Dokumentationspflichten (DSGVO) / 3.3 Die Schlüsselrolle der Mitarbeiter für Datenschutz ...

Dipl.-Volksw. Fritz Schmidt

Wesentlich für die Gewährleistung des Datenschutzes und der Datensicherheit ist das Verhalten der Mitarbeiter. Die Mitarbeiter sollten jährlich durch Schulungen für den Datenschutz und die Datensicherheit sensibilisiert werden. Bei der Neueinstellung sollten sie auf das Datengeheimnis verpflichtet werden.

3.3.1 Verpflichtung auf das Datengeheimnis

Um die Mitarbeiter für den Datenschutz zu sensibilisieren, empfiehlt es sich, sie bereits bei der Einstellung auf die Einhaltung des Datengeheimnisses zu verpflichten, obwohl nach Art. 28 Abs. 3 lit. b DSGVO nur Auftragsverarbeiter ihre Mitarbeiter zur Vertraulichkeit verpflichten müssen.

Zu Einzelheiten siehe Kap. 4 Verpflichtung der Mitarbeiter auf das Datengeheimnis.

3.3.2 Passwortsicherheit

Passwörter sind – wie bereits weiter oben dargestellt – das zentrale Element zur Zugangskontrolle von Nutzern bei der Anmeldung zu einer Anwendung, einem Web-Dienst oder einem Datenverarbeitungsgerät. Ein sicherer Umgang mit Passwörtern und ein sicheres Passwort sind deshalb entscheidend für die Datensicherheit.

Achtung

Sicherer Umgang mit Passwörtern

Keine Doppelvergabe von Passwörtern

Es kommt immer wieder vor, dass durch Sicherheitslücken aus den Passwortdatenbanken großer Internetportale Passwörter und E-Mail-Adressen kopiert und danach öffentlich bekannt werden. Diese Daten können dann genutzt werden, um sich unrechtmäßig bei anderen Diensten anzumelden oder weitere ähnliche Passwörter (die nur minimal geändert wurden) zu knacken. Zur Risikominimierung sind deshalb Passwörter nicht doppelt zu verwenden, d. h. für alle Accounts bzw. Dienste sind eigene Passwörter zu nutzen.

Passwort sicher aufbewahren

Passwörter sollten nicht notiert und frei zugänglich aufbewahrt werden. Passwörter dürfen nicht unter der Schreibtischunterlage oder an den Bildschirm geklebt verwahrt werden.

Keine Weitergabe von Passwörtern

Passwörter sollten nicht weitergegeben werden. Falls das Passwort – aus welchen Gründen auch immer – doch weitergegeben werden muss, sollte es danach geändert werden. Ebenso sollen Passwörter nicht per unverschlüsselter E-Mail versendet oder in unverschlüsselten Dokumenten gespeichert werden.

Änderung des Passworts beim ersten Anmelden

Häufig wird Nutzern beim ersten Anmelden bei einem Dienst oder einer Anwendung ein Passwort zugeteilt. Nach dem ersten Anmelden ist in solchen Fällen ein eigenes, sicheres Passwort zu vergeben.

Passwortänderung nur bei Kompromittierung

Früher wurde empfohlen, Passwörter in regelmäßigen Abständen zu ändern. Diese Empfehlung ist inzwischen überholt, da sie dazu führt, dass Nutzer sich diese im Klartext notieren oder einfach zu merkende Passwörter wählen. Nur wenn es Anzeichen dafür gibt, dass Passwörter in fremde Hände gelangt sind, sollten Nutzer diese ändern bzw. von den Systemen zu einer Änderung aufgefordert werden.

Hinweis

Starke Passwörter wählen

Starke Passwörter bestehen aus acht oder mehr Zeichen und enthalten sowohl Klein- als auch Großbuchstaben, Ziffern und Satzzeichen. Auf Sonderzeichen und Umlaute sollte möglichst verzichtet werden, da diese u. U. auf verschiedenen Tastaturen unterschiedlich eingegeben werden müssen. Da Angreifer in kurzer Zeit automatisiert sehr viele Kombinationen ausprobieren können, sollten Passwörter keine Begriffe oder Begriffskombinationen aus Wörterbüchern enthalten. Um sich auch starke Passwörter leicht merken zu können, gibt es verschiedene Methoden:

Erster-Buchstabe-Methode

Sie denken sich einen Satz aus, den Sie sich gut merken können und nehmen von jedem Wort den ersten Buchstaben:

Ich kann mir keine 52 Passwörter merken, aber eines!

Daraus ergibt sich dann das Passwort: Ikmk52Pm,ae!

Das Passwort könnte dann in der Weise ergänzt werden, dass es für verschiedene Anwendungen um jeweils drei Zeichen ergänzt wird.

Ganzer-Satz-Methode

Als Passwort verwenden Sie hier einen ganzen Satz. Dies hat dann aber ggf. den Nachteil, dass die Eingabe länger dauert. Beispiel: Ichkenne5+2Passworte!

Zufällige Passwörter generieren lassen

Manche Browser bieten die Möglichkeit, zufällige Passwörter zu generieren und von einem Passwort-Safe speichern zu lassen, ohne dass Sie diese sehen. Dies ist eine komfortable und einfache Methode. Werden die Daten im Passwort-Safe gut verschlüsselt und kein Dritter erhält Zugang dazu, ist dies eine sichere Methode.

3.3.3 Achtsamkeit im E-Mail-Verkehr

Das Internet und die E-Mail-Dienste bieten für Betrüger große Vorteile, weil ohne großen Aufwand schnell eine große Anzahl von Menschen erreicht werden kann, und dies, ohne sich selbst zeigen zu müssen. Durch das Kapern von Kontaktdaten auf Servern können Kriminelle ihre Schadsoftware schnell weiterverbreiten. Letztlich basieren auch die Betrugsversuche im Internet auf den "klassischen" Betrugsmaschen. Der Betrüger möchte das Opfer zu Handlungen bewegen, ohne dass es seine Handlungen kritisch hinterfragt. Dazu werden z. B. unbefriedigte Bedürfnisse des Opfers angesprochen (Liebe, Sex, Anerkennung, Geld …) oder das Opfer wird unter Stress gesetzt ("Ihr PC wurde gehackt!") oder dessen Bequemlichkeit ausgenutzt.