– 39 –
trauenswürdigen Weg (z. B. durch Signaturen) bereitgestellt werden.
Bei der Nutzung der OSS-Produkte gibt es keinen „Zwang“
zur Registrierung und der damit verbundenen Übermittlung
personen- oder organisationsbezogener Daten an den Hersteller, so wie es bei vielen proprietären Produkten der Fall
ist. Vielmehr besteht bei OSS die Möglichkeit, diese im
Sinne des Datenschutzes weiterzuentwickeln, um z. B. zu
besseren Techniken der Datenvermeidung und Datensparsamkeit oder prüfbarer Sicherheit zu gelangen.
4.5
Programm zur „freiwilligen Selbstkontrolle“ einer Internetseite
Die Gestaltung einer Internetseite sowie die Erbringung von
Zusatzdiensten muss sich im Rahmen der gesetzlichen Bestimmungen bewegen. Regelungen zum Datenschutz, die
bei der Erstellung von Internetseiten zu beachten sind, finden sich beispielsweise in folgenden Bestimmungen:
– Teledienstegesetz
– Teledienstedatenschutzgesetz
– Mediendienstestaatsvertrag
– Telekommunikationsgesetz
– Fernabsatzgesetz
– Bundesdatenschutzgesetz
– Signaturgesetz.
Eine umfassende manuelle Prüfung von bestehenden Internetseiten auf die Einhaltung der gesetzlichen Regelungen
scheitert in vielen Fällen allein schon an der Größe des Angebotes. Internetseiten können aus datenschutzrechtlicher
Sicht zum Teil sehr unterschiedlich ausfallen. Dabei soll
hier nicht besonderer Wert auf das Design oder die Form gelegt werden; vielmehr soll ausschließlich das Vorhandensein
datenschutzrechtlicher Anforderungen wie Impressum, Datenschutzhinweise und Formulargestaltungen geprüft werden.
Vor diesem Hintergrund wurde in Zusammenarbeit mit der
Fachhochschule Bonn-Rhein-Sieg die Möglichkeit einer automatisierten Datenschutzprüfung von Internetseiten entwickelt. Nach Abschluss der Arbeiten besteht mit dem Dienst
„System zur automatisierten Datenschutzprüfung (SaD)“
nunmehr für Unternehmen und Behörden die Möglichkeit,
in Form einer freiwilligen Selbstkontrolle ihre Internetauftritte automatisiert auf die Einhaltung von gesetzlichen
Datenschutzforderungen hin zu überprüfen. Das Verfahren
gestattet es den Verantwortlichen in Behörden und Unternehmen, datenschutzrechtlich bedenkliche Inhalte zu erkennen und zu beseitigen. Zur Prüfung selbst muss keine Software geladen werden. Hierzu reicht der Aufruf von SaD
über die Internetseite http://sad.inf.fh-rhein-sieg.de/. Dort
wird die Adresse der zu überprüfenden Seite hinterlegt und
eine eigene „Ergebnis“-E-Mail-Adresse angegeben. SaD
übernimmt nach dieser Eingabe die Überprüfung selbst.
Hierzu wird zunächst die komplette Internetseite der angegebenen Adresse auf den SaD-Server heruntergeladen. Sobald dieser Ladevorgang abgeschlossen ist, beginnt SaD mit
der Prüfung der Seite. Dies erfolgt beispielsweise über die
Suche von Schlüsselwörtern. So wird das Impressum über
die Suche der Worte „Impressum“, „Wir über uns“ usw. ge-
sucht. Findet SaD entsprechende Eintragungen, wird davon
ausgegangen, daß entsprechende Inhalte vorhanden sind.
Das Testen von Formularen erfolgt über die Suche von entsprechenden Schlüsselcodes in der HTML-Programmierung. Auch die näheren Inhalte der Formulare können über
Schlüsselwörter abgeprüft werden. So geht SaD davon aus,
dass das Wort „Beruf“ vor einem Formularfeld die Eingabe
einer Berufsbezeichnung im Formular erfordert. Die Ergebnisse dieser Untersuchungen speichert SaD in einer Datenbank. Nach Abschluss der Prüfung wird an die „Ergebnis“E-Mail-Adresse ein Abschlussreport gesendet. Die heruntergeladenen Internetseiten werden dann gelöscht.
SaD ist modular aufgebaut, d. h. pro geprüftem Kriterium
gibt es ein Prüfskript, sodass eine Erweiterung von SaD jederzeit sichergestellt ist. Auch „prangert“ SaD keine Mängel an, sondern will durch einen Hinweis den Anbieter der
Internetseite auf mögliche Mängel nur aufmerksam machen. Es bleibt dem Anbieter überlassen, ob er dem Hinweis von SaD folgt und die Gestaltung nochmals kritisch
hinterfragt.
Eine Zielsetzung von SaD war die Bereitstellung eines
Dienstes zur freiwilligen Selbstkontrolle. Um diesem Ziel
gerecht zu werden, mussten Sicherheitsfunktionen im Verfahren berücksichtigt werden; u. a. sollte auf keinen Fall
eine Überprüfung von Seiten anderer Behörden oder Unternehmen möglich sein. Dies wurde dadurch realisiert, dass
vor dem Start der Prüfung festgestellt wird, ob die „Ergebnis“-E-Mail-Adresse aus der Domäne stammt, die zu überprüfen ist. Ferner wird an diese Adresse eine E-Mail gesendet, in der eine Zufallszahl genannt wird, unter der das
Ergebnis abrufbar ist. Nur durch die Bestätigung des Erhalts dieser Zufallszahl kann das Ergebnis von SaD abgerufen werden. Die Überprüfung anderer Internetseiten als der
eigenen ist somit weitgehend ausgeschlossen.
Um zu verhindern, dass es durch mehrmaliges Aufrufen
von SaD zu einer Überlastung der Internetseite kommt,
wird der Startauftrag ebenfalls in eine Datenbank eingetragen. Erfolgt eine zweite Prüfanforderung innerhalb kurzer
Zeit, wird diese abgelehnt.
SaD steht derzeit kostenlos für Behörden und Unternehmen
zur Verfügung.
4.6
Nur ein Programmfehler verhinderte
Ausspionieren von Kollegen
Immer wieder beweist es sich, dass keine Kontrolle wie die
andere verläuft und man niemals davon ausgehen kann, weit
verbreitete und scheinbar hinlänglich bekannte IT-Systeme
wirklich zu kennen. Anlässlich der Kontrolle einer Behörde,
die ein lokales Netzwerk mit den zurzeit häufig anzutreffenden Systemkomponenten Novell in Verbindung mit Windows NT auf Server- und Clientseite betreibt, wurden stichprobenartig auch einige Standard-Arbeitsplatzcomputer im
Bereich der Zentralabteilung einer genaueren Überprüfung
unterzogen.
Hierbei ergab sich aus Sicht einer bestimmten Nutzergruppe
der Eindruck, dass über die Option ‚Netzlaufwerk verbinden‘ unter ‚Extras‘ im Windows-Explorer problemlos eine
Verbindung zu Netzlaufwerken anderer Mitarbeiter hergestellt werden konnte mit der Folge, dass hier scheinbar ein
Zugriff auf die personenbezogenen Daten dieser Mitarbeiter
BfD 19. Tätigkeitsbericht 2001–2002