Datenschutz und
informationstechnische Sicherheit
bei PCs

Zur Inhaltsübersicht der PC-Broschüre

2.

Was ist grundsätzlich zu wissen und zu beachten?

2.1 Worüber wird in dieser Broschüre gesprochen?

Vorangestellt werden hier eine Reihe von Begriffen, die mehr oder weniger intuitiv in den allgemeinen Sprachgebrauch eingeflossen sind, dabei aber an der notwendigen Schärfe verloren haben. Zu den Begriffen, die in den Datenschutzgesetzen definiert werden, wird auf die jeweiligen datenschutzrechtlichen Bestimmungen verwiesen [Es handelt sich dabei um folgende Begriffe: personenbezogene Daten, Daten, Datei, Akte, Datenverarbeitung, Erheben, Speichern, Verändern, Übermitteln, Sperren, Löschen, Nutzen, Anonymisieren von Daten, speichernde bzw. datenverarbeitende Stelle. Die Begriffe sind in § 3 BDSG und/oder § 4 BlnDSG beschrieben].

2.1.1 Systeme

2.1.2 Rechtmäßigkeit und Sicherheit der Datenverarbeitung

2.1.3 Grundtechniken der IT-Sicherheit

2.2 Wann stehen Datenschutz- und IT-Sicherheitsfragen in einem PC-Projekt an?

Wenn Verfahren der Datenverarbeitung eingerichtet oder wesentlich verändert werden, die für die Aufgabenerfüllung von Organisationen wichtig sind, von denen gar das Leben oder die Gesundheit von Menschen bzw. die wirtschaftliche Existenz oder der gesellschaftliche Status von Personen oder Organisationen abhängt, sind mehr oder weniger starke und wirksame Maßnahmen für die informationstechnische Sicherheit der eingesetzten Systeme erforderlich.

Wenn es um die Verarbeitung personenbezogener Daten geht, sind die Datenschutzgesetze zu beachten, die für die jeweilige Organisation gelten. Auch sie enthalten Regelungen, die die Sicherheit der Datenverarbeitung tangieren, die also nicht nur den Inhalt der Datenverarbeitung betreffen, sondern auch den technischen Zustand der Systeme und deren organisatorisches Umfeld.

Maßnahmen zur Herstellung informationstechnischer Sicherheit und des technischen und organisatorischen Datenschutzes überschneiden sich, der Unterschied liegt in der Zielsetzung.

Datenschutz und IT-Sicherheit sind in die Planungsphase eines IT-Projektes einzubeziehen, je früher, desto besser. Datenschutzfreundliche Technologien zeichnen sich dadurch aus, daß sie auf personenbezogene Daten ganz oder teilweise verzichten bzw. daß weite Bereiche (Sphären) der informationstechnischen Systeme mit pseudonymisierten Daten arbeiten, deren unvorhergesehene Kenntnisnahme durch Dritte die informationelle Selbstbestimmung nicht tangiert. Solche Überlegungen gehören an den Anfang eines Projektes und können hohen Kosten für Sicherheitsmaßnahmen vorbeugen. Will man solchen Ideen folgen oder will man der Sicherheit der Datenverarbeitung einen hohen Stellenwert einräumen, dann gehört in jedes Pflichtenheft die Forderung nach einem umfassenden IT-Sicherheitskonzept und nach Vorschlägen zu seiner Umsetzung. Je später im Projekt IT-Sicherheit und Datenschutz eine Rolle spielen, desto teurer, aber wirkungsärmer werden die Nachbesserungen.

Aus diesem Gedanken heraus enthalten die Datenschutzgesetze z.T. Regelungen, die die frühzeitige Unterrichtung der internen und/oder externen Datenschutzkontrollinstanzen fordern:

Der betriebliche Datenschutzbeauftragte privater Organisationen ist gem. § 37 Abs.1 Satz 3 Nr.1, 2.Halbsatz BDSG über Vorhaben der automatisierten Datenverarbeitung rechtzeitig zu unterrichten.

Da die zitierte Vorschrift durch die Verweisung in § 19 Abs.5 BlnDSG auch für behördliche Datenschutzbeauftragte der Berliner öffentlichen Stellen gilt, sind auch diese rechtzeitig über Vorhaben der automatisierten Datenverarbeitung in ihrem Hause zu unterrichten.

Gem. § 24 Abs.3 Satz 3 BlnDSG ist auch der Berliner Datenschutzbeauftragte von allen öffentlichen Stellen des Landes über die Einführung neuer Automationsvorhaben zu informieren. Diese Vorschrift soll sicherstellen, daß der Berliner Datenschutzbeauftragte so rechtzeitig Gelegenheit erhält, Hinweise und Empfehlungen zu geben, daß sie noch im Projekt berücksichtigt werden können.

Die Rechnungshöfe des Bundes und der Länder verlangen ebenfalls eine frühzeitige Unterrichtung zu informationstechnischen Vorhaben.

Für die öffentlichen Stellen des Landes Berlin gilt Nummer 8 der Mindestanforderungen der Rechnungshöfe des Bundes und der Länder zum Einsatz der Informationstechnik - IT-Mindestanforderungen 1991 - Fassung: Berlin - vom 16.Juli 1992. Dort werden umfassende Unterrichtungspflichten definiert. Insbesondere ist der Rechnungshof „unverzüglich über den Beginn und über den Abschluß oder Abbruch jedes IT-Verfahrens schriftlich zu unterrichten", und es sind bestimmte Dokumentationsunterlagen bereitzuhalten. Bei IT-Verfahren im Bereich des Haushaltswesens sind die meisten dieser Unterlagen sogar mit der schriftlichen Unterrichtung mitzusenden. Die Terminplanung solcher Projekte hat für den Rechnungshof und die Senatsverwaltung für Finanzen einen angemessenen Zeitraum zur Auswertung und Beurteilung zu berücksichtigen.

Ebenfalls für die Berliner öffentlichen Stellen gilt für Verfahren im Rahmen der allgemeinen Verwaltungstätigkeit, für die also das Berliner Informationsverarbeitunggesetz (IVG) [Gesetz über die Informationsverarbeitung bei der allgemeinen Verwaltungstätigkeit (Informationsverarbeitungsgesetz - IVG) vom 9.Oktober 1992 (GVBl. S. 305), zuletzt geändert durch das Haushaltsstrukturgesetz 1997 vom 12.März 1997 (GVBl. S. 69, 81)] anzuwenden ist, gemäß § 4 IVG, daß „vor der Entscheidung über den Einsatz oder die wesentliche Änderung eines automatisierten Verfahrens der allgemeinen Verwaltungstätigkeit" zu prüfen ist, „ob und in welchem Umfang mit der Nutzung der Informationstechnik Gefahren für die Rechte der Betroffenen oder für die Funktionsfähigkeit der Verwaltung verbunden sind. Automatisierte Verfahren dürfen nur eingesetzt oder wesentlich geändert werden, soweit derartige Risiken durch technische oder organisatorische Maßnahmen wirksam beherrscht werden können. Die Entscheidung trifft der Leiter der die Informationstechnik einsetzenden Stelle. Er unterrichtet den Berliner Datenschutzbeauftragten über die Entscheidung".

2.3 Welche Besonderheiten beeinflussen beim PC die Sicherheit?

PC heißt „personal computer", also persönlicher Computer.

Er ist daher ursprünglich so konzipiert worden, daß er den Bedürfnissen jener einzelnen Person genügt, welche ihn benutzen soll oder will. Er ist somit auch mit allem ausgestattet, was ein vollständiger Computer benötigt, der jedoch nur einen bestimmten Benutzer hat. Seine Sicherheit wird dadurch bestimmt, wie dieser Benutzer ihn schützt, ob er ihn im verschlossenen Raum betreibt, ob er die Benutzung durch andere verhindert, wie er mit den Datenträgern umgeht - alles bleibt der Verantwortung des einzigen Benutzers überlassen.

Wenn ein persönlicher Computer jedoch als unpersönlicher Computer eingesetzt wird, er also mehrere Benutzer haben soll oder kann, dann funktioniert die ursprüngliche einfache Sicherheitsphilosophie nicht mehr: Es müssen zusätzliche Maßnahmen getroffen werden, meist solche, die im Verhältnis zum billigen Computer teuer sind und/oder die ursprünglich so bequeme Benutzung verkomplizieren.

Die Besonderheiten:

Wie wird IT-Sicherheit beim PC-Einsatz sichergestellt?