Datenschutzrisiken in der digitalen Kommunikation

A. E-Mails als Sicherheits- und Datenschutzproblem

I. E-Mail – ein technischer Dinosaurier

0. Technische Funktion der E-Mail

Bei der Versendung und dem Empfang einer E-Mail sind in der Regel zwei Mail-Clients und zwei Mail-Server involviert.

Mail-Clients sind Programme, mit denen E-Mails formuliert, verschickt, empfangen und gelesen werden können. Verbreitet sind MS Outlook und Thunderbird. Einige Mail-Server gestatten außerdem den Zugriff mit einem Browser. Bekannte Anbieter sind GMX oder Google. In diesen Fällen übernimmt der Browser die Funktion als Mail-Client.

Die Mail-Server befinden sich hingegen bei Providern, Rechenzentren oder bei großen Organisationen.

Sie haben primär folgende technische Aufgaben:

• Sie nehmen E-Mails von Mail-Clients entgegen.
• Sie leiten ausgehende E-Mails an die Mail-Server der Empfänger weiter.
• Sie speichern eingehende E-Mails, bis sie vom Empfänger abgerufen werden.

1. Die E-Mail im analogen Zeitalter

E-Mails existieren seit den Anfängen des Internets. Ursprünglich wurden Daten nur im reinen Textformat (ASCII-Format/Plain-Text) übertragen. Webseiten wurden in HTML dargestellt, und Diskussionen in Newsgroups erfolgten ebenfalls rein textbasiert.

In den frühen Tagen der Telekommunikation waren analoge Datenübertragungen mit maximal 28.800 Bit/s Standard. Erst durch die Digitalisierung des Telefonnetzes mit ISDN und später DSL wurde die Übertragung größerer Datenmengen möglich. Heutige Internetverbindungen sind mindestens 250-mal schneller als analoge Anschlüsse damals.

Die Kombination aus Internet und Mobilfunktechnologie leitete das digitale Zeitalter ein. Von den damals gängigen Kommunikationsformen (E-Mail, Newsgroups, SMS, ICQ, Mailboxen) hat sich einzig die E-Mail dauerhaft etabliert.

Sicherheitsstandards waren in der frühen Internetkommunikation kaum vorhanden. Bedrohungen beschränkten sich vor allem auf Viren. Datenschutz spielte eine untergeordnete Rolle.

2. Die E-Mail im digitalen Zeitalter

Mit dem digitalen Zeitalter wurden Sicherheitsstandards eingeführt. Verschlüsselte Übertragung ist heute üblich – auch für E-Mails.

Früher wurden E-Mails komplett unverschlüsselt übertragen. Authentifizierung diente nur dazu, sicherzustellen, dass ein berechtigter Nutzer auf sein Postfach zugreifen kann. Heute wird der Transport von E-Mails zwischen Server und Client verschlüsselt (Transportverschlüsselung per STARTTLS). Diese Methode schützt E-Mails während der Übermittlung vor unbefugtem Zugriff, verhindert jedoch nicht das Speichern unverschlüsselter E-Mails auf Servern.

II. E-Mail als Sicherheitsproblem

1. Fehlende End-to-End-Verschlüsselung

Falls Sender und Empfänger keine End-to-End-Verschlüsselung (E2EE) verwenden, liegen die E-Mails in der Regel unverschlüsselt auf den Mail-Servern. Dort bleiben sie oft lange gespeichert, bis sie manuell gelöscht werden. Je nach Serverkonfiguration kann auch der Mail-Server des Absenders Kopien aufbewahren.

E2EE konnte sich in der Praxis nicht durchsetzen. Daher sind E-Mails auf Mail-Servern in der Regel unverschlüsselt in Postfach-Dateien (mbox-Dateien) oder als einzelne Mail-Dateien in Maildir-Verzeichnissen abgelegt. Unverschlüsselt bedeutet, dass diese Dateien als einfache Textdateien (plain-text) auf einer Festplatte liegen.

Plain-Text-Dateien sind über einfache Konsolen-Befehle auslesbar und weiterverarbeitbar. Die Dateien können mit jedem Editor, z.B. vi(m), pico, nano, (x)emacs und mit den Befehlen less und cat gelesen werden. Mit dem Befehl cat können Inhalte von Dateien in andere Dateien – das kann auch eine andere Postfach-Datei sein – eingefügt werden. Mit dem Befehl grep können die durch cat erzeugten Datenströme nach Zeichenketten / Wörtern durchsucht werden. Ein kurzes und einfaches Script-Programm genügt, um eine solche Postfach-Datei nach Schlagwörter zu durchsuchen. Mit oder ohne Script lassen sich per cp auch Kopien anfertigen. Je nach ( mangelhafter ) Konfiguration lassen sich die Kopien auch über die Konsole als Mail oder per ftp verschicken.

2. Datenschutz- und Sicherheitsprobleme

Vier Prinzipien der DSGVO werden durch unverschlüsselte E-Mails direkt oder indirekt verletzt:

• Integrität und Vertraulichkeit: Die fehlende Verschlüsselung gewährleistet nicht die Vertraulichkeit.
• Speicherbegrenzung: Daten sind weiterhin identifizierbar, auch wenn sie nicht mehr benötigt werden.
• Zweckbindung und Datenminimierung: Daten, die in falsche Hände geraten, werden zweckentfremdet genutzt.
  
• 3. Gefahrenquellen

Sachbearbeitung: Personenbezogene Daten werden unverschlüsselt per E-Mail versandt oder beim Erhalt nach der Bearbeitung nicht gelöscht.

IT-Abteilung: Mangelhaft konfigurierte, gewartete und beaufsichtigte Server können Sicherheitslücken verursachen. Mitarbeiter können Postfächer unberechtigt einsehen, Scripte zur automatisierten Datensammlung implementieren oder Kopien von den Postfächern versenden.

Externe Angriffe: Phishing-Mails, Man-in-the-middle-attack ( MITM ), Schadsoftware, Ransomware, und Hackerangriffe bedrohen die Datensicherheit im Unternehmen.

4. Risikobewertung

a. Tragweite

Weil die wirtschaftlichen Folgen von Datenschutzverstößen immens sein können (siehe unten), ist eine Risikobewertung unumgänglich.

b. Risiken in der Sachbearbeitung

Ein Unternehmen muss gemäß Art. 35 DSGVO einschätzen, wie hoch das Risiko ist, dass persönliche Daten per E-Mail unverschlüsselt versandt und empfangen werden. Das gilt erst recht, wenn Daten der besonderen Kategorie nach Art. 9 DSGVO verarbeitet werden.

c. Risiken durch Wirtschaftskriminalität

Kriminelle Angreifer handeln regelmäßig aus rein wirtschaftlichen Motiven. Die Verletzung der Datensicherheit und des Datenschutzes sind lediglich Mittel zum Zweck.

Das Schadensvolumen von mehr als 200 Milliarden Euro in Deutschland zeigt, dass die Bedrohungen und Risiken beachtlich sind.

Umfangreiche Datendiebstähle der letzten Monate – zum Beispiel 500 Millionen Daten alleine bei Facebook – und der damit verbundene Datenhandel sind offensichtlich lukrativ.

Die Daten werden später für Phishing- oder Ransomware-Mails verwendet, die ihrerseits einen Großteil des Schadenvolumens ausmachen.

Darüber hinaus bestehen Risiken durch klassische Wirtschaftsspionage oder -sabotage.

d. Risiken durch politische Kriminalität

Weil die hybride Auseinandersetzung im internationalen Umfeld zunimmt, müssen Unternehmen analysieren, inwieweit ein Datenverlust gesellschaftliche und politische Auswirkungen hat und im Interesse von Feindstaaten sein könnte.

III. Haftung für Verstöße gegen Datenschutz und -sicherheit

1. Vertragliche Haftung

Im Falle von schuldhaftem Verhalten haften Unternehmen gegenüber ihren Vertragsparteien immer.

• Vertragsparteien schulden gegenseitig Datenschutz und
  Datensicherheit als Nebenpflicht, § 242 BGB.
• Datenschutz und Datensicherheit können darüber hinaus als Haupt- oder Nebenleistungspflicht in Verträgen geregelt sein, § 631 BGB.
• Die Vertragsparteien haften nach § 278 BGB für Verstöße ihrer Subunternehmen oder Mitarbeiter.
• Ist eine Vertragspartei durch das Verschulden eines Subunternehmens betroffen, dann haftet das Subunternehmen vertraglich gegenüber diesen als Auftragnehmer, aber nicht gegenüber die andere Vertragspartei, die den unmittelbaren Schaden hat.
• Ist eine Vertragspartei durch das Verschulden eines Arbeitnehmers betroffen, haftet der Arbeitnehmer arbeitsvertraglich nur im Falle grober Fahrlässigkeit oder Vorsatz unbegrenzt und nur gegenüber seinem Arbeitgeber. Der Arbeitnehmer haftet darüber hinaus nur eingeschränkt, wenn unter Berücksichtigung seines Sorgfaltsverstoßes und der Art seiner Tätigkeit ein erhebliches Verschulden vorliegt.

2. Deliktische Haftung

Nach Art. 82 DSGVO haften im Falle des Verschuldens alle Verantwortlichen unmittelbar gegenüber den Geschädigten, also auch Mitarbeiter oder Subunternehmer.

„Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde.“

Allerdings haftet jeder Verantwortliche nur für sein eigenes Verschulden. Im Gegensatz zum allgemeinen Deliktsrecht, § 823 BGB, müssen die Verantwortlichen vollumfänglich darlegen und beweisen, dass sie kein Verschulden trifft.

„Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.“

3. Haftung nach Ordnungsrecht

Die Verantwortlichen müssen gemäß Art. 83 Abs. 4 und 5 DSGVO zusätzlich mit Strafen in Höhe von bis zu 20 Millionen EURO oder 4 Prozent des Vorjahresumsatzes rechnen. Beim Strafmaß soll neben dem Verschulden die Abschreckung und die Wirksamkeit der Strafe berücksichtigt werden.

4. Strafrechtliche Haftung

Datenlecks können auf verbotene Handlungen Dritter oder Unbefugter beruhen. Dazu gehören:

• § 202a StGB: Ausspähen von Daten
• § 202b StGB: Abfangen von Daten
• § 202c StGB: Vorbereitung solcher Taten
• § 202d StGB: Datenhehlerei

Datenschutzverstöße können bei bestimmten Berufsgruppen ebenfalls Straftaten darstellen. Gemeinhin ist bekannt, dass Ärzte, Apotheker und Rechtsanwälte einer besonderen Schweigepflicht bezüglich anvertrauter Privatgeheimnisse unterliegen, §§ 203, 204 StGB. Weniger bekannt ist, dass dies auch für Angehörige von privaten Kranken-, Unfall- oder Lebensversicherungen gilt.

5. Reputationsschäden

Neben den materiellen und immateriellen Schäden, die sich aus den Datenschutzverstößen ergeben, kommen Reputationsschäden hinzu. Ein Unternehmen verliert seine Glaubwürdigkeit, wenn besonders sensible Daten in die Öffentlichkeit geraten.

IV. Datenschutzkonforme Organisation der E-Mail-Korrespondenz

1. Grundvoraussetzung für den Datenschutz ist die Datensicherheit.

Aktuelle Fälle von Datenverlusten zeigen, dass die Fehler häufig in der Administration der Informationstechnik oder in der verwendeten Software liegen.

Aus Spezialisierungs- und Haftungsgründen ergibt es häufig Sinn, die Informationstechnik für Internetdienstleistungen in Rechenzentren auszulagern.

Die Rechenzentren sollten ihren Standort in der EU oder in einem Rechtsstaat mit einer ähnlich strengen Datenschutzgesetzgebung haben.

In Werkverträgen können die Anforderungen an Datenschutz und Datensicherheit, die fachliche und persönliche Qualifizierung der Mitarbeiter, die Vermögensschadensabsicherung und die Qualitätssicherung geregelt werden.

2. Eingangsverschlüsselung

Wenig verbreitet und kaum bekannt ist die Möglichkeit, alle eingehenden E-Mails zu verschlüsseln. Nur wenige Mail-Provider bieten diese Option an. Tatsächlich gibt es diese Erweiterung für dovecot.

3. Reduzierung der Gefahren durch unverschlüsselte E-Mails.

Aus Gründen des Datenschutzes sollten die Workflows verschlüsselt erfolgen. Es sollte sichergestellt werden, dass E-Mails oder sonstige Daten den Workflow verschlüsselt verlassen.

Eingehende und unverschlüsselte E-Mails sollten im Sinne der Datenminimierung und Datenkontrolle zügig bearbeitet und nach der Bearbeitung auf dem Mail-Server sofort gelöscht werden, zumal das Zeitfenster für einen möglichen Datendiebstahl so auch massiv reduziert wird.

B. Datenschutz mit Messenger

0. Vorwort

Messenger gelten hinsichtlich des Datenschutzes als unzuverlässig. Allerdings gibt es auch gute und sichere Messenger.

Messenger haben jedoch insgesamt den Nachteil, dass Gesprächsverläufe unübersichtlich sind. Im Gegensatz zur E-Mail haben Messenger keine Betreffzeilen. Darüber hinaus verleiten die sie zu Sprachnachrichten, die schlecht weiterzuverarbeiten oder zu archivieren sind.

Beim geschäftlichen Gebrauch von Messengern gelten im Übrigen die gleichen DSGVO-Regelungen wie beim Gebrauch von E-Mails. Es muss eine Erlaubnis bestehen, persönliche Daten verarbeiten zu dürfen.

I. WhatsApp

Dieser Messenger steht im Ruf, Daten vom Mobiltelefon in die USA zu transferieren.

Im Gegensatz zur E-Mail verfügt er über eine Ende-zu-Ende-Verschlüsselung. Das gilt auch für die Telefonate. Die Nachrichten sind lediglich zwischen den Kommunizierenden les- und hörbar.

Der Messenger generiert jedoch Metadaten über die Nutzung des Mobil-Telefons. Weil sich über die Metadaten auch Aufschlüsse über das Verhalten anderer Personen ergeben, ist WhatsApp nicht unproblematisch.

Der Zugriff auf die Kontakte kann über die Telefonsystemeinstellungen unterbunden werden.

II. Telegram

Ähnlich wie bei der E-Mail ist hier die Kommunikation nicht Ende-zu-Ende-verschlüsselt. Die Nachrichten werden auf unbekannten Servern an unbekannten Orten gespeichert. Was mit den Daten geschieht, ist völlig unklar.

III. Signal

Signal dürfte die beste Alternative zur E-Mail darstellen. Es ist DSGVO-konform und weist zugleich die gleiche Funktionalität wie WhatsApp auf. Allerdings werden die Inhalte nicht auf Servern gespeichert, sondern ausschließlich auf den Endgeräten der Nutzer.

C. Cloud

Nicht jeder nutzt Messenger und nicht jeder möchte darüber Daten transferieren. Alternativ bietet es sich an, Kommunikationspartnern einen Zugang zu einer verschlüsselten Cloud über einen Browser zu gewähren. Der Vorteil von E-Mails, auf die Daten von überall zugreifen zu können und sie strukturiert abzulegen, kann auch durch die Cloud gewährleistet werden.