<

Richtlinien

2021.03.19 Videokonferenz Sicherheitslücke Warnung und Tipp


EDUDIP hat am 23.3.2021 8Uhr nachgebessert!!! Ein Update wurde veröffentlicht.
Meine Meldung
der Lücke hat zu einem Update bei EDUDIP geführt
Danke an die GDD Geschäftsstelle für die Unterstützung.

########################################### Alt ##################

Tipp:
Eine Webadresse die in einer Videokonferenz (EDUDIP) im Chat gepostete wurde NICHT unmitelbar anklicken!
Stattdessen:
Kopieren Sie die Webadresse aus dem Chat in den Browser.
Rufen Sie aus dem Browser die Webadresse auf!

Warum?
Mit gelang es mehrfach für jeweils eine Sekunde an einer EDUDIP Videokonferenz teilzunehmen, für die ich KEINE Berechtigung hatte!
Update 22.3.2021: Mir ist es gelungen an der Videokonferenz von EDUDIP teilzunehmen, vermutlich weil die Person (welche den Link im Chat angeklickt hatte) die Videokonferenz verlassen hat.

Was ist passiert?
In der Videokonferenz BEISPIEL https://room.edudip.com/webinar/12345/12345678 wurde im Chat meine Webadresse (www.Dtnschtz.de) geschrieben.
Ein Konferenzteilnehmer klickte auf die Webadresse im Chat, es wurde die Webadresse www.Dtnschtz.de aufgerufen.

Ich schaute mir zufällig gerade die Logfiles meiner Internetadresse (DtnSchtz.de) an die generell von meinem Provider angelegt werden.
In jeder ‚ordentlichen‘ Datenschutzerklärung findet sich ein Hinweis dazu
„Die Provider dieser Seiten erheben und speichern automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt.
Dies sind u.a. Referrer URL (von welcher Webseite kommt der Webseitenbesucher)
in diesem Falle also BEISPIEL https://room.edudip.com/webinar/12345/12345678?auth_key=DaTeNSCHuTZ2021

Ich gab diese Referrer URL Webadresse in meinem Browser ein und konnte den Inhalt der noch laufenden EDUDIP Videokonferenz sehen, inklusive Chat un der dort eingegebenen Webadresse (www.Dtnschtz.de).
Nach einer Sekunde kam jedoch der Hinweis
„Medienwiedergabe starten?“ , „Bitte bestätigen Sie den Empfang von Audio/Video“ „Wiedergabe starten“
-> Wiedergabe starten brachte mich nicht weiter. Also erneut die Adresse
https://room.edudip.com/webinar/12345/12345678?auth_key=DaTeNSCHuTZ2021 eingegeben und wieder für eine Sekunde den Inhalt der Konferenz gesehen.

Nicht schlimm?
Naja, ich konnte Motto, Klarnamen der Teilnehmer, den Chatinhalt sehen und unter Umständen die Präsentation.
Mit gelang es den Verantwortlichen für die Videokonferenz zu ermitteln und habe Ihn fairerweise unmittelbar auf den Umstand aufmerksam gemacht.

Datenpanne?
Es kommt sicherlich auf den zu prüfenden Einzelfall an, ob diese Verletzung des Schutzes personenbezogener Daten (Datenpanne) gemäß Artikel 33 DSGVO seitens des Verantwortlichen (Videokonferenz-Initiator) an die Aufsichtsbehörde gemeldet werden muss.
Eine Meldung setzt eine Kenntnisnahme voraus. Gibt es bei EDUDIP Log-Files die geprüft werden können?

Zoom:
Hier hat mein bescheidener Test ergeben, dass bei Aufrufe aus dem Zoom Chat der Chat-Raum NICHT nachvollziehbar ist, da dieser als „Direkter Zugriff“ gewertet wird. Trotzdem ist Vorsicht geboten!

Fazit und Handlungsempfehlung:
Weisen Sie die Teilnehmer von Videokonferenzen,
insbesonderen von EDIDUP Videokonferenzen, darauf hin mögliche
Webadressen NICHT direkt aus dem Chat aufzurufen.
Passen Sie Ihre Richtlinien / Vorgaben / Teilnahmebedingungen entsprechend an.
So vermeiden Sie, dass unberechtigte die nicht öffentliche Videokonferenzadresse erlangen.
So vermeiden Sie, dass unberechtigte die nicht öffentlichen Videokonferenzinhalte erlangen.

Update 22.03.2021:
EDUDIP ist über diese Lücke informiert und dabei diese zu schließen.

Mit positiven Absichten schreibt Ihnen Ihr persönlicher Risikooptimierer
Lorenz Macke (Hannover) externer Datenschutzbeauftragter

Stichworte: , , , , , , ,

2021.01.31 Home Office Richtlinie Mobiles Arbeiten (Definition)

Home Office: Der Oberbegriff für Mobiles Arbeiten / Telearbeit.

Der Arbeitgeber hat den Beschäftigten im Fall von Büroarbeit oder vergleichbaren Tätigkeiten anzubieten, diese
Tätigkeiten in deren Wohnung auszuführen, wenn keine zwingenden betriebsbedingten Gründe entgegenstehen
“ (Arbeitsschutzkontrollgesetz §2(5) [erstmal] befristet bis 15.3.2021 verlängert bis 30.4.2021)



Der ArbeitNEHMER muss in der Regel zustimmen, dass die Arbeit im Home Office stattfinden kann – da Home Office eine Vereinbarung voraussetzt.

„Der Beschäftigte kann nicht gezwungen werden… wenn weder Laptop, W-Lan, Programme zu Hause vorhanden sind, dann sprechen betrieblichen Gründe dageben“ (Bundesarbeitsminister Hubertus Heil 20.1.2021 Pressekonferenz)

Urteil: „Eine auf drei Wochen befristete Anordnung des Dienstherrn, wegen der aktuellen Corona-Pandemie im Home-Office arbeiten zu müssen, verstößt auch dann nicht gegen das Recht des Beamten auf amtsangemessene Beschäftigung, wenn in diesem Zeitraum im Home-Office faktisch keine oder kaum Aufgaben übertragen werden.“ (VG Berlin 14.04.2020, Az. VG 28 L 119/20) und weiter bezüglich der Entscheidung OB angeotdnet wird:
Dabei sollten soziale und gesundheitliche Aspekte mitberücksichtigt werden

Zudem müssen Arbeitnehmer UND der Arbeitbeitgeber regeln, ob und wie private Geräte (Internetverbindung, Computer, Wohnraum, Handy…) im Home Office genutzt werden.

Der Arbeitnehmer muss die Möglichkeit haben u.a. aufgrund von Unverhältnismäßigkeit/Unzumutbarkeit wieder in den betrieblichen Arbeitsplatz zu wechseln.

Telearbeit: Ein fester Arbeitsplatz am Wohnsitz des Arbeitsnehmers (meist zu Hause).
Die Geräte für den häuslichen Arbeitsplatz, werden vom Arbeitgeber gestellt, darunter zählt u.a. auch der ergonomische Bürostuhl.
Zudem ist eine Einwilligung der Mitbewohner erforderlich um mögliche häusliche Kontrollen zu ermöglichen.
Der Arbeitgeber kann einen Teil der Kosten für den Dauerhaften Arbeitsplatz übernehmen (müssen), z.B. für Strom, Arbeitsfläche/Raum, Heizung…

Mobiles Arbeiten: Das Gerät (Laptop, Internetverbindung, Firmenhandy…) wird meist vom Arbeitgeber gestellt. Die Tätigkeit findet an wechselnden Orten statt. Der Arbeitsort kann auch (mal) der Wohnsitz sein.

Bring your own device: Der Mitarbeiter darf sein eigenes Gerät nutzen. Dies sollte jedoch vermieden werden.

Prinzipien:
+Trennung von privat und geschäftlich.

+Vertraulichkeit:
– Die Daten sind so geschützt, dass niemand unberechtigtes die Möglichkeit hat, Informationen zur Kenntnis zu nehmen.

+Verfügbarkeit:
– Die Daten bleiben vorhanden.
– Die Daten sind so geschützt, dass niemand unberechtigtes die Möglichkeit hat, diese (vollständig) zu zerstören.

+Unveränderbarkeit:
– Die Daten bleiben vollständig.
– Die Daten sind so geschützt, dass niemand unberechtigtes dies verändern kann.

+Verpflichtung:
– Was im Büro gilt, gilt auch im Home Office (vergleichbares Schutzniveau)
– Regelung Home Office ermöglichen
– Richlinie Home Office

-> Der Datenschutzbeauftragte bietet Muster für Richtlinien an um verschiedene Konstellationen zu regeln.

Aus aktuellem Anlass (19.01.2021):
Der Arbeitgeber muss nachweisen, warum der Arbeitgeber dem Mitarbeiter die Arbeit im Home Office NICHT ermöglicht.

„Das erforderliche Schutzniveau kann (noch) nicht hergestellt werden“ … der private Computer des Mitarbeitenden kann/darf/sollte keinesfalls werden!
„Verträge mit Auftraggebern lassen keine Home Office zu“
„Wir haben noch keine Home Office Richtlinien“

„Das erforderliche technische Gerät ist (noch) nicht verfügbar“
„Es ist kein Budget für technisches Gerät vorhanden“
(…wir warten erst bis die zugesagten Gelder tatsächlich ausgezahlt wurden)
„Die Programme/Daten/Userprofile sind so organisiert, dass kein Fernzugriff möglich ist“

„Es ist seitens des Mitarbeitenden unzumutbar im HomeOffice zu arbeiten“ -> Diese freiwillige Erkenntnis ist zu dokumentieren.

Richtlinien, Tipps und Quiz (kostenfrei 10 Minunten anonym) zum Thema HomeOffice
Allgemeine Hinweise zum Home Office


Es schreibt Ihnen Ihr persönlicher externer Datenschutzbeauftragter Lorenz Macke (Hannover)

[Ursprünglich ist der Artikel vom 16.03.2020]

Warum bringe ich hier Argument GEGEN Home Office?
Es ist meine Pflicht als externer Datenschutzbeauftragter im Sinne der DSGVO „zu unterrichten und zu beraten“

2021.01.13 Sprachassistenten Alexa hört mit

Sprachassistenten

Was Sie bei Sprachassistenten bzw. eingeschalteten Mikrofon beachten sollten, erfahren Sie in diesem Artikel.

Dieser Artikel bezieht sich vorwiegend auf Alexa(Amazon) „die“ mit der ich bisher am meisten konfrontiert wurde, jedoch auch auf weitere „Mithörende“ wie z.B. Siri, Google Assistent, Hallo Magenta, HiVoice, Hey Facebook…

Sprachassistenten spielen im Zusammenhang mit geschäftlichen Tätigkeiten, sei es im Betrieb oder unterwegs oder im Home Office eine Rolle und im Privatleben.

Bestenfalls wird der Sprachassistent bewusst gestartet, z.B. per Tastendruck auf der Fernbedienung.
Schlimmstenfalls hört der Sprachassistent immer mit und wartet so auf einen Sprachbefehl. Dabei kann es auch zu Fehlinterpretationen kommen: Es werden Sprachbefehle übertragen, sie gar keine sind.

Der Sprachbefehl wird vom Gerät per Datei in ein Rechenzentrum übertragen. Dort wird der Sprachbefehl von einem Programm interpretiert und ein entsprechender Befehl zurück an das Gerät. Voraussetzung ist eine Internetverbindung.

Warum auch immer… vielleicht damit Sie herausfinden, was die anderen so für Sprachbefehle vor Tagen, Wochen, Monaten geben haben.
Normalerweise müsste die Einstellungen datenschutzfreundlich und datensparsam sein: Keine Speicherung der Daten.

Ein Grund die Daten von Sprachassistenten wie Alexa DOCH zu speichern ist, dass eventuelle (Fehl-)bestellungen die über den Sprachassistenten ausgeführt werden, nachvollzogen werden können.

haben Berechtigung auf das Mikrofon zuzugreifen, somit gibt noch mehr die mithören. APPs warten auch auf Sprachbefehle.  Dabei sind sicherlich auch APPs die durch Sprachdateien mehr über Sie erfahren die Erkenntnisse – wie auch immer- verwenden.
In einem weiteren Artikel erfahren Sie mehr über den Zusammenhang vom eingeschalten Mikrofon und der Anzeige von Werbung bei Facebook.


(Wenn keine Internetverbindung besteht, kann es sein, dass der Sprachbefehl zwischengespeichert wird, bis wieder eine Internetverbindung besteht).

Einige Geräte geben im Kleingedruckten Hinweise „Keine vertraulichen Gespräche zu führen“.
Alexa gibt zu, Sprachbefehle durch Mitarbeiter auszuwerten um  festzustellen, ob das Programm im Rechenzentrum aus der übermittelten Sprachdatei den richtigen Befehl gebildet hat.

Android: Einstellungen – APPs – oben rechts 3 Punkte – Berechtigungen

wartet, je nach Einstellung, auf Sprachbefehle. Windows ist jedoch so freundlich und fragt Sie bei der Erstinstallation OB Cortana verwendet werden soll.

Vorsicht: Je mehr Sprachdaten übertragen werden, desto mehr können über Sie gesammelt werden, vielleicht auch fehlinterpretiert werden, vielleicht Jahrelang für zum Zwecke der Auswertung (mit Folgen für Sie) gespeichert.

Schilder aufhängen
 Freunde auf die Verwendung von Sprachassistenten aufmerksam machen
 Freunde fragen ob Sprachassistenten verwendet werden

!!! Es könnten ungewollt Bestellungen ausgeführt werden - das könnte ein Grund sein die Aufzeichnungen der Sprache für eine bestimmte Zeit doch zu speichern !!!

Vorsicht: Geschäftsgeheimnisse könnten an unberechtigte übertragen werden.

Weit genug von Geräten Gespräche führen
Geräte ausschalten.
Dilemma: Genau das Geräte von dem telefoniert wird, hört mit!
APPS überprüfen
Tipp: In den Amazon Einstellungen die Sprachspeicherung (Alexa) ausstellen!

Die Geschäftsführung bewirkt:
 Aufhängen von Schildern
 Sensibilisierung der Mitarbeiter
 Richtlinien für die das Verhalten im Betrieb
 Richtlinien für die das Verhalten im Home Office
 Richtlinien für die das Verhalten beim Kunden

Richtlinien beachten (diese sollten eine Abschaltung enthalten)
 Falls es keine gibt, gesunder Menschenverstand, siehe Handlungsempfehlung.

Betreten eines Raumes wo sich wissentlich ein Sprachassistent befindet, bedeutet nicht unbedingt eine Einwilligung zur Sprachaufzeichnung!
Die Vertraulichkeit des nicht öffentlich gesprochenen Wortes!
Sie dürfen nicht den Sprachassistenten ohne Erlaubnis der mitgehörten Person mithören lassen!
Positiv formuliert: Sprachassistenten dürfen nur mithören, wenn beteiligte Ihre Erlaubnis erteilt haben.

Manche Smart-TVs hören mit, wenn Sie Sprachsteuerung möglich ist.
Nun die Steigerung: Fernstehen GUCKEN mit, wenn Steuerung per Gestik möglich ist. Auch hier werden Daten von der Kamera in Ihrem Fernseher durch das Internet übertragen – wohin auch immer.
Guckt der Fernseher mich gerade an? Wer guckt mich gerade durch den Fernseher an? Ist der Fernseher „Sicher“ konfiguriert?
Bei Ihrem nächsten Hotelaufenthalt werden Sie sich an diesen Artikel erinnern 😊

Was hat Alexa wann verstanden?

Wer hat wann nach gesucht 🙂 Mitbewohner, Gäste oder zufällige Aufnahmen.


Ändern Sie die Einstellungen für Ihre Sprachassistenten

Damit Sprachaufzeichnungen, sofern sie stattfinden, leicht gelöscht werden können.

Voreingestellt: Speichern -> KEINE Aufzeichnungen speichern!

Voreingestellt: Daten übermitteln

-> Ausschalten!

In einem weiteren Artikel erfahren Sie mehr über den Zusammenhang vom eingeschalten Mikrofon und der Anzeige von Werbung bei Facebook.

Im Home Office
Die Richtlinien beachten für die das Verhalten im Home Office
Falls es keine gibt, gesunder Menschenverstand, siehe Handlungsempfehlung (oben)

Tipps, Richtlinien und Quiz zum Thema HomeOffice
Hinweise zum Home Office

Es schreibt Dir, risikomindernt, Dein persönlicher externer Datenschutzbeauftragter Lorenz Macke (Hannover)

Stichworte: , , , , , , , , , ,

Tipps Home Office Regeln Datenschutz Checkliste PDF kostenlos

Eine mögliche Übersicht, geeignet für Arbeitgeber und Mitarbeiter die im Homeoffice sind. Tipps bezüglich Datenschutz und Datensicherheit von der Aufsichtsbehörde für Datenschutz in Irland – hier sinngemäß übersetzt.
PDF-Datei zum Speichern – als Übersicht zum Ausdrucken bzw. Versenden per E-Mail an die Mitarbeiter.

Download der PDF Datei
Tipps_Home_Office_Regeln_Datenschutz_Checkliste.PDF
(Ziel speichern unter bzw. in Downloads nachgucken)
Stand 12.01.2021

Nehmen Sie und Ihre Mitarbeiter sich jeweils 10 Minuten Zeit für 10 Fragen und 10 Antworten für weitere Tipps zum Homeoffice. Ganz anonym sofort starten:
Datenschutz Quiz Homeoffice Schaffen Sie die 100 Punkte in 10 Minuten?

Schritte zum Home Office (für Arbeitgeber)
a) Home Office per Vereinbarung mit dem Mitarbeitenden ermöglichen (Individuell oder per Betriebsvereinbarung).
b) Kontrollmöglichkeit des häuslichen Arbeitsplatzes des Mitarbeitenden ermöglichen.
c) Richtlinien / Regelungen / Betriebsvereinbarungen für das verhalten der Mitarbeitenden im Home Office erstellen und Verbindlichkeit herstellen.
d) Mitarbeitenden persönlich oder online schulen / sensibilisieren bezüglich Verhalten, Gefahren im Home Office. Der Datenschutz-Quiz ist eine Möglichkeit.
e) Für den Fall dass Mitarbeitende ihr eigenes Gerät benutzen, dies per Vereinbarung (BYOD / UYOD) ermöglichen.

Zu c) Diese Informationen müssen den Mitarbeitenden permanent zugänglich sein. Es empfiehlt sich zusätzlich, Checklisten und Kurzübersichten den Mitabeiter zur Verfügung zu stellen, Erinnerungen zu versenden und auf aktuelle Bedrohungen (Viren, Mails, Fake-Mails, Spoofing, Fishing, Trojaner…. Fake-Anrufe) hinzuweisen damit der Virus nicht Ihr System erfasst! Hinweise zu Sprachassitenten geben.

Generell zu beachten: Führt das Unternehmen Datenverarbeitungen im Auftrag durch? Dann ist zu prüfen OB eine Datenverarbeitung gemäß Vertrag sowie der vereinbarten technischen und organisatortischen Maßnahmen überhaupt zulässig ist.

Seien Sie froh, dass Sie nicht mein Kunde sind, denn sonst bekämen Sie eine ausführlichere Liste und weitere Muster für Richtlinien und müssten einen Datenschutz Test für Mitarbeiter und noch viel mehr machen 🙂
Eine Gegenüberstellung von Risiken im Home Office.


Sie möchten Ihrer Verpflichtung nachkommen Ihr Mitarbeiter zu schulen, für Gefahren im HomeOffice zu sensibilisieren?  Eine Datenschutz Schulung vor Ort ist möglich – aber auch per Videokonferenz. Zu den Kontaktdaten von ihrem persönlichen Datenschutzbeauftragten.

Tipps, Richtlinien und Quiz zum Thema HomeOffice
Hinweise zum Home Office

Es schreibt Ihnen Ihr persönlicher externer Datenschutzbeauftragter Lorenz Macke (Hannover)

Stichworte: , , , , , , , , , , , , , , ,

Quiz Datenschutz Homeoffice

Vermutlich haben Sie weder Regeln noch Richlinien für Homeoffice vorliegen – und wenn ja, dann sollten Sie diese beachten.
Ihr Körper ist hoffentlich immun gegen das Virus, doch sind auch Sie immun gegen Angriffe auf die Datensicherheit / den Datenschutz?
Das Corona Virus und die Auswirkungen bewirken, dass immermehr Mitarbeiter im Homeoffice arbeiten. Was ist zu beachten im Home Office? Hier ein paar Tipps für Homeoffice in Quizform:
Kostenloses Quiz Homeoffice Datenschutz

Buchen Sie eine ausführliche Online-Schulung.

Für persönliche Datenschutz Schulungen (vor Ort oder per Videokonferenz) stehe ich gerne zur Verfügung.

Tipps, Richtlinien und Quiz zum Thema HomeOffice
Hinweise zum Home Office

Es schreibt Ihnen Ihr persönlicher externer Datenschutzbeauftragter Lorenz Macke (Hannover)

2020.03.16 Homeoffice Datenschutz Corona Virus

Homeoffice (hier im Bild Telearbeit) ist eine weitere Möglichkeit, direkte Kontakte zu vermeiden…. und nun auch noch den Datenschutz beachten.
Arbeiten außerhalb des Betriebes stellt ein Risiko für Datenschutz und Datensicherheit dar.
Die meisten Firmen sind sein, wenn überhaupt gearbeitet werden kann.
Doch es muss bei Gelegenheit nachgebessert werden: Richtlinien werden verteilt und die Mitarbeiter sensibilisiert ->
Damit durch den Corona Virus nicht auch noch das Firmennetzwerk infiziert wird!

Tipps, Richtlinien und Quiz zum Thema HomeOffice
Hinweise zum Home Office

Es schreibt Ihnen Ihr persönlicher externer Datenschutzbeauftragter Lorenz Macke (Hannover)

2020.03.16 Mobiles Arbeiten

Mobiles Arbeiten: Hotel, DB-Lounge, Messe, beim Kunden, Urlaub, Co-Working Space, Krankenhaus, Quarantäne, zu Hause… also außerhalb des stationären Firmen-Arbeitsplatzes. Mit eigenem oder mit dem von der Firma gestellten Gerät: Es bedarf Regelungen bezüglich Datenschutz und Datensicherheit.

Tipps, Richtlinien und Quiz zum Thema HomeOffice
Hinweise zum Home Office
#dtnschtz #blog #speisekarte

Quiz Datenschutz Mitarbeiter

Der kostenfreie kurze DSGVO Online-Schulung in Quizform als Vorgeschmack auf eine Mitarbeiter Schulung.
Schaffen Sie die 100 Punkte?
Zum Datenschutz Quiz für Mitarbeiter.

Buchen Sie eine ausführliche Online-Schulung.

Für persönliche Datenschutz Schulungen (vor Ort oder per Videokonferenz) stehe ich gerne zur Verfügung.



Es schreibt Ihnen Ihr persönlicher externer Datenschutzbeauftragter Lorenz Macke (Hannover)