Seminar: Informatik und Gesellschaft im WS 1996/97 an der FAU Erlangen-Nürnberg
Vortrag: Datenschutz
Autor: Björn Reimer
Termin: 11.11.1996
Gliederung
0. Abstract
1. Datenschutz als gesellschaftliches Problem
2. Grundbegriffe
3. Gesetze zum Datenschutz
3.1. Bundes- und Landesgesetze
3.2. Der Staat und meine Daten
3.3. Privatunternehmen und meine Daten
3.4. Strafandrohungen zum Thema Datenschutz
4. Datensicherheit in der Praxis
4.1. Was ist Datensicherheit?
4.2. Sicherheitsprobleme in Rechnersystemen
4.3. Wie läßt sich Datensicherheit erreichen?
4.4. Kryptographie und Kryptologie als Mittel zum Datenschutz
5. Resümee
5.1. Die 6 fundamentalen Sicherheitsprinzipien
5.2. Datenschutzprinzipien
6. Quellen und weitere Links zum Thema
Datenschutz? Ist das ein Problem? Was hat das mit Informatik zu tun?
Datenschutz begegnet uns eigentlich überall, aber kaum einer nimmt ihn wirklich ernst. Zwar hat wohl schon jeder mal etwas von einem Datenschutzgesetz gehört, oder von einem Datenschutzbeauftragten, aber hat sich auch schon mal jemand bewußt gemacht, welch e potentiellen Gefahren sich für uns ergeben, wenn die falschen Leute an unsere Daten kommen? Welche Versicherungsgesellschaft würde einem todkranken eine Lebensversicherung verkaufen? Was, wenn sie die Daten der Krankenversicherung hätte?
Und genau das ist das Problem. Unsere Daten können für andere Menschen Kapital sein.
Damit mit unseren Daten kein Mißbrauch betrieben wird, müssen wir ein Bewußtsein für die Probleme erlernen, die sich beim Umgang mit persönlichen Daten ergeben, als auch genau Bescheid wissen, was andere mit unseren Daten machen dürfen und was nicht!
Weiter ist ein Mindestmaß an Sorgfalt und technischen Überlegungen bei der Implementierung von IT-Systemen, die personenbezogene Daten verarbeiten sollen, unabdingbar.
Zuerst muß geklärt werden, wo Datenschutz in der Gesellschaft überhaupt ein Problem ist oder sein kann und was Datenschutz eigentlich ist:
Was ist bisher passiert (nach [3])
Eine kleine Auswahl, Quellen:
Wir treffen überall auf Probleme mit dem Datenschutz:
Der Datenschutz ist gefährdet durch:
Zielkonflikte
Der Datenschutz kollidiert sehr häufig mit anderen berechtigten Interessen
(zitiert nach [3])
Grundrecht, Persönlichkeitsrecht, Recht auf informationelle Selbstbestimmung [BVG-Urteil zur Volkszählung, 15.12.1983]. (Geschützt werden nicht die Daten, sondern die Persönlichkeit vor Mißbrauch ihrer Daten.)
Schutz von Daten vor Mißbrauch, unberechtigter Einsicht oder Verwendung, Änderung oder Verfälschung. Auch Schutz der Integrität eines Systems.
Schutz von Daten und Datenverarbeitungsanlagen vor Zerstörung durch äußere Gewalten oder Sabotage. Auch Schutz vor Nichtverfügbarkeit.
Ergebnis der Verwirklichung von Datenschutz (informatisch) und Katastrophenschutz.
Datensicherheit, bezogen auf Systeme der Informationstechnik (IT).
Nachdem ich kein Jurist bin, hier eine Liste von Gesetzen (nach [3]), in denen das Thema Datenschutz geregelt bzw. angesprochen wird:
Grundlage des Datenschutzes in der Bundesrepublik ist das Bundesdatenschutzgesetz. Hochrangiger sind nur noch Datenschutzverordnungen der EG (EG-Richtlinien sind i.R. vom Bundesgesetzgeber in nationales bzw. vom Landesgesetzgeber in Landesrecht umzuwandeln . Dazu wird in jeder EG-Richtlinie eine Frist festgelegt, innerhalb derer dies geschehen muß. Ob Bundes- oder Langesrecht angepaßt werden muß, ist im Grundgesetz der Bundesrepublik Deutschland geregelt.)
Alle anderen Gesetze basieren auf dem Bundesdatenschutzgesetz und treffen in der Regel genauere Aussagen zum Thema Datenschutz in den kleineren Bereichen.
Die EG-Richtlinie muß bis Ende 1998 in nationales Recht umgesetzt werden. Danach kann es noch Übergangsregeln für »Altdaten« geben. Deshalb kann sich im Bereich des Datenschutzes in der nächsten Zeit noch einiges ändern, was aber i.R. das Speichern von Dat en erschwert bzw. transparenter macht.
Welche Rechte habe ich, wenn es um meine Daten geht?
Alle von mir gespeicherten Daten müssen korrekt sein. Da nur ich dieses wirklich kontrollieren kann, habe ich ein Recht, alle Daten, die von mir gespeichert wurden, einzusehen.
Dies gilt lt. Gesetz bei Behörden aber nur dann, wenn dadurch die Staatssicherheit nicht gefährdet wird. Es kann mir auch unentgeltlicher Einblick verwehrt werden, wenn damit ein erheblicher Verwaltungsaufwand verbunden wäre. Konkret sind das Einschränkung en, die einen Zugriff auf meine Daten von vornherein erschweren.
Sollte ich einen Fehler in meinen Daten finden, dann muß dieser korrigiert werden. Sollte ich für die Auskunft über meine Daten eine Verwaltungsgebühr entrichtet haben , dann ist sie in diesem Fall zurückzuerstatten!
Wenn man mir nicht glaubt, daß meine Daten falsch sind, dann sieht der Gesetzgeber vor, daß mein Datensatz gesperrt werden muß, d.h. er darf nicht mehr ausgewertet werden, bis die Lage geklärt ist. Er muß aber nicht gelöscht werden.
Ein anderes Thema, auf das ich hier nur hinweisen möchte, ist das Recht der Ordnungskräfte (Polizei) meine Daten im Zuge einer Rasterfahndung mit dem Profil eines Täters zu vergleichen. Dieses Vorgehen ist gesetzlich extra geregelt.
Auch private Unternehmen dürfen Daten von mir speichern, wenn ich einwillige. Deshalb muß mir auch mitgeteilt werden, daß meine Daten elektronisch erfaßt werden, wenn ich z.B. einen Fragebogen ausfülle.
Grundsätzlich dürfen nur Daten von mir gespeichert werden, wenn sie zum Erreichen des Zwecks nötig sind, was soviel heißt, wie daß keine Daten gespeichert werden dürfen, nur weil sie verfügbar wären, wenn sie mit dem Zweck der Datenspeicherung nichts zu tu n haben.
Also darf ein Versandunternehmen meine Kontonummer z.B. nicht speichern, auch wenn sie auf einem Einzahlungsbeleg ausgewiesen ist, da das Unternehmen mein Konto nichts angeht. Dagegen darf natürlich von diesem Unternehmen meine Adresse gespeichert werden, weil bestellte Ware ja ausgeliefert werden muß.
Meine Daten dürfen auch nicht rein maschinell ausgewertet werden, wenn mir dadurch Nachteile entstehen. So darf eine Bank die Kreditwürdigkeit eines Kunde nicht nur durch einen Computer beurteilen lassen.
Wenn ich in einem Unternehmen arbeite, dann gibt es dort (bei größeren Unternehmen ab 5 Mitarbeiter, die mit schutzwürdigen Daten umgehen) einen Datenschutzbeauftragten. Dieser muß mir gegenüber auch jederzeit Auskunft über von mir gespeicherte Daten geben . (nach EG-Richtlinie) Eine Einschränkung auch in Bezug auf Geheimhaltungsinteressen des Unternehmens ist vom Bund zu regeln.
Jeder Betroffene hat grundsätzlich einen Anspruch auf Schadensersatz, wenn Daten von ihm/ihr gespeichert werden, die nicht gespeichert werden dürften bzw. anderweitig zu seinem/ihren Nachteil gegen das Datenschutzbestimmungen verstoßen wird.
Das sollte eigentlich dazu führen, daß sich Entscheidungsträger vorher überlegen, welche Daten sie speichern und welche nicht. Wie sich das in der Realität auswirkt, muß abgewartet werden.
Was heißt das konkret? (nach [5])
Mit dem zweiten Gesetz zur Bekämpfung der Wirtschaftskriminalität hielten zahlreiche Paragraphen Einzug in das Strafgesetzbuch (StGB), die Computervergehen unter Strafe stellen - bis hin zu langen Freiheitsstrafen. In den meisten Fällen ist schon der Versu ch strafbar.
Einige Beispiele:
Ausspähen von Daten
Nach §202a StGB wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft, wer sich (oder einem anderen) unbefugt Daten verschafft, die nicht für ihn bestimmt und gegen unberechtigten Zugriff geschützt sind.
Computerbetrug
Nach §263a StGB wird mit Freiheitsstrafe bis zu fünf (in schweren Fällen bis zu zehn) Jahren oder mit Geldstrafe bestraft, wer durch Beeinflussung des Ergebnisses eines Datenverarbeitungsvorganges das Vermögen eines anderen beschädigt, um sich selbst (oder einem anderen) dadurch einen rechtswidrigen Vermögensvorteil zu schaffen.
Datenveränderung
Nach §303a StGB wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft, wer rechtswidrig Daten löscht, unterdrückt, unbrauchbar macht oder verändert.
Computersabotage
Nach §303b StGB wird mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe bestraft, wer eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, dadurch stört, daß er rechtswidrig Da ten löscht, unterdrückt, unbrauchbar macht oder eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht oder verändert.
(Quelle [1])
Als Beispiel sollen hier nur Unix- und PC-Systeme dienen. Ähnliche Listen gibt es auch für Netze im allgemeinen und andere Systeme.
Schwachstellen im PC-Betrieb
Datenträger
Hardware und Schnittstellen
Um Datensicherheit zu erreichen bzw. zu verbessern ist ein ineinandergreifen verschiedener Maßnahmen erforderlich:
Die gesellschaftspolitischen und rechtlichen Forderungen nach Datenschutz und Datensicherheit sind durch organisatorische und technische Maßnahmen in der Praxis durchzusetzen.
Die gesellschaftlichen, politischen, rechtlichen, betrieblichen Rahmenbedingungen definieren die zu schützenden Daten und die Grundsätze des Umgangs mit ihnen.
Durch organisatorische Entscheidungen werden Rechte, Pflichten und Verantwortlichkeiten festgelegt und Grundsatzfragen über Aufwand, Sicherheitsniveau und Verhältnismäßigkeit geklärt.
Die technischen Maßnahmen sorgen dafür, daß Rahmenbedingungen und organisatorische Entscheidungen nicht nur auf dem Papier stehen, und erzwingen, soweit möglich, ihre Einhaltung.
Dieses Thema soll hier nur als Maßnahme zum Datenschutz kurz zusammengefaßt werden. Es ist viel zu umfangreich, um damit nur einen Unterpunkt in diesem Seminarvortrag zu füllen.
Begriffe:
Kryptologie: Lehre der Geheimschriften und ihrer Entzifferung; Kryptologie schützt nicht die Verfügbarkeit.
Kryptographie: Verschlüsselung (Chiffrierung) von Daten (PGP)
Juristisches:
Verschlüsselung steht grundsätzlich unter staatlichem Schutz. Sie ist nicht, wie auch manchmal behauptet wird, gar verboten, sondern wird vom Staat gefördert. Es fehlen momentan aber klaren Rechtsverhältnisse, die unabdingbar sind, um einen sicheren Umgang mit Verschlüsselung zu gewährleisten.
Wozu?
Realisierung:
Kryptographische Verfahren können entweder durch Hardware (Chipkarten, Verschlüsselungschips) oder Software (PGP, SSL...) realisiert werden.
Zitiert nach [3].
2. Toleranz (Fehlertoleranz)
3. Sparsamkeit
4. Kapselung
5. Bewußtheit
6. Überwachung
Gesichtskontrolle
Zitiert nach [3]
Connor's second law:
If something is confidentioal, it will be left in the copier machine.
(Last Changed BR 10.11.1996) Bemerkungen und Anregungen bitte per Mail an Björn Reimer