21. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten ...

Die eingesetzte Methode zur Risikoanalyse stellt nicht sicher, dass Risiken
umfassend und mit Maßnahmen vergleichbarer Stärke behandelt werden,
so dass wesentliche Sicherheitsmaßnahmen nicht betrachtet und umgesetzt
werden.
Die Umsetzung der festgelegten Sicherheitsmaßnahmen wird nicht sichergestellt
– Protokollkonzeption, Protokollierung und Protokollrevision sowie
Auditierung und IT-Revision fehlen entweder vollständig oder sind unzureichend.
Festgelegte Sicherheitsmaßnahmen sind nicht ausreichend transparent.
Für die Netzinfrastruktur des FHH-Netzes fehlt es an einer einheitlichen Zuständigkeit
für die Konzeption und Umsetzung der festgelegten Sicherheitsmaßnahmen,
so dass die Umsetzung des geplanten Sicherheitsniveaus
gefährdet ist.
Die logische Segmentierung des FHH-Netzes ist angesichts der Zahl der
angeschlossenen Nutzer und Systeme in Teilen unzureichend.
Technische Standardsicherheitsmaßnahmen sind teilweise nicht umgesetzt.
Die Mängel führen dazu, dass das FHH-Netz durch Innentäter oder
menschliche Fehlhandlungen hochgradig verwundbar ist. Die gefundenen
technischen Sicherheitslücken können darüber hinaus für Angriffe von
Außen auf den im Rahmen eines anderen Sicherheitsgutachtens bereits
2006 aufgezeigten Wegen genutzt werden.
Das Audit befasst sich auch mit dem Prozess der Integration des Netzes der
Polizei in das FHH-Netz (siehe 2.7). Es kommt dabei zu dem Schluss, dass die
bislang eingesetzte Verschlüsselung wegfallen wird, ohne dass es zugleich ein
Konzept für ihre Wiedereinführung gibt. Dadurch wird zum einen die Sicherheit
der polizeilichen Datenverarbeitung abgesenkt und zum anderen das Erreichen
des insbesondere in diesem Bereich erforderlichen Grundschutzniveaus
erschwert.
Entsprechend der Vereinbarung mit der Finanzbehörde, das Gutachten als gemeinsame
Grundlage für die künftige Bewertung der Sicherheit im FHH-Netz
zu verwenden, sehen wir weiteren Handlungsbedarf. Das Gutachten ist ein
guter Ausgangspunkt für den Eintritt der FHH in ein modernes Sicherheitsmanagement,
das anerkannten Standards entspricht. Die BSI-Grundschutz-Konzeption
bietet sich hierfür in besonderer Weise an. Auf diesem Weg werden wir
die Finanzbehörde nach Kräften unterstützen.
2.11 Online-Durchsuchung
Die Datenschutzbeauftragten bekräftigen ihre ablehnende Haltung zu Online-
Durchsuchungen. Bedenken bestehen sowohl in verfassungsrechtlicher als
auch in technischer Hinsicht.
34
21. Tätigkeitsbericht 2006/2007 HmbDSB