Die Debatte ist alt – was macht ein gutes und somit sicheres Passwort aus? In der Regel wird auf die Notwendigkeit komplexer Passwortregeln verwiesen, angereichert mit dem regelmäßigen Wechsel des Passworts. Ist dieses Paradigma wirklich angebracht und sorgt für sichere Authentisierung? Wir vertreten seit längerer Zeit einen diametralen Standpunkt, dass zu komplexe Passwörter und häufige erzwungene Passwortwechsel die Sicherheit schwächen, da die Passwörter unweigerlich notiert bzw. ungeschützt abgespeichert werden.
IT-Sicherheit
EU Datenschutz-Grundverordnung ab Mai 2018 – was ändert sich für Unternehmen
Die neue EU Datenschutz-Grundverordnung ist bereits seit dem 25. Mai 2016 in Kraft, wirksam wird sie aber erst am 25. Mai 2018. Welche Auswirkungen hat dies für Unternehmen, welche Schritte sind für die erforderliche Transformation des Datenschutz-Managementsystems notwendig, um den neu entstehenden Compliance Verpflichtungen nach zu kommen.
Datenschutz heute
Aktuell ist die EU Datenschutzrichtlinie 95/46EG aus dem Jahre 1995 für alle Mitgliedsstaaten in der Gestalt verpflichtend, dass die Aussagen der Richtlinie im nationale Gesetze umgesetzt worden sind. In Deutschland ist dies das Bundesdatenschutzgesetz (BDSG) oder in Österreich das Gesetz „Datenschutz 2000“. Dies hat u.a. die Folge, dass sich etwa Facebook und Google bei der Wahl des europäischen Firmensitzes für Irland entschieden haben. 28 nationale Gesetzgebungen mit einem heterogenen Datenschutzrecht, dass für europäisch agierende Unternehmen, aber für Bürger, in Sachen Rechtssicherheit sehr unbefriedigend ist.
Datenschutz 2018
Die EU Kommission hat im Januar 2012 den ersten Entwurf einer EU Datenschutz-Grundverordnung (DS-GVO) vorgestellt. Neben der unakzeptablen Heterogenität des europäischen Datenschutzrechts spielten noch weitere Gründe eine wichtige Rolle:
- Chancengleichheit für europäische Unternehmen, durch eine stärkere Verbindlichkeit der DS-GVO für US Internet Unternehmen (Anwendbarkeit und drastische Erhöhung der Geldbußen)
- Einzug der digitalen Lebens- und Arbeitswelt in das neue EU Datenschutzrecht
- Stärkung der Verbraucherrechte (z. B. im Internet-Handel)
Kann ISIS12 Ransomware verhindern?
Eine gute Frage: Hätte die unterfränkische Gemeinde D. durch Einführung und Betrieb des Informationssicherheits Managementsystems (ISMS) ISIS12 die Ausbreitung des Computervirus Teslascript auf IT-Systemen der Stadtverwaltung verhindern können? Eine einhundert prozentige Sicherheit kann das Vorgehensmodell ISIS12 gegen die seit Monaten immer öfters aktiven Ransomware-Varianten nicht bieten. Jedoch sinkt das Risiko einer Infektion mit CryptoWall, Locky, PadCrypt, TelsaCrypt, TorrentLocker und anderer Malware erheblich.
Datenschutzkonforme Softwareentwicklung
Was gibt es bei datenschutzkonformer Softwareentwicklung zu beachten? Zuerst sind die allgemeinen Grundsätze des Datenschutzes zu berücksichtigen:
• Datensparsamkeit, soweit möglich
• Anonymisierung bzw. Pseudonymisierung, soweit möglich
• „Need to Know“ – differenziertes Berechtigungskonzept
• Zugriffsschutz der Daten bei Transport und Speicherung (Verschlüsselung)
• Löschkonzept, mit der Möglichkeit der automatisierten Löschung
• Protokollierung der Eingabe und Änderung personenbezogener Daten
• Datensicherungskonzept um Verlust der Daten auszuschließen
• Entwicklung mit Test- und Entwicklungssystem.
Das IT-Sicherheitsgesetz
Das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme, kurz IT-Sicherheitsgesetz, wurde am 24.07.2015 im Bundegesetzblatt veröffentlicht und ist somit rechtskräftig. Die Betreiber kritischer Infrastrukturen aus den Bereichen
- Energie,
- Informationstechnik und Telekommunikation,
- Transport und Verkehr,
- Gesundheit,
- Wasser,
- Ernährung sowie
- Finanz- und Versicherungswesen
sind damit verpflichtet zukünftig einen Mindeststandard an IT-Sicherheit zu etablieren bzw. aufrechtzuerhalten und weiter zu entwickeln. Gravierende IT-Sicherheitsvorfälle müssen nun verbindlich an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Die zuständigen Sicherheitsbehörden (BSI, BKA, BfV) werden mit mehr Geld und Personal ausgestattet.