Schattenblick → INFOPOOL → NATURWISSENSCHAFTEN → TECHNIK


INFORMATIONSTECHNOLOGIE/1081: Recht auf Auskunft personenbezogener Daten schwer durchsetzbar (idw)


Gesellschaft für Informatik e.V. - 04.04.2016

Recht auf Auskunft personenbezogener Daten schwer durchsetzbar - Anbieter häufig unkooperativ


Bürgerinnen und Bürger sollen jederzeit die Kontrolle über ihre Daten haben. Seit Erlass der europäischen Datenschutzrichtlinie von 1995 sind Dienst-Anbieter unter anderem verpflichtet, ihren Kunden Auskunft zu geben, welche Daten sie zu welchem Zweck speichern, und diese auf Verlangen zu löschen. Entsprechende Regelungen finden sich u.a. in den Paragraphen 34 und 35 des Bundesdatenschutzgesetzes. In der Realität ist dieses Recht jedoch nur schwer durchsetzbar, wie eine aktuelle Studie zeigt.


Wissenschaftler der Universitäten Hamburg und Siegen haben in einer Studie untersucht, inwieweit Dienste-Anbieter ihrer Pflicht zu Auskunft und/oder Löschung nachkommen. Dazu haben sie die Anbieter von 120 Internetseiten und 150 Smartphone-Apps, die bei deutschen Nutzern beliebt sind, überprüft. Nur rund ein Viertel der Anbieter kamen ihrer Pflicht nach und erteilten auf Anfrage befriedigende Auskünfte. Ein weiteres knappes Viertel antworte erst nach erneutem Versuch mit Verweis auf das entsprechende Gesetz mit einer zufriedenstellenden Auskunft. 57% allerdings haben bis zum Ende der Studie nicht oder unzureichend geantwortet. Ausländische Anbieter schnitten dabei deutlich schlechter ab als Anbieter, die ihren Sitz in Deutschland haben.

Darüber hinaus wurde untersucht, wie sorgfältig mit den gespeicherten Daten umgegangen wird. Rund ein Viertel der Anbieter gaben persönliche Daten an eine gefälschte E-Mail-Adresse weiter, ohne zu kontrollieren, ob der Anfragende tatsächlich der Dateninhaber ist.

Hannes Federrath, Vizepräsident der Gesellschaft für Informatik e.V. (GI) und Sprecher des GI-Fachbereichs "Sicherheit": "Die Ergebnisse der Studie zeigen deutlich, wie verantwortungslos teilweise die Internetanbieter mit personenbezogenen Daten umgehen. Allein deshalb sollte grundsätzlich das Gebot der Datensparsamkeit gelten, sprich: Die Nutzer sollten grundsätzlich so wenig Daten über sich preisgeben wie möglich, also nur die Daten, die für einen Dienst unbedingt erforderlich sind." Die Autoren der Studie ergänzen: "Aufsichtsbehörden und Dienstanbieter sollten wirksame Mechanismen entwickeln, mit denen Bürgerinnen und Bürger ihre Rechte durchsetzen können."

Die Studie wird am 7. April in Bonn auf der Konferenz Sicherheit 2016 https://www.sicherheit2016.de vorgestellt, die vom Fachbereich "Sicherheit - Schutz und Zuverlässigkeit" der Gesellschaft für Informatik organisiert wird. Die ausführlichen Ergebnisse sind abrufbar unter:
http://arxiv.org/abs/1602.01804


Zur Methodik und den Detailergebnissen:

Die Wissenschaftler Dominik Herrmann und Jens Lindemann registrierten sich zunächst inkognito mit plausiblen Angaben bei jedem Anbieter. Nach einer Weile wurde jeder Anbieter mit einer formlosen E-Mail darum gebeten, Auskunft über die gespeicherten Daten zu geben. Nur 22% der App-Anbieter bzw. 28% der Website-Betreiber reagierten auf diese Anfrage mit einer zufriedenstellenden Auskunft. Die meisten reagierten überhaupt nicht, viele beließen es bei einem Verweis auf ihre Datenschutzerklärung.

Anbieter, die keine zufriedenstellende Auskunft erteilt hatten, wurden erneut kontaktiert. Dabei wurden sie auf die Gesetzeslage (&sec; 34 BDSG) hingewiesen. Darüber hinaus enthielt die zweite Anfrage die Ankündigung, dass bei ausbleibender Antwort die zuständige Aufsichtsbehörde eingeschaltet werden würde. Daraufhin reagierten weitere 21% bzw. 15% der Anbieter mit einer zufriedenstellenden Auskunft. Mehr als die Hälfte der App-Anbieter und der Website-Betreiber (jeweils 57%) haben allerdings bis zum Ende der Studie überhaupt nicht oder nur unzureichend reagiert.

Ausbleibende oder unvollständige Auskünfte sind unbefriedigend. Noch schlimmer aber sind nachlässige Anbieter, die die Identität des Absenders einer Anfrage nicht überprüfen. Dann fallen sensible personenbezogene Daten unter Umständen in die Hände von neugierigen Trickbetrügern. Die Ergebnisse der Studie deuten darauf hin, dass manche Anbieter schon mit einfachen Social-Engineering-Techniken überlistet werden können. An die untersuchten Website-Betreiber wurde dazu eine Auskunftsanfrage geschickt, bei der die Absender-E-Mail-Adresse nicht mit der beim Anbieter hinterlegten E-Mail-Adresse übereinstimmte. Etwa ein Viertel der Website-Betreiber antwortete mit einer zufriedenstellenden oder zumindest einer unvollständigen Auskunft - an die falsche Adresse wohlgemerkt. Bei mehr als der Hälfte dieser Antworten hätten Dritte personenbezogene Daten erfahren.

Auch das in §35 BDSG eingeräumte Recht auf Löschung bzw. Sperrung von Daten ist in der Praxis nicht zuverlässig durchsetzbar. Etwa die Hälfte der Anbieter (54% der App-Anbieter, 48% der Website-Betreiber) löschte die hinterlegten Daten nach der ersten (informellen) Aufforderung. Weitere Versuche mit Verweis auf Gesetzeslage und Aufsichtsbehörde blieben allerdings weitgehend wirkungslos: Der Anteil der vollständig gelöschten Benutzerkonten stieg dadurch lediglich um 3-4 Prozentpunkte.

Weitaus problematischer sehen die beiden Wissenschaftler die Tatsache, dass viele Anbieter die Aufforderung unmittelbar umsetzten und in ihrer Antwort lediglich den Vollzug der Löschung mitteilten. Um ein fremdes Benutzerkonto gegen den Willen seines Besitzers löschen zu lassen, muss man also nur die zugehörige E-Mail-Adresse kennen und die Absenderadresse beim Versand der Löschaufforderung fälschen. Solche Angriffe könnten vergleichsweise einfach verhindert werden, etwa durch eine vorherige Rückfrage. Noch besser wäre es, wenn die Löschung der Daten an eine vorherige Authentifizierung geknüpft wäre, etwa durch Anmeldung mit Benutzername und Passwort auf der Webseite des Anbieters.

Die Ergebnisse der Studie belegen, dass gesetzlich zugesicherte Rechte an den eigenen Daten in der Praxis häufig überhaupt nicht oder nur mit erheblichem Aufwand durchsetzbar sind. Überraschend ist vor allem, mit welcher Arglosigkeit viele Dienstanbieter Auskunfts- und Löschanfragen bearbeiten und dadurch Missbrauch ermöglichen. Den ausführenden Mitarbeitern fehlen Sachkenntnis und Sorgfalt. Der aktuelle Zustand ist sowohl für die Kunden als auch für die Anbieter überaus unbefriedigend. Aus Sicht der Wissenschaftler wäre es daher wünschenswert, den Ablauf von Auskunfts- und Löschprozessen zu standardisieren und durch einheitliche Schnittstellen zu automatisieren, um den Aufwand für die Beteiligten zu senken und Missbrauch zu verhindern.

Die Gesellschaft für Informatik e.V. (GI) ist eine gemeinnützige Fachgesellschaft zur Förderung der Informatik in all ihren Aspekten und Belangen. Gegründet im Jahr 1969 ist die GI mit ihren heute rund 20.000 Mitgliedern die größte Vertretung von Informatikerinnen und Informatikern im deutschsprachigen Raum. Die Mitglieder der GI kommen aus Wissenschaft, Wirtschaft, öffentlicher Verwaltung, Lehre und Forschung.


Weitere Informationen unter:
http://www.gi.de
http://www.sicherheit2016.de
http://arxiv.org/abs/1602.01804

Kontaktdaten zum Absender der Pressemitteilung unter:
http://idw-online.de/de/institution484

*

Quelle:
Informationsdienst Wissenschaft e. V. - idw - Pressemitteilung
Gesellschaft für Informatik e.V., Cornelia Winter, 04.04.2016
WWW: http://idw-online.de
E-Mail: service@idw-online.de


veröffentlicht im Schattenblick zum 5. April 2016

Zur Tagesausgabe / Zum Seitenanfang