Endlich mal wieder gute Nachrichten aus der Welt der Bekämpfung von Cyberkriminalität! Das BKA teilt mit, dass nach über zwei Jahren Ermittlung die Infrastruktur von Emotet, einem gefährlichen Cyberware-Netzwerk Ende Januar erfolgreich übernommen und zerschlagen werden konnte.

Rechenzentrum live-status

Sie haben das Gefühl Ihre Website läuft nicht mehr? Oder E-Mails werden nicht versendet? Sie vermuten als Ursache, dass bei uns bestimmte Dienste oder Server nicht verfügbar sind?
Wir haben gute Nachrichten für Sie – ab sofort können Sie zunächst einen Blick auf unsere Rechenzentrum LIVE-Status Seite werfen und prüfen ob technische Störungen vorliegen.

Kunden-Portal Rechenzentrum Live-Status: https://portal.all-connect.net/status

Sollten „gelbe Icons mit einem !“ in der Status-Spalte zu sehen sein, dann ist das einen Indiz dafür, dass bei uns Einschränkungen oder mögliche Störungen vorliegen können.

Erscheint das „rote Icon mit einem X“ in der Spalte Status, so ist dies ein Indikator für einen möglichen Ausfall.

Das „grüne Icon mit einem Haken“, ist dagegen ein Anzeichen dafür, dass bei uns alles wie gewünscht funktioniert. Und demnach z.B. die nicht Verfügbarkeit Ihrer Website oder das nicht versenden von E-Mails nicht mit unserer Infrastruktur zusammenhängen, sondern ggf. andere Ursachen hierfür verantwortlich sind.

Werfen Sie dabei auch immer einen Blick auf die Spalte „Aktualität“, wenn in dieser Spalte ein X zu finden ist, ist dies ein Hinweis darauf, dass die Daten veraltet sein können und der angezeigte Status nicht mehr aktuell ist.

Für folgende Services aus unserem Rechenzentrum können Sie ab sofort den LIVE-Status einsehen:

  • Globale Infrastruktur im Rechenzentrum
  • Konnektivität von Netzwerksegmenten im Rechenzentrum
  • Kunden-Portal und globale Netzwerk- und Konfigurationsdienste
  • Kunden-Portal Dienste für Online- und E-Mail-Support
  • Telefon-Support und Erreichbarkeit all-connect
  • Nameserver-Dienste für Namensauflösung im Netzwerk
  • Nameserver-Dienste für registrierte Domains
  • mail-connect Hosting-Infrastruktur
  • mail-connect Empfangsdienste für eingehende E-Mails
  • mail-connect Anti-Spam und -Virus Filter
  • mail-connect Server für ausgehende E-Mails (Postausgang)
  • mail-connect Server für ausgehende E-Mails (Hostingserver im RZ)
  • mail-connect Server für ausgehende E-Mails (EMARKET Dienste)
  • mail-connect PRO Postfach-Speicher (Posteingang)
  • mail-connect PRO Webmail Dienst
  • mail-connect TEAM E-Mail- und Sync-Dienste
  • web-connect Backup- und Speicher-Dienste
  • web-connect HOST Hosting- und Cloud-Server
  • web-connect SITE Hosting-Infrastruktur
  • web-connect SITE Webhosting-Server
  • web-connect SITE Datenbank-Server

Liebe Kundinnen und Kunden,

wir befinden uns zum größten Teil im Home-Office und zwischenzeitlich haben wir uns in unseren Home-Offices auch richtig gut eingelebt. Bei uns im Support kommt es deshalb für Sie kaum zu spürbaren Verzögerungen.

Wir sind weiterhin wie gewohnt per E-Mail und Telefon für Sie erreichbar und bis auf Weiteres gewährleisten wir den Betrieb aller IT-Dienste im zügigen und vollständigen Umfang.

Aufgrund der aktuellen Ausnahmesituation gibt es jedoch einige Ausnahmen:

  • Es finden keine vor-Ort-Termine mehr statt.
  • Auf Grund von Home-Office kann es manchmal zu geringen Verzögerungen kommen.
  • Bei Hardware gibt es großteils Lieferengpässe auf Grund des Produktionsstopps im asiatischen Raum.

Bitte haben Sie Verständnis, wenn im Einzelfall nicht immer alles so funktioniert, wie Sie es sonst von uns gewohnt sind.

Betriebsurlaub über Pfingsten

+++ Auf Grund der aktuellen Situation rund um das Corona-Virus nutzen wir die ruhige Zeit und schließen unser Büro für zwei Wochen über die Pfingstferien ab Montag, den 25.05.2019, bis einschließlich Sonntag, den 07.06.2020.

Mit dieser Maßnahme garantieren wir Ihnen im weiteren Jahresverlauf die volle Verfügbarkeit unseres IT-Services, um Ihre IT-Projekte vor Ort und im Rechenzentrum jeweils zeitnah und zügig umsetzen zu können. Mit gemeinsamer Stärkung und bestimmt bester Gesundheit freuen wir uns dann auf die gemeinsame zweite Jahreshälfte!

Für Notfälle ist unsere Technik-Bereitschaft selbstverständlich auch an den Tagen während der Betriebsferien für Sie erreichbar. +++

Werfen Sie einen Blick in unser Home-Office – Küchen und Wohnzimmer eigenen sich perfekt. Vereinzelt halten einige Kolleginnen und Kollegen auch in unserem Büro in der Maistraße noch die Stellung. Mit viel Desinfektionsmittel und noch mehr Abstand.

TEAM

Weiter Informationen wie all-connect sich der aktuellen Lage stellt, finden Sie auch hier in dem PDF

>> zum PDF (hier klicken)

Selbstverständlich stehen wir Ihnen natürlich trotzdem weiterhin bei IT-Fragen und Anfragen zur Seite.

Wir wünschen Ihnen viel Gesundheit.

Sollten sich weitere Änderungen ergeben, werden wir Sie über diese wie gewohnt in unserem Kunden-Portal, sowie auf unserer Website informieren.

Die Internet-Kriminellen sind nach Ihrer vermutlich kurz eingelegten Sommerpause wieder deutlich aktiver. Sie sollten unbedingt aufpassen, welche Dateien oder Links Sie in Ihrer E-Mail öffnen – Vorsicht walten zu lassen gilt natürlich generell. Der Emotet-Trojaner hat in den vergangenen Jahren bereits diverse Systeme infiziert. Opfer sind häufig kleinere oder mittelständige Unternehmen. Aber auch Stadtverwaltungen und sogar Krankenhäuser waren bereits betroffen.

Zum Verbreiten der Schadsoftware werden von den Kriminellen so genannte Phishing-Mails versendet. Phishing-Mails sind gefälschte E-Mails, die dazu dienen Ihnen wichtige oder persönliche Daten zu stehlen.

Das besonders kritische bei Emotet ist jedoch, dass diese „Phishing-Mails“ extrem gut gemacht sind. Es können sogar geschulte Mitarbeiter darauf reinfallen. Sobald die Emotet-Schadsoftware aktiv ist, werden Kontaktbeziehungen und E-Mail Inhalte aus einzelnen Postfächern infizierter Systeme ausgelesen. Diese Informationen wiederum werden dann verwendet, um noch authentischer aussehende Mails mit echten Kontakten und Inhalten weiter zu versenden. Dadurch erhöht sich die Wahrscheinlichkeit, dass der nächste Empfänger einen mitgesendeten Datenanhang öffnet und dadurch ebenfalls infiziert wird.

Achten Sie bitte unbedingt auf folgende Merkmale einer E-Mail:

  • Verdächtiger Betreff
  • Unpersönliche Anrede
  • Fremde Sprache
  • Grammatik Fehler
  • Merkwürdige Absender Adresse
  • Links oder Anhänge

Was tun, wenn Sie betroffen sind:

  • Informieren Sie Ihr Umfeld, denn Ihre Mailkontakte sind in diesem Fall besonders gefährdet
  • Ändern Sie auf allen betroffenen Systemen (zum Beispiel im Browser) die dort gespeicherten oder zuletzt eingegebenen Zugangsdaten
  • Ihren betroffenen Rechner sollten Sie auf alle Fälle neu aufsetzen

Weitere Tipps und Informationen, wie Sie sich vor Viren in E-Mails schützen können finden Sie z.B. in nachfolgenden Beiträgen:

VORSICHT VIRUS: Angebliche Rechnungen und falsche Bewerber

Klartext gegen Computer-Viren: Wie Du Deinen PC schützt!

Mit Tools wie Microsoft BitLocker oder Apple FileVault lassen sich ganze Festplatten verschlüsseln (FDE – Full Disk Encryption). Diese Tools sind Bestandteil des Betriebssystems und daher besonders gut geeignet, Daten sehr einfach vor neugierigen Blicken zu schützen.

Beide Tools sind seit mehreren Versionen fester Bestandteil des Betriebssystems und wurden im Lauf der Zeit mehrfach aktualisiert – es gibt keinen technischen Grund mehr, auf diese Funktion zu verzichten. Die Verschlüsselung arbeitet reibungslos und robust.

Sind die konkreten Vorteile wirksam?

Mit der eingebauten Festplattenverschlüsselung lassen sich die Systempartition ebenso wie alle weiteren eingebauten Laufwerke verschlüsseln. Gleichzeitig kann das Betriebssystem weiterhin von selbst (ohne Passworteingabe) starten. Die Verschlüsselung erfolgt im Hintergrund und Sie brauchen Ihre Arbeitsweise nicht anzupassen.

Obwohl sich die Festplatten durch das Betriebssystem beim Starten also zunächst gewissermaßen „selbst entschlüsseln“, ist die Wirkung der Verschlüsselung vollständig vorhanden: Ein echter Datenzugriff ist konzeptionell wirksam erst möglich, wenn sich der Benutzter am PC (bzw. Mac) anmeldet. Sie müssen sich also zwingend mit Ihrer gültigen Computer-Anmeldung authentifizieren oder der Zugriff auf Ihre Dateien bleibt unmöglich.

Wirklich unmöglich?

Mal abgesehen von etwaigen Softwarefehlern erst einmal ja! Es gibt natürlich ein paar „Abers“, die man hier und da an Stammtischen oder im sonstigen „urbanen Gelände“ hört. Räumen wir damit kurz auf:

  1. Der sogenannte Offline-Angriff: Darunter versteht man das Auslesen eines Datenträgers unter einem fremd-gestarteten Betriebssystem. Das geht äußerst einfach und schnell und kann wirklich jeder: Es gibt zwei Möglichkeiten: Entweder haben Sie einen Live-CD bzw. einen Live-(USB)Stick und booten Ihren PC damit anstatt von Ihrer Festplatte. Oder Sie bauen die Platte gleich kurz aus und hängen diese „mal kurz“ an einen fremden PC, um über diesen auf die Platte zuzugreifen.

    Solche Live-Umgebungen bzw. Fremd-Umgebungen gibt es als Rettungs-CD/DVD in jeder IT-Fachzeitschrift als Beilagen-DVD. Darauf enthalten sind viele Rettungstools, die es wirklich jedem Benutzer einfach machen, ein kaputtes Betriebssystem entweder zu reparieren oder wenigstens noch Daten als Backup auszulesen. Diese Umgebungen können von einem Angreifer aber auch genutzt werden, um das Benutzer-Kennwort zurückzusetzen. Oder noch besser: Um ein zusätzliches Administrator-Konto versteckt anzulegen. Es ist wie bei einem Küchenmesser, das ein Werkzeug oder eine Tatwaffe sein kann.

    Wie dem auch sei. In einer fremden Live-Umgebung können Sie auf eine verschlüsselte Festplatte nicht mehr zugreifen. Punkt. Die Verschlüsselung wirkt.

  2. Der (Netzwerk-)Administrator: Wer ist das überhaupt? Klar ist, dass in einer Firmen-Umgebung gewisse IT-Prozesse existieren und funktionieren müssen. Zum Beispiel, wenn Sie aus dem Urlaub zurückkommen und Ihr Login-Passwort vergessen haben. Dies kann die IT-Abteilung (auf Ihr Verlangen) völlig problemlos weiterhin zentral zurücksetzen.

    Auch tiefgreifendere Fehlerfälle werden „abgesichert“. Allen voran existieren zum Beispiel sogenannten Wiederherstellungsschlüssel. Damit kann der Administrator im Fehlerfall einen verschlüsselten Datenträger entschlüsseln (z.B. auch über den Umweg des o.g. Offline-Angriffs). Ebenso einfach kann Ihr Administrator aber auch per Netzwerk direkt auf Ihren PC und Ihre Festplatte zugreifen. Dies kann z.B. für eine Datensicherung notwendig sein und ist grundsätzlich ein „normaler IT-Prozess“, wie er in Unternehmen genutzt und gebraucht wird. (So ein Backup-Archiv ist übrigens auch ein toller Weg, um auf Daten zuzugreifen. Hierfür sind also immer auch noch einmal eigenständige Schutzmaßnahmen erforderlich, um einen Missbrauch damit zu verhindern!)

    Wenn Sie selbst Ihr eigener Administrator sind, dann erhalten auch Sie den Wiederherstellungsschlüssel, wenn Sie die Verschlüsselung aktivieren. Diese brauchen Sie dann nur noch sicher abspeichern (z.B. als Ausdruck im Tresor). Und natürlich kann dann auch kein dritter Administrator mehr per Netzwerk auf Ihren PC zugreifen – es sei denn Sie richten explizit eine Freigebe ein oder teilen jemanden Ihr Passwort mit.

    Wir halten also fest: Richtig, ein Administrator kann auf Ihre Daten zugreifen. Egal ob mit oder ohne Verschlüsselung.

  3. Der Hersteller bzw. der Staat: Grüße von George Orwell! Und ehe wir uns an Verschwörungstheorien beteiligen belassen wir es bei einer kritischen technischen Analyse. Fakt ist: Die Verschlüsselung von Bitlocker und FileVault setzen mutmaßlich durchaus einen sicheren Schlüssel und Algorithmus ein. Der Zugriff auf diesen (jeweils pro Datenträger einmaligen) Schlüssel wird jedoch auch verschlüsselt – wenn Sie so wollen, nennen wir dies einen „Masterschlüssel“. Der wird technisch vom Betriebssystem gebraucht, um die automatisierte und einfache Verwaltung der Verschlüsselung zu ermöglichen. Das ist in Ordnung so!


    Oben haben wir gelernt, dass es mindestens einen zusätzlichen Wiederherstellungsschlüssel gibt. Auch dies ist in Ordnung so und ein sinnvoller Prozess für einen hoffentlich nie benötigten Rettungsweg.

    Natürlich kann es jetzt durchaus sein, dass der Hersteller vielleicht einen weiteren, übergeordneten „Superschlüssel“ in sein Verschlüsselungsprogramm eingebaut hat. Tatsächlich ist dies sogar zu erwarten, denn US-Hersteller unterliegen in den USA gesetzlichen Regulierungen, wenn sie Verschlüsselungstechnologie ins Ausland exportieren wollen. Der Staat tut dies in seiner legitimen Souveränität, um beispielsweise in einer Straftatermittlung einen Täter zu überführen. Auch in Europa gibt es zum Zweck polizeilicher Ermittlungen ein Zugriffsrecht auf sensible Daten nach Richterbeschluss (vgl. das Abhören von Telefonaten oder Mitlesen von E-Mails). Zumindest vor dem Hintergrund demokratisch-gesellschaftlicher Ordnung wird man die mögliche Existenz solcher „Superschlüssel“ also auch akzeptieren müssen.

Wir halten also fest: Bitlocker und Co wirken und sind für den alltäglichen Einsatz ein adäquates Mittel, um mit einfachen Mitteln die IT-Sicherheit stark zu verbessern. Systemlaufwerke und auch Wechseldatenträger (wie z.B. USB-Sticks) sind mit BitLocker und Co vor unbefugtem Auslesen geschützt (z.B. bei Diebstahl oder Verlust). Ebenso können Angreifer am Gerät selbst keine Offline-Angriffe mehr durchführen, um zu spionieren oder versteckte Benutzer-Konten einzurichten.

Für sehr persönliche und äußert vertrauliche Geheimnisse reichen diese Verschlüsselungstools jedoch möglicherweise nicht aus. In solchen Fällen empfiehlt es sich, zusätzliche Verschlüsselungstools einzusetzen – für diese Zwecke sind insbesondere freie, quelloffene Programme empfehlenswert, weil eine Vielzahl von Programmierern und Profis diesen Quellcode auf Schwachstellen prüfen und überwachen kann.

Solche quelloffenen Tools sind dann im Einzelfall vertrauenswürdiger als eingebaute Funktionen eines Betriebssystems. Und sie schützen außerdem auch vor dem neugierigen Blick eines Administrators aus der IT-Abteilung. Selbstredend, dass Sie dann aber auch selbst für das Backup Ihrer persönlichen Daten verantwortlich sind.

Noch mehr „Aber“? Gibt es auch Nachteile?

Wie so oft im Leben hat die Münze zwei Seiten. Und während auf der einen Seite der Offline-Angriff abgewehrt wird, so wird er auf der anderen Seite als Offline-Zugriff ebenfalls unmöglich.
Zunächst zur Klärung: Von einem Offline-Zugriff sprechen wir, wenn wir gewollt (und legitim!) über den Umweg eines fremden Systems auf die eigene Festplatte zugreifen. In der Praxis geschieht dies häufig in zwei Fällen:

  1. Für die regelmäßige Datensicherung von virtuellen Maschinen. Diese werden vom Host (=fremdes System) als VM-Image erstellt.
  2. Im Notfall, wenn Ihr PC oder Server nicht mehr startet oder mit Viren befallen ist.

Tatsächlich ist für solche Fälle der Wiederherstellungsschlüssel vorgesehen (und ebenfalls wirksam). In der IT-Praxis ergeben sich jedoch auch hier Konstellationen, die zu Schwierigkeiten bzw. Mehraufwand führen. Beispiele:

  1. Ein Hardwarefehler hat die Bootpartition auf Ihrer von Bitlocker verschlüsselten Festplatte beschädigt. Windows startet nicht mehr und selbst mit dem Wiederherstellungsschlüssel erhalten wir keinen Zugriff, weil der Verschlüsselungsalgorithmus wichtige Datenfragmente nicht mehr lesen kann. Die gesamten Daten sind verloren.


    Dem gegenüber steht, dass ohne Verschlüsselung nur ein paar Sektoren (also nur ein paar Dateien) verloren gewesen wären. Die restlichen Daten hätten noch gelesen werden können.

  2. In der Praxis hat sich der Einsatz unterschiedlicher Betriebssysteme sehr bewährt. Falls ein Virenbefall vorliegt, können z.B. mit Linux sehr behutsam nicht befallene Daten noch gerettet werden. Linux selbst ist auch vor einem Windows-Virus sicher – eine sehr wirksame Kombination, um bei einem Virenbefall noch etwas zu retten!


    Zurzeit kann aber Linux /auch mit einem Wiederherstellungsschlüssel noch keine verschlüsselte Festplatte lesen. Was bleibt ist der Einsatz von allein Windows – und die Gefahr, dass der Virus auch das Ersatz-Windows befällt.

  3. Der Einsatz von Virtualisierung in Serverumgebungen bringt viele Vorteile. Hier im Kontext geht es um das sehr robuste und äußerst schnelle Backup-Verfahren: Da eine VM keine echte, sondern eine „virtuelle Festplatte“ besitzt, kann diese virtuelle Festplatte wie eine Datei einfach kopiert und somit als Sicherungskopie ins Archiv gelegt werden. Es ist nur eine (große) Datei.


    Mit aktivierter Verschlüsselung innerhalb der VM ist diese Datei nun ebenfalls verschlüsselt. In der primären Betrachtung funktioniert das für die Technik weiter. Sekundär verliert der Administrator aber wichtige Zugriffsmöglichkeiten auf diese Sicherungsdatei – z.B. das testweise hineinschauen, um zu prüfen, ob die Daten korrekt kopiert wurden und im Bedarfsfall auch nutzbar wären.


    In der Praxis bedeutet dies, dass im Extremfall das Backup einer lokal installierten Software funktionieren muss. Und das katapultiert den Administrator zurück ins letzte Jahrtausend: Zwar hat das lokale Backup alle Daten zuverlässig gesichert, jedoch ist das installierte Betriebssystem nach dem Restore häufig nicht mehr startfähig bzw. beschädigt. Die Folge ist eine zeitaufwendige Neuinstallation.


    Insbesondere in gemischten Umgebungen (Host unter Linux, VM unter Windows) kann dies zu Wechselwirkungen führen, die dann zusätzlichen Aufwand bedeuten. Einheitliche Umgebungen (z.B. alles unter Windows) erhöht dagegen wieder die Fahr, dass ein Virus innerhalb von Sekunden auf einmal den Host und alle VMs gleichzeitig befallen und vernichten kann.

Fazit:

Konkret überlassen wir es Ihnen als Kunde, ob und auf welchen Geräten Sie Ihre Festplatten verschlüsseln möchten. Wir empfehlen es zu tun! Sie erhöhen mit einem vertretbaren und vergleichsweise einfachen Aufwand die IT-Sicherheit erheblich und werden so auch den Anforderungen technischer Maßnahmen gem. DSGVO gerecht.

Wenn Sie sich gegen die Verschlüsselung entscheiden, können im Ernstfall vielleicht Rettungsmaßnahmen besser und günstiger greifen. Auch mit Blick auf den gesamten IT-Betrieb eines technischen Lebenszyklus kann ohne Verschlüsselung bei bestimmten Arbeitsschritten Zeitaufwand gespart werden. Dies kann z.B. gerechtfertigt sein, wenn Ihre Daten in keinerlei Weise vertraulich sind und Sie nach DSGVO auch keine personenbezogenen Daten verarbeiten.

Aus wiederholt neuem Anlass: Sensibilisieren Sie sich selbst und Ihre Kollegen. Betrügerische E-Mails gaukeln Ihnen Rechnungen vor oder senden Bewerbungen an Ihre Personalabteilung.

Es passiert immer noch. Auch bei unseren Kunden. Lassen Sie sich nicht hinters Licht führen! Verstehen Sie was und wie es passiert, um den Schaden zu vermeiden …

Ständig neue (und größere) Wellen von Fake-Bewerbungen und angeblichen Rechnungen brechen auf Unternehmen Land auf, Land ab herein. Die E-Mails sind in hervorragendem Deutsch formuliert und stammen scheinbar von Kollegen, Geschäftspartnern oder auch von bekannten Lieferanten (wie z.B. Telefon-Rechnungen).

Die Adressen von Empfängern und Absendern sind hervorragend recherchiert, da sie die Beziehung zwischen Empfänger und Absender offensichtlich gut kennen. Ebenso gut funktioniert der FAKE, wenn vermeintliche Bewerber sich auf ein Stellenangebot beziehen, das Sie tatsächlich z.B. bei der Agentur für Arbeit oder auf Ihrer Website platziert haben. Oft befindet sich direkt in der E-Mail bereits ein ansehnliches und seriöses Bild einer Bewerberin oder eines Bewerbers – der älteste Trick der Menschheit, um jemanden zu manipulieren…

Haben Sie gerade generell gar keine freien Stellen veröffentlicht? Dann sollten Sie bei dem Erhalt von Bewerbungsmails direkt skeptisch werden. Vor allem, wenn diese dann auch noch in E-Mail-Postfächern ankommen, die normalerweise für das Sammeln von Bewerbungen bei Ihnen gar nicht verwendet werden. Natürlich sollten Sie auch, wenn Sie freie Stellen ausgeschrieben haben, vorsichtig sein!

Sie haben bereits verschlüsselte Dateien auf dem PC?

Wir wollen Ihnen die Website „No More Ransom“ empfehlen. Es handelt sich um eine Initiative der National High Tech Crime Unit der niederländischen Polizei, Europols europäischem Cybercrime Center und McAfee. Ziel ist es, Opfern von Ransomware bei der Entschlüsselung zu helfen, ohne dass das Lösegeld an die Cyberkriminellen bezahlt wird.

Außerdem finden Sie hier weitere wertvolle Tipps, wie Sie erst gar kein Opfer von Ransomware werden.

Eines haben alle FAKE-Mails gemeinsam

Im Anhang befindet sich ein Office- oder ZIP-Dokument (meist eine *.doc- oder *.rar-Datei), das versucht, Ihr PC-System zu schädigen. Die meisten solcher Trojaner verschlüsseln dabei Ihre Festplatte (= alle Daten) und Sie werden dann erpresst, um Ihre Daten zurück zu erhalten.

Wie funktioniert das genau?

Die Office- bzw. ZIP-Datei enthält Makros. Diese müssen Sie zunächst aktivieren, was durch einen geschickten Vorwand durch Sie selbst erfolgt. Lassen Sie sich jetzt nicht verleiten! Die aktuelle Masche erzählt Ihnen, dass es sich angeblich um ein Dokument handelt, welches in der Online-Version „Office 365“ erstellt wurde. Um es anzusehen, sollen Sie „Enable content“ klicken.

Sie ahnen es schon… Wenn Sie dieser Aufforderung folgen, aktivieren Sie die Makros und im Hintergrund wird der eigentliche Virus aus dem Internet heruntergeladen und beginnt umgehend mit der Verschlüsselung Ihrer Daten. Oder er späht gezielt Passwörter für den Online-Banking-Betrug aus.

Bei der ZIP-Datei Variante ist es ähnlich. Mit dem Vorwand der Vertraulichkeit des Lebenslaufs von unserem vermeintlichen Bewerber, sollen Sie ein Kennwort zum Öffnen einer *.zip oder *.rar Datei eingeben. Das ist schierer Blödsinn – das Passwort dient nur dazu, dass das Anti-Virus Programm das Archiv nicht prüfen kann. Und im Archiv? Eine Datei mit dem Namen „Vorname Nachname CV Bewerbung.pdf.exe“ – was soll das? Auch ganz einfach: Weil Windows in der Standardeinstellung bekannte Dateiendungen (hier „.exe“) ausblendet, sieht es so aus, als handelt es sich um ein PDF-Dokument. Sie ahnen es abermals…

Weshalb wirken Anti-Virus und Anti-Spam nicht?

Aktuelle Versionen von Anti-Virus Programmen versagen zurzeit kläglich um die Gefahr abzuwehren. Aus unserer Sicht liegt dies an der geschickten Nachlade-Technik des Makro-Virus. Das Makro des Office-Dokuments selbst ist nämlich völlig harmlos. Erst wenn es seinerseits durch verschlüsselte Internetverbindungen den eigentlichen Virus nachlädt, wirkt sich der Schadcode aus. Darin liegt die Tarnung: Weil das Makro verschlüsselt nachlädt, erkennen Anti-Virus Programme den gefährlichen Code nicht oder zu spät. Ebenso verhält es sich bei den ZIP-Archiven – diese sind nicht wegen der Privatsphäre des Bewerbers mit Kennwortschutz versehen, sondern zur Tarnung vor dem Virenscanner.

Anti-Spam Filter werden ebenfalls gekonnt hereingelegt: Einerseits erfolgt der Versand häufig über echte (vermutlich gehackte) Postfächer. Andererseits ist der Nachrichtentext inhaltlich völlig plausibel und gut formuliert. Typische Fehler oder schlechte englisch-deutsch-Übersetzungen dienen nicht mehr als Merkmal einer zuverlässigen Spam-Erkennung.

Wie schütze ich mich?

Ganz ehrlich? Fallen Sie nicht auf billige Tricks herein! Der wirksamste Schutz ist unser gesunder Menschenverstand. Sie schalten den PC ein und gehen ins Internet? Oder öffnen die Mailbox? Dann BITTE rechnen Sie damit, dass Sie es jetzt unmittelbar mit Schurken und Ganoven zu tun bekommen! Hinter jeder E-Mail! Auch hinter E-Mails, deren Absender Sie glauben zu kennen.

Und wann setzen Sie genau den Verstand ein? Genau! Wenn es „emotional“ wird. Es menschelt, wenn

  • etwas zu schön ist um wahr zu sein…
  • der Volltreffer der Woche völlig unerwartet und Glück bringt…

Oder wie wäre es statt mit Glück mit ein paar Aufregern?

  • Was!? Eine Rechnung über 600 € von der Telekom??
  • Wie bitte!? Seit wann überweist der Kollege selbst eine Rechnung??
  • Hää!? Wie kommt der dazu eine Bestellung aufzugeben und mir den Lieferschein samt Rechnung so unverschämt einfach rüber zu schicken??

Das sind die Überrumpelungen, die vom Ganoven gewollt sind. Damit überlistet er Sie und Sie werden dazu verleitet, den Makros zu aktivieren.

Wie schützen Sie sich also?

Am besten öffnen Sie keine Office- oder ZIP-Dateien

  • *.doc oder .docx
  • *.xls oder .xlsx
  • *.ppt- oder .pptx
  • *.zip oder *.rar

Und erst recht: Aktivieren Sie nicht auch noch die Makros! Es gibt keinen Grund dazu. Interaktive Inhalte können als Video versendet werden. Oder werden zurecht von der IT-Abteilung installiert.

Seien Sie auch bei *.pdf Dateien wachsam! Auch hier gibt es Makros und Java-Scripte (=aktive Inhalte). So etwas hat aber in keiner Bewerbung etwas verloren! Noch einmal: Lassen Sie diese deaktiviert – auch wenn es noch so plausibel erscheint!

Und nochmal: Nutzen Sie Ihren gesunden, kritischen Menschenverstand. Erinnern Sie sich: Nur Schurken und Ganoven da draußen! Im Zweifel ein kurzer Rückruf beim Kollegen und die Sache lässt sich ganz schnell klären. 🙂

Aus gegebenem Anlass wollen wir Sie einmal mehr bezüglich Mailanhängen sensibilisieren.

Momentan werden wieder vermehrt Fake-Bewerbungen verschickt. Manchmal befindet sich hier direkt in der E-Mail bereits ein sehr seriöses Bild einer Bewerberin (z.B. folgende Namen werden in der E-Mail zwischenzeitlich verwendet: Nadine Bachert, Caroline Schneider, Hannah Sommer, Janine Schroth und Sofia Walter). Diese E-Mails enthalten einen Trojaner, getarnt als Bewerbung, welcher beim Öffnen der mitgesendeten Anhänge, Ihren Windows-PC infiziert und Ihre Daten verschlüsselt.

Vor allem die Personaler in Ihrem Unternehmen können mit solchen gefährlichen Bewerbungsmails sehr leicht in Berührung kommen. Vermutlich bekommen sie diese sogar von anderen Kollegen noch als vermeintliche Irrläufer weitergeleitet.

Haben Sie gerade generell gar keine freien Stellen veröffentlicht? Dann sollten Sie bei dem Erhalt von Bewerbungsmails direkt skeptisch werden. Vor allem, wenn diese dann auch noch in E-Mail-Postfächern ankommen, die normalerweise für das Sammeln von Bewerbungen bei Ihnen gar nicht verwendet werden. Natürlich sollten Sie auch, wenn Sie freie Stellen ausgeschrieben haben, vorsichtig sein!

Öffnen Sie keine .zip-, .exe-, oder etwa Excel- (.xls, .xlsx, usw.), Word- (.doc, .docx, usw.) oder Powerpoint- (.ppt, .pptx, usw.) Dokumente in einer Mail. Denn genau in diesen Dateien können sich Trojaner befinden. Das gängige Format für Online-Bewerbungen ist heute sowieso das pdf-Format, alles andere wirkt eher unprofessionell.

[In diesem Artikel „Klartext gegen Computer-Viren: Wie Du Deinen PC schützt!“ geben wir Ihnen weitere Tipps, wie Sie sich verhalten sollen]

Der aktuellste Trojaner nennt sich Gandcrab. Er verschlüsselt die Dateien auf Ihrem PC. Diese tragen im Anschluss den Dateinamen .krab.

Sollten Sie auf Ihrem PC solche Dateiendung finden, müssen Sie umgehend handeln!

[Hier finden Sie noch eine Anleitung wie Sie das automatische Ausführen von Makros verhindern]

Informationen, die früher vertraulich per Post verschickt wurden, werden heute per E-Mail übermittelt. Das Briefgeheimnis bzw. jetzt das Fernmeldegeheimnis gilt weiterhin.

Aber wer ist verantwortlich, wenn Sie Steuer- und Gehaltsdaten an Ihren Steuerberater senden? Oder Gesundheitsdaten weiterleiten (Stichwort AU Bescheinigungen oder Röntgenbilder in Praxen)? Wie schützen Sie den Lebenslauf eines Bewerbers, wenn die Personalabteilung mit der zuständigen Fachabteilung eine Entscheidung zu einer Kandidatin/ einem Kandidaten treffen muss?

Vielleicht haben Sie ja auch ein eigenes Interesse, dass Insiderinfos nicht in falsche Hände gelangen sollen…

Im Zuge der DSGVO hat das Thema erheblich an Tragweite gewonnen. Denn unabhängig von großen Polit-Skandalen wie den gehackten privaten E-Mails von Hillary Clinton, welche auch Informationen enthielten, die eben nicht für die breite Öffentlichkeit bestimmt gewesen wären, betrifft die Verarbeitung von personenbezogenen Daten spätestens seit Mai 2018 jeden EU-Bürger und jede EU-Bürgerin.

Und das Gesetz macht Sie als Unternehmen dafür verantwortlich, dass Sie sensible Daten schützen – und zwar mit Mitteln, des technisch aktuellen Standes. Für Sie heißt das: Sie und Ihre Personalabteilung müssen einige der täglichen E-Mails verschlüsseln. Denn es ist Ihre Aufgabe, sensible Daten zu schützen und dafür zu sorgen, dass sie nicht in falsche Hände gelangen.

Um sicher zu gehen, dass kein unbefugter Dritter mitliest, kommt die sogenannte Ende-zu-Ende-Verschlüsselung zum Einsatz. Nur wer den passenden Schlüssel besitzt, kann die E-Mail wieder entschlüsseln und lesbar machen. Für ein weiteres technisches Verständnis empfehlen wir hierzu auch unseren Blog-Artikel über die unterschiedlichen Möglichkeiten bei der E-Mail-Verschlüsselung https://www.all-connect.net/was-genau-bedeutet-e-mail-verschluesselung.

Gerade in der Arbeitswelt stellt sich eine konsequente Verschlüsselung der E-Mails leider oft kompliziert dar: Denn nicht nur Sie, sondern auch Ihr Kommunikationspartner benötigt die passenden technischen Mittel. „Standards“ sind gefragt, damit eine verschlüsselte Kommunikation besser stattfinden kann.

Technisch kommen zwei Methoden in Frage: S/MIME oder PGP/GPG

Beide Formen der Mail-Verschlüsselung müssen installiert und eingerichtet werden. Wer fit im Umgang mit Computern und Internet ist, kann auch beide Techniken parallel einsetzen – dazu braucht es nur ein etwas flexibleres Mail-Programm als Outlook, wie z.B. Thunderbird. Wichtig: Die beiden Methoden S/MIME und PGP sind zueinander nicht kompatibel – Sie müssen sich also vorher auf ein gemeinsames Verfahren einigen.

Auf Grund des häufigen Einsatzes von Microsoft Outlook ist S/MIME (Secure/Multipurpose Internet Mail Extensions) das etwas häufigere Verschlüsselungsverfahren im Alltag. Hierfür ist ein Zertifikat (ähnlich wie ein SSL-Zertifikat für Websites) erforderlich, das auf Ihre E-Mail Adresse (statt auf Ihre Webserver-Adresse) ausgestellt wird. Wenn zwei Partner per S/MIME hin und her schreiben, wird jeweils mit dem Zertifikat bzw. privaten Schlüssel des anderen hin und her ver- bzw. entschlüsselt. Das geht einfach und automatisch, sofern Sie das Zertifikat des anderen besitzen.

Bei PGP/GPG (PGP steht für „Pretty Good Privacy“; GPG ist die freie und offene Open-Source Alternative) benötigen Sie ebenfalls einen privaten Schlüssel. Und statt eines Zertifikats den dazu passenden öffentlichen Schlüssel. Vorteil: Beides kann selbst erstellt werden. Nachteil: Der öffentliche Schlüssel ist nicht zertifiziert und kann durch einen Angreifer gefälscht werden. Zwar gibt es auch dagegen technische Verfahren, um dies „erkenntlich zu machen“, aber das ist kompliziert und für einen einfachen PC-Benutzer ungeeignet.

Unterm Strich empfehlen wir für die Business Welt das Verfahren mit S/MIME Zertifikat.

Die Verschlüsselung von E-Mails ist kein Hexenwerk

Bei all-connect können Sie für sich und Ihre E-Mail Adresse S/MIME Zertifikate bestellen. Damit erhalten Sie von der offiziellen Certificate Authority Comodo ein digitales Zertifikat, das die Echtheit Ihrer E-Mail Adresse beglaubigt. Eine gute Voraussetzung, um verschlüsselt zu kommunizieren.

Gängige Mail-Programme wie zum Beispiel Microsoft Outlook, Thunderbird oder Apple Mail unterstützen von Haus aus S/MIME. Und natürlich übernehmen wir gerne den Support, um Sie zu unterstützen und um Ihr Mail-Programm passend einzurichten.

Infos und Preise zu S/MIME Zertifikaten finden Sie hier: https://www.mail-connect.net/s-mime

E-Mail Verschlüsselung via Webmailer

Auch in unseren Webmailern (Horde bzw. Zimbra je nachdem ob Sie mail-connect PRO oder TEAM einsetzen) bieten wir Ihnen die S/MIME Verschlüsselung an. Dies macht es entsprechend einfach, verschlüsselte Mails zu senden und zu empfangen.

Aber: Wie immer wenn es um IT-Sicherheit einerseits und Einfachheit andererseits geht, muss man dabei bedenken, dass jede Vereinfachung auch ein Risiko für die Sicherheit darstellt. Das konkrete Problem: Wenn Sie jederzeit von überall Zugriff auf die Entschlüsselungsinstanz in einem Webmailer nehmen, der öffentlich erreichbar ist, muss unter diesem Aspekt grundsätzlich hinterfragt werden, ob eine solche „öffentliche Erreichbarkeit“ Ihres Schlüssels vertretbar ist. „Sicherer“ wäre die „Ende-zu-Ende-Verschlüsslung“, wenn Sie Ihre vertraulichen Mails nur im Büro an Ihrem PC entschlüsseln, worauf normalerweise niemand von außen zugreifen kann.

Und weil die DSGVO generell den Schutz sensibler Daten verlangt, empfehlen wir Ihnen grundsätzlich verschlüsselte Mails nicht in einem Webmailer zu entschlüsseln, den Sie auch in einer Strandbar an einem Internet-PC in Rimini nutzen würden. Diese Art von „organisatorischer“ Sicherheit Ihres „Schlüssels“ gehört ebenfalls zur Sorgfaltspflicht nach DSGVO!

E-Mail Verschlüsselung via Smartphone

Wenn Sie möchten, können Sie auch auf dem Handy oder Tablet verschlüsselt E-Mails empfangen und versenden. Android und iOS bieten alle notwendigen Programmfunktionen. Wie beim Webmailer raten wir allerdings auch hiervon – aus den gleichen Gründen – ab.

Es handelt sich im wahrsten Sinne um „mobile Geräte“. Diese können Sie verlieren oder sie werden geklaut – egal wie: Der Verlust ist gleichzusetzen mit dem Verlust eines Hauptschlüssels von einer großen Schließanlage. Alle E-Mails werden rückwirkend (!) angreifbar und könnten von Unbefugten gelesen werden, wenn der Schlüssel in fremde Hände fällt.

E-Mail-Verschlüsselung jetzt professionell einsetzen!

Als Systemhaus und Internetanbieter helfen wir Ihnen gerne weiter:

1. Erhalten Sie von uns Ihr persönliches S/MIME Zertifikat (ggf. auch größere Mengen, was jedoch in der Praxis oft gar nicht nötig ist).

2. Beraten Sie mit uns, welche Geräten und Software am besten zum Einsatz kommen.

3. Lassen Sie sich das Setup „schlüsselfertig“ einrichten und legen Sie direkt los.

4. Für den täglichen Einsatz haben wir Tricks und Tipps in kleinen, persönlichen Online-Schulungen.

Im Fazit ist es also vergleichsweise einfach, die neuen Pflichten aus der DSGVO im beruflichen Alltag mit dem aktuellen Stand der Technik umzusetzen.

Rufen Sie unser Technik-Team jetzt an: (089) 55 296 -150

Auf unserer all-connect HILFE Seite finden Sie genaue Erklärungen zu den Unterschieden der einzelnen S/MIME Zertifikate, sowie zur technischen Einrichtung eben dieser. >>

Preise S/MIME Zertifikate >>

Sind meine E-Mails über die all-connect verschlüsselt?

Da wir im Zuge der DSGVO nahezu täglich Fragen zur E-Mail-Verschlüsselung erhalten, wollen wir gerne kurz etwas Aufklärung beisteuern. Diese Informationen sollen es Ihnen ermöglichen, die Sachlage richtig einschätzen können:

Wir unterscheiden bei E-Mails zwei Arten von Verschlüsselungen:

  • Die Transport-Verschlüsselung und
  • die Ende-zu-Ende-Verschlüsselung.

Die erste Form, also die Transport-Verschlüsselung (kurz: TLS) ist bei all-connect Kunden aktiv. Sie sichert aber nicht den Inhalt der E-Mails ab, sondern lediglich die Übertragung der Mails zwischen Ihrem PC (oder Ihrem Smartphone) und dem Server. Dies ist vor allem deshalb relevant, weil bei dieser Übertragung auch Ihr Benutzername und Ihr Kennwort verschlüsselt übertragen wird. Vereinfacht könnte man sagen: Die Transport-Verschlüsselung garantiert lediglich, dass ein Angreifer nicht Ihre Zugangsdaten ausspähen kann.

Die zweite Form, also die Ende-zu-Ende-Verschlüsselung ist bei den meisten von Ihnen vermutlich nicht aktiv. Diese funktioniert unabhängig vom Mail-Server (egal ob Ihrer oder der von all-connect).

Dies muss in Ihrem Mailprogramm (z.B. Outlook) über die Technik „S/MIME“ aktiviert werden. Wichtig dabei ist, dass Sie mit jedem E-Mail-Partner vorab Ihr S/MIME-Zertifikat austauschen, ehe Sie die die Ende-zu-Ende-Verschlüsselung nutzen können. Erst wenn dies erfolgt ist, wäre auch der E-Mail Inhalt verschlüsselt und niemand außer Ihnen könnte dann noch mitlesen. Natürlich funktioniert dies nur für diese einzeln ausgewählten E-Mail-Partner. Partner ohne S/MIME würden Mails weiterhin unverschlüsselt mit Ihnen austauschen.

Kurzum: Wenn es z.B. um die DSGVO geht, sollten Sie nicht oberflächlich von E-Mail-Verschlüsselung sprechen. Dies wäre technisch und rechtlich unpräzise oder sogar „falsch“ (z.B. als Angabe in einer Datenschutzerklärung). Sie müssen stattdessen die Verschlüsselung differenziert betrachten:

  • Mit dem Punkt 1. gewährleisten Sie ein gutes Niveau an IT-Sicherheit (= Passworte und Zugänge absichern).
  • Mit dem Punkt 2. würden Sie E-Mail-Inhalte verschlüsseln (= Vertraulichkeit gewährleisten). Dies ist in der Praxis jedoch organisatorisch sehr aufwendig, weil Sie mit jedem Kunden einzeln
    vertraglich vorab vereinbart und eingerichtet werden muss.

Praxis-Empfehlung: Keine personenbezogene Daten per E-Mail versenden (z.B. Lohndaten an den Steuerberater). Stattdessen Post oder die Daten vorher in ein verschlüsseltes/Passwort geschütztes ZIP-Archiv verpacken. Das Passwort zur Entschlüsselung können Sie dann per Telefon dem Empfänger (z.B. dem Steuerberater) mitteilen.

Hier eine Anleitung für ZIP-Verschlüsselung:

https://www.heise.de/tipps-tricks/ZIP-Archiv-mit-einem-Passwort-schuetzen-So-geht-s-3907870.html

Haben Sie Interesse an einer „S/MIME – Verschlüsselung? Gerne lassen wir Ihnen ein Angebot dazu zukommen.

Inzwischen ist wohl in jedem Unternehmen der 25. Mai 2018 zu einem brisanten Datum geworden.

Ab diesem Tag ist die neue Datenschutzverordnung nach DSGVO offiziell anzuwenden. Verabschiedet wurde sie bereits im Frühjahr 2016. Die meisten haben das Thema erst einmal verdrängt. Da Sie inzwischen in nahezu allen gängigen Medien mit diesem Thema konfrontiert werden, wollen wir Ihnen einen generellen Überblick zum Umgang mit dem Datenschutz bei all-connect und unseren Dienstleistungen geben.

Was ist das Ziel der neuen Verordnung?

Die Datenschutz-Grundverordnung hat das Ziel einen einheitlichen Rechtsrahmen für alle EU-Mitgliedsstaaten in Bezug auf die Verarbeitung personenbezogener Daten zu schaffen. Zweck des Datenschutzrechts ist es, das Grundrecht auf informationelle Selbstbestimmung der Bürger zu gewährleisten.

Geschäftsleiter, Führungskräfte und verantwortliche Fachkräfte müssen unterschiedliche Regelungen nach BDSG und DSGVO berücksichtigen und sinnvoll ins Tagesgeschäft integrieren.

Welche personenbezogenen Daten sind damit gemeint?

Gemeint sind alle Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Beispiel sind Name, Alter, Familienstand, Adressdaten, Zahlungsdaten, Nutzung von Gegenständen oder Diensten wie z.B. PKWs oder Online-Shops, ID-Nummern z.B. des Personalausweises oder Aktenzeichen/ IDs von Behörden oder amtlichen Dokumenten, genetische Daten, Gesundheitsdaten, Werturteile, wie z.B. Zeugnisse, u.v.m.

Kunden- und Lieferantendaten gehören ebenso zu den personenbezogenen Daten wie die Personaldaten von Beschäftigten. Dabei ist die technische Form dieser Angaben nicht von Bedeutung. Auch Fotos, Videos, Röntgenbilder oder Tonaufnahmen können personenbezogene Daten enthalten.

Können Sie uns Beispiele zur Verarbeitung personenbezogener Daten geben?

Die anfallenden Datenverarbeitungen müssen zukünftig alle geregelt und dokumentiert werden. Typische „Offline“-Daten sind zum Beispiel Personalbögen, Reisekostenabrechnungen und Kundenarchive. Typische „Online-Daten“ sind zum Beispiel Newsletter-Adressen, Integration von Webseiten-Analyse-Tools wie z.B. Google Analytics, integrierte Online-Werbung und Tracking-Scripts, Kontaktformulare, Integration von Social-Media-Like-Buttons, von externen Quellen eingebundene JavaScripts und Schriftarten, wie z.B. von Design-Elementen und Vorlagen für Ihre Homepage sowie automatische Einblendungen von Inhalten aus Social-Media-Plattformen, weil dadurch Daten des Besuchers Ihrer Website an Social-Media Anbieter wie z.B. Facebook weitergegeben werden.

Richtig problematisch wird es, wenn Daten in Ländern außerhalb der EU verarbeitet werden. Wie ist das dann z.B. mit Google und Facebook?

Gerade Firmen wie Facebook oder Google waren datenschutzrechtlich immer bedenklich. Häufig waren die Angebote schon mit dem bisher geltenden deutschen Datenschutzgesetz nach BDSG umstritten oder sogar nicht vereinbar. Spätestens ab dem 25. Mai 2018 sollte die rechtlich korrekte Nutzung von angebotenen Diensten eingehalten werden, da Sie andernfalls vermutlich schneller abgemahnt werden. Einige Abmahn-Anwälte stehen mit Sicherheit hierfür schon bereit. Konkret heißt das v.a. die Genehmigung zur Datenverarbeitung durch Ihre Besucher nachweisbar eingeholt zu haben sowie die Prüfung und ggf. Vervollständigung einer wirksamen Datenschutzerklärung für Ihre Homepage vorgenommen zu haben.

Auf welcher Grundlage darf ich personenbezogenen Daten rechtlich sammeln bzw. verarbeiten?

Im Grundsatz gilt wie bisher das Verbot mit Erlaubnisvorbehalt. Jede Datenverarbeitung ist demnach zunächst verboten, es sei denn es gibt eine explizite Ausnahmeregelung.

Die häufigste Ausnahme in der Praxis ist die ausdrückliche Zustimmung der jeweiligen betroffenen Person – diese muss also nachweisbar zugestimmt haben, dass Sie deren Daten sammeln und verarbeiten dürfen. Wichtig dabei ist, dass Sie neben der Zustimmung auch den Zweck der Verarbeitung mit der betreffenden Person vereinbaren; eine spätere Zweckentfremdung ist nämlich ebenso untersagt.

Ein weiterer häufiger Praxisfall ist die Verarbeitung zur Durchführung eines Vertrags. Hierfür muss die Zustimmung nicht explizit angefordert werden – es genügt der Hinweis auf die Verarbeitung. Dabei gelten aber das Gebot der „Datensparsamkeit“ sowie ebenfalls die Zweckbindung. Wenn es zum Beispiel um die Abwicklung eines (Online-)Kaufs geht, werden natürlich Name, Adresse und Bankdaten für den Vorgang benötigt. Das bedeutet aber noch lange nicht, dass Sie auch das Geburtsdatum zwingend abfragen oder dass Sie die Adresse später zum Versand von Werbeprospekten verwenden dürfen.

Darf ich mit der Zustimmung alle Daten verarbeiten?

Nein. Auch hier gibt es Grenzen, etwa bei besonders schützenswerten Daten. Dies sind rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung. Neben diesen Sonderfällen gibt es weitere „Stolpersteine“ im Datenschutzrecht, die gesondert beachtet werden müssen, wenn z.B. ein besonderes Risiko bei der Verarbeitung entstehen könnte oder wenn der Umfang der Verarbeitung sehr groß ist.

Was ändert sich mit dem neuen Gesetz noch?

In wesentlichen Teilen basierte das bisherige Datenschutzrecht nach BDSG bereits auf den Vorgaben der EU. Die wirtschaftlich größte Veränderung liegt im Bereich der Bußgelder, die bei Missachtung verhängt werden können – diese sind nun drakonisch hoch. Auch gelten verschärfte Meldepflichten bei „Datenschutzpannen“.
Im Übrigen ändern sich Details in der Datenschutz-Praxis. Diese hängen von betrieblichen Prozessen und Ihrem Tätigkeitsfeld ab. Konkret sollten diese Fragen mit Ihrem Datenschutzbeauftragen besprochen und ggf. gelöst werden.

Zusammenfassend kann man folgende wichtige Schritte zur neuen Datenschutzverordnung erwähnen, die in jedem Unternehmen nötig sind:

1. Dokumentation aller Vorgänge bei denen personenbezogene Daten verarbeitet werden Dabei handelt es sich um das häufig erwähnte (und schon bisher vorgeschriebene) „Verfahrensverzeichnis“.

  • Welche personenbezogenen Daten werden wie, wann und warum verarbeitet? Welche rechtliche Grundlage gibt es hierfür?
  • Welche Verarbeitungsvorgänge sind datenschutzrechtlich problematisch? Wo werden Daten an andere Parteien außerhalb des Unternehmens übermittelt?
  • Bedenken Sie auch Ihre Webauftritte, diese sind zukünftig am schnellsten Ziel von Abmahnwellen betroffen, wenn Formalien missachtet werden.

2. Risikoprüfung der „verarbeiteten“ Daten und datenschutzkonforme Vertragsgestaltung: Dürfen bestimmte Daten überhaupt noch verwendet werden? Sind Lieferanten (z.B. Web-Hoster mit Servern außerhalb der EU) nach den neuen Gesetzen überhaupt noch tragbar?

  • Schließen Sie klare Vereinbarungen mit Geschäftspartnern, die Zugriff auf Daten in Ihrem Unternehmen haben. Es ist eine Vereinbarung zur sogenannten Auftragsdatenverarbeitung zwingend abzuschließen.
  • Verpflichten Sie Mitarbeiter und sonstige Betriebsangehörige auf das Datengeheimnis nach § 53 BDSG neue Fassung 2018 (§ 5 BDSG alte Fassung bis 2018).
  • Holen Sie wirksame Einwilligungen von Ihren Mitarbeitern ein, wenn Sie zusätzliche personenbezogene Daten verarbeiten, die nicht unmittelbar das Angestelltenverhältnis berühren. Das betrifft zum Beispiel Fotoaufnahmen für Marketing-Unterlagen.

3. Treffen Sie technisch und organisatorische Maßnahmen und dokumentieren Sie diese – z.B. in Form eines Sicherheitskonzepts. Nutzen Sie z.B. zur Auswertung von Besucherstatistiken auf Ihrer Website eine eigene datenschutzkonforme Software, statt den Dienst von Google. Selbiges trifft z.B. auch auf Google Maps zu. Passen Sie Ihre unternehmensinterne Dokumentation und die sonstigen datenschutzrelevanten Prozesse an (Compliance-Management).

  • Beachten Sie die zahlreichen neuen Pflichten (z.B. Schulung Ihrer Mitarbeiter)

Wie kann mir all-connect bei der Umsetzung datenschutzrechtlicher Pflichten helfen?

Diese Frage muss differenziert betrachtet werden:

Grundsätzlich sind wir als technischer IT-Dienstleister natürlich in der Pflicht nach datenschutzrechtlich einwandfreien Maßstäben zu arbeiten und Ihnen auch entsprechend zuzuarbeiten. Als deutsch-europäisches Unternehmen stellen wir daher sicher, dass alle gesetzlichen Obliegenheiten nach der DSGVO erfüllt werden. So garantieren wir z.B. bei der Durchführung unserer Werk- und Dienstleistungen alle technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten – gleich aus welcher Quelle diese stammen.

Ein wesentlicher Bestandteil dabei ist auch die Vereinbarung der oben schon erwähnten Auftragsdatenverarbeitung, die wir mit den meisten unserer Kunden auch schon nach dem alten Rechtsstand wirksam geschlossen haben.

Im Übrigen ist und bleibt all-connect ein technischer Dienstleister. Eine rechtliche Bewertung oder Beratung hinsichtlich konkreter datenschutzrechtlicher Fragen nehmen wir nicht vor. Dies ist und bleibt die Aufgabe von Rechtsanwälten – diesen ist die Rechtsberatung in Deutschland auch weiterhin vorbehalten. Bei näherer Auseinandersetzung der DSGVO wird schnell klar, dass das Feld des Datenschutzes zwar in vielen Fällen mit der IT verbunden sein kann, dass organisatorische und prozessuale Abläufe im Unternehmen aber kein technisches Thema sind, sondern eine Aufgabe der Verwaltung. Für dieses Tätigkeitsfeld ist das Berufsbild des Datenschutzbeauftragten zuständig.

Der Datenschutzbeauftragte kann dabei intern durch eigene qualifizierte Mitarbeiter bestellt werden oder extern in Form eines Outsourcing-Vertrags. In besonderen Fällen kann all-connect die Funktion des DSB übernehmen und erfüllen. Hierfür stehen wir Ihnen für weitergehende Fragen gerne individuell zur Verfügung.

>> Weitere Infos bzgl. eines externen Datenschutzbeauftragten finden Sie in diesem PDF