ten genau im Bilde sein und deren Einhaltung im Unternehmen si-cherstellen.

Damit alles mit rechten Dingen zugeht: Vom Schadensersatz

bis zur persönlichen Haftung

Dazu Günter Untucht, Justiziar beim IT-Sicherheitsanbieter Trend Micro, der den Leitfaden zusammen mit den schweizerischen Rechtsanwälten Dr. Peter K. Neuenschwander und Simon Oesch-ger herausgegeben hat: „Der rechtskonforme Umgang mit Frage-stellungen wie diesen muss zu jedem Zeitpunkt sichergestellt sein. Denn wird die IT-Infrastruktur des Unternehmens für schädliche Zwecke missbraucht – etwa für den Versand von Spam oder Viren – oder werden Firmen- bzw. Kundendaten von Dritten abgegrif-fen, bringt dies gravierende Folgen für ein Unternehmen mit sich.“ Untucht weiter: „Bei Nichtbeachtung drohen unter anderem Scha-densersatzansprüche von Geschädigten, Geldbußen, ein schlech-teres Kreditrating und andere wirtschaftliche Nachteile, der Verlust des Versicherungsschutzes oder der Ausschluss bei der Vergabe öf-fentlicher Aufträge. Aufsichtsräte und Geschäftsführer können zu-dem persönlich in die Haftung genommen werden.“

Vorstand und Unternehmensleitung haben daher die Aufgabe, die Sicherheit der IT-Umgebungen zu gewährleisten. Dies umfasst insbesondere wirksame Schutzmaßnahmen gegen Angriffe von außen, beispielsweise durch Cyberkriminelle oder Wirtschaftsspio-ne. Dazu gehört auch die Einhaltung datenschutzrechtlicher Pflich-ten, die regelmäßige Erstellung von Backups sowie die Berücksich-tigung von Wirtschaftsprüfungsstandards.

Sicherheit ist wichtig – mit Recht: Welche Risiken bei BYOD

drohen

Doch nicht alle relevanten Aspekte der Nutzung von IT sind gesetz-lich geregelt. Neue Technologien und Trends bringen auch immer neue Problematiken mit sich, zu denen oft noch keine eindeutigen Rechtsvorschriften definiert sind. Gerade dann liegt die Pflicht zur Regelung bei der Unternehmensführung selbst. In einer solchen rechtlichen Grauzone bewegt sich auch der Einsatz privater mobi-ler Endgeräte im Unternehmensalltag („Bring-Your-Own-Device“, BYOD). Zwar lässt sich dadurch einerseits die Flexibilität und Effi-zienz der Mitarbeiter steigern, gleichzeitig drohen aber auch mas-sive Risiken für Datensicherheit und Datenschutz.

„Der aktuelle Trend ‚Bring-Your-Own-Device‘ ist in vielen Unter-nehmen schon Realität, auch wenn dies nicht aktiv und bewusst gefördert wurde“, erklärt Günter Untucht. „Verfolgt ein Arbeitge-ber eine BYOD-Strategie, stellen sich arbeitsrechtliche und daten-schutzrechtliche Fragen. Die Umsetzung muss mit technischen Maßnahmen abgestimmt und mit organisatorischen Mitteln er-gänzt werden. Klare Regelungen und Weisungen, bis hin zu allfäl-ligen Anpassungen im Arbeitsvertrag, sind dafür unablässig.“

Die schweizerische Ausgabe von Trend Micros juristischem Leit-faden kann kostenlos als eBook heruntergeladen werden: http://de.trendmicro.com/de/juristischer-leitfaden/

Günter Untucht ist auch Autor der Versionen für Deutschland und Österreich, die ebenfalls verfügbar sind.

Rezensionen

Veranstaltungen

Jörg Lenz

4. Informationstag Elektronische Signatur von TeleTrusT &

VOI, 19.09.2013 in Berlin

Elektronische Signatur macht Fortschritte

In der öffentlichen Wahrnehmung wird der Einsatz elektronischer Signaturen häufig als kompliziert und teuer wahrgenommen. Da-bei wird diese Technik in immer mehr Varianten in der Praxis er-folgreich eingesetzt. Oft sind sie Teil von Anwendungen, bei de-nen die Signatur-Komponente dem einfachen Nutzer erst bei nä-herem Hinsehen bewusst wird. Dies wurde beim vierten Informa-tionstag Elektronische Signatur der Verbände TeleTrusT und VOI am 19. September in Berlin, deutlicher denn je. 16 Jahre nach Ver-abschiedung des ersten Signaturgesetzes in Deutschland ist klar: Es gibt nicht die eine Killeranwendung und eine „beste“ Signatur-form. Bei persönlichem Kontakt eignen sich andere Verfahren als zur Authentifizierung über das Netz oder beim ersetzenden Scan-nen. Last but, not least müssen für jeden Anwendungsfall die zwei zentralen Fragen „Wem nützt es?“ und „Wer zahlt?“ schlüssig be-antwortet werden können.

Auf keiner anderen Veranstaltung werden die diversen Ausprä-gungen elektronischer Signaturen eingehender beleuchtet als auf dem Signaturtag: 80 Teilnehmer aus Wirtschaft, Forschung, Ver-waltung und Politik nahmen 2013 an dieser interdisziplinäre Ver-

anstaltung teil. Viele davon beschäftigen sich bereits seit mehr als zehn Jahren oder noch länger mit diesem facettenreichen Thema.

Moderator Prof. Norbert Pohlmann (TeleTrusT-Vorsitzender) sorgte erneut für eine lebendige Diskussion mit kritisch-konstruk-tivem Geist. Dabei wurde auch deutlich, welche Aufgaben zum Teil noch zu lösen sind um aus Pilotprojekten erfolgreiche Anwendun-gen im Alltag zu schaffen. Dieser „Reality Check“ ist unverzichtbarer Bestandteil jedes Signaturtages. Informatiker, Mathematiker, Juris-ten, Betriebswirtschaftler und Vertreter von Fachmedien erhielten für ihre jeweilige Arbeit somit wieder wertvolle Impulse und Anre-gungen über den Tag hinaus.

Mittlerweile besitzen rund 28 Millionen Bundesbürger einen neuen Personalausweis (nPA). Die eID-Funktion des nPA wird bis-lang wenig genutzt, die elektronische Unterschrift mit qualifizier-ter elektronischer Signatur ist in Verbindung mit dem nPA seit we-nigen Monaten möglich. Vor zwei Jahren stellte Enrico Entschew auf dem Signaturtag erstmals das Verfahren vor wie sich auf den nPA Ad-Hoc-Zertifikate laden lassen. In Verbindung mit einem Kar-tenleser der Klasse 3 (Komfortleser) kann nun damit über das Pilot-Portal SignMe signiert werden. Bislang hätten das Verfahren ca. 2.000 Personen getestet.

Erstmals wurde auf dem Signaturtag das elektronische Last-schriftverfahren (ELV) vorgestellt, das bei über einem Drittel aller Bezahlvorgänge in Deutschland genutzt wird. Bislang ist wenig be-kannt, dass beim Unterschreiben von digitalen Belegen auf einem Signpad auch elektronische Signaturen erzeugt werden. Diese Be-

748 DuD • Datenschutz und Datensicherheit 11 | 2013

DUD REPORT

lege wandern anschließend in ein Online-Archiv. Im Zuge der Ein-führung der Single European Payments Area (SEPA) sah es zunächst danach aus, als ob dieses Verfahren ab 2016 nicht fortgeführt wer-den könne. Im Vergleich zu einer Zahlung mit PIN hat der Händler bei Zahlung per Unterschrift geringere Transaktionsgebühren. Ste-fan Schneider zeigte auf warum auch Verbraucher und Politiker auf das ELV nicht verzichten wollen. Im ELV-Forum arbeite man bereits an erforderlichen Modifikationen, so dass diese Art der „Signatur an der Kasse“ auch in Zukunft genutzt werden kann. Nicht mehr weg-zudenken ist die elektronische Unterschrift bei vielen Banken. Ar-ne Brandes skizzierte eine der jüngsten Implementierungen dieses Verfahrens bei der Ersten Bank in Österreich. Er stellte dabei auch eine der Möglichkeiten vor, wie ein Kreditinstitut den Beweiswert elektronisch signierter Dokumente erhöhen und damit das späte-re Abstreiten geleisteter Unterschrift erschweren kann.

Ulrich Emmert hielt ein Plädoyer für das Signieren elektronischer Rechnungen mit qualifizierter elektronischer Signatur. Er verknüpf-te seine Empfehlung mit einer Reflektion der Änderungen in den Grundsätzen zum Datenzugriff und zur Prüfbarkeit digitaler Un-terlagen (GDPdU) im November 2012, dem E-Government-Gesetz und dem E-Justiz-Gesetz. Die Konsequenzen aus den technischen Richtlinien zur Beweiswerterhaltung kryptographisch signierter Dokumente (BSI TR-03125, TR-ESOR) und zum ersetzenden Scan-nen (BSI TR-03138, TR-RESISCAN) betrachteten sowohl Emmert wie auch Werner Hoffmann. Im Landkreis Märkisch-Oderland ersetzt ein digitales Archiv beim elektronischen Bauportal jetzt sukzessi-ve zahlreiche Papierakten. Hoffmann gab einen Einblick in das Pio-nier-Projekt. Ein weitere Anwendung für qualifizierte elektronische Signaturen aus der Praxis stellten Kai Malgay und Kai Röde vor. Die Deka Bank, das Wertpapierhaus in der Sparkassen-Finanzgruppe, versieht in ihrem Immobilien-Bereich Verkehrswertgutachten mit derartigen Signaturen auf Basis einer Lösung von Secrypt. Die An-forderung für deren Einsatz entstammt der Novellierung des Anle-gerschutz- und Funktionsverbesserungsgesetzes (AnsFuG).

Neben Signaturkarten und Geräten zur Erzeugung sogenannter Massensignaturen spielen auch andere Verfahren eine immer grö-ßere Rolle, dazu zählen insbesondere Signatur-Dienste für mobile Geräte und die Erfassung biometrischer Merkmale von Unterschrif-ten. Die qualifizierte elektronische Signatur ist heute eine von vie-len Signaturformen. Sie wird auf absehbare Zeit vor allem in Berei-chen angewendet wird, in denen ihr Einsatz gesetzlich als elektro-nischer Ersatz für die Schriftform vorgeschrieben ist. Mit dem E-Go-vernment-Gesetz eröffnen sich hier mit der DE-Mail und der e-ID-Funktion des neuen Personalausweises Alternativen. Ob sich diese Verfahren eignen ist wiederum von Fall zu Fall zu unterscheiden, so verspricht die DE-Mail vor allem eine verbindliche Zustellung, bei-spielsweise bei Mahnungen. Eine Ende-zu-Ende-Verschlüsselung der Kommunikation ist noch nicht bei allen Verfahren möglich. Die BKK VBU Berlin erprobt das Zusammenspiel von DE-Mail und quali-fizierter elektronischer Signatur. Peter Salathe porträtierte wie die-ser sichere Kanal für den Versand sensibler Dokumente im Gesund-heitsbereich in der Praxis funktionieren kann.

Detlef Hühnlein gab einen kurzen Ausblick auf die EU-Verord-nung über die elektronische Identifizierung und Vertrauensdiens-te für elektronische Transaktionen im Binnenmarkt. Der Abschnitt über die elektronischen Vertrauensdienste der Verordnung könn-te ab etwa 2015 die Richtlinie 1999/93/EG und damit auch das deut-sche Signaturgesetz ersetzen. Die Open Signature Initiative will die-se Bestrebungen der Europäischen Union unterstützen und be-schleunigen. Detlef Hühnlein stellte die Initiative vor, die sich an

Anbieter von Signaturkomponenten und –diensten wendet sowie an die Anwender von Signaturverfahren bei Krankenkassen, Unter-nehmen, Behörden und Notaren.

Last, but not least skizzierte Dr. Gunnar Jacobson das Zusam-menspiel elektronischer Signaturen und mobiler Endgeräte. Die Unterschriftenmappe wandert in die Wolke und signiert wird auf dem Smartphone. Für einen entsprechenden Workflow gibt es zahlreiche Lösungen. Kritisch seien dabei allerdings die Konzep-te einiger Unternehmen wie Dropbox oder Adobe Echosign zu hinterfragen. Beim Datenfluss über die USA könne man nicht aus-schließen, dass die Inhalte von Dokumenten zum Zweck der Wirt-schaftspionage ausgespäht würden. Bei der Konzeption von Sig-natur-Workflows in der Cloud mit „Signing-as-a-Service“ sind folg-lich auch zahlreiche Aspekte zu berücksichtigen.

Die nächste Bilanz zum Fortschritt in der Anwendung der zahl-reichen Formen elektronischer Signaturen ist für den September 2014 im Zuge des nächsten Informationstags ‚Elektronische Signa-tur‘ fest eingeplant.

Die Präsentationsdateien des 4. Signaturtages sind auf der Web-site http://www.teletrust.de/veranstaltungen/signaturtag/infotag-elektronische-signatur-2013/ verfügbar.

Bücher

Christoph Schnabel

Beyerbach, Hannes: Die geheime Unternehmensinformati-

on, Verlag Mohr Siebeck, 413 S., 64,- €.

Gegenstand der von Beyerbach Ende 2011 vorgelegten Disserta-tion ist der Schutz von Betriebs- und Geschäfts-geheimnissen vor Informationsansprüchen. Der Autor beginnt damit, alle bekannten Informationsansprüche aufzuzählen: Ansprüche in Gerichtsverfah-ren, im Landespresserecht, Registerrecht, Datenschutzrecht, Han-delsrecht und auch parlamentarische Auskunftsansprüche stehen neben den voraussetzungslosen Informationsfreiheitsansprüchen, welche als Anwendungsbeispiel ausersehen sind.

Erst deutlich später (ab S. 67) nimmt sich Beyerbach des eigent-lichen Untersuchungsgegenstands an: Betriebs- und Geschäfts-geheimnissen. Nach einleitenden Ausführungen zur Bedeutung der unternehmerischen Geheimsphäre für Informationsansprü-che wendet sich Beyerbach der Definition seines Untersuchungs-gegenstands zu. Diese umfasst nur gut zehn Seiten (S. 90 – 102) und geht damit leider nicht wesentlich über einen Aufsatz zum The-ma hinaus. Insbesondere die Behandlung der Schutzwürdigkeit von Betriebs- und Geschäftsgeheimnissen, die auf rechtswidrigen Praktiken beruhen erscheint zu kurz, berührt diese Frage doch ei-nen der Grundpfeiler unserer Rechtsstaats: Schafft sich eine Rechts-ordnung selbst ab, die Verstöße gegen sie als schützenswerte Ge-heimnisse ansieht?

Danach wendet er sich dem grundrechtlichen Schutz von Un-ternehmensinformationen zu und untersucht die Anwendbarkeit des Rechts der informationellen Selbstbestimmung auf Unterneh-men (S. 109 ff.). Er bejaht die Anwendbarkeit für ein aus dem allge-meinen Persönlichkeitsrecht hergeleitetes Recht auf informationel-le Selbstbestimmung im Ergebnis (S. 143), übersieht aber auf dem Weg dahin, dass der Kern des Rechts der informationellen Selbstbe-stimmung der Schutz vor einem Anpassungsdruck ist, der wiede-rum dazu führen könnte, auf die Wahrnehmung anderer Freiheits-

DuD • Datenschutz und Datensicherheit 11 | 2013 749

DUD REPORT