Security-Analysen als Datenrisiko

Fast klingt es nach dem alten Vorurteil, DatenschutzDatenschutz sei Täterschutz, wenn Vortragsthemen des ACDC-Projektteams "Is privacy stopping us from defeating cyber crime?" oder "Privacy concerns and legal boundaries in the fight against botnets" lauten. Immerhin ist ACDC, das Advanced Cyber Defence Centre, ein EU-Projekt, das ein europäisches Zentrum für Cyber Defence aufbauen und den Schutz vor Botnetzen stärken soll. Wenn der Datenschutz der Abwehr von Cybercrime und Bot-Attacken Grenzen auferlegt, scheint dies zu weit zu gehen. Alles zu Datenschutz auf CIO.de

Grundsätzlich geht es dem Datenschutz aber um den Schutz der Daten, wenn die Verarbeitung, Speicherung und Nutzung der Daten nicht durch Datenschutzgesetze, andere Rechtsvorschriften oder die Einwilligung der Betroffenen erlaubt ist. Ist eine Rechtsgrundlage vorhanden, dürfen personenbezogene Daten natürlich genutzt und ausgewertet werden.

Die Frage ist, ob ein EU-Projekt zur Botnetz-Erkennung und -Abwehr und allgemeiner eine Plattform zur Erkennung von IT-Bedrohungen eine Rechtsgrundlage zur Verarbeitung personenbezogener Daten hat. Diese Frage musste sich nicht nur das Projekt ACDC stellen, sondern jeder Nutzer einer Security-Intelligence-Lösung muss dies vorab klären.

Risiken bei Gefahrenabwehr beachten

Die deutschen Aufsichtsbehörden für den Datenschutz warnen vor Datenrisiken bei der Gefahrenabwehr, nicht nur, wenn diese durch Unternehmen erfolgt, sondern auch bei der staatlichen Strafverfolgung. In ihrer Entschließung "Big Data zur Gefahrenabwehr und Strafverfolgung: Risiken und Nebenwirkungen beachten" stellen die Datenschützer heraus, dass die Gefahr fehlerhafter Prognosen stets vorhanden ist, mit erheblichen Auswirkungen auf die dabei in Verdacht geratenen Personen. Es bestehe das Risiko, dass die Analysesysteme die Daten aus einem ganz anderen Zusammenhang verwenden, denen kein gefährdendes oder strafbares Verhalten zu Grunde liegt.

Bei einem Projekt wie ACDC kommt ein weiterer datenschutzrelevanter Punkt hinzu: Die Abwehr von Internetgefahren, wie sie Botnetze darstellen, kann ebenso wenig auf nationale Grenzen beschränkt werden wie die Erkennung möglicher Angriffe. Personenbezogene Daten, zu denen unter anderem IP-Adressen nach gängiger Rechtsmeinung gezählt werden, werden in verschiedenen Ländern erhoben, über Grenzen hinweg übertragen und dann in einem oder mehreren der beteiligten Länder ausgewertet.

Das ACDC-Projekt ist auf den EU-Raum beschränkt, Security-Intelligence-Plattformen vieler Anbieter jedoch nicht. Spätestens seit dem Safe-Harbor-Urteil sollte endgültig klar sein, dass die Datenübermittlung in Drittstaaten eine neue Rechtsgrundlage benötigt. Die deutschen Aufsichtsbehörden für den Datenschutz hatten dies bereits zuvor mehrfach gefordert.