Datenschutz - Sanktionen
Anhand den zahlreichen Medienberichten über Datenschutzpannen und den bisher verhängten Sanktionen gemäß EU-Datenschutz-Grundverordnung (DSGVO). Seit Inkrafttreten der DSGVO können bei Datenschutzpannen oder einem erfolgreichen Cyberangriff ein hoher Verwaltungsaufwand auf das betroffene Unternehmen zukommen: Von der Meldepflicht gegenüber den Datenschutzaufsichtsbehörden und der Anzeigepflicht gegenüber dem Betroffenen, sowie mögliche Sanktionen wie Bußgelder, strafrechtliche Sanktionen, Schadenersatzansprüche und gleichzeitig ein enormer Imageverlust.
Seit Einführung der anwendungspflichtigen DSGVO (25. Mai 2008), ist die Liste aller Bußgelder und Strafen, die an Firmen von Datenschutzbehörden innerhalb der EU im Rahmen der Allgemeinen Datenschutzverordnung der EU (GDPR, DSGVO) verhängt wurden, sukzessive gewachsen.
-ck-

Daten aus Gewinnspielen zweckentfremdet: Strafzahlung in Millionenhöhe
N-TV online - "Verstoß gegen Datenschutz AOK muss Millionen-Bußgeld zahlen"
https://www.n-tv.de/panorama/AOK-muss-Millionen-Bussgeld-zahlen-article21881292.html

Sanktion wegen undurchsichtiger Privatsphäre-Einstellungen und fehlender rechtlichen Grundlage für personalisierte Werbung
Heise online - "DSGVO-Verstöße: Conseil d'Etat bestätigt 50-Millionen-Strafe gegen Google"
https://www.heise.de/news/DSGVO-Verstoesse-Conseil-d-Etat-bestaetigt-50-Millionen-Strafe-gegen-Google-4790235.html

Übersicht zu verhängten Bußgeldern und Sanktionen nach der DSGVO
Enforcementtracker com - "GDPR Enforcement Tracker"
http://www.enforcementtracker.com/#

Entwickler erhielten unbefugten Einblicke in Facebook-Konten
t3n online - "Facebook teilte erneut Daten mit Drittanbietern, die sie eigentlich nicht bekommen sollten"
https://t3n.de/news/daten-teilte-erneut-facebook-1296646/



Cyberangriffe und die Gefahrenquelle Faktor Mensch
Datenschutzpannen, die durch die Medien gehen haben das Bewusstsein von datenschutzrechtlichen Anliegen sowie der Nachfrage nach fundierter Datenschutzschulungen im Unternehmen steigen lassen. Doch noch immer ist das schwächste Glied in der Kette meist der Mensch – Mitarbeiter und Unternehmer. Ein Personal - Computer kann noch so sicher sein, mit den neusten Updates für die Software ausgestattet, einen Firewall als auch ein Virenprogramm, welches dem neusten Stand entspricht, installiert haben. Es bleibt der Endbenutzer, welcher zum Beispiel eine Phishing-Mail übersieht und den Anhang leichtfertig öffnet.
Das Risiko für Behörden und Unternehmen anhand Cyber-Attacken aus dem Netz bedroht zu werden, steigt zunehmend. Alle müssen sich auf neue Gefahrenquellen von Internet- oder Cyberattacken vorbereiten, die Infrastruktur und Industrieanlagen besser abschirmen. Allein in den vergangenen zwei Jahr hatte jedes fünfte Unternehmen erfolgreiche IT-Sicherheitsvorfälle zu verzeichnen – Tendenz steigend. Diese Problemstellung kann nur dann bewältigt werden, wenn alle Mitarbeiter und die Geschäftsleitung sensibilisiert sind, wissen, welche Tricks heute angewandt werden und somit achtsam mitwirken.
Eine Serie von hilfreichen Beiträgen des Autors Jelle Wieringa (Security Awareness Advocate bei KnowBe4) wie sich Betrugsmachen erkennen lassen, Teil 1:"Wie der Mensch zur IT-Schwachstelle wird", werden zurzeit auf der Homepage von Security – Insider veröffentlicht.
-ck-

Schwachstelle Nummer eins: Der Mensch
Security Insider online - "Phishing-Angriffe – Teil 1 Wie der Mensch zur IT-Schwachstelle wird"
https://www.security-insider.de/wie-der-mensch-zur-it-schwachstelle-wird-a-942872/

Cyberkriminelle suchen das Vertrauen der Opfer
Security Insider online - "Phishing-Angriffe – Teil 2 Phishing setzt auf den Leichtsinn der Opfer"
https://www.security-insider.de/phishing-setzt-auf-den-leichtsinn-der-opfer-a-942904/

Internetbetrug: Beute in Höhe von ca. 390 Millionen ergaunert
Heise online - "Millionenfacher Online-Betrug: Nigerianischer Instagram-Influencer festgenommen"
https://www.heise.de/news/Millionenfacher-Online-Betrug-Nigerianischer-Instagram-Influencer-festgenommen-4805836.html

Ungesicherte Datenbanken aufgrund Fehlkonfiguration
Weltweit setzen Unternehmen für ihre Online-Shops die frei verfügbare Datenbank-Software MongoDB ein. Bereits im Jahr 2015 haben drei Studenten eine Sicherheitslücke entdeckt, die weltweit Millionen Kunden-Datensätze auf MongoDB-Servern nahezu ungeschützt zugänglich machten.
Dieses massive Datenleck war und entsteht immer noch durch falsch konfigurierte Online-Datenbanken. Wenn Anwender beim Setup von Software blind auf die Standardwerte beim Installationsprozess vertrauen, Berechtigungen zum Ändern und Aktualisieren nicht richtig konfigurieren, sind die Datenbanken online völlig ungeschützt und offen zugänglich.
Vorrang für die IT-Sicherheit sollte immer eine benutzerdefinierte Konfiguration sowie eine aktuelle MongoDB - Version sein, um diese Angriffsmethoden zu vermeiden.
-ck-

Nachlässigkeit der Admins: Alte Versionen sowie unsichere Konfigurationen
Heise online - "Schlecht gesicherte MongoDB-Datenbanken erneut im Visier von Ransomware"
https://www.heise.de/news/Schlecht-gesicherte-MongoDB-Datenbanken-erneut-im-Visier-von-Ransomware-4801867.html

Erpressung: Anzeige bei Datenschutzbehörden
ZDNet online - "Hacker erpresst Betreiber von fast 23.000 MongoDB-Datenbanken"
https://www.zdnet.de/88381182/hacker-erpresst-betreiber-von-fast-23-000-mongodb-datenbanken/

Falsch konfigurierte Dienste: Personenbezogene Daten von Milliarden Usern aus aller Welt frei im Netz
eRecht 24 online - "Datenpanne bei Oracle: Milliarden Daten ungeschützt im Web"
https://www.e-recht24.de/news/datenschutz/12185-oracle-datenpanne.html

Offene Git - Repositorys ungeschützt per Webbrowser zugänglich
Handelsblatt online - "Tausende Server in Deutschland haben Sicherheitslücken"
https://www.handelsblatt.com/technik/it-internet/medienberichte-tausende-server-in-deutschland-haben-sicherheitsluecken/25967832.html?ticket=ST-9369337-yaEvOhslsjPuEJoSSbbc-ap5

Tausende fehlerhaft eingerichtete Internetserver lassen unbefugten Datenzugriff zu
Spiegel online - "Konfigurationsfehler Zehntausende Server deutscher Firmen von Sicherheitsproblem betroffen"
https://www.spiegel.de/netzwelt/web/konfigurationsfehler-zehntausende-server-deutscher-firmen-von-sicherheitsproblem-betroffen-a-d8a97d56-d1b4-4f5d-b401-9892ed2212b8

Emotet-Infektion nach neun Monaten immer noch nicht überwunden
Heise Security online - "Emotet: Arbeit am Berliner Kammergericht nach Monaten weiter eingeschränkt"
https://www.heise.de/news/Emotet-Arbeit-am-Berliner-Kammergericht-nach-Monaten-weiter-eingeschraenkt-4801139.html


Nachrichtenticker
Weitere Nachrichten im Kurzüberblick


1. Sicherheitslücken: Dringendes Update über den Microsoft Store
T-Online online - "Schwachstelle erlaubt Fernzugriff: Microsoft veröffentlicht Notfall-Update für Windows 10"
https://www.t-online.de/digital/software/id_88162288/windows-10-wichtiges-notfall-update-sicherheitsluecke-erlaubt-fernzugriff.html

2. Auswertung zur IT-Sicherheit: WatchGuard Internet Security Report
Watchguard com - "Von wegen sicher: HTTPS-Kommunikation gehört auf den Prüfstand"
https://www.watchguard.com/de/wgrd-about/press-releases/von-wegen-sicher-https-kommunikation-gehoert-auf-den-pruefstand

3. Ärgerlicher Datenschwund der Gmail-Nutzer
Bild online - "Ärger mit Microsoft-Programmen: Mail und Outlook löschen selbständig Nachrichten von Gmail-Nutzern"
https://www.bild.de/digital/computer/computer/mail-und-outlook-problem-microsoft-loescht-einfach-gmail-nachrichten-71614346.bild.html

4. Landeskriminalamt Niedersachsen warnt vor Betrugsversuchen
PC Welt online - "Polizei warnt: So läuft ein aktueller Paypal-Betrug"
https://www.pcwelt.de/news/Polizei-warnt-So-laeuft-ein-aktueller-Paypal-Betrug-10838183.html

Tätigkeitsberichte der Aufsichtsbehörden
Nach und nach wurden und werden die Tätigkeitsberichte der Bundes- und der Landesdatenschutzbeauftragten sowie der Aufsichtsbehörden für den Datenschutz für das Jahr 2019 veröffentlicht.
In dieser Woche veröffentlichte Heinz Müller, der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg – Vorpommern, seinen 15. Tätigkeitsbericht und den 7. Bericht über die Umsetzung des Informationsfreiheitsgesetz für das Jahr 2018/2019.
Seit März 2019 hält die Bundesstiftung -Stiftung Datenschutz – alle Tätigkeitsberichte der Datenschutzbehörden auf der Informationsplattform ZAfTDa (Zentralarchiv für Tätigkeitsberichte des Bundes- und der Landesdatenschutzbeauftragten) im pdf-Format zum Download bereit.
-ck-

Aufstellung der Tätigkeitsbericht des LDI Mecklenburg-Vorpommern
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern online - "Tätigkeitsberichte"
https://www.datenschutz-mv.de/datenschutz/publikationen/taetigkeitsberichte/

Zentralarchiv der Tätigkeitsberichte
Zafda online - "Termine: TB in 2020"
https://www.zaftda.de/46-allgemein/meldungen/223-termine-tb-in-2020

Praxisnahe Umsetzung des Datenschutzrechts
Stiftung Datenschutz org. - "Eine Plattform für die Datendebatte"
https://stiftungdatenschutz.org/startseite/


Steigende Cyberkriminalität
Netzwerke von Firmen und Behörden trifft es genauso wie Privatpersonen: Computerkriminalität und Spionage per Internet. Ein Grund für die rasante Verbreitung ist immer noch die Sorglosigkeit vieler Anwender. Viele User benutzen zu einfache Kennwörter, installieren einen wichtigen Patch nicht oder öffnen unbedarft Anhänge von Spam-Mails. Die Folgen sind nicht unerheblich. Abhilfe schafft eine Sensibilisierung des Personals durch den Datenschutzbeauftragten und sorgt für den Schutz personenbezogener und unternehmenssensibler Daten.
-ck-

Cyberkriminelle nutzen Fehlkonfigurationen und Sicherheitslücken aus
Windows Area online - "Neue Ransomware im Umlauf: Microsoft warnt vor Pony Final"
https://windowsarea.de/2020/06/neue-ransomware-im-umlauf-microsoft-warnt-vor-ponyfinal/

Double Verschlüsselung: Opfer werden doppelt zu Kasse gebeten
Heise online - "Fieser Fake: Ransomware-Entschlüsselungstool verschlüsselt Daten zweimal"
https://www.heise.de/news/Fieser-Fake-Ransomware-Entschluesselungstool-verschluesselt-Daten-nochmal-4776899.html

Sicherheitslücke: Unbefugte können sensible Daten der Nutzer missbrauchen
Techbook online – "Datenleck bestätigt: Tausende WhatsApp-Accounts waren über die Google-Suche auffindbar!"
https://www.techbook.de/apps/messenger/whatsapp-nummern-geleakt

Eingriffe in die informationelle Selbstbestimmung
Mit Inkrafttreten der DSGVO), womit Datenpannen eine Meldepflicht unterliegen, werden die Datenskandale leider nicht weniger. Größtenteils werden immer noch diese "Schwachen Stellen" nicht von den verursachenden Organisationen – sprich Unternehmen – aufgedeckt, sondern von den Betroffenen. Bei den für die Pannen verantwortlichen Unternehmen scheint es auch nach der Einführung der DSGVO mit deutlich gestiegenen möglichen Strafen und Geldbußen bei Verstößen, an Erkenntnis zu mangeln. Trotz geänderter Gesetzeslage ist ein transparenter Umgang mit Datenmissbrauch nicht zu registrieren. Vorfälle werden so lange wie möglich verschwiegen und als harmlos dargestellt.
Die Sicherheit sensibler Daten hängt ganz wesentlich davon ab, dass nicht nur mit technischen Mitteln hochsensible Informationen gesichert werden, sondern auch die qualifizierte und praxisorientierte Datenschutzschulung - Sensibilisierung aller Mitarbeiter und der Geschäftsleitung in Unternehmen - jeglicher Größe - durchgeführt wird.
-ck-

Leitende Mitarbeiterin informierte erst Wochen später über die Panne
Spiegel online – "Angeblich den Falschen abgehört: Schwere Panne – Niedersächsischer Verfassungsschutz überprüft sämtliche Abläufe"
https://www.spiegel.de/panorama/justiz/niedersachsen-verfassungsschutz-prueft-nach-schwerer-panne-alle-ablaeufe-a-9d363d93-0c2e-4158-afa4-9d6d447edaf9

Technische Probleme ermöglichen Daten-Manipulation
taz online - "Debatte um Pflegekammer: Datenpanne stoppt Umfrage"
https://taz.de/Debatte-um-Pflegekammer/!5688157/

Vereinfachte Möglichkeit zur Meldung einer Datenpanne
Berliner Beauftragte für Datenschutz und Informationsfreiheit online - "Daten verarbeitende Stellen: Meldung einer Datenpanne"
https://www.datenschutz-berlin.de/wirtschaft-und-verwaltung/meldung-einer-datenpanne/

Mehrere User konnten fremde personenbezogene Daten herunterladen
Sim Flight online - "Datenpanne: ProjectFly verschickt falsche User-Daten"
https://www.simflight.de/datenpanne-projectfly-verschickt-falsche-user-daten/


Nachrichtenticker
Weitere Nachrichten im Kurzüberblick


1. Windows Update: Fehlerhafte Registry-Einträge verhindern Start von legitimen Anwendungen
Heise online - "AV-Software von Avast blockierte Start von Office & Co. unter Windows 10"
https://www.heise.de/news/AV-Software-von-Avast-blockierte-Start-von-Office-Co-unter-Windows-10-4783745.html

2. Sicherheitslücken im Router: Vorhandenen Router besser durch einen aktuellen ersetzen
Heise Security online - "Alert! D-Link patcht älteren WLAN-Router DIR-865L – aber nur ein bisschen"
https://www.heise.de/security/meldung/D-Link-patcht-aelteren-WLAN-Router-DIR-865L-aber-nur-ein-bisschen-4783566.html

− − − − − −
Liebe Leser unserer Datenschutznachrichten
Unser Redaktionsteam nimmt eine kurze Auszeit.
In der 27. Kalenderwoche gibt es unsere News in gewohnter Regelmäßigkeit und Qualität.
Wir bedanken uns für Ihr Verständnis und freuen uns darauf, Sie wieder bei uns begrüßen zu dürfen.
-ck
− − − − − −

Liebe Leser unserer Datenschutznachrichten
In dieser Woche fanden keine relevanten Datenschutz-Themen für eine umfangreiche Berichterstattung zu IT-Security und Datenschutz im Unternehmen statt. Aus diesen Gründen können wir Ihnen eine Berichterstattung durch unser Redaktionsteam in dieser Woche nicht anbieten.
Wir bedanken uns für Ihre Leser-Treue und freuen uns darauf, Sie nächste Woche wieder bei uns begrüßen zu dürfen.
-ck-


Nachrichtenticker
Weitere Nachrichten im Kurzüberblick


1. Backup-Daten mit zusätzlichen technischen Barrieren schützen
Security Insider online - "Backup-Daten schützen Zwei Gefährten: Ransomware-Schutz und WORM-Technologie"
https://www.security-insider.de/zwei-gefaehrten-ransomware-schutz-und-worm-technologie-a-938526/?cmp=nl-36&uuid=626F6839-2EFD-465E-AA0782FF3179597F

2. Schwerwiegende Sicherheitslücke: UPnP-Ports zum Internet deaktivieren
Tweak PC online – "Call Stranger: Neue Schwachstelle in Milliarden von UPnP-Geräten"
https://www.tweakpc.de/news/46236/callstranger-neue-schwachstelle-in-milliarden-von-upnp-geraeten/

3. Schwachstelle in Mailclient Thunderbird: Neuste Version zeitnah installieren
Chip online - "BSI warnt vor Lücke in Thunderbird: Diesen Patch sollten Mozilla-Nutzer sofort installieren"
https://www.chip.de/news/Dieses-Thunderbird-Update-ist-ein-Muss-BSI-warnt-Nutzer-des-beliebten-Mail-Clients_120956789.html

LfDI meldet Zunahme der gemeldeten Datenpannen anhand Schadsoftware
In den vergangenen Wochen hat der Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI) in Rheinland-Pfalz, Prof. Dr. Dieter Kugelmann, einen Anstieg von Datenpannen, aufgrund einer neuen Schadsoftware, registrieren müssen. Unternehmen und zahlreiche Organisationen wurden anhand sogenannter Phishing-Mails mit einer Schadsoftware, ähnlich Emotet, infiziert.
Das Abfischen vertraulicher Daten sowie der Befall durch Computer-Viren und – Trojaner wird von vielen Unternehmen und Behörden unterschätzt. E-Mails mit schädlichen Anhängen stellen immer mehr ein großes Problem dar, gerade wenn der Empfänger fingierte Mails von Absendern erhält, mit denen er unlängst Informationen ausgetauscht hatte.
Seit Inkrafttreten der Datenschutzgrundverordnung kann bei einem erfolgreichen Cyberangriff ein hoher Verwaltungsaufwand auf das betroffene Unternehmen zukommen: Von der Meldepflicht gegenüber den Datenschutzaufsichtsbehörden und der Anzeigepflicht gegenüber dem Betroffenen, sowie mögliche Sanktionen wie Bußgelder, strafrechtliche Sanktionen, Schadenersatzansprüche und gleichzeitig ein enormer Imageverlust.
Eine Handreichung mit unterstützenden Best-Practice-Maßnahmen bezüglich Cyberattacken in medizinischen Einrichtungen, stellte der Bayerische Landesbeauftragte für den Datenschutz und das Bayerische Landesamt für Datenschutzaufsicht vor kurzem auf seiner Homepage bereit.
-ck-

Personenbezogene Daten von unbefugten Dritten gezogen
LfDI Rheinland -Pfalz online - "Neue Welle von Schadsoftware - Anstieg von Datenpannen in diesen Tagen aufgrund von Phishing Mails"
https://www.datenschutz.rlp.de/de/aktuelles/detail/news/detail/News/neue-welle-von-schadsoftware-anstieg-von-datenpannen-in-diesen-tagen-aufgrund-von-phishing-mails/

Organisationen und Betriebe mit Schadsoftware infiziert
Welt online - "Neue Schadsoftware führt zu Datenpannen in Rheinland-Pfalz"
https://www.welt.de/regionales/rheinland-pfalz-saarland/article208870923/Neue-Schadsoftware-fuehrt-zu-Datenpannen-in-Rheinland-Pfalz.html

Sicherheitsvorkehrungen zur Vorbeugung eines Angriffs
BayLDA online - "Informationen zum datenschutzrechtlichen Umgang mit Schadcode-Vorkommen bei Verantwortlichen"
https://www.lda.bayern.de/de/thema_schadcode.html

Cybersicherheit in medizinischen Einrichtungen: Checkliste mit Best-Practice-Maßnahmen
LDA Bayern online - "Cybersicherheit für medizinische Einrichtungen Best-Practice-Prüfkriterien Art. 32 DS-GVO (pdf)
https://www.lda.bayern.de/media/best_practice_cybersicherheit_medizin_baylda.pdf


Langfristige Aufbewahrung von Patientenakten
Mit zu den sensibelsten Daten gehören die Patientendaten – Daten, die jeder Bundesbürger besitzt. Leichtfertiger Umgang mit diesen sensiblen Informationen wirken umso dramatischer, wenn diese vertraulichen Daten in den Händen von Unbefugten gelangen. Zurzeit berichteten die Medien über einen gewaltigen Aktenfund in einem ehemaligen Klinik-Komplex in Büren bei Paderborn.
In den scheinbar offen zugänglichen Räumen einer leerstehenden Klinik haben mehrere Youtuber scheinbar tausende, ungesichert gelagerte Patientenakten sowie Röntgenbilder entdeckt. Sie haben ihren Fund gefilmt und das Video veröffentlicht. Die Stadt Büren will gegen die Youtuber vorgehen und hat Strafanzeige von Amts wegen gestellt.
Mittlerweile hat sich der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit eingeschaltet. Denn Unternehmen, die mit sensiblen Gesundheitsdaten umgehen, müssen organisatorische Maßnahmen treffen, um den Schutz der Daten mit Personen- und Gesundheitsbezug zu gewährleisten.
-ck-

Patientenakten und Röntgendaten in stillgelegtem Klinikum gefunden
Westfalen – Blatt online - "Polizei ermittelt wegen Hausfriedensbruch – Bürgermeister lässt Gebäude absperren: Youtuber findet alte Patientenakten in ehemaliger Klinik"
https://www.westfalen-blatt.de/OWL/Kreis-Paderborn/Bueren/4209321-Polizei-ermittelt-wegen-Hausfriedensbruch-Buergermeister-laesst-Gebaeude-absperren-Youtuber-findet-alte-Patientenakten-in-ehemaliger-Klinik

Hochsensible Krankenakten nicht datenschutzkonform aufbewahrt
Heise online - "YouTuber zeigt Akten in altem Krankenhaus – Polizei ermittelt"
https://www.heise.de/news/YouTuber-zeigt-Akten-in-altem-Krankenhaus-Polizei-ermittelt-4770579.html

Ungesicherte Patientenakten: Verantwortlichkeits-Prüfung
Westfalen - Blatt online - "Bürener Klinikakten: Datenschutzbeauftragter schaltet sich ein"
https://www.westfalen-blatt.de/OWL/Kreis-Paderborn/Bueren/4211001-Wurden-Privatgeheimnisse-verletzt-Insolvenzverwalter-sieht-Verantwortung-fuer-Akten-bei-Klinikbetreiber-Buerener-Klinikakten-Datenschutzbeauftragter-schaltet-sich-ein


Nachrichtenticker
Weitere Nachrichten im Kurzüberblick


1. Inkognito-Modus: Webseiten können trotzdem Daten erfassen
Süddeutsche Zeitung online - "Google Chrome: Der Inkognito-Modus ist alles andere als privat"
https://www.sueddeutsche.de/digital/google-inkognito-datenschutz-chrome-1.4926257

2. Wallpaper-Lock macht Smartphones unbrauchbar
Heise online - "Wallpaper bringt Android-Smartphones zum Absturz"
https://www.heise.de/news/Wallpaper-bringt-Android-Smartphones-zum-Absturz-4770743.html

3. Jailbreak Lücke geschlossen
Chip online - "Apple schließt Sicherheitslücke: Warum sich nicht jeder über iOS 13.5.1 freut"
https://www.chip.de/news/Apple-schliesst-Sicherheitsluecke-Warum-sich-nicht-jeder-ueber-iOS-13.5.1-freut_182657886.html

4. Anonymität per Tor
Browser Chip online - "Komplett anonym surfen: Privatsphäre-Browser mit großem Versionssprung"
https://www.chip.de/news/Anonym-surfen-Tor-Browser-9.5-ab-sofort-verfuegbar_162838582.html