Source: http://kiosk.freie-fachinformationen.de/mkg-spezial-cyberschutz-in-der-anwaltskanzlei/62648405/10
Timestamp: 2019-07-19 06:03:35
Document Index: 101919074

Matched Legal Cases: ['Art. 5', 'Art. 24', 'Art. 32', 'Art. 32', 'Art. 5', 'Art. 24', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32']

ANFORDERUNGEN ...........
ANFORDERUNGEN ................................................................................................................................................................................................................... Diese Argumentation soll vor allem davor schützen, punktuelle übertriebene Investitionen zu tätigen. Bevor viel Geld in eine neue teure „Firewall“ gesteckt wird, sollte man selbst oder mithilfe eines IT-Sicherdass – trotz weit vorangeschrittener Digitalisierung – keinerlei relevante Verurteilungen veröffentlicht wurden. Aus dieser Perspektive gewinnt man den Eindruck, dass entweder Cybercrime vorwiegend außerhalb von Anwaltskanzleien stattfindet oder dass die durchschnittlichen Sicherheitsmaßnahmen von durchschnittlichen Anwälten häufig ausreichen. Wie ist diese Diskrepanz in der Beschreibung möglicher Risiken aufzulösen und wie soll ein einzelner Anwalt hierzu in der Lage sein? Von Interesse wären weitere Details, etwa von wem und wie oft E-Mails „mitgelesen“ werden oder in welchem Ausmaß versucht wird, eine Transportverschlüsselung oder eine „Ende-zu-Ende“-Verschlüsslung anzugreifen oder zu umgehen. (4) AUSWAHL DER GEEIGNETEN IT-SICHERHEITSMAßNAH- MEN GGF. GEMEINSAM MIT EINEM IT-DIENSTLEISTER; BERÜCKSICHTIGUNG DER SICHERHEIT ALS GESAMT- BILD Trotz dieser Unsicherheit müssen Maßnahmen gewählt werden, welche helfen, die bestehenden Risiken adäquat zu minimieren. In der Regel hilft die Dokumentation der Risiken bei der Auswahl zwischen einer sehr sicheren, aber dafür aufwendigen Maßnahme und einer moderaten, vielleicht aber nicht ganz so sicheren, dafür aber in der Praxis ohne jegliche Änderung der Arbeitsabläufe umsetzbaren Maßnahme. Hierbei ist stets das „Gesamtmaß“ an Sicherheit einer Kanzlei zu berücksichtigen, denn die IT-Sicherheit ist stets nur so stark, wie das schwächste Glied der Kette. Anders ausgedrückt: Wenn die Haustüre gut verschlossen ist, aber die Fenster alle sperrangelweit geöffnet sind, nützt es wenig, die Schlösser der Eingangstür zu verstärken. So ist dies auch im Bereich der IT-Sicherheit und dies wird häufig übersehen. Tatsächlich wird aktuell die Stärke und Methode der E-Mail-Verschlüsslung intensiv diskutiert. Teilweise wird sehr pauschal und ohne konkrete Schutzbedarfsanalyse eine aufwendige Ende-zu-Ende-Verschlüsslung gefordert – ohne zu berücksichtigen, ob Privatpersonen als Mandanten hiermit überfordert sein könnten. Die beste Ende-zu-Ende-Verschlüsslung nützt aber nichts, wenn es sehr leicht ist, von außen oder innen auf die Festplatten der Arbeitsplatzrechner und Server zuzugreifen, etwa weil: M Zugänge nur sehr unzureichend mit Passwörtern gesichert sind, M diese beispielsweise seit Jahren nicht geändert wurden (und auch zahlreichen Ex-Angestellten bekannt sind). heitsexperten kurz überlegen, durch welche Standardmaßnahmen (z. B. den oben genannten) das Gesamtmaß an Sicherheit wesentlich kostengünstiger erhöht werden kann. (5) DOKUMENTATION „PLAUSIBLER“ SCHUTZBE- DARFSANALYSE UND ERGRIFFENER MAßNAHMEN ALS „RETTUNG“ Aus der Ungewissheit über die konkret bestehenden Risiken und die Wirkung und Angemessenheit spezifischer Maßnahmen entsteht zweifellos ein großer Auslegungsund Prognosespielraum. Gerade diese Unwägbarkeiten haben Anwälte in der Vergangenheit dazu veranlasst, erst gar keine Schutzbedarfsanalyse vorzunehmen und diese zu dokumentieren, auch weil Sanktionen oder andere Nachteile in der Praxis bislang kaum drohten. Angesichts der DSGVO sollte sich jedoch jeder Anwalt fragen, ob dieses Verhalten für die Zukunft noch richtig ist. Denn gemäß Art. 5 Abs. 2 und Art. 24 DSGVO besteht eine umfassende Nachweispflicht für die Einhaltung der Vorgaben der DSGVO. Bei einer Nachfrage der Datenschutzaufsichtsbehörde muss der Anwalt nachweisen können, dass er ausreichende Sicherheitsmaßnahmen getroffen hat, um Art. 32 DSGVO zu erfüllen. Einen solchen Nachweis kann nur erbringen, wer die oben genannten Schritte für sich intern dokumentiert hat. 10 // SONDERAUSGABE
ANFORDERUNGEN ................................................................................................................................................................................................................... Im Rahmen der Anfertigung der Dokumentation sollte man sich folgenden Leitgedanken vor Augen halten: Fehlt eine Dokumentation völlig und wurde in keiner Weise verschriftlicht, welcher Schutzbedarf für Daten besteht (und welche Daten überhaupt verarbeitet werden), so stellt dies ohne jeden Zweifel einen Verstoß gegen Art. 32 i.V.m. Art. 5 Abs. 2 und Art. 24 DSGVO dar. Eine komplizierte Prüfung bleibt einer Datenschutzaufsichtsbehörde so erspart. Zwar ist die Wahrscheinlichkeit der verdachtsunabhängigen Prüfung durch eine Datenschutzaufsichtsbehörde nicht sehr hoch, doch die hohe Anzahl an Beschwerden bei Aufsichtsbehörden, welche typischerweise genaue Prüfungen nach sich ziehen, sollte zu denken geben: Was ist, wenn der unzufriedene Mandant, der enttäuschte Gegner oder der frustrierte Kollege sich bei der Datenschutzaufsichtsbehörde mit der Behauptung beschweren, die Daten seien bei Ihnen nicht sicher? Eine Datenschutzaufsichtsbehörde hat dann keine andere Wahl und wird eine Anwaltskanzlei nach der Umsetzung von Art. 32 DSGVO fragen müssen. Bei Fehlen jeglicher Dokumentation wird es dann mühsam und riskant. Umgekehrt gilt jedoch: Sobald „plausibel“ und „in sich schlüssig“ dokumentiert wurde, dass sich jemand auf Basis einer Übersicht aller gespeicherten Datenkategorien Gedanken um den Schutzbedarf gemacht und darauf aufbauend technische und organisatorische Schutzmaßnahmen implementiert hat, wird es für eine Datenschutzaufsichtsbehörde sehr schwierig, zu argumentieren, dass die konkreten Maßnahmen nicht ausreichen. Zumindest Bußgelder werden in einem solchen Fall kaum erlassen werden können – schon allein, weil das Rechtstaatsgebot für schwer sanktionierte Verbote wesentlich präzisere Tatbestände verlangt, als dies in Art. 32 DSGVO umgesetzt wird. Solange keine detaillierte Rechtsprechung zu Art. 32 DSGVO existiert, wird es daher genügen, wenn eine Dokumentation der Auswahl der technischen und organisatorischen Maßnahmen „plausibel“ und „in sich schlüssig“ erscheint; nahezu unabhängig davon, welche konkreten Maßnahmen genau gewählt wurden. Dies ist gewissermaßen die Kehrseite der Medaille der tatsächlichen und rechtlichen Unsicherheit über die Handhabung von Art. 32 DSGVO. Häufig wird man in kleineren Kanzleien feststellen, dass Standardmaßnahmen wie das regelmäßige Ändern von Passwörtern und das regelmäßige Updaten von Software bereits intuitiv vorgenommen werden (oder die Software es mittlerweile automatisch so vorsieht). Dann muss nichts weiter veranlasst werden, als diese Maßnahme zu dokumentieren und anhand des Schutzbedarfs der Kanzlei zu argumentieren, dass diese Maßnahmen ausreichen. (6) ZERTIFIZIERUNG NACH IT-SICHERHEITSNORMEN Angesichts der enormen Unsicherheit über die Frage, wann das Maß einer „ausreichenden“ IT-Sicherheit gegeben ist, gehen viele Unternehmen dazu über, die eigene IT-Sicherheit durch einen externen Auditor begutachten zu lassen, mit dem Ziel, ein Zertifikat darüber zu erlangen. Schließlich, so wird argumentiert, kann sich ein Geschäftsführer, IT-Sicherheitsbeauftragter oder Datenschutzbeauftragter trotz der Unsicherheit der Materie nichts mehr vorwerfen lassen, wenn ein seriöser und anerkannter externer Spezialist, die IT-Sicherheit für zertifizierungswürdig gehalten hat. Insbesondere das Sicherheitsmanagement kann nach der sehr verbreiteten ISO 27001 Norm zertifiziert werden. Die Durchführung eines entsprechenden Audits und vor allem dessen Vorbereitung sind jedoch ohne spezialisierte Experten in diesem Bereich nicht zu schaffen. Deswegen sind Anwälte bislang kaum dazu übergegangen, die eigene Kanzlei zertifizieren zu lassen. Leichter möglich ist es allerdings für einen Anwalt, Teile der IT-Infrastruktur auf einen Dienstleister auszulagern, der seinerseits entsprechend zertifiziert ist. Bei der Auswahl eines geeigneten Cloud-Service-Providers sollte also auf entsprechende Zertifikate geachtet werden. So ist etwa der vom DAV empfohlene Hoster Team- Drive Systems GmbH entsprechend ISO 27001 zertifiziert. 11 // SONDERAUSGABE
Seite 9: ANFORDERUNGEN .....................