Zum Bereich Informationsfreiheit sagte die Landesbeauftragte: „Auch wenn das zentrale elektronische Informationsregister auf der Seite www.bremen.de in den letzten Jahren sehr gewachsen ist (im Moment umfasst es um die 25.500 Dokumente), dürfen wir uns mit dem Erreichten nicht zufrieden geben. In einer lebendi-gen Verwaltung müssen die Informationsberge täglich ein gutes Stück wachsen. Wir haben noch nicht einmal die Baumgrenze er-reicht. Und genauso wichtig ist es, dass auch die Zahl der Nutzerin-nen und Nutzer noch einmal deutlich ansteigt. Amtliche Informa-tionen wie die über die Bevorratung eines Grippemittels, leerste-hende städtische Immobilien, die Folgekosten des Hafentunnels und über Kooperationen im Wissenschaftsbereich sind eine wich-tige Voraussetzung dafür, bei den Entscheidungen, die uns alle be-treffen, mitmischen zu können. Wenn es beim Zugang dazu noch hapert, helfen wir gerne mit.“

Der 8. Jahresbericht schildert sieben Fälle, in denen sich Menschen aus Bremen an die Informationsfreiheitsbeauftragte gewandt ha-ben, um sich Hilfe zu holen, weil öffentliche Stellen ihnen den Zu-gang zu öffentlichen Informationen verweigert hatten. In fünf Fällen war das schon erfolgreich. In den beiden weiteren Fällen sind die Dis-kussionen mit den betreffenden Stellen noch nicht abgeschlossen.

Hier kann der Bericht heruntergeladen werden: http://www.da-tenschutz-bremen.de/sixcms/media.php/13/36.+Jahresbericht+Da-tenschutz.pdf

EuGH erklärt Richtlinie über die Vorratsdatenspeicherung für europarechtswidrig

Die Bundesbeauftragte für den Datenschutz und die Informations-freiheit, Andrea Voßhoff, begrüßt in einer PM das Urteil des EuGH als notwendige Klarstellung einer seit langem diskutierten Frage.

Andrea Voßhoff: „Die Entscheidung des Europäischen Gerichts-hofes bringt nunmehr die dringend notwendige rechtliche Klar-heit. Auch wenn das Gericht das Mittel der Vorratsdatenspeiche-rung nicht grundsätzlich als ungeeignet verworfen hat, hat es doch eindeutig entschieden, dass die Richtlinie Grenzen überschreitet, die zur Wahrung des Grundsatzes der Verhältnismäßigkeit einge-halten werden müssen. Das Urteil muss jetzt sorgfältig geprüft wer-den, auch mit Blick darauf, ob eine Neufassung der Richtlinie über-haupt sachgerecht ist. Ich halte es deshalb für geboten, jetzt erst einmal abzuwarten, bis der europäische Gesetzgeber sich entschie-den hat, ob und wie eine europarechtskonforme Neuregelung der Richtlinie erfolgen soll.“

Der Europäische Gerichtshof hat in seinem Urteil vom 08.04. 2014 die Richtlinie zur Vorratsdatenspeicherung (RL 2006/24/EG) rück-wirkend für ungültig erklärt, da sie einen schwerwiegenden und unverhältnismäßigen Eingriff in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten und somit einen Verstoß gegen Artikel 7 und 8 der Charta der Grundrechte der Europäischen Union darstellt.

Gerichte aus verschiedenen Mitgliedstaaten hatten dem Eu-ropäischen Gerichtshof die Frage vorgelegt, ob die Richtlinie zur Vorratsdatenspeicherung mit den Vorschriften der europäischen Grundrechtecharta vereinbar sei. Bereits im Jahre 2010 hatte das Bundesverfassungsgericht die deutsche Umsetzung der Richtlinie für verfassungswidrig und nichtig erklärt; eine gesetzliche Neure-gelung hat seither nicht stattgefunden.

BSI: „Heartbleed Bug“ ist kritisch

Der „Heartbleed-Bug“, über den derzeit in den Medien berichtet wird, ist eine Sicherheitslücke in einer Programmerweiterung von OpenSSL namens „Heartbeat“. OpenSSL ist eine freie Software-Bi-bliothek für Transport Layer Security (TLS) und umfasst Implemen-tierungen verschiedener Verschlüsselungen. Insbesondere Web- und Mail-Server aber auch andere Dienste wie Virtual Private Net-works oder Appliances wie Router nutzen häufig diese Bibliothek für TLS/SSL-Verbindungen. Die Bibliothek enthält in den Versionen 1.0.1 bis 1.0.1f eine Schwachstelle, den „Heartbleed-Bug“.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft diese Schwachstelle als kritisch ein. Ein Angreifer ist unter Ausnutzung der Schwachstelle in der Lage, Speicherinhalte des OpenSSL Servers auszulesen, sofern diese die „Heartbeat“-Erwei-terung aktiviert haben. Mithilfe des „Heartbleed Bugs“ können zu-dem unter Umständen die geheimen Schlüssel von OpenSSL-Ser-vern ausgelesen werden.

Seit dem 7. April 2014 steht mit OpenSSL Version 1.0.1g ein Up-date zur Verfügung, das die Sicherheitslücke schließt. Betreiber, die auf ihren Servern OpenSSL einsetzen, sollten das Update umge-hend einspielen. Falls seit März 2012 eine verwundbare OpenSSL-Version mit aktivierter Heartbeat-Erweiterung eingesetzt wurde, kann eine vergangene Kompromittierung von Schlüsseln nicht ausgeschlossen werden. Daher empfiehlt das BSI in einem solchen Fall den Austausch der verwendeten OpenSSL Server-, beziehungs-weise Client-Zertifikate und Schlüssel sowie eine Änderung der ver-wendeten Passwörter. Der Austausch sollte erst nach der Einspie-lung des Updates erfolgen, da ansonsten die neuen Zertifikate wie-der kompromittiert werden könnten. Die alten Zertifikate müssen nach erfolgreichem Austausch gesperrt werden. Betreiber sind auf-gerufen, ihre Nutzer über die Umsetzung der Aktualisierung zu in-formieren, damit diese ihre Passwörter kurzfristig ändern.

EDSB: Jahresbericht 2013

Im Jahr 2013 war die Überarbeitung des EU-Datenschutzrahmens weiterhin ganz oben auf der Prioritätenliste des Europäischen Da-tenschutzbeauftragten (EDSB) in seiner Beratungstätigkeit zu neu-en Rechtsetzungsvorhaben und wird auch 2014 eine Priorität blei-ben. Weitere Schwerpunkte im letzten Jahr waren die Digitale Agenda und die Datenschutzrisiken neuer Technologien.

Die Umsetzung des Stockholm-Programms im Raum der Frei-heit, der Sicherheit und des Rechts, Binnenmarktthemen wie die Reform des Finanzsektors, sowie Entwicklungen im Gesundheits-wesen und bei Verbraucherthemen hatten ebenfalls Auswirkun-gen auf den Datenschutz. Der EDSB hat zusätzlich seine Zusam-menarbeit mit anderen Aufsichtsbehörden ausgebaut, insbeson-dere im Hinblick auf IT-Großsysteme.

In der Aufsicht über die Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der EU hat der EDSB im Jahr 2013 mit mehr behördlichen Datenschutzbeauftragten in mehr Or-ganen und Einrichtungen als je zuvor zusammengearbeitet. Zu-sätzlich haben mehrere Erhebungen des EDSB gezeigt, dass die meisten Organe und Einrichtungen der EU – viele Agenturen einge-schlossen – gute Fortschritte bei der Einhaltung der Datenschutz-verordnung gemacht haben; nichtsdestotrotz sollten einige von ihnen ihre Anstrengungen verstärken.

Eine ausführliche Zusammenfassung des Jahresberichtes steht in deutscher Sprache zur Verfügung: https://secure.edps.europa.eu/

DuD • Datenschutz und Datensicherheit 6 | 2014 425

DUD REPORT

EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/ Annualreport/2013/AR2013_summary_DE.pdf

Projekt DIN-Norm zu Datenschutz-Löschfristen

Im Dezember 2012 stellte Secorvo die DIN-INS-Leitlinie zur „Ent-wicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten“ vor. Die Leitlinie unterstützt verant-wortliche Stellen dabei, ihre rechtlichen Pflichten zur Löschung personenbezogener Daten zu erfüllen. Sie gibt Empfehlungen für die Inhalte und den Aufbau eines Löschkonzepts sowie die Zuord-nung der Verantwortlichkeiten. Der Schwerpunkt liegt auf einer ef-fizienten Vorgehensweise zur Entwicklung von Löschregeln für Da-tenarten unter Verwendung von vereinheitlichten Löschklassen.

Die Leitlinie bietet die Chance, durch eine einheitliche Vorgehens-weise branchenweite oder sogar branchenübergreifende Löschre-geln für personenbezogene Daten festzulegen. Diese würden es Un-ternehmen erleichtern, angemessene Löschprozesse zu etablieren. Ende 2013 startete daher ein von den Unternehmen Blancco, DATEV, Deutsche Bahn, Secorvo und Toll Collect gefördertes Projekt, in dem die Leitlinie derzeit zu einer DIN-Norm weiterentwickelt wird. Am 12.02.2014 beschloss der DIN-Arbeitskreis für Identitätsmanagement und Datenschutz-Technologien (AK 05 im NIA 27) die Aufnahme ei-nes entsprechenden Normungsprojekts. Die Norm für Löschkonzep-te soll spätestens im Herbst 2015 verabschiedet werden.

Die veröffentlichte Leitlinie gibt bereits heute wesentliche Hil-festellung für die Entwicklung eigener Löschkonzepte. Sie ist zum Download verfügbar unterhttp://www.secorvo.de/publikationen/din-leitlinie-loeschkonzept-hammer-schuler-2012.pdf

Acronis Studie: Das IT-Sicherheitsbewusstsein der Deutschen

Eine am 27.03.2014 veröffentlichte repräsentative Studie von der GfK im Auftrag von Acronis hat das Klischee vom sicherheitsbe-wussten Deutschen bestätigt: demnach sichern 89,3% der befrag-ten Deutschen ihre Daten mit einem Backup. Nur bei etwa 10% sind die Daten ungesichert. In Sachen Datensicherungsverhalten zeichnen sich deutliche Unterschiede ab, insbesondere zwischen den Generationen.

An der Acronis Backup Studie beteiligten sich insgesamt 1.095 Männer und Frauen ab 14 Jahren. Hier die wichtigsten Ergebnisse im Überblick:

Etwa 10% sichern ihre Daten nicht – Häufigkeit variiert

Die Zahl der Personen, die kein Backup durchführen, liegt immer noch bei gut 10%. Vor allem Frauen führen seltener eine Sicherung ihrer Daten durch. Bei der Generation 60+, 1 Personen- Haushalten sowie Arbeitslosen ist die Bereitschaft auf eine Datensicherung zu verzichten am Höchsten. Im Gegensatz dazu stehen Beamte und Selbstständige mit 97,1% bzw. 94,1%. Die Häufigkeit eines Back-ups variiert allerdings stark. 44,5% sichern nur nach Bedarf, 25% zumindest wöchentlich oder öfter. Dabei sichern die Deutschen hauptsächlich spezielle Laufwerke/Ordner/Dokumente (File Back-up) statt des gesamten PCs einschließlich Betriebssystem mit allen Daten, Applikationen und Einstellungen (Image Backup). Im Not-

fall bedeutet das allerdings, dass das Betriebssystem (inklusive Up-dates) ebenso wie alle Einstellungen neu installiert werden müssen.

Verhaltene Nutzung der Cloud

Studien haben bereits gezeigt, dass die externe Festplatte ein be-liebter Speicherort für elektronische Daten ist. In einer repräsenta-tiven Bitkom-Studie zum Thema Datenschutz im Internet belegt die externe Festplatte Rang 3 der externen Speichergeräte. Auch die Ergebnisse der Acronis Studie bestätigen die Beliebtheit der ex-ternen Festplatte als Speicherort. 56,4% nutzen sie für die Ablage von gesicherten Daten, der Anteil an NAS (8,3%) ist dagegen eher gering. Die Nutzung der Cloud ist insgesamt sehr verhalten, in der Tendenz jedoch steigend. Das liegt auch daran, dass 20% der jun-gen Deutschen die Cloud bereits nutzen, bei den über 60-Jähri-gen sind dies nur 5,5%.

Mehr Aufmerksamkeit für wichtige Daten bei Jüngeren

Außerdem wollte Acronis wissen, wie die Deutschen mit ihren wichtigsten Daten umgehen. Dabei stellte sich heraus, dass nur 50% ihren wichtigen Daten einen besonderen Stellenwert einräu-men. Während 59% der Personen im Alter ab 60 Jahren alle Daten im regulären Backup abdecken, schenkt die junge Generation im Alter bis 29 Jahre mit 66,9% den wichtigen Daten mehr Aufmerk-samkeit. Laut Acronis Studie liegen die wichtigen Daten bei über 54% in Form von Office-Dokumenten (Word, Excel, Powerpoint) und PDFs vor, gefolgt von Fotos (25,4%). Weit abgeschlagen da-von sind beispielsweise Musik (4,3%), Videos (2,3%) und Kontak-te (2,2%). Besonders große Unterschiede gab es hier erneut zwi-schen den Generationen. Während die Teilnehmer unter 40 Jah-ren vermehrt Fotos als wichtige Daten nannten (29,8% bzw. 34,6%), waren es im Alter ab 50+ hauptsächlich Office-Dokumente (65,4% bzw. 59,3%).

Jeder zweite Deutsche von Datenverlust betroffen

Jeder zweite Deutsche hat bereits Daten verloren, bei den Teilneh-mern unter 30 Jahren ist die Quote mit 65% sogar am Höchsten. Be-sonders davon betroffen waren vor allem Fotos (48%) und Office-Dokumente (34,5%). 64,4% der ältere Generation 60+ gab an, noch nie einen Datenverlust erlebt zu haben. Trotz aller Schwierigkeiten wären insgesamt weniger als 80% bereit Geld für die Wiederher-stellung ihrer Daten zu zahlen, sollten sie diese einmal verlieren. Über 36% würden nur bis zu 50 Euro investieren.

Die repräsentative Acronis Backup-Studie wurde von der GfK im Zeitraum vom 23. – 28. Januar 2014 in Deutschland durchgeführt.

Weitere Informationen unter: http://www.acronis.de/de-de/ personal/pc-backup/

Europäisches Parlament: eIDAS-Verordnung1 angenommen

Auf Grundlage des von Marita Ulvskog vorgetragenen Berichtes über den Vorschlag für eine Verordnung des Europäischen Parla-ments und des Rates über die elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (Referenz: A7-0365/2013, http://www.europarl.europa.eu/news/de/news-room/plenary/2014-04-02) vom 06.11.2013 hat das Europäi-

1 Siehe auch DuD 2014, Heft4, S.267

426 DuD • Datenschutz und Datensicherheit 6 | 2014

DUD REPORT