#sicherheitsupdates

Windows 10 ist übermorgen Geschichte (offiziell zumindest, wobei... nicht ganz, also...)

Übermorgen endet der Support für Windows 10 - in Fachzeitschriften ist dieser Umstand seit Jahren Dauerthema. Gefühlt alle paar Monate ein Grundsatzartikel oder eine ganze Artikelserie zu den Fragen "Was passiert, wenn ich nicht umsteige? Welche Alternativen (macOS, Linux, ChromeOS...) gibt es? Welche Hacks gibt es, um auch mit älterer Hardware auf Windows 11 umzusteigen? Wie zuverlässig klappt das?"

Mit meinem bisherigen Notebook (ein "unkaputtbares" Lenovo Thinkpad, Baujahr um 2013) hatte ich vor ein, zwei Jahren einen kurzen Versuch unternommen, auf Windows 11 umzusteigen. Von der CPU-Generation ist es vier Jahre zu alt (vierte statt mindestens achte Intel Core-i-Generation). Nach Eintragen eines "geheimen" Registryschlüssels gelang das Upgrade trotzdem, das Ergebnis war aber nicht befriedigend. Ich erinnere mich nur noch vage an mangelhafte Hardwareunterstützung (Lüfter viel lauter als zuvor, Akkulaufzeit wesentlich geringer). Aber es war ja auch wirklich betagt, daher habe ich es im April 2024 durch ein framework-Notebook ersetzt.

Bei meinem Desktop-PC (Fujitsu-Businessgerät der Oberklasse von 2016, nach Microsoft-Zeitrechnung zwei Jahre zu alt, also sechste Core-i-Generation) habe ich das Thema lange wegignoriert. Er läuft auch mit seinen neun Jahren dermaßen geschmeidig, dass ich nicht bereit war, ein jüngeres Gerät zu kaufen. Im September also den Registryschlüssel gesetzt, Windows 11-Upgrade durchgeführt - et voilà: läuft ebenso geschmeidig wie zuvor.

Auch bei diversen anderen Notebooks im Freundeskreis (siebte Core-i-Generation, also nur ein Jahr zu alt) lief das Upgrade mit dem kleinen Registry-Kniff völlig geräuschlos ab. Ich war fast ein wenig empört, wie leicht das geht - zeigt es doch, dass die Hardwareanforderungen zumindest stellenweise ein ziemlich theoretisches Konstrukt sind.

Die Sache hat einen kleinen Haken: die nun installierte Version "Windows 11 24H2" bekommt noch bis Oktober 2026 Sicherheitsupdates, anschließend ist erneut manuelles Eingreifen nötig. Falls der nötige Hack auch in einem Jahr noch so einfach ist, freut es mich. Vielleicht bin ich dann aber auch freiwillig an dem Punkt, wo ich zum Kauf neuer Hardware bereit bin. Beides also fein.

Im September konkretisierten sich plötzlich die Gerüchte, dass es doch möglich sein wird, ein weiteres Jahr Sicherheitsupdates für Windows 10 zu kaufen. Also nicht nur für Geschäftskunden, das war eh klar, sondern auch für Privatpersonen. Persönlich finde ich das eher zweite Wahl, weil ich mir vorstelle, dass der modernere Unterbau von Windows 11 trotzdem mehr Sicherheit bietet. Aber wenn man partout änderungsunwillig ist und damit leben kann, dann eben in einem Jahr handeln zu müssen, dann kann das eine valide Option sein. Und genau genommen bezahlt man nicht mit Geld, sondern mit persönlichen Daten, denn das Fortsetzen der Updates-Versorgung ist an ein Microsoft-Konto gebunden. Auch hier bin ich freundlich gesagt verblüfft, dass diese Möglichkeit jetzt erst in weiteren Kreisen publik wird. Anders gesagt: die Botschaft "es muss zwingend neue Hardware gekauft werden" wurde lange genug hinaustrompetet, die Hardwarehersteller haben ihr Geschäft gemacht und sind befriedigt, JETZT kann man eingestehen, dass insbesondere viele Privatpersonen einen Neukauf noch hätten aufschieben können. Ein Schelm, wer Böses...

Auf meinem alten Notebook habe ich dann übrigens Linux installiert, mit dem genügsamen xfce-Desktop, der sich besonders für alte Hardware eignet. Dass das reibungslos lief, hat mich überhaupt nicht überrascht und ist eigentlich keine Erwähnung wert.

90 Prozent der befragten deutschen CIOs and CISOs führten kritische Sicherheitsupdates aus Sorge vor möglichen Auswirkungen nicht durch.

Weltweit halten sich CIOs und CISOs bei der Umsetzung relevanter Maßnahmen zurück, obwohl diese für die Widerstandsfähigkeit gegenüber Störungen und Cybergefahren entscheidend wären. 90 Prozent der befragten CIOs and CISOs in Deutschland führten ein wichtiges Sicherheitsupdate oder einen Patch nicht durch, aus Sorge vor möglichen negativen Auswirkungen auf den Geschäftsbetrieb. Im weltweiten Durchschnitt – in Deutschland, den USA, Großbritannien, Frankreich und Japan – machten 81 Prozent diese Erfahrung. Das ist ein Ergebnis der weltweiten Umfrage von Tanium unter 500 CIOs und CISOs in Unternehmen mit mehr als 1000 Mitarbeitern. Die »Global Resilience Gap«-Studie untersucht, was die Herausforderungen für CIOs und CISOs beim Schutz des Unternehmens vor Cybergefahren und Störungen sind und welche Kompromisse sie eingehen. Die Studie erkundet auch interne Herausforderungen, welche die volle Transparenz und Kontrolle der IT-Umgebung verhindern. Mangelnder Überblick und Kontrolle im Netzwerk Der Überblick über die Endpoints – Laptops, Servers, virtuelle Geräte, Container und Cloud Infrastrukturen – ist oft unzureichend, wie die Tanium-Studie zeigt. Dies hindert Unternehmen daran, informierte Entscheidungen zu treffen, einen effizienten Ablauf zu gewährleisten und gegen Störungen widerstandsfähig zu bleiben. Zusätzlich zu der Tatsache, dass viele CIOs und CISOs Patches aus Sorge vor möglichen Auswirkungen nicht durchführen, führt mangelnde Transparenz auch dazu, dass Patches nicht auf allen Geräten installiert werden: 94 Prozent der befragten deutschen CIOs und CISOs geben an, dass ein wichtiger Patch nicht wie angenommen auf allen Geräten im Unternehmen installiert wurde und sich somit eine Sicherheitslücke ergab. Kompromisse in der IT-Sicherheit und im IT-Betrieb Zudem zeigt die Umfrage, welche Kompromisse CIOs und CISOs in der IT-Sicherheit und im IT-Betrieb aufgrund von betrieblichen Erfordernissen eingehen. 87 Prozent der befragten CIOs und CISOs in Deutschland müssen beim Schutz des Unternehmens vor technischen Störungen, beispielsweise durch Cyber-Bedrohungen und Ausfälle, Kompromisse eingehen. Einer der wichtigsten Gründe für diese Kompromisse ist demnach die veraltete IT – 34 Prozent sind der Meinung, dass sie deshalb handlungsunfähig sind. Ebenfalls 34 Prozent müssen sich darauf konzentrieren, den Geschäftsbetrieb aufrecht zu halten. Weiterhin müssen 29 Prozent der Befragten mit inkonsistenten, unvollständigen Datensätzen arbeiten. Gleichzeitig sind viele der von Tanium befragten CIOs und CISOs wegen der möglichen Auswirkungen solcher Kompromisse besorgt: 35 Prozent der deutschen Befragten fürchten einen möglichen Verlust von Kundendaten. 30 Prozent halten Vertrauensverlust bei Kunden für eine mögliche Folge. Darüber hinaus denken 29 Prozent, dass Schwachstellen zu einem falschen Eindruck bei Stakeholdern hinsichtlich der Widerstandsfähigkeit gegenüber Störungen führen könnten. Unklare interne Prioritäten Oft fehlt in Unternehmen das Verständnis, wie wichtig widerstandsfähige Technologien und Geschäftsprozesse sind. 47 Prozent der deutschen befragten CIOs und CISOs stehen vor Herausforderungen, weil andere Abteilungen und Führungskräfte nicht verstehen, wie wichtig widerstandsfähige Technologien für das Geschäft sind. 43 Prozent geben zudem an, dass andere Abteilungen der Kundenbetreuung höhere Priorität einräumen als der Befolgung von Sicherheitsprotokollen. Dadurch wird es schwierig, Business Resilience zu erreichen und zu erhalten. 35 Prozent der Befragten sehen Herausforderungen in der Zusammenarbeit mit anderen Abteilungen, weil diese in Silos arbeiten und so kein umfassender Überblick möglich ist. Dies verringert ebenfalls die Widerstandsfähigkeit. Ryan Kazanciyan, Chief Technology Officer von Tanium, sagt: »Die Mitarbeiter, die Prozesse und die Technologie tragen zusammen dazu bei, ein Unternehmen widerstandsfähig zu machen. Dadurch kann auf Cyberattacken, Ausfälle und andere Unterbrechungen schneller reagiert werden. Unsere Studie belegt jedoch, dass über 80 Prozent der weltweit befragten CIOs und CISOs wichtige Updates nicht durchführen, weil sie wegen möglicher Auswirkungen auf den Geschäftsbetrieb besorgt sind. Solche mangelhaften Sicherheitsvorkehrungen können weltweite Cyberangriffe wie etwa durch WannaCry ermöglichen. Deshalb sollten Unternehmen sicherstellen, dass relevante Änderungen auch durchgeführt werden. Dies ist nötig, um wichtige Bereiche zu schützen, die Auswirkungen zu überwachen und sich von unerwarteten Vorfällen schnell wieder zu erholen. Um eine starke Sicherheitskultur im Unternehmen aufzubauen, sollten IT-Operations- und Sicherheits-Teams zusammenarbeiten. Diese Zusammenarbeit muss auf gemeinsam erhobenen, verlässlichen Daten basieren, die vollen Einblick und Kontrolle über alle Geräte hinweg ermöglichen. Dadurch können die Teams technische Störungen oder Cyberbedrohungen verhindern – oder sich sehr schnell an diese anpassen und reagieren.«  

1883 search results for "IT-Sicherheit "

NEWS | CLOUD COMPUTING | DIGITALISIERUNG | IT-SECURITY | SERVICES

Neue Verfahren für die IT-Sicherheit: Mit Simulationen so agil werden wie die Cyberangreifer selbst

21. März 2019

Cyberangriffe, Ransomware, Malware oder Phishing-Attacken: die Liste potenzieller Bedrohungen für die IT-Sicherheit eines Unternehmens ist lang und schier unerschöpflich. Obwohl die Angriffsmethoden immer komplexer werden und sich stetig weiterentwickeln, nutzen die meisten Unternehmen weiterhin reaktive, technologiebasierte Lösungen zum Schutz ihrer IT-Infrastruktur. Doch Endpoint-Security und Firewalls allein reichen als Schutz längst nicht mehr aus. Kontinuierliche Simulationen… Weiterlesen → NEWS | TRENDS 2019 | TRENDS SECURITY | TRENDS CLOUD COMPUTING | CLOUD COMPUTING | IT-SECURITY | TIPPS

Konsolidierung der Anbieter und Architekturansatz in komplexen Sicherheitsumgebungen schafft mehr IT-Sicherheit

7. März 2019

Mehr Vertrauen in Cloud-Security. Höhere Investitionen in Abwehr, Sicherheitstraining und Risikoanalysen. CISOs fürchten Nutzerverhalten, Daten, Geräte und Apps.   Verantwortliche für IT-Sicherheit setzen vor allem auf die Konsolidierung der Anbieter in komplexen Sicherheitsumgebungen, einer engeren Zusammenarbeit zwischen Netzwerk- und Sicherheitsteams sowie Schulungen, um die Sicherheitslage des Unternehmens zu verbessern. Das zeigt die fünfte jährliche CISO… Weiterlesen → IT-SECURITY | TIPPS

IT-Sicherheitsexperte überzeugt: Mit Verschlüsselung, Vorsicht und einem IT-Sicherheitskonzept lassen sich Hackerattacken verhindern

6. März 2019

Bereits mit völlig unkomplizierten Sicherheitsmaßnahmen lassen sich Hackerangriffe auf die Unternehmensinfrastruktur vermeiden. Davon ist IT-Sicherheitsexperte Christian Heutger überzeugt: »Hundertprozentige Sicherheit wird es kaum geben. Ein IT-Sicherheitskonzept, bei dem Verantwortlichkeiten verteilt und etwaige Notfallmaßnahmen beschlossen sind, sowie ein IT-Sicherheitsbeauftragter, der einerseits diese Maßnahmen steuert und überwacht, andererseits aber auch Mitarbeiter darin schult IT-Sicherheit umfassend im Unternehmen… Weiterlesen → NEWS | TRENDS 2019 | BUSINESS | TRENDS SECURITY | TRENDS SERVICES | IT-SECURITY | SERVICES

IT-Sicherheit: Unternehmen suchen händeringend Spezialisten

3. März 2019

Jedes zweite Unternehmen findet in Deutschland keine passenden IT-Sicherheitsspezialisten. Jedes dritte Unternehmen hat zudem Probleme bei der Suche geeigneter externer Dienstleister. Die Folge: Vorhandene und neu formulierte IT-Sicherheitsstrategien zum Aufdecken und Abwehren von Hackerangriffen sowie zum Schutz von Daten können nicht wie geplant umgesetzt werden. Das ergibt die Studie »Potenzialanalyse Unternehmen schützen, Risiken minimieren« von… Weiterlesen → AUSGABE 1-2-2019 | NEWS | CLOUD COMPUTING | IT-SECURITY

IT-Sicherheitsprognosen 2019 – Fokus auf die Cloud

21. Februar 2019

Im Jahr 2019 werden Cyberkriminelle neue innovative Wege beim Ausnutzen von Sicherheitslücken finden. Sie werden weiterhin IoT-Geräte auf ihrem Radar haben und außerdem in der Cloud nach neuen Möglichkeiten suchen, um gefährdete Anwendungen angreifen zu können. Unternehmen sollten daher daran arbeiten, effektivere Sicherheitslösungen einzusetzen, die aber auch ihr Budget nicht überfordern. Weiterlesen → AUSGABE 1-2-2019 | SECURITY SPEZIAL 1-2-2019 | NEWS | IT-SECURITY | KOMMUNIKATION | LÖSUNGEN

Interview mit Sebastian Rohr: IT-Sicherheit – keine Stolperfalle, sondern Sprungbrett

20. Februar 2019

Durch Industrie 4.0, IoT, digitale Transformation und umfassende Vernetzung bekommt ein gesicherter Zugang zu IT-Systemen allerhöchste Bedeutung. Die bisherige Abschottung vieler Unternehmen nach außen ist nun allerdings obsolet. Wie eine sichere Authentisierung aussehen kann, zeigt Sebastian Rohr, CTO der APIIDA AG aus Groß-Bieberau. Weiterlesen → AUSGABE 1-2-2019 | SECURITY SPEZIAL 1-2-2019 | NEWS | IT-SECURITY

IT-Sicherheitstrends 2019 – Vorschriften verstehen und Sicherheitskontrollen einbauen

20. Februar 2019

2018 war mit zahlreichen Datenschutzverstößen bei Google, Facebook, British Airways und anderen Unternehmen sowie Inkrafttreten der EU-DSGVO ein turbulentes Jahr für Datenschutz und Datensicherheit. Jetzt ist es an der Zeit, sich auf 2019 vorzubereiten. Weiterlesen → NEWS | TRENDS 2019 | BUSINESS | TRENDS SECURITY | IT-SECURITY

IT-Sicherheit: Unternehmen planen Budgetoffensive gegen digitale Sorglosigkeit

8. Februar 2019

Jedes vierte Unternehmen in Deutschland kämpft mit dem Problem knapp bemessener Budgets für IT-Sicherheit. Bedarf besteht bei der Sensibilisierung der Mitarbeiter und bei der Rekrutierung von IT-Sicherheitsspezialisten. Das soll sich bis 2021 ändern. Mehr als die Hälfte der Entscheider (56 Prozent) erwarten für die kommenden drei Jahre eine Steigerung des Budgets. Jeder vierte Manager geht… Weiterlesen → NEWS | FAVORITEN DER REDAKTION | IT-SECURITY | KÜNSTLICHE INTELLIGENZ

Die Macht der Algorithmen: So hilft maschinelles Lernen in der modernen IT-Sicherheit

29. Januar 2019

Artificial Intelligence, zu Deutsch künstliche Intelligenz (KI), hat sich zum Hypebegriff entwickelt und es scheint fast so, als wären alle IT-Lösungen über Nacht intelligent geworden. KI wird als Antriebsfeder der digitalen Transformation betrachtet, doch steckt sie in ihren Anwendungsbereichen noch in den Kinderschuhen. Im Prinzip geht es darum, menschliche Entscheidungsstrukturen mit Hilfe eines Computers nachzubauen,… Weiterlesen → NEWS | TRENDS 2019 | TRENDS SECURITY | TRENDS INFRASTRUKTUR | BUSINESS PROCESS MANAGEMENT | TRENDS SERVICES | FAVORITEN DER REDAKTION | INDUSTRIE 4.0 | INTERNET DER DINGE | IT-SECURITY | KÜNSTLICHE INTELLIGENZ

IT-Sicherheitstrends 2019: Die »Kronjuwelen« unter den Assets vor Bedrohungen schützen

20. Januar 2019

Die EU-Verordnung eIDAS für den sicheren grenzüberschreitenden Datentransfer wird 2019 eine starke Verbreitung erfahren und das IT-Sicherheitsgesetz weitere Branchen und Unternehmen umfassen. Doch gleichzeitig werden nach den Trendaussagen von Detlev Henze, Geschäftsführer der TÜV TRUST IT, die Cybergefahren deutlich zunehmen. Deshalb müssen die wertvollen Vermögenswerte besonders geschützt, die Architekturen der produktionsnahen IT verändert und KI-Lösungen… Weiterlesen → NEWS | TRENDS 2019 | TRENDS SECURITY | TRENDS CLOUD COMPUTING | CLOUD COMPUTING | TRENDS SERVICES | IT-SECURITY | SERVICES

Der Channel für IT-Sicherheit im Jahr 2019 – ein Jahr der Services

15. Januar 2019

Zu Beginn des Jahres 2019 wird es große und kleine Veränderungen innerhalb des Ökosystems der Channelpartner geben. Wie diese vermutlich aussehen werden, erklärt Jens Pälmer, zuständig für den Channel bei Palo Alto Networks in Deutschland, Österreich und der Schweiz. »Die Vorhersage dessen, was das Jahr verspricht, lässt sich jedoch nicht einmal mittels künstlicher Intelligenz treffen«,… Weiterlesen → NEWS | IT-SECURITY | KOMMENTAR | TIPPS

Schwerwiegende Cyberattacke in Deutschland – Menschliche IT-Sicherheitsteams sind zunehmend überfordert

6. Januar 2019

Die weitreichende Cyberattacke auf Politiker, Journalisten und Prominente in Deutschland schlägt international hohe Wellen. Noch ist wenig über die Hintergründe bekannt, aber der Schaden scheint enorm zu sein.   Gérard Bauer, VP EMEA bei Vectra, Experte für KI-basierte Cybersicherheit (künstliche Intelligenz), nimmt Stellung zum Status Quo:   »Für ein Land, in dem die Privatsphäre des… Weiterlesen → NEWS | TRENDS 2019 | TRENDS SECURITY | IT-SECURITY

IT-Sicherheitsvorhersagen für 2019: Cyberangriffe werden immer ausgefeilter

22. Dezember 2018

In puncto Sicherheit auf einen Public Cloud Provider zu vertrauen, kann problematisch sein. Das wird am Beispiel von Microsoft deutlich. Ab 2019 bietet der Softwaregigant die Microsoft Cloud Deutschland nicht mehr an. Unternehmen, die den Service bereits einsetzen, können ihn zwar auch weiterhin nutzen und erhalten die nötigen Sicherheitsupdates. Es wird künftig jedoch keine neuen Dienste mehr für die deutsche Cloud geben. Microsoft hatte diese 2015 ins Leben gerufen, um den hohen Sicherheitsbedürfnissen von deutschen Unternehmen nachzukommen. Kundendaten werden dabei getrennt von der globalen Infrastruktur in einem separaten Netzwerk in Deutschland gespeichert und ein deutscher Treuhänder kontrolliert den Zugang zu diesen Daten. Ab 2019 können Neukunden nur noch die weltweite Azure Cloud nutzen. Unternehmen, die sich für die Microsoft Cloud Deutschland entschieden hatten, stehen jetzt vor einem Dilemma. Entweder sie bleiben in der geschützten deutschen Cloud und verzichten auf Neuerungen. Oder sie wechseln zu Azure und vertrauen auf Microsofts Aussage, dass auch die globale Cloud die strengen Datenschutzrichtlinien der DSGVO einhält. Wer auf der sicheren Seite sein will, sollte einen dritten Weg wählen und sensible Daten in der Cloud mit einem externen Hardware-Sicherheitsmodul verschlüsseln. Dadurch übernehmen Unternehmen selbst die Kontrolle über den Schutz ihrer Daten – unabhängig davon, bei welchem Public Cloud Provider sie liegen. Die unabhängige sichere Lösung: ein Cloud-HSM Dies lässt sich komfortabel mit einem Hardware-Sicherheitsmodul (HSM) in der Cloud wie dem Utimaco CryptoServer Cloud bewerkstelligen. Unternehmen können damit die Funktionalität eines HSM als Service nutzen und dort zum Beispiel kryptographische Schlüssel und eigene Kryptographie-Funktionen sicher aufbewahren. Ein solches HSM-as-Service arbeitet mit den großen Public Clouds wie Microsoft Azure, der Google Cloud Platform oder Amazon Web Services zusammen, hält Schlüssel und Kryptographie-Funktionen jedoch sicher getrennt von der Infrastruktur des Public Cloud Providers. Nur der Kunde selbst hat Zugang zum virtuellen Schlüssel-Safe. Er genießt volle administrative Rechte auf das HSM und kann auch eigenen Code anwenden. Dadurch sind Unternehmen in der Lage, ihre Daten nach ihrem Ermessen zu schützen, ohne dass sie von den Datenschutzmaßnahmen des Providers abhängig sind. Darüber hinaus eignet sich der Einsatz eines HSM in der Cloud auch hervorragend für Hybrid- und Multi-Cloud-Umgebungen. Immer mehr Unternehmen gehen dazu über, eine Private Cloud und Public Cloud Services verschiedener Provider zu kombinieren. Dadurch können sie die jeweils besten Angebote für ihren Bedarf auswählen und von deren Vorteilen profitieren. Auf der anderen Seite macht eine Multi Cloud jedoch die konsistente Umsetzung von Datenschutz und Compliance komplexer und unübersichtlicher, da jede Cloud ihr eigenes Sicherheitskonzept hat. Mit einem Cloud-HSM können Unternehmen diese Schwierigkeiten überwinden und für durchgängigen Datenschutz unabhängig vom Public Cloud Provider sorgen. Das ebnet den Weg für eine sichere Multi-Cloud-Umgebung. Malte Pollmann, CEO der Utimaco GmbH    

Wo sich EU- und US-Recht widersprechen – Die Cloud muss Grenzen kennen

31. August 2018 Seit Mai 2018 gibt es einen Konflikt zwischen der Europäischen DSGVO und dem US-amerikanischen CLOUD Act. Was hinter der Regelung steckt und wie Mittelständler dem Konflikt aus dem Weg gehen können.

Illustration: Absmeier, Thommas68   Seit dem Frühjahr befinden sich das US-amerikanische und das europäische Datenschutzrecht auf Kollisionskurs. Viele mittelständische Unternehmen in Deutschland sollten sich der weitreichenden Auswirkungen bewusst sein, wenn sie über Softwarelösungen und Dienste aus der Cloud nachdenken. Seit März dieses Jahres steht der Begriff CLOUD als Abkürzung für »Clarifying Lawful Overseas Use of Data«, also die Klärung der gesetzmäßigen Verwendung ausländischer Daten. Das zugehörige US-Gesetz trägt den Titel CLOUD Act und steht aufgrund seiner Natur in Widerspruch zu europäischen Datenschutz- und Sicherheitsbestimmungen: Unternehmen, die ihren Firmensitz in den USA haben, sind nun nicht mehr nur im Rahmen des sogenannten Patriot Act zur Kooperation mit den Ermittlungsbehörden ihres Landes verpflichtet. Sie sind es auch dann, wenn sie Nutzungs- und Kundendaten auf Servern außerhalb der Vereinigten Staaten verarbeiten und selbst wenn sie eigene Rechenzentren in Deutschland oder im sonstigen Geltungsbereich europäischer Gesetze wie der DSGVO (Datenschutzgrundverordnung) unterhalten. Mit Inkrafttreten des CLOUD Act ist nun auch der Schlusspunkt unter ein Gerichtsverfahren gesetzt, das Microsoft jahrelang durch alle Instanzen verfolgt hatte: Das Unternehmen hatte sich gegen die Herausgabe von Daten auf ihren Servern in Irland gewehrt und bis zum obersten amerikanischen Gerichtshof geklagt. Angesichts der neuen gesetzlichen Bestimmungen sieht der Supreme Court jetzt jedoch keine Veranlassung mehr, sein ursprünglich für den Sommer angekündigtes Urteil zu fällen.   Zugriff vs. Schutzanspruch Die spannende Frage für amerikanische Technologie-, Internet- und Cloud-Unternehmen ist, ob und in wieweit der CLOUD Act sie bei ihrem internationalen Geschäft beeinträchtigen kann. Transkontinentale Konflikte beim Datenschutz und der Konformität mit den Bestimmungen der europäischen Datenschutzgrundverordnung (DSGVO) scheinen kaum vermeidbar zu sein. Das gilt vor allem für den in der EU gültigen Anspruch auf Auskunft zum Umgang und zur Weiterverwendung personenbezogener Daten: Der CLOUD Act untersagt, Betroffene über Datenweitergaben zu informieren, die DSGVO hingegen beinhaltet die Auskunftspflicht. Nicht nur deshalb bezweifeln Juristen und Datenschützer auf beiden Seiten des Atlantiks, dass die aktuellen Rechtsgrundlagen für eine Umsetzung des US-Gesetzes auf europäischem Boden ausreichend sind. Laut DSGVO darf eine Offenlegung und Weitergabe von Nutzer- und Kundeninformationen an Behörden in »Drittländern« (also Staaten außerhalb der EU) nur dann erfolgen, wenn offizielle Rechtshilfeabkommen und verbindliche Übereinkunft mit dem jeweiligen Drittland bestehen. Als besonders kritisch in diesem Zusammenhang gilt daher die Abwesenheit gerichtlicher Kontrolle, die der CLOUD Act vorsieht. Demnach brauchen US-Behörden keine richterlichen Durchsuchungsbeschlüsse mehr und können ein langes Stück der aktuellen internationalen Rechtswege umgehen.   Compliance als Konfliktfeld Für amerikanische Technik- und Internetkonzerne sind die neuen Bestimmungen ein zweischneidiges Schwert: Wenn sie US-Behörden Daten aushändigen, die auf ihren Servern in Europa gespeichert sind, könnte dies im Geltungsbereich der DVGSO als massiver Rechtsverstoß (etwa gegen Art. 48) betrachtet werden. Dieser Aspekt schmälert die Freude, mit der Unternehmen wie Amazon, Apple, Facebook, Google und selbst Microsoft den CLOUD Act im Frühjahr noch als vernünftige und zeitgemäße Leitlinie für den internationalen Datenaustausch begrüßt hatten. Vom US-Gesetz quasi verlangte Verstöße gegen die DSVGO und deren Ahndung mit Bußgeldern, die bis zu vier Prozent des –weltweiten—Jahresumsatzes oder 20 Millionen Euro betragen können, sind jedoch nur eine Seite der Medaille. Die andere heißt Kundenvertrauen.   Digitalisierung braucht Vertrauen Für Unternehmen, die ihre Digitalisierung vorantreiben und sich bei der Nutzung von Public Clouds um die Vertraulichkeit sensibler Geschäftsinformationen ebenso sorgen wie um ihre Kundendaten und Gesetzeskonformität, gewinnt eine Frage an Bedeutung: Wo befindet sich der Firmensitz der Anbieter, dessen Lösungen und Cloud-Ressourcen wir nutzen? Der Grund: Anders als amerikanische Konzerne können regionale Anbieter nicht in die schwierige Lage kommen, Daten von europäischen Servern zwangsweise an US-Behörden weitergeben zu müssen. »Als deutsches Unternehmen unterliegen wir europäischem Recht und sorgen mit umfassenden Know-how für die Sicherheit der Anwendungen und Daten unserer Kunden«, berichtet Michael Padberg, Geschäftsführer der Professionals Telecom (www.PTC.de). Das Unternehmen aus Wörthsee bietet mittelständischen und Großunternehmen ganzheitliche Voice-, Video- und Web-Kommunikationsinfrastrukturen. Die Sicherheit der Daten ist bei den Gesprächen, die Michael Padberg mit seinen Kunden führt, ein wesentliches Thema. Er weist darauf hin, dass Unternehmen nicht notwendig darauf verzichten müssen, Technologie amerikanischer Anbieter zu nutzen: »Zu unseren Leistungen gehört selbstverständlich auch, dass wir die von Kunden genutzten Lösungen amerikanischer Hersteller quasi treuhänderisch betreuen und gegen unberechtigte Zugriffe schützen.« Allerdings bemerkt Padberg bei seinen Kunden auch einen klaren Trend hin zu Private-Cloud-Lösungen.   Fazit Noch ist nicht abzusehen, ob und wie schnell neue bi-laterale Abkommen zum Datenzugriff- und Datenaustausch ausreichende Rechtssicherheit zwischen der EU und den USA schaffen werden. Entscheider in Unternehmen könnten es daher sinnvoller finden, sich von den Business-Plattformen amerikanischer Firmen zurückzuziehen beziehungsweise sich stattdessen von vorn herein regionalen Anbietern zuzuwenden – also Unternehmen mit Hauptsitz innerhalb der EU, die alle ihnen anvertrauten Daten und Anwendungen nach hiesigen Bestimmungen verwalten, speichern und sichern.      

US-Cloud Act vs. EU-DSGVO – Steht unser Datenschutz auf dem Spiel?

28. Juni 2018

Illustration: Absmeier, ocv   Seit dem Inkrafttreten der DSGVO vor knapp vier Wochen könnte man meinen, wir befänden uns datenschutzrechtlich auf der Insel der Glückseligen. Nach jahrelangem Hin und Her hat die Europäische Union klar geregelt, ob, wann und wie personenbezogene Daten künftig erhoben, gespeichert und verarbeitet werden dürfen. Im Tagesgeschäft höchst bürokratisch, aber ein notwendiger Schritt in Richtung informationeller Selbstbestimmung. Dank Neuregelungen wie den Einwilligungsanforderungen, dem Auskunftsrecht oder dem sogenannten »Recht auf Vergessenwerden« wurden unsere Rechte als Betroffene erheblich gestärkt.   Gesetzlich gebilligter Zugriff auf personenbezogene Daten – Widerspruch zwecklos Wäre da nicht diese dunkle Wolke, die sich scheinbar unbemerkt von Medien und Politik über der friedlichen Szenerie breitmacht: Der CLOUD Act – kurz für »Clarifying Lawful Overseas Use of Data Act«. Ein US-Gesetz, erlassen am 23. März, das es US-Behörden erlaubt, auf personenbezogene Daten im Ausland zuzugreifen. Der Provider – laut US-Gesetz jede Institution, die Daten sammelt oder bereitstellt – darf ab dem Zeitpunkt der Anfrage keine Daten mehr löschen (auch nicht außerhalb der USA) und ist auch nicht verpflichtet, die betroffene Person beziehungsweise das Unternehmen über den Zugriff zu informieren. Handelt es sich um eine Person, die kein US-Bürger oder -Bewohner ist, oder um ein außerhalb der USA registriertes Unternehmen, kann der Provider Widerspruch gegen den Datenzugriff einlegen. Theoretisch – denn die US-Behörden können vor Gericht gegen den Widerspruch klagen. Ist der Datenzugriff »im Interesse der USA«, wird zugunsten der US-Behörden entschieden und die Daten müssen unmittelbar übergeben werden. Der Provider wird sich also tunlichst überlegen, ob er sich tatsächlich mit den US-Behörden anlegt, denn die Rolle des Gewinners scheint von Anfang an festzustehen … Doch es wird noch abstruser: Verabschiedet wurde der CLOUD Act als Anhängsel des 2.232-seitigen US-Haushaltsplans. Dieser führt eigentlich die veranschlagten Einnahmen und Ausgaben des Haushaltsjahres auf. Man könnte fast meinen, das Gesetz sollte unentdeckt durchgewunken werden. Wie es der Zufall will, setzt der CLOUD Act auch einem seit Jahren andauernden Streit zwischen Microsoft und den US-Behörden ein Ende. Microsoft weigerte sich, E-Mail-Daten herauszugeben, die sich auf Servern in Irland befanden. Dank des CLOUD Acts ist der Datenzugriff für die USA nun gesichert.   CLOUD Act hebelt Errungenschaften der DSVGO aus – wo bleibt der Aufschrei? Fragen Sie sich jetzt auch, wie sich der CLOUD Act mit unserer DSVGO vereinbaren lässt? Die Antwort: Überhaupt nicht. Es ist vielmehr so, dass der CLOUD Act die Errungenschaften der DSVGO völlig außer Kraft setzt. Unterhalten europäische Provider Niederlassungen in den USA, unterliegen sie automatisch dem CLOUD Act. Mit der Folge, dass US-Behörden Zugriff auf die europäischen Server fordern können. Die betroffenen Personen werden höchstwahrscheinlich niemals davon erfahren. Datenschutz sieht definitiv anders aus. Als Folge dessen hat der Innenausschuss des EU-Parlaments die EU-Kommission ultimativ aufgefordert, das Datenschutzabkommen »EU-US Privacy Shield« als Folge des CLOUD Act zum 1. September zu kippen, wenn sich die US-Seite nicht an die Vereinbarungen von 2016 hält. Selbstverständlich ist die Weitergabe personenbezogener Daten von EU-Bürgern an US-Behörden ohne Zustimmung eines EU-Gerichts ein Verstoß gegen die DSVGO. Und die betroffenen Personen haben auch das Recht, gegen die Verantwortlichen vorzugehen und Schadensersatz zu fordern, selbst für immaterielle Schäden. Doch wie sollen sie dieses Recht in Anspruch nehmen können, wenn die Provider laut CLOUD Act nicht über einen Zugriff informieren müssen? Es ist daher zwingend notwendig, dass die Kollision von CLOUD Act und DSVGO nicht länger totgeschwiegen wird und sich die Aufmerksamkeit von Politik und Medien auf dieses brisante Thema richtet. Solange die Rechtslage so unsicher ist, lässt sich das Problem nur lösen, indem Privatpersonen und Unternehmen keine Provider mit US-Niederlassung wählen oder diese verpflichten, sie zumindest über Anfragen im Rahmen des CLOUD Act zu informieren, damit sie von dem drohenden Unheil erfahren.  

Update 1 – Produktwarnung für Netgear Router – Sicherheitsupdates im ‘Beta’-Status

ZUSAMMENFASSUNG In verschiedenen WLAN-Routern der Firma Netgear existiert eine kritische Sicherheitslücke.

Aktualisierung vom 15.12.: Der Hersteller Netgear hat die Verwundbarkeit der WLAN-Router mit den Modellnummern R6250, R6400, R6700, R6900, R7000, R7100LG, R7300DST, R7900 und R8000 sowie der DSL-Router mit den Modellnummern D6220 und D6400 bestätigt und stellt erste Sicherheitsupdates im…

Apple Sicherheitsupdates für Mac OS X und macOS Sierra

Technische Warnung des Bürger-CERT

TECHNISCHE WARNUNG TW-T16/0119 Titel: Apple Sicherheitsupdates für Mac OS X und macOS Sierra Datum: 25.10.2016 Risiko: hoch

ZUSAMMENFASSUNG Apple schließt mit der neuen Version macOS Sierra 10.12.1 mehrere teilweise schwerwiegende Sicherheitslücken. Einige Sicherheitslücken betreffen die Betriebssysteme OS X Yosemite (Version 10.10.5) und OS X El Capitan (Version…

WICHTIG: neue Joomla-Version 3.6 – bitte Websites mit Joomla updaten

Die Entwickler von Joomla haben eine neue Version heraus gegeben, die die Sicherheit von Joomla verbessern soll!

Einige neue Features erleichtern des Weiteren die Arbeit mit Joomla!

Aufgrund von einer massiven Hacker-Attacke in den letzten Tagen, die gegen eine Kunden-Website gelaufen ist, dazu mehr in Kürze, empfehlen wir dringend, den Update Ihrer Joomla Websites durch zu führen oder…