Neues von den Aufsichtsbehörden: Aktuelle Prüfungen

Sind Ihre Auftragsverarbeitungsverträge datenschutzkonform? Welche Maßnahmen ergreifen Sie zum Schutz von E-Mail-Accounts? Sind Ihre Mitarbeitenden für Phishing-Attacken sensibilisiert?

Derartigen Fragen müssen sich derzeit einige Organisationen aus Berlin, Niedersachsen, Rheinland-Pfalz, Sachsen, Sachsen-Anhalt bzw. Bayern stellen. Denn die Datenschutz-Aufsichtsbehörden führen aktuell Prüfungen durch. Die Aufsichtsbehörden erfüllen damit nicht nur ihre gesetzlichen Aufgaben, sondern wollen Organisationen vor allem beim Schutz personenbezogener Daten unterstützen.

Was genau die Aufsichtsbehörden prüfen und was Organisationen beachten sollten, haben wir für Sie zusammengefasst. 

Phishing, Ransomware oder Hacken von Accounts – Cyberattacken auf E-Mail-Konten sind allgegenwärtig. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) registriert ebenfalls seit einigen Monaten vermehrt derartige Attacken. Ziel ist vor allem das Abgreifen von vertraulicher E-Mail-Kommunikation. Gleichzeitig wird oft versucht, tiefer in die Netzwerkstruktur einzudringen oder Schadsoftware zu verteilen.

Als Ursache für derartige Angriffe identifiziert das BayLDA primär unsachgemäße Bedienung durch Mitarbeitende. Hier fehle häufig das nötige Sicherheitsbewusstsein. Hinzu kommen fehlerhafte Konfiguration und Absicherung der Accounts. Die dadurch entstehenden Sicherheitslücken werden durch die mobile Arbeit, beispielsweise im Homeoffice, zusätzlich verstärkt.

Um Organisationen vor derartigen Attacken zu schützen, führt die Aufsichtsbehörde nun datenschutzrechtliche Prüfungen durch. Ziel ist es, grundlegende Sicherheitslücken oder Mängel in der IT-Organisation aufzuzeigen, bevor es zu einem Vorfall kommt. 

Gegenstand der Prüfung sind die eigesetzten technischen und organisatorischen Maßnahmen zum Schutz vor Cyberattacken auf E-Mail-Accounts, wie sie in Art. 32 DSGVO festgelegt sind. Dazu erhalten zufällig ausgewählte Verantwortliche einen Prüfbogen, der Maßnahmen zu folgenden Bereichen abfragt:

1. Phishing-Awareness und allgemeines Sicherheitsbewusstsein
2. Passwörter, Mehr-Faktor-Authentifizierung und Benutzerverwaltung
3. Administrative Pflege der Accounts und Konfiguration
4. Überprüfung des Datenverkehrs
5. Device und Patch Management sowie Backup-Konzept 

Zusätzlich erhalten die ausgewählten Organisationen eine sechsseitige Handreichung mit Basisanforderungen und Erläuterungen zu jedem der fünf abgefragten Punkte. Diese Handreichung ist auch für nicht betroffene Organisationen eine gute Hilfestellung, um die eigenen Maßnahmen zu überprüfen und gegebenenfalls anzupassen.

Erfüllen die befragten Organisationen die Anforderungen nicht, kann das BayLDA bei Verstößen Geldbußen verhängen. Außerdem behält sich die Aufsichtsbehörde vor, die Umsetzung der angegebenen Maßnahmen vor Ort zu überprüfen sowie Dokumentationen oder weitere relevante Unterlagen anzufordern. 

Die allermeisten Organisationen betreiben ihre Internetseite über externe Dienstleistungs-Unternehmen, sogenannte Webhoster. Diese verarbeiten auch personenbezogene Daten von den Seitenbesucher:innen der Organisation. Da die Verarbeitung im Regelfall im Auftrag der Organisation erfolgt, gelten Webhoster als Auftragsverarbeiter. Somit müssen Organisationen mit ihren Webhostern einen spezifischen Vertrag – den Auftragsverarbeitungsvertrag (AVV) – schließen, um einen konkreten Rahmen für diese weisungsgebundenen Tätigkeiten zu schaffen.

Die Aufsichtsbehörden erreichen allerdings regelmäßig Meldungen von Verantwortlichen, dass die von den Webhostern angebotenen AVV nicht datenschutz-konform sind und Webhoster diese nicht anpassen wollen. Auch eigene Prüfungen bestätigen dies immer wieder.

Häufig fehlt in den AVV ein ausreichender Nachweis, dass die Webhoster die vereinbarten Datenschutzmaßnahmen umsetzen. Das ist nicht nur problematisch für die Webhoster selbst, sondern auch für die beauftragenden Organisationen. Sie gelten als Verantwortliche gegenüber Aufsichtsbehörden und Betroffenen und müssen nachweisen können, dass sie die Datenschutz-Vorgaben einhalten.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BInBDI) führt deshalb eine Prüfung durch, um Webhoster und Verantwortliche bei der Schließung rechtskonformer AVV zu unterstützen. 

Die Prüfungen von Datenschutzaufsichtsbehörden geben einen Hinweis darauf, welche Themen im Datenschutz aktuell sind und worauf die Behörden besonders achten. Daher empfiehlt es sich auch für Organisationen, die nicht aktiv geprüft werden, einen Blick auf die eigene Datenschutz-Organisation zu werfen.

Die Checklisten der Aufsichtsbehörden sind dafür gute Anknüpfungspunkte und geben einen ersten Überblick, worauf Organisationen achten sollten. Überprüfen Sie daher Ihre AVV und Ihre Maßnahmen zum Schutz von E-Mail-Accounts, um auf der sicheren Seite zu sein und teure Bußgelder zu vermeiden!