DuD Report

DuD • Datenschutz und Datensicherheit 30 (2006) 5 323

installiert werden, um Passwörter mit Brute-Force- oder Wörterbuch-Attacken zurück-zuholen. Die Geschwindigkeit des Wieder-herstellungsprozesses steigt linear zur An-zahl der installierten Agenten. In der Kon-sole verwaltet der Administrator die Agen-ten. Laut Hersteller eignet sich die Lösung für große Unternehmen mit bis zu 10.000 Clients, in denen Mitarbeiter ihre komple-xen Passwörter für Produkt-Entwicklungen, E-Mails und Bilanzen beim Ausscheiden nicht hinterlegen.

ElcomSoft Distributed Password Reco-very stellt Passwörter für Microsoft-Office-Dokumente, die mit 40-bit-Verschlüsselung oder dem Crypto Service Provider (CSP) generiert wurden, wieder her. Office 97- und 2000-Dokumente werden entschlüsselt, indem der Chiffrierungschlüssel rekon-struiert wird. Dabei verteilt das Programm den rechenintensiven Recovery-Prozess auf die CPUs der im Local Area Network (LAN) oder im Wide Area Network (WAN) angeschlossenen Rechner. Das Programm lässt sich einfach und schnell in Unterneh-mens-Netzwerken mit bis zu 10.000 Clients installieren und verursacht wenig Traffic.

Die mitgelieferten Recovery-Agenten arbeiten im Hintergrund – ohne andere Programme zu beeinträchtigen. Sie greifen nur auf die CPU eines Rechners zu, der sich im „Ruhezustand“ befindet. Der Administ-rator kann die Reihenfolge der Dokumente, die wiederhergestellt werden sollen, festle-gen. Wurde ein Passwort rekonstruiert und das betreffende Dokument entschlüsselt, informiert ihn das Programm per E-Mail. Dann fährt es mit der Wiederherstellung des nächsten Dokuments fort.

Mehr Informationen im Internet unter www.elcomsoft.de.

Helmut Reimer

HumanConcepts: Neue Lösungen für

Modellbildung und Organigrammerstellung

HumanConcepts gab am 13. April 2006 die neuesten Versionen seines Produktsorti-ments – OrgPlus® Enterprise 2.6, OrgPlus Online und OrgPlus 6 Desktop – bekannt.

HumanConcepts kündigte zugleich den OrgPlus Reader an, der Benutzern die freie Verteilung und Betrachtung von Mitarbei-terdaten in Organigrammen ermöglicht. Die ab jetzt erhältlichen Enterprise-, Hosted- und Desktop-Programme können von Orga-

nisationen zur Visualisierung, Modellbil-dung und Analyse von Unternehmensstruk-turen eingesetzt werden und dienen zudem zur Verfügbarmachung kritischer Mitarbei-terinformationen im Rahmen strategischen Humankapital-Managements.

Die neuen Produkte bauen auf der Posi-tion von HumanConcepts als Anbieter von Software zur Arbeitskraft-Modellbildung und Organigrammerstellung für Wirtschaft, Personalleiter und Manager auf. Mit den Lösungen erhalten Organisationen ein Gerüst zur Bewertung der aktuellen Beleg-schaft und Erstellung von „What if“-Szenarien für optimale Entscheidungsfin-dung und präzise Kommunikation kritischer Informationen über ihr Humankapital im gesamten Unternehmen.

Weitere Informationen unter: www.orgplus.de.

Entrust: Mehr Sicherheit bei internationalen

Geldtransfers Eurogiro Network A/S, ein internationales Netzwerk verschiedener Geldinstitute zur effektiven Abwicklung von grenzübergrei-fenden Zahlungsvorgängen, plant den Ein-satz einer Public-Key-Infrastruktur-Lösung (PKI) auf der Basis von Entrusts Authori-ty(tm) Security Manager, die erhöhte Si-cherheit bei internationalen Transaktionen bieten wird.

Eurogiro unterstützt die Zusammenarbeit von Giro-, Post- und Handelsbanken bei elektronischen Zahlungen. Mit Hilfe von internationalen Kooperationen und Service-vereinbarungen werden länderübergreifende elektronische Geldtransfers zu günstigen Bedingungen ermöglicht. Zur Sicherstel-lung der Identität der Nutzer sowie der Echtheit von Dokumenten wird Eurogiro in Zukunft sowohl den Entrust Authority(tm) Security Manager als auch das Entrust Authority(tm) Security Toolkit verwenden.

Der Entrust Authority Security Manager ist eine modular aufgebauteKomplettlösung zur Ausstellung und Verwaltung digitaler Zertifikate, die die Verschlüsselung von Nachrichten und Dokumenten sowie digita-le Signatur erlaubt und verschiedene Au-thentifizierungsmöglichkeiten bietet. Die Lösung kann mit einer großen Anzahl von unterschiedlichen Anwendungen und Platt-formen zusammenarbeiten. Der modulare Aufbau ermöglicht jederzeit eine nachträg-liche Integration zusätzlicher Sicherheits-

komponenten – je nach den individuellen Anforderungen der Nutzer.

Weitere Informationen unter: www.entrust.com.

Helmut Reimer

Fachtagung für IT-Recht Vom 30. bis 31. Mai 2006 findet im Mö-venpick Hotel Frankfurt/Oberursel die erste Fachtagung „IT-Law-Update“ statt. Aktuelle Themen und Trends im IT-Recht stehen im Mittelpunkt von 17 Vorträgen. Einer der Höhepunkte ist ein Erfahrungsbericht über das neue Justiz-kommunikationsgesetz, welches Bremen als erstes Bundesland vor einem Jahr eingeführt hat.

Auf der zweitägigen IIR-Fachtagung sol-len die Teilnehmer einen Überblick über die aktuelle Rechtssprechung und neue Geset-zesänderungen erhalten.

Im Fokus stehen die wichtigsten Themen des IT-Rechts: Aktuelle Haftungsfragen in der IT, rechtssichere Authentifizierung, Voice over IP, Compliance werden ebenso besprochen wie Basel II, Einsatz von RFID, E-Commerce sowie digitale Signaturen. Horst Speichert, IT-Rechtsexperte und Lehrbeauftragter an der Universität Stutt-gart, führt als Moderator und Referent durch die Veranstaltung. Außerdem referie-ren der Leiter des Instituts für Informations-recht an der Universität Karlsruhe, Prof. Dr. jur. Jürgen Kühling, sowie Dr. Andreas Bovenschulte, Referent des Justizsenators der Stadt Bremen.

Weitere Informationen im Internet unter: www.iir.de.

Veranstaltungs-besprechung

Enterprise Signature Day 2006 am 8. März 2006 in Düsseldorf

Mehr als 500 Teilnehmer informierten sich beim Enter-prise Signature Day 2006 in Düsseldorf über Theorie und Praxis zum Thema „digitale Signaturen in Geschäfts-prozessen“. Die Veranstaltung wurde bereits zum zweiten Mal vom Signaturspezialisten AuthentiDate ausgerichtet.

Das hohe Interesse war nach Angaben der Teilnehmer im starken Praxisbezug begründet. Zahlreiche Unternehmen berich-teten über ihre Erfahrungen bei der Integra-tion von Signaturlösungen in Bestandspro-zesse. Mehr als 30 Aussteller zeigten dar-über hinaus den Einsatz von Signaturen in

DuD Report

324 DuD • Datenschutz und Datensicherheit 30 (2006) 5

Live Demos. Die Keynote hielt NRW- Wirtschaftsministerin Christa Thoben.

Besonderes Interesse fanden Signaturlö-sungen, die einfach, schnell und ohne zu-sätzliche Hardware, wie z.B. Smard Cards, von den Anwendern genutzt werden kön-nen.

Neu vorgestellt wurde der Signaturdienst „signamus“ (www.signamus.de). Der Dienst bietet die Möglichkeit elektronische, sig-nierte Rechnungen ohne eigene Signatur-software zu versenden.

Neben dem Thema elektronische Rech-nungen zog das Thema der „sicheren Do-kumentation von Prozessen“ besondere Aufmerksamkeit auf sich. Experten erläu-terten wie man durch Einsatz digitaler Zeitstempel z.B. Forschungs- und Entwick-lungsergebnisse automatisch, schnell und massenweise sichern kann.

Darüber hinaus wurde der Einsatz von Zeitstempeln zur Vermeidung von Betrugs-fällen in Unternehmen und zur sicheren Dokumentation von Prozessen, z.B. im Zusammenhang mit Sarbanes-Oxley (SOX) Prozessen in Theorie und Praxis aufgezeigt.

Für den Bereich der Krankenkassen war erstmalig ein spezielles Forum eingerichtet. Interessenten konnten sich hier über neues zum Thema ISKV 21_c informieren und von Erfahrungsberichten zahlreicher An-wender von Signaturlösungen profitieren.

Helmut Reimer

Buchbesprechung Münch, Peter: Technisch-organisato-rischer Datenschutz, 2. Auflage 2005, Datakontext, 426 S., Preis 49,90€

Das Buch „Technischer und organisatori-scher Datenschutz“ von Peter Münch ist auch in der zweiten Auflage nach wie vor eines der ganz wenigen Werke auf dem deutschsprachigen Markt, das sich dem Thema Datensicherheit speziell aus dem Blickwinkel des Datenschutzes widmet.

Das Buch behandelt in drei Kapiteln die Ziele des technisch-organisatorischen Da-tenschutzes, die praktischen Organisations-aspekte (Risikoanalyse, Datensicherheits-strategien, Aufbau- und Ablauforganisation etc.) und schließlich einzelne technische

Verfahren. Dieses dritte Kapitel bildet das praktische Herzstück des Buches.

Es stellt zunächst Basistechniken (u.a. Verschlüsselung, Signatur, Biometrie und Videoüberwachung) vor und wendet sie dann im Rahmen der acht Kontrollen der Anlage zu §9 BDSG an. Die Erläuterung der Basistechniken ist mitunter zu ausführ-lich geraten – kaum ein Datenschutzbeauf-tragter wird sich in der Praxis dafür Zeit nehmen können, im Abschnitt über Krypto-graphie die genaue Funktionsweise des RSA-Algorithmus einschließlich der Prim-zahlerzeugung oder die Geschichte der Kryptokontroverse zu studieren. Dennoch ist es nicht ratsam, die Abschnitte zu Basis-techniken einfach zu überblättern: Aussagen zur notwendigen Länge von Signatur- und Verschlüsselungsschlüsseln oder zur Über-windungssicherheit biometrischer System sind auch für Datenschutzbeauftragte wich-tig, um „die richtigen Fragen stellen zu können“.

Im zweiten Teil des dritten Kapitels wer-den technische und organisatorischen Maß-nahmen beschrieben, um die acht Kontroll-anforderungen der Anlage zu §9 BDSG zu erfüllen. Dabei wird auf die vorgestellten Basistechniken zurückgegriffen, aber auch weitere Mechanismen genannt. Hierbei gibt es naturgemäß starke Überschneidungen zur IT-Sicherheit. Da der Autor aber stets auf die datenschutzspezifische Aspekte hin-weist, bietet dieses Kapitel einen echten Mehrwert im Vergleich zu Büchern über IT-Sicherheit.

Eine CD mit einer Zusammenstellung von Checklisten, Gesetzestexten, Musterbe-triebsvereinbarungen und anderen Publika-tionen rundet das Buch ab. Diese ließen sich zwar auch mittels Internet recherchieren; die Bereitstellung auf einer CD ist aber deutlich bequemer.

Die zweite Auflage ist keine grundle-gende Neubearbeitung, sondern aktualisiert die erste Auflage, passt sie den rechtlichen Änderungen an und ergänzt die Beschrei-bung zur Umsetzung der technisch-organisatorischen Maßnahmen. Neu hinzu-gekommen sind zwei Abschnitte über Funknetze und über RFID im Abschnitt „Basistechnologien“. Der erste Abschnitt beschreibt die gängigen drahtlosen Über-tragsverfahren (u. a. WLAN, Bluetooth)

und die dafür verfügbaren technischen Absicherungen. Interessant ist die Bewer-tung der Verfahren im Hinblick auf die Sicherheit der Verschlüsselung und Authen-tifizierung – auch wenn man angesichts neuer Erkenntnis zur Überwindbarkeit einzelner Sicherheitsverfahren im Einzelfall über die Bewertung streiten mag. Der Ab-schnitt RFID gibt einen kurzen Überblick über Leistungsfähigkeit und Anwendungs-gebiete der RFID-Technik, problematisiert die Gefahr der „Gläsernen Kunden“ und schließt mit dem Hinweis, dass RFIDs hervorragende Dienste im Rahmen des technisch-organisatorischen Datenschutzes leisten können. Dieses Thema wird im Abschnitt Zutrittskontrolle wieder aufge-nommen. Am Beispiel wird ein anonymes RFID-basiertes Zugangskontroll- und Abre-chungsverfahren in einem Schwimmbad vorgestellt, das in ähnlicher Weise derzeit in einigen Schwimmbädern mittels kontaktbe-hafteter Chipkarten implementiert ist: Dazu werden an die Besucher Chipkarten ausge-geben, die Zutritte zu bestimmten Bereichen wie z. B. Saunen regeln und auch Abrech-nungen z.B. von Massagen oder Getränken ermöglichen. Anhand der Umsetzung dieses Verfahrens mit RFID-Techniken versucht der Autor zu zeigen, „dass die RFID-Technologie – vernünftig verwendet – durchaus als datenschutzfreundlich be-zeichnet werden kann“. Dies hat aber nie-mand ernstlich bestritten – mit nahezu jeder Technik läßt sich, „vernünftig angewendet“, Gutes tun – so auch eine datenschutzfreund-liche Datenverarbeitung. Den Nachweis, dass RFIDs nicht nur datenschutzgerecht eingesetzt werden können, sondern als Mittel und Maßnahmen für den technisch-organisatorischen Datenschutz geeignet sind und „hervorragende Dienste“ leisten kön-nen, hat der Autor damit aber nicht erbracht.

Aber dennoch ist dieses Werk gut geeig-net, Datenschutzbeauftragten Anleitungen zur Umsetzung von Datenschutz- und ins-besondere von Datensicherheitsanforderun-gen in ganz praktischer Art und Weise zu geben. Insbesondere „Neulingen“ unter den Datenschutzbeauftragten, aber auch weniger technisch versierten Datenschutzbeauftrag-ten kann dieses Buch daher empfohlen werden.