Datenschutz und
informationstechnische Sicherheit
bei PCs

Verfasser:

• Hanns-Wilhelm Heibey
• Ursula Meyer zu Natrup
• Ralf Hauser
• Carsten Schmidt

Herausgeber:
Berliner Datenschutzbeauftragter

Pressemitteilung anläßlich des Erscheinens der 1.Auflage dieser PC-Broschüre

Download

Inhaltsübersicht:

Hinweis: Durch Anklicken der vor großen Überschriften gelangt man zur Inhaltsübersicht zurück.

1. Was soll mit dieser Broschüre erreicht werden?
2. Was ist grundsätzlich zu wissen und zu beachten?
   • 2.1 Worüber wird in dieser Broschüre gesprochen?
     • 2.1.1 Systeme
     • 2.1.2 Rechtmäßigkeit und Sicherheit der Datenverarbeitung
     • 2.1.3 Grundtechniken der IT-Sicherheit
   • 2.2 Wann stehen Datenschutz- und IT-Sicherheitsfragen in einem PC-Projekt an?
   • 2.3 Welche Besonderheiten beeinflussen beim PC die Sicherheit?
3. Wie wird informationstechnische Sicherheit beim PC-Einsatz sichergestellt?
   • 3.1. Gegen welche Bedrohungen und Risiken müssen die PCs geschützt werden?
     • 3.1.1 Welche Grundbedrohungen sind beim PC-Einsatz zu berücksichtigen?
     • 3.1.2 Wie erfolgt eine Risikobetrachtung für die Erarbeitung eines Sicherheitskonzeptes?
     • 3.1.3 Was bedroht die Verfügbarkeit der Systeme, Programme und Daten?
     • 3.1.4 Was bedroht die Integrität von Systemen, Programmen und Daten?
     • 3.1.5 Was bedroht die Vertraulichkeit der Daten?
   • 3.2 Wie wird der PC gegen die Bedrohungen geschützt? Wie werden die Risiken verringert?
     • 3.2.1 Welche personellen und organisatorischen Maßnahmen sind zu ergreifen?
     • 3.2.2 Wie kann der Schutz der Hardwarekomponenten gewährleistet werden?
     • 3.2.3 Wie sind Programme gegen unerwünschte Veränderungen zu schützen?
     • 3.2.4 Wie sind Programme gegen unberechtigte Nutzung zu schützen?
     • 3.2.5 Wie sind die Daten vor unbefugtem Zugriff zu schützen?
     • 3.2.6 Welche Schutzmaßnahmen sind insbesondere bei tragbaren Computern zu beachten?
     • 3.2.7 Welche Schutzmaßnahmen sind insbesondere bei Clients zu beachten?
     • 3.2.8 Welche Schutzmaßnahmen sind insbesondere bei Servern zu beachten?
4. Wie ist der technische und organisatorische Datenschutz zu gewährleisten?
   • 4.1 Wie werden die Kontrollanforderungen der Datenschutzgesetze umgesetzt?
     • 4.1.1 Welche Kriterien gelten für die Auswahl geeigneter technisch-organisatorischer Maßnahmen?
     • 4.1.2 Welche Maßnahmen können für die Umsetzung der "Zehn Gebote" des technischen und organisatorischen Datenschutzes ergriffen werden?
   • 4.2 Mit welchen Maßnahmen ist die Ordnungsmäßigkeit der Datenverarbeitung herzustellen?

• Literaturhinweise
• Anlagen:
  1. Grundsätze für organisatorische und technische Maßnahmen zum Datenschutz beim Einsatz von unvernetzten oder vernetzten Personalcomputern
  2. Empfehlungen für die Vergabe von Paßwörtern

1.

Was soll mit dieser Broschüre erreicht werden ?

Im Jahre 1986 veröffentlichte der Berliner Datenschutzbeauftragte erstmals seine "Grundsätze für den Datenschutz für isolierte Rechner und Personalcomputer". Die Broschüre fand lebhaftes Interesse, nicht nur in der Berliner Verwaltung, die damals noch einziger direkter Adressat der Empfehlungen des Berliner Datenschutzbeauftragten sein konnte. Bis 1992 wurden vier Auflagen herausgebracht, meist inhaltlich an den technologischen Wandel angepaßt - auch unter Berücksichtigung der zunehmenden Vernetzung von PCs. Durch eine Änderung des § 33 Berliner Datenschutzgesetz (BlnDSG) ist seit 1995 der Berliner Datenschutzbeauftragte in Berlin auch Aufsichtsbehörde für private Organisationen gem. § 38 Bundesdatenschutzgesetz (BDSG). Somit richten sich unsere Empfehlungen nunmehr auch unmittelbar an private Institutionen, die personenbezogene Daten automatisiert verarbeiten.

Die "Grundsätze" mit ihren Erläuterungen sollten erste Datenschutzmaßstäbe für den zunehmenden Einsatz von PCs vorstellen. Inzwischen sind PCs auf fast jedem Büroarbeitsplatz und in fast jeder Wohnstube für die häusliche IT-Nutzung und als Bestandteil der Unterhaltungselektronik zu finden. Die erreichten Leistungsdaten der PCs sind in atemberaubender Weise gestiegen und werden dies weiter tun. Der Datenschutz und die informationstechnische Sicherheit bei den PCs ist dagegen weiterhin Stiefkind dieser Entwicklung geblieben.

Diese Broschüre beschränkt sich nicht auf Grundsätze, sondern beschäftigt sich ausführlich mit den Aspekten der IT-Sicherheit und des Datenschutzes beim Einsatz isolierter oder vernetzter PCs. Es werden Vorschläge zur Erfüllung von Sicherheitsanforderungen gemacht, und es werden methodische Anhaltspunkte gegeben, um zu einer sinnvollen Auswahl geeigneter Maßnahmen im Einzelfall zu gelangen. Es wird der Zusammenhang zwischen den Ansätzen der informations-technischen Sicherheit und des Datenschutzes hergestellt. Dadurch wird auch der erfreulichen Beobachtung Rechnung getragen, daß die Gestaltung betrieblicher und behördlicher PC-Einsätze wieder zunehmend in die Hände professioneller IT-Fachleute gegeben worden ist, die eine entsprechend fachkundige IT-Sicherheits- und Datenschutzberatung beanspruchen, und die Ad-hoc-Planung wohlmeinender Autodidakten im Bereich professioneller Anwendungen weitgehend der Vergangenheit angehört.

Der Berliner Datenschutzbeauftragte hält sich seit jeher mit der Erarbeitung pauschaler Muster-Datenschutzkonzepte zurück. Jeder Einzelfall bedarf einer gesonderten Betrachtung, da die Risiken unterschiedlich verteilt sind. Aus diesem Grunde sind methodische Herangehensweisen vonnöten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) [LINK] hat wesentliche Beiträge dazu geleistet, in dem es Erarbeitungsprozesse für IT-Sicherheitskonzepte beschrieben hat. Das 1992 erschienene IT-Sicherheitshandbuch mag für den einfachen PC-Einsatz zu aufwendig zu handhaben sein, das jährlich aktualisierte Grundschutzhandbuch [LINK] (die letzte hier berücksichtigte Fassung ist die von 1997) ist jedoch ein geeigneter Ansatz für die rationelle Ausarbeitung von Sicherheitskonzepten. Die vorliegende Broschüre beruht wesentlich auf dem Grundschutzhandbuch.

Die Broschüre soll bei der Erarbeitung konkreter IT-Sicherheits- und Datenschutzkonzepte helfen. Hintergrundinformationen, die dabei helfen sollen, werden zunächst in Abschnitt 2 gegeben. Einige Begriffe, die in dieser Broschüre und in der Diskussion um Datenschutz und IT-Sicherheit eine besondere Rolle spielen, werden in 2.1 dargestellt. Dabei ging es um das Verständnis für den Gesamtzusammenhang, nicht unbedingt um das wörtliche Zitieren genormter Definitionen. In 2.2 geht es um die Vorbereitungen eines datenschutzgerechten, ordnungsgemäßen und sicheren Einsatzes der Informationstechnik. Der Abschnitt 2.3 beschreibt die Besonderheiten, die dem PC und seinem Einsatz im Gegensatz zu anderen Systemen innewohnen, die die Sicherheitsrisiken seines Einsatzes begründen und für den sicheren Einsatz zu beachten sind.

Wer ein IT-Sicherheitskonzept für geplante oder bestehende informationstechnische Systeme ausarbeiten will, muß dies auf der Grundlage einer realistischen Risikobetrachtung machen. Er muß wissen, gegen was er das IT-System und/oder die IT-Anwendung intensiv schützen muß und welche Gefahren er eher als unwahrscheinlich betrachten darf. Das nötige Hintergrundwissen bieten die Abschnitte 3.1.1 und 3.1.2, nämlich die Darstellung relevanter Grundbedrohungen und Hinweise zu präzisen Risikobetrachtungen. Die konkreten Bedrohungen bzw. Risiken für die IT-Sicherheit beim PC-Einsatz werden in den Abschnitten 3.1.3 (Verfügbarkeit), 3.1.4 (Integrität) und 3.1.5 (Vertraulichkeit) dargestellt. Dort finden sich in jedem Einzelfall Verweise auf Maßnahmen, die gegen die Bedrohungen bzw. Risiken wirken und im Abschnitt 3.2 dargestellt werden, speziell organisatorische (3.2.1), hardwarebezogene (3.2.2) und softwarebezogene (3.2.3 und 3.2.4) Maßnahmen sowie Maßnahmen zum Schutz der Daten (3.2.5). Abgeschlossen wird der Abschnitt mit Ausführungen zu Maßnahmen bei speziellen Einsatzformen der PCs, nämlich als tragbare Systeme (3.2.6), als Clients (3.2.7) oder als Server (3.2.8) in Client-Server-Netzen. Ganz nebenbei erfährt man in 3.2 durch einen Verweis auf die zehn Kontrollanforderungen des Bundesdatenschutzgesetzes bzw. Berliner Datenschutzgesetzes, zu welcher Kontrollanforderung eine Maßnahme einen Beitrag liefert.

Wer ein Datenschutzkonzept auf der Grundlage der technisch-organisatorischen Anforderungen der Datenschutzgesetze zu erarbeiten hat, findet das nötige Grundlagenwissen im Abschnitt 4. In 4.1 geht es um die Umsetzung der Kontrollanforderungen zu technisch-organisatorischen Maßnahmen des Datenschutzes. Dabei werden auch Kriterien für die geeignete Auswahl von Maßnahmen (4.1.1) beschrieben, bevor es in 4.1.2 um die Behandlung der sog. "Zehn Gebote" und ihren Stellenwert speziell beim PC-Einsatz geht. 4.2 befaßt sich mit den Anforderungen an eine ordnungsgemäße Datenverarbeitung.

Neben dem Literaturverzeichnis finden sich in der Anlage zwei inhaltliche Ergänzungen der Ausführungen dieser Broschüre: Eine gestraffte und am aktuellen technischen Stand orientierte Überarbeitung der PC-Grundsätze und die bereits im Jahresbericht 1996 veröffentlichten "Empfehlungen für die Vergabe von Paßwörtern".

Die Broschüre kann die Entscheidung über die geeignete Maßnahme im Einzelfall nicht abnehmen. Allerdings erfährt man durch den Rückverweis von den Maßnahmen zu den Bedrohungen und Risiken, welchen Beitrag die Maßnahmen für die informationstechnische Sicherheit leisten.

Insbesondere, weil Maßnahmen für die informationstechnische Sicherheit auch bauliche Maßnahmen und Maßnahmen der allgemeinen Sicherheitsinfrastruktur (z.B. Fluchtwege, Tür- und Fenstersicherungen, Alarmanlagen, Meldeanlagen) einbeziehen können, sei ausdrücklich darauf hingewiesen, daß Polizei und Feuerwehr Beratung in solchen Fragen anbieten, die ein Datenschutzbeauftragter in der Regel nicht mit gleicher Kompetenz leisten kann.

Im Idealfall kommt man im Zusammenhang mit der Verarbeitung personenbezogener Daten auf beiden Wegen zu gleichen, zumindest vergleichbaren Ergebnissen, denn die technischen und organisatorischen Maßnahmen zur Sicherstellung des Datenschutzes und der Ordnungsmäßigkeit der Datenverarbeitung decken sich bei der Verarbeitung personenbezogener Daten mit den Maßnahmen zur Sicherstellung informationstechnischer Sicherheit.

Was ist grundsätzlich zu wissen und zu beachten?