Jusletter IT

Aufgrund der aktuellen Pandemie-Situation ist es für viele Personen und Unternehmen notwendig oder wünschenswert, Bürotätigkeiten an den Wohnort der MitarbeiterInnen zu verlegen. Dies bedeutet jedoch, dass personenbezogene Daten nun an sehr viel mehr und an (vermutlich zumindest in der konkreten Praxis) deutlich schlechter gesicherten Orten verarbeitet werden, sowie deren Übertragung über das unsichere Internet zunehmen¹. Es war/ist/wird daher notwendig sein, die eingesetzten Sicherheitsmaßnahmen anzupassen², insb da mit einem erhöhten Angriffsvolumen zu rechnen ist³. Dies betrifft sowohl die Geheimhaltung (offensichtlich und im Hinblick auf die reine Übermittlung im Internet relativ leicht zu lösen), als auch Verfügbarkeit (Backups einer Vielzahl dezentraler Systeme sind sehr viel schwieriger als bei einem zentralen Server) und Integrität (mehr Personen besitzen Zugang zu den Geräten und können, absichtlich oder unabsichtlich, Änderungen vornehmen). Doch nach welchen Kriterien hat dies zu erfolgen, dh welche Änderungen an Art, Ort, Geräte etc der Verarbeitung aufgrund der Situation „Home-Office“ dürfen bzw müssen berücksichtigt werden und welche nicht? Darf insb eine schwierige (individuelle) wirtschaftliche Lage bzw eine rasche Änderungsnotwendigkeit⁴ berücksichtigt werden? Ersteres ist mM nach nicht der Fall, zweiteres schon, wenn auch nur vorübergehend.

Wie können Unternehmen ihre Verarbeitung gestalten, sodass keine rechtlichen Bedenken auftreten, bzw – wie im aktuellen Fall – ein rascher Wechsel von Arbeits-Ort/-Methode möglich ist? Hierbei kann auf vorhandene Techniken zurückgegriffen werden, welche jedoch nicht für jedes Unternehmen gleich umsetzbar sind. Zusätzlich sollte beachtet werden, dass aufgrund der Erfahrungen Heimarbeit uU später dauerhaft (wenn auch zB nicht Vollzeit, sondern nur 1-3 Tage pro Woche) etabliert werden könnte. In einem solchen Fall kann die Berufung auf eine Ausnahmesituation klarerweise nicht erfolgen.

Wichtig ist die Frage, was die Situation „Home-Office“ rechtlich bedeutet: Ist der Schutz zu erhöhen oder darf er („Notsituation“, „keine Vorbereitung möglich“, „nur vorübergehend“ etc) niedriger liegen? In der DSGVO wird zwar in ErwGr 46⁵ sogar explizit eine Epidemie erwähnt, doch betrifft dies die Rechtmäßigkeit der Verarbeitung von Daten aus lebenswichtigem Interesse. Dies mag für Kontakt-Tracing oÄ relevant sein, jedoch nicht für normale Tätigkeit in der Wirtschaft ohne Bezug zur Seuchengefahr, welche lediglich in einem derartigen Zeitraum durchgeführt wird.

Welche Fakten („Home-Office“, „Corona-Pandemie“, „Gesetzliche Home-Office Anordnung”, „Sonstige Betriebsschließung“…) dürf(t)en hierbei Berücksichtigung (im Sinne eine tatsächlichen Kenntnis der möglichen Maßnahmen, deren fachkundigen Bewertung und einer darauf basierenden Entscheidung⁶) finden? Nach Art 32 DSGVO sind folgende Punkte bei der Bestimmung des Schutzniveaus zu berücksichtigen⁷:

• Berücksichtigung des Stands der Technik: Dieser scheint abhängig vom Einsatzort zu sein, sind doch entsprechende Geräte für Firmen und Privat stark unterschiedlich. Allerdings determiniert den Stand der Technik nicht das, was üblicherweise gekauft oder verwendet wird, sondern dieser liegt deutlich höher. Und wenn Private selten Geräte mit hohen Sicherheitsmaßnahmen kaufen, so sind diese doch problemlos erhältlich und auch in Privathaushalten einsetzbar. Der Unterschied ist daher nur gering: Auch sicherste Business-Geräte können in Privathaushalten eingesetzt werden. Erst wenn es sich um grundlegend andere Geräte handelt, zB Rackserver, ist davon auszugehen, dass diese für Privatpersonen nicht zum SdT gehören. Daher kommen Geräte, welche ausschließlich für Rechenzentren tauglich sind, hier nicht in Frage: Diese wurden in „kleinerer Ausgabe“ wohl weder praktisch getestet noch sind sie allgemein für seinen solchen Einsatz anerkannt. Hierbei sind inhaltlich insb (internationale) Standards relevant⁸, welche auch sehr klar zwischen Rechenzentren und Büroarbeitsplätzen (bzw Arbeitsplätzen „unterwegs“) unterscheiden. Der Stand der Technik ist daher zwischen „Mobilem Arbeitsplatz“ und „Privater Arbeitsplatz zu Hause“ identisch, erst bei technisch unterschiedlichen Anwendungsgebieten (Rechenzentrum), ist er separat zu bestimmen. Praktisch gesehen wird das Ergebnis für Einzelarbeitsplätze an entfernten Orten uU einen etwas niedrigeren Stand vorsehen⁹. Aufgrund der Definition des SdT wird sich der Unterschied jedoch in kleinem Rahmen halten: Weder „Kaufmöglichkeit von der Stange“ noch „preisgünstig“ oder „leicht zu beschaffen“ ist hierfür erforderlich.
• Berücksichtigung der Implementierungskosten: Gerade in für viele Firmen wirtschaftlich schweren Zeiten ist dies ein wichtiger Punkt. Hier ist zu berücksichtigen, dass die Kosten im Vergleich zu den Risiken und Gefahren zu sehen sind, und nicht im Hinblick auf Leistungsfähigkeit (oder Gewinnspanne) des für die Verarbeitung Verantwortlichen¹⁰. Ein Verweis auf eine schlechte wirtschaftliche Lage ist daher nicht möglich, sondern es dürfen lediglich Maßnahmen entfallen, deren Kosten in einem schlechten Verhältnis zum Sicherheitsgewinn steht (siehe ErwGr 83). Siehe dazu auch ErwGr 94 bzw Art 36 DSGVO: Ergibt die Datenschutz-Folgeabschätzung, dass bei Berücksichtigung (uA) der Implementierungskosten ein hohes Risiko verbleibt, so soll die Aufsichtsbehörde vor Beginn der Tätigkeit konsultiert werden. Dh wenn es zu teuer ist, die Sicherheit zu gewährleisten, ist die Aufsichtsbehörde zu konsultieren. Daraus geht hervor, dass es auf das Risiko ankommt, und nicht auf die finanziellen Möglichkeiten. Ein geringes Risiko muss nicht durch hohe Aufwendung noch weiter reduziert werden, aber wenn ein Geschäftsmodell nur durch Verzicht auf essentielle Sicherheitsmaßnahmen finanziell möglich ist, kann es eben nicht umgesetzt werden. Ob hierzu nur die Anfangskosten zählen, oder auch laufende Kosten, ist umstritten.¹¹ Meiner Meinung nach sind unter „Implementierungskosten“ nicht nur die anfänglichen Kosten zusehen, sondern alles, was über die voraussichtliche Lebenszeit der Sicherheitsmaßnahme anfällt. Ansonsten wären zB die Anforderungen an Sicherheitsmaßnahmen durch Vertragsgestaltung¹² trivial manipulierbar.
• Berücksichtigung von Art und Zweck der Verarbeitung: Der Inhalt der Tätigkeit und wozu personenbezogene Daten verarbeitet werden, ändert sich durch einen unterschiedlichen Ort der Verarbeitung nicht, sodass sich hier keine Unterschiede ergeben.
• Berücksichtigung der Umstände der Verarbeitung: Im Gegensatz zu Art und Zweck sind die Umstände der Verarbeitung jedoch unterschiedlich: Die Daten werden uU nicht mehr auf einem zentralen Server gespeichert, der Zugriff darauf erfolgt von „außerhalb“ des Unternehmens über das Internet, externe Personen sind regelmäßig in der Nähe bzw verwenden das Gerät uU ebenso etc. Daraus ergeben sich zusätzliche Möglichkeiten für Probleme: Verlust von Daten, zB Zerstörung, da (noch) kein Backup erfolgte, Bekanntwerden an Dritte (zB Mitbewohner, Besucher), Veröffentlichung im Internet (Fehler, mangelndes DLP¹³, Hacking durch Angreifer) usw. Selbst wenn man aufgrund zusätzlicher/veränderter Sicherheitsmaßnahmen von einem gleich hohen Risiko ausgeht, ändern sich doch die Umstände auf umfangreiche Art¹⁴. Eine Neubewertung des Risikos und Aktualisierung der Dokumentation ist jedenfalls erforderlich. Eine rasch notwendige Umstellung ohne Vorbereitungsmöglichkeit ist allerdings ebenso ein besonderer und berücksichtigungswürdiger Umstand. Dies ist jedoch nur eine vorübergehende Hilfe, denn die permanente Überwachungs- und Adaptierungspflicht führt dazu, dass (in akzeptabler Zeit, dh kurzfristig, aber uU unter Berücksichtigung längerer Lieferzeiten) temporäre – evtl schwache – Maßnahmen durch ausreichend starke permanente Maßnahmen abzulösen sind.
• Eintrittswahrscheinlichkeit und Schwere des Risikos¹⁵: Wie bereits diskutiert ist von einem anderen¹⁶ sowie erhöhten Risiko im Vergleich zur Verarbeitung innerhalb des Unternehmenssitzes auszugehen. Daher sind zusätzliche Sicherheitsmaßnahmen zu ergreifen. Diese können trivial und automatisch sein (VPN um firmeninterne Server überhaupt erreichen zu können), aber auch zusätzliche technische (Host-basierte Firewall; unterbinden direkter Internetkommunikation außerhalb der Verbindung zum Unternehmen) oder organisatorische (Anweisungen für Backups, Ausdrucke, Bildschirmsperre etc) Maßnahmen erfordern. Auch die Eintrittswahrscheinlichkeiten ändern sich: Dass kleine Kinder an einem Kabel ziehen oder Getränke verschütten, Katzen über die Tastatur laufen etc ist in Privatwohnungen sowie während eines Lockdowns ohne externe Kinderbetreuung sehr viel wahrscheinlicher. Auch durch den häufigen Einsatz von Laptops wird Diebstahl attraktiver. Gefahren können sich ebenso verringern, zB da sich durch die Möglichkeit nur einen Laptop anstatt einer Vielzahl an Geräten zu erbeuten, die Motivation für Angreifer verändert.
• Technische und Organisatorische Maßnahmen müssen geeignet sein: Ungeeignete Maßnahmen (die keinen Datenschutz-Vorteil bringen), sind nicht erforderlich. Dies scheint offensichtlich, doch bedeutet dies im Hinblick auf Home-Office, dass uU gewisse Maßnahmen innerhalb der Firma entfallen könnten. Da Home-Office allerdings eher nicht 100% der Belegschaft auf unabsehbare Zukunft betrifft, dürfte dies keine Rolle spielen. Praktisch können sich gewisse Einsparungen erzielen lassen, zB Reduktion von Lizenzkosten für (derzeit ungenutzte, zB Antivirus) Software auf Büro-PCs. Dem stehen jedoch zusätzliche Ausgaben für entsprechende Software an Heimarbeitsplätzen gegenüber. Vereinzelt könnten diese entfallen, wenn zB entsprechende Software auf den eingesetzten Privatgeräten bereits vorhanden ist¹⁷.

Bestimmte Pflichten können sich vom Unternehmen auf die MitarbeiterInnen verlagern, sodass zwar die Sicherheitsmaßnahmen gleichbleiben, aber andere Personen dafür verantwortlich sind. So ist zB in einem Betriebsgebäude die Zutrittskontrolle¹⁸ (auch zu Benutzer-Geräten) Aufgabe des Unternehmens, kann jedoch im Home-Office ausschließlich durch die MitarbeiterInnen selbst ausgeübt werden. Diese sind darüber entsprechend zu informieren. Ähnliches gilt für die Weitergabekontrolle¹⁹ (zB shoulder-surfing, Wegschließen von Datenträgern, Entsorgung von Ausdrucken).

Da sich Home-Office nicht nur physisch, sondern auch vielfach logisch außerhalb²⁰ des Unternehmens stattfindet, entstehen zusätzliche Gefahren aus Sicht der IT.²¹ Dies beinhaltet zB:

• Eine typische Sicherheitspolitik für Unternehmen sieht auch heute so aus, dass eine „Mauer“ gegenüber der „Außenseite“, dh dem Internet, gezogen wird. Hierzu werden Firewalls, Angriffserkennungssysteme (IDS), DLP etc eingesetzt. Dies ist jedoch viel komplexer, wenn Geräte einzeln und verteilt in vielen Wohnungen aufgestellt sind. „Externe“ Geräte sind daher entweder mit einer separaten Mauer zu umgeben (schwierig, aber zB in Grundfunktionen bereits in Windows enthalten und aktiv), oder sind virtuell in die Firma, und damit innerhalb die professionelle sowie gut gesicherte und überwachte Mauer hereinzuholen, zB über ein VPN. Hier ist daher vermehrt auf das aus der Cloud-Technologie stammende Prinzip „zero trust“ umzustellen – jedes System hat für sich selbst und alleine sicher zu sein, da keinem anderem Element vertraut werden kann (es könnte fehlerhaft oder bereits unterwandert worden sein)²².
• Die Umgebung ist nicht unter der Kontrolle des Unternehmens. Weder der Internet-Zugang noch sonstige Geräte im lokalen Netzwerk werden vom Unternehmen kontrolliert. Auch eine Beeinflussung ist unmöglich, zB dass bestimmte Geräte (Fernseher, Spielkonsolen, ans Internet angebundene Smart-Home-Geräte) nicht vorhanden sein dürfen oder (physisch) ausgeschaltet werden müssen, während Arbeitsgeräte des Unternehmens in Betrieb sind. Auch hieraus folgt die Notwendigkeit einer möglichst starken Abschirmung gegenüber der „unsicheren“ Umgebung. Dies gilt auch umgekehrt: Das Arbeitssystem darf andere Geräte nicht stören. Dies erscheint zwar unwahrscheinlich, kann aber nicht völlig ausgeschlossen werden.
• Qualitätsgarantien sind nicht einhaltbar: Firmen besitzen typischerweise einen symmetrischen Internetzugang (Up- und Download-Geschwindigkeit sind gleich), während in Privathaushalten die Upload-Geschwindigkeit meist sehr viel geringer ist²³. Auch ist die Zuverlässigkeit, sowohl des Zugangs selbst wie auch der eingesetzten Geräte, oft schlechter. Dazu kommt, dass in Privathaushalten WLAN sehr viel öfter zum Einsatz kommt, und dieses oft nicht speziell für Zuverlässigkeit konfiguriert wird und leichter von Dritten gestört werden kann (in Firmen wird zB die Abdeckung häufig berechnet/gemessen, um überall gleich gute Anbindung zu erreichen; weiters sind aufgrund der physischen Größe der meisten Firmen Fremd-Netze gering an Zahl bzw aufgrund der Entfernung schwache Störer).
• Zusätzliche Pflichten können entstehen. Firmen-IT-Systeme sind (hoffentlich) besser abgesichert und können uU eingehende Angriffe erkennen. Wird ein solcher aus dem lokalen Netzwerk der MitarbeiterInnen erkannt, so besteht eine Hinweispflicht des Unternehmens. Dies einerseits aus Eigenschutz, um etwaige spätere bessere Angriffe zu verhindern, andererseits aus der Fürsorgepflicht gegenüber den Angestellten. Erkannt Probleme sind daher weiterzuleiten, ggf sogar Hilfestellung bei der Behebung zu leisten (zumindest im Hinblick auf die Übergabe von Detail-Informationen). Ebenso besteht durch die oft schlecht gesicherte Privatumgebung eine erhöhte Belastung der IT-Abteilung sowohl mit Helpdesk-Anfragen wie auch zu behandelnden Warnmeldungen.
• Zusätzliche Datenübertragungen zwischen Büro und Home-Office bzw vor-Ort-Speicherung. Nicht alle Programme bzw Daten sind ohne weiteres über eine gesicherte Verbindung zugänglich bzw eignen sich für eine Online-Verarbeitung. Es ist daher damit zu rechnen, dass zusätzliche „Datenträger“ (CD/DVD, meist jedoch USB-Sticks; uU auch Online-Varianten wie Cloud-Speicherdienste) eingesetzt werden. Dies bedeutet bei physischen Datenträgern, dass diese gegen Verlust und Diebstahl abzusichern sind (zB durch Verschlüsselung, was bei USB-Sticks im Privatbereich kaum bekannt/eingesetzt werden dürfte). Online-Dienste bedürfen hingegen genauer Regelung der Zugriffskontrolle, sowie bewusster Auswahl (zB im Hinblick auf den Ort der Speicherung bzw den Sitz des Unternehmens). Auch ist damit zu rechnen, dass bei schlechter Internetverbindung Daten Offline „vorgehalten“ werden, um mit diesen schneller oder überhaupt Arbeiten zu können.
• BYOD – Einsatz von Geräten der MitarbeiterInnen ist äußerst problematisch, da diese nicht (oder nur sehr eingeschränkt) der Kontrolle durch das Unternehmen unterliegen. So kann zB ein MitarbeiterInnen-PC verwendet werden, selbst mit einem separaten und neuen „Büro-Account“, doch wird weiterhin ein privat zugänglicher Administrator-Account existieren – welcher Sicherheitsmaßnahmen konterkarieren oder umgehen kann. Dies bedeutet vielfach gleichzeitig, dass auch andere Personen Zugang zum Gerät besitzen. Je nach Verwendung können diese daher (mehr oder weniger leicht) Zugang zu Firmendaten erlangen und diese (gezielt oder versehentlich) löschen, weiterleiten etc. Davon ist daher aus Sicherheitssicht abzuraten und im Hinblick auf Datenschutz nur in besonderen Szenarien (zB virtueller Desktop im Unternehmen, angezeigt auf dem Privatgerät) einsetzbar.
• Offline-Angriffe, wie zB Shoulder-Surfing werden relevanter. Das Beobachten des Bildschirms durch Dritte ist innerhalb eines Unternehmens vielfach schwer/selten. Im Home-Office, ist jedoch mit Mitbewohnern, neugierigen Nachbarn (Fenster!), oder sonstigen Dritten (Home-Office kann auch „Kaffeehaus“ oder „Park“ bedeuten) zu rechnen. Weiters werden Ausdrucke, Notizen etc nicht mehr geschreddert/gesichert entsorgt, sondern landen im Hausmüll – dumpster diving wird vielversprechender. Auch im Hinblick auf Social Engineering entstehen neue Risiken, sowohl durch den Ort als auch die Ausnahmesituation selbst.
• Entstehen von zusätzlichem Schulungsbedarf. Einige Sicherheitsaufgaben, bzw eine veränderte Bedienung, müssen zu Hause durch die MitarbeiterInnen erfolgen – was bedeutet, diese hierüber zu informieren und gegebenenfalls zu schulen. Umgekehrt folgt daraus, dass die Sicherheitsmaßnahmen so eingerichtet werden sollten, dass Fehlbedienung für Laien erkennbar ist²⁴.

Eine „einfache“ Variante ist, vorhandene Geräte der Angestellten „mitzubenutzen“: BYOD. Aus den oben dargestellten Gründen ist dies in den meisten Fällen datenschutzrechtlich äußerst problematisch (i.e. nicht konform), da keine angemessenen Sicherheitsvorkehrungen vorhanden sind/sein können. Doch auch hier sind legale Szenarien durchaus möglich. Einerseits können „dumme“ Geräte, dh ohne relevante Speicherung wie zB Drucker genützt werden – aus dem Gerät selbst (unterschiedlich daher der Ausdruck selbst) ergibt sich keine zusätzliche Gefahr, da keine andere Verarbeitung als im Unternehmen stattfindet und kaum zusätzliche Gefahren existieren. Bei PCs/Laptops ist dies analog möglich: Dienen die Geräte nur dazu, einen entfernten Desktop anzuzeigen (Virtueller Desktop), so ist lediglich die Übertragung abzusichern. Bei derartigen Systemen ist dies ohnehin üblich bzw leicht einzurichten. Die Privatgeräte dienen daher nur als verlängerter Bildschirm bzw Tastatur, welche mit einem entfernten Computer (auch zB in der Cloud) verbunden sind. Die zusätzliche Gefahr reduziert sich daher auf wenige Elemente, wie die Darstellung der Daten außerhalb eines geschützten räumlichen Bereichs (meistens nicht relevant; leicht lösbar), sowie die Absicherung der Kommunikation. Letztere betrifft zB das Abhören von Funktastaturen, das Vorspiegeln einer zusätzlichen Tastatur um selbst Eingaben an das entfernte System zu senden²⁵ bzw die Infiltration des Privatgerätes, um Screenshots aufzunehmen. Dies ist daher für Daten ohne besonderen Schutzbedarf problemlos geeignet, da derartige Angriffe ein sehr hohes kriminelles Potential und hohe Kenntnisse und Aufwand voraussetzen. Verhindert werden können diese nur durch Sicherheitsmaßnahmen auf dem Privatgerät, wie zB aktuelle Virenscanner und regelmäßige Prüfungen – was bei aktuellen Systemen leicht bzw ohnehin aktiviert ist²⁶. Dies bedarf jedoch einer Untersuchung durch Technikexperten – was bei Privatgeräten naturgemäß ein (diesfalls umgekehrtes) Datenschutz-Problem darstellt. Gelöst werden könnte dies durch automatisierte Prüfprogramme, welche nur das Ergebnis „(Nicht) OK“ an die Firma weiterleiten, und detaillierte Ergebnisse, zB inkl Behebungsmöglichkeiten bzw notwendigen Änderungen, nur lokal, dh ausschließlich für die Angestellten sichtbar, anzeigen.

Ein ähnliches Problem stellt sich, wenn die Firma ohnehin nur Web-Dienste verwendet, welche uU in der Cloud gehostet werden. Hier ist für eine sichere Verbindung zu sorgen, was technisch trivial ist. Ansonsten stellen sich die gleichen Probleme wie im vorigen Szenario. Wird hingegen ein Firmen-Laptop/-PC eingesetzt, so kann dieser entsprechend überprüft, konfiguriert und abgesichert werden. Damit reduziert sich das Gefahrenpotential weiter. Da das Gerät aber weiterhin mit dem gesamten Internet kommunizieren muss, ist es sowohl für eine Privatnutzung interessant, als auch stärker verwundbar. Da es nicht über die Firmen-Infrastruktur abgesichert ist, müssen zusätzliche Sicherheitsmaßnahmen eingesetzt werden, wie zB regelmäßige Sicherheits-Audits oder Beschränkung/Überwachung des Internet-Verkehrs. Auch der Export von Daten auf mobile Medien muss überwacht bzw verhindert werden.

Zur Reduktion dieses Problems kann die Kommunikation des entfernten Geräts über eine verschlüsselte Verbindung zum Unternehmen (VPN) erfolgen und zusätzlich jede andere Kommunikation unterbunden werden. Dies bedeutet einen erhöhten Ressourcenbedarf im Unternehmen (doppelte Bandbreite erforderlich), doch spielt dies heute nur mehr eine geringe Rolle. Damit ist sichergestellt, dass sich das Gerät zwar physisch außerhalb aber logisch innerhalb des Unternehmens befindet. Dies sollte immer gelten, dh kein manueller Aufbau der Verbindung, sondern permanent vom Start bis zum Ausschalten des Gerätes. Dann verbleiben nur mehr physische Angriffe, welche praktisch identisch auch innerhalb der Firmengebäude möglich wären – das Sicherheitsniveau ist daher auch bei Home-Office gleich.

Es sind daher im Prinzip zwei Ansätze möglich: Erstens, das Gerät mag zwar physisch außerhalb sein, doch im Hinblick auf die Sicherheit wird es durch technische Maßnahmen in das Unternehmen „hineingeholt“. Zweitens könnten die Anwendungen so gestaltet werden, dass das Endgerät kaum/keine Rolle mehr im Hinblick auf die Sicherheit spielt. Aufgrund der aktuellen Trends, wie zB Cloud-Computing, erscheint der zweite Ansatz zukunftsträchtiger. Er setzt jedoch entsprechende Anwendungen voraus, welche nicht in kurzer Zeit programmiert bzw umgestellt werden können. Dies entspricht einem Zurückgehen in den Paradigmen: von vielen intelligenten PCs, jeweils am Arbeitsplatz, zurück zu „dummen“ Terminals, welche lediglich Ein- bzw Ausgabe zu/von starken zentralen Systemen leiten (wobei die „zentralen Großrechner“ heute weder ein einzelner Computer noch zentral sind). Aus Sicht des Datenschutzes bedeutet dies, dass auch die Sicherheitsmaßnahmen zentralisiert werden: Das „Kernsystem“ ist an einem – wenn auch nicht physischen – Ort (zB einem Cloud-Anbieter) konzentriert und kann genauestens gemanagt und überwacht werden, während die Vielzahl der darauf zugreifenden Geräte kaum mehr Sicherheitsvorkehrungen erfordern und fast beliebig auswechselbar sind. Als Sicherheitsmaßnahmen aus Datenschutzsicht sind dann besonders wichtig:

• Kommunikation mit dem Kernsystem absichern: Einfach mit bekannten Techniken zu lösen und ohne großen Aufwand sehr sicher möglich.
• Verhinderung des Datenabgriff auf lokalen Geräten: Da nur „Bilder“ zum Client übertragen werden, muss verhindert werden, dass diese kopiert und gespeichert/weiterübertragen werden. Dies ist (zB zum Stehlen von Konten-Logins) eine typische Funktionalität von Malware, daher muss diese nach Möglichkeit verhindert werden, zB durch aktuelle Antivirus-SW mit regelmäßigen Updates und Scans. Weiters relevant ist lokales Ausdrucken von servergespeicherten Daten, da dies auch auf virtuelle Drucker (zB PDF) möglich ist, was als weitere Exfiltrationsmöglichkeit dienen kann. Dies sollte daher überwacht (geloggt) bzw eingeschränkt werden.
• Verhinderung der Eingabe/Verfälschung von Daten: Software (aber auch zB speziell präparierte USB-Sticks) können eine Tastatur emulieren und damit beliebige Eingaben an das System senden, auch von zu Hause aus. Dies ist dort ein etwas größeres Problem, da mehr (evtl auch private) Geräte angeschlossen werden²⁷. Dies kann fast nur durch lokale Sicherheitsmaßnahmen unterbunden werden, da auf dem Server eine Unterscheidung nur mehr nach dem Inhalt der Eingabe erfolgen kann, aber nicht mehr nach deren Quelle.
• Korrekte Administration: In Unternehmen erfolgt die Wartung der Endgeräte oft automatisch bzw außerhalb der Arbeitszeit. Im Home-Office kann dies jedoch vielfach nur durch Fernwartung erfolgen. Dies ist eine Möglichkeit für Dritte, sich Zugang zu verschaffen. Hier ist organisatorisch (bzw technisch) vorzubeugen, dass nur autorisierte Personen die verteilten Geräte verändern können.

Handelt es sich daher nicht um Daten mit besonders hohem Schutzbedarf, kann Home-Office auf diese Art problemlos durchgeführt werden und erfordert nur geringen zusätzlichen Aufwand. Der Knackpunkt liegt daher in entsprechenden Anwendungen – sind diese derart zentralisiert, spielen der Ort der Arbeit und das konkrete Gerät nur mehr eine untergeordnete Rolle im Hinblick auf die Sicherheit.

Im Falle einer derartigen Pandemie ist daher eine rasch notwendige Umstellung auf Home-Office auch legaler Weise mit einem (vorübergehend) geringerem Sicherheitsniveau verbunden, sofern keine besonders schützenswerten Daten (bzw ein hohes Risiko) vorliegen. Dies gilt jedoch selbst dann nur vorübergehend und es ist umgehend das veränderte Sicherheitsniveau zu untersuchen und entsprechende Maßnahmen zur Behebung der neuen Gefahren zu ergreifen. Hierbei ist insbesondere auf die technischen Änderungen durch den neuen Arbeitsort (veränderte Umstände, unterschiedliche Bearbeitungsvorgänge, anderes Risiko…) einzugehen, ebenso wie auf den Vorgang des Wechselns (in beide Richtungen, zB Aus-/Rückgabe von Geräten und deren Überprüfung/Vorbereitung). Denn sollten die erforderlichen Sicherheitsmaßnahmen fehlen, so ist bei Vorfällen Art 83 Abs 2 lit d DSGVO relevant, wonach die Verhängung bzw Höhe der Geldbußen auch von den Sicherheitsmaßnahmen (oder deren Fehlen/Inadäquanz/…) abhängt. Direkt mit Strafe bewehrt ist mangelnde Sicherung in Art 83 Abs 4 lit a: Geldbuße bis € 10 Millionen bzw 2 % Jahresumsatz. Ebenso sind Maßnahmen der Aufsichtsbehörde möglich. Prinzipiell ist empfehlenswert, das Sicherheitsmodell grundsätzlich zu überdenken und sich an folgenden Grundsätzen zu orientieren: Jedes Gerät sollte für sich alleine sicher sein, dh seine Sicherheit nur in möglichst geringem Ausmaß von seiner Umgebung bzw dem Einsatzort abhängen. Weiters sollten Daten und ihre Verarbeitung soweit wie möglich logisch zentralisiert werden, sodass dort ein hoher Aufwand der Sicherung betrieben werden kann, und die Sicherheit der Endgeräte weniger Bedeutung besitzt. Schließlich sollten Endgeräte automatisiert vorbereitet und gewartet werden, sowie leicht ersetzbar sein²⁸.