Praxis-Tipps für die Umsetzung der DSGVO in der Praxis?
B2B-Newsletter > 2022 - Archiv > NL 3/22
Warnung vor Kaspersky / russischer Software:
Warum Sie wegen der DSGVO aktiv werden sollten!
Das deutsche Bundesamt für Sicherheit (kurz BSI) hat eine Sicherheitswarnung betreffend der Antiviren-Software des Herstellers Kaspersky ausgesprochen. Und empfiehlt Nutzern die Kaspersky-Software durch Alternativen zu ersetzen. Und vor kurzem konnte man in der Krone lesen, dass die US-Telekommunikationsbehörde (FCC) Kaspersky als Bedrohung für die nationale Sicherheit der USA eingestuft hat.
Wir haben uns mit dem auf Datenschutzrecht spezialisierten Anwalt Mag. Stephan Novotny abgestimmt und informieren unten anbei,
· warum das BSI diese Warnung ausspricht,
· warum Sie aufgrund der DSGVO handeln sollten (ev. sogar müssen),
· wie Sie Kaspersky-Software sicher entfernen und
· welche Alternativen es zu Kaspersky gibt.
Seit dem Einmarsch russischer Truppen in die Ukraine, müssen wir uns plötzlich wieder verstärkt um Sicherheitsthemen kümmern. Neutralität beibehalten? Heeresbudget ausdehnen? Und jetzt auch noch Software überprüfen bzw. deinstallieren? Warum?
Den Beitrag von Mag. Stephan Novotny finden Sie unten anbei.
Alle bisherigen IDD und DSGVO-Praxisbeiträge können Sie kostenlos als PDF anfordern.
Ein Mail mit "JA zu INFO" an g.wagner@b2b-projekte.at genügt. Warnung vor Kaspersky / russischer Software:
Warum Sie wegen der DSGVO aktiv werden sollten!
Das deutsche Bundesamt für Sicherheit (kurz BSI) hat eine Sicherheitswarnung betreffend der Antiviren-Software des Herstellers Kaspersky ausgesprochen. Und empfiehlt Nutzern die Kaspersky-Software durch Alternativen zu ersetzen. Und vor kurzem konnte man in der Krone lesen, dass die US-Telekommunikationsbehörde (FCC) Kaspersky als Bedrohung für die nationale Sicherheit der USA eingestuft hat.
Wir haben uns mit dem auf Datenschutzrecht spezialisierten Anwalt Mag. Stephan Novotny abgestimmt und informieren unten anbei,
· warum das BSI diese Warnung ausspricht,
· warum Sie aufgrund der DSGVO handeln sollten (ev. sogar müssen),
· wie Sie Kaspersky-Software sicher entfernen und
· welche Alternativen es zu Kaspersky gibt.
Seit dem Einmarsch russischer Truppen in die Ukraine, müssen wir uns plötzlich wieder verstärkt um Sicherheitsthemen kümmern. Neutralität beibehalten? Heeresbudget ausdehnen? Und jetzt auch noch Software überprüfen bzw. deinstallieren? Warum?Details im Beitrag unten anbei.
a) Warum warnt das BSI?
Das BSI, das deutsche Bundesamt für Sicherheit hat ausdrücklich vor dem Einsatz der beliebten und weit verbreiteten Sicherheitsprodukte des russischen Anbieters Kaspersky gewarnt.
Das BSI, das deutsche Bundesamt für Sicherheit hat ausdrücklich vor dem Einsatz der beliebten und weit verbreiteten Sicherheitsprodukte des russischen Anbieters Kaspersky gewarnt.
Die Computerzeitung Chip.de zitiert aus der BSI-Erklärung, „… dass Antivirensoftware über weitreichende Systemberechtigungen verfügen muss und systembedingt eine dauerhafte, verschlüsselte und nicht prüfbare Verbindung zu Servern des Herstellers unterhalten muss. Daher ist Vertrauen in die Zuverlässigkeit und den Eigenschutz eines Herstellers sowie seiner authentischen Handlungsfähigkeit entscheidend für den sicheren Einsatz solcher Systeme. Wenn Zweifel an der Zuverlässigkeit des Herstellers bestehen, birgt Virenschutzsoftware ein besonderes Risiko für eine zu schützende IT-Infrastruktur“.
Und das BSI äußert die Befürchtung, „dass ein russischer IT-Hersteller entweder selbst offensive Operationen durchführen oder gegen seinen Willen – auch per russischem Gesetz – gezwungen werden kann, Zielsysteme anzugreifen.“ Man denke in diesem Zusammenhang etwa an die Enteignung der ausländischen Leasingfirmen, die Flugzeuge an russische Fluglinien für russische Inlandsflüge verleast haben und von einem Tag auf den anderen durch gesetzliche Enteignung ihre Flugzeuge verloren haben. Und das BSI weiter: „Außerdem könne ein IT-Hersteller selbst als Opfer einer Cyber-Operation ohne seine Kenntnis ausspioniert oder als Werkzeug für Angriffe gegen seine eigenen Kunden missbraucht werden.“
Und empfiehlt daher, Kaspersky Produkte vom Computer zu löschen, um kein Sicherheitsrisiko einzugehen. Man befürchtet scheinbar, dass die russische Regierung – vielleicht als Reaktion auf die umfangreichen Sanktionsmaßnahmen der EU – auch gegenüber EU-Staaten einen „Online-Krieg“ beginnt und sich dabei vielleicht der Kaspersky-Tools bedient. Die Leningrader Troll-Fabriken (auch als Kreml-Bots, Putin-Bots oder Web-Brigaden bekannt) haben sich seit 2003 einen traurigen Ruf erarbeitet. Gemeint ist eine verdeckte Organisation in Russland, die im Auftrag des Staates Manipulationen im Internet betreibt. So Wikipedia.
Sicherheitsexperten befürchten, dass der russische Staat über Online-Updates des Programmes eine manipulierte Version der Software einspielen und quasi als Staatstrojaner auf den betroffenen Geräten installieren könnte. Damit könnten vielleicht Daten der Nutzer kopiert oder PCs verschlüsselt werden, usw.
b) Was kümmert uns eine deutsche Sicherheits-Warnung? Wegen der DSGVO!
Aufgrund der DSGVO sind Sie verpflichtet, die Daten Ihrer Kunden, Partner, etc. sicher zu speichern und zu verarbeiten. Und um das zu gewährleisten, müssen Sie TOMs einführen und im Betrieb umsetzen. Und bei Bedarf (wie jetzt nach der BSI-Warnung) auch aktualisieren.
Zuerst zur Frage, ob eine deutsche Warnung überhaupt relevant für österreichische Unternehmen ist. Kurze Antwort: JA.
Längere Antwort:
Die DSGVO wurde am 14.4.2016 vom Europäischen Parlament als erste EU-weite Verordnung überhaupt beschlossen. Damit wurden die Verarbeitung personenbezogener Daten, die Rechte der Betroffenen und die Pflichten der Verantwortlichen EU-weit vereinheitlicht. Und die Mitglied-Staaten der EU mussten bis 25.5.2018 ihre lokalen Gesetze angepasst haben, um die Bestimmungen der DSGVO umzusetzen.
Zwar gibt es trotz DSGVO und der lokalen Umsetzungen immer noch Unklarheiten. Diese werden nun sukzessive durch Urteile und Entscheidungen – sei es durch nationale Gerichte oder Datenschutzbehörden, aber auch durch EU-Institutionen – klargestellt.
Und die EU-Behörden drängen regelmäßig darauf, dass die Aufsichtsbehörden in allen Ländern Gleiches gleich behandeln. Somit wird ein deutsches Urteil für eine österreichische Behörde zur Vorlage für die Entscheidung. Zwar ist die BSI-Entscheidung noch kein Urteil, aber durchaus eine Handlungsaufforderung auch für österreichische Unternehmen.
Stellen Sie sich vor, es passiert ein Hackerangriff und damit verbunden tritt Datenverlust ein.
Was wird wohl die Datenschutzbehörde sagen, wenn herauskommt, dass Sie in Ihrem Unternehmen ein Kaspersky-Produkt verwendet haben. Dann würde man Ihnen wohl diese BSI-Warnung vorhalten und fragen, warum hatten Sie nicht Ihre TOMs aktualisiert und die Software deaktiviert?
Und die EU-Behörden drängen regelmäßig darauf, dass die Aufsichtsbehörden in allen Ländern Gleiches gleich behandeln. Somit wird ein deutsches Urteil für eine österreichische Behörde zur Vorlage für die Entscheidung. Zwar ist die BSI-Entscheidung noch kein Urteil, aber durchaus eine Handlungsaufforderung auch für österreichische Unternehmen.
Stellen Sie sich vor, es passiert ein Hackerangriff und damit verbunden tritt Datenverlust ein.
Was wird wohl die Datenschutzbehörde sagen, wenn herauskommt, dass Sie in Ihrem Unternehmen ein Kaspersky-Produkt verwendet haben. Dann würde man Ihnen wohl diese BSI-Warnung vorhalten und fragen, warum hatten Sie nicht Ihre TOMs aktualisiert und die Software deaktiviert?
Zum Erinnern: Was sind TOMs?
TOM ist die Abkürzung für „Technische und Organisatorische Maßnahmen“.
TOM ist die Abkürzung für „Technische und Organisatorische Maßnahmen“.
Definiert werden die technischen und organisatorischen Maßnahmen, die Sie setzen müssen, im Artikel 32 der DSGVO. Sowohl Verantwortliche, aber auch Auftragsverarbeiter haben dafür zu sorgen, dass „geeignete technische und organisatorische Maßnahmen“ implementiert sind, die sicherstellen, dass „ein angemessenes Schutzniveau gewährleistet ist“.
Diese TOMs sollen sicherstellen, dass die Vertraulichkeit, Integrität, Verfügbarkeit und Sicherheit der Daten und damit der Systeme gegeben ist. Für den Verantwortlichen sind dabei der Stand der Technik, die Implementierungskosten und das Risiko (Eintrittswahrscheinlichkeit und Schadenshöhe) zu berücksichtigen.
Aufgrund der BSI-Warnung muss man wohl annehmen, dass Kaspersky-Produkte von Behörden-Seite nicht mehr wirklich geeignet angesehen / akzeptiert werden. Daher sollten Sie aktiv werden!
c) Wie kann/soll man Kaspersky-Software entfernen?
Hier warnt die Computerzeitung Chip.de vor dem Kaspersky-eigenen Entfern-Tool. Konkret gebe es den „Kaspersky Lab Products Remover“. Diesen solle man aber nicht verwenden.
Denn: „Eine Software, der man nicht mehr vertraut, mit einer Software des gleichen Herstellers zu entfernen, ist natürlich keine gute Idee.“ So Chip.de.
Denn: „Eine Software, der man nicht mehr vertraut, mit einer Software des gleichen Herstellers zu entfernen, ist natürlich keine gute Idee.“ So Chip.de.
Stattdessen solle man die Software über Windows entfernen: Konkret über die „Einstellungen“ – „Programme und Features“ – „Software“ nach Kaspersky-Produkten suchen und entfernen. Oder für das Entfernen Dritt-Anbieter-Tools nutzen. Die Top 3-Uninstaller (samt Beschreibung) hat Chip.de hier zusammengestellt...
d) Alternativen zu Kaspersky-Virenschutz?
Hier gibt es schon seit längerem in Fachkreisen die Diskussion, ob man nicht als Windows-Nutzer den eingebauten Virenschutz, konkret „Windows Defender“ verwenden solle, da dieser in den letzten Jahren schon sehr nahe an die bisherigen Platzhirschen heran kam und bereits sehr gut sei.
Wer aber doch auf Alternativen setzen möchte, findet auf Chip.de eine Bestenliste, wo zahlreiche Anbieter aufgelistet werden.
Wer aber doch auf Alternativen setzen möchte, findet auf Chip.de eine Bestenliste, wo zahlreiche Anbieter aufgelistet werden.
Ein letzter Tipp: Kaspersky hat natürlich nicht nur Virenschutz-Programme, sondern bietet auch VPN, Passwort-Manager und sonstige Produkte an. Sollten Sie also irgendein Produkt von Kaspersky auf Ihrem Computer, in Ihrem Netzwerk nutzen, sollten Sie sich mit Ihrer EDV-Abteilung um Alternativen umsehen!
Mag. Novotny und ich hoffen, wir haben Ihnen das Problem praxisnah beschrieben haben. Unten anbei finden Sie eine Reihe weiter führender Links zum Weiterlesen.
Links zum Vertiefen:
Alle bisherigen IDD und DSGVO-Praxisbeiträge von Mag. Novotny können Sie als PDF anfordern. Dazu einfach ein E-mail an g.wagner@b2b-projekte.at mit Betreff "Ja zu Infos".
Für Rückfragen:
RA Mag. Stephan Novotny, Foto: Stephan Huger
RA Mag. Stephan Novotny
1010 Wien, NEU: Landesgerichtstraße 16 / 12