- Anzeigen -

Sie sind hier: Home » Markt » Hinweise & Tipps

Kein Verzicht auf Verschlüsselung


HTTPS wird zunehmend verpflichtender Standard: Abmahnungen bei fehlendem Datenschutz
EV-SSL Zertifikate machen Websites rechts- und damit abmahnsicher

- Anzeigen -





Daten sind längst zum Unternehmenswert geworden: Wer sie speichert und richtig verarbeitet, kann mit ihrer Hilfe werben und seine Gewinne steigern. Diese Relevanzsteigerung hat aber eine Konsequenz zur Folge: Wer Daten will, muss sie auch schützen. Selbst wer keinen Online-Shop, sondern lediglich eine Info-Site mit Kontaktformular unterhält, ist in der Pflicht, dem Datenschutz einen hohen Stellenwert einzuräumen.

Die Ergebnisse einer Searchmetrics-Analyse, weltweit führender Anbieter einer Search- und Content-Performance-Plattform, lässt da bei IT-Sicherheitsexperte Christian Heutger die Alarmglocken schrillen: Nur 12 Prozent der E-Commerce- und Publisher-Seiten in Googles Suchergebnissen kommunizieren per HTTPS mit dem Browser. Nur etwas besser sieht es bei den Finanz- und Reise-Websites aus: Hier setzen immerhin 29 und 23 Prozent auf eine HTTPS-Verbindung.

"Das sind schockierende Zahlen. Denn werden Daten, zum Beispiel bei einem Bestellvorgang im Online-Shop, unverschlüsselt übertragen, können sie von Dritten erfasst und ausgelesen werden. Dabei müssen sich Internetanbieter nicht erst seit gestern an eine ganze Reihe von Gesetzen halten, darunter das IT-Sicherheitsgesetz, das Telemediengesetz sowie das Bundesdatenschutzgesetz – und bald auch die EU-Datenschutz-Grundverordnung. Unternehmen, die angesichts dieser rechtlichen Gegebenheiten entspannt auf Verschlüsselung verzichten, haben die Bedeutung von Datenschutz noch nicht verinnerlicht", so Christian Heutger, Geschäftsführer der PSW Group.

Insbesondere das IT-Sicherheitsgesetz enthält in diesem Zusammenhang die Pflicht, personenbezogene Daten entsprechend dem Stand der Technik zu schützen. Zwar enthält es keine direkte Pflicht zur Verschlüsselung, aber die Verschlüsselung wird nahegelegt und ist die wohl einzige praktikable Maßnahme, dem gesetzlich vorgeschriebenen Datenschutz zu entsprechen.

"Die Konsequenzen bei Unterlassen sind drastisch: Wer Datenschutz nicht ernst nimmt, dem drohen Abmahnungen. Verbraucherschutz- und Wettbewerbsverbände, Anwälte sowie Behörden suchen nach Verstößen, um diese abzumahnen", warnt Heutger. Zu diesen Verstoß-suchenden Behörden gehört unter anderem das Bayerische Landesamt zur Datenschutzaufsicht (BayLDA). Das BayLDA hat den Auftrag, das Einhalten des Datenschutzrechts in privaten Wirtschaftsunternehmen, bei Freiberuflern, im Web, bei Vereinen sowie bei Verbänden zu prüfen. Bereits seit Anfang 2016 untersucht die Behörde Websites auf unverschlüsselte Kontaktformulare. Aus der mit Inkrafttreten des IT-Sicherheitsgesetzes geänderten Gesetzeslage ergibt sich jedoch, dass nun auch Abmahnungen bei Sites ohne Kontaktformulare folgen könnten: Tatsächlich wird https zunehmend als ein verpflichtender Standard verstanden und alle geschäftsmäßig orientierten Online-Dienste müssen auf anerkannte Verschlüsselungsverfahren setzen.

Der Verzicht auf Verschlüsselung kann aber auch wirtschaftlich mehr als unvernünftig sein, denn Google straft konsequent mit schlechterem Ranking in den Ergebnislisten ab. Und auch die Warnhinweise der Browser, wie etwa "Verbindung ist nicht sicher", machen mehr als deutlich sichtbar, wenn eine Website oder ein Shop nicht durch ein SSL-Zertifikat geschützt ist. "Mein Rat ist deshalb: Bevor sich die Datenschutzbehörde meldet oder ein Mitbewerber zu einer Abmahnung greift, sollten Wirtschaftsunternehmen auf ihrem Server Extended Validation (EV-) Zertifikate einbinden", so Christian Heutger.

Extended Validation ist die höchstmögliche Validierungsstufe: die Zertifizierungsstellen prüfen die Identität des Antrag stellenden Unternehmens sehr umfassend. Voraussetzung für ein solches "Anti-Abmahn-Zertifikat" ist ein Eintrag in ein öffentliches Register, wie das Handels- oder Vereinsregister sowie in einem öffentlichen Verzeichnis. Die Zertifizierungsstelle Comodo beispielsweise nutzt das Verzeichnis upik.de zur Verifikation der Telefonnummer, um anschließend den Validierungsanruf beim Antrag stellenden Unternehmen durchzuführen.

"EV-Zertifikate sind also nicht binnen weniger Minuten ausgestellt, sondern bedingen eine ausführliche Prüfung der Unternehmensidentität. Das hat den Hintergrund, dass die bestätigte Identität in die URL einfließt, denn EV-Zertifikate sind die einzigen, die die Adressleiste im Browser grün färben. Der Unternehmensname steht noch vor dem "https" und Websitebesucher können sich so sicher sein, dass die Website tatsächlich die ist, die sie erreichen wollten", erklärt Heutger. EV SSL-Zertifikate von Comodo gibt es bei PSW Group bereits ab 129 Euro pro Jahr. Andere namhafte Zertifizierer sind beispielsweise auch SwissSign, GeoTrust und thawte. (PSW Group: ra)

eingetragen: 20.08.17
Home & Newsletterlauf: 12.09.17

PSW Group: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hinweise & Tipps

  • Was ändert sich für Anbieter von Online-Inhalten?

    Im Urlaub die Lieblingsserie weiterschauen oder die Musikplaylist auf Reisen abspielen - eine neue EU-Verordnung macht dies jetzt für viele Nutzer möglich. Wer in Deutschland kostenpflichtige Streamingdienste für etwa Musik, Videos oder auch Fernsehangebote abonniert hat, konnte seine Inhalte zumeist nur innerhalb Deutschlands abrufen. Das ändert sich ab dem 1. April 2018. Dann kann jeder Nutzer seinen abonnierten Online-Dienst ohne Zusatzgebühren für einen beschränkten Zeitraum auch im EU-Ausland nutzen - Bezahldienste sind dann verpflichtet, dies möglich zu machen. "Für Nutzer bedeutet diese Änderung einen großen Komfortgewinn", sagt Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung für Recht und Sicherheit. "Es darf keine Rolle spielen, ob ein Verbraucher aus Berlin, Rom oder Paris auf seine abonnierten Inhalte zugreift." Bitkom gibt Antworten auf die wichtigsten Fragen zu den neuen Regeln.

  • Prüfung von Google Assistant und Amazon Alexa

    Der Google Assistant, der Sprachassistent von Google, versteht so manches falsch: Das zeigt eine aktuelle technische Prüfung des Marktwächter-Teams der Verbraucherzentrale NRW. So reagiert er auch auf Begriffe, die dem Aktivierungswort ähnlich sind und auf starke Abwandlungen. Zudem hatte sich Google in der Vergangenheit offen gehalten, nach eigener Einschätzung Auskunftsanfragen von Nutzern zu gespeicherten Daten abzulehnen. Daher hat das Marktwächter-Team Google abgemahnt. Mit Erfolg: Die unzulässige Bestimmung wurde gestrichen. Neben Googles Sprachassistenten prüften die Marktwächter-Experten abermals Amazons Alexa. Auch in der aktuellen technischen Prüfung hat Amazons Alexa wieder auf Wörter reagiert, die dem Aktivierungswort ähneln. Dabei wurden dieses Mal Wörter gewählt, die nicht Teil des kürzlich veröffentlichten Marktwächter-Reaktions-Checks waren. So reagiert Amazons Sprachassistent etwa auch auf "Alexandra" (für "Alexa"), "Gecko" (für "Echo") und "Ham wa schon" (umgangssprachlich "Haben wir schon" statt "Amazon"). Und er kann sogar völlig willkürlich reagieren.

  • Kontoauszüge und ihre Aufbewahrung

    Viele Verbraucher nehmen sich jetzt einen "Frühjahrsputz" ihrer Finanz-Unterlagen vor. Eine wichtige Frage dabei ist jedes Jahr: Wie lange müssen Kontoauszüge eigentlich aufbewahrt werden? Die Antwort: Eine einheitliche Frist oder Verpflichtung für Verbraucher, Kontoauszüge aufzubewahren, gibt es nicht. Denn gesetzlich sind Privatpersonen nicht verpflichtet, Zahlungsbelege aufzubewahren. Eine Ausnahme sind Handwerker- oder Dienstleistungsrechnungen, die ein Grundstück betreffen. Diese Belege müssen generell zwei Jahre archiviert werden. Wer einen Gärtner oder eine Reinigungskraft als haushaltsnahe Dienstleistung steuerlich absetzen will, muss die entsprechenden Kontoauszüge mindestens so lange aufbewahren, bis der Steuerbescheid eingeht und die Einspruchsfrist abgelaufen ist.

  • Tückische Fragen beim Jobinterview

    Erste Hürde geschafft: Das persönliche Vorstellungsgespräch steht bevor. Obwohl sich Bewerber akribisch auf das Jobinterview mit dem Unternehmen vorbereiten, kommen oftmals tückische Fragen, die den Kandidaten aus der Bahn werfen. Mit diesen sogenannten Fangfragen testen Personaler die Reaktion des Bewerbers in Stresssituationen. Gleichzeitig dienen sie dazu, hinter vorab einstudierte Antworten zu blicken, um zu erkennen, welche Charaktereigenschaften Interessierte besitzen und welche Karriereziele sie verfolgen. "Dabei kommt es nicht auf die perfekte Antwort an, sondern vielmehr darauf, wie souverän und selbstsicher sich Bewerber aus der Situation befreien", weiß Oliver Kerner, professioneller Vertriebstrainer, Speaker und Coach aus Bremen und Gründer von OK-Training. Im Folgenden gibt der Experte typische Beispiele für passende Antwortmöglichkeiten auf kniffelige Fragen.

  • Wo flexible Abrechnungsmodelle helfen können

    Datenbanken und Datenbankmanagementsysteme (DBMS) gehören heute zu den Kernsystemen für fast jedes Unternehmen. Die Lizenz- und Supportkosten für diese Systeme sind jedoch nicht gerade Peanuts und verschärfen die ohnehin angespannte Budgetsituation in IT-Abteilungen zusätzlich. Auch die mit den Lizenzverträgen einhergehende Hersteller-Abhängigkeit ist für viele Anwender zu einem Ärgernis geworden: Allein unter Oracle-Kunden denkt laut DOAG jeder Dritte über eine Ablösung der Datenbank nach. TmaxSoft, Spezialist für Cloud-, Infrastruktur- und Legacy-Modernisierung, erläutert, worauf Entscheider beim Datenbank-Wechsel achten sollten und zeigt die Vorteile einer flexiblen Datenbank-Lizenzierung auf.