Datenschutz im Koalitionsvertrag
Der Koalitionsvertrag (Koalitionsvertrag) wurde veröffentlicht. Im Dokument taucht das Wort digital
226 Mal auf, das Wort Datenschutz
nur 17 Mal, Groß/Kleinschrift natürlich ignoriert, und bewusst nur nach dem Stamm gesucht, also Zusammensetzungen inklusive. sicher
taucht 379 Mal auf – aber in ganz verschiedenen Bedeutungen.
Während andere mehr auf die Digitalisierungschancen achten(IITR), wären mir konkrete Aussagen zu Sicherheit und Datenschutz wichtiger. Nur leider finden sich nur wenige konkrete Aussagen zum Datenschutz, und die werfen mehr Fragen als Antworten auf...
| Zitat | Kommentare |
|---|---|
Wir stärken digitale Bürgerrechte und IT-Sicherheit. Sie zu gewährleisten ist staatliche Pflicht. |
Sollte man dann nicht BDSG § 43 (3) (BDSG43) streichen? Einen Straftatbestand im STGB einführen? Die Tätigkeiten der Aufsicht(en) ausweiten und die Aufsicht(en) auch besser ausstatten (und nicht nur im Zusammenhang mit den Bundespolizeien)? Weil Pflicht ist es aufgrund der DSGVO (DSGVO) schon länger, nur eine Pflicht ohne Strafandrohung wirkt leider erfahrungsgemäß nicht abschreckend.
Eigentlich verdient Bruce Schneier´s Secrets and Lies(SecretsLies) einen eigenen Artikel. |
Wir führen ein Recht auf Verschlüsselung ... ein |
Ist damit Cybersicherheitsstrategie vom Tisch? Enthält das Recht auch eine Pflicht zur Verschlüsselung für Verantwortliche im Rahmen der TOMs / Artikel 32 DSGVO (DSGVO)? Nur für die Kommunikation oder auch bei der Speicherung (VerschlusselungGrundschutz)? Überhaupt, wie kann ein Betroffener angemessene Sicherheit oder das Fehlen davon erkennen? Kann er heute leider nur in Ausnahmefällen – weil Konzepte nicht veröffentlicht werden (SecurityByObscurity) – und man daher annehmen muss, sie sind mangelhaft. |
Auch der Staat muss verpflichtend die Möglichkeit echter verschlüsselter Kommunikation anbieten. ... eine durchgängige Ende-zu-Ende-Verschlüsselung |
Heißt das, der Staat verteilt jetzt S/MIME-Zertifikate oder betreibt zumindest ein öffentliches Verzeichnis (PKI)? Die bisherigen Planungen zum Elektronischen Rechtsverkehr sehen etwas anderes vor. Oder heißt das nur, alle Behörden bieten DE-Mail an? Warum die wohl kein Erfolg war? (Emailverschlusselung) |
Wir führen ... die Vorgabensecurity-by-design/defaultein |
Ist das etwas anderes als privacy-by-designdas in Artikel 32 DSGVO (DSGVO) steht und schon früher diskutiert wurde? Und nach welchem Maßstab? Bei Software kann ich helfen (Sicherheitsanforderungen). |
ein wirksames Schwachstellenmanagement, mit dem Ziel Sicherheitslücken zu schließen Hersteller haften für Schäden, die fahrlässig durch IT-Sicherheitslücken in ihren Produkten verursacht werden. |
Sehr gut. Bisher kümmert sich niemand ernsthaft (SoftwareSysteme). Nur ab wann ist es eine Sicherheitslücke? Nur wenn eine Lücke ausgenutzt wird oder werden könnte? Oder schon wenn gegen Best-Practices oder den Stand-der-Technik verstoßen wird? Und – in Hinblick auf BDSG § 43 (3) (BDSG43) – gilt das auch für staatliche Einrichtungen? Und wieso veröffentlicht das Bundesamtes für Sicherheit in der Informationstechnik Bausteine, die gravierende Lücken nicht adressieren, gewissermaßen eine Einladung zur Sicherheitslücke (NET2)? |
Wir verpflichten alle staatlichen Stellen, ihnen bekannte Sicherheitslücken beim BSI zu melden und sich regelmäßig einer externen Überprüfung ihrer IT-Systeme zu unterziehen. |
werden die Ergebnisse – ggfs. nach dem Schließen der Sicherheitslücken – dann veröffentlicht? Die BSI-Zertifikate sind bisher ziemlich wertlos, weil ohne Veröffentlichung des Prüfberichts unklar ist, auf welchem Niveau und mit welchen Entscheidungen oder Abweichungen zertifiziert wurde. (VerschlusselungGrundschutz, SecurityByObscurity) |
Zur besseren Durchsetzung und Kohärenz des Datenschutzes verstärken wir die europäische Zusammenarbeit, institutionalisieren die Datenschutzkonferenz im Bundesdatenschutzgesetz (BDSG) und wollen ihr rechtlich, wo möglich, verbindliche Beschlüsse ermöglichen |
Verbindlich für wen? Für die deutschen Aufsichten analog des Europäischen Datenschutzausschuss? Oder unter Ausschaltung des Rechtswegs? |
Wir stärken KMU bei der Digitalisierung durch unkomplizierte Förderung und bauen die Unterstützung für IT-Sicherheit, DSGVO-konforme Datenverarbeitung und den Einsatz digitaler Technologien aus. |
Sowas können wohl nur Politiker schreiben, ohne sich zu schämen. Auch heute haben viele KMU und Freiberufler keine geeigneten Auftragsverarbeitungsverträge (Auftragsverarbeitung). |
Potentiale der Digitalisierung, z. B. in Künstlicher Intelligenz... |
Und die Risiken? Bleiben unerwähnt. Lesenswert: Rost. Leider finde ich den Vortrag von Florian Kerschbaumer über die Deanonymisierung von Individuen aus trainierten neuronalen Netzen nicht im öffentlichen Internet. |
Wir beschleunigen die Einführung der elektronischen Patientenakte (ePA) ... . Alle Versicherten bekommen DSGVO-konform eine ePA zur Verfügung gestellt; ihre Nutzung ist freiwillig (opt-out). |
Freiwillig und opt-out? Haben wir aus den Cookie-Bannern nichts gelernt? Wirklich DSGVO-konform ist eine Einwilligung nur als opt-in (OptInOut). Und anscheinend muss ich jetzt die Krankenkasse wechseln, wenn mir die Sicherheitskonzepte (ePA) nicht gefallen – oder die Teilnahme verweigern. Gewünscht hätte ich mir ein Konzept wie bei Tresorit (Tresorit) oder die Möglichkeit den Anbieter meines Vertrauens zu verwenden. |
... werden wir die Regelungen zur Vorratsdatenspeicherung so ausgestalten, dass Daten rechtssicher anlassbezogen... Mit der Login-Falle wollen wir grundrechtsschonende und freiheitsorientierte Instrumente schaffen, um die Identifizierung der Täterinnen und Täter zu erreichen. |
Zum Verständnis: LoginFalle und Vorratsdatenspeicherung. Eigentlich ist es normal, die IP-Adresse bei sicherheitsrelevanten Ereignissen zu protokollieren. Und wenn man schnell genug reagiert, dann kann man auch heute schon beim Provider den Anschluss ermitteln. Die Falle ist also nur relevant, wenn man nicht schnell reagiert und man dann noch hofft, dass der Täter beim nächsten Mal nicht ein anderes Pseudonym, einen anderen Proxy, oder ein anderes VPN verwendet. Also etwas besser aber vermutlich ähnlich wirkungslos wie die Vorratsdatenspeicherung (VorratsdatenspeicherungNutzen). |
Die Ausnutzung von Schwachstellen von IT-Systemen steht in einem hochproblematischen Spannungsverhältnis zur IT-Sicherheit und den Bürgerrechten. Der Staat wird daher keine Sicherheitslücken ankaufen oder offenhalten, sondern sich in einem Schwachstellenmanagement unter Federführung eines unabhängigeren Bundesamtes für Sicherheit in der Informationstechnik immer um die schnellstmögliche Schließung bemühen. |
Kein Ankauf – gut. Ob eine Behörde und gerade das Bundesamtes für Sicherheit in der Informationstechnik Garant für schnellstmögliche Schließungsein kann (NET2)? |
Quellen:
Veröffentlicht am 01.12.2021.
© 2021 Joachim Lindenberg. Diese Seite spiegelt meine persönliche Meinung wieder. Sie stellt keine Rechtsberatung dar. Fragen Sie doch einen Anwalt der sich damit auskennt.