32. Jahresbericht der Landesbeauftragten für Datenschutz (pdf ...

klar zu trennende Verantwortlichkeiten, die es erfordern, dass die oder der Datenschutzbeauftragte
des Auftraggebers nicht auch die oder der Datenschutzbeauftragte
des Auftragnehmers ist.
Des Weiteren darf die Mehrfachbestellung einer oder eines gemeinsamen Datenschutzbeauftragten
auch innerhalb eines Verbundes nicht dazu dienen, unterschiedliche
Interessen der bestellenden Stellen zu überspielen. Die oder der Datenschutzbeauftragte
ist hinsichtlich der Erfüllung der ihr oder ihm gesetzlich übertragenen
Aufgaben nur gegenüber der sie oder ihn bestellenden Stelle verantwortlich. Interessen
anderer Stellen dürfen die gesetzeskonforme Aufgabenwahrnehmung insbesondere
nicht beeinträchtigen.
Eine Klärung mit der GeNo im Hinblick auf die Bestellung von Datenschutzbeauftragten
im Klinikverbund steht aus.
4. Datenschutz durch Technikgestaltung und -bewertung
4.1 IT-Sicherheitsmanagement für das Land Bremen
Der Befall einiger Bereiche des Bremer Landesnetzes mit dem Internetwurm „Conficker“
hat zu einer erneuten Diskussion über ein effektives IT-Sicherheitsmanagement
innerhalb der bremischen Verwaltung geführt. Nicht ohne Grund, denn
mehrere Dienststellen und Eigenbetriebe waren zeitweise von der elektronischen
Kommunikation abgeschnitten. Neben vielfältigen Verbreitungswegen, wie etwa
E-Mail-Attachments, schlechte Konfiguration von Servern, Windows-Freigaben und
so weiter, sind die destruktiven Eigenschaften des Internetwurms von erheblicher
datenschutzrechtlicher Bedeutung. Im schlimmsten Fall ist der Wurm in der Lage,
die auf befallenen Rechnern gespeicherten Informationen zu durchsuchen und
Rechner via Internet zu steuern.
Nach Entdeckung der Schadsoftware wurde zwar sehr viel bewegt, um sie wieder
von den Rechnern zu entfernen, es konnte aber nicht abschließend erforscht werden,
auf welchen Wegen die Rechner infiziert wurden. Das bedeutet, es kann auch
keine zuverlässige Aussage darüber getroffen werden, ob alle Wege zukünftig für
solche oder ähnliche Angriffe blockiert sind.
Als Baustein eines umfassenden Sicherheitskonzeptes fehlt ein Antiviruskonzept,
das zum Beispiel auf einem Netzplan beruht, der Auskunft über mögliche Infektionswege,
zum Beispiel Internetzugänge, Zugänge aus als nicht vertrauenswürdig
klassifizierten Netzen, manuelle Wege, gibt. Auch Rechner mit dem höchsten Infektions-
und / oder Schadensrisiko sollten erkennbar sein, um sie besonders isolieren
beziehungsweise schützen zu können.
Auch der uns im August durch die Senatorin für Finanzen vorgelegte Entwurf eines
Informationssicherheitskonzeptes für die Freie Hansestadt Bremen (FHB-
Informationssicherheitskonzept) enthält kein allgemein verbindliches Antivirenkonzept
– für uns unter anderem ein Hinweis darauf, dass eine schnelle und durchgreifende
Reaktion auf diesen aktuellen Sicherheitsvorfall zumindest in Bezug auf
die Entwicklung allgemein verbindlicher Standards nicht möglich war. Das Konzept
berücksichtigt zwar wesentliche datenschutzrelevante Sicherheitskriterien,
kann aber als Leitlinie nur Teil eines umfassenden Sicherheitsmanagements für die
bremische Verwaltung sein, da es ohne diesen Zusammenhang kaum wirksam werden
kann. Eine wesentliche Änderung gegenüber dem FHB-Informationssicherheitskonzept
von 2003 besteht darin, die Verpflichtung der Dienststellen zur Dokumentation
der Umsetzung ihrer Sicherheitsstruktur zu erhöhen und den Grad der
Umsetzung zu überprüfen. Bei dem Versuch der Durchsetzung unserer datenschutzrechtlichen
Anforderungen sind wir häufig auf eine große Akzeptanz getroffen,
allerdings wurde genauso häufig auf die nicht vorhandenen personellen und materiellen
Ressourcen verwiesen, die es verhindern, sich ausreichend mit dem Spezialgebiet
IT-Sicherheit auseinanderzusetzen und entsprechende technische Maßnahmen
ergreifen zu können. Sicherheit hat sich zu einem komplexen Spezialgebiet
entwickelt und kann nicht neben der Aufrechterhaltung des laufenden Verwaltungsbetriebs
bearbeitet werden. Wir halten daher die Erhöhung der Verpflichtungen
der Dienststellen unter den bisherigen Bedingungen für wirkungslos.
Datenschutzrechtlich unklar ist weiterhin, wie die im § 9 des Bremischen Datenschutzgesetzes
(BremDSG) festgelegte Auftragskontrolle gegenüber den externen
Dienstleistern wahrgenommen wird, wie der Aufbau eines zentralen Verzeichnis-
— 19 —