Informationsschutz im Zeitalter von Wikileaks - ISSS
Informationsschutz im Zeitalter von Wikileaks - ISSS
Informationsschutz im Zeitalter von Wikileaks - ISSS
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
<strong>Informationsschutz</strong> <strong>im</strong><br />
<strong>Zeitalter</strong> <strong>von</strong> WikiLeaks<br />
<strong>ISSS</strong> Abendveranstaltung mit Podiumsdiskussion<br />
22.3.2011, Novotel Zürich-West<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” 1
Fachstatements<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Fachstatements<br />
• „Bedeutung der Verfügbarkeit <strong>von</strong><br />
Information für den Bürger“<br />
<strong>von</strong> Fürsprech H.P. Thür<br />
Eidg. Datenschutz und<br />
Öffentlichkeitsbeauftragter<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Bedeutung der Verfügbarkeit <strong>von</strong><br />
Information für den Bürger<br />
<strong>ISSS</strong> Abendveranstaltung mit Podiumsdiskussion<br />
«<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks»<br />
22.3.2011, Novotel Zürich-West<br />
Hanspeter Thür<br />
Eidg. Datenschutz- und Öffentlichkeitsbeauftragter<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” 4
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Das Öffentlichkeitsgesetz<br />
Art. 6 Öffentlichkeitsprinzip<br />
• 1 Jede Person hat das Recht, amtliche<br />
Dokumente einzusehen und <strong>von</strong> den Behörden<br />
Auskünfte über den Inhalt amtlicher Dokumente<br />
zu erhalten.<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Öffentlichkeitsgesetz<br />
Art. 7 Ausnahmen<br />
1 Der Zugang zu amtlichen Dokumenten wird eingeschränkt,<br />
aufgeschoben oder verweigert, wenn durch seine Gewährung:<br />
• a. die freie Meinungs- und Willensbildung einer diesem<br />
Gesetz unterstellten Behörde, eines anderen legislativen oder<br />
administrativen Organes oder einer gerichtlichen Instanz<br />
wesentlich beeinträchtigt werden kann;<br />
• b. die zielkonforme Durchführung konkreter behördlicher<br />
Massnahmen beeinträchtigt würde;<br />
• c. die innere oder äussere Sicherheit der Schweiz gefährdet<br />
werden kann;<br />
• d. die aussenpolitischen Interessen oder die internationalen<br />
Beziehungen der Schweiz beeinträchtigt werden können;<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Öffentlichkeitsgesetz<br />
Art. 7 Ausnahmen (Fortsetzung)<br />
1 Der Zugang zu amtlichen Dokumenten wird eingeschränkt,<br />
aufgeschoben oder verweigert, wenn durch seine Gewährung:<br />
• e. die Beziehungen zwischen dem Bund und den Kantonen<br />
oder zwischen Kantonen beeinträchtigt werden können;<br />
• f. die wirtschafts-, geld- und währungspolitischen Interessen<br />
der Schweiz gefährdet werden können;<br />
• g. Berufs-, Geschäfts- oder Fabrikationsgehe<strong>im</strong>nisse offenbart<br />
werden können;<br />
• h. Informationen vermittelt werden können, die der Behörde<br />
<strong>von</strong> Dritten freiwillig mitgeteilt worden sind und deren<br />
Gehe<strong>im</strong>haltung die Behörde zugesichert hat.<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Öffentlichkeitsgesetz<br />
Einige Beispiele<br />
• Fall Eberle<br />
• Führungs- und Controllinginstrumente<br />
• IV-Checkliste<br />
• Verwaltungskommissionen (EKIF)<br />
• Zusatzdokumente zur Staatsrechnung<br />
• Subventionen<br />
• Swissmedic (Zulassungsdossiers)<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Bundespersonalgesetz / 1<br />
Art. 22a1 Anzeigepflichten, Anzeigerechte und<br />
Schutz<br />
• 1 Die Angestellten sind verpflichtet, alle <strong>von</strong><br />
Amtes wegen zu verfolgenden Verbrechen oder<br />
Vergehen, die sie bei ihrer amtlichen Tätigkeit<br />
festgestellt haben oder die ihnen gemeldet<br />
worden sind, den Strafverfolgungsbehörden,<br />
ihren Vorgesetzten oder der Eidgenössischen<br />
Finanzkontrolle (EFK) anzuzeigen.<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Bundespersonalgesetz/2<br />
• 3 Die Anzeigepflicht entfällt für Personen, die nach den<br />
Artikeln 113 Absatz 1, 168 und 169 der<br />
Strafprozessordnung vom 5. Oktober 20072 zur<br />
Aussage- oder Zeugnisverweigerung berechtigt sind.<br />
• 5 Wer in guten Treuen eine Anzeige oder Meldung<br />
erstattet oder wer als Zeuge oder Zeugin ausgesagt hat,<br />
darf deswegen nicht in seiner beruflichen Stellung<br />
benachteiligt werden.<br />
• 4 Die Angestellten sind berechtigt, andere<br />
Unregelmässigkeiten, die sie bei ihrer amtlichen Tätigkeit<br />
festgestellt haben oder die ihnen gemeldet worden sind,<br />
der EFK zu melden. Die EFK klärt den Sachverhalt ab<br />
und trifft die notwendigen Massnahmen.<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Obligationenrecht/ Änderung<br />
Meldung <strong>von</strong> Missständen (Art. 321a bis OR)<br />
• Meldung an Arbeitgeber<br />
• Meldung an zuständige Behörde<br />
• Information der Öffentlichkeit<br />
• Kündigungsschutz<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Sarbanes-Oxley Act<br />
Insbesondere das Whistleblowing<br />
• EU-Artikel-29-Datenschutzgruppe vom<br />
1. Februar 2006<br />
(http://ec.europa.eu/justice_home/fsj/privacy/doc<br />
s/wpdocs/2006/wp117_de.pdf)<br />
• 11. Tätigkeitsbericht EDOEB 2003/2004, S. 50<br />
(http://www.edoeb.admin.ch/dokumentation/0044<br />
5/00 09/00511/index.html?lang=de)<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Danke für Ihre Aufmerksamkeit!<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Fachstatements<br />
• „Wie WikiLeaks die Medienwelt verändert“<br />
<strong>von</strong> Eric Gujer<br />
Mitglied Redaktion International der Neuen<br />
Zürcher Zeitung<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Fachstatements<br />
• "Ist WikiLeaks ein geeignetes Mittel zur<br />
Korruptionsbekämpfung?„<br />
<strong>von</strong> Dr. Zora Ledergerber<br />
Transparency International Schweiz<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
<strong>ISSS</strong> Veranstaltung:<br />
“<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks”<br />
22.03.2011<br />
Dr. Zora Ledergerber<br />
Director<br />
17
1. Intern<br />
2. Extern - zuständige Behörden<br />
3. Extern – Medien<br />
-----------------------------------------<br />
4. <strong>Wikileaks</strong>
Finanzielle Anreize: 15-30% der Deliktsumme für die Hinweisgeber<br />
• Securities and Exchange Commission (SEC) neu<br />
-> Hinweise zu Insiderhandel<br />
• False Cla<strong>im</strong>s Act<br />
-> Hinweise zu Betrug <strong>im</strong> Beschaffungswesen der Armee<br />
• Internal Revenue Service (IRS)<br />
-> Hinweise zu Steuerbetrug<br />
• Health Care Financing Administration<br />
-> Hinweise zu Krankenversicherungsbetrug<br />
• Verteidigungsministerium<br />
-> Hinweise zu illegalem Waffenhandel
• 12 Monate vor Einrichtung des Systems 0<br />
• Nach Einrichtung ab 2003 bis 2008 insgesamt 1544<br />
• Da<strong>von</strong> führten zur Einleitung eines Strafverfahrens 400<br />
Bsp. VW Fall<br />
• Da<strong>von</strong> noch in Bearbeitung 211<br />
• Nach Vorabprüfung nicht weiter verfolgt 300<br />
• Doppelmeldungen 292<br />
• Keinerlei Ermittlungsansätze 222
• Verurteilungen 22<br />
• Korruptionsdelikte 5<br />
• Betrug 11<br />
• Sonstige Wirtschaftsdelikte 6<br />
• Einstellungen gegen Auflage 13<br />
• Korruptionsdelikte 4<br />
• Erwartete weitere Verurteilungen 18<br />
bei noch laufenden Ermittlungsverfahren
Evaluation <strong>im</strong> Auftrage des LK NI <strong>im</strong> Jahr 2006. Resultat:<br />
• Denunziantentum wird nicht gefördert<br />
• Kommunikation zwischen der Ermittlungsbehörde und dem<br />
anonymen Hinweisgeber ist für den Ermittlungserfolg förderlich<br />
• Die Ermittlungsbehörden gehen mit den aus dem System<br />
generierten Verdachtsfällen sensibel um
ACFE<br />
2008
23.03.2011 Dr. Zora Ledergerber 30
Dr. Zora Ledergerber, Integrity Line GmbH<br />
E-mail<br />
Telefon<br />
zora.ledergerber@integrityline.org<br />
+ 41 32 512 35 53 Geschäft<br />
+ 41 76 339 41 18 Mobile<br />
Adresse Englischviertelstr. 18<br />
8032 Zürich
Fachstatements<br />
• „Ermittlungen bei Information Leaks“<br />
<strong>von</strong> Felix Ceccato<br />
Bundeskr<strong>im</strong>inalpolizei (BKP)<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Ermittlungen bei Informations Leaks<br />
Kurzreferat zu Ansätzen, Möglichkeiten und Grenzen bei<br />
der Ermittlung<br />
Felix Ceccato<br />
Fedpol / BKP<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” 34
Beispiel: Fall Bradley Manning<br />
Ereignis<br />
<strong>Wikileaks</strong><br />
Publikation<br />
Ermittlung<br />
Quellenschutz<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Möglichkeiten und Grenzen der<br />
Ermittlung / Fazit<br />
• Umsetzung der Sicherheitsstandards<br />
• Ausbildung der Behörden / Früherkennung <strong>von</strong><br />
strafbarem Verhalten / Datenaustausch<br />
• Operative Zusammenarbeit / Trägheit der<br />
Behörden bei internationalen Ermittlungen<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Möglichkeiten und Grenzen der<br />
Ermittlung / Fazit<br />
• Technische Voraussetzungen zur<br />
Beweismittelführung<br />
• Rechtliche Rahmenbedingungen StGB, StPO,<br />
IRSG, BÜPF, Cybercr<strong>im</strong>e, Datenschutz,<br />
Quellenschutz,<br />
• US-Richter zwingt Twitter zum WikiLeaks-Verrat<br />
• Verantwortlichkeit der Provider<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Danke für Ihre Aufmerksamkeit!<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Fachstatements<br />
• „Unternehmerischer <strong>Informationsschutz</strong> <strong>im</strong><br />
<strong>Zeitalter</strong> <strong>von</strong> WikiLeaks“<br />
<strong>von</strong> Crispin Tschirky<br />
Partner E3<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Unternehmerischer <strong>Informationsschutz</strong><br />
<strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks<br />
<strong>ISSS</strong> Abendveranstaltung mit Podiumsdiskussion<br />
«<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks»<br />
22.3.2011, Novotel Zürich-West<br />
Crispin Tschirky<br />
CTO, e3 AG<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” 40
Kritische Daten?<br />
› Kunden-Daten<br />
› Finanz- und Steuer-Daten<br />
› Bürger-Daten<br />
› Personal-Daten<br />
› Finanz- und Steuer-Daten<br />
› Gesundheits-Daten<br />
› Konstruktions-Pläne<br />
› Produkte-Daten, Preis-Informationen<br />
› Forschungs- und Entwicklungs-Daten<br />
› Das Problem hat durch <strong>Wikileaks</strong> und Bankdaten<br />
neue Aktualität bekommen<br />
› ES IST NICHT NUR EIN BANKEN-PROBLEM<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Was können DLP Systeme erkennen<br />
› Bekannte persönliche Daten<br />
› Beschreibbare Daten (z.B.<br />
Kontonummern)<br />
› Text-Teile, grössere Inhalte<br />
(z.B. Krankheitsdiagnosen, Protokolle)<br />
› Keywords (z.B. unerwünschte Wörter)<br />
› Klassifizierungen (z.B. „GEHEIM“)<br />
› Typen (z.B. Konstruktionspläne, Bilder,<br />
Briefe)<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Vorgehensweise:<br />
1<br />
2<br />
3<br />
4<br />
5<br />
6<br />
› Analyse - wo können Daten abwandern<br />
› Quantifizierung – Wo/ Welche die<br />
Daten? Überwachen<br />
› Klassifizieren – Rechte DRM, Gruppen<br />
› Sensibilisierung - User gegen<br />
Unvorsichtigkeit schulen<br />
› Prävention - ungewünschte<br />
Datenabflüsse verhindern<br />
› Verfolgung - Verursacher belangen<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Danke für Ihre Aufmerksamkeit!<br />
Information Security Society Switzerland “<strong>Informationsschutz</strong> <strong>im</strong> <strong>Zeitalter</strong> <strong>von</strong> WikiLeaks” <strong>ISSS</strong>2008X627993
Change language