4. arbeitskreis „technische und organisatorische datenschutzfragen“

schen anzugleichen. Als Ergebnis dieser Bemühungen wurde 1998 die Version 2.0 der so genannten Common Criteria for
Information Technology Security Evaluation (Gemeinsame Kriterien für die Prüfung und Bewertung der Sicherheit von Informationstechnik)
fertiggestellt. Damit steht erstmals ein international gültiger Kriterienkatalog zur Verfügung, der demnächst
von der Internationalen Standardisierungsorganisation (ISO) unter der Nummer 15 408 zum internationalen Standard
erklärt werden soll.
Für den Datenschutz sind die Common Criteria 2.0 von besonderer Bedeutung. Erstmals in der Geschichte derartiger Kriterienkataloge
sind Anforderungen zum Schutz der Privatsphäre enthalten. Im Teil „Funktionale Sicherheitsanforderungen“
werden im Abschnitt „Datenschutz“ Grundsätze zur Anonymität, Pseudonymität, Unverkettbarkeit und Unbeobachtbarkeit
formuliert. Mit Hilfe der in den Common Criteria beschriebenen „Protection Profiles“ können unter anderem auch datenschutzspezifische
Anforderungen für bestimmte Produkttypen definiert werden. Dadurch ist es einerseits möglich, Herstellern
von IT-Produkten international vergleichbare und – insbesondere für die Produktzertifizierung – prüffähige Vorgaben für die
Entwicklung datenschutzfreundlicher Produkte zu machen. Andererseits können Zertifizierungsstellen solche Produkte evaluieren
und prüfen. Künftige Nutzer werden in die Lage versetzt, das Maß an Datenschutzfreundlichkeit eines Produktes
bereits vor dem Einsatz objektiv einzuschätzen.
Die Datenschutzbeauftragten von Bund und Ländern könnten ihre Beratungstätigkeit weiter in das Vorfeld des Einsatzes
konkreter IT-Produkte oder -Verfahren verlagern, indem sie auf der Basis dieser Kriterienkataloge datenschutzrelevante
Empfehlungen und Forderungen formulieren. Der AK Technik hat vor diesem Hintergrund eine Arbeitsgruppe gebildet, in
der auch meine Dienststelle vertreten ist. Diese Gruppe will zunächst ein Protection Profile zu den Themen Verschlüsselung
und Pseudonymisierung erstellen (siehe auch Punkt 4). Damit könnten beispielsweise wichtige Voraussetzungen geschaffen
werden, um die Forderungen der Gesundheitsreform 2000 zur Datenübermittlung der Leistungserbringer an die Krankenkassen
umzusetzen (siehe auch Punkt 3.10.1). Den Leistungserbringern können möglicherweise nach den Common Criteria
geprüfte und zertifizierte Hard- und Softwareprodukte zur Verfügung gestellt werden, mit denen sie Patientendaten sicher
speichern können und die zu übermittelnden Daten pseudonymisieren, bevor sie diese an die Krankenkassen weiterleiten.
Um möglichst schnell zu nutzbaren Ergebnissen zu kommen, wurden das BSI und der Technische Überwachungsverein Informationstechnik
(TÜViT) Essen gebeten, in der Arbeitsgruppe mitzuarbeiten. Erfreulicherweise haben sie dieser Bitte entsprochen.
Die ersten beiden Sitzungen fanden beim BSI in Bonn in einer angenehm konstruktiven Atmosphäre statt. Der
erste Entwurf eines Protection Profiles zum Thema Pseudonymisierung und Verschlüsselung liegt bereits vor. Über den Fortgang
der Arbeiten werde ich weiter berichten.
3.16.7 Wer weiß schon noch, was in seinem Rechner passiert?
Im Frühjahr 1999 berichteten die Medien über das Vorhaben des weltweit führenden Chipherstellers Intel, seinen neuesten
Prozessor Pentium III mit einer eindeutigen, auslesbaren und nicht veränderbaren Prozessorseriennummer (PSN) zu versehen,
um vernetzt arbeitende Personalcomputer zu identifizieren. Die PSN sollte nach Intels Vorstellungen beispielsweise als
zusätzliches Authentifikationsmerkmal genutzt werden, um internetbasierte Transaktions- oder Kommunikationsvorgänge
besser als bisher abzusichern. Auch für eine effektive und manipulationssichere Bestandsverwaltung von Personalcomputern
in Firmen und Behörden sollte die PSN von Nutzen sein.
Intels Pläne lösten weltweit eine heftige Debatte über Datenschutzfragen bei der Nutzung des Pentium III aus. Es wurde befürchtet,
dass die Privatsphäre der Nutzer dieses Prozessors erheblich beeinträchtigt würde, wenn das Auslesen der PSN
durch sie selbst nicht verhindert werden kann. Weil die PSN und der Nutzername verknüpft werden können, wäre nicht auszuschließen,
dass beispielsweise alle Internetaktivitäten eines Pentium III-Nutzers lückenlos nachvollziehbar sind.
Intel stellte daraufhin in Medienveröffentlichungen und auf Informationsveranstaltungen, zu denen auch die Datenschutzbeauftragten
eingeladen waren, verschiedene Softwarekomponenten vor, mit denen die PSN durch den Nutzer ein- und ausgeschaltet
werden konnte. Die Fachöffentlichkeit wies jedoch nach, dass keines der angebotenen Produkte das Auslesen auf
sichere und für den Nutzer transparente Weise wirksam verhinderte. Da reine Softwarekomponenten offensichtlich nicht das
geforderte Ergebnis bringen konnten, appellierte Intel an die PC-Hersteller, die PSN-Abschaltung in das BIOS (Basic Input
Output System) ihrer Rechner zu integrieren. Versierte Computerspezialisten deckten aber auch beim Abschalten der PSN im
BIOS-Setup Schwachstellen auf. Auch diese Lösungen garantierten also nicht, dass die Seriennummer nur mit Zustimmung
des Anwenders auslesbar ist. Im Ergebnis bleibt für Nutzer des Pentium III auch weiterhin das Unbehagen, nie mit Sicherheit
zu wissen, wann und von wem gerade die PSN gelesen wird.
Vierter Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Mecklenburg-Vorpommern 73