatorischen Maßnahmen nach 11 BDSG im Rahmen der Auftragsdatenverarbeitung sei dies der Fall. Auch das GDD-Muster für eine Vereinbarung in der Auftragsdatenverarbeitung, das Behling vorstellte, sei in diesem Bereich keine Hilfe. Viele Unternehmen seien mit der Ausführung personell und finanziell schnell überfordert. Daher werde bei der Trusted Cloud-Zertifizierung auf ein modulares Modell gesetzt. Diese führe dazu, dass bei einer kleinen Modifikation des Cloud-Dienstes nicht der Gesamtdienst erneut zertifiziert werden müsse, sondern die einzelne Komponente ein neues Zertifikat erhalten könne. Dadurch würden Mehrfachprüfungen vermieden und Kosten geschont. Ein solches Verfahren wird derzeit im Pilotprojekt Datenschutz-Zertifizierung von Cloud-Diensten entwickelt. Ulrich Lepper, der Beauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen führte in Themenbereich 3: Anonymität und Privatheit in Cloud und Big Data ein. Die Datenverarbeitung, hat heute eine internationale Dimension. Lepper stellte das jüngst ergangene Urteil des EuGH in den Vordergrund: Im Rahmen von Big Data und der daraus resultierenden Möglichkeit auch nicht-personenbezogene Daten zur Profilbildung zu nutzen, sei das Urteil, so Lepper,
4 a-i3/bsi-symposium Tagungsbericht 4 ein Schritt in die richtige Richtung. Mit dem gleichnamigen Vortrag zum Themenbereich verabschiedete sich Prof. Dr. Georg Borges von der Ruhr-Universität. Er wechselt zur Universität des Saarlandes, wo er nun den Lehrstuhl für Bürgerliches Recht, Rechtstheorie und Rechtsinformatik innehat. Borges stellt zunächst Big Data und Cloud Computing als technische Trends dar, die enorme Möglichkeiten und große Chancen bieten. Nicht nur sei die Vereinfachung des Alltags möglich (etwa ein Staumelder, der auf den Standortdaten von Smartphones basiere), gerade im Bereich medizinischer Forschung ergäben sich durch Big Data zahlreiche Möglichkeiten. Doch hier sieht er auch die Risiken: Dort, wo möglichst detailreiche Daten von Nöten seien, könne es trotz anfänglicher Anonymisierung durch die Agglomeration von Daten zu einer unbeabsichtigten Re-Personifizierung kommen. Die zwingende Folge des geltenden deutschen Datenschutzrechts: Die Daten müssten gelöscht werden, eine weitere Verwendung sei ausgeschlossen. Dadurch bringen sich Forscher in ein Dilemma. Denn wer mit potenziell personifizierbaren Daten umgeht, müsse immer fürchten, die Grundlage seiner Forschung durch einen Zufall zu verlieren. Borges wirbt daher für ein neues Verständnis von Anonymität, in dem eine Entfernung des Personenbezugs die Anonymität wiederherstellt, sofern sichergestellt ist, dass eine erneute Re-Personifizierung ausgeschlossen ist. Letztlich sieht Borges aber den Gesetzgeber in der Pflicht. Er stellt sodann den Wunsch nach positiver Wahrnehmung durch andere dar, die sich schon in den Profilen in sozialen Netzwerken zeigt. Dass wir nicht immer die Möglichkeit haben, die Fremdwahrnehmung gezielt zu steuern zeigen der digitale Pranger (sog. Shitstorms) und peinliche Bilder, die von anderen veröffentlicht werden. Mit seinem Urteil gibt der EuGH dem Einzelnen ein Stück seiner Selbstbestimmung zurück. Borges sieht das Urteil dabei als eine Art datenschutzrechtlichen Unterlassungsanspruch. Er skizziert den inhaltlichen Gleichlauf des vom EuGH begründeten Anspruchs mit dem Unterlassungsanspruch bei Persönlichkeitsrechtsverletzungen, den das Bundesverfassungsgericht (BVerfG) schon 1974 bejahte. Wenngleich der Anspruch des BVerfG dogmatisch eine andere Grundlage hat, ist den Ansprüchen gemein, dass eine Abwägung zwischen dem Informationsinteresse der Allgemeinheit und dem Schutzinteresse des Betroffenen duchzuführen ist. Anders, als die Medien, welche den Anspruch oft als Recht auf Vergessenwerden bezeichen, sieht Borges den Anspruch differenzierter: Es müsse unterschieden werden zwischen einer Suche nach (nur) dem Namen und einer gezielten Suche nach negativen Informationen. Es dürfte nur zu keiner Aufdrängung negativer Informationen kommen. Bei dem Online-Archiv der spanischen Zeitung werde die negative Information nicht in vergleichbarer Weise aufgedrängt. Borges lehnt daher einen Anspruch gegen die Zeitung ab. Insgesamt sieht Borges die Entscheidung des EuGH kritisch: Es handle sich um einen Anspruch mit unklarer Grundlage und ebenso unklaren Folgen. Einen weiteren Problembereich sieht Borges im Bereich der Selbstbestimmung. Durch Datenanalyse lassen sich Verhaltensweisen Betroffener voraussagen und durch Geschenke oder Rabatte beeinflussen. Hier spricht Borges von Manipulation, die zwar rechtlich bis auf wenige Ausnahmen nicht verboten ist, unter welcher die Selbstbestimmung aber massiv leiden kann. Wenn Online-Versandhändler Produkte schon versenden, bevor der Betroffene überhaupt weiß, dass er sie haben wollen wird, stellt sich die Frage Wo bleibt da noch die Selbstbestimmung? Borges schlägt zwei Lösungen vor: Zum einen sei es möglich, durch Transparenz des Wissensvorsprungs den Betroffenen zu schützen, zum setzt er auf Schutz durch Rückversicherung in der sozialen Bezugsgruppe. Dennoch, so sein Fazit, muss das Datenschutzrecht zwingend fortentwickelt werden. Den zweiten Tagungstag eröffnete der Geschäftsführende Direktor des Horst Görtz Instituts für IT-Sicherheit, Prof. Dr. Thorsten Holz. Er hebt die besondere Bedeutung des Symposiums für die interdisziplinäre Forschung hervor. Insbesondere im Bereich der Elektromobilität, einem Spannungsfeld zwischen technisch einfacher Machbarkeit und rechtlich Erlaubtem sieht er Forschungsbedarf. Sodann übergibt Holz das Wort an Horst Samsel vom BSI, der in den Themenbereich 4: Identifizierung und Identiätsschutz im Netz einführt. Er schildet, dass das BSI zwar einen allgemeinen Anstieg der Bedrohungslage sieht, aber im letzten Jahr auch zahlreiche mittlere und große Angriffe auf Computersysteme abwehren konnte. Dies trage wesentlich zum Schutz der Identitäten der Bürger bei. Wichtig sei eine weitere Sensibilisierung der Bürger für Bedrohungen, und eine Verbesserung der Sicherheit durch eine konsequente Zwei-Faktor-Authentisierung. Notfalls auf Kosten der Usability. Den ersten inhaltlichen Vortrag des Themenbereichs 4 übernahm Christian Seegebarth von der Bundesdruckerei GmbH. Er stellte die eidas-verordnung aus technischer Sicht vor, deren in Krafttreten derzeit noch fraglich ist, da sie sich noch im Gesetzgebungsprozess befindet. Die Verordnung löst die Signaturrichtlinie (1999/93/EC) ab und soll das Problem der Interoperabilität der eid-funktion der verschiedenen
5 a-i3/bsi-symposium Tagungsbericht 5 Ausweisdokumente aus den Mitgliedsstaaten lösen. Sie soll dabei aus zwei Teilen bestehen: Im ersten Teil wird die Verordnung den Grundsatz der gegenseitigen Anerkennung notifizierter Identifizierungssysteme, also für Deutschland der npa, neu begründen. Im zweiten Teil werden die sog. Vertrauensdienste neu geregelt. Dazu gehören unter anderem die Regelungen der ehemaligen Signaturrichtline und damit die elektronische Signatur. Schwierige und spannende Fragen seien, so Seegebarth, die Standardisierung und die Abstimmung der Beteiligten. Aspekte der Umsetzung der eid-verordnung stellte im Anschluss Dr. Jens Bender vom BSI vor. Die Verordnung, die den Mitgliedsstaaten die Hoheit über ihre Ausweisdokumente lasse, aber gleichzeitig Interoperabilität sicherstellen solle, erwartet er nach der EU-Parlamentswahl im September dieses Jahres. Grundidee der Verordnung sei dabei die Anerkennung von Ausweisdokumenten anderer Mitgliedsstaaten, nicht jedoch die Pflicht, eigene Ausweisdokumente notifizieren zu lassen. Ausgerichtet am ISO Standard würden Vertrauensniveaus in vier Stufen geschaffen, die in etwa den deutschen Schutzstufen, die am selben Standard orientiert sind, entsprächen. Handlungsbedarf im Rahmen der Umsetzung bestehe, so Bender, dort, wo Datenschutz ins Spiel komme. Da in den Mitgliedsstaaten teilweise ein unterschiedliches Verständnis von Vor- und Nachnamen herrsche, könne es schwierig sein, Daten zu bestimmen, deren Übertragung für die Nutzung eines Dienstes erforderlich seien. Aus nationaler Sicht knüpfte Klaus Wolter vom Bundesverwaltungsamt an den Vortrag von Bender an. In seinem Vortrag Onlineausweisfunktion und E- Government Vergabepraxis und Zukunftsaussichten ging er zunächst auf die Aufgabe des globalen Sperrdienstes ein und nannte einige Kennzahlen zum npa (etwa 10 Mio. mit aktiver eid-funktion, 145 Zertifikate an 101 Diensteanbieter vergeben, davon 82 Dienste online). Er skizzierte kurz die Voraussetzungen des 21 Abs. 2 PAuswG für die Erteilung eines Zertifikats. Dabei würden Interessen von Bürger und Diensteanbieter abgewogen. Seinen Vortrag schließt er mit dem kontrovers aufgenommenen Wunsch nach einer Gesetzesänderung, welche die Abschaltung der eid- Funktion verhindert: So könne die kritische Masse für eine Nutzung der eid-funktion geschaffen werden. Christian Mainka, wissenschaftlicher Mitarbeiter am Lehrstuhl für Netz- und Datensicherheit an der Ruhr- Universität Bochum, stellte den zusammen mit seinem Kollegen Vladislav Mladenov selbst entwickelten Angriff auf den Identity Provider OpenID vor. Unter dem Titel Untrusted Third Parties: When IsPd Break Bad. Angriffsszenarien für OpenID-basierte Single Sign-On-Systeme schilderte er, wie ein erfolgreicher Angriff auf das OpenID-System erfolgen kann. Der vorgestellte Angriff funktioniere aufgrund der Besonderheit, dass jedermann einen Server betreiben könne, der gegenüber dem Diensteanbieter für die Identität des Nutzers bürgt. Bei dem serverseitig konzipierten Angriff wird der Aussteller des Single Sign-On- Tokens verfälscht. Der Server des vermeintlichen Ausstellers unternimmt bei der Abfrage der Gültigkeit des Tokens nämlich keine Rückkontrolle, sondern verifiziert die Identität. Der Angriff konnte bei 11 von 16 getesteten OpenID-Implementierungen erfolgreich durchgeführt werden. In seiner Einführung zu Themenbereich 5: Big Data und Industrie 4.0 konstatierte Dr. Alexander Tettenborn vom Bundesministerium für Wirtschaft und Energie (BMWi), dass, obgleich die dritte industrielle Revolution noch nicht abgeschlossen sei, die vierte industrielle Revolution oder auch Industrie 4.0 in Form von Vernetzung unmittelbar bevorstehe. Diese berge ein großes Wachstumspotenzial gerade für den deutschen Markt, für dessen Rahmenbedingungen jedoch zunächst der Gesetzgeber gefordert sei. Als konkretes Beispiel nannte er den Wert von Daten und Datenmengen, der auch bei der Liquidation eines insolventen Unternehmens erhalten bleiben müsse, um Gläubiger des Unternehmens bestmöglich befriedigen zu können. Mit SkIDentity eid und starke Authentisierung aus der Cloud stellte Tobias Wich von der ecsec GmbH einen Identitäts-Broker vor, der den Empfehlungen des BSI, gerade im Bereich großer Clouds, mit einer zwei-faktor-authentisierung unter Nutzung des npa nachkommt. Das im Rahmen des Technologieprogramms Trusted Cloud geförderte Projekt vermittelt als ID-Broker zwischen dem Single Sign-On-Dienst und dem Token-Bereitsteller, da hier in der Regel hochkomplexe Protokolle zum Einsatz kommen. Obwohl noch in der Erprobungsphase befindlich, kann das Projekt schon ein vollständig funktionsfähiges Anwendungsbeispiel, die prämierte Bürger-Cloud, vorweisen. SkIDentity soll auf lange Sicht auch im europäischen Kontext unter Nutzung des SAML-Standards als Gegenstück zur eidas im privaten Bereich funktionieren. Ein Dienst, der eine solch starke Authentisierung nutzen könnte, stellte Lennart Oly von der ENX Association vor. Unter dem Stichwort Sicherheit im Enterprise Rights Managements schilderte er Probleme und Lösungsansätze für einen möglichst starken Investitionsschutz bei gleichzeitiger größtmöglicher Vernetzung.
6 a-i3/bsi-symposium Tagungsbericht 6 Er nennt nicht nur die Gefahr von Raubkopien duch Private Anbieter sondern auch die durch die NSA-Affäre wieder ins Bewusstsein gerückte organisierte staatliche Wirtschaftsspionage. Als Schutz vor unbefugten Zugriffen auf Daten entwickelt die ENX Association, ein Konglomerat von Autoherstellern und deren Zulieferern den sog. ENX Managed Security Service. Diesem soll dabei die Funktion der vertrauenswürdigen Stelle als Identitätsprovider zukommen, wobei noch weitere Sicherheitsmechanismen im Rahmen einer Standardisierung hinzukommen. Oly nennt als Beipiel eine Ende-zu- Ende-Verschlüsselung. Um kleine Unternehmen nicht auszuschließen und die Vorteile eines liquiden Marktes nutzen zu können, will ENX auch die zentrale Ausstellung eines Tokens für kleine Unternehmen anbieten, um für kleine Unternehmen Kosten zu sparen. Einen thematischen Umbruch gab es beim letzten Vortrag von Prof. Dr. Erich Schweighofer, Universität Wien, der unter dem Titel Heartbleed Muss man einem geschenkten Gaul ins Maul schauen? Pflichten und Haftung bei Fehlern in Open Source-Software der Frage nachging, wer für Fehler in freier Software haftet. Durch den vom Entwicklerteam selbst entdeckten und veröffentlichten Heartbleed- Fehler in OpenSSL war es zeitweise möglich bei einer verschlüsselten Verbindung Teile des Arbeitsspeichers des Gegenübers auszulesen und so an sensible Daten, wie Zugangsdaten oder Session-IDs zu gelangen. Dies führte zu der Möglichkeit, dass aktive sicherheitsrelevante Sitzungen übernommen werden konnten. Schweighofer gab der Thematik weniger eine dogmatische als eine rechtspolitische Dimension: Er lobte die gute Dokumentation des konkreten Fehlers, schloss trotz dieser aber eine Haftung der Programmierer aus. Da es sich bei einem schlichten Programmierfehler nur um einfache Fahrlässigkeit handle, scheide eine Haftung aus, da diese bei Schenkung grobe Fahrlässigkeit voraussetze. Fraglich stellte er eine etwaige Pflicht zu Überprüfung der Software durch den Verwender. Dieser könne sich nicht blind auf die (lizenzrechtlich geschenkte) Software verlassen. Einen Haftungsausschluss der Verwender im Rahmen von AGB lehnt er sowohl nach deutschem als auch nach österreichischem Recht ab. Sein Fazit: Vertrauen Sie dem Gaul nicht! Die Moderation der hochkarätig besetzten Podiumsdiskussion übernahm, wie auch schon in den vorigen Jahren, Joerg Heidrich vom heise zeitschriften Verlag. Unter dem Titel Identität und Persönlichkeit im Zeitalter von Big Data diskutierte er mit Dr. Alexander Tettenborn (BMWi), Prof. Dr. Rolf Schartmann (Gesellschaft für Datenschutz und Datensicherheit e.v.), Frank Herrmann, MdL NRW (Fraktion der Piratenpartei) und Prof. Dr. Markus Dürmuth (Ruhr-Universität Bochum) unter reger Beteiligung des Publikums. Die Diskussion eröffnete Heidrich thematisch mit dem Google-Urteil des EuGH. Hierzu stellen die Teilnehmer der Podiumsdiskussion fest: Wie weit der vom EuGH begründete Anspruch reicht, weiß keiner. Zwar begrüßten die Diskutanten das Urteil. Wie das oftmals unscharf bezeichnete Recht auf vergessen werden allerdings technisch umgesetzt werden soll, ist zweifelhaft. Prof. Dürmuth stellt hierzu fest: Löschen ist technisch-praktisch nicht umzusetzen. Trotzdem ist es ein Unterschied, ob die Daten nur in einer Datenbank liegen oder ob auch auf die Daten zugegriffen werden kann. Prof. Dr. Schwartmann sieht es ähnlich: Er hält das Urteil für einen Gewinn der Betroffenen und für die Rechtsdurchsetzung. Heidrich weist auf die Missbrauchsgefahr hin: Er vermutet, dass im Zweifel eine Klage gegen Google gar nicht notwendig sei Google werde wohl einfach so löschen. Mit großen Gefahren für Meinungs- und Informationsfreiheit. Uneinheitlich ist das Meinungsbild in der Frage, ob Suchmaschinen neutrale Informationen zur Verfügung stellen sollen oder gar müssen. Die fragliche Information bleibt nämlich nach dem EuGH-Urteil erhalten, lediglich die Art eine Suchanfrage zu formulieren, müsse angepasst werden, um die Information auch weiterhin finden zu können. Wer gezielt nach negativen Informationen suche, der dürfe und müsse Sie dann auch finden können. Mehrere Diskutanten wiesen darauf hin, dass die fraglichen Informationen erhalten blieben, lediglich der Zugang sei erschwert. Auch Dürmuth sieht es offenbar ähnlich: Die Daten sollen nicht gelöscht werden, sondern nur der Zugang versperrt. Im Folgenden kommt die Diskussion auf Themen von Big Data und die Profilbildung zu sprechen. Hier sind sich die Teilnehmer, auch nach kritischen Nachfragen aus dem Publikum sicher, dass die gegenwärtige Gesetzeslage auch mit dem Trend Big Data zurecht käme. Es müsse sich eher in den Köpfen der Betroffenen ein Umdenken in Gang setzen: Wie der Umgang mit den eigenen Daten zu handhaben sei, müsse sich den Trends anpassen. Transparenz ist am Ende des Tages die einzige Lösung die Technik wird uns da nicht helfen. Nach einer kurzen Zusammenfassung übergab Heidrich an die Veranstalter Prof. Dr. Georg Borges und Prof. Dr. Jörg Schwenk, die ihrerseits nach einem Überblick der Vorträge ein kurzes Fazit zogen und den Referenten und Teilnehmern dankten. Informationen zur a-i3 und ihren Tätigkeiten, sowie zum nächsten Symposium finden Sie im Internet auf der Webseite der a-i3 unter: