Das Datenschutz-Blog

Vorschriften zum Datenschutz gibt es viele, das Bundesdatenschutzgesetz ist dabei die Regelung, die sicherlich jedem als erstes einfällt. In weiteren Gesetzen finden sich aber zusätzliche Regelungen, vieles ist sehr speziell wie im Gesetz der Bundespolizei. Anderes, wie die Regelungen im SGB X, können da schon relevanter sein – heute schreibe ich kurz was zum Telemediengesetz und meinen liebsten Themen in diesem Bereich.

Beitrag weiterlesen »

Am 24.2.2008 lief im Magazin “titel thesen temperamente” ein beitrag zu Google und welche Gefahr dahinter stehen kann. Den Beitrag gibt es jetzt immerhin zum nachlesen auf der ARD-Webseite, zu finden hier. Das Ganze ist schön aufbereitet, leider habe ich den Beitrag selbst noch nirgendwo gefunden, ich reiche den Link nach sobald etwas dazu online zu finden ist.

Anbieter genauso wie Kunden müssen lernen, dass ein so genannten Kundenkonto, das man heute allzu leichtfertig in Online-Shops anlegt, Risiken für alle Beteiligten bergen. Ein kurzer Artikel der aufklären soll.

Beitrag weiterlesen »

Ein kurzer Tipp, um selber seine Daten im Internet (etwa vor Analyse-Tools wie z.B. Google Analytics oder Werbeeinblendungen) zu schützen, auch wenn es nicht Aufgabe des Betroffenen ist, sich gegen illegale Datenerhebung zu wehren:

1. Firefox installieren
2. Die Erweiterung “No-Script” installieren und nur noch ausgewählten Seiten ein JS erlauben
3. Die Erweiterung “AdBlock Plus” installieren
4. Nun die “Tracking-Filterliste” auf dieser Webseite abonnieren (kostenlos!)
5. Wahlweise eigene Filter anlegen (dazu unten)
6. Mein Rat: Nutzen Sie FlashBlock – damit auch (unsichtbare!) Flash-Cookies nicht einfach gesetzt werden können

Mit diesen beiden Erweiterungen blockt man zwar keine Übermittlung, erhält aber Hinweise, ob jemand versucht zu übermitteln:

• Die FF-Erweiterung zu Google Analytics zeigt an, welche Seite versucht an Google-Analytics zu übermitteln. Dazu wird ein nettes Icon genutzt, beschränkt sich aber nur auf Google-Analytics.
• Umfassender ist die Erweiterung “Counterpixel“, die verschiedene Dienste erfasst und dabei besonders so genannte “Counterpixel” (unsichtbare Bilder die von externen Servern geladen werden) erkennt.

Vielleicht, wenn irgendwann nur noch unbrauchbare Daten gesammelt werden, wird man anfangen sich wieder um das Vertrauen der Webseiten-Benutzer zu kümmern.

Eigene Filter anlegen: Eine Webseite aufrufen und auf den ABP Button klicken, dann “blockierbare Elemente” auswählen. In der Liste das entsprechende mit einem Rechtsklick auswählen und “blockieren” anklicken. Danach erscheint ein Fenster, hier nur den Teil stehen lassen, der auf jeder Seite gleich ist und alles andere (z.B. den Tracking-Code) durch ein * ersetzen. Fertig.

Mehr Tipps von mir zum sicheren Surfen mit dem FireFox gibt es einmal hier, und nochmal hier.

Leider viel zu unbekannt ist die Tatsache, dass es Informationsfreiheitsgesetze gibt. Jedenfalls in NRW gibt es eines, sowie in 6 anderen Bundesländern. Leider noch nicht in allen, aber das kann noch werden – sofern die Bürger und Datenschutzbeauftragten danach verlangen. Ich möchte hier kurz was dazu schreiben mit Blick auf NRW.

Beitrag weiterlesen »

Ich stelle gerade fest, dass immerhin 2 Monate nach meinem Artikel mit einem Hinweis auf zwingende Datenschutzerklärungen dank Google (Artikel hier) nun auch die Blogosphäre auf das Thema aufmerksam wird. Ich bin beeindruckt, noch langsamer schafft es nur die Print-Presse.

Daher hier nochmal der Hinweis an alle Webmaster. Lest AGB bevor ihr “kostenlose” Dienste akzeptiert. Zu Analytics hier bei mir, zu AdSense bei Robert. Die Tatsache, dass man darauf hinweisen muss ist alles andere als überraschend für Stammleser von mir: Ich weise seit über einem jahr darauf hin, dass man beim Einsatz von Google-Diensten (und ähnlichen Diensten) personenbezogene Daten an Dritte übermittelt und sich potentiellen Problemen aussetzt. Ein guter Einstieg in das Thema ist dieser Artikel von mir, der bis heute nichts an Aktualität eingebüsst hat.

Wer mit Maestro/EC-Karte im Handel bezahlt, sollte wissen, was da von ihm gespeichert wird. DIe weit verbreitete Ansicht, dass nur Zahlungsdaten für den aktuellen Vorgang übermittelt (und dann verworfen) werden, ist im Regelfall falsch. So speichert z.B. das verbreitete Verfahren “easycash” einiges mehr als nur die aktuellen Zahlungsdaten zur aktuellen Transaktion. Wer in aktuelle Verträge hineinsieht (Beispiellink 1, Beispiellink 2), findet dort u.a. diesen Passus:

easycash speichert die im OLV® getätigten Transaktionen und Umsätze und gibt dem Unternehmen einen Hinweis, wenn mit einer Karte Lastschriften im Rahmen des OLV®-Verfahrens zum Einzug gegeben worden sind, die die von dem Unternehmen bzw. bei OLV®smart durch easycash festgelegten wöchentlichen oder monatlichen maximalen Beträge oder täglichen Transaktionszahlen überschreiten.

Das heisst: Es gibt scheinbar ein Maximum an Beträgen die wöchentlich/monatlich möglich sind. Ebenso gibt es ein Maximum an Transaktionen pro Tag. Wo die liegen ist mir nicht bekannt, gefunden habe ich es auf Anhieb auch nicht. Spannender ist erstmal die Tatsache, dass man um das nachvollziehen zu können, einen Monat lang speichern muss, welche Karte wie viel wann bezahlt hat. Eine solche Speicherung läuft im Hintergrund auch ab, so dass es sich nicht nur um einen datenschutzrechtlich interessanten, sondern auch bedeutsamen Vorgang handelt. Immerhin kann man, wenigstens für einen Monat, problemlos nachvollziehen, wer wo wann was mit Karte gezahlt hat. Wieder eine theorertische finanzielle Vorratsdatenspeicherung, die in der Bevölkerung nicht bekannt ist (Zu der Vielzahl von Vorratsdatenspeicherungen in Deutschland dieser Artikel).

Dessen ist man sich auch bewusst, wie das Vertragswerk weiter zeigt.

Beitrag weiterlesen »

Ich habe lange als Programmierer gearbeitet, in dieser Zeit habe ich einige Bücher und kostenlose Tutorials geschrieben. Vor allem im Bereich “PHP Security” habe ich seinerzeit sehr viel verfasst, darunter auch vieles was wohl relativ wegweisend war. Dazu gehörten meine “10 Grundregeln der PHP Sicherheit” aus dem PHP Security Guide, die vor kurzem auch nochmals im Magazin PHP Solutions abgedruckt wurden.

Da das Thema scheinbar bis heute brisant ist und meine damaligen Ausführungen bis heute nichts an Akutalität verloren zu haben scheinen, stelle ich den Guide hier kostenlos zum Download: PHP Security Guide

Datenschutz ist nicht unbedingt ein Thema das nur auf höchster Ebene von Interesse ist – selbst auf dem Land, im Dorf, kann es interessant werden. So inzwischen hier in Langerwehe, wo man anfängt im Sicherheitswahn Kameras aufzuhängen. Stolze 6 zählen wir bereits im Ortskern, der gerade mal um die 10.000 Einwohner hat. Eine weitere Kamera ist bereits geplant.

Grund genug, ganz kurz das Thema anzuschneiden und Links zu bieten. Und Betroffenen rechtliche Möglichkeiten aufzuzeigen.

Beitrag weiterlesen »

Es gibt Dinge, die sind einfach zu unbekannt – z.B. dass unsere Drucker gerne festhalten, dass sie die Urheber mancher Werke sind. Das Bedürfnis ist alt, so hat die Forensik schon vor Jahrzenten angefangen, aufgrund des typsichen Schriftbildes ein Schreiben einer bestimmten Schreibmaschinenserie und sogar ganz bestimmten Schreibmaschinen zuzuordnen. Das mag sicherlich notwendig sein, kritisch wird es nur, wenn – wie geschehen – die Industrie hilft, indem viele Drucker ihre interne Seriennummer in Ausdrucken verstecken.

Beitrag weiterlesen »

Jedes E-Mail-Programm birgt ein Risiko: Wenn man ganz normal sein Mail-Konto anlegt, wird nicht automatisch eine verschlüsselte Verbindung installiert. Das gilt sowohl für Microsoft wie auch für die Mozilla Produkte. Das bedeutet, wenn das Mail-Programm den Server “anruft”, überträgt es über das Netz, im Klartext, den Benutzernamen und das Passwort für den jeweiligen Account. Wer das abfängt, hat dann vollen Zugriff auf den jeweiligen Mailaccount.

Beitrag weiterlesen »

Der Browser FireFox und der Mail-Client Thunderbird wurden heute mit neuen Versionen versehen die u.a. Sicherheitslücken schliessen. Ein sofortiges Update wird empfohlen.

Die Zeitung Finanztest kritisiert das Vorgehen verschiedener Banken bei der Kreditberatung. Testkunden hätten bei verschiedenen Kreditinstituten einen Kredit in Höhe von 5.000€ beantragt. Die Sachbearbeiter mehrerer Banken haben bei der dazu durchgeführten Schufa-Abfrage statt des Merkmals ‘Anfrage Kreditkonditionen’ das Merkmal ‘Anfrage Kredit’ als Grund für die Abfrage an die Schufa übermittelt. Während ersteres Merkmal nicht zu einer Verschlechterung des Schufa-Scores führt, verschlechtert sich der Schufa-Score der Betroffenen, wenn es nach einer ‘Kredit-Anfrage’ nicht zu einem Abschluss des Kredits kommt.

Sachbearbeiter von immerhin zwei Banken, der norisbank und der GE Money Bank, holten ohne Einwilligung der Kunden Schufa-Auskünfte ein und handelten damit rechtswidrig.

Der Test von Finanztest stellt dabei nicht allen Banken ein schlechtes Zeugnis aus. Offenbar waren die Sachbearbeiter von Dresdner Bank, Hypovereinsbank und Berliner Volksbank gut sensibilisiert und geschult. Sie nannten die Korrekten Merkmale bei der Schufa-Abfrage und nahmen diese nicht heimlich vor. (Quelle: Datenschutzbüro)

Ich habe vor längerer Zeit schon einmal eine kurze Anleitung verfasst, wie man mit P3P (einem Standard) eine Datenschutzerklärung verfassen kann. Damals interessierte das keinen, weil Datenschutz noch nicht so Hip war wie heute. Ich schreibe hier nochmal kurz was dazu, Hintergrund ist, dass ich heute morgen meine Webseiten alle mit einer P3P Erklärung versehen habe.

Beitrag weiterlesen »

Schon vor einiger Zeit, als ich noch ein Webmaster-Portal betreute, konnte ich es nicht oft genug betonen: Wer ein CMS bzw. Blog nutzt, muss sich auch technisch darum kümmern. Konkret heisst das für betroffene Webmaster:

1. Haltet immer ein Auge auf Updates und Sicherheitswarnungen – abonniert mindestens angebotene Newsletter der Entwickler oder entsprechende RSS-Feeds
2. Bei Sicherheitsupdates spielt die immer umgehend ein, regelmässig (monatlich ist gut) solltet ihr aktuelle Systemversionen kopieren und eure Seiten aktualisieren
3. Im schlimmsten Fall monatlich, besser wöchentlich solltet ihr eure Datenbanken sichern und sicher aufbewahren

Sicherheitslöcher in Blogs, CMS und Forensoftware sind der Regelfall, dessen muss man sich im klaren sein. Pflegt immer die Software wie auch eventuell vorhandene Plugins. Wem das zu viel ist, der sollte sich überlegen, Dienstleister zu nutzen, die feritge Portale anbieten (gibt es ja auch kostenlos), wer das nicht möchte, sollte notfalls Hilfe erfahrener Webmaster hinzuziehen, auch wenn man dafür ggfs. etwas zahlen muss.

Hintergrund: Hinweis bei Heise auf eine XMLRPC-Lücke die sowohl WordPress als auch Joomla betrifft. Die sicher nicht alleine damit stehen.