Thema der Woche

24. Juni 2003

Update-Automatik unzulässig?

Systeme, die personenbezogene Daten verarbeiten, dürfen nach Meinung des [externer Link] Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) nicht vollautomatisch verändert werden. Zumindest für den konkreten Fall des automatisierten Betriebssystem-Updates von Microsoft Windows 2000 (SP3) und XP haben die Kieler Datenschützer festgestellt, dass dieses Verfahren gegen das Landesdatenschutzgesetz verstößt. Vermutlich sind jedoch auch alle anderen Bundesländer und weitere Update-Automatiken betroffen.

Der Knackpunkt ist dabei die "unbeobachtete" Eingriffsmöglichkeit von Softwareherstellern in die Systeme, ohne dass ein Administrator Updates zuvor prüfen und freigeben muss. Eine [externer Link] Dokumentation zu Microsofts Online-Update erläutert: "Das [schleswig-holsteinische] LDSG schreibt bindend vor, dass Zugriffe, mit denen Änderungen an automatisierten Verfahren (also auch an den den Verfahren zugrunde liegenden Betriebssystemen) bewirkt werden können, nur den dazu ausdrücklich berechtigten Personen möglich sein dürfen. Die Zugriffe dieser Personen sind zu protokollieren und zu kontrollieren. Bei der Erbringung von Wartungsarbeiten oder von vergleichbaren Unterstützungstätigkeiten durch Stellen oder Personen außerhalb der Daten verarbeitenden Stelle hat sie dafür Sorge zu tragen, dass personenbezogene Daten nur im Rahmen ihrer Weisungen verarbeitet werden. Sie hat die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um dies sicherzustellen. Die Aufträge und die ergänzenden Weisungen zu den technischen und organisatorischen Maßnahmen sind schriftlich festzulegen."

Noch heikler ist es, wenn die personenbezogenen Daten auf den IT-Systemen sensitiven Bereichen entstammen, wie etwa bei Angaben zur Gesundheit. Dann ist bei sogar eine Vorabkontrolle durch den Datenschutzbeauftragten erforderlich.

Das ULD sieht jedoch auch gesetzeskonforme Möglichkeiten, auf dem Laufenden zu bleiben, indem man:

Online-Updates über Testsysteme durchführt, die Ergebnisse überprüft und die neue Version erst dann auf die Produktionssysteme mit personenbezogenen Daten überspielt oder
die Updates offline abwickelt, Downloads und Prozesse dokumentiert und die Systeme erst nach entsprechenden Tests wieder freigibt.

Um den Patch-Stand der eigenen Server zu ermitteln, kann der [externer Link] Microsoft Baseline Security Analyzer dienen, den Microsoft allerdings in der derzeitigen Version nur für englischsprachige Systeme empfiehlt. Das Programm ermöglicht die Versionsprüfung von Rechnern per Netzwerk ohne Installation von Software auf den Zielsystemen.

Diesen und weitere Hinweise gibt das ULD übrigens in seinem neuen [externer Link] Bereich zum Systemdatenschutz.