BMI-Netzpolitik

Aus Freiheit statt Angst!

Version vom 17:34, 1. Jan. 2010

Das Bundesinnenministerium und der Beauftragte der Bundesregierung für Informationstechnik bieten vier Dialogveranstaltungen unter dem Titel "Perspektiven Deutscher Netzpolitik" an:

1. Datenschutz und Datensicherheit im Internet (18.01.2010)
2. Das Internet als Mehrwert erhalten
3. Staatliche Angebote im Internet
4. Schutz der Bürger vor Identitätsdiebstahl und sonstiger Kriminalität im Internet

Ein Mitglied des AK Vorrat ist zu dem ersten, bereits feststehenden Termin eingeladen. Einladung, Tagesordnung und Teilnehmerliste finden sich hier.

Auf dieser Seite sammeln wir Positionen, die in den Gesprächen ggf. angesprochen werden können.

1. Dialog "Datenschutz und Datensicherheit im Internet" (18.01.2010)

Das Gespräch ist in zwei Diskussionsrunden mit den folgenden "Leitfragen" gegliedert:

1. Herausforderungen der Informationsgesellschaft hinsichtlich Datenschutz und Datensicherheit im Internet
   1. Welche Anreize können Gesellschaft/Politik/Gesetzgeber setzen, um den Datenschutz im Internet und den Selbstdatenschutz zu verbessern?
      1. "Der Staat kann mit gutem Beispiel vorangehen statt ständig an der Umgehung und Aufweichung von Datenschutz zu arbeiten. Die Verabschiedung eines Arbeitnehmerdatenschutzgesetztes könnte so ein Signal sein.Letztendlich wird die Trennung zwischen Internet und Nicht-Internet immer geringer." --Vinci 15:59, 1. Jan. 2010 (CET)
   2. Welche Mittel können Provider und Diensteanbieter den Bürgern an die Hand geben, um ihre Daten und ihre IT besser zu schützen (Spamfilter, Virenschutz...)?
   3. Wie können Datensicherheit, Datensparsamkeit, Zweckbindung und Transparenz beim Umgang mit personenbezogenen Daten technisch unterstützt werden?
      1. Datenschutz und Transparenz sind wie Feuer und Wasser. Deshalb ist Transparenz im Umgang mit Daten nicht zu unterstützen.--Sailer 18:15, 1. Jan. 2010 (CET)
      2. Datensicherheit und Datensparsamkeit sind zu unterstützen sowie deren Zweckbindung.--Sailer 18:17, 1. Jan. 2010 (CET)
   4. Wie können Datenschutz und Datensicherheit von gehosteten Angeboten (Cloud-Computing) sichergestellt werden?
      1. Ist wie ich meine Aufgabe der Anbieter und sollte von Datenschützern überprüft werden müssen.--Sailer 18:17, 1. Jan. 2010 (CET)
   5. Wie kann eine faire Aufgabenverteilung zwischen Staat, Anbietern und Bürgern bei der Datensicherheit aussehen?
      1. Der Staat könnte aufhören die Bürger gläsern zu gestalten. Das heißt Den neuen Persoalausweis nicht einführen, die Steuer-ID wieder abschaffen. Anbieter und Bürger könnten dann selbst entscheiden welche Form der sicheren Identifizierung sie wählen um online Geschäfte zu machen. Dem Staat iat es bisher auch ohne Steuer-ID, RFID und Online-Verifizierung gelungen seine staatlichen Pflichten zu erfüllen.
      2. Einsparungen können an anderer Stelle vorgenommen werden (z.B. Bankversagen nicht gleich Staatsschulden) . --Sailer 17:56, 1. Jan. 2010 (CET)
2. Handlungsoptionen der Politik

• • • Datenschutz durch Datensparsamkeit.--Sailer 17:56, 1. Jan. 2010 (CET)

1. 1. Wie kann durch die Anpassung des Datenschutzrechts der Datenschutz im Internet gefördert werden?
      1. Aufweichungen des Datenschutzrechtes dürfen hier nicht zugelassen werden. --Sailer 17:59, 1. Jan. 2010 (CET)
   2. Welche Rollen können einer Stiftung Datenschutz zukommen?
      1. Sie könnte professionelle, geprüfte, hauptamtliche Datenschützer ausbilden.--Sailer 18:02, 1. Jan. 2010 (CET)
   3. Wie können De-Mail und elektronischer Personalausweis als Angebote für besseren Selbstdatenschutz eingesetzt werden?
      1. Überhaupt nicht. Das widerspricht sich gegenseitig.
      2. De-Mail ist a. nicht duchsetzbar. b. hat keine Vorteile zum Selbstdatenschuz. c. macht den Bürger gläsern und wiedersprich somit dem Datenschuz.
      3. Der elektronische Perso macht Menschen eindeutig identifizierbar. Es können eindeutige Bewegungs- und Verhaltensprofile angelegt werden (von staatlicher und nicht-staatlicher Seite) gegen solche Maßnamen ist der Bürger nach Einführung des neuen Perso machtlos, er kann es nicht verhindern. Er kann sich nicht selbst davor schützen. Es ist also im Zusammenhang mit den elektronischen Peronalausweis ein Selbstdatenschuz nicht möglich. Daher gehört er abgeschafft bzw. nicht eingeführt.--Sailer 18:02, 1. Jan. 2010 (CET)
   4. Welche Rolle kann das BSI übernehmen, um die Datensicherheit im öffentlichen und nicht-öffentlichen Bereich zu fördern?
      1. Das BSI könnte fordern und es für notwendig erkennen, professionell ausgebildete Datenschützer im öffentlichen und nicht -öffentlichen Bereich einzusetzen. Z.B. könnte gesetzlich gefordert werden, ab einer Betriebs- zzw Organisationsgröße von x Mitarbeitern und y Kundenkontakten ist ein fester professionell ausgebildeter Datenschützer einzustellen.
      2. Bei kleineren Organisationen ist ein professionell ausgebildeter Datenschützer Stundenweise zu beschäftigen, die Dauer ist abhängig von der Organisationsgröße und deren Kundenkontakten. --Sailer 18:02, 1. Jan. 2010 (CET)

Bitte tragt eure Ideen zu diesen Fragen hier ein:

1. Herausforderungen der Informationsgesellschaft hinsichtlich Datenschutz und Datensicherheit im Internet

In seiner Einladung spricht der Bundesinnenminister die folgenden PudAnkte an:

• Zahlreiche Datenskandale in der Wirtschaft zeigten, dass die Datensicherheit defizitär sei, weil Unternehmen und Bürger zu sorglos mit persönlichen Daten umgingen

-> Der Sachverhalt muss konkret benannt werden: Der Umgang mit Daten wird immer schlampig sein, wichtig ist daher, erstens nicht viele Daten zu erheben (Datensparsamkeit!) und zweitens qualitätsgeprüfte Berechtigungskonzepte zu haben. Beispiel: Es ist ein Unding, dass jeder Arbeitsamt-Beschäftigte bundesweit auf jeden Schauspieler, der Hartz-4 Empfänger ist, zugreifen kann. Jeder im Arbeitsamt hatte Mark Medlock aufgerufen als er DSDS gewann. -> Viel wichtiger als die Zugriffskontrolle ist die Frage was überhaupt gespeichert werden darf und für wie lange! Im Moment werden überall viel zu viele Daten wahllos gespeichert. Der Zugriff auf die Daten ist immer erst der zweite Schritt! Wie kann es sein, dass so etwas wie die Paybackkarte in Deutschland überhaupt erlaubt ist!? Insgesamt muss das Erfassen von Daten viel stärker limitiert werden, denn offensichtlich ist der Bürger damit teilweise überfordert und benötigt den Schutz durch den Staat. Warum darf ein Unternehmen "Kundendaten" über einen längeren Zeitraum speichern u.s.w.

• • Desshalb meine Forderung wie oben schon erwähnt, professionell ausgebildete hauptamtliche Datenschützer in die Unternehmen und Behörden.--Sailer 18:21, 1. Jan. 2010 (CET)
• Die Bürger seien mit dem Schutz ihrer IT und ihrer Kommunikation überfordert. Sie seien auf die Hilfe von Staat oder Providern angewiesen. De-Mail und elektronischer Personalausweis könnten eine sichere Kommunikation gewährleisten.

-> Der Schutz liegt nicht im Identifizieren bei Benutzung der Datenautobahn, sondern genau umgekeht, in der weiterhin anonymen Nutzung der Autobahn. Erst das Identifizieren ermöglicht das Tracken und damit die Preisgabe von Daten.

• • Die Behauptung:"Die Bürger seien mit dem Schutz ihrer IT und ihrer Kommunikation überfordert. Sie seien auf die Hilfe von Staat oder Providern angewiesen. De-Mail und elektronischer Personalausweis könnten eine sichere Kommunikation gewährleisten." Ist vollkommen falsch. Warum wird hier vorher richtig beschrieben.--Sailer 18:26, 1. Jan. 2010 (CET)

1.1. Welche Anreize können Gesellschaft/Politik/Gesetzgeber setzen, um den Datenschutz im Internet und den Selbstdatenschutz zu verbessern?

pab:

• finanzielle Anreize
  • positiv: Förderung datenschutzfreundlicher Mechanismen
  • negativ: Abmahn- und Haftungsrisiken von Datenschutzverstößen erhöhen
• Information
  • positiv: Information über Datenschutzmechnismen
  • negativ: vergleichende Bewertung des Datenschutzniveaus ("Stiftung Datentest")

Erstmal: In Frage stellen, ob der Staat das überhaupt kann: Der Staat ist ggf auch nicht in der Lage, Siehe Datenspeicherung Google: Hier sollte es Quaero mit den Franzosen geben. Wurde nicht möglich und dann umbeannt in Thesus, mit 15 Millionen gefördert, aber immer noch keine alternative Suchmaschine. Zweitens: Die angesprochenen Datenlecks beziehen sich auf Arbeitnehmerdaten und Kundendaten. Bei Kundendaten hat das Unternehmen ggf einen Imageschaden, was bei Lidl oder Kick aber keinen Effekt hatte. Daher: IT-Manager persönlich haften lassen. Bei Arbeitnehmerdaten die Geschäftsführung persönlich haftend machen.

1.2. Welche Mittel können Provider und Diensteanbieter den Bürgern an die Hand geben, um ihre Daten und ihre IT besser zu schützen (Spamfilter, Virenschutz...)?

pab:

• Datenschutzfreundliche Voreinstellungen für Dienste und Software.
• Datenschutzfreundliche Zusatzfunktionalitäten (Plugins) für Standardsoftware.
• Bundling, z.B.:
  • E-Mail-Anbieter könnten ein Verschlüsselungspaket für Standard-E-Mail-Software bereit stellen
  • Internet-Zugangsanbieter könnten eine Anonymisierungsoption anbieten, bei welcher der gesamte Datenverkehr verschlüsselt über einen nicht auf Vorrat speichernden Anonymisierungsdienst geleitet wird

• Verwendung von quellenoffener Software fördern (gegen Spyware, ...) --Vinci 16:03, 1. Jan. 2010 (CET)

-> Das Problem des Providers ist, dass er jede meiner Seiten oder Emails speichert, was ich wann wo gelesen habe. das Vordringlichste Problem ist die Vorratsdatenspeicherung. Sie muss weg. Wenn ich ein Zeitung durchblättere, sind meine Augen geschützt, niemand sieht, welchen Artikel ich lese oder welche Anzeige ich ansehen. Beim Internet Provider kann der Admin alles sehen und auswerten, auch nach Marketingoptionen, die z.B. bei einigen Providern (z.B: envacom.de) sogar in den AGB stehen.

1.3. Wie können Datensicherheit, Datensparsamkeit, Zweckbindung und Transparenz beim Umgang mit personenbezogenen Daten technisch unterstützt werden?

pab:

• Kommerzielle informationstechnische Produkte dürfen nicht so voreingestellt sein, dass der Verwender gegen deutsches Datenschutzrecht verstößt.
• Es geht auch hier über den wichtigen Weg der Datensparsamkeit. Und wenn Daten erhoben werden, muss dem Kunden eine baldige Löschung mit DATUM mitgeteilt werden.

1.4. Wie können Datenschutz und Datensicherheit von gehosteten Angeboten (Cloud-Computing) sichergestellt werden?

Dieses geht nicht und wenn Nutzer meinen Googlemail zu nutzen, dann stellen Sie ihre Daten in das Archive der Serverfarm ein. Auch das ist eine Cloud. Es gibt zentrale und dezentrale Clouds. Es geht nicht nur um SETI, verteiltes Rechnen für die Krebsforschung, sondern um die Serverfarm google.

1.5. Wie kann eine faire Aufgabenverteilung zwischen Staat, Anbietern und Bürgern bei der Datensicherheit aussehen?

pab:

• Der Staat könnte die Durchführung von Datenschutz-Audits durch Gewährung von Steuervorteilen fördern. Mittelfristig kann sich dies für den Staat lohnen, weil ein verstärkter Selbstschutz auf Seiten der Wirtschaft die Eingriffsbehörden entlastet.
• Die Einführung einer Pflichtversicherung für gewerblich betriebene, an das Internet angeschlossene Informationssysteme kommt in Betracht, zumal sich die Auswirkungen von Netzkriminalität oft auf Vermögensschäden beschränken. Im Bereich der Arbeitsunfälle hat das deutsche Pflichtversicherungssystem zu einer enormen Steigerung des Sicherheitsbewusstseins geführt, was für die Effektivität einer möglichen Pflichtversicherung auch auf dem Gebiet der Telekommunikationsnetze spricht. Gegen Wirtschaftskriminalität waren 2003 erst etwa ein Drittel der deutschen Unternehmen versichert^[1].
• Im Bereich national wichtiger Informationssysteme ist die Einführung einer klassischen verwaltungsrechtlichen Genehmigungspflicht mit anschließender Überwachung der Computersysteme denkbar, um sicherzustellen, dass die Systeme nach dem Stand der Technik geschützt sind. Die Überwachung ließe sich turnusmäßig wie im Bereich der Kfz-Überwachung oder stichprobenartig wie bei der Lebensmittelüberwachung gestalten.
• Weiterhin sind Mitarbeiter von Unternehmen und Behörden eine wichtige Informationsquelle, die sich nutzen lässt, indem man eine Möglichkeit zur anonymen Erteilung von Hinweisen auf Sicherheitslücken bereit stellt. Eine starke Einbindung der Beschäftigten ist auch angesichts der Tatsache sinnvoll, dass ein Großteil der Schäden durch Computerkriminalität auf Mitarbeiter des geschädigten Unternehmens zurückzuführen ist^[2]. Gerade Missbräuche innerhalb des eigenen Unternehmens lassen sich durch interne Maßnahmen relativ leicht feststellen und unterbinden^[3].
• Die Anzahl der Fälle von Kreditkartenmissbrauch ließe sich durch die Förderung günstiger, sicherer und einfacher anonymer, bargeldloser Zahlungssysteme im Internet erheblich reduzieren.

• Audit reicht nicht, alle Fälle sind durch die Medien an das Tageslicht gekommen, es muss eine strafrechtliche Verfolgung der Datenmissbräuche mit persönlicher haftung in hoher Geldsumme und Gefängnis der Geschäftsführer und IT-Administratoren her. Hierzu muss der Staat ein Strafgesetz schaffen.

1. ↑ ^{PricewaterhouseCoopers, Wirtschaftskriminalität 2003 (I).}
2. ↑ ^{Symantec, Symantec Internet Security Threat Report (I), 5 und Seiten 168-169.}
3. ↑ ^{Symantec, Symantec Internet Security Threat Report (I), 5.}

2. Handlungsoptionen der Politik

2.1. Wie kann durch die Anpassung des Datenschutzrechts der Datenschutz im Internet gefördert werden?

pab:

1. Für den Bereich des Telemedienrechts kann unser langjähriges Forderungspapier zitiert werden. Da hierfür das BMI nicht zuständig sind, sollten wir anregen, auch den Bundeswirtschaftsminister einzuladen.
2. Für den Bereich des Bundesdatenschutzgesetzes gibt es die folgenden Vorschläge:
   1. Klarstellung, dass Datenschutzbestimmungen auch dem Schutz eines fairen Wettbewerbs dienen. Die Einhaltung des Datenschutzrechts ist wettbewerbsrelevant, weil sich hiergegen verstoßende Unternehmen im Wettbewerb mit datenschutzkonform arbeitenden Konkurrenten einen unlauteren Vorteil durch Rechtsbruch verschaffen. Bisher sind die Gerichte in Deutschland der Meinung, dass Datenschutzvorschriften nicht wettbewerbsschützend seien. Das Wettbewerbsrecht ist aber ein effizientes, unbürokratisches und erfolgreiches Rechtsdurchsetzungsinstrument, das auf den Bereich des Datenschutzes erstreckt werden sollte.
   2. Einführung einer Herstellerhaftung für den Fall, dass unsichere Produkte zu Datenschutzverletzungen führen (Produkthaftung). Im Softwarebereich wäre es sinnvoll, die Produkthaftung von Herstellern informationstechnischer Produkte auf Vermögensschäden zu erstrecken, die dadurch entstehen, dass ein Produkt nicht wirksam (Stand der Technik) vor Computerattacken oder Datenverlust geschützt ist. Dann würden Softwarehersteller für die Folgen ihrer Sicherheitslücken („Bugs“) haften, die schon oft für Verluste persönlicher Daten und von Betriebsgeheimnissen gesorgt haben. Das Haftungsrecht ist ein sehr effizientes Rechtsdurchsetzungsinstrument, wie sich etwa im Bereich der Arbeitssicherheit gezeigt hat. Es sollte auch für den Datenschutz nutzbar gemacht werden.
   3. Verschuldensunabhängige Haftung für Datenschutzverletzungen mit pauschaler Entschädigungssumme. Die Datenverarbeiter sollten den von Datenpannen Betroffenen auch für immaterielle Schäden haften (z.B. Sorge um einen möglichen Missbrauch ihrer Daten infolge einer Datenpanne), und zwar verschuldensunabhängig. Ein Regelwert für den immateriellen Schaden sollte festgelegt werden (z.B. 200 Euro pro Person). Entschädigungszahlungen wegen Datenpannen könnte der für die Verarbeitung Verantwortliche dann vom Hersteller ersetzt verlangen (siehe oben), wenn ein unsicheres Produkt für den Schaden verantwortlich ist. Begründung: Durch die Einführung einer Haftung für Datenpannen samt pauschaler Entschädigungssummen wären große Datenverarbeiter gezwungen, sich gegen Datenschutzverletzungen zu versichern. Durch die Versicherungsprämie hätten sie ein eigenes finanzielles Interesse daran, die Schadenswahrscheinlichkeit zu senken. Auf dem Gebiet der Unfallversicherung hat ein solches System bereits zu einem drastischen Rückgang der Zahl der Arbeitsunfälle geführt.
   4. Privacy by design: Kommerzielle informationstechnische Produkte dürfen nicht so voreingestellt sein, dass der Verwender gegen deutsches Datenschutzrecht verstößt. Begründung: Computerprodukte müssen mit einer sicheren und datensparsamen Grundeinstellung ausgeliefert werden. Dies ist derzeit leider bei den – vorherrschenden – amerikanischen Produkten nicht der Fall, weil es in den USA bekanntlich im privaten Bereich keinerlei Datenschutzgarantien gibt. Kommerziellen Anbietern informationstechnischer Produkte ist es jedoch zumutbar, Produkte für den europäischen Markt mit datenschutzkonformen Voreinstellungen auszuliefern. Es ist auch gesamtwirtschaftlich sinnvoller, wenn der Hersteller sein Produkt rechtskonform gestaltet als wenn sämtliche Abnehmer das Produkt erst rechtskonform umgestalten müssen.
   5. Maßnahmen zur Gewährleistung der Datensicherheit müssen dem Stand der Technik entsprechen. Begründung: In den letzten Monaten sind immer wieder schwerwiegende Datenpannen mit Millionen von Betroffenen bekannt geworden, die hätten vermieden werden können, wenn die Verarbeitungssysteme auf dem Stand der Technik gewesen wären (z.B. durch Anwendung von Updates).
   6. Den Kunden eines Unternehmens könnte ein Auskunftsanspruch bezüglich der vorhandenen Sicherheitsmechanismen zum Schutz ihrer Daten eingeräumt werden.

2.2. Welche Rollen können einer Stiftung Datenschutz zukommen?

-> Wichtig ist, dass diese Stiftung nicht eine einzelne neue Institution ist, sonst kann man sie schnell wieder abschaffen, daher idealerweise integrieren in stiftung warentest oder: den verein CCC e.v. mit einer Stiftung versehen. Hier sind die richtigen Leute.

pab:

1. Als Vorbedingung muss die Stiftung finanziell und organisatorisch unabhängig von Unternehmen und Staat sein. Die Satzung der Stiftung Warentest kann nur bedingt als Vorbild verwendet werden, weil diese Stiftung - anders als die Stiftung Datenschutz - keine staatlichen Angebote testet. Die Stiftung sollte vom Deutschen Bundestag errichtet werden und nicht von der Exekutive. Die Stiftung Warentest verfügt derzeit über ein Stiftungskapital von 22 Mio. Euro; dies sollte auch für eine Stiftung Datentest machbar sein.
2. Hauptaufgabe der Stiftung soll der "Datentest" (analog "Warentest") sein. Die Stiftung sollte verschiedene Anbieter einer Leistung vergleichen im Hinblick auf die Menge der erhobenen Daten, die Datenverwendung und -weitergabe (etwa ins Ausland oder zu Werbezwecken), die Löschungsfristen und die Datensicherheit. Man sollte auch den öffentlichen Bereich nicht ausnehmen. Beispielsweise könnten die Datenschutzvorkehrungen bei verschiedenen Arbeitsagenturen verglichen werden. Verbraucher können heutzutage realistischerweise nicht überblicken, was einzelne Anbieter mit ihren Daten machen. Wenn es eine „Stiftung Datentest“ gäbe, könnten Verbraucher sich ausgehend von deren Urteil ("gut" oder "unbefriedigend") leicht für ein datenschutzfreundliches Produkt entscheiden. Hersteller würden schon präventiv für mehr Datenschutz sorgen, um eine Empfehlung zu erzielen und schlechte Publicity zu vermeiden.
3. Die Stiftung könnte daneben die Aufgabe erhalten, zivilgesellschaftliche Aktionen zur Verbesserung des Datenschutzes und auch die wissenschaftliche Überwachungsforschung finanziell zu unterstützen (z.B. Aufklärungsaktionen wie die 'Freiheitsredner'). Mittel hierfür gibt es bisher kaum.
4. Nach dem Vorbild des Verbraucherzentrale-Bundesverbands könnte der Stiftung ferner die Aufgabe übertragen werden, gegen Datenschutzverletzungen zu klagen. Dies würde eine Verbandsklagebefugnis im Bereich von Verletzungen des Rechts auf informationelle Selbstbestimmung bedingen, die daneben auch Verbraucher- und Datenschutzvereinen verliehen werden sollte.

2.3. Wie können De-Mail und elektronischer Personalausweis als Angebote für besseren Selbstdatenschutz eingesetzt werden?

pab:

• De-Mail
  • Von der Benutzung kann nur abgeraten werden.
    • Aufgrund der Architektur von De-Mail fließen alle Daten und Kontakte auf die Person rückführbar an einer zentralen Stelle zusammen; die Verwendung mehrerer, nicht in Verbindung zu bringender Identitäten ist nicht möglich. Ein übergreifendes Konto für sämtliche Kontakte ermöglicht eine Verknüpfung ganz unterschiedlicher Dateien. Wo viele Informationen zusammenlaufen, droht viel Missbrauch, geschehen viele Pannen und kann viel überwacht werden.
    • Der nicht rückverfolgbare Versand von Nachrichten ohne Absenderangabe, wie ihn die Post ermöglicht, steht hier nicht zur Verfügung.
    • Stattdessen wird jeder Kontakt über die De-Mail-Adresse und jeder Zugriff auf das Postfach aufgezeichnet und sechs Monate lang auf Vorrat gespeichert (§ 113a TKG).
    • Die hinterlegten persönlichen Daten des Nutzers sind für eine Vielzahl von Sicherheitsbehörden und Geheimdiensten unter nichtigen Voraussetzungen anforderbar (§ 113 TKG), die Identität hinter einer De-Mail-Adresse ist für über 1.000 Personen und Stellen in einem Onlineverfahren abrufbar (§ 112 TKG).
    • Schließlich wird De-Mail zurzeit wohl von der Deutschen Telekom AG betreut, die Daten ihrer Kunden zweckentfremdet und verloren hat wie wohl kein anderes deutsches TK-Unternehmen.
    • De-Mail ist insgesamt das Gegenteil von sicherer und vertraulicher Kommunikation.
    • Besonders falsch ist die Zielsetzung des Projekts: "Sie machen die nicht-anonyme und sichere elektronische Kommunikation zum Normalfall". Nur anonyme Kommunikation ist sicher vor missbräuchlicher Aufdeckung des Kontakts.
• Elektronischer Personalausweis
  • Von der Benutzung kann nur abgeraten werden.
    • Es braucht wenig Fantasie, um vorherzusehen, dass die zunächst freiwilligen Identifizierungsverfahren nach und nach obligatorisch werden werden und die anonyme Nutzung von Angeboten unmöglich werden wird, sei es der Abruf von Verwaltungsinformationen oder der Einkauf im Internet. Im Internet wird eine Identifizierung mit Personalausweis viel öfters gefordert werden als im „wirklichen“ Leben; auf diese Weise verändert sich unsere Gesellschaft. Unter die Räder kommt dabei, dass es durchaus legitime Gründe geben kann, einem Versandhaus nicht seinen wirklichen Namen anzuvertrauen, etwa wenn die bestellte Ware eigene Krankheiten oder auch sexuelle Aktivitäten betrifft.
    • Wenn kostenlose Dienste zur Anmeldung unnötig Namen und Adresse abfragen, konnte man sich bisher dagegen schützen, indem man falsche Angaben machte. Künftig wird dies nicht mehr möglich sein.
    • Bislang genügte es vollauf, seine Daten bei der Behörde in ein Formular einzutragen und vielleicht seinen Ausweis vorzuzeigen. Es ist nicht erforderlich, die Daten direkt, zeichengenau und womöglich noch mit der Ausweisnummer in den Behördencomputer einzulesen. Genau dies wird künftig der Fall sein und einen übergreifenden Datenabgleich ungleich leichter machen.
    • Wie sich im Fall von Bank- und Kreditkarten zeigt, ist es zudem nur eine Frage der Zeit, bis elektronische Personalausweise von Straftätern kopiert werden (Identitätsdiebstahl), um im Namen des Opfers im Internet Unheil anzurichten. In den USA führt derartiges regelmäßig zu falschen Verdächtigungen und Festnahmen. Die vermeintliche Sicherheit der Identifikation ist keine, wie schon die verbreitete Weitergabe von ec-Karten-PINs zeigt.
    • Der Plan wird wohl bereits daran scheitern, dass zur Verwendung dieser Funktionen Lesegeräte für jeden PC erforderlich wären. Ähnliche Versuche beim Online-Banking und im „elektronischen Rechtsverkehr“ sind weitgehend gescheitert. Auch ein elektronischer Personalausweis wird hoffentlich schlichtweg nicht genutzt werden. In anderen Ländern sind vergleichbare Dokumente unbekannt und auch nicht erforderlich.
• So sieht ein echter Selbstdatenschutz aus:
  • Überflüssige Fragen im Internet nicht oder nicht richtig beantworten.
  • Wenn eine E-Mail-Adresse angegeben werden muss, anonyme Wegwerfadressen verwenden.
  • Angebote von US-amerikanischen Firmen und aus anderen Staaten ohne Datenschutz vermeiden.
• Deswegen brauchen Unternehmen und Behörden kein staatliches Verfahren zur Authentifizierung via Internet:
  • Bei kostenpflichtigen Leistungen muss nur die Zahlung sicher gestellt werden, nicht auch die Identität. Die Zahlung kann anonym über Vorkasse oder anonyme Online-Bezahldienste (z.B. Paysafecard) anonym erfolgen. Bei nachträglicher Zahlung kann mit Einwilligung des Kunden eine Bonitätsauskunft eingeholt werden.
  • Kommt es auf die Identität des Nutzers an, kann dieser auf verschiedene Weise authentifiziert werden:
    • durch Anforderung einer Unterschrift per Post oder Fax
    • durch Erhebung einer Bank- oder Kreditkartenverbindung
    • durch das PostIdent-Verfahren
    • durch eine persönliche Registrierung unter Vorzeigen eines Ausweisdokuments

2.4. Welche Rolle kann das BSI übernehmen, um die Datensicherheit im öffentlichen und nicht-öffentlichen Bereich zu fördern?

pab:

• Zuallererst sollte es von der verfassungswidrigen Befugnis zur Surfprotokollierung nach § 5 BSIG keinen Gebrauch machen.

• das BSI hat auch gewarnt gegen Google Chrome und seien Tracking ID. Dieses Warnfunktion und das Testen von Internetangeboten oder Empfehlungen dazu zu geben wäre sinnvoll. Beratungsfunktion erhöhen indem mehr Pressemitteilungenzu ausgewählten Internetprodukten und deren Sicherheit gegeben wird.

2. Dialog "Das Internet als Mehrwert erhalten"

(noch keine Einladung)

3. Dialog "Staatliche Angebote im Internet"

(noch keine Einladung)

• hier geht es nicht nur um Webseiten der staatlichen Institutionen, sondern die Frage ist, wo wirtschaftliche Unternehmen ein Monopol haben, das der Staat ausgleichen muss. Siehe Beispiel Suchmaschine Google im Beeich Suchen und Scannen von Büchern. Hier müssen die staatlichen bibliotheken elektronische Bücher archivieren und der Staat muss auch was für eine Suche der Internetseiten tun, wie es Quaero getan hat, z.B. könnte jede Buildungsinstiution bzw. jede staatliche Webseite per Gesetz verpflichtet werden, am yacy suchnetz teilzunehmen.

4. Dialog "Schutz der Bürger vor Identitätsdiebstahl und sonstiger Kriminalität im Internet"

(noch keine Einladung)