[datensicherheit.de, 19.09.2014] Trotz Sensibilisierung für das Thema Datenschutz und Datensicherheit beim Austausch geschäftsrelevanter Informationen per E-Mail vernachlässigen offenbar zahlreiche Unternehmen und Behörden immer noch ihre E-Mail-Sicherheit: In einem automatisierten TLS-Check des Bayerischen Landesamtes für die Datenschutzaufsicht fehlte bei rund einem Drittel von 2000 Probanden die Transportverschlüsselung TLS sowie die Unterstützung von Perfect Forward Secrecy für den E-Mail-Versand.

„Unternehmen sind nach Paragraph 9 des Bundesdatenschutzgesetzes dazu verpflichtet, Verschlüsselungsverfahren bei den von ihnen eingesetzten Mailservern nach aktuellem Stand der Technik zu verwenden“, macht Andreas Richter, Vice President Marketing bei GBS, aufmerksam. In diesem Zusammenhang erachten die Datenschützer den Einsatz von StartTLS zur Verschlüsselung der Kommunikation zwischen Mailservern als erforderlich.

Der Einsatz des Verschlüsselungsprotokolls StartTLS entspricht damit zwar dem Stand der Technik, ist jedoch kein Ersatz für eine Ende-zu-Ende-Verschlüsselung mit PGP oder S/MIME: „TLS ist die serverseitige Verschlüsselung des Datenaustausches auf Transportebene. Konkret bedeutet dies, dass die E-Mail-Übertragung vom sendenden zum empfangenden Mailserver verschlüsselt erfolgt. Diese kann jedoch von technisch gut ausgerüsteten Hackern angegriffen werden. Eine Ende-zu-Ende-Verschlüsselung dagegen verschlüsselt zusätzlich die Inhalte einer E-Mail gegen unbefugte Zugriffe“, erklärt Richter. Der Einsatz einer solchen E-Mail-Verschlüsselungslösung gestalte sich aufgrund ihrer Komplexität für viele Unternehmen jedoch schwierig und verhindere oftmals einen unternehmensweiten Einsatz.

© GROUP Business Software AG

GROUP Business Software mahnt zusätzliche Verschlüsselung der E-Mail-Inhalte an

Die Verschlüsselungslösung iQ.Suite Crypt Pro von GBS wird dagegen auf dem vorhandenen Mailserver integriert und macht somit eine Installation auf den Arbeitsplätzen überflüssig. Der gesamte Prozess der Ver- und Entschlüsselung wird damit auf dem Server realisiert. Das zentrale, serverbasierte Verfahren reduziert die Anzahl notwendiger Schlüssel sowie Zertifikate, integriert PKI-Strukturen und ermöglicht so ein effizientes Schlüssel- und Zertifikatsmanagement. Das Produkt unterstützt zudem die gängigen Verfahren wie PGP und S/MIME.

Die Integration der Lösung ist sowohl unter IBM Notes/Domino als auch Microsoft Exchange/SMTP möglich und erlaubt zudem einen geräteunabhängigen Einsatz auf Smartphones und Tablets.

Weitere Informationen zum Thema:

GBS
E-Mail Sicherheit

[datensicherheit.de, 07.06.2012] Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat das derzeit laufende Verfahren gegen die Gesichtserkennungsfunktion von facebook unterbrochen:
facebook habe gegenüber dem HmbBfDI erklärt, dass es mit dem irischen Datenschutzbeauftragten über die Änderung des Einsatzes der
automatischen Gesichtserkennung in Verhandlungen eingetreten sei. Der unmittelbar bevorstehende Erlass einer Anordnungsverfügung gegen facebook wurde daher ausgesetzt. Der Hamburgische Datenschutzbeauftragte will die Ergebnisse dieser Gespräche zunächst abwarten und auf deren Grundlage über den Fortgang des eigenen Verfahrens entscheiden.

Ziel des Anordnungsverfahrens ist nach HmbBfDI-Angaben die Erfüllung der folgenden datenschutzrechtlichen Anforderungen durch facebook:

1.  Sicherstellung, dass Auswertung digitaler Fotos zum Zwecke derGesichtserkennung nur auf der Grundlage einer freiwilligen, informierten und bewussten Einwilligung der Nutzerinnen und Nutzer erfolgt.
2. Umfassende Information der Nutzerinnen und Nutzer vor der Erteilung der Einwilligung über die Funktionsweise der Erstellung der biometrischen Erkennungsmuster und deren Risiken für die Privatsphäre in einfacher und verständlicher Weise.
3. Löschung der ohne Einwilligung erstellten biometrischen Erkennungsmuster.
4. Zwingende Erstellung einer ausführlichen Verfahrensdokumentation zum Nachweis der Umsetzung der genannten Maßnahmen durch facebook.

Seit Juni 2011 steht die Hamburger Datenschutzaufsicht mit der Facebook Inc. in Verhandlungen über die Zulässigkeit der Gesichtserkennung. Da eine einvernehmliche Lösung bislang nicht zu erzielen gewesen sei, habe der HmbBfDI Ende 2011 ein formales Verwaltungsverfahren eingeleitet. Ziel sei es, die Umsetzung der gesetzlichen Anforderungen durch einen Anordnungsverfügung durchzusetzen.
Er werte den ihnen gegenüber geäußerten Willen von facebook, die europäischen Vorgaben bei der Nutzung biometrischer Daten umsetzen zu wollen, als positives Signal, so Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit. Für die Entscheidung des Fortgangs ihres Verfahrens sei von maßgeblicher Bedeutung, ob facebook seinen Nutzerinnen und Nutzern mehr Einflussnahme auf die Art des Umgangs mit deren Daten gewährt. Sollte dies nicht der Fall sein, würden sie das nunmehr angehaltene Verfahren unverzüglich mit dem Erlass der Anordnung fortsetzen.