Durch die „Individualisierung“ der Telemetrie jedes
einzelnen Systems ist es nicht möglich, allgemeingültige Aussagen darüber zu treffen, welche Telemetriedaten erhoben und zum Hersteller übertragen werden.
Der Test eines einzelnen Systems stellt immer nur eine
Momentaufnahme dar. In Abhängigkeit vom Nutzerverhalten kann sich der Umfang der übertragenen
Telemetriedaten im nächsten Moment bereits ändern.
Was sich ebenfalls nicht „messen“ lässt, ist die sekundäre Telemetrie, bei der Microsoft auf ein Windows 10
System zugreift und Dateien und Funktionen, wie z. B.
das Auslesen des Hauptspeichers, ausführt. Bisher ist
unklar, welches Nutzerverhalten die Änderungen in der
Telemetrie auslöst.
Das hat auch Auswirkungen auf die datenschutzrechtliche Bewertung des Einsatzes von Windows 10. Um eine
solche einheitlich vorzunehmen, hat die Datenschutzkonferenz (DSK) eine Arbeitsgruppe eingesetzt, an der
ich mich aktiv beteilige. Ziel der Gruppe ist es, eine
datenschutzrechtliche Positionierung zu Windows 10 zu
erarbeiten, die vor allem Rechtssicherheit für Anwenderinnen und Anwender schaffen soll.
Auch wenn aufgrund der vorab dargestellten technischen Komplexität der Prozesse bei der Verarbeitung
von Telemetriedaten bei Redaktionsschluss noch keine
abschließende Positionierung vorlag, ist es unstrittig,
dass die Telemetriedatenverarbeitung datenschutzrechtlich kritisch zu sehen ist. Fraglich ist vor allem, auf
welcher Rechtsgrundlage die Verarbeitung personenbezogener Daten durch Microsoft im vorliegenden Fall
gestützt werden kann.
Die von Microsoft in der Datenschutzerklärung angegebenen Zwecke der Telemetriedatenverarbeitung können nach
meinem Verständnis auch mit Daten ohne
Personenbezug erfüllt werden. Demnach wäre der
Personenbezug zur Wahrung der Interessen von Microsoft grundsätzlich nicht erforderlich. Daher habe ich
Microsoft vorgeschlagen, den Personenbezug zu entfernen, indem statt Nutzeridentifikatoren z. B. Zufallszahlen verwendet werden; eine Variante die bereits andere
Anbieter vergleichbarer Produkte anwenden. Microsoft
hat zugesagt, den Vorschlag zu prüfen.
Eine Lösung für einen datenschutzkonformen Betrieb
von Windows 10 scheint die Trennung des Betriebssystemsfunktionen vom Internet zu sein, wie sie künftig
im Rahmen des Bundesclients in der Bundesverwaltung
umgesetzt werden soll. Das funktioniert allerdings nur,
solange Windows 10 als eine lokal auf dem Arbeitsplatz
zu betreibende Lösung genutzt werden kann. Sollte
Microsoft, wie bereits angekündigt, Windows nur noch
74
Tätigkeitsbericht zum Datenschutz für 2019
als Cloud-Service anbieten, würde diese Lösung ausscheiden.
Als eine Handreichung für all diejenigen, die mit
Windows 10 (auch) personenbezogene Daten verarbeiten wollen, hat die Arbeitsgruppe der DSK ein Prüfschema entwickelt. Das Prüfschema vom 7. November
2019 finden Sie unter: https://www.bfdi.bund.de/
beschlüsse-positionspapiere.
Bei einem Test von Windows 10, den im Dezember das
Bayerische Landesamt für Datenschutzaufsicht zusammen mit Microsoft im Beisein von Mitarbeitern meiner
Behörde durchgeführt hatte, wurde auf einem System
über ein Skript (Invoke-UserSimulator) Nutzeraktivität
erzeugt und der Netzwerkverkehr aufgezeichnet. Dabei
wurde keine Telemetriedatenübermittlung festgestellt.
Dieses Vorgehen stellt allerdings nur eine Momentaufnahme dar, da sich in Abhängigkeit vom Nutzerverhalten der Umfang der übertragenen Telemetriedaten im
nächsten Moment bereits ändern könnte. Aus diesem
Grund sind weitere Untersuchungen des BSI, deren
Ergebnisse bei Redaktionsschluss noch nicht vorlagen,
abzuwarten. Nur so können die Zusagen von Microsoft,
durch Änderungen an Windows 10 sicherzustellen,
dass nur für den Betrieb notwendige Daten übertragen
werden und alle übertragenen Daten für den Anwender
ersichtlich sind, überprüft werden.
Ich werde aber auf jeden Fall weiterhin mit Microsoft im
Gespräch bleiben – allein in diesem Jahr habe ich mehrere Gespräche mit Vertretern von Microsoft geführt –
um eine Lösung zu finden, die für alle Seiten tragbar ist.
Stärkung der Digitalen Souveränität
Die Problematik bei Windows 10 zeigt, wie wichtig es ist,
bei der Wahl von Hard- und Software-Plattformen über
Alternativen zu verfügen. Aus diesem Grund begrüße
ich die Initiative der Bundesregierung zur Digitalen
Souveränität. Im Rahmen dieses Vorhabens wollen
Bund, Länder und Kommunen gemeinsam Maßnahmen
ergreifen, um die Abhängigkeit von einzelnen Herstellern kontinuierlich zu reduzieren. Nur so ist es möglich,
nachhaltig Produkte zu beschaffen, die die Anforderungen an Sicherheit und Datenschutz erfüllen. Bis dahin
muss darauf hingearbeitet werden, Fachanwendungen
von Hardware- und Software-Plattformen zu entkoppeln,
in dem diese z. B. Standardschnittstellen zu Datenbanken
verwenden. Ich werde dieses Thema in den entsprechenden Gremien verstärkt ansprechen.