Datenschutz ist Menschenrecht Sicherheit bedeutet nicht gleich Vertraulichkeit

Der Skandal um Facebook und Cambridge Analytica hat schlagartig eine weltweite Diskussion zur Datenschutz- und Vertraulichkeitsproblematik ausgelöst, vor allem über die Frage, wie legitim es ist, dass Unternehmen derartig viele Informationen ihrer Nutzer sammeln dürfen.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Insider Research

Verbraucherzentrale Bundeverband

Eskenzi PR Limited

Anwender sind durchaus sensibel, wenn es um die Wahrung ihrer Privatsphäre geht, wie die gezielten Hackerattacken auf große Unternehmensnetzwerke und Datenbanken in Vergangenheit schon zeigten. Konnte man früher den Angreifern sogar eine gewisse Sympathie entgegenbringen, wenn es ihnen mit ihrer Attacke gelang, Sicherheitslücken aufzudecken, wird der Diebstahl vertraulicher Firmen- und Kundendaten nicht mehr als harmloses Delikt bewertet. Und dass private Daten missbräuchlich verwendet werden könnten, schockt die Betroffenen inzwischen weit mehr, als der Diebstahl an sich.

Unlautere Überrumpelungstaktik

Umso schlimmer, wenn ein Unternehmen anvertraute Daten weitergibt, um wie im aktuellen Fall von Facebook und Cambridge Analytica Ansichten zu manipulieren oder gezielte Meinungsmache zu betreiben, und zwar bei genau jenen Benutzern – und das ist das eigentlich groteske – die ihnen diese Daten anvertraut haben. Dass Anwender von Facebook jetzt besonders verärgert sind, ist eigentlich nur ein Beweis dafür, dass die meisten Nutzer nur eine ungefähre Ahnung darüber haben, wie diese soziale Plattform funktioniert. Und die wenigsten wissen, wie viele Daten letzten Endes gesammelt werden, und noch viel weniger, dass diese Daten benutzt werden können, um Ansichten zu manipulieren –beispielsweise zu Werbezwecken oder noch schlimmer, wie eben im vergangenen Jahr zur Steuerung politischer Meinungen während des US-amerikanischen Präsidentenwahlkampfs.

Das Berliner Landgericht hatte bereits Anfang des Jahres nach einer Klage des Verbraucherzentrale Bundesverbands (vzbv) festgestellt, dass Facebook mit seinen Voreinstellungen und Teilen der Nutzungs- und Datenschutzbedingungen gegen geltendes deutsches Verbraucherrecht verstößt. Die Einwilligungen zur Datennutzung, die sich das Unternehmen einholt, sind nach dem Urteil vom 16. Januar 2018 teilweise unwirksam (Landgericht Berlin Az. 16 O 341/15). Nach dem Bundesdatenschutzgesetz dürften personenbezogene Daten nur mit Zustimmung der Betroffenen erhoben und verwendet werden. Damit diese bewusst entscheiden können, müssten Anbieter klar und verständlich über Art, Umfang und Zweck der Datennutzung informieren.

Deshalb erklärte das Gericht fünf Voreinstellungen von Facebook für unzulässig, zum Beispiel dass in den Einstellungen zur Privatsphäre per Häkchen voreingestellt war, dass Suchmaschinen einen Link zur Chronik des Teilnehmers erhalten. Dadurch wird das persönliche Facebook-Profil für jeden schnell und leicht auffindbar. Ebenfalls für unwirksam erklärte das Landgericht Berlin acht Klauseln in den Nutzungsbedingungen, die u.a. vorformulierte Einwilligungserklärungen enthielten, wonach Facebook Namen und Profilbild der Nutzer „für kommerzielle, gesponserte oder verwandte Inhalte“ einsetzen und deren Daten in die USA weiterleiten durfte. Die Richter stellten klar, dass mit solchen vorformulierten Erklärungen keine wirksame Zustimmung zur Datennutzung erteilt werden könne.

Datenschutz hat oberste Priorität

Damit andere Unternehmen nicht in eine ähnlich prekäre Situation geraten wollen, müssen sie die wichtigsten Datenschutzprinzipien konsequent nach geltendem Recht umsetzen, fordert nicht nur Malcom Harkins, Chief Security and Trust Officer bei Cylance. Datenschutz und Datensicherheit sollten laut Harkins für jedes Unternehmen ganz oben auf der Prioritätenliste stehen. Schon alleine aufgrund der direkt mit dem Datenschutz verbundenen Gesetze, Regularien und Vorschriften. In einem weiteren Sinne sollten Unternehmen Datenschutz und Vertraulichkeit aber vor allem als ein Menschenrecht betrachten, erklärt der Sicherheitsexperte. Im Umkehrschluss sollte es nicht erlaubt sein, Individuen zu überwachen und ihre Aktivitäten nachzuvollziehen. Daten sollten nur auf die Art und Weise verwendet werden, die von den Betreffenden autorisiert wurde. Firmen hätten eine soziale Verantwortung gegenüber ihren Kunden: Wenn deren Privatsphäre und vertrauliche Daten missbraucht werden, wirft das ein negatives Schlaglicht auf jedes Unternehmen. Der Schutz vertraulicher Daten dürfe also nichts sein, was Unternehmen leichtfertig aufs Spiel setzen, so Harkins.

Dabei sollten die Regeln des Datenschutzes so eng wie möglich erfüllt werden – besonders dann, wenn persönliche Informationen von und über Mitarbeitende und Kunden verarbeitet werden. Aber schon alleine, wie Unternehmen „persönliche Information“ definieren, kann verwirrend sein. Dabei hätten die meisten Menschen durchaus eine eindeutige Vorstellung davon, was sie selbst als persönliche Informationen betrachten, weiß Harkins. Das wären zum Beispiel Bank- und Adressdaten oder die Telefonnummer. Es gebe aber auch eine technische Seite. Dann gehörten etwa Maschinendaten dazu, die IP-Adresse oder bestimmte Verhaltensweisen von Systemen. Eben alles, was in einem bestimmten Kontext eindeutig auf eine Person rückführbar sei.

Harkins empfiehlt deshalb, bestimmte Grundsätze zu beachten, um kritische Daten zu überwachen, zu verwalten und zu verarbeiten. Folgt ein Unternehmen den Richtlinien des Privacy by Design, ist das Sammeln und Nutzen von persönlichen Daten auf ganz bestimmte Zwecke begrenzt. Nutzer sollten zudem die Wahl haben wie viele ihrer persönlichen Daten sie mit dem betreffenden Unternehmen teilen wollen. Dabei sollte auch klar sein: Datenschutz geht jeden an im Unternehmen. In einer von One Identity im letzten Jahr beauftragten Studie gaben zwei von drei befragten Administratoren an, ihre erweiterten Rechte zu nutzen, um in den Daten des Unternehmens „herumzuschnüffeln“. Also Daten einzusehen, die sie keineswegs brauchen, um ihren Job zu machen. Eigentlich ein absolut verwerfliches Verhalten. Aber am Ende vielleicht sogar hilfreich, nämlich immer dann, wenn besagte IT-Experten beim „Herumschnüffeln“ auf nicht richtlinienkonforme Aktivitäten stoßen, die das Unternehmen in Gefahr bringen könnten. Mit dem Finger auf diejenigen zu zeigen, die für den Datenschutz verantwortlich sind, ist also zu einfach und nützt niemandem. Jeder einzelne Firmenmitarbeiter sollte mit den Verantwortlichen übereinstimmen und entsprechend handeln.

Sicherheit versus Vertraulichkeit

Das wäre der Idealfall. Und trotzdem sind sogar in der IT-Security-Branche ausreichend viele Menschen noch schlecht informiert, schwerhörig oder farbenblind, wenn es um das Thema Schutz vertraulicher Daten geht, muss Harkins zugeben. Sie verwechseln an dieser Stelle Sicherheit mit Vertraulichkeit. Ein hoher Sicherheitslevel garantiere nicht automatisch die Vertraulichkeit der Daten. Beide sind bis zu einem gewissen Grad zwar voneinander abhängig, weisen aber auch substantielle Unterschiede auf. Unternehmen brauchen ein gutes Maß an Sicherheit, um Vertraulichkeit zu gewährleisten. Sicherheit kann aber zu weit gehen. Etwa dann, wenn es legitim erscheint, viel zu viele Informationen zu sammeln. Bis zu dem Punkt, an dem die Sicherheitsmaßnahmen beginnen, die Vertraulichkeit zu torpedieren. Dieser Ansatz führt unter Umständen sogar dazu den Grad der Vertraulichkeit herabzusetzen.

Sicherheit und Privatsphäre sind ein bisschen wie zwei Magnete: sie ziehen sich an, wenn die Polarität stimmt und gehen ein festes Bündnis ein. „Das sollte der Weg sein wie wir Sicherheit und Vertraulichkeit gemeinsam entwickeln. Vertraulichkeit geht nur über IT-Sicherheit. Wenn die Polarität zwischen Sicherheit und Privacy allerdings nicht stimmt, beispielsweise weil es sich nicht um die geeignete Systemarchitektur handelt, die richtigen Grundsätze oder das nötige Wissen fehlen, dann erhöht sich das Risiko auf beiden Seiten“, warnt Harkins.

(ID:45312465)