Neue Kategorie: Softwarequalität

Schlechte Software vermindert die Effizienz ihrer Benutzer. Fehlerhafte Software ist nicht nur ein Ärgernis sondern kann zunehmend ernstzunehmende technische und rechtliche Folgen haben. Für gute, sichere Software spielen daher auch Qualitätsaspekte eine wichtige Rolle. Denn nur qualitativ hochwertige Software ist auch sicher und richtlinienkonform (compliant).

Daher werde ich in diesem Blog künftig auch verstärkt Aspekte der Softwarequalität thematisieren. Das betrifft nicht nur das fertige Produkt Software sondern auch alle Teilbereiche seiner Entstehung und Entwicklung – also Vorgehens- und Reifegradmodelle, Prozesse, gutes Projektmanagement, Umgang mit Risiken, Qualitätssicherung und Tests … bis hin zu Fragen der Personalauswahl für kritische Softwareentwicklungsprojekte.

Dazu richte ich auch eine neue Themenkategorie und eine dazugehörige Linkkategorie ein.

Link hinzugefügt: www.was-ist-compliance.de

Link hinzugefügt (IT-Recht): Initiative für IT-Compliance in der Informations- und Datenverarbeitung in Deutschland

Datenschutzaffäre bei der Bahn – Lesenswerter Artikel von Günter Wallraff auf Zeit.de

Auf Zeit.de habe ich einen sehr lesenswerten Artikel von Günter Wallraff gefunden, indem er Betroffene und Insider zu Details der Mehdorn-Datenschutzaffäre bei der Deutschen Bahn zu Wort kommen lässt.

Demnach geht es nicht nur um die (passive) Ausspähung von Beschäftigtendaten, wie bislang angenommen. Stattdessen soll es zahlreiche Fälle gegeben haben, in denen aktiv Datenmissbrauch und Datenfälschung im großen Stil betrieben worden sei, um lästige Beschäftigte und auch Betriebsräte loswerden zu können.

Zumindest intern war man aber anscheinend ehrlich. Denn als der Bahn-Konzernbetriebsrat den Vorstand wegen der Problematik anging, erhielt er 2006 im Rahmen interner Gespräche u.a. Folgendes zur Antwort: »Eine Überprüfung der PC-/Internetnutzung erfolgt nur in konkret definierten Einzelfällen im Rahmen der innerbetrieblichen Kriminalität«. Die Verantwortlichen waren sich demnach ihres kriminellen Tuns bewusst. Oder aber sie waren begnadete Realsatiriker…

Dabei ging es nicht nur um manageriale Schnüffeleien und Mehdorns Paranoia bzgl. des geplanten Börsengangs. Basierend auf den illegal gewonnenen und zum Teil auch vorsätzlich gefälschten Daten wurden Kündigungen ausgesprochen und Existenzen vernichtet. Denn im Gegensatz zum amerikanischen Strafrecht ist die Verwertung „verdorbener“ (auf illegalen Wege erlangter) Beweismittel im deutschen Recht nicht aus formalen Gründen unzulässig, so dass sich auch nachfolgende Arbeitsgerichtsprozesse mit Hilfe gefakter „Beweise“ zum Schaden der Betroffenen manipulieren ließen.

Im Rahmen der Aufarbeitung der Mehdorn’schen Datenskandale wird daher wohl auch über substanzielle Entschädigungen und Rehabilitation der zu Unrecht Gekündigten zu reden sein.

Zeit.de: Mitarbeiter der Bahn berichten, wie der Sicherheitsapparat ihres Konzerns sie ausspioniert und drangsaliert habe

Will die Deutsche Kinderhilfe IT-Experten zu pädokriminellen Straftaten auffordern?

Das fragte sich kürzlich ein Teilnehmer der Mailingliste des Arbeitskreises Internet-Zensur und wies auf ein Interview hin, dass Edmund Fröhlich, Landesvorsitzender der Deutschen Kinderhilfe Hessen anlässlich einer Unterschriftensammlung gab, in der mit Hilfe suggestiver Fragestellungen die bloße Sperrung (statt Löschung) kinderpornografischer Angebote im Internet als aqädates Mittel zur  Bekämpfung dieses Übels hingestellt wurde.

Durch diese manipulative Fragestellung (den meisten Befragten war nicht klar dass Sperrung nicht Löschung bedeutet), wurde eine scheinbar hohe Zustimmung pro Internet-Zensur erzielt, obwohl die große Mehrheit wohl eher„Löschen der Sauereien und Einbuchten ihrer Produzenten“ gemeint haben dürfte.

Als Folge solcher offensichtlichen Tricksereien wurde die Website der Deutschen Kinderhilfe e.V  in den letzten Tagen von Hackern angegriffen und kurzzeitig „defaced“.

Daraufhin äußerte sich Edmund Fröhlich wie folgt:

„Das Gesetz wird heftig kritisiert und vor allen Dingen wird die Effektivität der Zugangserschwernis bezweifelt. Die Deutsche Kinderhilfe musste durch das „Hacken“ ihrer Website erfahren, dass offensichtlich Experten in der Lage sind, Seiten zu defacen und zu sperren. Wir stellen uns daher schon die Frage, warum diejenigen, die über derartig gute Fähigkeiten verfügen, dies nicht bei den in Rede stehenden pädokriminellen Seiten tun. Die Kritiker sind aufgefordert effektive und schnell umsetzbare Alternativen zur gesetzlichen Regelung zu benennen“

Konkret: In der IT-Sicherheit bewanderte Fachleute sollen aktiv nach Kinderpornoseiten Ausschau halten und diese dann mit Hilfe von Hackermethoden und –Tools angreifen.

Für den rechtlich unaufgeklärten Zeitgenossen: Da kämen dann im deutschen Strafgesetzbuch mindestens die „Hausnummern“ § 202 a-c (Ausspähung von Daten), § 263a (Computerbetrug) und § 184b (Verbreitung, Erwerb und Besitz kinderpornographischer Schriften) zusammen.

In Summe ausreichend, um einem mehr als genug Ärger einzubringen.

So weist z.B. das Bundeskriminalamt deutlich darauf hin, aus strafrechtlichen Gründen nicht auf eigene Faust nach Kinderpornografie im Netz zu suchen, um sie den Behörden mitzuteilen.

Ich gehe mal davon aus, dass Kinderhilfe-Vorsitzender Fröhlich hier eher fröhlich Unsinn dahergeschwätzt hat, ohne groß drüber nachzudenken. Denn sonst käme noch § 26 (Anstiftung zu strafbaren Handlungen) hinzu.

Evidenzbasierte Personalplanung als Herausforderung für den Datenschutz

In vielen Unternehmen wird zunehmend projektorientiert mit nur temporär bestehenden Strukturen und Teams gearbeitet. Daher stellt sich für Projektmanager sowie Team- und Gruppenleiter – also für das untere Management“ – die Frage der möglichst optimalen Personalplanung immer öfter. Es gilt aus verfügbaren internen und externen Kräften, Arbeitnehmern oder Freiberuflern ein Team zusammenzustellen, das hinsichtlich seiner Erfahrungen, Fähigkeiten und anderen Qualifikationen bestmöglich zu den Anforderungen des Projektes passt.

Große, projektorientiert arbeitende IT-Firmen wie SAP, IBM oder auch Google versuchen daher schon länger die Personalplanung in reproduzierbare, standardisierte Prozesse zu verwandeln, die sich durch Software abbilden lassen. Aus Beschäftigten sollen Humankapital oder schlicht Ressourcen werden, die bestmöglich eingesetzt und verwertet werden sollen.

Dazu ist ein möglichst objektives, messbares und wissenschaftlich prüfbares Vorgehen erforderlich. Die Personalplanung soll evidenzbasiert statt intuitiv oder willkürlich erfolgen – nur so kann sie standardisiert und vom Können einzelner Personen losgelöst und in Software implementiert werden.

Bisherige Personalplanungsprogramme arbeiten meist mit Hilfe von einheitlichen Skillprofilen der Beschäftigten angebunden an die Zeitwirtschaft des Unternehmens zur Planung der Verfügbarkeit einzelner Mitarbeiter.

In modernen Organisationen muss jedoch auch grenzüberschreitend geplant werden können. Es sind externe Partner (Freelancer, Fremdfirmen, Berater, Zeitarbeitskräfte) einzubinden und es müssen Datenbestände firmenübergreifend bearbeitet werden können. Das erfordert solide Überlegungen hinsichtlich des Rechtemanagements und der Datensicherheit solcher Werkzeuge als auch des Datenaustauschs mit Partnern in datenschutztechnisch problematischen Ländern (privatrechtliche Vereinbarung hoher Datenschutzstandards, Auftragsdatenverarbeitung, Safe-Harbour-Regelungen).

Stephen Baker beschreibt in seinem Buch „Die Numerati – Datenhaie und ihre geheimen Machenschaften“ daher einen neuen Ansatz solcher Planungswerkzeuge. Inhaltlich geht es um eine neue Form evidenzbasierter Personalplanung, basierend auf mathematischen Modellen in Kombination mit Data-Mining-Technologien.

Ein Anwendungsbeispiel (Buch S. 38) für evidenzbasierte Personalplanung:

Stellen Sie sich einen IBM-Manager vor, der den Auftrag erhält, ein fünfköpfiges Team nach Manila zu schicken, um dort ein Callcenter aufzubauen. Er setzt sich an den Computer und füllt ein Formular aus, fast so, als würde er online einen Urlaub buchen.

Er gibt den gewünschten Zeitraum ein und klickt sich durch Menüs, um den Job und die benötigten Fähigkeiten zu beschreiben. Auf dem Bildschirm werden die Antworten angezeigt und es wird ein bestimmtes Team empfohlen. Alle angeforderten Qualifikationen sind vertreten; vielleicht kennen sich drei der fünf Leute und haben bereits harmonisch zusammengearbeitet. Einer von ihnen spricht sogar Tagalog, die gebräuchlichste Sprache der Filipinos. Alles sieht gut aus  bis auf eine Zeile, die rot hervorgehoben ist: das Budget. Es beträgt über 40 000 Dollar! Der Manager stellt fest, dass der Computerarchitekt im Team eine ausgewiesene Koryphäe ist, ein Mann, über dessen Arbeit in Fachzeitschriften berichtet wird. Sicher, er passt zu 98,7 Prozent auf den Job  aber er kostet 1000 Dollar pro Stunde.

Der Manager fordert im System einen billigeren Systemarchitekten an. Neue Optionen werden angezeigt. Eine davon ist ein 29-jähriger Berater, der in Indien lebt und nur 85 Dollar pro Stunde kostet. Leider passt er nur zu 69 Prozent auf den Job. Trotzdem, so der Computer, kann er es hinkriegen, wenn er zwei Wochen geschult wird.

Konkret werden Unmengen an Personaldaten, wie sie im laufenden Betrieb eines Unternehmens ohnehin anfallen, mit Hilfe mathematischer Modelle und neuer Taxonomien (Klassifikationsschemata für Daten) auf der Suche nach bislang unerkannten Zusammenhängen ausgewertet (Business Intelligence). Ziel ist die Gewinnung von Erkenntnissen, die in Hinsicht auf die Unternehmensziele bessere operative oder strategische Entscheidungen ermöglichen. Dies geschieht bei der evidenzbasierten Personalplanung mit Hilfe von IT-Systemen, die personell relevante Daten über das eigene Unternehmen oder auch unternehmensübergreifend im Hinblick auf den gewünschten Erkenntnisgewinn auswerten.

Doch woher kommen eigentlich die Daten, die in solchen Planungsinstrumenten verwendet werden? Oft sind ja die Kerndatenbestände der Personalabteilungen besonders geschützt oder sie dürfen nur zweckbezogen verwendet werden. Auch wäre ihr Umfang für diese Art der Personalplanung keineswegs ausreichend.

Evidenzbasierte Personalplanung interessiert sich mehr für die „Datenspuren“, welche Beschäftigte bei ihrem Tagesgeschäft laufend erzeugen. Baker hierzu (S. 39):

Indem sie Bewerbungen, Lebensläufe und Projektberichte auswerten, kann das Team ein Profil der Fertigkeiten und Erfahrungen jedes Mitarbeiters zusammenstellen. Online-Kalender zeigen, wie die Angestellten ihre Zeit nutzen und mit wem sie sich treffen. Durch Auswertung der Nutzungsdaten von Mobiltelefonen und Handhelds können Takritis Rechercheure womöglich auch Bewegungsprofile der Mitarbeiter anlegen. Telefonverbindungsdaten und E-Mail-Verkehr definieren das soziale Netzwerk jedes Beraters. Wem schickt er Kopien seiner E-Mails? Verschickt er Blindkopien, und gegebenenfalls an wen? Solche verborgenen Botschaften könnten auf das Entstehen informeller Netzwerke innerhalb des Unternehmens hindeuten. Sie könnten zeigen, dass ein Mitglied des mittleren Managements in aller Stille eine wichtige Gruppe von Kollegen führt  von der sein Chef nichts weiß.

Doch nicht nur die produktivste Verwendung des Personals sondern auch dessen Pläne seiner persönlichen beruflichen Entwicklung geraten in den Blickpunkt der Personalplaner. So hat Google kürzlich ein Tool entwickelt, mit dem es die Kündigungsabsichten wichtiger Mitarbeiter vorhersagen kann. So will man einem „Brain-Drain“, d.h. einem Abwandern wichtiger Fach- und Führungskräfte vorbeugen. Potentiell wechselwilligen Mitarbeitern lassen sich dann neue Aufgaben, Incentives, Entwicklungsmöglichkeiten oder auch schlicht mehr Geld anbieten.

Google-Personalmanager Laszlo Bock begründete den Kündigungsalgorithmus gegenüber der Presse wie folgt: „So können wir in die Köpfe der Leute gucken, ehe sie selbst wissen, dass sie vielleicht gehen wollen“.

Einzelheiten zur Zusammensetzung der Formel wollte er nicht offenlegen – was nicht weiter überrascht. Laut Bock wurde der neue Algorithmus aber bereits erfolgreich getestet. Man habe durch ihn Mitarbeiter identifiziert, die sich unterfordert fühlen und denen man dann neue, anspruchsvollere Aufgaben geben konnte.

Arbeitgeber, die auch ohne Videoüberwachung und Surfprotokollierung oft mehr über ihre Angestellten wissen, als diese selbst. Und die deren nächste Schritte und mittelfristigen Pläne mit großer Sicherheit in der Prognose vorhersagen können. Da warten Herausforderungen ganz neuer Art und Güte auf das deutsche Datenschutzrecht sowie die Pläne zum Arbeitnehmerdatenschutz. Aber auch ebenso für zahlreiche Aspekte der Informationssicherheit sowie deren Stakeholder in den Unternehmen.

Spiegel.de: Google berechnet Kündigungsabsichten seiner Mitarbeiter

Wiwo.de: Buchauszug aus „Die Numerati“ (PDF, 270 Kb)

Abmahnbetrug: Ein Dutzend Abmahnungen ist illegal

In den letzten Jahren wurde es immer mehr zum allgemeinen Problem: Die rechtsmissbräuchlichen Nutzung des rechtlichen Instruments der Abmahnung, um Geld abzuzocken. In Kurzform also Abmahnbetrug.

Egal ob es um Filesharing, Webimpressum, Produktbeschreibungen in eBay-Aktionen oder anderes geht – da „Verfehlungen“ im WWW leicht zu finden sind, können sie auch ebenso leicht mit Hilfe von Winkeladvokaten abgemahnt werden. Möglich macht es eine weltweit einmalige Besonderheit des deutschen Rechts, wonach die (mehr oder weniger willkürlich festgesetzten) Kosten hierfür vom Abgemahnten eingefordert werden können.

Das lässt daher jegliche Disziplin im Umgang mit diesem Rechtsinstrument über Bord gehen und ermöglicht einen speziellen, so nur in Deutschland existenten Tatbestand der Wirtschaftskriminalität: den Abmahnbetrug.

Dazu werden gleichartige Abmahnungen, den selben Sachverhalt betreffend, an Dutzende wenn nicht Hunderte von Leuten verschickt, mit der Aufforderung einen bestimmten Geldbetrag zu bezahlen und eine vorgefertigte Unterlassungserklärung zu unterschreiben, um die Sache zu bereinigen, bevor sie in Form gerichtlicher einstweiliger Verfügungen richtig teuer wird.

Was ursprünglich die Gerichte von zivilrechtlichen Bagatellstreitereien entlasten sollte, hat sich zu einem Instrument der Schutzgelderpressung per Anwaltsschreiben entwickelt. Die Kalkulation der Abmahnbetrüger basiert auf der Überlegung dass die von ihnen geforderten Geldbeträge meist knapp unterhalb dessen liegen, was die rechtliche Gegenwehr den Abgemahnten kosten würde.

Trotzdem landen immer mal wieder Fälle von Abmahnbetrug vor Gericht und sorgen so für ein Fortschreiten der einschlägigen Rechtsprechung. So auch ein Fall, den das Oberlandesgericht (OLG) Hamm kürzlich im Rahmen eines Berufungsverfahrens zu entscheiden hatte (Az. 4 U 211/08).

Die Berufungsklägerin, welche selbst einen eBay-Shop betreibt, mahnte die Beklagte sowie elf weitere Betreiber von eBay-Shops wegen der Verwendung veralteter Widerrufsbelehrungen nach demselben Muster ab. Ihre Klage richtet sich gegen die Empfängerin der zwölften Abmahnung, welche die Kosten hierfür nicht erstatten wollte.

Das vorhergehende Instanzgericht hatte die fehlerhafte Widerrufsbelehrung als Bagatellverstoß ohne spürbare Beeinträchtigung der Mitbewerber i.S.d. § 3 Gesetz gegen den unlauteren Wettbewerb (UWG) angesehen und eine Zahlungspflicht der abgemahnten eBay-Händlerin verneint.

Das Oberlandesgericht nahm in seiner Urteilsbegründung eine rechtsmissbräuchliche Geltendmachung eines Unterlassungsanspruchs an. Das ist der Fall, wenn „unter Berücksichtigung der gesamten Umstände die Geltendmachung des Unterlassungsanspruchs vorwiegend dazu dient, gegen den zuwider Handelnden einen Anspruch auf Ersatz von Aufwendungen oder Kosten der Rechtsverfolgung entstehen zu lassen.“

Wenn eine Abmahnung also primär darauf abzielt, Geld zu verdienen, so ist sie rechtsmissbräuchlich. Als Indiz hierfür zog das Gericht außerdem heran, dass die Klägerin nur etwa 200 Euro Umsatz pro Monat mit ihrer Tätigkeit als eBay-Händlerin erzielte (eher Hobby als Beruf). Das Abmahngeschäft war daher wesentlich lukrativer, konnten doch mit jedem Brief bei vernachlässigbaren Kosten 3-4stellige Beträge gefordert werden.

Manchmal decken die ansonsten oft staubtrockenen Urteilsbegründungen wirklich Lesenswertes mit auf. So auch die besonderen familiären Verhältnisse der Abmahnbetrüger in diesem speziellen Fall: „Wenn dann noch der Anwalt der Klägerin der Neffe des Inhabers der Klägerin ist, schließt sich der Kreis, dass die Abmahntätigkeit der Klägerin nicht deshalb erfolgt, um die Wettbewerber zum Schutz ihrer eigenen Tätigkeit zu wettbewerbsrechtskonformem Verhalten anzuleiten, sondern dass die Klägerin hier nur eine gewinnbringende Beschäftigung betreiben will.“

Heise.de: Ein Dutzend gleichartiger Abmahnungen kann rechtsmissbräuchlich sein

Gulli.com: Dämpfer für Abmahnanwälte

Wer es selbst mit Abmahnbetrügern zu tun bekommt, kann hier Hilfe und Hinweise auf erste Gegenmaßnahmen finden:

Verein zur Hilfe und Unterstützung gegen den Abmahnwahn e.V.

Initiative Abmahnwahn-Dreipage

Betriebliche Überwachung – Einzelfälle oder „betriebliche Übung“?

Im Zuge der Aufklärung der Telekom-Datenaffäre berichtete Spiegel Online kürzlich, dass auch Zumwinkel (ehem. Aufsichtsratsmitglied) und Ricke (ehem. Vorstand) frühzeitig über Spitzeleien informiert gewesen seien.

Und bei der Bahn warf der neue Vorstands Rüdiger Grube mehrere, dem „System Mehdorn“ verbundene Vorstände raus und baut die interne Revision um, um so zumindest nach außen einen grundlegenden Neuanfang zu demonstrieren.

Doch wird es einen solchen Neuanfang beim Datenschutz im Allgemeinen und dem Arbeitnehmerdatenschutz im Besonderen tatsächlich geben? Das dem linken Spektrum zuzuordnende Magazin „Analyse & Kritik“ scheint dies zu bezweifeln. In einem Artikel kritisiert es die Datengier der Unternehmen und nimmt an, dahinter stünde ein generelles Muster aus Misstrauen, Angst und Gier:

Die Unternehmen spionieren ihre Lohnabhängigen deutschlandweit aus. …

Mit immer umfassenderem Zugriff auf das Arbeitsvermögen wird auch die Kontrolle umfassend und das Misstrauen offenbar flächendeckend. Auch dieses Problem besteht natürlich nicht nur in Deutschland (so z.B. auch bei Nokia in Finnland und bei dem Rüstungskonzern Honeywell weltweit). Und es machen alle – die Skandalisierung einzelner Unternehmensverfehlungen darf nicht darüber hinwegtäuschen, auch wenn genau dieses beabsichtigt ist.

Betriebliche Überwachung also als betriebliche Übung? Zuzutrauen wäre es insbesondere hierarchisch strukturierten Konzernen mit Befehlsempfänger-Mentalität auch der Führungskräfte durchaus.

(Begründung: s.a. Struktureller Inzest als Sicherheitsrisiko im Unternehmen)

Aber auch so mancher mittelständische Patriarch mit ausgeprägten Kontrollwahn (ICD-Kennziffer F20, schizotype Verhaltensstörung) dürfte für den Drang zur Arbeitnehmerüberwachung bestimmt anfällig sein.

Was diesbezüglich noch genauer zu diskutieren wäre, ist der gezielte Einsatz von Überwachungsmaßnahmen gegen Leute, die versuchen, die Wahrnehmung der innerbetrieblichen Interessen der Beschäftigten zu organisieren – also Gewerkschaftsmitglieder, Betriebsräte, Vertrauensleute usw.:

Weit weniger Aufmerksamkeit erfahren in diesem Überwachungsalltag Maßnahmen, die sich vermeintlich gegen betriebliche Einzelfälle und Störenfriede richten, zumal wenn diese auch innerhalb der Belegschaft keine Solidarität genießen. Dabei wird übersehen, dass es um strukturelles Misstrauen geht, das sich gegen alle richtet, obwohl angeblich nur die vermeintlichen “schwarzen Schafe” gemeint sind.

Das bringt Firmen, die ihre Datenschutz-Compliance wirklich verbessern oder auch nur rechtskonform leben wollen, oftmals in die Lage, gegen die Interessen ihrer maßgeblichen Entscheider handeln zu müssen. Manageriale Begehrlichkeiten vs. Informationssicherheit – eine Governance-Herausforderung der besonders heiklen Art…

Akweb.de: Datensucht als Ersatz für Gesinnungskontrolle – Die Dimension der Überwachung, Kontrolle und Einschüchterung im Betrieb

VOI aktualisiert Merksätze zur revisionssicheren elektronischen Archivierung

Der Verband Organisations- und Informationssysteme e.V. (VOI) hat kürzlich seine zehn Merksätze zur revisionssicheren elektronischen Archivierung aktualisiert. Sie definieren die Anforderungen an die Ordnungsmäßigkeit beim Betrieb einer elektronischen Archivlösung und stehen in engem Zusammenhang mit anderen Grundsätzen – wie den „Grundsätzen ordnungsmäßiger Buchführung“ (GoB), den „Grundsätzen ordnungsmäßiger DV-gestützter Buchführungssysteme“ (GoBS) oder den „Grundsätzen zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen“ (GDPdU) aus dem deutschen Steuerrecht.

Die VOI-Merksätze definieren allgemeine Mindestanforderungen, die an Systeme zur revisionssicheren Langzeitarchivierung von Dokumenten zu stellen sind.

(Download der VOI-Merksätze, PDF, 128 Kb)

Eine erste Version der zehn Merksätze zur revisionssicheren elektronischen Archivierung veröffentlichte der VOI bereits in den 90er Jahren. In der nun vorliegenden aktualisierten Fassung wurden die Merksätze präzisiert, thematisch ergänzt und kommentiert, so dass sie als Ausgangspunkt für das Aufstellen von Anforderungslisten und Pflichtenheften für die Implementierung einer Langzeitarchivierung dienen können.

Thorsten Brand, Leiter des Competence Center Standards & Normen ECM des VOI hierzu:
„Die zehn Merksätze zur revisionssicheren elektronischen Archivierung soll Unternehmen darin unterstützen, eine Archivumgebung zu implementieren, die den rechtlichen Regularien entsprechen“. Dieses Competence Center des Verbandes war maßgeblich an der Aktualisierung der Merksätze beteiligt.

Die Merksätze im Einzelnen:

1. Jedes Dokument muss nach Maßgabe der rechtlichen und organisationsinternen Anforderungen ordnungsgemäß aufbewahrt werden.
2. Die Archivierung hat vollständig zu erfolgen – kein Dokument darf auf dem Weg ins Archiv oder im Archiv selbst verloren gehen.
   
3. Jedes Dokument ist zum organisatorisch frühestmöglichen Zeitpunkt zu archivieren.
   
4. Jedes Dokument muss mit seinem Original übereinstimmen und unveränderbar archiviert werden.
   
5. Jedes Dokument darf nur von entsprechend berechtigten Benutzern eingesehen werden.
6. Jedes Dokument muss in angemessener Zeit wiedergefunden und reproduziert werden können.
7. Jedes Dokument darf frühestens nach Ablauf seiner Aufbewahrungsfrist vernichtet, d.h. aus dem Archiv gelöscht werden.
   
8. Jede ändernde Aktion im elektronischen Archivsystem muss für Berechtigte nachvollziehbar protokolliert werden.
   
9. Das gesamte organisatorische und technische Verfahren der Archivierung kann von einem sachverständigen Dritten jederzeit geprüft werden.
10. Bei allen Migrationen und Änderungen am Archivsystem muss die Einhaltung aller zuvor aufgeführten Grundsätze sichergestellt sein.

Revisionssichere Langzeitarchivierung wird inzwischen in immer mehr Bereichen der betrieblichen Informationstechnik gefordert. Geschäftskritische Dokumente können neben E-Mails und Dokumenten aller Art inzwischen auch Logfiles wichtiger Systeme sein. Sie spielen nicht nur für das Security Information and Event Management (SIEM) eine wichtige Rolle sondern sind nach Vorgabe z.B. des Health Insurance Portability and Accountability Act (HIPAA) oder des Payment Card Industry Data Security Standard (PCI-DSS) revisionssicher zu archivieren.

Eine funktionierende revisionssichere Langzeitarchivierung ist daher für immer mehr Firmen von ähnlicher Bedeutung wie ein funktionierendes Rechnungswesen.

Internet-Zensur – Verstößt die Bundesregierung gegen EU-Recht?

Die Pläne der Bundesregierung, eine unkontrollierte Internet-Zensur ohne Aufsicht und ohne rechtliche Möglichkeiten ihrer Überprüfung einzuführen, stoßen bei Experten zunehmend auf Kritik. Einen neuen Aspekt hat nun der renommierte IT-Rechtsexperte Prof. Dr. Thomas Hoeren, Verfasser des „Hoeren-Skripts“ (einer kommentierten Zusammenfassung des deutschen Informationsrechts) in die Debatte eingebracht.

Seiner Ansicht nach verstößt die Bundesregierung mit ihren Plänen zur Internet-Zensur gegen geltendes EU-Recht. Denn in der Richtlinie 98/48/EG zur Einführung einer gesetzgeberischen Transparenz für die Dienste der Informationsgesellschaft haben sich die EU-Mitglieder dazu verpflichtet, Gesetzgebungspläne auf diesem Gebiet im Entwurfsstadium zu notifizieren (der EU anzuzeigen) und der Kommission sowie anderen Mitgliedstaaten Gelegenheit zu Bemerkungen oder ausführlichen Stellungnahmen geben und diese Stellungnahmen abzuwarten (Stillhaltepflicht für einige Monate). Auf diese Weise soll eine allmähliche Vereinheitlichung des Rechtsrahmens zu Fragen der Informationsgesellschaft erreicht werden.

Eine solche Notifizierung hat die Bundesregierung für ihr Gesetzesvorhaben bislang nicht veranlasst. Sie ist demnach ihrer Notifizierungspflicht nicht nachgekommen. Als Folge dieser Pflichtverletzung ist das betreffende Gesetz nach seiner parlamentarischen Verabschiedung trotzdem unanwendbar. Wobei diese Ansicht allerdings „nur“ auf europäischer Rechtsprechung, d.h. auf richterlicher Auslegung bestehenden EU-Rechts beruht.

Die Missachtung der Notifizierungspflicht stellt einen groben Formfehler dar, da diese als ein wichtiges Mittel der Kontrolle dem Ziel dient, die Verwirklichung des Schutzes des freien Dienstleistungsverkehrs auf dem Gebiet der Dienste in der Informationsgesellschaft zu gewährleisten (so Prof. Dr. Hoeren).

Ob dieser grobe Formfehler ausreicht, ein solches Gesetz nach dem Zustandekommen zu kippen, wird sich in den nächsten Monaten zeigen. Wahrscheinlicher ist aber, dass die Regierung diesen Formfehler korrigiert, falls er ihr Probleme bereitet. Und das Zensurgesetz inhaltlich – wie zur Verteidigung der Bürgerrechte leider immer öfter nötig – über eine Klage vor dem Bundesverfassungsgericht angegangen werden muss.

Sperrungspflichten und Transparenzrichtlinie – Die Bundesregierung verstößt gegen Europarecht

Update vom 30.07.2009:
Inzwischen wurde das Notifizierungsverfahren bei der EU-Kommission eingeleitet.

Weitere Aushöhlung des Fernmeldegeheimnisses durch Beschlagnahmung von Mails

Dem Fernmeldegeheimnis scheint in unserem Land ein ähnliches Schicksal wie dem Bankgeheimnis zu blühen: Es wird durch Politik, Gesetzgebung und Rechtsprechung immer weiter aufgeweicht, bis es nur noch pro Forma existiert aber keinen Cent mehr wert ist.  Darüber wurde hier bereits berichtet.

Inzwischen ist ein weiteres Urteil zur Entwertung des Fernmeldegeheimnnisses ergangen. Der Bundesgerichtshof hatte in einem Revisionsverfahren über einen Fall zu befinden (BGH, Az. 1 StR 76/09), in dessen Verlauf ein Instanzgericht ein Urteil maßgeblich basierend auf beschlagnahmten E-Mails fällte. Diese Mails waren zuvor von polizeilichen Ermittlern einfach beschlagnahmt worden, ohne dabei den besonderen rechtlichen Anforderungen an eine Telekommunikationsüberwachung gerecht zu werden. Der Verurteilte griff dies in dem Revisionsverfahren an.

Der BGH kam jedoch zu dem Ergebnis, dass die Beschlagnahmung und Auswertung der Mails aus der Mailbox des Betroffenen rechtens war. Es hätte gar keine Telekommunikation stattgefunden, deren Überwachung strengen Regeln unterworfen gewesen wäre. Stattdessen hätten die Ermittler lediglich gemäß § 99 StPO eine „Postbeschlagnahmung“ durchgeführt. In dieser Phase der Ermittlungen sei der Zugriff „vergleichbar mit der Beschlagnahme beispielsweise von Telegrammen“, erläutern die Richter.

Dr. Marc Störing erklärt hierzu auf Heise Online:

Seit langem diskutieren Juristen die Frage, unter welchen Voraussetzungen der staatliche Zugriff auf E-Mails, die in der Mailbox ruhen, zulässig ist. Soll die Nachricht während der Phase der Speicherung in der Empfänger-Mailbox beim Provider als Telekommunikation gelten, wäre sie nur nach Maßgabe des Paragraphen 100a der Strafprozessordnung (StPO) überwachbar. Er setzt Strafverfolgern verhältnismäßig hohe Hürden. Sollte hingegen die E-Mail während des Ruhens in der Mailbox nicht als Telekommunikation gelten, kann sie nach Paragraph 94 StPO beschlagnahmt werden – mit deutlich niedrigeren rechtlichen Voraussetzungen.

…

Soweit bislang Instanzgerichte mit der Frage beschäftigt waren, ergingen zwar ganz unterschiedliche Entscheidungen. Jedoch wählten nur die wenigsten Gerichte den Weg über die Postbeschlagnahme nach Paragraph 99 StPO. Zu wenig passend erschien der dort erlaubte Zugriff auf „Postsendungen und Telegramme“. Für Beobachter der Auseinandersetzung um Grenzen des staatlichen Zugriffs auf E-Mails kam die Entscheidung damit jedoch nur bedingt überraschend. Denn zwei der beteiligten BGH-Richter vertraten in eigenen wissenschaftlichen Veröffentlichungen bereits zuvor die Auffassung, ein Zugriff sei unter den geringeren Voraussetzungen der Postbeschlagnahme zulässig.

So entsteht durch Rechtsprechung und Auslegung der Gesetze neben § 94 StPO (Beschlagnahmung von Gegenständen, z.B. ein Rechner mit Maildaten darauf) eine weitere Rechtsnorm, mit deren Hilfe das Fernmeldegeheimnis legal unterlaufen werden kann. Immer mehr kristallisiert sich somit die Richtung heraus, dass das Fernmeldegeheimnis sowie die strengen Auflagen einer TK-Überwachung gemäß § 100a StPO nur den Transfervorgang von Mails schützt, während hingegen gespeicherte Mails beim Sender und Empfänger keinen besonderen rechtlichen Schutz genießen.

Auch die Provider treibt das um. Denn auch die bei ihnen gehosteten Mailboxen ihrer Kunden unterliegen damit nicht mehr dem Schutz des Fernmeldegeheimnisses. Herabgesetzte Hürden für einen staatlichen Zugriff auf E-Mails könnten die Begehrlichkeiten und damit die anfallende Arbeit für die Provider erhöhen.

Zudem wird diese Entwicklung der Rechtsprechung die erheblichen Investitionen in Frage stellen, zu denen die Telekommunikations-Überwachungsverordnung (TKÜV) die Provider rechtlich zwingt. Diese vom Bundesministerium für Wirtschaft erlassene Rechtsverordnung schreibt TK-Anbietern detailliert vor, welche Technik sie bereithalten müssen, um eine staatliche Telekommunikationsüberwachung zu ermöglichen. Doch dabei bezieht sich die TKÜV auf TK-Überwachungen nach Paragraph 100a StPO.

Mit den „Schleichwegen“ § 94 und 99 StPO wird sich der komplizierte Weg einer TK-Überwachung nach § 100a StPO in vielen Fällen erübrigen. Stattdessen wird man sich die Daten einfacher und schneller durch Hausdurchsuchungen und Beschlagnahmung von Rechnern sowie Mailbox-Logins beschaffen.

Auch die Diskussion um die Reichweite des Fernmeldegeheimnisses bei privater Internetnutzung in Unternehmen sowie des Zugriffes auf abgerufene bzw. auf Firmenservern gehostete Mails, wird dadurch um weitere Aspekte „bereichert“.

Der verringerte rechtliche Schutz wird auch damit gerechtfertigt, dass es ja Sache des Anwenders selbst ist, die Daten in seinem Herrschaftsbereich angemessen zu sichern.

Eine sehr gute Form „angemessener“ Maildatensicherung kann dabei wir folgt aussehen: Man nehme einen USB-Stick, speichere Truecrypt als Anwendung darauf, lege einen Truecrypt-Container an, packe da eine Installation von Thunderbird Portable Edition hinein und konfiguriere damit seinen POP3-Mailzugang.

Als Ergebnis erhält man einen persönlichen, mit starker Verschlüsselung geschützten mobilen Mailclient, der an jeden Rechner mit Internetzugang angesteckt und benutzt werden kann, ohne auf dem Rechner selbst Spuren zu hinterlassen.

Man sollte den Truecrypt-Container allerdings regelmäßig per Backup sichern – sonst ist das Mailarchiv weg, wenn der Stick verloren geht.