Datenschutz

BDSG, EU DSGVO

ChatGPT und Cybersicherheit

Wo Licht ist, da ist auch Schatten 

Die Bekanntheit von ChatGPT und anderen generativen KI-Modellen hat in den letzten Jahren stark zugenommen. Mit mehr als 100 Millionen monatlichen Nutzern hält ChatGPT offiziell den Rekord für die am schnellsten wachsende Webplattform der Geschichte und übertrifft damit Giganten wie Instagram und TikTok. ChatGPT erstellt mithilfe von Künstlicher Intelligenz (KI) Texte. Nutzer können hierbei Befehle vorgeben, welche durch das System eigenständig ergänzt werden können. Menschen auf der ganzen Welt nutzen die KI, um Gedichte zu schreiben, Codes zu optimieren, Bücher zu verfassen oder Prüfungen zu bestehen. Und auch im Arbeitsumfeld nutzen Unternehmen und Mitarbeitende das Programm zur Generierung neuer Inhalte. 

Von der Kür zur Pflicht: B3S für Krankenhäuser

von Dr. Klaus-Dieter Krause

Das Thema Sicherheit beim Einsatz von digitalen Prozessen spielt in Krankenhäusern nicht erst seit dem Frühjahr 2016 eine wichtige Rolle, als die durch die Ransomware „Locky“ bekannt gewordenen Zwischenfälle unzählige Prozesse in den betroffenen Häusern nachhaltig negativ beeinflussten. Der Kostendruck sowie die u.a. damit verbundene Digitalisierung vieler Prozesse in den Krankenhäusern hat dazu geführt, dass die diesbezügliche Sicherheitsfragestellung massiv an Bedeutung gewonnen hat. Alle Krankenhäuser sind nun seit dem 1. Januar 2022 gesetzlich (vgl. SGB V) dazu verpflichtet (vgl. § 75 c Abs. 2 SGB V), den mittels der Pressemitteilung am 23.10.2019 durch das BSI freigegebene branchenspezifischen Sicherheitsstandard anzuwenden.

ISO27001: Nach dem Audit ist vor dem Audit

Das Zertifizierungsaudit ist überstanden, vor einer Weile sind Report und Urkunde angekommen, die bestätigen, dass man ein funktionierendes Informationssicherheitsmanagement System besitzt (kurz „ISMS“). Nun lehnen sich viele zurück „endlich geschafft, nun können wir wieder arbeiten.“ Dieser vermeintlich harmlose Satz birgt allerdings jede Menge Sprengstoff in sich.

Branchenspezifische Sicherheitsstandards (B3S) für KRITIS-Sektoren veröffentlicht

Krankenhaus MonitorDer zuletzt durch das BSI freigegebene branchenspezifische Sicherheitsstandard betrifft den Sektor medizinische Versorgung (im Krankenhaus). Gemäß der Pressemitteilung vom 23.10.2019 des BSI hat dieses den Cyber-Sicherheitsstandard für Krankenhäuser von der Deutschen Krankenhausgesellschaft (DKG) anerkannt.

Laut der Ausführungen des BSI waren medizinische Einrichtungen und Krankenhäuser 2019 wiederholt durch IT-Sicherheitsvorfälle sowohl in den Fokus der Behörden als auch in die Presse geraten. Entsprechende Angreifer hatten hierbei weniger die Zerstörung oder Veränderung von Daten im Blick als vielmehr deren Verfügbarkeit und Aktualität. Nicht verfügbare Daten (Stichwort RANSOMWARE, vgl. z.B. diesen Artikel des Handelsblattes) können mitunter für die Unternehmen sehr kostspielig werden.  

Website-Compliance

Die DSGVO ist seit fast zwei Jahren in Kraft. Auch wenn sie nach zwei Jahren Übergangszeit damals für viele Unternehmen überraschend kam, haben die meisten in einer Nacht- und Nebelaktion schnell ihre Webseite an DSGVO angepasst. Schließlich ist die Webseite ja nach außen sichtbar und da will niemand schlecht aussehen.

Also: Schnell eine Datenschutzerklärung erstellt (oder auch zusammenkopiert….) und live gestellt, Cookie-Banner dazu und bei Google Analytics die Anonymisierung eingeschaltet. Und dann?

War es das?

Kann sein. Kommt aber drauf an! Insbesondere die aktuelle Rechtsprechung und gestiegene Erfahrungen geben Anlaß, noch ein Mal über die compliance der eigenen Webseite nachzudenken und insbesondere auch technisch sicherzustellen, dass sie den Anforderungen und Vorschriften genügt. Es hat sich einiges getan. Grund genug, das Thema noch ein Mal aufzugreifen.

Compliance Management - Eine Standortbestimmung

Pragmatisch betrachtet sollten umgesetzte Compliance Management Systembestandteile in ihren Ausführungen sowie ihrer Umsetzung in regelmäßigen Zeitabständen, schlechtesten Falls mindestens einmal im Geschäftsjahr, hinterfragt werden.

Als Basisverständnismodel hierfür eignet sich das so genannte „Three Line of Defense-Model“ (TLoD) welches aus dem Risikomanagement hervorgegangen ist und mittlerweile als gängige Methode angesehen wird. Das Modell dient im Wesentlichen dazu Risiken, die in einer Organisation oder einem Unternehmen auftreten können systematisch aufzuarbeiten. Das TLoD-Modell hat gegenüber anderen Modellen den wesentlichen Vorteil, dass es in Bezug auf Unternehmensgröße oder -struktur nicht gebunden ist oder an Komplexitäts- und damit durchgängige Umsetzungsgrenzen stößt.

Cookies, Datenschutz & Co.

cookiesBis zum EuGH sind sie gekommen: Cookies und deren datenschutzrechtlichen Implikationen wurden hier behandelt. In kurzen Worten: Der Nutzer muss über die Nutzung von Cookies informiert werden und soweit diese nicht technisch notwendig sind, zu deren Nutzung auf einer Webseite auch aktiv einwilligen.

Dazu wird viel geschrieben, aber die technischen Grundlagen kommen oft zu kurz. Was das heißt, und wie das alles funktioniert, wird daher nachfolgend einmal dargestellt.

Die „Datenpanne“ und was ist zu tun…?

Nach Informationen der Landesdatenschutzbehörden nahm die Zahl der gemeldeten Datenschutzverstöße in der Zeit ab 25.05.2018 enorm zu – aber nur ein Teil dieser gemeldeten Verstöße sind auch tatsächlich Datenschutzverstöße im Sinne der DSGVO.
Nach Auskunft der Landesbeauftragten für den Datenschutz Niedersachsen wurden 2017 insgesamt 20 Datenschutzverstöße gemeldet. In der Zeit vom 25.05.2018 bis 07.08.2018 stieg diese Zahl gewaltig an. Es gingen in diesem kurzen Zeitraum bereits 126 Meldungen bei der Datenschutzbehörde ein.
Dieser Artikel beschäftigt sich vor diesem Hintergrund mit der Frage, was eigentlich Datenpannen sind und wie ein Unternehmen darauf reagieren sollte.

Seiten