4. arbeitskreis „technische und organisatorische datenschutzfragen“

Als Weitverkehrsnetz steht für Landesbehörden seit längerer Zeit das von der Datenverarbeitungszentrum Mecklenburg-
Vorpommern GmbH (DVZ M-V GmbH) betriebene Landesverwaltungs- und Informationsnetz (LAVINE) zur Verfügung. Es
unterstützt vor allem anwendungsbezogene Netze, zum Beispiel für die Polizei (Landesweites Polizeiinformations-System
LAPIS) oder für das Haushalts-, Kassen-, Rechnungswesen (PROfiskal, siehe Punkt 3.9.3). Für eine Reihe dieser Anwendungen
wäre es dringend notwendig, kryptographische Verfahren einzusetzen, um Integrität, Vertraulichkeit und Zurechenbarkeit
der Daten zu sichern (siehe Punkt 3.16.2).
Um auch den zentralen TK-Anlagenverbund der Landesregierung für den Datenaustausch zu nutzen, haben das Innen- und
das Kultusministerium bereits Mitte 1997 vorgeschlagen, ein Ressortverbundnetz zwischen den Ministerien aufzubauen. Für
die zu übertragenden Daten wurde kein Schutzbedarf festgestellt und auf eine Risikoanalyse für das Netz verzichtet. Auch
wurden zunächst keine organisatorischen Regelungen geplant, um die neue Kommunikationsform in den Geschäftsgang
einzubinden. Der Vorschlag enthielt lediglich technische Details auf funktioneller Ebene; sicherheitstechnische oder gar
datenschutzrechtliche Erwägungen fehlten vollständig. Dahingegen hat das Bundesamt für Sicherheit in der Informationstechnik
(BSI) in seiner Stellungnahme zu diesem Vorschlag schon für die Übertragung von gering bis mittel schutzbedürftigen
Daten mehrere technische Zusatzanforderungen, wie den Einsatz von D-Kanalfiltern und einer zentralen Firewall, gestellt
und die ausschließlich verschlüsselte Übertragung von Daten empfohlen. Ende 1999 wurde damit begonnen, einige
Empfehlungen des BSI umzusetzen. So ist beispielsweise der Einsatz von D-Kanal-Filtern vorgesehen. Solange jedoch die
vom BSI empfohlenen Maßnahmen nicht vollständig realisiert sind, dürfen meines Erachtens auch weiterhin keine personenbezogenen
Daten in diesem Netz übertragen werden.
Im Oktober 1999 hat die LKSt in Zusammenarbeit mit der DVZ M-V GmbH ein Grobkonzept zum Aufbau eines Corporate
Network für Mecklenburg-Vorpommern vorgelegt. Darin finden sich auch Vorgaben und Optionen, die sich zu datenschutzgerechten
Lösungen ausbauen lassen. So ist festgelegt, unter welchen Bedingungen Netzübergänge zum Internet und zu anderen
Netzen zulässig sind und wer für bestimmte Maßnahmen zur Netzwerksicherheit verantwortlich ist. Ferner werden
einige Teilnetze, die im Corporate Network aufgehen sollen, besser verfügbar sein, da eine durchgängig vermaschte Architektur
gewählt wurde. Darüber hinaus ist daran gedacht, den Nutzern Möglichkeiten zur Implementierung kryptographischer
Verfahren zu geben. Der IMA-IT hat bereits beschlossen, ein Feinkonzept zu erarbeiten, in dem dann mehrere Optionen wie
Leitungsverschlüsselung als Netzwerkdienst und auch Schlüsselverwaltungsdienste genauer auszuführen sind.
Das bereits vorliegende Grobkonzept weist zwar in die richtige Richtung, der LKSt gelang es bisher allerdings nicht, den
Anforderungen aus den Ressorts zu genügen. Einige Anwender haben nun selbst die Initiative ergriffen. Ende 1998 hat das
Justizministerium beispielsweise die DVZ M-V GmbH beauftragt, eine Firewall aufzubauen und zu betreiben, um das eigene
lokale Netz und die Netze der Gerichte, Staatsanwaltschaften und Justizbehörden abzusichern. Diese Stellen nutzen neben
den justizinternen Anwendungen vor allem das juristische Informationssystem JURIS sowie die elektronische Post. Ausgewählte
Benutzer benötigen weitere Internetdienste. Bei Konzeption und Realisierung hat sich das Justizministerium sowohl
von der LKSt als auch von mir beraten lassen. Die so entstandene Firewall ist ein mehrstufiges System aus Komponenten
verschiedener Hersteller, welches auch einen Virenscanner für eingehende Daten enthält. Durch diese Maßnahmen konnte
ein wirkungsvoller Grundschutz realisiert werden, der den Anforderungen an Datensicherheit und Datenschutz weitgehend
gerecht wird. Es ist beabsichtigt, die Sicherheit der Firewall durch das BSI überprüfen zu lassen.
Die Firewall ist durchaus geeignet, auch die sicherheits- und datenschutztechnischen Ansprüche der anderen Ressorts zu
erfüllen. Deshalb ist die Entscheidung der LKSt zu begrüßen, das gesamte System als zentrale Sicherheitskomponente in das
Corporate Network zu übernehmen.
Das vorliegende Grobkonzept sollte aber auch Anlass dazu sein, einige bisher unabhängig voneinander betriebene Projekte
neu zu konzipieren. So war die bisher in der Staatskanzlei betriebene Kopfstelle für elektronische Post (X.400) nicht zur
Übermittlung personenbezogener Daten vorgesehen (siehe Zweiter Tätigkeitsbericht, Punkt 2.18.2 sowie Dritter Tätigkeitsbericht,
Punkt 3.18.2); Verschlüsselung und Signatur fehlen hier völlig. Da über das Corporate Network auch das Netz TESTA
(siehe Punkt 3.16.13) und somit X.400-E-Mail angeboten wird, sollte man darüber nachdenken, X.400 über die zentralen
Komponenten des Corporate Network einzubinden. Auf diese Weise lässt sich bereits mit dem bisher vorhandenen Firewallsystem
das Datensicherheitsniveau deutlich heben. Des Weiteren sollte auch das Ressortverbundnetz auf der Basis des TK-
Anlagenverbundes nicht ohne sicherheitstechnische Verbesserungen in das Corporate Network integriert werden. Um künftig
auch personenbezogene Daten übertragen zu dürfen, sind zuvor der Schutzbedarf festzustellen, das Risiko zu analysieren und
die daraus resultierenden, vom BSI bereits angesprochenen Maßnahmen unverzüglich zu realisieren.
68 Vierter Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Mecklenburg-Vorpommern