4. arbeitskreis „technische und organisatorische datenschutzfragen“

4. ARBEITSKREIS
„TECHNISCHE UND ORGANISATORISCHE
DATENSCHUTZFRAGEN“ (AK TECHNIK)
Im Berichtszeitraum fanden unter meiner Federführung fünf Sitzungen des Arbeitskreises in Berlin, Essen und Schwerin
statt. Die gemeinsame Arbeit der Techniker aus den Dienststellen aller Datenschutzbeauftragten in diesem Gremium war
insbesondere von der ständig zunehmenden – vielfach auch länderübergreifenden – Vernetzung der Behörden geprägt. Im
Mittelpunkt unserer Beratungen standen deshalb unter anderem datenschutztechnische Aspekte der Nutzung des Internet
durch Behörden, die Anwendung kryptographischer Verfahren zum Schutz von personenbezogenen Daten bei ihrer Speicherung
oder Übermittlung und die Revisionssicherheit der verwendeten Hard- und Softwarekomponenten.
Bereits im Herbst 1996 hatte der Arbeitskreis in der Orientierungshilfe „Internet“ die Risiken bei der Nutzung dieses Mediums
beschrieben und Empfehlungen gegeben, wie diese Risiken minimiert werden können. Die Technik entwickelt sich gerade
in diesem Bereich jedoch so schnell, dass schon wenig später eine Überarbeitung des Textes erforderlich war. Im September
1998 legte der AK Technik deshalb eine zweite aktualisierte Auflage vor. Dank tatkräftiger Unterstützung einiger
Sponsoren konnten die Texte in Form einer handlichen Broschüre veröffentlicht werden. Zurzeit ist die dritte Auflage der
Orientierungshilfe in Vorbereitung. Hier wird ein Abschnitt hinzukommen, in dem insbesondere die Auswirkungen der neuen
Gesetze im Medien- und Telekommunikationsbereich auf den Betrieb von Firewalls erläutert werden (siehe Punkt 3.16.4).
Auch im Rahmen des Arbeitskreises hat es sich bewährt, intensive Kontakte zu Fachleuten aus Wissenschaft, Wirtschaft und
Verwaltung zu pflegen, damit deren Fachwissen in die Beratungstätigkeit der Datenschutzbeauftragten einfließen kann. Im
Herbst 1998 und im Sommer 1999 war der AK Technik beispielsweise von der Bundesdruckerei nach Berlin eingeladen
worden, um sich vor Ort über neue internetbasierte Verfahren im Zusammenhang mit der Beantragung und Herstellung von
Personalausweisen und Führerscheinen zu informieren. Einerseits konnten dadurch schon in der Projektierungsphase Hinweise
zur datenschutzgerechten Ausgestaltung dieser Verfahren berücksichtigt werden (siehe Punkt 3.16.12), andererseits
hatten die Arbeitskreismitglieder die Möglichkeit, sich insbesondere im Hinblick auf eine effektive Beratungstätigkeit bei
vergleichbaren Anwendungen über den Einsatz moderner kryptographischer Verfahren an einem praktischen Beispiel zu
informieren.
Im Herbst 1999 tagte der AK Technik bei der TÜV Informationstechnik GmbH (TÜViT) in Essen. Die Gastgeber berichteten
unter anderem ausführlich über die Prüfung und Zertifizierung von technischen Komponenten, die für die sichere Nutzung
des Internet von Bedeutung sind (beispielsweise Firewall-Komponenten). Weiterhin erläuterten die Fachleute des TÜViT,
welche Rolle dabei international gültige Sicherheitskriterien wie ITSEC und Common Criteria spielen (siehe Punkt 3.16.6).
Erörtert wurde auch, auf welche Weise die Datenschutzbeauftragten bei ihren Beratungen und Kontrollen das beim TÜViT
vorhandene Fachwissen nutzen können. Ein Ergebnis war beispielsweise die Gründung einer gemeinsamen Arbeitsgruppe,
die einheitliche Prüfkriterien für datenschutzfreundliche Produkte entwickeln soll.
Im Zusammenhang mit Fragen der Transparenz und Revisionssicherheit von Hard- und Software befasste sich der AK Technik
auch mit der Seriennummer des Pentium III und mit der Online-Registrierung von Softwareprodukten (siehe Punkt
3.16.7). Die Mitglieder bereiteten für die 57. Konferenz der Datenschutzbeauftragten einen entsprechenden Entschließungsentwurf
vor. Unter anderem werden darin Hard- und Softwarehersteller aufgefordert, ihre Produkte so zu entwickeln und
herzustellen, dass Anwender und unabhängige Dritte sich jederzeit von der Wirksamkeit von Sicherheitsvorkehrungen überzeugen
können. Die Konferenz verabschiedete die Entschließung und empfahl den Anwendern moderner Technik, nur solche
Produkte einzusetzen, die auch eine Transparenz der Verfahrensabläufe gewährleisten (siehe 11. Anlage).
Die technische Kompetenz der Arbeitskreismitglieder war auch im Zusammenhang mit der anstehenden Novellierung der
Datenschutzgesetze von Bund und Ländern gefragt. Seit langem wird völlig zu Recht kritisiert, dass insbesondere die Vorschriften
zu den technischen und organisatorischen Maßnahmen nicht mehr dem Entwicklungsstand entsprechen. Der AK
Technik hatte 1998 von der Datenschutzkonferenz deshalb den Auftrag erhalten, Vorschläge für die Vereinheitlichung und
Weiterentwicklung der bisher gültigen Technikregelungen zu unterbreiten sowie Empfehlungen für neue Regelungen zu
speziellen technischen Komponenten wie Chipkarten oder Laptops zu erarbeiten. Der Arbeitskreis hat seine Arbeitsergebnisse
im Frühjahr 1999 der 57. Konferenz vorgelegt. Die Konferenz war sich einig, dass „...das Papier bei der Novellierung der
Datenschutzgesetze von Bund und Ländern für alle Beteiligten als Hilfsmittel dienen und dazu beitragen soll, möglichst
einheitliche, dem Stand der Technik entsprechende Regelungen zum technischen und organisatorischen Datenschutz zu
finden.“
80 Vierter Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Mecklenburg-Vorpommern