- Anzeigen -

Datenverlust hat nichts mit Safe Harbour zu tun


Safe Harbor: Ratlosigkeit durch EuGH-Urteil, aber kein Grund zur Panik
Die Angst ist nur teilweise berechtigt, denn manche amerikanische Anbieter garantieren, dass die Daten nicht den Kontinent verlassen - So klagt beispielsweise Microsoft in letzter Instanz gegen die Herausgabepflicht nach dem Patriot Act für Daten aus Rechenzentren außerhalb der USA

Von Jörg Mecke ist Geschäftsbereichsleiter Business Productivity bei Fritz & Macziol

(04.11.15) - Das neue Urteil des Europäischen Gerichtshofes führt bei vielen Unternehmen zu einer Geisteshaltung zwischen einer selbsterfüllenden Prophezeiung und Ratlosigkeit. Die Spionage-Möglichkeiten der NSA machen den Menschen Angst und viele fragen sich, was eigentlich richtig und was falsch läuft. Der EuGH stellt jetzt fest, dass es falsch ist, die amerikanischen Rechenzentren (genauer: die Rechenzentren auf amerikanischen Boden) als sicheren Datenspeicherungsort gelten zu lassen. Dabei haben alle großen US-Anbieter auch Rechenzentren in Europa oder sogar in Deutschland. Vielfach sorgen sie aber für eine Datenspiegelung in andere Rechenzentren in der Welt, um mit dieser so genannten "Geo-Redundanz" die Systeme maximal ab Ausfall des primären Rechenzentrums durch Feuer, Sturm oder anderen höheren Gewalten abzusichern. Das ist gut für die Verfügbarkeit, die Kunden können aber die Datenspeicherung nicht mehr nachvollziehen.

Doch die Angst ist nur teilweise berechtigt, denn manche amerikanische Anbieter garantieren, dass die Daten nicht den Kontinent verlassen. So klagt beispielsweise Microsoft in letzter Instanz gegen die Herausgabepflicht nach dem Patriot Act für Daten aus Rechenzentren außerhalb der USA. Der Verlust der Datenhoheit soll so minimiert werden und Microsoft versucht mit der Klage eine Vorreiterrolle der vertrauensvollen Cloud-Anbieter zu erlangen. Andere machen es vielleicht zurückhaltender oder gar nicht, um Kunden nicht auf potentielle Probleme hinzuweisen. Wo was läuft, das sollte klar sein, sobald ein Anbieter die Auftragsdatenvereinbarung für Applikationen, Datenbanken oder ganze virtuelle Maschinen herausgibt. Denn schon vor dem Urteil galt eine besondere Sorgfaltspflicht. Jetzt ist die Unsicherheit jedoch wieder gestiegen, da die bisherigen Unternehmensentscheidungen für die Cloud durch den geänderten Rechtsrahmen wieder in Frage gestellt werden.

Die Skeptiker der Transformation von einer handwerklichen Datenverarbeitung zu einer industriell-automatisierten Informationstechnologie bekommen nun Wasser auf ihre Mühlen, obwohl sich nicht viel ändert. Die Angst vor der Veränderung ist noch größer als die Angst vor dem Datenverlust. Denn auch der Datenverlust hat nichts mit Safe Harbour zu tun. Wenn Geheimdienste sich etwa auf Internetknoten schalten, sind die Daten für sie einfacher zu verarbeiten, als wenn sie einen Rechenzentrumsanbieter um Datenherausgabe "bitten". Die Hysterie sollte sich in Grenzen halten. Datenverschlüsselung nach neuesten Standards gilt als sicher und sollte jederzeit und unabhängig von Safe Harbour und Patriot Act genutzt werden. Denn es geht nicht darum, den technologischen Wandel zu verteufeln, sondern diesen Wandel unter den herrschenden Bedingungen selbst zu gestalten. Schließlich gibt es alternativ auch attraktive deutsche Anbieter mit deutschen Rechenzentren, die nur nach deutschem Recht arbeiten.

Wer seine Daten umziehen will, sollte den Aufwand genau abschätzen: Während virtuelle Maschinen recht einfach und unkompliziert migriert werden können, wird es bei Applikationen schwieriger. Fritz & Macziol empfiehlt den Kunden aktuell, die gebotene Gelassenheit aus mehreren Gründen zu bewahren:

1. Zunächst bedarf es einer Reaktion der Europäischen Kommission zur Neuregelung des Datenverkehrs. Die Politik ist in der Pflicht und arbeitet bereits an einer europäischen Datenschutzgesetzgebung.
2. Der bisher gewählte Anbieter kann möglicherweise auf eine europäische Datensicherung verpflichtet werden.
3. Der Einsatz amerikanischer Software in europäischen Rechenzentren ist vom Urteil überhaupt nicht betroffen.

Die Datenschutzbeauftragten des Bundes und der Länder haben hierzu Handreichungen veröffentlicht, die eine verständliche und neutrale Lösungsansätze für Interessierten bieten, die dann mit dem gewählten Dienstleister in die Praxis überführt werden können. (Fritz & Macziol: ra)

Fritz&Macziol: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Für Verbraucher ein erhöhtes Risiko

    Soll das Screen Scraping als Fallback-Option im Rahmen der EU-Richtlinie über Zahlungsdienste (Payment Services Directive 2; PSD2) erlaubt werden? Die Fido Alliance hat die Diskussionen zu diesem Thema zwischen der Europäischen Kommission (EC) und der Europäischen Bankenaufsichtsbehörde (EBA) aufmerksam verfolgt, insoweit sie die Regularien der technischen Standards (RTS) für eine starke Kundenauthentifizierung unter PSD2 betrifft. Ich habe Kernpunkte der Antwort der Fido Alliance auf diese Frage folgend zusammengefasst. Unter "Screen Scraping" versteht man die Praxis, Zahlungsauslösediensten (Payment Initiation Service Provider; PISP) und Kontoinformationsdiensten (Account Information Service Providers; AISP) im Auftrag des Kunden Zugriff auf Bankkonten zu gestatten und dabei den Nutzernamen und die Passwort-Informationen des Kunden zu nutzen, was laut endgültigem RTS-Entwurf der EBA nicht erlaubt ist.

  • Gesundheitsrisiken vermeiden: Jede Minute zählt

    Nach dem internationalen so genannten "Eier-Skandal" und als Lehre aus weiteren Lebensmittelverunreinigungen der Vergangenheit hat die EU nun angekündigt, ihr Schnellwarnsystem bei Warenrückrufen zu optimieren. Eine Reaktion seitens der Behörden sei längst überfällig, findet Miriam-Carena Schmitt, Retail-Expertin beim Informationslogistiker Retarus: "Laut den Verbraucherschützern von foodwatch e.V. wurden in Deutschland in den vergangenen fünf Jahren in mehr als 500 Fällen bedrohliche Lebensmittel zurückgerufen. Dies entspricht durchschnittlich mindestens zwei Warenrückrufaktionen pro Woche. Nach europäischem Recht ist an erster Stelle der Lebensmittelunternehmer dafür verantwortlich, die Verbraucher vor Schäden durch unsichere oder gesundheitsschädliche Lebensmittel zu schützen. Anders als früher werten Verbraucher heutzutage vorsorgliche Produktrückrufe sogar als Zeichen verantwortlichen Handelns der Hersteller.

  • Die Musterfeststellungsklage muss kommen

    Auf die Einführung einer Musterfeststellungsklage konnte sich die Große Koalition nicht verständigen. Spitzenpolitiker verschiedener Parteien haben im aktuellen Bundestagswahlkampf signalisiert, dass das Thema auch aus ihrer Sicht drängt. Warum der vzbv die Einführung einer Musterklage auch von einer neuen Bundesregierung mit Nachdruck fordern wird, erläutert Klaus Müller, Vorstand des vzbv. "Nach der Bundestagswahl muss die Musterfeststellungsklage schnell umgesetzt werden. Wir brauchen keine Klageindustrie, sondern einfachen Rechtsschutz für Verbraucher. Rechtsschutz für Verbraucher darf nicht von hohen Provisionszahlungen im Erfolgsfall an Anwaltsplattformen abhängen.

  • Compliance beim Beschäftigtendatenschutz

    Unternehmen verstoßen nicht gegen §32 Bundesdatenschutzgesetz, wenn sie einen Mitarbeiter wegen eines auf Tatsachen gegründeten Verdachts einer schwerwiegenden Pflichtverletzung von einem Detektiv überwachen lassen. Das hat das Bundesarbeitsgericht in Erfurt (2 AZR 597/16) in einem Kündigungsschutzverfahren entschieden und ein anders lautendes Urteil des Landesarbeitsgerichts Baden-Württemberg aufgehoben. Tim Wybitul, Partner bei Hogan Lovells in Frankfurt und Experte für Beschäftigtendatenschutz, teilt dazu mit: "Das Bundesarbeitsgericht stellt klar: Datenschutz ist nicht Täterschutz. Dieses Grundsatzurteil schließt Hintertüren für Straftäter. Wer Arbeitsunfähigkeit vortäuscht und weiter Lohn bekommt, begeht Arbeitszeitbetrug. Das ist eine Straftat. Die Richter machen praxisgerechte Vorgaben zum Beschäftigtendatenschutz."

  • Nachschlüssel für TLS-verschlüsselte Verbindungen

    Die Arbeiten am neuen Verschlüsselungsprotokoll TLS 1.3. sind so gut wie beendet und TLS 1.3 ist kurz davor in die Standardisierungsphase zu gehen. Ausgerechnet jetzt streiten jedoch Gegner und Befürworter über einen möglichen "Nachschlüssel" für TLS-verschlüsselte Verbindungen in Rechenzentren. Während des 99. IETF-Meetings in Prag kam ein Entwurf auf den Tisch, der als Erweiterung für TLS 1.3 eingesetzt werden soll und das Einsetzen des Verschlüsselungsprotokolls in Rechenzentren beschreibt. Konkret geht es um einen Entwurf zu Data Center use of Static Diffie-Hellman in TLS1.3 und wie das von TLS 1.3 geforderte Diffie-Hellman-Verfahren so degradiert werden kann, dass ein passives Netzwerk-Monitoring möglich ist. "Das ist eine reine Abhörmaßnahme, die da im Standard festgeschrieben werden würde. Mit ihrem sehr knappen Voting dagegen hat die IETF dem aber einen Riegel vorgeschoben. Denn das vorgeschlagene Prinzip würde das Krypto-Verfahren Perfect Forward Secrecy einfach aushebeln", kritisiert Christian Heutger, Geschäftsführer der PSW Group.