Datenschutz liegt in der Verantwortung der Führungskräfte

Drei Monate nach Inkrafttreten der DSGVO besteht noch akuter Handlungsbedarf

[datensicherheit.de, 05.09.2018] Obwohl sich die meisten DSGVO-Anforderungen für Online-Anwendungen vergleichsweise einfach umsetzen ließen, gingen viele Unternehmen und Mitarbeiter auch bei einfachsten Sicherheitsanforderungen weiterhin fahrlässig mit dem Datenschutz um. Der Datenschutzexperte René Rautenberg von ER Secure hierzu: „Auch drei Monate nach Inkrafttreten der europäischen Datenschutz-Grundverordnung (DSGVO) stellen wir in Gesprächen mit Kunden fest, dass selbst einfache Hürden oft noch nicht genommen worden sind.“ Er rät zu einer konsequenten unternehmensinternen Kommunikation. Das Thema Datenschutz müsse von Führungskräften „in die Teams getragen und regelmäßig nachgehalten“ werden – dies führe automatisch zu mehr Reflexion.

Auf Platz 1 der Passwörter noch immer „123456“…

Ein Blick auf Studien zur Passwortvergabe verdeutlicht laut ER Secure den Nachholbedarf: So habe eine aktuelle Auswertung von 12,9 Millionen gestohlenen Identitätsdaten aus Leaks ergeben, wie einfach es sich viele Nutzer in Deutschland allein bei der Wahl des Passwortes machten.
Platz 1 als meistverwendetes Kennwort belegt demnach „123456“, gefolgt von „12345678“ auf Platz 2 und „1234“ auf Rang 3. Dass bei der Kombination von Buchstaben und Zahlen etwas mehr Kreativität gefragt sei, zeige ebenso das am zehnthäufigsten verwendete Passwort „hallo123“. Rautenberg: „Dabei minimiert ein sicheres Passwort die Gefahr von Hackerangriffen und Datenmissbrauch – und schützt Unternehmen im Ernstfall davor, einen Datendiebstahl an die Behörde melden zu müssen.“
Ein bewusst kompliziertes Passwort sollte aus Groß- und Kleinbuchstaben sowie Ziffern und Sonderzeichen bestehen. „Wir haben beobachtet, dass besonders Unternehmen ohne IT-Abteilung Nachholbedarf bei diesem Thema haben, weil es IT-seitig keine entsprechenden Anforderungen bei der Passwortvergabe gibt“, berichtet Rautenberg.

Bildschirmsperren auf allen Geräten!

Jeder Mitarbeiter sollte für seinen PC oder sein Notebook ein Kennwort haben, das nur er selbst kennt. Außerdem sollten alle Passwörter mindestens alle sechs Wochen geändert werden. Zusätzlich rät Rautenberg zu einer automatischen Bildschirmsperre nach spätestens 20 Minuten inaktiver Zeit:
„Eine Bildschirmsperre schützt die EDV-Daten. Je kürzer die Zeit, desto besser.“ Das gelte ebenso für das Dienst-Smartphone. Auch hierfür sollten Nutzer eine komplizierte Mustersperre wählen. Studien hätten gezeigt, dass sich durch bloße Beobachtung 95 Prozent der Lockscreens nach fünf Versuchen entschlüsseln ließen.

Impressumspflicht auf allen Webseiten!

Die DSGVO betreffe alle nicht-privaten Websites. Dazu zählten Vereine, NGOs, Blogger, Selbstständige, aber auch KMUs und Großunternehmen. „Die Impressumspflicht auf jeder Homepage ist für die meisten Freiberufler und Unternehmen nichts Neues mehr. Durch die neue DSGVO muss das Impressum von jeder Unterseite aufrufbar sein. Zudem muss eine Datenschutzerklärung vorhanden sein. Diese gibt an, welche Daten von wem, warum und wie weiterverarbeitet werden“, so Rautenberg.

Ziele der DSGVO:

Ob Homepage-Login, Kontaktformular oder Newsletter-Aussendung: Alle diese Wege führten ins World Wide Web – und damit zum Thema Datenschutz. „Auch wenn es drei Monate nach Inkrafttreten scheinbar etwas ruhiger um das Thema geworden ist: Das Ziel der DSGVO bleibt Datenminimierung und Transparenz“, betont Rautenberg. Die Daten der Interessenten müssten verschlüsselt werden. Bei einer unverschlüsselten Übertragung könnten Fremde Benutzernamen und Kennwörter oder E-Mail-Adressen mitlesen und diese missbrauchen.
Ein SSL-Zertifikat sei laut DGSVO grundsätzlich nicht vorausgesetzt. Entschließen sich Betreiber jedoch für die Kommunikation mit Newslettern oder Kontaktformularen, sei ein Zertifikat erforderlich. „IP-Adressen werden als personenbezogene Daten eingeordnet. Bei der Übertragung von Daten zwischen Servern im Web werden diese immer übermittelt. Die Anhäufung von Daten lässt sich also kaum vermeiden.“

Weitere Informationen zum Thema:

datensicherheit.de, 26.07.2018
Cybersicherheit: Die Lücke zwischen Schutz und Risiko

datensicherheit.de, 04.07.2018
Cybersicherheit: Führungskräften in Europa müssen sensibilisiert werden

datensicherheit.de, 02.07.2018
Unterschätztes Risiko Insider-Angriff

datensicherheit.de, 25.06.2018
Angriffe auf Cyber-Sicherheit bei einem Drittel der Industriebetriebe