4. arbeitskreis „technische und organisatorische datenschutzfragen“

Durch die öffentliche Debatte um eindeutige Kennungen wurde nebenbei auch bekannt, dass selbst einige Softwarehersteller
den Nutzern ihrer Produkte derartige Kennungen zuordnen. Ein Beispiel hierfür war die Online-Registrierung des Betriebssystems
Windows 98 der Firma Microsoft. Jedem Anwender wurde eine eindeutige Identifizierungsnummer (GUID _ Globally
Unique Identifier) zugeordnet, die zusammen mit weiteren Systemdaten nicht nur in der Registrierdatenbank des Betriebssystems
gespeichert, sondern unter bestimmten Voraussetzungen von Microsoft abgerufen und auch in der Kundendatenbank
des Unternehmens abgelegt werden kann. Die GUID fanden Spezialisten dann sogar in Dokumenten wieder, die von
Textverarbeitungsprogrammen (Word 97) und Tabellenkalkulationssoftware (Excel 97) erzeugt wurden.
Nach massiven Protesten von Anwendern und Datenschützern bestätigte Microsoft, dass tatsächlich Informationen von
Rechnern ihrer Kunden ohne deren Wissen abgerufen werden konnten. Microsoft-Manager versicherten jedoch, dass es sich
dabei lediglich um einen Softwarefehler handele, der umgehend behoben würde. Die zweite Ausgabe von Windows 98 übertrug
dann diese Identifizierungsnummer tatsächlich nicht mehr. Nach wie vor werden jedoch bei der Online-Registrierung
Daten übertragen. Ob aber alle Nutzer wissen, dass man auf seinem Rechner eine bestimmte Datei (Cookie) löschen muss,
um diese Übermittlung zu verhindern, ist zu bezweifeln.
Datenschützer fordern schon seit Jahren, transparente und damit datenschutzfreundliche Hard- und Softwareprodukte zu
entwickeln und herzustellen. Die beiden Beispiele lassen jedoch befürchten, dass es vielfach noch an der erforderlichen Transparenz
für den Nutzer fehlt und von Datenschutzfreundlichkeit deshalb oftmals nicht die Rede sein kann. Die weltweiten
Diskussionen um die Seriennummer des Pentium III und um die Online-Registrierung von Softwareprodukten haben die
Datenschutzbeauftragten von Bund und Ländern zum Anlass genommen, in einer gemeinsamen Entschließung die Hersteller
von Informations- und Kommunikationstechnik aufzufordern, Hard- und Software so zu entwickeln, dass sich Anwender und
unabhängige Dritte jederzeit von der Wirksamkeit der Sicherheitsvorkehrungen überzeugen können (siehe 11. Anlage). Insbesondere
ist zu verhindern, dass Daten von Nutzern übermittelt werden, ohne dass diese es bemerken.
Den Anwendern moderner Technik empfehlen die Datenschutzbeauftragten, nur solche Produkte einzusetzen, die auch eine
Transparenz der Verfahrensabläufe gewährleisten. Ein Mittel zur Gewährleistung dieser Transparenz ist beispielsweise die
Zertifizierung von informationstechnischen Produkten und Verfahren durch unabhängige Stellen. Unter Punkt 3.16.6 ist
beschrieben, auf welche Weise international einheitliche Prüf- und Bewertungskriterien dazu beitragen können, dass Nutzer
moderner Technik auf die korrekte und transparente Funktion der notwendigen Sicherheitsfunktionen von Hard- und Software
vertrauen können.
3.16.8 Orten von Mobiltelefonen
In meinem Dritten Tätigkeitsbericht habe ich im Punkt 3.18.1 unter anderem erläutert, warum vertrauliches Telefonieren mit
dem Mobiltelefon nicht immer gewährleistet ist. Neben den dort beschriebenen Möglichkeiten des Missbrauchs darf man
aber auch andere Gefahren, die von dieser Technik ausgehen, nicht unterschätzen. Mobiltelefone sind kleine Funkgeräte, die
beim Senden durch ihre hochfrequente Abstrahlung andere empfindliche elektronische Geräte stören können. Deshalb ist die
Benutzung beispielsweise in Flugzeugen und in vielen Bereichen von Krankenhäusern verboten. Hier besteht die Gefahr,
dass lebensnotwendige Systeme in ihrer Funktion beeinträchtigt werden.
Seit einiger Zeit sind Geräte auf dem Markt, mit deren Hilfe festgestellt werden kann, ob in einem bestimmten Umkreis Mobiltelefone
in Betrieb sind. Nachdem ich die Abhörmöglichkeiten von Mobiltelefonen bereits untersucht hatte, lag es nahe zu
prüfen, ob diese Ortungsgeräte mehr können, als nur die Existenz eines eingeschalteten Telefons zu ermitteln.
Auf meine Anfrage hin stellte mir eine Firma freundlicherweise ein Exemplar aus ihrer Produktion leihweise zur Verfügung,
um es auf datenschutzrelevante Aspekte zu überprüfen.
Der „Mobifinder“ signalisiert optisch oder akustisch die Empfangsfeldstärke mit Datum und Uhrzeit von sendenden Mobiltelefonen.
Jedes Gerät sendet beim Einbuchen oder beim Zellenwechsel, während des Wählvorganges, im Gesprächszustand
und bei der Antwort auf eine so genannte Paging-Request-Anfrage im Stand-by-Modus. Der Mobifinder kann die Empfangspegel
sowie das Datum und die Uhrzeit der letzten 200 Meldungen speichern. Zur Auswertung können diese Meldungen
auf dem Display angezeigt oder mit einer speziellen Übertragungseinrichtung auf einen Personalcomputer überspielt
werden.
Die gemessene Empfangsfeldstärke wird als Maß für die Entfernung des Mobiltelefons vom Mobifinder angenommen. Die
Rufnummern oder die Gerätekennung (IMSI) werden nicht erkannt und damit nicht angezeigt oder gespeichert. Der Mobi-
74 Vierter Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Mecklenburg-Vorpommern