Alle meine nächsten Nachbarn, mit denen mich ein langes freundschaftliches Verhältnis verbindet, werden in diesem Jahr 60 - damit trennen uns knapp 15 Jahre, die ich jünger bin. Bei einer der Parties anlässlich eines 60. Geburtstages saß ich kürzlich inmitten einer Runde dieses Alters, als zwei Männer ihre iPhones zückten. Ahhhh, diese neue Technik! Was so ein iPhone alles könne, wurde geschwärmt und die jeweils installierten Apps verglichen – um gleich im nächsten Satz zu ergänzen: Mit der Nutzung so eines Gerätes sei man ja gleichzeitig komplett überwacht. Die Männer stellten das fest, in etwa wie man feststellt, dass es morgen Regen geben wird.

 Allgegenwärtige Überwachung

 Wie ich denn als Profi mit den Überwachungsmöglichkeiten umgehen würde, fragte mich eine der anwesenden Frauen, die die Unterhaltung belustigt verfolgten. Ich streue meine Daten, sagte ich. Ich versuche, nicht einen Anbieter für alles zu nutzen, um eine umfassende Profilbildung an einer Stelle zu erschweren. Private Mails an einer Stelle, berufliche an anderer. Sparsame Äußerungen in Sozialen Netzwerken. Bestimmte Funktionen nutze ich gar nicht: Fotos sind bei mir auf der Festplatte gespeichert, nie in der Wolke. Manche Funktionen schalte ich nur ein, wenn ich sie brauche, so z.B. die Ortungsfunktion im iPhone. Nutzung von Pseudonymen. Ob’s nützt? Ich weiß es nicht. Aber fest steht auch, ich bin schon lange fasziniert von technischen Möglichkeiten und gedenke nicht, das Problem der allgegenwärtigen Überwachung durch umfassenden Verzicht zu lösen.

Eine Eins ist eine Eins

Einmal mehr widersprach ich im Verlauf der Unterhaltung der These, dass wir den Datenkraken ausgeliefert seien, weil die neuen technischen Möglichkeiten eben nicht zu reglementieren seien. Sicher – Technik ist immer schneller als das Recht. Ich staune jedes Mal wieder, wie diejenigen unter meinen Kunden, die Softwareentwickler sind, innerhalb kürzester Zeit Funktionen programmieren, von denen sie vor zwei Tagen noch nicht einmal wussten, dass es diese Funktionen geben kann. Die Grundlagen der Programmierung - eine Eins ist eine Eins und eine Null ist eine Null und darauf lässt sich alles weitere aufbauen – sind einfacher und schneller zu handhaben als ein Parlament, dass sich über Gesetze Gedanken machen muss.

Ein langer Prozess

Sicher ist jedoch, gerade die großen Monopolisten wie Google, Facebook und Co. müssen durch das Recht und die Durchsetzung des Rechts zur Einhaltung bestimmter Standards gezwungen werden. Zu denen gehören in erster Linie Transparenz und Wahlmöglichkeiten in Bezug auf den Umgang mit unseren persönlichen Daten. Es ist eine Frage der Zeit, bis das geschehen wird. Erste Ansätze sind in dem Vorschlag der EU-Kommission für eine europaweite Datenschutzverordnung vorhanden. Google’s neue Datenschutzerklärung allerdings zog hingegen erstaunlich wenig öffentlichen Protest nach sich.

Google‘s neue Datenschutzerklärung

Google hat gerade wieder vorgemacht, wie es nicht sein sollte. Gab es bisher für die verschiedenen Google-Dienste verschiedene Datenschutzerklärungen, wurden diese jetzt in einer einheitlichen zusammengeführt. Das wäre im Grunde gar keine schlechte Idee, doch mit der Vereinheitlichung wurde die Ankündigung verbunden, die Nutzerdaten aus unterschiedlichen Diensten zu einen einheitlichen Nutzerprofil zusammen zu führen. Selbstredend nur zum Wohle der Nutzer: “We’ll treat you as a single user across all our products, which will mean a simpler, more intuitive Google experience”, schreibt die Datenschutzbeauftragte von Google in der Ankündigung der Änderungen. „Mich erinnern solche Aussagen immer an Mielke vor der Volkskammer“, kommentierte mein Kollege kürzlich diese Nachrichten. „Ich liebe euch alle!“.

Die USA sind aufgewacht

Wenn ich mich richtig erinnere, stammt dieses Zitat aus einer Zeit, als Mielke schon längst verloren hatte, was man von Google zurzeit nicht ernsthaft behaupten kann. Wenn auch die Sache mit der Zusammenführung der Daten aus den verschiedenen Google Diensten unter kaum vernehmbarem Protest installiert wurde, sind doch die USA langsam aufgewacht und begreifen, dass es Europa ernst ist mit einem modernen Datenschutzrecht und dass dieses Recht möglicherweise unangenehme Folgen für sie haben könnte. Anders ist die Meldung nicht zu deuten, dass die USA in Gestalt ihres obersten Juristen im US-amerikanischen Wirtschaftsministerium ihre Mitwirkung bei der Neuregelung gefordert haben.

Dass Mielke verlieren würde, hat lange Zeit auch niemand ernsthaft geglaubt. Manche Veränderungen brauchen also etwas länger und früher oder später wird Google dasselbe Schicksal ereilen – voraussichtlich nicht in Form des Untergangs, aber doch dergestalt, dass sich kein großer Datenmonopolist ungestraft eine Datenschutzerklärung wird leisten können, die mehr verschleiert als erklärt. Beispielsweise.

Quellen zum Thema:

 (1) http://www.spiegel.de/netzwelt/netzpolitik/0,1518,811359,00.html

„Datenschützer empfiehlt Streubesitz“

 (2) http://googleblog.blogspot.com/2012/01/updating-our-privacy-policies-and-terms.html

Google Blog am 24.1.12

 (3) http://www.spiegel.de/netzwelt/web/0,1518,818105,00.html

„Googles neuer Daten Schmu“

 (4) http://futurezone.at/netzpolitik/7754-eu-kommission-google-verstoesst-gegen-eu-gesetz.php

EU Kommission: Google verstößt gegen EU-Gesetz

 (5) http://futurezone.at/produkte/7719-eric-schmidt-niemand-muss-google-nutzen.php

Eric Schmidt: "Niemand muss Google nutzen"

 (6) http://www.datenschutz.de/news/detail/?nid=5287

USA wollen beim EU-Datenschutz mitreden

Read More

„Haben Sie einen IT-Notfallplan?“ - diese Frage stellen wir unseren Kunden im Rahmen von Bestandsaufnahmen zu Datenschutz und Datensicherheit in einem Unternehmen mit schöner Regelmäßigkeit. In ebenso schöner Regelmäßigkeit ist die Antwort Nein. Bestenfalls lautet sie: „Wir arbeiten daran, sind aber noch nicht sehr weit“. Letzteres hätte auch meine Antwort sein können, hätte man mich vor kurzem gefragt. Die Ich-AG, die unser kleines Beratungsbüro jahrelang gewesen ist, war im Laufe der Zeit zu einem Team mit fünf Leuten gewachsen. Das erforderte eine ganz andere technische Ausstattung; inzwischen verfügen wir über einen eigenen Server, der unsere Dateien als auch unsere E-Mail beherbergt. Mit einem täglichen Back-Up des Servers und einer Liste mit Passwörtern im Tresor wähnte ich mich vorläufig gegen die Folgen von IT-Ausfällen einigermaßen gewappnet. Aufgrund kritischer Fragen unseres neuen Kollegen ("haben wir hier eigentlich einen Notfallplan?" - neue Besen kehren gut ...) beauftragte ich den Techniker unter uns noch mit der Systematisierung der Zugangsdaten, Lizenznummern und vergleichbaren Dingen und beschloss, in einer ruhigen Minute ein vollständiges Notfallhandbuch zu entwerfen.

Halbe Notfallplanung

Doch - während man plant, passiert das Leben. An einem Freitag waren wir morgens nur  zu zweit im Büro, zwei Kolleginnen waren im Urlaub, ein weiterer auf Dienstreise. Beim Einschalten der Arbeitsplatzrechner reagierte der Server mit Fehlermeldungen. Die üblichen Erste-Hilfe-Maßnahmen - Neustarten, Stecker kontrollieren, Stecker ziehen … - brachten ebenso wenig Besserung wie der Versuch der Fernwartung durch unseren IT-Dienstleister. Schon die Fernwartung förderte die ersten Mängel unserer halben Notfallplanung ans Licht. „Wie lautet die IP-Adresse des Servers?“. Dumm, wenn der Mitarbeiter, der das weiß, nicht da ist und die IP-Adresse nirgendwo aufgeschrieben ist. Natürlich kann jemand, der sich auskennt, die Adresse irgendwie aus dem System auslesen. Aber das dauert. „Wie heißt die interne Domaine?“. Noch so eine Frage, mit der die nur mit technischem Halbwissen ausgestatteten Anwesenden überfordert waren.

Diagnose Totalschaden

Die Vor-Ort-Analyse erbrachte die Erkenntnis, dass von den vier Festplatten, die der Server beherbergt, zwei einen Totalschaden erlitten hatten. Der Techniker plante, die Daten auf die zwei funktionierenden zu legen, damit wir wenigstens vorläufig wieder arbeitsfähig wären, bis neue Festplatten geliefert sein würden. Der Ausgang der Operation war ungewiss und auch in diesem Zusammenhang suchten wir wieder nach Passwörtern, Zugangsdaten, Sicherungs-CDs … und mit welcher Software ist das Back-Up erstellt?! - was meine ohnehin nicht gerade gute Laune noch weiter sinken ließ. Eine Dokumentation über den Server fehlte, die lag bei dem früheren IT-Dienstleister, der den Server eingerichtet hatte. Seine Firma war von einer anderen aufgekauft worden und diese wollte so kleine Einheiten wie die unsere nicht mehr betreuen. Außerordentlich hilfreich ist auch, wenn die Passwörter für so einen Notfall in einer Excel-Tabelle auf dem Server gespeichert sind. Auf diese Weise waren wir dann dort, wo wir auch ohne Excel-Tabelle gewesen wären, bei einer Handvoll loser Zettel, die im Tresor lagerten.

IT-Notfallplan für ein kleines Büro

Alles in allem hat uns die schlechte Organisation sicher zwei bis drei Stunden zusätzlich aufgehalten – mal abgesehen von der Tatsache, dass auch die entsprechenden Kosten vermeidbar gewesen wären. Immerhin sind wir jetzt auf die harte Tour klüger geworden: Alle Fakten über die technischen Systeme müssen schriftlich und übersichtlich festgehalten werden. Auch die Kleinigkeiten, die scheinbar selbstverständlich sind, wie die IP Adressen von Server und Firewall, die Domain-Namen, die Software und ihre Versionen. Die Dokumentation muss außerhalb aufbewahrt werden, in Papierform oder auf anderen Speichermedien, aber jedenfalls nicht in dem System, das gesichert werden soll. Sie muss so gestaltet sein, dass auch ein bisher unbeteiligter Dritter daraus schlau wird. Und sie muss aktuell gehalten werden. Es gilt die Frage zu beantworten, wohin das Back-Up eingespielt werden kann, wenn das ursprüngliche System dazu nicht mehr tauglich ist. Diesem Schicksal sind wir glücklicherweise entronnen, aber es wäre eine mögliche Folge des Zusammenbruchs der Festplatten gewesen. Da für uns mehr als ein Tag Totalausfall des Servers schon sehr kritisch ist, werden wir uns zu diesem Punkt eine Lösung einfallen lassen müssen.

 Vergleichbar einer Versicherung

Das alles zu machen bedeutet fraglos Mühe und Aufwand. Doch letztlich ist es wie die Investition in eine Versicherung. Wenn man sie braucht, bereut man die Versicherungsbeiträge nicht mehr.

 

Read More

Hier ist die versprochene Fortsetzung der "Top-Five" meiner peinlichsten Datenpannen.

E-Mails: Der Admin kann mitlesen

Mein Ex-Mann verdient seinen Lebensunterhalt mit der Kontrolle des Netzwerks einer halbwegs großen Firma. Dem Datenschutz misst er große Bedeutung bei, theoretisch jedenfalls. Ganz praktisch verschaffte er sich in den letzten Wochen unseres Zusammenlebens Zugriff auf meinen Rechner und las meine privaten E-Mails. Nach unserer Trennung dachte ich zwar schon mal daran, dass es vor diesem Hintergrund ungünstig ist, dass er der Inhaber der Domains ist, über die meine Eltern ihre E-Mails schicken, und über sämtliche Zugangsdaten verfügt. Irgendetwas musste mir aber das Denken vernebelt haben, denn ich unternahm nichts.

Nur Passwort ändern reicht nicht

Sie haben ja das Passwort geändert dachte ich, somit kommt er ja an die Mails nicht ran. Hätte ich mal richtig nachgedacht, kann ich mir im Nachhinein nur sagen: Derjenige, der über die Zugangsdaten zu einer Domain verfügt, kann jede einzelne E-Mail lesen, die über die zu der Domain eingerichteten Postfächer geht. Selbst wenn er es nicht tut, die Möglichkeit besteht jederzeit. Hätte mir ein Kunde ein solches Szenario geschildert, hätte ich sofort reagiert und dringend geraten, auf eine andere Adresse umzusteigen. Irgendwann setzte ein aufmerksamer Telekom-Mitarbeiter dem ein Ende und richtete meinen Eltern neue Mail-Adressen ein.

Fachkunde und Zuverlässigkeit

Nun ist dies ein Vorfall zwischen Privatleuten. In einem Unternehmen  aber hat ein Adminstrator genauso weitgehende Befugnisse und damit auch Missbrauchsmöglichkeiten. Es mutet vor diesem Hintergrund schon merkwürdig an, dass das Bundesdatenschutzgesetz für Datenschutzbeauftragte vorschreibt, dass die "fachkundig und zuverlässig" zu sein haben, über die Anforderungen an Administratoren aber kein Wort verliert.

Die verlorene Anwaltsakte

Ich vertrat einen Mann in einem halbwegs umfangreichen Arbeitsrechtsstreit. Meine jüngere Tochter war noch ein Baby und ich warf eine Mappe mit losen Papieren, die mir der Mandant überlassen hatte, in den Korb unter dem Kinderwagen. Zeugnisse, Lebenslauf, Schriftwechsel mit Behörden, alles Originale. Auf dem Weg zum Kindergarten der Großen könnte ich, so der Plan, einen Zwischenstopp im Copyladen einlegen, die Unterlagen kopieren und dem Mandanten die Originale dann zurück geben. Dann müsste ich mich morgen nicht im Büro damit aufhalten. Irgendeiner der Umstände, die das Leben mit ganz kleinen Kindern mit sich bringt, änderte diesen Plan und ich dachte nicht mehr an die Mappe. Bis ich am nächsten Tag im Büro einen Anruf erhielt.

Von einem Kollegen gefunden

„Rechtsanwalt Schröder, guten Tag Frau Kollegin. Ich habe Ihre Akte gefunden“. Die großen Sünden bestraft der liebe Gott indem er einen Kollegen an ihnen teilhaben lässt, dachte ich im Stillen und der Kollege Schröder versprach die Akte zu schicken. Damit war am Ende aber nicht alles gut. Eine Woche später war die Akte immer noch nicht wieder bei mir. Auf meine Nachfrage druckste der Kollege ein wenig herum und sagte dann, er könne die Akte leider nicht finden. Sie sei wohl versehentlich in eine seiner eigenen Akten geraten und nun müsse er die erst mal alle durchsuchen! Ich wähnte mich endgültig in einem schlechten Film. Die Akte sah ich nie wieder und nur der plötzliche Unfalltod des Mandanten bewahrte mich vor weiterem Unbill.

Unfreiwillige Bereicherung

 Die „Top-Five“ der peinlichsten Datenpannen, wie ich eingangs schrieb, wurden in der Zwischenzeit durch einen weiteren Vorfall unfreiwillig bereichert. Der gehört zwar nicht in die Kategorie der dümmsten Pannen, ist es aber doch wert, geschildert zu werden – als Beispiel, worauf es bei der IT-Organisation in einem kleinen Büro ankommt. Davon nächstes Mal mehr.

 

 

Read More

„Gegen kriminelle Energie kann man sich nicht schützen“, ist ein immer wieder kehrender Einwand, wenn die Frage aufkommt, wie viel Absicherung von Daten denn sein muss. „Kann man nicht“, antworte ich dann immer. Aber man sollte es Datendieben und sonstigen Missetätern so schwer wie möglich machen – nicht nur, um den einschlägigen Gesetzen Folge zu leisten. Hauptsächlich im ureigensten Interesse, um Zeit, Ärger, Geld und Imageschäden zu sparen, die Datenverluste kosten.

Die nachlässigen Nutzer

Ich füge hinzu - und das ist fast noch wichtiger! - man muss nicht nur die Datendiebe im Auge haben, sondern auch die nachlässigen Nutzer, die, die einfach nicht weit genug denken oder in Alltagshektik die einfachsten Dinge nicht beachten. In diese Kategorie gehören mitunter auch die Profis. Hier sind die ersten drei meiner „Top-Five“ der peinlichsten Datenpannen:

Fehlende Datensicherung

Es ist glaube ich einer der Klassiker unter den Datenpannen. Ein Rechner bricht zusammen, auf dem sich wichtige Daten befinden, und es ist keine oder jedenfalls keine aktuelle Datensicherung vorhanden. Mich erwischte es vor ungefähr fünf Jahren – mein Laptop rückte außer einem schwarzen Bild nichts mehr raus. Back-Up? Fehlanzeige. Panisch fragte ich bei dem Geschäftsführer einer befreundeten Firma um Rat. Einer der Techniker dort holte in tagelanger Arbeit meine Daten wieder aus den Untiefen der Festplatte hervor. Am Ende war ich um 600 EUR ärmer und hatte meine Daten wieder. Die 600 EUR, wohlgemerkt, waren ein Freundschaftspreis.

Das Back-Up auf USB-Stick

Nach dieser Episode ging ich dazu über, meine privaten Daten auf einem USB-Stick mit großer Kapazität zu sichern. Eines Tages stand eine Mitarbeiterschulung bei einem Kunden auf meinem Tagesplan, ich suchte einen USB-Stick und fand keinen. In morgendlicher Eile überspielte ich die Folien für die Präsentation auf den USB-Stick mit meiner Datensicherung. Die Schulung zog sich viel länger hin, als geplant, ich packte wieder in Eile zusammen, in Gedanken schon bei meinen Töchtern, die im Kindergarten aufs Abholen warteten - und vergaß den Stick vor Ort in einem fremden Rechner. Von Bankauszügen bis Liebesbriefen war alles dabei. Der IT-Chef des Kunden bemühte sich um Sachlichkeit, aber ich hörte die Schadenfreude trotzdem durchs Telefon.

Passwörter in Excel-Datei

Ohne Passwörter sind wir in der digitalen Welt verloren. Mit ihnen auch. Als jemand, die fast alles in Online-Shops einkauft, habe ich eine ziemlich große Sammlung Passwörter für die Anmeldung in verschiedenen Einkaufs-Portalen. Der Vorteil ist, wenn ein Passwort in unbefugte Hände gerät, kann man sich nicht gleich überall in meinem Namen anmelden. Der klare Nachteil ist, egal, welche Tricks ich nutzte, um mir die alle zu merken, ich vergaß immer wieder welche und musste umständlich neue anfordern. Sehr lästig. Eines Tages verfiel ich auf die Idee, die ganzen Passwörter einfach mal auf meinem Rechner in einer Excel-Tabelle zu speichern. Da die Festplatte verschlüsselt ist, kann ich das ja ruhig tun, war meine Überlegung. Ein paar Wochen später kam ich ins Grübeln, als mir mein Online-Banking und mein privates Webmail Account Log-Ins zu Zeiten meldeten, zu denen ich schlafend im Bett gelegen hatte. „Aber du hast keine Passwörter auf der Festplatte gespeichert?“, fragte mich ein technisch versierter Kollege eher rhetorisch. Ich hatte ihn nach möglichen Ursachen und vor allem Abhilfe gefragt.

Spezieller Schutz erforderlich

In diesem Moment traf mich die Einsicht wie ein Blitz - nein, ich habe es in dem Augenblick nicht zugegeben, dass ich genau das getan und übersehen hatte, dass der Rechner ja mit dem Internet verbunden ist, verschlüsselte Festplatte oder nicht. Ja, man kann Passwörter gefahrlos auf der Festplatte speichern. Aber dann muss man sie mit einem speziellen Programm schützen, was ich seither auch tue.

--- Fortsetzung folgt ---

 

Read More

 

Dies ist ein Bericht für alle, die sich immer noch fragen, wer sich denn für ihre Daten interessieren sollte: Nach einem Bericht des „Spiegel“ vom 13. Februar besteht gegen mehrere Rechenzentren der Verdacht, illegal mit den Daten aus Millionen Apothekenrezepten gehandelt zu haben. Die Anschuldigungen wurden von einem ehemaligen Mitarbeiter der Firma pharmfakt/Gesellschaft für Datenverarbeitung (GFD) aus Karlsfeld bei München erhoben. Die Daten seien dazu benutzt worden, sie an Kunden aus der Pharmaindustrie zu verkaufen, und das auf Anweisung der Geschäftsführung, sagte der vom Spiegel als „Insider“ bezeichnete Mann.

Die großen Namen sollen profitiert haben

Zu den Kunden der GFD zählen die großen Namen der Pharmabranche: Bayer, GlaxoSmithKline, Novartis, Ratiopharm, Sanofi-Aventis. Der Handel mit Rezeptdaten ist zur Marktforschungszwecken legal, aber nur wenn dafür verschlüsselte Daten eingesetzt werden.

Der Wert unverschlüsselter Daten

Unverschlüsselte Daten bieten eine Reihe von Möglichkeiten: Die Pharmaunternehmen können mit ihnen nachvollziehen, welche Arztpraxen welche Medikamente verschrieben haben. Solche Informationen sind für die Hersteller wertvoll, weil sie beispielsweise die Kontrolle der Arbeit von Außendienstmitarbeitern ermöglichen. Unverschlüsselte Daten lassen erkennen, welcher Arzt welche Medikamente verschreibt und ob er bestimmte Medikamente möglicherweise nach dem Besuch eines Pharmavertreters häufiger verschreibt.

Unterlagen valide eingeschätzt

Teile der Unterlagen wurden offenbar dem Unabhängigen Landeszentrum für den Datenschutz in Schleswig-Holstein übergeben. Dort werden sie als „scheinbar valide“ eingeschätzt. Es wird vermutet, dass mit ihnen "einer der größten Datenskandale im Medizinbereich" aufgedeckt werden könnte.

 

Quellen:

http://www.spiegel.de/wirtschaft/unternehmen/0,1518,814750,00.html

http://futurezone.at/digitallife/7398-verdacht-auf-illegalen-handel-mit-rezeptdaten.php#

 

 

 

 

 

Read More

Kürzlich war ich zu Gast bei einer Fortbildungsveranstaltung für Zahnärzte. Ich gab dem hauptsächlich männlichen und mittelalten Publikum einen Überblick über Datenschutzanforderungen in einer Zahnarztpraxis. In der anschließenden Diskussion griff einer der Zahnärzte meine Thesen zur Notwendigkeit der technischen Absicherung von Patientendaten auf und sagte, er würde sich fragen, wer sich denn für die Informationen über seine Patienten interessieren sollte. Das könne er sich nicht so richtig vorstellen.

Wen interessieren Patientendaten?

Die Antwort gab ihm ein Kollege. Der erzählte, er habe das Netzwerk in seiner Praxis lange Zeit selbst betreut und dann einen befreundeten ehemaligen Hacker damit betraut. Er erhalte Statistiken, wann und von wo aus Angriffe auf seine Praxissysteme erfolgen. Das seien im Schnitt zehn pro Tag und viele von denen würden "bis zur dritten Sicherheitsstufe" gelangen und erst dort scheitern. Wer bis dahin komme, sei nach Auskunft seines Hacker-Freundes ein absoluter Profi. In Anbetracht der Tatsache, dass viele der Angriffe aus China kommen würden, könne man davon ausgehen, dass Geheimdienste oder vergleichbare gut ausgerüstete Organisationen dahinter stehen würden.

Man lernt nie aus

Ich war zugebenermaßen verblüfft über diese Ausführungen. Ich hätte auf die Frage, wer sich die Mühe machen könnte, ein zahnärztliches Praxisnetz anzugreifen, keine wirklich überzeugende Antwort gehabt, denn ich hatte die Frage des Datenschutzes in Arztpraxen oder eben auch Zahnarztpraxen immer unter anderen Aspekten betrachtet. Umso interessanter fand ich die Erfahrung des Zahnarztes. Im Nachgang zu der Veranstaltung dachte ich, eine mögliche Erklärung für das so hartnäckige Interesse an diesen Daten wäre Identitätsdiebstahl. In einer Arztpraxis sind zahlreiche Informationen über Menschen gespeichert, die für die Annahme einer anderen Identität von großem Wert sind. Und selbst wenn es "nur" der Name, das Geburtsdatum und die Kontoverbindung ist: Schon damit lässt sich ein Konto leeren oder auf andere Weise Geld ergaunern.

Verlust der Approbation

Ebenso aufschlussreich war die Anmerkung eines weiteren Teilnehmers zu der Frage, ob und wenn ja welche Sanktionen es schon gegeben habe als Reaktion auf Datenschutzverstöße in Zahnarztpraxen: Er habe kürzlich gelesen, dass einem Zahnarzt die Approbation entzogen worden sei, weil dieser Patientenakten nicht datenschutzkonform vernichtet habe. Auch das war mir neu. Eine erste Recherche meinerseits hat noch keine Quelle für diese Behauptung zu Tage gefördert. Allerdings sind zahlreiche Fälle bekannt, in denen Ärzte oder auch Zahnärzte ihre Approbation verlieren, wenn sie beispielsweise Abrechnungsbetrug begehen oder Steuern hinterziehen. Solches Verhalten wird als so große Beeinträchtigung des Vertrauens in den Arzt gewertet, dass es den Verlust der Approbation rechtfertigt. Gleiches gilt im Grunde für den sorglosen Umgang mit Patientendaten, so dass diese Konsequenz auch für Datenschutzverstöße plausibel erscheint.

Read More

Video von der Pressekonferenz anlässlich der Vorstellung des Vorschlags der EU-Kommission für ein neues europäisches Datenschutzrecht  (in englischer Sprache):

http://www.youtube.com/watch?v=9binnTteKeA&feature=BFa&list=PLAA5F774719E9F911&lf=plcp

Bemerkenswert ist unter anderem, dass die zuständige Kommissarin, Vivian Reding, die Klage des österreichischen Studenten Max Schremp gegen Facebook auf Herausgabe seiner Daten und die damit verbundenen Schwierigkeiten als ein Beispiel dafür benennt, wie es zukünftig nicht sein sollte.  Zukünftig soll nach dem Vorschlag der EU-Kommission eine einzige nationale Aufsichtsbehörde für alle Datenschutzanliegen von Unternehmen und Privatpersonen zuständig sein ("One-Stop-Shop"). Für das Beispiel der Facebook-Auseinandersetzung würde das bedeuten, dass die Aufsichtsbehörde in Österreich für die Forderungen auf Herausgabe der persönlichen Daten zuständig wäre. Sie hätte sich mit Facebook und ggf. der irischen Behörde auseinandersetzen müssen, um Max Schremp weiter zu helfen - und nicht, wie zurzeit, er selber.

Read More

In der im Beitrag vom 25. Januar zitierten Pressemitteilung der EU zu den Reformplänen in Sachen Datenschutz war eine recht einschneidende Änderung nicht erwähnt: Die Kommission plant, die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten im Regelfall erst ab einer Mitarbeiterzahl von 250 verbindlich zu machen.

 Nur noch ein Bruchteil deutscher Unternehmen verpflichtet

 Nach den derzeit in Deutschland gültigen Vorschriften des Bundesdatenschutzgesetzes ist die Bestellung eines betrieblichen Datenschutzbeauftragten schon dann verpflichtend, wenn mindestens 10 Personen in einem Unternehmen mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Sollte also die EU-Verordnung europaweit in Kraft treten, wäre nur noch ein verschwindend geringer Prozentsatz der deutschen Unternehmen verpflichtet, einen Datenschutzbeauftragten zu bestellen. Im Gegensatz zu einer Richtlinie ist eine Verordnung unmittelbar geltendes Recht und muss nicht in nationale Gesetze umgesetzt werden. In der Wirkung ist sie einem Gesetz vergleichbar; die bei der Richtlinie bestehenden nationalen Spielräume zur Ausfüllung entfallen.

 Keine gute Idee

 Die Gesellschaft für Datenschutz und Datensicherheit (GDD) nennt diese Pläne „für die Grundrechtsposition des Datenschutzes äußerst kontraproduktiv“. Nach Einschätzung der GDD würden sich in Folge viele Unternehmen unterhalb des Schwellenwertes unzureichend um die Umsetzung Datenschutzvorschriften kümmern. Auch unter wirtschaftlichen Aspekten sei das Vorhaben wenig sinnvoll, denn das in der Person des oder der Datenschutzbeauftragten gebündelte Know-How würde verloren gehen und die Fachabteilungen müssten es sich aufwändig selber aneignen.

 Durch praktische Erfahrung bestätigt

 Diese Einschätzung wird durch unsere praktische Erfahrung aus rund 12 Jahren Tätigkeit als externe betriebliche Datenschutzbeauftragte bestätigt. Zwar hängt die Tatsache, ob ein Unternehmen sich um die Etablierung und Einhaltung von guten Datenschutzstandards kümmert oder nicht, nicht ausschließlich an der Zahl der Mitarbeiter und damit an der gesetzlichen Verpflichtung. Das Wissen um die gesetzliche Verpflichtung zur Bestellung von Datenschutzbeauftragten ist aber oft ein erster Anstoß, sich überhaupt mit der Thematik zu beschäftigen. Für viele Unternehmen ist darüber hinaus der von Aufraggebern oder Kunden ausgeübte Druck maßgeblich, die Einhaltung von Datenschutz-Mindeststandards nachzuweisen. Diese aufzubauen und für die Einhaltung zu sorgen gelingt in der Regel durch die Beschäftigung von Datenschutzbeauftragten am besten, seien sie intern oder extern tätig.

 Nicht nur die formale Pflicht entscheidet

 Andererseits sind auch andere Faktoren als nur die formale Pflicht zur Benennung eines Datenschutzbeauftragten ausschlaggebend für den sorgsamen Umgang mit personenbezogenen Daten in Unternehmen. Den Datenschutzbeauftragten muss von Seiten der Unternehmen Zeit und Unterstützung eingeräumt werden, die der Aufbau einer Datenschutzorganisation braucht. Datenschutzbeauftragte müssen ernst genommen werden und sie selbst müssen ihre Funktion nicht nur als ein lästiges Übel unter vielen wichtigeren Aufgaben begreifen. Die gesetzliche Pflicht, Datenschutzbeauftragte zu bestellen, unterstützt diese aber insofern, als sie dem Tun der Datenschutzbeauftragten den formalen Nachdruck verleiht. Die EU-Kommission täte also gut daran, die Grenze von 250 Beschäftigten zu überdenken, wenn sie ernsthaft an besseren Datenschutzstandards in Europa interessiert ist.

 Gesetzgebung braucht Zeit

 Gut Ding will Weile haben. Die Vorschläge der Europäischen Kommission für eine EU-Datenschutzverordnung müssen vom Europäischen Parlament und vom Rat der Europäischen Union, in welchem die Mitgliedstaaten vertreten sind, verhandelt und im sogenannten ordentlichen Gesetzgebungsverfahren angenommen werden. Das ist nicht mal eben so erledigt und vor allem nicht vor dem Hintergrund der Komplexität der Datenschutzmaterie. Es ist daher mit mehrjährigen Verhandlungen in Brüssel und Straßburg zu rechnen. Bis zum Inkrafttreten des neuen Rechts gilt die EU-Datenschutzrichtlinie 95/46/EG weiter.

Read More

Die Europäische Kommission hat heute eine umfassende Reform der EU-Datenschutzvorschriften vorgeschlagen. Die jetzt gültigen Datenschutzvorschriften stammen aus dem Jahr 1995, also quasi aus dem Mittelalter, wenn man die technische Entwicklung zum Maßstab nimmt.

Reformziele

Dementsprechend benennt es die Kommission als erstes Ziel, die Online-Rechte des Einzelnen auf Wahrung der Privatsphäre zu stärken und die digitale Wirtschaft Europas anzukurbeln. Eine einheitliche Regelung der Datenschutzvorschriften soll der jetzt der bestehenden Zersplitterung in viele einzelne nationalstaatliche Gesetze und dem daraus resultierenden hohen Verwaltungsaufwand für die Unternehmen ein Ende bereiten. Das Vertrauen der Verbraucher in Onlinedienste gestärkt soll gestärkt werden, in der Hoffnung, dass auf diese Weise Anreize für mehr Wachstum, Arbeitsplätze und Innovationen in Europa gesetzt werden.

Übersicht über die wichtigsten Änderungsvorschläge

Hier ist eine Übersicht der wichtigsten Änderungen, die ich der Presseerklärung der EU-Kommission von heute entnommen habe. Dies ist der Originaltext der Presseerklärung; die teilweise etwas unklaren Formulierungen finden sich darin:

• Künftig wird es ein EU-weit geltendes Gesamtregelwerk für den Datenschutz geben. Unnötige administrative Anforderungen wie bestimmte Meldepflichten für Unternehmen werden beseitigt. Dadurch werden Unternehmen Kosten in Höhe von etwa 2,3 Mrd. EUR jährlich einsparen.

• Anstelle der bisher den Unternehmen obliegenden Pflicht, den Datenschutzbeauftragten sämtliche datenschutzrelevanten Tätigkeiten zu melden (was den Unternehmen unnötigen Verwaltungsaufwand sowie Kosten in Höhen von 130 Mio. EUR jährlich verursacht hat), sieht die vorgeschlagene Datenschutzverordnung künftig mehr Verantwortung sowie eine verschärfte Rechenschaftspflicht sämtlicher Verarbeiter personenbezogener Daten vor.

• Unternehmen und Organisationen sollen beispielsweise bei einer schweren Verletzung des Schutzes personenbezogener Daten künftig die nationale Aufsichtsbehörde unverzüglich (d. h. nach Möglichkeit binnen 24 Stunden) benachrichtigen müssen.

• Alleiniger Ansprechpartner für Organisationen wird künftig die nationale Datenschutzbehörde des EU-Landes sein, in dem sie ihre Hauptniederlassung haben. Ebenso sollen sich Bürger künftig auch dann an die Datenschutzbehörde ihres Landes wenden können, wenn ihre Daten von einem außerhalb der EU niedergelassenen Unternehmen verarbeitet werden. In Bezug auf Datenverarbeitungen, die der vorherigen Genehmigung bedürfen, wird nunmehr klargestellt, dass die Genehmigung ausdrücklich erteilt werden muss und nicht stillschweigend vorausgesetzt werden darf.

• Die Bürger sollen leichter auf ihre eigenen Daten zugreifen und diese bei einem Wechsel zu einem anderen Dienstleistungsanbieter „mitnehmen" können (Recht auf Datenportabilität). Dadurch wird der Wettbewerb unter den Anbietern derartiger Dienste zunehmen.

• Das „Recht auf Vergessenwerden“ soll eine bessere Beherrschung der bei Onlinediensten bestehenden Datenschutzrisiken ermöglichen. Alle Bürger sollen das Recht erhalten, ihre eigenen Daten zu löschen, wenn keine legitimen Gründe für deren Vorhaltung bestehen.

• Jedwede außerhalb der EU erfolgende Bearbeitung von personenbezogenen Daten durch auf dem EU-Markt aktive Unternehmen, die ihre Dienste den EU-Bürgern anbieten, soll künftig den EU-Vorschriften unterliegen.

• Die Unabhängigkeit der nationalen Datenschutzbehörden soll gestärkt werden, damit diese die EU-Vorschriften in ihren Ländern besser durchsetzen können. Beispielsweise sollen die nationalen Datenschutzbehörden künftig Geldbußen gegen Unternehmen verhängen können, die gegen die Datenschutzbestimmungen der EU verstoßen. Die Höhe der Geldbuße soll bis zu 1 Mio. EUR oder 2 % des Jahresumsatzes eines Unternehmens betragen können.

• Durch eine neue Datenschutzrichtlinie sollen allgemeine Datenschutzgrundsätze und –regeln für die polizeiliche und justizielle Zusammenarbeit in Strafsachen eingeführt werden. Die Bestimmungen sollen sowohl für inländische als auch für grenzüberschreitende Datenübermittlungen gelten.

Die Vorschläge der Kommission werden nun dem Europäische Parlament und den EU-Mitgliedstaaten (d. h. dem EU-Ministerrat) zur weiteren Erörterung übermittelt. Sie sollen zwei Jahre nach ihrer Annahme in Kraft treten.

Quelle der Pressemitteilung:

http://europa.eu/rapid/pressReleasesAction.do?reference=IP%2F12%2F46&format=HTML&aged=0&language=DE&guiLanguage=en

 

Read More

Nach einer Umfrage des IT-Branchenverbandes Bitkom sind die Krankenkassen und Banken, aber auch Ärzte und Krankenhäuser „Vertrauenssieger“ beim Datenschutz – soll heißen, die Deutschen vertrauen diesen Institutionen am meisten hinsichtlich des sorgfältigen Umgangs mit ihren Daten. Dies habe eine repräsentative Umfrage des IT-Branchenverbandes Bitkom unter mehr als 1000 Deutschen über 14 Jahren ergeben.

Keine Aussage über Datenschutzkenntnisse

„Die vom Bitkom veröffentlichten Werte sagen nichts über die Kenntnisse in Sachen Datenschutz aus, die die Befragten besitzen. Sie geben auch keine Hinweise, inwieweit grobe Verstöße wie die Panne mit Patientendaten in der Öffentlichkeit wahrgenommen werden“ merkt heise.de in einem Artikel zum Thema an. In der Tat muten diese Ergebnisse für alle, die sich ein wenig in Sachen Datenschutz auskennen, wie ein Witz an. Beispiel Krankenkassen: Diese sind durch ein kompliziertes System nach den Sozialgesetzbüchern offiziell auf die Kenntnis weniger Daten über ihre Versicherten beschränkt. Insbesondere sollen sie, so will es das gesetzliche System, praktisch nichts von den konkreten Erkrankungen ihrer Versicherten erfahren. Die Realität sieht anders aus, berichten alle diejenigen, die Krankenkassen von innen kennen. Jeder Mitarbeiter einer Krankenkasse, der wolle, könne alle Informationen über Versicherte erfahren.

Der Umgang mit Patientendaten ist von Sorglosigkeit geprägt

Beispiel Krankenhäuser: Ich habe im letzten Jahr wegen einer Erkrankung meiner Tochter mehr Krankenhäuser von innen gesehen, als in den 40 Jahren meines Lebens zuvor. Danach, und aufgrund meiner beruflichen Beschäftigung mit Datenschutz im medizinischen Umfeld kann ich nur feststellen, dass sich mein Vertrauen in den datenschutzkonformen Umgang mit Patientendaten gen Null bewegt. Ausnahmen, die die Regel bestätigen, sind inbegriffen. Es rückt offensichtlich erst ganz langsam ins Bewusstsein der Ärzte, dass es einen untrennbaren Zusammenhang zwischen ärztlicher Schweigepflicht und Datenschutz gibt. Worin sich das Vertrauen der von Bitkom Befragten gründet, ist mir rätselhaft.

Abhilfe durch Selbstverpflichtungen?

Bitkom nimmt die Ergebnisse der Studie zum Anlass, für „strenge“ Selbstverpflichtungen der Unternehmen und Behörden zu werben. Mit Selbstverpflichtungen könne man „schnell, flexibel und international abgestimmt reagieren“, meint Bitkom-Präsident Dieter Kempf. Dies impliziert unausgesprochen, dass Selbstverpflichtungen der Vorzug vor staatliche Vorgaben zu geben ist. Die Erfahrungen mit der Versicherungswirtschaft lehren allerdings anderes. Die Datenschutzbeauftragten der Länder versuchen seit vielen Jahren, mit der Versicherungsbranche zu einem Selbstverpflichtungskodex zur Einhaltung von Datenschutzstandards zu kommen. Das Ergebnis lässt immer noch auf sich warten. Auch die Erfahrungen mit den sozialen Netzwerken lehren ein anderes. Erst nach der Androhung von Bußgeldern durch das ULD in Schleswig-Holstein waren Facebook als auch Google bereit, über Datenschutzverpflichtungen zu diskutieren. Wenn Bitkom trotzdem auf Selbstverpflichtungen setzt, sollte Herr Kempf sagen, wie Selbstverpflichtungen nicht zu einem Freibrief fürs Nichtstun werden.

URL der zitierten Artikel:

http://www.bitkom.org/70877_70870.aspx

http://www.heise.de/newsticker/meldung/Krankenkassen-sind-Vertrauenssieger-beim-Datenschutz-1403078.html

 

 

 

Read More

Ein weiterer, schon etwas älterer Artikel aus der Süddeutschen Zeitung von Anfang November, der noch einmal das Thema der Daten psychisch Kranker im Netz thematisiert. Leider ist nicht erwähnt, wie die von Schleswig-Holstein offenbar geplanten schärferen Bestimmungen zur Verhinderung solcher Vorfälle aussehen sollen.

Quelle: http://www.sueddeutsche.de/digital/akten-psychisch-kranker-im-netz-datenschuetzer-warnt-vor-schlamp-firmen-1.1184250

von Jens Schneider

3000 Akten psychisch Kranker im Netz Datenschützer warnt vor Schlamp-Firmen

Medizinische Befunde und psychologische Dokumentationen - über Monate frei im Netz einsehbar: Nach der jüngsten Panne mit Patientendaten plant Schleswig-Holstein schärfere Bestimmungen. Der Datenschutzbeauftragte Thilo Weichert fürchtet weitere Fälle dieser Art.

Es war ein Datenleck, das es so in diesem sensiblen Bereich noch nicht gegeben hat. Mehr als 3000 Datensätze mit Einzelheiten über psychisch Kranken vor allem aus Schleswig-Holstein waren bis vergangenen Donnerstag frei im Internet zugänglich.

Die Ursache war nach den Erkenntnissen des Datenschutzbeauftragten Thilo Weichert "eine Kombination von schwerwiegenden organisatorischen Mängeln" beim verantwortlichen Unternehmen in Rendsburg.

Die Panne dürfte nach Weicherts Einschätzung "wahrscheinlich nicht der einzige Fall" dieser Art sein. Der schleswig-holsteinische Datenschützer will deshalb demnächst eine Liste mit Standards vorlegen, an denen sich Einrichtungen orientieren können, die mit solch sensiblen Daten umgehen.

Das betrifft etwa die sichere Verschlüsselung der Datenbanken. Auch müsse klar geregelt und dokumentiert werden, wer auf Daten zugreift. Es gehe darum, bestehende Regeln verantwortungsbewusst umzusetzen.

Datenschützer kontrolliert Unternehmen

Nach Bekanntwerden des Datenlecks hat Weichert zu Wochenbeginn das Rendsburger Unternehmen Brücke und deren Tochterfirma Rebus GmbH kontrolliert, bei der das Leck auftrat.

Die Rebus unterhielt bis zum vergangenen Donnerstag die Datenbank, auf der Betreuer von psychisch Kranken ihre Arbeit dokumentieren konnten. Weichert schließt nicht aus, dass die Datenlücke schon seit Jahren bestand. Wie es heißt, hätte jeder, der den entsprechenden Weg kannte, mit wenigen Schritten über das Internet Einsicht etwa in Arztbriefe von Schwerkranken nehmen können.

Für die Zustände sind laut Weichert bei der Rendsburger Firma mehrere Stellen verantwortlich, "zwischen denen die Arbeitsverhältnisse und Verantwortlichkeiten unklar geregelt sind". Die Verantwortlichen hätten keine aussagekräftigen Dokumente über die Datenverarbeitung vorlegen können.

Keine Qualitätskontrollen

Es habe keine Qualitätskontrollen beim IT-Einsatz gegeben. "Die Sicherheit der Software wurde anscheinend nie ernsthaft hinterfragt." Weichert spricht von einem undurchsichtigen Unternehmensgeflecht, "in dem naturwüchsig und handgestrickt Lösungen erarbeitet wurden, die insgesamt keine Sicherheiten gewährleisten konnten".

Das Unternehmen war selbst von dem Leck überrascht worden. Klaus Magesching, Vorstand der Brücke, spricht von einem "Super-Gau". Man nehme die Sache "sehr ernst". Er widerspricht aber dem Eindruck, dass es keine klaren Organisationsstrukturen gegeben habe.

Die Brücke lasse den Fall jetzt von einer Sicherheitsfirma prüfen. Noch ist unklar, wie viele unbefugte Zugriffe es gab.

Read More

Ein schon etwas älterer Artikel aus der Süddeutschen Zeitung der illustriert, dass Datenschutz durchaus ein ernst zu nehmender Wettbewerbsfaktor sein kann.

Quelle: http://www.sueddeutsche.de/digital/battlefield-von-electronic-arts-der-feind-in-meinem-computer-1.1184469

Von Helmut Martin-Jung

Das Unternehmen Electronic Arts steht in der Kritik, mithilfe seines Erfolgs-Shooters Battlefield 3 sensible Daten seiner Kunden nach Amerika zu verschieben. EA ist aber nicht der einzige Hersteller, der durch fragwürdige Praktiken seinen Ruf verspielt.

Vernichtender kann Kritik kaum sein: "Beispiellos", "unheimlich dreist", "absolute Frechheit" - knapp 3500 von 3800 Nutzern haben auf der Internetseite des Onlinehändlers Amazon die niedrigstmögliche Bewertung für ein PC-Spiel vergeben, auf das viele aus der Spielergemeinde eigentlich voller Vorfreude gewartet hatten. Die Kritik gilt zumeist aber gar nicht dem Spiel selbst, sondern einem Zusatzprogramm namens Origin. Battlefield 3 von Electronic Arts (EA) lässt sich nämlich nur dann installieren, wenn man zuvor Origin installiert hat. Um das zu tun, müssen die Nutzer aber einer Lizenzvereinbarung (EULA) zustimmen.

Und diese hat es in sich. Oder zumindest hatte: Inzwischen hat EA nämlich eine Reihe von Bestimmungen geändert oder ganz gestrichen. Zu groß war der Druck: In der Spielerszene hatte sich ein gewaltiger Proteststurm erhoben. Und dann beauftragte die Zeitschrift Gamestar auch einen Rechtsanwalt, die EULA durchzusehen.

"Umfangreiche Verstöße"Das Ergebnis fiel für den Spieleverlag alles andere als günstig aus: Der ursprüngliche Lizenzvertrag und die Datenschutz-Richtlinien enthielten "umfangreiche Verstöße gegen Verbraucher- und Datenschutzrechte", so das Urteil des Berliner Juristen Thomas Schwenke. So war in der ersten Fassung beispielsweise vorgesehen, dass EA die von Origin erhobenen Daten auch zu Werbezwecken an Dritte weitergeben dürfe. Ob die Nachbesserungen, die EA vorgenommen hat, nun legal sind, prüfen nun die Datenschützer in Nordrhein-Westfalen.

EA dürfte vor allem ein Ziel verfolgen: Der Spieleverlag hofft, so Raubkopien seiner Software zu verhindern. Doch auch mit den neuen Bestimmungen verlangt er dem Nutzer noch einiges ab. Sie seien aber "branchenüblich", sagt Rechtsexperte Schwenke. So müssen die Spieler beispielsweise zustimmen, dass Daten, die ihrem Rechner eindeutig zuzuordnen sind, mit Daten zu ihrer Person kombiniert und in die USA oder nach Kanada übermittelt werden. Dort werden sie dann auch gespeichert.

Was viele Nutzer jedoch am meisten beunruhigt hatte: Das Programm Origin stöbert möglicherweise im Programme-Ordner von Windows. In der ersten Version seiner Lizenzbestimmungen ließ sich EA das Recht einräumen, "automatisch Lizenzrechte für einige oder alle EA-Produkte" zu prüfen. Origin erhebe aber keine solchen Daten, sagt EA-Sprecher Martin Lorber.

Das Programm diene vielmehr Service- und Kommunikationszwecken. Damit könnten beispielsweise neuere Versionen des Spiels auf einfache Weise heruntergeladen und eingespielt werden. Es handle sich "nur um eine gewöhnliche Windows-Funktion und nicht um einen Prozess zur Datenerfassung", so die offizielle Sprachregelung bei EA. Bis nächste Woche hat das US-Unternehmen nun Zeit, dies auch der NRW-Datenschutzbehörde zu erklären.

Was auch immer die Untersuchung ergeben wird: Der Image-Schaden für Electronic Arts ist riesig, erklärt Rechtsanwalt Schwenke. "EA hat viel Vertrauen verloren." Auch finanziell dürfte es nicht ohne Folgen bleiben, wenn Tausende allein beim Internethändler Amazon ankündigen, sie würden das Spiel entweder gar nicht erst kaufen oder von ihrem Recht Gebrauch machen, es wieder zurückzuschicken.

Schmerzliche Erkenntnisse

Dass sich ein solches Verhalten gegenüber den Kunden nicht auszahlt, haben auch andere Firmen schon schmerzlich zu spüren bekommen. Über die inzwischen recht bedeutungslose Multimedia-Abspielsoftware Real Player wurde vor einigen Jahren bekannt, dass sie in großem Umfang Daten sammelte und sie "nach Hause" übermittelte - also in die Rechenzentren des Unternehmens. Die Empörung war groß. Die Firma musste diese Funktion in aller Eile streichen.

Der japanische Sony-Konzern ging all zu streng gegen Hacker vor - und bekam deren Rache zu spüren: Kriminellen drangen im Frühjahr in das Playstation-Netzwerk ein und stahlen dort mehr als 100 Millionen Kundendaten. Ein enormer Schaden für Sony.

Einige Jahre davor war der Konzern schon aufgefallen, als er Musik-CDs still und leise mit einem Zusatzprogramm versah, das sich auf den PCs der Nutzer verhielt wie ein Rootkit. Diese Spähsoftware ist das Übelste, was einem Hacker unterjubeln können. Nun brachte sie ein Elektronikkonzern unters Volk. Das Schlimmste dabei: Die Lücke, die damit in das Sicherheitssystem der betroffenen Rechner gerissen wurde, hätten auch Kriminelle nutzen können. Auch dieses Projekt wurde sehr schnell wieder zurückgenommen.

Read More