Datenschutz wurde und wird in Deutschland und Europa großgeschrieben. Mit dem Inkrafttreten der europäischen Datenschutzgrundverordnung (DS-GVO) im Mai 2016 und der verpflichtenden Anwendung ab Mai 2018 werden Unternehmen vor neue Herausforderungen gestellt. Es handelt sich hierbei um eine europäische Verordnung, welche direkt in allen Mitgliedsstaaten gilt. Es bedarf also keines nationalen Umsetzungsgesetzes. Die Regelungen des geltenden Bundesdatenschutzgesetzes (BDSG) werden durch die Regelungen der Verordnung ersetzt.
Man könnte nun sagen, dass sich nicht viel ändert. Allerdings findet in einigen Bereichen eine Verschärfung bestehender Regeln statt. Eine wesentliche Änderung stellen mögliche Geldbußen für Verstöße dar. Beim BDSG lag die Höchstgrenze bei 300.000 Euro pro Verstoß. Die DS-GVO erhöht das mögliche Bußgeld pro Verstoß auf bis zu vier Prozent des weltweiten Umsatzes. Für Unternehmen hat sich das maximale Bußgeldrisiko dadurch drastisch erhöht, womit bestehende Bedrohungs- und Gefährdungsanalysen neu bewertet werden müssen.
Unabhängig von bestehenden Regelungen verstehen Unternehmen oftmals den Wert ihrer Daten und betreiben einen erheblichen Aufwand, um diese Werte zu schützen. Allerdings bestehen diese Daten zunehmend aus Kundendaten. Der Umgang mit Kundendaten ist durch den Gesetzgeber stark reguliert, aber auch das Interesse der Unternehmen, diese Gesetze gewinnbringend für ihre Geschäftsmodelle auszulegen, ist groß. Eine mögliche Auslegung der Gesetze zur Weitergabe von Daten führt zum sogenannten digitalen Protektionismus oder Vendor-Lock-in. Der Kunde wird durch die Produkte und Dienstleistungen extrem stark an einen Anbieter gebunden.
Ein Beispiel sind hier sicherlich die am Markt dominierenden Smartphone-Ökosysteme. Man kann dieses Verhalten aber auch sehr schön an Fitness-Trackern erkennen. Die Hersteller bieten zum einen diverse Geräte zur Datenerfassung an, welche üblicherweise nicht sehr intelligent sind. Diese Daten werden dann bequem per Smartphone-App oder Desktop-Anwendung mit dem Backend des jeweiligen Herstellers synchronisiert. Eine Offline-Fähigkeit ist oftmals nicht gegeben. Die Kompatibilität mit anderen Anwendungen und Herstellern ist eingeschränkt möglich. Zusammenfassend kann man sagen: Ein sinnvoller Einsatz der Geräte funktioniert nur mit dem Ökosystem des Herstellers und auch nur bei Synchronisation der gesammelten Daten mit den entsprechenden Backend-Systemen.
Im Rahmen der DS-GVO wird das Recht der Datenübertragbarkeit gefordert. Die Datenübertragbarkeit erschwert den Vendor-Lock-in, aber die tatsächliche technische Machbarkeit steht sicherlich nicht im Interesse der Unternehmen. Diese haben eher ein Interesse, die Kunden an sich zu binden und einen Wechsel zu einem Konkurrenten möglichst zu erschweren. Zudem können dedizierte Schnittstellen zum Abruf der personenbezogenen Daten ein lohnenswertes Ziel für Hacker darstellen. Es bleibt also abzuwarten, wie sich dies entwickelt. Vielleicht entstehen aber Schnittstellen und Datenformate, welche nur von IT-Experten sinnvoll eingesetzt werden können.
Ein weiterer wichtiger Punkt der DS-GVO ist die explizite Einwilligung zur Nutzung personenbezogener Daten für einen oder mehrere bestimmte Zwecke. Die Umsetzung könnte sich aber auch hier als schwierig erweisen. Der IT-Nerd macht sich hier vielleicht noch die Mühe und stellt alle Nutzungsrechte im Detail ein. Aber welcher Normalsterbliche ist schon bereit, seine Einwilligung zur Datennutzung feingranular für verschiedene Zwecke zu geben? Wer macht sich schon Gedanken darüber, dass die Smartphone-App zum Darstellen der Batterie auch Zugriff auf meinen aktuellen Standort und die Kontaktdaten benötigt? Meines Erachtens siegt hier der Komfort vor dem Sicherheitsgewinn.
Aber wie können wir dieses Problem lösen? Wir arbeiten am Fraunhofer IESE seit ca. 7 Jahren im Forschungsfeld der Datennutzungskontrolle. Die grundlegende Idee: Datenurheber sollen umfassende Kontrollmöglichkeiten erhalten, wie und zu welchem Zweck Ihre Daten genutzt werden dürfen. Wir erweitern hierbei klassische Zugriffskontrollmechanismen und entwickeln Lösungsansätze, um eine umfassende Steuerung der Datennutzung zu ermöglichen. Ein wichtiger Forschungsschwerpunkt ist hier eine benutzerfreundliche Spezifikation von Sicherheitsrichtlinien. Hierbei sollen die Einstellmöglichkeiten nicht nur bedienfreundlich sein, sondern den Anwender in einem gewissen Maße auch motivieren, die Einstellmöglichkeiten tatsächlich zu nutzen. Ziel ist es also, eine angenehme User Experience zu erzielen. Ein weiterer Forschungsschwerpunkt widmet sich dem „Ausbalancieren“ von Sicherheit und Benutzerfreundlichkeit. Beide Extreme sind nicht gewollt! Ein sicheres, aber nicht benutzbares System ist nicht zielführend. Ebenso wenig zielführend ist ein extrem benutzbares System, welches aber völlig unsicher ist. Die geeignete Balance zwischen diesen Extremen ist der Schlüssel zu erfolgreichen und sicheren IT-Systemen.
Persönlich befasse ich mich mit situationsabhängiger Sicherheit für mobile Endgeräte. Sicherheitslösungen müssen sich an die jeweilige Nutzungssituation anpassen, um einerseits das Nutzungserlebnis nicht negativ zu beeinflussen und andererseits dennoch einen bestmöglichen Schutz zu gewährleisten. Beispielsweise brauche ich keine PIN-Eingabe zum Entsperren des Geräts, wenn ich zu Hause bin. Bei Dienstreisen sollte ein PIN-Schutz aber schon gewährleistet sein.
Auf der CeBIT 2017 präsentieren wir am Fraunhofer-Stand in Halle 6, wie einfach situationsabhängige Datennutzungskontrolle in bestehende Systeme integriert werden kann. Im Anwendungsszenario „Portfolio-Management“ versetzen wir den Kunden mit Datennutzungskontrolle in die Lage, seine eigenen Datenschutzbedürfnisse festzulegen, um das Risiko eines Datenmissbrauchs zu minimieren.