Hilfestellung für die Veröffentlichung von Fotos

Dortmund, 11. Juli 2018: Um eine Hilfestellung bei der Frage zu geben, wie mit der Veröffentlichung von Fotos allgemein und insbesondere von Kindern und Jugendlichen unter 16 Jahren umgegangen werden sollte, hat die Konferenz der Diözesandatenschutzbeauftragten Erläuterungen zu dem Beschluss der Konferenz vom 17. April 2018 verfasst. Den informativen Text finden Sie auch in unserer Infothek im Bereich „Beschlüsse der Konferenz der Diözesandatenschutzbeauftragten“.

Erläuterungen zu Fragen des Umganges mit Bildern von Kindern bis 16 Jahren

Infothek

FAQ-Liste zum kirchlichen Datenschutz veröffentlicht

Dortmund, 28. Mai 2018: Nicht zuletzt durch das neue kirchliche Datenschutzgesetz (KDG) ergeben sich bei kirchlichen und caritativen Einrichtungen täglich viele Fragen zum richtigen Umgang mit personenbezogenen Daten. Das Katholische Datenschutzzentrum hat schon bisher neben der individuellen Beantwortung von Anfragen, ein großes Angebot vielfältiger Informationen (z.B. Praxis- und Arbeitshilfen sowie Muster und Checklisten) online bereitgestellt.

Als neues weiteres Angebot hat das Katholische Datenschutzzentrum jetzt die häufigsten Fragen und Antworten in kurzer und prägnanter Weise aufbereitet und in einer FAQ-Liste („Frequently Asked Questions“ – „Oft gestellte Fragen“) auf der Internetseite veröffentlicht: https://www.katholisches-datenschutzzentrum.de/faq/

Die Liste wird laufend ergänzt.

Mitteilungspflicht der Kontaktdaten von Datenschutzbeauftragten jetzt online erfüllen

Dortmund, 24. Mai 2018: Rechtzeitig zum Inkrafttreten des KDG am heutigen 24. Mai 2018 bietet das Katholische Datenschutzzentrum als Aufsichtsbehörde allen nach § 36 KDG verpflichteten kirchlichen Stellen die Meldung des betrieblichen Datenschutzbeauftragten über ein Online-Formular an.

Mit Inkrafttreten des Gesetzes über den Kirchlichen Datenschutz (KDG) zum 24. Mai 2018 werden Verantwortliche und Auftragsverarbeiter dazu verpflichtet, die Kontaktdaten ihrer betrieblichen Datenschutzbeauftragten der zuständigen Datenschutzaufsicht mitzuteilen. Für die kirchlichen Einrichtungen in den fünf nordrhein-westfälischen (Erz-)Diözesen (ohne das Offizialat Vechta) ist das Katholischen Datenschutzzentrum die zuständige Datenschutzaufsicht für die Meldung.

Das Katholischen Datenschutzzentrum stellt ab sofort die Möglichkeit einer elektronischen Meldung der notwendigen Daten über unsere Internetseite zur Verfügung. Die Umsetzung dieser Lösung erfolgte in enger Kooperation mit der Konferenz der Diözesandatenschutzbeauftragten. Durch einen Workflow, in dem zur Vermeidung von Falschmeldungen ein Bestätigungsschritt vorgesehen ist, soll eine hohe Datenqualität der Meldungen gewährleistet werden. Die meldende Stelle kann eine Kopie der gemeldeten Daten für ihre Unterlagen ausdrucken.

Gleichzeitig mit dem Formular zur Meldung der betrieblichen Datenschutzbeauftragten wird ein weiteres Formular zur Meldung von Datenschutzverletzungen nach § 33 KDG auf unserer Homepage verfügbar gemacht.

Fehler in TPM Firmware

Die Verschlüsselung von Datenträgern in modernen Computern und mobilen Endgeräten wird durch die TPM Technologie (Trusted Platform Module) erreicht. TPM kann verwendet werden, wenn das jeweilige Gerät über den dazu benötigten und fest eingebauten Chip verfügt und die Funktion aktiviert ist.

Bei Geräten bestimmter Hersteller kommen TPM Lösungen von Infineon zum Einsatz (z. B. Fujitsu). Seit Herbst 2017 wird von dort und durch Microsoft eine Aktualisierung der Firmware der TP-Module empfohlen. Die Notwendigkeit des Updates wird durch die Hersteller mit einer entdeckten Schwachstelle bei der Erzeugung der Schlüssel begründet. Durch das Update können die alten bzw. anfälligen Schlüssel entfernt werden. Die Hersteller machen darauf aufmerksam, dass es notwendig sein kann die Datenträger im Zuge der Aktualisierung der TPM Firmware einer Entschlüsselung und Wiederverschlüsselung zu unterziehen.

Für nähere Informationen wenden Sie sich bitte an Ihre IT Administration oder den Gerätehersteller.

Kritische Schwachstelle in WLAN-Verschlüsselung

Forscher der KU Leuven haben eine Möglichkeit gefunden, den Datenverkehr eines mit WPA2 verschlüsselten WLANs mitzulesen und zu manipulieren. Datenverkehr, der unter anderem durch TLS oder VPN verschlüsselt wird, ist nicht von diesem Hack betroffen. Dies setzt den Einsatz aktueller TLS Konfigurationen voraus. (mehr …)

IT-Sicherheit USB – ein praktisches System…

Der Verizon 2016 Data Breach Investigations Report wies dem USB-Anschluss (Universal Serial Bus) den Platz drei bei Datenlecks zu. Jeder PC, jedes Tablet oder Smartphone besitzt in der Regel einen USB-Anschluss, der durch entsprechende Gerätschaften wie USB-Sticks oder USB-Festplatten als Einfallstor von Kriminellen missbraucht werden kann. Die kleinen Geräte sind für den schnellen Datenaustausch einfach zu nutzen, bieten aber besonders deshalb eine große Wahrscheinlichkeit des Verlusts.  Durch die technischen Möglichkeiten der USB-Schnittstelle ist es sogar möglich, Schadsysteme in vorhandene Geräte, wie Tastatur oder Maus, zu integrieren. So schöpft der Anwender keinen Verdacht. Die IT-Sicherheit Ihrer Einrichtung ist womöglich in Gefahr.

Einige Angriffsszenarien

Infizierte Dateien:

Der einfachste Angriff  besteht aus infizierten Dateien, die sich auf dem Datenspeicher befinden können. Denken Sie nur an den besitzerlosen USB-Stick auf dem Parkplatz.

Poisentap:

Der Angreifer steckt das modifizierte USB-Gerät an Ihr Endgerät (PC, Smartphone o.ä.), durch die Simulation einer falscher USB-Kennung, wird der Treiber automatisch vom Betriebssystem installiert. Dieses geschieht auch bei gesperrten Systemen. Dieser Angriff ist als Poisontap bekannt. In diesem Szenario wird ein USB-Netzwerkadapter vorgegaukelt und das WPAD-Protokoll (Web Proxy Autodiscovery Protocol) missbraucht, welches zum Auffinden eines Web Proxys innerhalb des Netzwerks verwendet wird. Zum Aufrufen der vermeintlichen WPAD-Konfigurationsdatei werden die Benutzerdaten verlangt, der NTLM-Hash. Ist der Angreifer im Besitz dieses Hash, kann er ihn zum Angriff nutzen, um sich so als legitimer Benutzer auszuweisen. Dieser Pass-the-Hash Angriff ist insbesondere aus dem Angriff auf die IT des deutschen Bundestags bekannt geworden. Zum anderen kann der Angreifer durch Brute-Force Attacken das Kennwort entschlüsseln. Hierzu sind lediglich Zeit und Rechenkapazitäten der begrenzende Faktor.

Umleiten und mitlesen des Datenverkehrs:

Der Angreifer kann einen Man-in-the-Middle Angriff starten, in dem er den Netzwerkverkehr um- und durchleiten. Hierbei wird das korrekte Zertifikat durch ein gefälschtes Zertifikat ausgetauscht und der Eindringling kann alle vertraulichen Informationen mitlesen und/oder verändern. 

Ausgabe als Eingabegerät:

Auch kann der Angreifer eine Tastatur modifizieren, über die bis zu 60 Tastaturanschläge pro Sekunde eingegeben werden können. In dieser Geschwindigkeit bekommt das Opfer diese Eingaben gar nicht mit oder kann nicht schnell genug eingreifen. Auch kann dieser Angriff zur Entsperrung von Displaysperren von Smartphones genutzt werden.

Abwehrstrategien

An erster Stelle stehen alle Nutzer des Systems. Durch regelmäßige Schulungen und Informationen sollte das Bewusstsein für diese Problematik geschärft werden.

Des weiteren kann die Nutzung von privaten USB-Geräten mithilfe von Dienstanweisungen ausgeschlossen werden. Technisch kann dies durch Gruppenrichtlinien unterstützt und umgesetzt werden. Für die Verwendung von USB-Datenträgern sollte ein sogenannter LifeCycle erarbeitet und implementiert werden. Feste Vorgehensweisen bei Verlust und auch Entsorgung von nicht mehr benötigten Geräten sind dabei vorzugeben. Im weiteren sollte die Boot Reihenfolge der Systeme so angepasst, dass das Endgerät nicht alternativ über USB gestartet werden kann. USB-Datenträger sollten nur verschlüsselt genutzt werden, so können bei Verlust die darauf befindlichen Daten nicht mehr genutzt werden. Die USB-Anschlüsse an den Endgeräten müssen geschützt werden. Ist der PC länger unbeaufsichtigt, muss der Zugang verhindert werden oder der PC heruntergefahren werden. Steht der PC an öffentlichen Orten, muss mechanisch oder über Gruppenrichtlinien der USB-Anschluss gesperrt werden.

Die Härtung des Betriebssystems steht ebenfalls an. Updates müssen immer installiert sein. So wurde die Autorun Option bei Windows von Microsoft durch ein Update entfernt. Der Nutzer darf keine lokalen Administratorenrechte besitzen. Durch weitere Maßnahmen, wie lokale Virenscanner oder Firewall, können das Risiko weiter minimiert werden.