BMI-Netzpolitik

Das Bundesinnenministerium und der Beauftragte der Bundesregierung für Informationstechnik bieten vier Dialogveranstaltungen unter dem Titel "Perspektiven Deutscher Netzpolitik" an:

1. Datenschutz und Datensicherheit im Internet (18.01.2010)
2. Das Internet als Mehrwert erhalten
3. Staatliche Angebote im Internet
4. Schutz der Bürger vor Identitätsdiebstahl und sonstiger Kriminalität im Internet

Ein Mitglied des AK Vorrat ist zu dem ersten, bereits feststehenden Termin eingeladen.

Auf dieser Seite sammeln wir Positionen, die in den Gesprächen ggf. angesprochen werden können.

1. Dialog "Datenschutz und Datensicherheit im Internet" (18.01.2010)

Das Gespräch ist in zwei Diskussionsrunden mit den folgenden "Leitfragen" gegliedert:

1. Herausforderungen der Informationsgesellschaft hinsichtlich Datenschutz und Datensicherheit im Internet
   1. Welche Anreize können Gesellschaft/Politik/Gesetzgeber setzen, um den Datenschutz im Internet und den Selbstdatenschutz zu verbessern?
   2. Welche Mittel können Provider und Diensteanbieter den Bürgern an die Hand geben, um ihre Daten und ihre IT besser zu schützen (Spamfilter, Virenschutz...)?
   3. Wie können Datensicherheit, Datensparsamkeit, Zweckbindung und Transparenz beim Umgang mit personenbezogenen Daten technisch unterstützt werden?
   4. Wie können Datenschutz und Datensicherheit von gehosteten Angeboten (Cloud-Computing) sichergestellt werden?
   5. Wie kann eine faire Aufgabenverteilung zwischen Staat, Anbietern und Bürgern bei der Datensicherheit aussehen?
2. Handlungsoptionen der Politik
   1. Wie kann durch die Anpassung des Datenschutzrechts der Datenschutz im Internet gefördert werden?
   2. Welche Rollen können einer Stiftung Datenschutz zukommen?
   3. Wie können De-Mail und elektronischer Personalausweis als Angebote für besseren Selbstdatenschutz eingesetzt werden?
   4. Welche Rolle kann das BSI übernehmen, um die Datensicherheit im öffentlichen und nicht-öffentlichen Bereich zu fördern?

Bitte tragt eure Ideen zu diesen Fragen hier ein:

1. Herausforderungen der Informationsgesellschaft hinsichtlich Datenschutz und Datensicherheit im Internet

In seiner Einladung spricht der Bundesinnenminister die folgenden Punkte an:

• Zahlreiche Datenskandale in der Wirtschaft zeigten, dass die Datensicherheit defizitär sei, weil Unternehmen und Bürger zu sorglos mit persönlichen Daten umgingen
• Die Bürger seien mit dem Schutz ihrer IT und ihrer Kommunikation überfordert. Sie seien auf die Hilfe von Staat oder Providern angewiesen. De-Mail und elektronischer Personalausweis könnten eine sichere Kommunikation gewährleisten.

1.5. Wie kann eine faire Aufgabenverteilung zwischen Staat, Anbietern und Bürgern bei der Datensicherheit aussehen?

pab:

• Der Staat könnte die Durchführung von Datenschutz-Audits durch Gewährung von Steuervorteilen fördern. Mittelfristig kann sich dies für den Staat lohnen, weil ein verstärkter Selbstschutz auf Seiten der Wirtschaft die Eingriffsbehörden entlastet.
• Die Einführung einer Pflichtversicherung für gewerblich betriebene, an das Internet angeschlossene Informationssysteme kommt in Betracht, zumal sich die Auswirkungen von Netzkriminalität oft auf Vermögensschäden beschränken. Im Bereich der Arbeitsunfälle hat das deutsche Pflichtversicherungssystem zu einer enormen Steigerung des Sicherheitsbewusstseins geführt, was für die Effektivität einer möglichen Pflichtversicherung auch auf dem Gebiet der Telekommunikationsnetze spricht. Gegen Wirtschaftskriminalität sind bisher nur etwa ein Drittel der deutschen Unternehmen versichert.
• Im Bereich national wichtiger Informationssysteme ist die Einführung einer klassischen verwaltungsrechtlichen Genehmigungspflicht mit anschließender Überwachung der Computersysteme denkbar, um sicherzustellen, dass die Systeme nach dem Stand der Technik geschützt sind. Die Überwachung ließe sich turnusmäßig wie im Bereich der Kfz-Überwachung oder stichprobenartig wie bei der Lebensmittelüberwachung gestalten.
• Weiterhin sind Mitarbeiter von Unternehmen und Behörden eine wichtige Informationsquelle, die sich nutzen lässt, indem man eine Möglichkeit zur anonymen Erteilung von Hinweisen auf Sicherheitslücken bereit stellt. Eine starke Einbindung der Beschäftigten ist auch angesichts der Tatsache sinnvoll, dass ein Großteil der Schäden durch Computerkriminalität auf Mitarbeiter des geschädigten Unternehmens zurückzuführen ist. Gerade Missbräuche innerhalb des eigenen Unternehmens lassen sich durch interne Maßnahmen relativ leicht feststellen und unterbinden.
• Die Anzahl der Fälle von Kreditkartenmissbrauch ließe sich durch die Förderung günstiger, sicherer und einfacher anonymer, bargeldloser Zahlungssysteme im Internet erheblich reduzieren.

---

2. Handlungsoptionen der Politik

2.1. Wie kann durch die Anpassung des Datenschutzrechts der Datenschutz im Internet gefördert werden?

pab:

1. Für den Bereich des Telemedienrechts kann unser langjähriges Forderungspapier zitiert werden. Da hierfür das BMI nicht zuständig sind, sollten wir anregen, auch den Bundeswirtschaftsminister einzuladen.
2. Für den Bereich des Bundesdatenschutzgesetzes gibt es die folgenden Vorschläge:
   1. Klarstellung, dass Datenschutzbestimmungen auch dem Schutz eines fairen Wettbewerbs dienen. Die Einhaltung des Datenschutzrechts ist wettbewerbsrelevant, weil sich hiergegen verstoßende Unternehmen im Wettbewerb mit datenschutzkonform arbeitenden Konkurrenten einen unlauteren Vorteil durch Rechtsbruch verschaffen. Bisher sind die Gerichte in Deutschland der Meinung, dass Datenschutzvorschriften nicht wettbewerbsschützend seien. Das Wettbewerbsrecht ist aber ein effizientes, unbürokratisches und erfolgreiches Rechtsdurchsetzungsinstrument, das auf den Bereich des Datenschutzes erstreckt werden sollte.
   2. Einführung einer Herstellerhaftung für den Fall, dass unsichere Produkte zu Datenschutzverletzungen führen (Produkthaftung). Im Softwarebereich wäre es sinnvoll, die Produkthaftung von Herstellern informationstechnischer Produkte auf Vermögensschäden zu erstrecken, die dadurch entstehen, dass ein Produkt nicht wirksam (Stand der Technik) vor Computerattacken oder Datenverlust geschützt ist. Dann würden Softwarehersteller für die Folgen ihrer Sicherheitslücken („Bugs“) haften, die schon oft für Verluste persönlicher Daten und von Betriebsgeheimnissen gesorgt haben. Das Haftungsrecht ist ein sehr effizientes Rechtsdurchsetzungsinstrument, wie sich etwa im Bereich der Arbeitssicherheit gezeigt hat. Es sollte auch für den Datenschutz nutzbar gemacht werden.
   3. Verschuldensunabhängige Haftung für Datenschutzverletzungen mit pauschaler Entschädigungssumme. Die Datenverarbeiter sollten den von Datenpannen Betroffenen auch für immaterielle Schäden haften (z.B. Sorge um einen möglichen Missbrauch ihrer Daten infolge einer Datenpanne), und zwar verschuldensunabhängig. Ein Regelwert für den immateriellen Schaden sollte festgelegt werden (z.B. 200 Euro pro Person). Entschädigungszahlungen wegen Datenpannen könnte der für die Verarbeitung Verantwortliche dann vom Hersteller ersetzt verlangen (siehe oben), wenn ein unsicheres Produkt für den Schaden verantwortlich ist. Begründung: Durch die Einführung einer Haftung für Datenpannen samt pauschaler Entschädigungssummen wären große Datenverarbeiter gezwungen, sich gegen Datenschutzverletzungen zu versichern. Durch die Versicherungsprämie hätten sie ein eigenes finanzielles Interesse daran, die Schadenswahrscheinlichkeit zu senken. Auf dem Gebiet der Unfallversicherung hat ein solches System bereits zu einem drastischen Rückgang der Zahl der Arbeitsunfälle geführt.
   4. Privacy by design: Kommerzielle informationstechnische Produkte dürfen nicht so voreingestellt sein, dass der Verwender gegen deutsches Datenschutzrecht verstößt. Begründung: Computerprodukte müssen mit einer sicheren und datensparsamen Grundeinstellung ausgeliefert werden. Dies ist derzeit leider bei den – vorherrschenden – amerikanischen Produkten nicht der Fall, weil es in den USA bekanntlich im privaten Bereich keinerlei Datenschutzgarantien gibt. Kommerziellen Anbietern informationstechnischer Produkte ist es jedoch zumutbar, Produkte für den europäischen Markt mit datenschutzkonformen Voreinstellungen auszuliefern. Es ist auch gesamtwirtschaftlich sinnvoller, wenn der Hersteller sein Produkt rechtskonform gestaltet als wenn sämtliche Abnehmer das Produkt erst rechtskonform umgestalten müssen.
   5. Maßnahmen zur Gewährleistung der Datensicherheit müssen dem Stand der Technik entsprechen. Begründung: In den letzten Monaten sind immer wieder schwerwiegende Datenpannen mit Millionen von Betroffenen bekannt geworden, die hätten vermieden werden können, wenn die Verarbeitungssysteme auf dem Stand der Technik gewesen wären (z.B. durch Anwendung von Updates).
   6. Den Kunden eines Unternehmens könnte ein Auskunftsanspruch bezüglich der vorhandenen Sicherheitsmechanismen zum Schutz ihrer Daten eingeräumt werden.

2.2. Welche Rollen können einer Stiftung Datenschutz zukommen?

pab:

1. Als Vorbedingung muss die Stiftung finanziell und organisatorisch unabhängig von Unternehmen und Staat sein. Die Satzung der Stiftung Warentest kann nur bedingt als Vorbild verwendet werden, weil diese Stiftung - anders als die Stiftung Datenschutz - keine staatlichen Angebote testet. Die Stiftung sollte vom Deutschen Bundestag errichtet werden und nicht von der Exekutive. Die Stiftung Warentest verfügt derzeit über ein Stiftungskapital von 22 Mio. Euro; dies sollte auch für eine Stiftung Datentest machbar sein.
2. Hauptaufgabe der Stiftung soll der "Datentest" (analog "Warentest") sein. Die Stiftung sollte verschiedene Anbieter einer Leistung vergleichen im Hinblick auf die Menge der erhobenen Daten, die Datenverwendung und -weitergabe (etwa ins Ausland oder zu Werbezwecken), die Löschungsfristen und die Datensicherheit. Man sollte auch den öffentlichen Bereich nicht ausnehmen. Beispielsweise könnten die Datenschutzvorkehrungen bei verschiedenen Arbeitsagenturen verglichen werden. Verbraucher können heutzutage realistischerweise nicht überblicken, was einzelne Anbieter mit ihren Daten machen. Wenn es eine „Stiftung Datentest“ gäbe, könnten Verbraucher sich ausgehend von deren Urteil ("gut" oder "unbefriedigend") leicht für ein datenschutzfreundliches Produkt entscheiden. Hersteller würden schon präventiv für mehr Datenschutz sorgen, um eine Empfehlung zu erzielen und schlechte Publicity zu vermeiden.
3. Die Stiftung könnte daneben die Aufgabe erhalten, zivilgesellschaftliche Aktionen zur Verbesserung des Datenschutzes und auch die wissenschaftliche Überwachungsforschung finanziell zu unterstützen (z.B. Aufklärungsaktionen wie die 'Freiheitsredner'). Mittel hierfür gibt es bisher kaum.
4. Nach dem Vorbild des Verbraucherzentrale-Bundesverbands könnte der Stiftung ferner die Aufgabe übertragen werden, gegen Datenschutzverletzungen zu klagen. Dies würde eine Verbandsklagebefugnis im Bereich von Verletzungen des Rechts auf informationelle Selbstbestimmung bedingen, die daneben auch Verbraucher- und Datenschutzvereinen verliehen werden sollte.

2.3. Wie können De-Mail und elektronischer Personalausweis als Angebote für besseren Selbstdatenschutz eingesetzt werden?

pab:

• De-Mail
  • Von der Benutzung kann nur abgeraten werden.
    • Aufgrund der Architektur von De-Mail fließen alle Daten und Kontakte auf die Person rückführbar an einer zentralen Stelle zusammen; die Verwendung mehrerer, nicht in Verbindung zu bringender Identitäten ist nicht möglich. Ein übergreifendes Konto für sämtliche Kontakte ermöglicht eine Verknüpfung ganz unterschiedlicher Dateien. Wo viele Informationen zusammenlaufen, droht viel Missbrauch, geschehen viele Pannen und kann viel überwacht werden.
    • Der nicht rückverfolgbare Versand von Nachrichten ohne Absenderangabe, wie ihn die Post ermöglicht, steht hier nicht zur Verfügung.
    • Stattdessen wird jeder Kontakt über die De-Mail-Adresse und jeder Zugriff auf das Postfach aufgezeichnet und sechs Monate lang auf Vorrat gespeichert (§ 113a TKG).
    • Die hinterlegten persönlichen Daten des Nutzers sind für eine Vielzahl von Sicherheitsbehörden und Geheimdiensten unter nichtigen Voraussetzungen anforderbar (§ 113 TKG), die Identität hinter einer De-Mail-Adresse ist für über 1.000 Personen und Stellen in einem Onlineverfahren abrufbar (§ 112 TKG).
    • Schließlich wird De-Mail zurzeit wohl von der Deutschen Telekom AG betreut, die Daten ihrer Kunden zweckentfremdet und verloren hat wie wohl kein anderes deutsches TK-Unternehmen.
    • De-Mail ist insgesamt das Gegenteil von sicherer und vertraulicher Kommunikation.
    • Besonders falsch ist die Zielsetzung des Projekts: "Sie machen die nicht-anonyme und sichere elektronische Kommunikation zum Normalfall". Nur anonyme Kommunikation ist sicher vor missbräuchlicher Aufdeckung des Kontakts.
• Elektronischer Personalausweis
  • Von der Benutzung kann nur abgeraten werden.
    • Es braucht wenig Fantasie, um vorherzusehen, dass die zunächst freiwilligen Identifizierungsverfahren nach und nach obligatorisch werden werden und die anonyme Nutzung von Angeboten unmöglich werden wird, sei es der Abruf von Verwaltungsinformationen oder der Einkauf im Internet. Im Internet wird eine Identifizierung mit Personalausweis viel öfters gefordert werden als im „wirklichen“ Leben; auf diese Weise verändert sich unsere Gesellschaft. Unter die Räder kommt dabei, dass es durchaus legitime Gründe geben kann, einem Versandhaus nicht seinen wirklichen Namen anzuvertrauen, etwa wenn die bestellte Ware eigene Krankheiten oder auch sexuelle Aktivitäten betrifft.
    • Wenn kostenlose Dienste zur Anmeldung unnötig Namen und Adresse abfragen, konnte man sich bisher dagegen schützen, indem man falsche Angaben machte. Künftig wird dies nicht mehr möglich sein.
    • Bislang genügte es vollauf, seine Daten bei der Behörde in ein Formular einzutragen und vielleicht seinen Ausweis vorzuzeigen. Es ist nicht erforderlich, die Daten direkt, zeichengenau und womöglich noch mit der Ausweisnummer in den Behördencomputer einzulesen. Genau dies wird künftig der Fall sein und einen übergreifenden Datenabgleich ungleich leichter machen.
    • Wie sich im Fall von Bank- und Kreditkarten zeigt, ist es zudem nur eine Frage der Zeit, bis elektronische Personalausweise von Straftätern kopiert werden (Identitätsdiebstahl), um im Namen des Opfers im Internet Unheil anzurichten. In den USA führt derartiges regelmäßig zu falschen Verdächtigungen und Festnahmen. Die vermeintliche Sicherheit der Identifikation ist keine, wie schon die verbreitete Weitergabe von ec-Karten-PINs zeigt.
    • Der Plan wird wohl bereits daran scheitern, dass zur Verwendung dieser Funktionen Lesegeräte für jeden PC erforderlich wären. Ähnliche Versuche beim Online-Banking und im „elektronischen Rechtsverkehr“ sind weitgehend gescheitert. Auch ein elektronischer Personalausweis wird hoffentlich schlichtweg nicht genutzt werden. In anderen Ländern sind vergleichbare Dokumente unbekannt und auch nicht erforderlich.
• So sieht ein echter Selbstdatenschutz aus:
  • Überflüssige Fragen im Internet nicht oder nicht richtig beantworten.
  • Wenn eine E-Mail-Adresse angegeben werden muss, anonyme Wegwerfadressen verwenden.
  • Angebote von US-amerikanischen Firmen und aus anderen Staaten ohne Datenschutz vermeiden.
• Deswegen brauchen Unternehmen und Behörden kein staatliches Verfahren zur Authentifizierung via Internet:
  • Bei kostenpflichtigen Leistungen muss nur die Zahlung sicher gestellt werden, nicht auch die Identität. Die Zahlung kann anonym über Vorkasse oder anonyme Online-Bezahldienste (z.B. Paysafecard) anonym erfolgen. Bei nachträglicher Zahlung kann mit Einwilligung des Kunden eine Bonitätsauskunft eingeholt werden.
  • Kommt es auf die Identität des Nutzers an, kann dieser auf verschiedene Weise authentifiziert werden:
    • durch Anforderung einer Unterschrift per Post oder Fax
    • durch Erhebung einer Bank- oder Kreditkartenverbindung
    • durch das PostIdent-Verfahren
    • durch eine persönliche Registrierung unter Vorzeigen eines Ausweisdokuments

2. Dialog "Das Internet als Mehrwert erhalten"

(noch keine Einladung)

3. Dialog "Staatliche Angebote im Internet"

(noch keine Einladung)

4. Dialog "Schutz der Bürger vor Identitätsdiebstahl und sonstiger Kriminalität im Internet"

(noch keine Einladung)