Datenschutzrechtliche Aspekte bei Campus Management Systemen

Transkript

1 Datenschutzrechtliche Aspekte bei Campus Management Systemen 3. Internationales Kanzlertreffen Luzern, Thorsten Ebert IT Beratung

2 Der Sony-Hack Der Datendiebstahl beim Sony-Playstation-Network und seine Implikationen für Campus Management Systeme: Hackern gelang es Mitte April über 100 Millionen Kundendaten und womöglich mehr als 12 Millionen Kreditkartennummern von unterschiedlichen Sony-Servern zu stehlen. Professor Dr. Eugene Spafford, Sicherheitsexperte an der Purdue Universität, schätzt die Kosten des Einbruchs auf 21 Milliarden US-Dollar. (Quelle: Heise Security, ) Was war geschehen? Angreifern gelang es über das Internet die Firewall des Webservers sowie die Firewall des Applikations-Servers zu überwinden und auf der Ebene des Applikations-Servers eine Software (Communication-Tool) zu installieren. Mit Hilfe des Communication-Tools konnten die Angreifer eine weitere Firewall überwinden und den dahinter liegenden Datenbank-Server erfolgreich angreifen und die Kundendaten auslesen.

3 Der Sony-Hack Die Vorgehensweise Vorgehensweise der Angreifer: Quelle: Spiegel online,

4 Der Sony-Hack Die Vorgehensweise Vorgehensweise der Angreifer: Quelle: Spiegel online, Internationales Kanzlertreffen, Luzern Thorsten Ebert IT Beratung

5 Der Sony-Hack und CMS Der Datendiebstahl beim Sony-Playstation-Network und seine Implikationen für Campus Management Systeme: Wie konnte das geschehen? Auf dem Webserver von Sony wurde offenbar eine völlig veraltete Software (Apache-Web- Server) ohne zusätzliche Sicherheitsmaßnahmen betrieben (Quelle: Heise Security, ). Was hat dieser Hack mit Campus Management Systemen zu tun? Die Architektur von Campus Management Systemen ist mit der von Sony betriebenen Infrastruktur weitgehend identisch. Jedes Campus Management System arbeitet mit einer Web-Schnittstelle, einer Applikations-Schicht sowie einer Datenbank. In jedem Campus Management System werden alle relevanten Daten von Studierenden gespeichert, wenn keine Kontodaten verarbeitet werden, zumindest sensible Informationen über den Studienverlauf der Studierenden somit ist das Schutzniveau auf einer vergleichbaren Höhe.

6 Der Sony-Hack und CMS Der Datendiebstahl beim Sony-Playstation-Network und seine Implikationen für Campus Management Systeme: Was bedeutet dies für die Einführung und den Betrieb von Campus Management Systemen? Beteiligen Sie von Projektbeginn (spätestens bei Erstellung der Ausschreibungsunterlagen!) Ihren behördlichen Datenschutzbeauftragten. Beteiligen Sie, in Abstimmung mit Ihrem Datenschutzbeauftragten, von Projektbeginn unabhängige externe Experten für rechtliche und technische Aspekte der Systemeinführung. Erstellen Sie ein Lastenheft und berücksichtigen Sie in ihm datenschutzrechtliche und technische Anforderungen Kapselung von sensiblen Daten Möglichkeiten der Datenverschlüsselung feingranulare Zugriffsberechtigungen automatische Routinen für physikalische Datenlöschung Möglichkeiten der Erzeugung von Listen über im System verarbeitete personenbezogene Daten (Auskunftspflicht). Erstellen Sie vor Produktivbetrieb eine modulare Verfahrensbeschreibung und Vorabkontrolle. Machen Sie die unterstützende Beteiligung des Herstellers an den datenschutzrechtlichen und technischen Dokumenten zu einem Vertragsbestandteil.

7 Der Sony-Hack und CMS Der Datendiebstahl beim Sony-Playstation-Network und seine Implikationen für Campus Management Systeme: Was bedeutet dies für die Einführung und den Betrieb von Campus Management Systemen? Beteiligen Sie im Zweifelsfall Ihren Landesdatenschutzbeauftragten und verlangen eine Unbedenklichkeitserklärung zum Betrieb des Verfahrens. Machen Sie die Erstellung einer systemspezifischen Produktbeschreibung sowie eines Betriebskonzepts durch den Hersteller zum Vertragsbestandteil. Regeln Sie die Zusammenarbeit mit dem Hersteller durch einen Vertrag zu Auftragsdatenverarbeitung. Nutzen Sie Ihre Ressourcen: Beteiligen Sie den FB Informatik für erwünschte Angriffe, die Sicherheitslücken aufdecken (schaffen Sie ggf. Anreize durch Auslobung eines Preises bei erfolgreichen Angriffen). Sorgen Sie für einen dauerhaften datenschutzkonformen Betrieb Ihres CMS Abschluss eines Support-Vertrages mit dem Hersteller Systembetrieb auf dem aktuellen Stand der Technik Aktualisierung der datenschutzrechtlichen Dokumente. Bereiten Sie sich auf den Ernstfall vor Wer meldet wie und wo einen Datenschutz-GAU / Kommunikation mit Medien Technisches Vorgehen.

8 Datenschutzrechtliche Aspekte bei Campus Management Systemen Herzlichen Dank für Ihre Aufmerksamkeit!