Der Bayerische Landesbeauftragte für den Datenschutz 19 ...

Der Bayerische Landesbeauftragte für den Datenschutz
19. Tätigkeitsbericht, 2000; Stand: 14.12.2000
_____________________________________________________________________________
17.1.4 Prüfkriterien für datenschutzfreundliche Produkte (Common Criteria)
Im Abschnitt 19.1.2 meines 18. Tätigkeitsberichtes habe ich die wachsende Bedeutung von Si-
cherheitszertifikaten hervorgehoben, bin auf die aktuellen Probleme bei der Zertifizierung von
Sicherheitsprodukten eingegangen und habe Maßnahmen aufgezeigt, um aus dem derzeitigen
Dilemma herauszufinden.
Ein weiterer Schritt dazu erfolgte 1998 auf internationaler Ebene (verschiedene Länder Europas
sowie Nordamerikas) mit der Schaffung der „Gemeinsamen Kriterien für die Prüfung und Bewertung
der Sicherheit von Informationstechnik – Common Criteria Version 2.0 (CC)“. Bei den
Common Criteria handelt es sich um eine Weiterentwicklung und Harmonisierung der europäischen
„Information Technology Security Evaluation Criteria (ITSEC)“ von 1991, der USamerikanischen
„Trusted Computer Security Evaluation Criteria (TCSEC, Orange Book)“ von
1983 und der kanadischen „The Canadian Trusted Computer Product Evaluation Criteria V3.0e
(CTCPEC)“ von 1993.
Für den Datenschutz sind die Common Criteria von besonderer Bedeutung, weil erstmals Anforderungen
zum Schutz der Privatsphäre in einem derartigen Kriterienkatalog enthalten sind. Dabei
sind Grundsätze zur Anonymität, Pseudonymität, Unverkettbarkeit und Unbeobachtbarkeit
im Teil „Funktionale Sicherheitsanforderungen - Datenschutz“ enthalten. Mit Hilfe der in den
Common Criteria beschriebenen „Protection Profiles“ (PP, Schutzprofile) ist es möglich, unter
anderem auch datenschutzspezifische Anforderungen für bestimmte Produkttypen zu definieren.
Die Schutzprofile bieten somit für die Anwender von IuK-Technik und für sonstige Bedarfsträger
die Möglichkeit, ihre Bedürfnisse zur IT-Sicherheit sowohl den Herstellern als auch den
Zertifizierungsstellen gegenüber deutlich zum Ausdruck zu bringen - unabhängig von existierenden
Produkten. Dadurch können international vergleichbare und prüffähige Vorgaben für die
Entwicklung datenschutzfreundlicher Produkte gemacht werden.
Die Datenschutzbeauftragten von Bund und Ländern möchten die Möglichkeit nutzen, auf Basis
der Common Criteria bereits im Vorfeld von Produktentwicklungen solche Schutzprofile zu erstellen,
die wesentliche datenschutzrechtliche Anforderungen widerspiegeln. Der Arbeitskreis
„Technische und organisatorische Datenschutzfragen“ der Konferenz der Datenschutzbeauftrag-