“Das Inter­net ver­gisst nichts”

Vor einem Monat wur­de im Bund ein Ver­bot der umstrit­te­nen chi­ne­si­schen Social-Media-Platt­form Tik­Tok für Dienst­han­dys öffent­lich Bediens­te­ter erlas­sen. Kur­ze Zeit spä­ter einig­ten sich auch die Städ­te im Zen­tral­raum Kärn­ten – Vil­lach, Kla­gen­furt und St. Veit – dar­auf, die Nut­zung von Tik­Tok auf Dienst­han­dys zu unter­sa­gen.

Die­ser Schritt reicht nicht aus

Stell­ver­tre­tend für die Platt­form Infor­ma­tik Aus­tria, äußert sich nun Peter Schart­ner, der sich an der Uni­ver­si­tät Kla­gen­furt mit Cyber­si­cher­heit und Daten­schutz beschäf­tigt, zu dem Ver­bot.
„Die­ser Schritt ist nach­voll­zieh­bar, aber unab­hän­gig vom kon­kret genutz­ten Ser­vice bzw. der kon­kret genutz­ten mobi­len App“, erklärt Schart­ner. Statt über ein­zel­ne Apps und deren Ver­bot nach­zu­den­ken (das man mit Sicher­heit umge­hen wird), soll­te die EU ver­su­chen, alle Betrei­ber zur Ein­hal­tung der Daten­schutz­grund­ver­ord­nung (DSGVO)  zu moti­vie­ren, so der Asso­zi­ier­te Pro­fes­sor.

Apps sam­meln meist vie­le Daten

Denn Apps wür­den häu­fig eine Men­ge per­sön­li­cher Daten sam­meln. Mög­lich sei das, indem sie vor der Instal­la­ti­on die zuge­hö­ri­gen Berech­ti­gun­gen anfor­dern, um auf bestimm­te Funk­tio­nen und Daten des Tele­fons zuzu­grei­fen: „Eine App, die Kom­mu­ni­ka­ti­on ermög­licht, benö­tigt bei­spiels­wei­se Zugriff auf das Inter­net, SMS oder die Kon­tak­te. Eine Navi­ga­ti­ons­app wie­der­um benö­tigt Stand­ort­in­for­ma­tio­nen.“

Das Pro­blem: „Apps kön­nen mög­li­cher­wei­se mehr Berech­ti­gun­gen anfor­dern, als sie tat­säch­lich benö­ti­gen“, sagt Schart­ner. „Auf die­se Wei­se kön­nen sie Daten erfas­sen, die mit dem eigent­li­chen Zweck der App gar nichts mehr zu tun haben.“ Daten, die dann in unter­schied­lichs­ter Wei­se genutzt und miss­braucht wer­den kön­nen: „In den fal­schen Hän­den kön­nen sie für schäd­li­che Zwe­cke ver­wen­det wer­den, wie für Iden­ti­täts­dieb­stahl oder Betrug.“

Geheim­nis­se kön­nen in fal­sche Hän­de gera­ten

Hin­zu kom­me, dass für per­so­nen­be­zo­ge­ne Daten in man­chen Regio­nen der Welt ein höhe­rer Schutz gel­te (z.B. die DSGVO der EU), als in ande­ren. Geschäfts­ge­heim­nis­se kön­nen in fal­sche Hän­de gera­ten.

Wäh­rend Nutzer:innen auf pri­va­ten Han­dys selbst dar­über bestim­men kön­nen, wel­che Daten sie tei­len, ist dies auf dem Fir­men­han­dy nicht mög­lich. „Ver­schärft wird die Pro­ble­ma­tik, sobald es nicht mehr nur um mei­ne Daten geht (über die ich bestim­men kann), son­dern um (inner-)betriebliche Daten“, bestä­tigt Schart­ner.

„Mit letz­te­ren kön­nen dann natür­lich – je nach Berech­ti­gun­gen und Aus­ge­stal­tung der App – auch Geschäfts­ge­heim­nis­se abflie­ßen.“ Das kön­ne direkt in Form von Kom­mu­ni­ka­ti­ons­in­hal­ten pas­sie­ren, aber auch indi­rekt über Bewe­gungs­pro­fi­le, aus denen bei­spiels­wei­se Rou­ten und häu­fig besuch­te Orte ableit­bar sind.

Ver­bo­te kon­trol­lie­ren

Schart­ners Fazit: „Die Ent­schei­dung, ob die Nut­zung pri­va­ter Apps bzw. die pri­va­te Nut­zung gewis­ser Ser­vices auf einem Dienst­han­dy zuläs­sig ist, muss wohl­über­legt sein. Unab­hän­gig von Erlaub­nis oder Ver­bot soll­te dies dann jedoch auch kon­trol­liert wer­den“, rät Schart­ner zu Kon­se­quenz.

„Bei­spiel­wei­se durch soge­nann­te Mobi­le Device-Manage­ment-Sys­te­me, die ver­pflich­ten­de Nut­zung fir­men­in­ter­ner App-Stores oder Secu­ri­ty-Sui­tes, wel­che die Instal­la­ti­on von Apps oder den Zugriff auf Web­sei­ten ein­schrän­ken oder ver­hin­dern kön­nen.“ Pri­va­te Apps auf Dienst­han­dys zu ver­bie­ten, aber den­noch zu dul­den sei jeden­falls eine schlech­te Wahl.

„Ein gewis­ses Schutz­ni­veau kann die Tren­nung von beruf­li­cher und pri­va­ter Nut­zung
bie­ten, die je nach Betriebs­sys­tem und/oder End­ge­rät unter­schied­lich aus­ge­prägt sein
kann“, ergänzt Schart­ner. „Ziel ist jeden­falls, dass sich beruf­li­che und pri­va­te Daten
nicht ver­mi­schen und die Apps nicht auf die Daten des jeweils ande­ren Bereichs
zugrei­fen kön­nen.“

Wich­tigs­ter Schritt: Sen­si­bi­li­sie­rung

„Neben all den tech­ni­schen Mög­lich­kei­ten ist die Sen­si­bi­li­sie­rung der Arbeits­kräf­te bzgl. der Risi­ken und Schu­lung bzgl. der mög­li­chen Gegen­maß­nah­men und des kor­rek­ten Ver­hal­tens uner­läss­lich“, ist Schart­ner über­zeugt.

Denn die ers­te Bar­rie­re gegen­über Angrei­fern sei­en sehr oft die eige­nen Mit­ar­bei­ter. „Mit einem betriebs­wei­ten Pro­blem­be­wusst­sein kann so die eine oder ande­re Gefahr erkannt und gebannt wer­den, bevor sie im Unter­neh­men schäd­li­che Wir­kung ent­fal­tet. De fac­to soll­ten Awa­re­ness und Schu­lung daher sogar der ers­te Punkt in der Lis­te der „Gegen­maß­nah­men“ sein!“

„Das Inter­net ver­gisst nichts“

Doch egal, ob Dienst­han­dy oder Pri­vat­han­dy: Beim Umgang mit per­sön­li­chen Daten
im Inter­net ist gene­rell Vor­sicht gebo­ten. „Das Inter­net ver­gisst nichts“, warnt Schart­ner. „

Wie ver­hal­te ich mich rich­tig?

Wich­tig ist jeden­falls, dass man sich dar­über infor­miert, wozu der Ser­vice-Anbie­ter (App-Anbie­ter) die Daten benö­tigt und ver­wen­det. Hier­bei kann die Daten­schutz­in­for­ma­ti­on hilf­reich sein. In ihr soll­te im Ide­al­fall jeden­falls ent­hal­ten sein, zu wel­chem Zweck und auf wel­cher Grund­la­ge bestimm­te Daten (und im Sin­ne der Daten­mi­ni­ma­li­sie­rung nichts dar­über hin­aus) ver­ar­bei­tet wer­den. Des Wei­te­ren soll­te nach Lesen der Daten­schutz­in­for­ma­ti­on auch klar sein, an wen die Daten unter wel­chen Umstän­den wei­ter­ge­ge­ben wer­den, wel­che Rech­te man als betrof­fe­ne Per­son gel­tend machen kann und wie man die­se Rech­te gel­tend machen kann.

Fin­det man der­ar­ti­ge Infor­ma­tio­nen nicht, oder sind die­se nicht plau­si­bel bzgl. der Funk­tio­na­li­tät der ent­spre­chen­den App oder des Ser­vice, dann soll­te man im Ein­zel­fall ent­schei­den, ob und in wel­chem Umfang die App bzw. der Ser­vice genutzt wird.