Die Sicherheit im Blick

Die deutsche Öffentlichkeit ist in jüngster Zeit durch Datenskandale unterschiedlichster Art aufgeschreckt worden. Ob mit kriminellem Vorsatz betrieben oder auch „nur“ durch Fahrlässigkeit verursacht – der Missbrauch sensibler personenbezogener Daten richtet zum Teil verheerende wirtschaftliche Schäden an, verletzt verfasssungsrechtlich garantierte Persönlichkeitsrechte und untergräbt somit das Vertrauen innerhalb der Gesellschaft auf massive Weise.

Nicht umsonst legt das Bundesdatenschutzgesetz (BDSG) in §4 Abs.1 fest: „Die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten ist nur zulässig, soweit das Bundesdatenschutzgesetz oder eine andere Rechtsvorschrift dies erlaubt oder vorschreibt oder der Betroffene eingewilligt hat.“ Damit soll die „informationelle Selbstbestimmung“ des Individuums gewahrt werden: Jeder Einzelne muss die Möglichkeit haben, selbst zu bestimmen, wer bei welcher Gelegenheit welche Informationen über ihn erhält. Das deutsche BDSG regelt den Umgang mit personenbezogenen Daten, und die Datenschutzrichtlinie der EU gewährleistet den Schutz der Privatsphäre beim grenzüberschreitenden Datenverkehr in den Mitgliedsstaaten. Bestimmte Verstöße gegen das BDSG oder die EU-Datenschutz-Richtlinien können mit Geldstrafen geahndet werden – Bußgelder bis zu 250 000 Euro sind möglich. In schweren Fällen drohen sogar Freiheitsstrafen. Von Schadenersatzforderungen der Betroffenen ganz zu schweigen.

Unternehmen sind also in der Pflicht, die Persönlichkeitsrechte des Einzelnen zu wahren – seien es die der eigenen Mitarbeiter oder die der Geschäftspartner. Öffentliche und nicht öffentliche Stellen, in denen mindestens zehn Personen mit der automatisierten Be- und Verarbeitung personenbezogener Daten befasst sind, sind gesetzlich verpflichtet, einen Datenschutzbeauftragten zu bestellen, der die Einhaltung der Datenschutzrichtlinien überwacht.

Die Wahrung der „informationellen Selbstbestimmung“ des Bürgers, dessen Daten erhoben, bearbeitet und gespeichert werden, ist jedoch nur ein Aspekt des Datenschutzes. Gleichen Rang nimmt die Sicherung der eigenen Interessen ein – Industriespionage ist ebenso abzuwehren wie Identitätsdiebstahl oder das mittlerweile grassierende und durch Internet-Geschäfte begünstigte „Abräumen“ von Bankkonten.

Vertrauliche Dokumente im Papierkorb? Speichermedien beim Elektroschrott? So sollte die Entsorgung sensibler Daten nicht aussehen!Unternehmen wie Privatpersonen ist durchaus bewusst, dass Daten in internen und externen Netzen unbefugtem Zugriff ausgesetzt sind, und treffen entsprechende Vorkehrungen – wie zum Beispiel Firewall, Zugangskontrolle durch wechselnde Passwörter und ausgefeilte Verschlüsselungstechniken. Für das Online-Banking und Online-Shopping sind die Sicherheitsanforderungen besonders hoch, weil hier Bankverbindungen und Kontendaten „veröffentlicht“ werden. Und Unternehmen müssen sicher sein, dass Mitbewerber keinen Einblick in Strategiepapiere, Forschungsberichte, Buchhaltungsunterlagen, Vertriebspläne etc. erhalten. „Datenschutz bedeutet im modernen Wirtschaftsleben einen Qualitäts- und Wettbewerbsfaktor“, postuliert die Gesellschaft für Datenschutz und Datensicherung in Bonn, in der kompetente Fachberater organisiert sind. Dort sieht man Datenschutz und Datensicherheit auch als „Wegbereiter für den E-Commerce“.

Was also den Schutz der virtuell um den Globus laufenden Daten angeht, herrscht allgemein Einsicht und Konsens. Dass sensible Daten aber auch in „handfester“ Form vorliegen – angefangen von der Festplatte des Computers über den Speicher des Kopierers bis zu CDs und vor allem Papier – und ebenso dringend vor unbefugten Augen und Händen geschützt werden müssen, wird vielerorts vernachlässigt. Auf den als „gelöscht“ erachteten Festplatten entsorgter Computer beispielsweise konnten vertrauliche Daten relativ leicht rekonstruiert werden, und was sich in Papierkörben, Mülltonnen und auf Mülldeponien an „Schätzen“ für kriminelle Vorhaben findet, ist geradezu haarsträubend: säckeweise Patientenakten aus dem Krankenhaus, kartonweise Transaktionsprotokolle eines Finanzdienstleisters, Ordner voller Korrespondenz und Aktennotizen eines Industrieunternehmens bis hin zu persönlichen Kreditkarten und Rentenunterlagen. Hier ist das Datenschutzbewusstsein nur gering ausgeprägt bis gar nicht vorhanden, wie bei mehreren Studien und Umfragen zutage kam.

Fehlkopien von Verträgen landen im Papierkorb neben dem Kopierer, Konstruktionspläne und Flip-Chart-Blätter mit Organigrammen gelangen zerknüllt in den Altpapiercontainer, Kontoauszüge, Preislisten, Geschäftsbücher, Bewerbungsunterlagen werden einfach in die Papiertonne entsorgt. Unkenntnis, Leichtsinn, Nachlässigkeit, Schlamperei – kurz: mangelndes Problembewusstsein – schaffen hier eine wahre Fundgrube für Betrüger, und so fallen per „Bin Raiding“, wie man das Durchsuchen von Mülltonnen nach Verwertbarem nennt, sensible Daten fahrlässig dem Missbrauch anheim. Aber auch hier gilt, wie beim Schutz der virtuellen Daten: Unwissenheit schützt nicht vor Strafe.

Gründe genug also vor allem für Unternehmen, sich mit diesem Thema zu beschäftigen. Denn allein mit einigen Datenschutz-Verfahrensanweisungen könne das Problem nicht gelöst werden, meint der Datenschutz-Experte Helmut Bartels: „Datenschutz muss ein Teil der Unternehmenskultur sein, es muss bei den Mitarbeitern ein Datenschutzbewusstsein bestehen. Nur dann wird der Datenschutz von den Mitarbeitern als ständige Verpflichtung wahrgenommen und im Unternehmen in der täglichen Praxis gelebt.“ Datenschutz als Teil der Firmenphilosophie und als Managementaufgabe also. Dass hier Informations- und Schulungsbedarf besteht, ist offensichtlich; die Datenschutzbeauftragten haben ein weites Feld zu beackern.

Wenn es um die praktisch-technische Umsetzung des Datenschutzes – sprich: Löschung von Daten auf Datenträgern und Vernichtung von auf Papier gedruckten Daten – geht, ist der einschlägige Fachhandel meist die erste Anlaufstelle. Der Kunde, gleich ob professionell oder privat, weiß zwar, dass er Daten „irgendwie“ schützen will und muss; er weiß aber häufig nicht, um welche Daten es eigentlich geht, welche Vorschriften er einhalten muss, welche technischen Möglichkeiten ihm zur Verfügung stehen. Und eigentlich ist das ja alles viel zu umständlich, zu aufwendig und zu teuer – und wenn da die Strafen nicht wären, würde man ja eigentlich nicht .....

Der Fachhändler, mit solchen Fragen und Ansichten konfrontiert, kann hier nur punkten, wenn er selbst über genügend Wissen verfügt. Er muss seinen Kunden überzeugen, Datenschutz nicht aus Angst vor Strafe zu betreiben, sondern ihn als existenziell notwendig zu betrachten – in erster Linie zur Sicherung des Unternehmens im Wettbewerb und zur Vermeidung finanzieller Einbußen durch Betrug, aber auch zur Erhaltung des guten Rufes in der Öffentlichkeit und – als Privatperson – zum Schutz vor Identitätsdiebstahl und Kreditkartenmissbrauch. Ist ihm diese Überzeugungsarbeit gelungen, kann er das Gespräch auf die technische Seite des Problems lenken und den Kunden darüber informieren, mit welchen Geräten man Festplatten wirklich endgültig „bereinigt“, wie man CDs und Kredit-/Ausweiskarten zur Unlesbarkeit zerstört und wie man Papierdokumente unterschiedlicher Vertraulichkeit mit Shreddern unterschiedlicher Sicherheitsstufen vernichtet.

Die Beratungskompetenz des Fachhändlers ist also einmal mehr – und bei diesem sensiblen Thema ganz besonders – gefordert. Über die technischen Details und die Einsatzmöglichkeiten entsprechender Geräte informieren die einschlägigen Hersteller auf den folgenden Seiten. Quellen für grundlegende Informationen über Gesetze, Richtlinien usw. sind – auch zur Weitergabe an Kunden – in dem Info-Kasten zusammengestellt.

Informationen zum Bundesdatenschutzgesetz (BDSG), zu den EU-Datenschutzrichtlinien, den gesetzlichen Aufbewahrungsfristen etc. gibt es bei:

Bundesbeauftragter für den Datenschutz und die Informationsfreiheit www.bfdi.bund.de

Virtuelles Datenschutzbüro www.datenschutz.de

Bundesministerium der Justiz www.bmj.bund.de/ratgeber

Bundesamt für Sicherheit in der Informationstechnik (BSI) www.bsi.bund.de

www.gesetze-im-internet.de (eine Kooperation des Bundesministeriums der Justiz mit der Juris GmbH)

Als Berater bieten sich an (Auswahl):

Datenschutzexperte Helmut Bartels E-Mail: info@helmut-bartels.de

Gesellschaft für Datenschutz und Datensicherung e.V. www.gdd.de

Juris GmbH www.juris.de