INFORMATIONEN

Datenschutzrisiken im Internet der Dinge

Das „Internet der Dinge“ ist definiert als ein Netzwerk von physischen und virtuellen GegenstĂ€nden, die sowohl mit Menschen als auch untereinander kommunizieren. Alexa von Amazon ist ein bekanntes Beispiel fĂŒr ein IoT-Gadget. In diesem Artikel erfahren Sie, was diese Technologien fĂŒr die Datensicherheit bedeuten.

Das Internet der Dinge (Internet of Things, IoT) bedeutet eine Abkehr vom traditionellen PC hin zu einer „intelligenten“ physischen Umgebung mit angeschlossenen GerĂ€ten, die dank kĂŒnstlicher Intelligenz selbstĂ€ndig lernen und AktivitĂ€ten ausfĂŒhren können.

Solche Technologien haben zwar das Potenzial, unser Leben zu vereinfachen, wie z. B. das Heizen unserer Wohnung mit unserem Smartphone auf dem Weg nach Hause oder das Starten unserer Musikwiedergabeliste mit einem Sprachbefehl, aber wir sollten uns bewusst sein, dass jedes dieser GerĂ€te Daten ĂŒber uns sammelt (wie z. B. Amazons Alexa im Extrembeispiel). Außerdem wird unser persönlicher Raum immer stĂ€rker mit dem Internet verflochten, so dass eine klare Grenze wahrscheinlich unmöglich wird.

Risiken fĂŒr die Datensicherheit im Internet der Dinge

Welche Datenschutzbedenken und -probleme wirft das Internet der Dinge derzeit auf?

  • Feststellung, wer fĂŒr das Datenschutzrecht zustĂ€ndig ist: FĂŒr den Datenschutz könnte zum Beispiel der Hersteller, der GerĂ€teverleih oder der Drittanbieter zustĂ€ndig sein. Die Zustimmung des Nutzers zur Übermittlung seiner Daten oder eine andere Rechtsgrundlage ist erforderlich, sobald ein Dritter beteiligt ist.
  • IT-Sicherheitszertifizierung fĂŒr IoT-GerĂ€te: Das Hauptproblem dabei ist, dass IoT-GerĂ€te regelmĂ€ĂŸig aktualisiert werden mĂŒssen. Der Zustand der IT-Sicherheit kann sich jedoch mit jeder Aktualisierung Ă€ndern, so dass es schwierig ist, eine langfristige Aussage ĂŒber die Sicherheit eines GerĂ€ts zu treffen.
  • Intransparenter Datenfluss und unzureichende Information der Nutzer: Die Nutzer wurden nicht ausreichend darĂŒber informiert, welche Daten gesammelt werden, wer Zugang zu ihnen hat und wo oder wie lange sie gespeichert werden.
  • Kein Recht auf Widerspruch: Derzeit gibt es keine Möglichkeit, der Datenverarbeitung zu widersprechen. Technisch gesehen werden die GerĂ€te ohne Datenerfassung nicht funktionieren können. Bislang bieten IoT-GerĂ€te jedoch keine Alternativen zur EinschrĂ€nkung der Datenerfassung.
  • Unzureichende VerschlĂŒsselung: Laut einer Gemalto-Umfrage verschlĂŒsseln nur 59 % der IoT-Organisationen alle Daten, die von ihren GerĂ€ten erfasst und zur Analyse verwendet werden. UnverschlĂŒsselte Daten können leicht gelesen werden, wenn sie in die HĂ€nde von Unbefugten fallen.
  • Laut einem Bericht von Infoblox stellt die dramatische Zunahme von IoT-GerĂ€ten in Unternehmensnetzwerken, zusĂ€tzlich zu privaten EndgerĂ€ten, eine große Sicherheitsbedrohung dar. Unternehmen sollten daher den Überblick ĂŒber die von ihnen eingesetzten technischen Gadgets behalten und ihre Nutzung des Internets der Dinge kritisch analysieren.

    • Artikel 35 der Datenschutz-Grundverordnung verlangt eine Datenschutz-FolgenabschĂ€tzung (DFA), die das Internet der Dinge möglicherweise erfĂŒllen kann. Wenn die Verarbeitung personenbezogener Daten aufgrund der Art, des Umfangs, der UmstĂ€nde oder der Zwecke der Verarbeitung wahrscheinlich zu einem hohen Risiko fĂŒr die Rechte und Freiheiten natĂŒrlicher Personen fĂŒhrt, muss der fĂŒr die Verarbeitung Verantwortliche eine Datenschutz-FolgenabschĂ€tzung durchfĂŒhren. Eine Beurteilung durch einen Außenstehenden, wie weit etwas fortgeschritten ist, ist unmöglich.

    IoT-GerÀte-Sicherheitsanforderungen

    Aufgrund dieser Probleme haben das EuropĂ€ische Komitee fĂŒr Normung, die britische Regierung und der Digital Guardian erstmals Sicherheitsrichtlinien fĂŒr IoT-GerĂ€te entwickelt, die sowohl von den Herstellern als auch von den Nutzern befolgt werden sollten. Sie lauten wie folgt:

  • Verwenden Sie keine Standardpasswörter.
  • Angabe einer individuellen IdentitĂ€t fĂŒr jedes GerĂ€t (z. B. durch Verwendung einer Nummer) zur Authentifizierung.
  • EinfĂŒhrung von Richtlinien fĂŒr das Vorgehen im Falle einer Datenschutzverletzung.
  • Software auf dem neuesten Stand halten.
  • Zugangsdaten und sicherheitsrelevante Daten sicher speichern.
  • VerschlĂŒsselte Kommunikation
  • Netzwerksegmentierung (damit kompromittierte GerĂ€te vom Rest des Netzwerks isoliert werden können)
  • Persönliche Informationen sicher aufbewahren.
  • Überwachen Sie die Systemtelemetrie (die Informationen darĂŒber liefert, wie die Software genutzt wird und wie gut sie funktioniert).
  • Den Verbrauchern die Möglichkeit geben, personenbezogene Daten einfach zu löschen.
  • Vereinfachen Sie die Installation und Wartung von GerĂ€ten.
  • PrĂŒfen Sie die Eingabedaten.

    • Zusammenfassung

    Der „EU Cybersecurity Act“ ist am 27. Juni 2019 in Kraft getreten. Damit wurde u.a. ein EU-weiter Rahmen fĂŒr die IT-Sicherheitszertifizierung von Produkten, Dienstleistungen und Verfahren geschaffen.