Jeder im Berufsleben kennt ihn, den „gelben Schein“. Nun ist die Arbeitsunfähigkeitsbescheinigung auf Papier Geschichte. Sie wurde digitalisiert und ist seit Anfang dieses Jahres Pflicht. Offiziell trägt sie den Namen „elektronische Arbeitsunfähigkeitsbescheinigung (eAU)“. Sie wird von der Arztpraxis direkt an die Krankenkasse übermittelt.
Hinweis: Das eAU-Verfahren gilt nur für gesetzlich Versicherte, nicht für Privatversicherte.
Wie läuft das jetzt? Und was hat sich mit der Einführung geändert? Was müssen Arbeitgeber und Arbeitnehmer beachten? Welche Aspekte müssen Sie als Arbeitgeber in Bezug auf den Datenschutz berücksichtigen? Diese und andere Punkte klären wir in diesem Blogartikel.
Inhaltsverzeichnis
Auf den Punkt gebracht: eAU – Was bleibt gleich, was ist neu?
Gleich bleibt: Für Beschäftigte besteht weiterhin die Pflicht, sich beim Arbeitgeber krankzumelden (Informationspflicht)
Neu ist: In den meisten Fällen entfällt die Nachweispflicht des Arbeitnehmers
Neu ist: Es gibt einen Unterschied zwischen abrufbaren und nicht abrufbaren Daten
Gleich bleibt: Datenschutz und die Informationssicherheit für personenbezogene Daten
Wie lief die Krankmeldung bisher?
Gemäß § 5 Entgeltfortzahlungsgesetz hatte der Arbeitnehmer bisher zwei Pflichten: Zum einen musste er den Arbeitgeber unverzüglich über die Arbeitsunfähigkeit und die voraussichtliche Dauer informieren (Informationspflicht). Zum anderen musste er eine ärztliche Bescheinigung über die Arbeitsunfähigkeit vorlegen (Nachweispflicht). Dies hat sich zum Jahreswechsel geändert.
Wie läuft die Krankmeldung jetzt?
Seit dem 01.01.2023 gilt für den Arbeitnehmer auch weiterhin die Informationspflicht. Er muss sich bei seinem Arbeitgeber krankmelden. Allerdings muss er keinen Nachweis (gelber Zettel) mehr darüber erbringen.
Aber Achtung! Das heißt nicht, dass der Arbeitnehmer nicht mehr zum Arzt gehen muss und entsprechend keine Krankmeldung mehr benötigt. Lediglich die Übermittlung dieser Krankschreibung durch den Arzt hat sich geändert.
Nun ist die Krankenkasse dafür zuständig, den Nachweis der Krankmeldung zur Verfügung zu stellen. Sie sendet diesen allerdings nicht automatisch an den Arbeitgeber, sondern erst auf Abruf. Der Arbeitgeber steht mit der Einführung der eAU in der Pflicht, sich die für ihn relevanten Daten selbst zu beschaffen.
Was muss ich als Arbeitgeber in Bezug auf Datenschutz und Informationssicherheit beachten?
Als Arbeitgeber müssen Sie sich nun selbst um die Arbeitsunfähigkeitsbescheinigung Ihrer Arbeitnehmer kümmern. Dabei stellt sich die Frage: Welche Daten können Sie bei den Krankenkassen abrufen? Und gibt es auch Daten, die nicht abgerufen werden können?
Grundsätzlich können Sie nur Daten einzelner Beschäftigter abrufen. Ein pauschaler Abruf zur gesamten Belegschaft ist nicht möglich – und auch nicht erlaubt. Das heißt in der Praxis: Sie haben 15 Mitarbeiter bei acht verschiedenen Krankenkassen, die krankgemeldet sind. Nun müssen Sie für jeden dieser Mitarbeiter über die zuständige Krankenkasse pro Person den Abruf tätigen.
Folgende Daten können von den Krankenkassen abgerufen werden:
Name des Beschäftigten
Beginn und Ende der Arbeitsunfähigkeit
Datum der ärztlichen Feststellung der Arbeitsunfähigkeit
Kennzeichnung als Erst- oder Folgemeldung
Angabe, ob Anhaltspunkte dafür vorliegen, dass die Arbeitsunfähigkeit auf einem Arbeitsunfall oder sonstigem Unfall oder den Folgen daraus beruht
Ebenso können nur Daten der eigenen Beschäftigten abgerufen werden – und diese auch nur für gültige Beschäftigungszeiträume. Die Krankenkassen prüfen vor Weitergabe der Daten, ob der Versicherte zum Zeitpunkt der Arbeitsunfähigkeit auch beim abrufenden Arbeitgeber beschäftigt ist bzw. war.
Diese Informationen können nicht abgerufen werden:
Angaben über den Facharzt (was aus datenschutzrechtlicher Sicht zu begrüßen ist). Auf der alten AU („gelber Zettel“) konnten durch den Arztstempel evtl. Rückschlüsse auf mögliche Erkrankungen gezogen werden.
Informationen über einer Erkrankung von Kindern, Wiedereingliederungen oder Beschäftigungsverbote in der Schwangerschaft.
Wie werden die Daten übermittelt?
Zwischen Ärzten und Krankenkassen und zwischen Krankenkassen und Arbeitgebern werden die Daten elektronisch übermittelt (mit einer Ende zu Ende-Verschlüsselung). Die Datenübertragung und die Verschlüsselung sind in der KIM geregelt.
Was ändert sich bei den Aufbewahrungspflichten bzw. Löschpflichten?
Hier hat sich nichts geändert. Für AU-Bescheinigungen gab und gibt es auch weiterhin keine festen Aufbewahrungsfristen. Allerdings empfiehlt es sich, eine AU-Bescheinigung so lange aufzubewahren wie sie mit der Entgeltzahlung in Verbindung steht.
Danach sind AU-Bescheinigungen zu vernichten bzw. zu löschen.
Werden von den Krankenkassen Meldungen mit unzutreffenden Angaben übermittelt, müssen die Daten unverzüglich gelöscht werden.
Und was ist mit den technischen und organisatorischen Schutzmaßnahmen (TOMs)?
Auch hier gibt es keine Veränderung. Sie als Arbeitgeber haben auch weiterhin dafür Sorge zu tragen, dass Sie die Betroffenenrechte Ihrer Beschäftigten (gem. Art. 4 DSGVO) und den Schutz ihrer personenbezogenen Daten gewährleisten (gem. Art. 5 DSGVO).
Die Beschäftigtendaten – und hierzu zählen natürlich auch die AU-Bescheinigungen – sind durch geeignete technische und organisatorische Schutzmaßnahmen (TOMs) vor dem Zugriff von Unbefugten zu schützen (gem. Artikel 24, Artikel 25 und Artikel 32 DSGVO).
Das bedeutet: Die Daten dürfen nur von Berechtigten abgerufen werden wie zum Beispiel der internen Personalabteilung im Rahmen der Lohnabrechnung – oder einem externen Dienstleister wie einer Steuerkanzlei im Rahmen der Lohnabrechnung.
Pin it!
Muss ich als Arbeitgeber meine Beschäftigten über das neue Verfahren informieren?
Es besteht keine rechtliche Verpflichtung, dass Sie Ihre bestehende Belegschaft informieren. Allerdings bietet es sich an, das Thema anzusprechen, um Missverständnisse zu vermeiden. Als Arbeitgeber haben Sie dennoch die Pflicht, die neuen Mitarbeiter nach Art. 13 und Art. 14 DSGVO über die Datenverarbeitung zu informieren. „Neu“ bei eAU ist, dass Sie die Daten nicht mehr direkt vom Arbeitnehmer erheben. Als „Quelle“ der Daten ist hier nun die Krankenkasse zu nennen.
Sensibilisieren Sie Ihre Mitarbeiter, dass auch weiterhin die Pflicht besteht, den Arbeitgeber aktiv bei einer Arbeitsunfähigkeit zu informieren. Dies ist nicht nur bei der Erstbescheinigung erforderlich, sondern auch bei Folgebescheinigungen.
Denn erst wenn Ihnen ein Mitarbeiter die Arbeitsunfähigkeit anzeigt hat, dürfen Sie als Arbeitgeber die eAU bei den Krankenkassen abfragen.
Informieren Sie Ihr Team, wer seit Jahresbeginn von der Nachweispflicht ausgenommen ist (z.B. gesetzliche Versicherte), wer weiterhin die Arbeitsunfähigkeitsbescheinigung in Papierform vorlegen muss (z.B. privat Versicherte) und ob vorhandene Betriebsvereinbarungen zu Krankmeldungen weiterhin gelten (z.B. die interne Regelung, dass ein Arbeitnehmer drei Tage ohne Krankschreibung von der Arbeit fernbleiben darf).
Wie fahren Sie mit der neuen eAU?
Was ist Ihre bisherige Erfahrung mit der neuen Regelung? Wissen Ihre Mitarbeiter Bescheid? Läuft alles nach Plan oder gibt es Stolpersteine? Was ist Ihre Meinung zu diesem Thema? Berichten Sie uns gerne davon in den Kommentaren.
Diese 5 Trends sollten Sie 2023 im Blick haben. Die Lage spitzt sich zu, wie auch das Bundesamt für Sicherheit in der Informationstechnik in seinem Lagebericht 2022 schreibt.
Durch unsere Vielzahl an Kundenprojekten und aus Gesprächen mit Unternehmern haben wir einen guten Überblick, wo der Schuh drückt in Sachen Informationssicherheit. Zudem sind wir natürlich auch auf dem Laufenden, was den aktuellen Stand der Technik betrifft.
Verschiedene Institute haben unterschiedliche Rankings für die Cybersecurity und Datenschutz Trends 2023 herausgegeben. Dort sieht man, dass es auch davon abhängt, welche Region oder Länder man betrachtet.
Aus diesen Informationen haben wir die wichtigsten Punkte im Bereich der Informationssicherheit für Sie zusammengefasst:
Inhaltsverzeichnis
Die Cybersecurity und Datenschutz Trends 2023 der Datenbeschützerin
Passwortlose Authentifizierung
Die Risiken aus Phishing und anderen Angriffen auf die Authentifizierungsdaten steigen jährlich. Zum einen sind die Passwörter zu trivial, zum anderen werden die Angriffe immer smarter in der Umsetzung.
Daher gibt es die FIDO-Alliance, die sich damit beschäftigt, wie Benutzeranmeldungen sicherer und mit weniger Risiko durchgeführt werden können. Ein großer Trend ist die passwortlose Authentifizierung, die Sie 2023 im Blick haben sollten. Mehr dazu finden Sie in unserem Knowledge Base Eintrag.
Managementsysteme für Informationssicherheit nach ISO 27001 oder VDA ISA / TISAX®
Da unsere Wirtschaft stark mit der Automobilindustrie verknüpft ist, überträgt sich die Anforderung der Branche auch auf die Zulieferer. Informationssicherheit in der Fahrzeugentwicklung und im Bau ist ein wesentlicher Erfolgsfaktor. Die OEMs fordern daher von Ihren Dienstleistern und Subdienstleistern entsprechende Absicherungen, um die Informationssicherheit zu gewährleisten.
Das bedeutet: Die Verpflichtung zur Implementierung eines Managementsystem für Informationssicherheit nimmt zu. Zum anderen ist es aber auch für viele wichtig, sich aus eigenem Antrieb in diesem Bereich gut aufzustellen, um den immer größer werdenden Herausforderungen gewappnet zu sein.
Als Ergebnis haben Sie ein Managementsystem, mit dem Sie in der Lage sind, den Stand Ihrer Informationssicherheit / Cybersecurity zu überwachen und natürlich auch entsprechend zu verbessern.
Gerne werfen wir einen Blick auf den aktuellen Stand Ihrer Informationssicherheit im Rahmen eines Audits und unterstützen Sie natürlich auch bei der Implementierung eines ISMS nach ISO 27001 oder VDA ISA.
Wir haben zwar keine Glaskugel, aber der Trend geht noch tiefer. Es werden zukünftig auch Cybersecurity Managementsysteme nach ISO/SAE 21434 und UNECE R155 speziell im Lebenszyklus des Fahrzeugs eine Rolle spielen. Siehe unsere Übersicht im ISMS. Dies ist zwar nur für eine kleinere Zielgruppe relevant, wir möchten es aber trotzdem an dieser Stelle nennen.
Privacy und Datenschutz
Ist das nicht schon ein alter Hut? Stimmt, die DSGVO kennen wir nun schon seit 2016 oder allerspätestens seit 2018, als sie in aller Munde war. Geändert hat sich in der EU allerdings die Konkretisierung vieler Punkte der DSGVO.
Durch Vorschläge und Empfehlungen von Aufsichtsbehörden und auch durch Urteile wird das Thema in vielen Punkten konkreter. Wie genau ist eine Webseite zu gestalten, wie genau muss die Einwilligung erfolgen oder wann brauche ich eigentlich eine Einwilligung? Welche Daten darf ich überhaupt verarbeiten und wo ist die rote Linie überschritten und wann befinde ich mich vielleicht noch in der Grauzone?
All diese Fragen und noch viel mehr werden und wurden konkretisiert. Allerdings steigt auch das Bewusstsein der Menschen im Umgang mit ihren Informationen. Es stimmt schon, von vielen kommen Kommentare, wie „wer hat schon Interesse an meinen Daten“… Auf der anderen Seite nimmt aber auch die Sensibilität zu, an wen ich meine Daten tatsächlich freiwillig übertrage. Die Information, dass Amazon die Daten aus Staubsaugerrobotern kauft, wirkt im ersten Moment belanglos. Hinterfragt man dieses Thema, kommt man schnell zum Punkt, dass Datenschutz hier ein wichtiger Aspekt sein muss.
Aber nicht nur die EU wird konkreter, auch die anderen Länder ziehen nach. Die Türkei, Indien – sogar Indien – hat ein neues Datenschutzgesetz im Gespräch. In den USA hat Kalifornien ja schon als Vorreiter begonnen. Jetzt zieht auch der Rest des Landes nach, um nur einige Beispiele zu nennen.
Was bedeutet das für Sie?
Als treuer Leser unseres Blogs sind Sie ja bereits gut in Sachen Datenschutz aufgestellt, oder 😉 ?
Falls nicht, starten Sie damit, sich mit den Basics zu befassen.
Verfahrensverzeichnis
Informationspflicht
Auftragsverarbeitung
Webseitencheck
Diese und weitere Prozesse des Datenschutzmanagementsystems sollten Sie auf jeden Fall umgesetzt haben. Und dran denken: Es geht auch einfach. Datenschutz muss nicht immer umständlich sein. Gern unterstützt Sie unser Team an Experten im Datenschutz.
Pin it!
Awareness
Eins der Trendthemen nicht nur in 2023. Die technischen Maßnahmen der Cybersecurity steigen stetig an. Immer mehr Schutz und Security durch technische Lösungen wird implementiert.
Doch was nützt die beste Firewall, wenn die Anwender ihre Zugangsdaten an unberechtigte Personen weitergeben? Dann braucht man kein Fort Knox, wenn der Angreifer mit dem Schlüssel durch das Haupttor geht.
Zunahme der Angriffe durch Schwachstellen in der Cybersecurity und Informationssicherheit
Wir sind ja nicht das Team, das mit Angst versucht, die Unternehmen zum Handeln zu bewegen. Sehen Sie bitte diesen Punkt auch nicht aus diesem Hintergrund.
Die Fakten sprechen allerdings eindeutig dafür, dass die Zahl der Angriffe steigt und sich auch deren Qualität verbessert. Digital Chiefs gehen mit ihrer Einschätzung sogar soweit, dass durch Angriffe auf operative Technologien sogar Menschen betroffen werden können. Diese stehen zwar nicht im Vordergrund des Angriffs, können aber als Ergebnis von Angriffen auf Produktionsmaschinen durchaus betroffen sein. Heftig, oder?
Wichtig ist aus unserer Sicht eine gesamtheitliche Strategie für Informationssicherheit, Cybersecurity und Datenschutz. Dazu bildet ein ISMS natürlich die Basis, aber es muss noch tiefer gehen. Sie sollten auch Ihre IT-Security im Griff haben. Patchmanagement, Incidentmanagement, regelmäßige Schwachstellen-Scans und für die Königsdisziplin dann Penetration-Tests.
Bei den Trends 2023 in Cybersecurity findet man auch den passwortlosen Login oder die passwortlose Authentifizierung. Was bedeutet das eigentlich und warum braucht man das überhaupt?
Noch immer ist eine Anmeldung mit Benutzername und Passwort in vielen Bereichen, auf vielen Plattformen, für Anwendungen oder in Unternehmen der Standard.
Inhaltsverzeichnis
Warum ist eine Anmeldung mit Benutzername und Passwort ein Risiko?
Unsichere Passwörter
Fasst man sich an die eigene Nase, dann weiß man, wie Passwörter gewählt werden. Komplexität wird vermieden, wenn sie nicht auf Biegen und Brechen technisch erzwungen wird. Sogar dann findet der kreative Anwender noch Möglichkeiten, die Komplexität so zu lösen, damit man sich das Passwort merken kann.
Nichtsdestotrotz ist das beliebteste Passwort immer noch 123456. Mit Brut Force oder Dictionary Angriffen werden solche Passwörter in Sekundenbruchteilen „gehackt“. Ohne zu sehr ins Detail zu gehen: Diese Angriffe basieren darauf, dass das verschlüsselt gespeicherte Passwort in Form eines Hash-Wertes erraten wird. Der Angreifer kreiert verschiedene Passwörter, verschlüsselt diese mit dem Hash-Algorithmus und vergleicht dann den Hash-Wert des Userpassworts mit dem kreierten Passwort. Stimmen beide Hash-Werte überein, wurde das Passwort richtig erraten.
Je einfacher das Passwort oder wurde es einfach aus einem Klarnamen gewählt, umso schneller wird es nach diesem Prinzip erraten.
Werden mit diesen Zugangsdaten dann noch sensible Informationen wie Zahlungsdaten oder im Job Einkaufs- oder Finanzdaten geschützt, ist das Risiko sehr hoch, da es sich ja bekanntermaßen aus Schaden = hoch und Eintrittswahrscheinlichkeit = sehr wahrscheinlich zusammensetzt.
Phishing Angriffe
Bei den bekannten Phishing Angriffen geht es eigentlich gar nicht wirklich um Cybersecurity. Unter IT- oder Cybersecurity stellt man sich immer den Angreifer vor, der über das Darknet komplexe Angriffe ausführt. Bei Phishing wird lediglich die Schwachstelle Anwender und dessen Gutgläubigkeit ausgenutzt.
Eine gute gemachte E-Mail im Posteingang, ein Klick darauf und dann noch die Zugangsdaten eingegeben. Was will der Angreifer mehr? Er braucht sich ja gar nicht mehr die Hände schmutzig machen. Die Authentifizierungsdaten werden ihm quasi auf dem Silbertablett präsentiert.
Ich falle doch nicht auf Phishing-Angriffe rein! Alter Hut, das passiert doch nur ungeschulten, unerfahrenen Anwendern. Leider nicht nur. Die E-Mails sind inzwischen so gut gemacht, dass selbst dem geschulten Auge der Angriff auf den ersten Blick nicht mehr auffällt. Es ist auch (noch) nicht so schlimm, wenn Sie auf den Link in der E-Mail klicken. Spätestens dann ist aber Vorsicht geboten! Wenn Sie auf der Webseite Ihre Zugangsdaten eingeben, ist es zu spät.
Laut BSI Jahresbericht 2022 waren 69% aller Spam-Mails Phishing und Betrugsmails. Davon wiederum waren 90% der Mails Finanz-Phishing E-Mails. Es geht wie immer ums Geld…
Auch hier ist das Risiko sehr hoch, da der Schaden sehr hoch ist und die Eintrittswahrscheinlichkeit ebenfalls als sehr wahrscheinlich eingestuft werden kann. Das belegen die Zahlen des BSI und die Fälle, die inzwischen jedem aus seinem Umfeld bekannt geworden sind.
Passwortlose Authentifizierung
Da die Risiken in der Verwendung einfacher Passwörter sehr hoch sind, geht der Trend dazu, nicht nur auf eine reine Anmeldung über Benutzername und Passwort zu setzen.
Die nichtkommerzielle FIDO-Allianz (Fast Identity Online) soll lizenzfreie und offene Standards entwickeln, die eine sichere und internationale Authentifizierung ermöglichen. In diesem Gremium wurde nun FIDO2 entwickelt.
FIDO2 basiert grundsätzlich auf dem Prinzip der Zwei-Faktor-Authentifizierung. Diese kann in zwei Varianten umgesetzt werden. Entweder mit einem Passwort + Token (wie wir es schon kennen) oder eben über die komplett passwortlose Authentifizierung.
FIDO2 mit Passwort und Token
Diese Zwei-Faktor-Authentifizierung wird inzwischen häufiger eingesetzt. Vor allem für Zugänge zu sensiblen Informationen. Im Anforderungskatalog der VDA ISA / TISAX® ist eine 2FA sogar als feste Anforderung bei externen Zugängen enthalten.
Das Prinzip basiert auf wissen und besitzen. Das heißt, ich kenne meinen Usernamen und mein Passwort, benötige aber noch eine weitere Komponente, die ich besitzen muss. Häufig ist es ein zeitlich gesteuerter Einmalcode, der über eine App am Handy generiert wird. Manche Unternehmen setzen aber auch einen eigenen Hardware-Token ein, der ein Einmalpasswort generiert.
Damit erhöht sich bereits die Sicherheit von Zugängen. Selbst wenn ein Angreifer nun die Faktoren des Usernames und Passworts kennt, fehlt ihm immer noch der Baustein des Einmalpassworts, der fest an ein Gerät gebunden ist.
FIDO2 als passwortloser Login
Bei der komplett passwortlosen Authentifizierung wird ein sicherer, unabhängiger Online-Dienst benötigt. Dieser verbindet mich, also meinen Client und den Server, auf dem ich mich anmelden möchte, sicher.
Dazu ist es notwendig, dass ich mich als User für jede Webseite, auf der ich mich sicher und passwortlos anmelden möchte, bei diesem Online-Dienst registriere und ein Schlüsselpaar erstellen lasse. Das ganze basiert auf dem gängigen Private and Public Key Prinzip.
Diesen Private Key kenne nur ich, bzw. nur mein Client. Dieser Schlüssel wird auf meinem Client (und sicherheitshalber im Passwortmanager) gespeichert. Der Public Key liegt auf dem Webserver, auf dem ich mich anmelden möchte.
Die passwortlose Authentifizierung muss dann beim Besuchen der Webseite trotzdem noch einmal durch den User bestätigt werden. Dazu gibt es verschiedene Optionen. Entweder über einen einfachen Klick auf einen Button, einen PIN-Code, biometrische Merkmale oder doch nochmal ein Hardware-Token. Das hängt sicherlich auch mit der Sensibilität der Daten zusammen, die über diese Webseite erreichbar sind.
Was sind die Vorteile eines passwortlosen Logins mit FIDO2?
Natürlich, it´s all about security. Das erzeugte Schlüsselpaar ist eindeutig für jede Webseite und jeden User. Da der private Schlüssel ausschließlich auf dem Clientgerät des Users gespeichert ist, laufen Phishing-Angriffe oder Passwortdiebstahl ins Leere.
Datenschutz
Die Schlüssel sind eindeutig für jede Webseite. Das heißt, ein Tracking über Webseiten hinweg ist überhaupt nicht möglich. Ein User kann nicht über seine Anmeldedaten auf verschiedenen Webseiten identifiziert werden.
Anwenderfreundlich
Da alle Zugangsinformationen auf dem Gerät gespeichert sind, muss der User keine komplexen Passwörter im Kopf haben und sich nicht einmal einen Usernamen zur Anmeldung merken.
Pin it!
Wie kann man die Sicherheit bei der Anmeldungen mit Benutzername und Passwort erhöhen?
Mir ist klar, dass nicht jeder und jedes Unternehmen sofort auf passwortlose Authentifizierung umstellen kann.
Trotzdem ist dann nicht gleich alles verloren. Es gibt auch weitere Möglichkeiten, die Sicherheit zu erhöhen.
Für uns ist daher ein Passwortsafe oder Passworttresor (welchen Namen man ihm auch geben mag), unumgänglich.
Was ist ein Passwortsafe?
Ein Passwortsafe ähnelt einem physikalischen Schlüsseltresor. Alle Schlüssel hängen im Schlüsselkasten. Dieser wiederum ist durch einen Schlüssel oder sicheren Code gesichert. Auf diesen einen Zugangsschlüssel muss ich natürlich gut aufpassen und vermeiden, dass er in die falschen Hände gerät.
Ein Passworttresor funktioniert nach dem selben Prinzip. Es handelt sich um eine Software, die alle Passwörter und Usernamen speichert.
Zusätzliches Feature: Sichere Passwörter
Das ist eine tolle Funktion. Der Safe enthält sogar einen Passwort-Creator. Man gibt an, wie viele Stellen das Passwort haben soll, welche Komplexitätsvoraussetzungen es hat und bekommt ein kryptisches Passwort vorgeschlagen, das im Idealfall dann auch gleich noch in die Maske eingefügt wird und im Passwortsafe gespeichert wird.
Damit entfällt die Schwachstelle des Users, der gar nicht in der Lage ist, so komplexe Passwörter und vor allem unterschiedliche Passwörter zu wählen.
Zusätzliches Feature: Schutz vor Phishing
Durch die Browserintegration des Passwortsafes erkennt die Software, auf welcher Internetseite ich mich bewege und zeigt mir nur die Zugangsdaten an, die auf dieser Seite eingefügt werden dürfen. Das heißt, bei einer Phishing-Seite bewege ich mich auf einer anderen URL, die der Passwortsafe nicht kennt. Selbst wenn die Seite optisch aussieht wie die meiner Bank, ist es für den Passwortsafe eine total unbekannte Seite. Allerspätestens an dieser Stelle sollte jeder merken, dass hier etwas faul ist und dass keine Daten eingegeben werden sollten.
Die Verwendung eines Passwortsafes ist alternativlos
Solange Sie in Ihrem Unternehmen mit Passwörtern arbeiten, sollten Sie einen Passwortsafe verwenden. Damit reduzieren Sie das Risiko des Identitätsdiebstahls erheblich. Die Kosten für die Lizenzen sind dagegen vernachlässigbar – aus unserer Sicht!
Wie melden Sie sich an?
Tippen Sie noch oder sind Sie schon darüber hinweg? Wie ist Ihre Erfahrung mit passwortlosem Login? Wir freuen uns über Ihren Kommentar mit Ihren Erfahrungen.
Schon wieder neue Standardvertragsklauseln im Datenschutz? Wer soll da noch durchblicken? Warum wurden überhaupt neue Standardvertragsklauseln definiert? Was muss ich jetzt tun? Und was hat es mit den Standardvertragsklauseln für den EWR auf sich? Viele Fragen – wir beantworten sie im folgenden Beitrag.
Wenn Ihr Dienstleister personenbezogene Daten für Sie oder gemeinsam mit Ihnen verarbeitet, müssen Sie bereits seit dem 27.09.2021 in den Verträgen, die den Datenschutz regeln, die neuen Standardvertragsklauseln heranziehen. Bis allerspätestens 27.12.2022 müssen auch alle bestehenden Verträge auf die neuen SCCs umgestellt sein. Bitte beachten Sie: Wir sprechen nur von den Verträgen, die den Datenschutz regeln. Weitere Verträge / Teilverträge, wie konkrete Leistungsbeschreibung, Laufzeiten und so weiter, sind hiervon nicht betroffen.
Jeden Tag kontaktieren uns Kunden, weil sie wegen Google Fonts Abmahnungen erhalten haben. Wie schon mehrfach in den Medien berichtet, handelt es sich hierbei um Massenabmahnungen von diversen Kanzleien.
Worum geht es? In den Briefen wird von den Webseitenbetreibern Schadenersatz gefordert, weil Google Fonts auf der Webseite nicht datenschutzkonform eingesetzt wird.
Wie soll man sich verhalten, wenn man eine derartige Forderung erhalten hat? Sicherheitshalber sofort zahlen und die Sache gleich aus dem Weg schaffen? Tun Sie das nicht. Im folgenden Beitrag erfahren Sie, wie Sie vorgehen können, wenn Sie eine Abmahnung erhalten. Wie immer stellen unsere Empfehlungen keine Rechtsberatung dar und sind daher ohne Gewähr.
Das BayLfD hat seinen 31. Tätigkeitsbericht 2021 veröffentlicht.
Es handelt sich hier um eine Zusammenfassung des relevanten Inhalts durch die Datenbeschützerin. Hinweise oder Anmerkungen seitens der Datenbeschützerin bedeuten, dass diese Informationen nicht im Papier zu finden sind, sondern aus der Praxiserfahrung resultieren oder auf weitere Einträge verweisen.
Der Bericht wird nicht im Ganzen wiedergegeben, es werden lediglich einzelne Themen vorgestellt. Insbesondere heben wir die Schlussfolgerung der Aufsichtsbehörde zum jeweiligen Thema hervor.
Hinweis: Im Folgenden in der männlichen Form gesprochen. Der Einfachheit halber beim Lesen unterscheiden wir nicht. Es sind natürlich alle Geschlechter angesprochen.
Die Homeoffice-Pflicht ist jetzt erst mal vorbei. Also alle Mitarbeiter wieder zurück ins Büro? Dann braucht sich niemand darum kümmern, wie IT-Sicherheit und Datenschutz im Homeoffice geregelt werden müssen.
Während ich diesen Beitrag verfasse, sitze ich gerade in der Ferne abends am Pool, einen Cocktail neben mir. Da flitzen meine Finger heute etwas lockerer über die Tastatur. So stelle ich mir remote arbeiten vor. 😉
Zum Glück gibt es Homeoffice bei der Datenbeschützerin seit der ersten Stunde, also schon vor Corona. Das war immer das Teil unserer Arbeitsweise. Jede/r im Team teilt sich seine Arbeitszeit so ein, wie es im Rahmen der Kundenprojekte und der persönlichen Interessen am besten passt. Natürlich freue mich mich, wenn wir alle mal gemeinsam im Büro sind und Mittagspause machen oder einfach nur quatschen. Aber deswegen wird niemand ins Büro zitiert.
Auch wenn der eine oder andere im tiefsten Inneren der Überzeugung ist, dass es doch besser sei, wenn die Mitarbeiter alle vor Ort im Büro wären, so wird doch ein Großteil der Unternehmen die (bedingte) Möglichkeit für Homeoffice auch weiterhin anbieten. Damit stellt sich die Frage, wie das Thema der Security beim Arbeiten außerhalb des Büros geregelt wird.
Während der Pandemie haben sich viele tatsächlich einfach durchgewurschtelt, ohne alles konkret zu regeln. Da waren wir ja froh, wenn irgendetwas lief und die Hotline, bei der man angerufen hat, überhaupt besetzt war. Ob sich da jemand kurzfristig darum gekümmert hat, dass Security-Vorgaben vollständig eingehalten wurden, wage ich zu bezweifeln.
Inhaltsverzeichnis
Auf den Punkt gebracht: IT-Sicherheit und Datenschutz im Homeoffice
Implementieren Sie Schutzmaßnahmen, die Ihre Werte schützen. In der Regel sind es dieselben Maßnahmen, egal ob beim Arbeiten in der Firma oder von remote.
Welche zusätzlichen Risiken beim Arbeiten außerhalb der Firma existieren überhaupt?
Sichern Sie diese Risiken gezielt zusätzlich ab, falls notwendig.
Eine IT-Sicherheitsrichtlinie sollte in jedem Unternehmen ausgerollt werden.
Schulen Sie Ihre Mitarbeiter!
Keine halben Sachen mehr bei der remote Arbeit
Seit Beginn der (für manche überstürzten) Homeoffice-Pflicht während des ersten Lockdowns haben sich viele Unternehmen etwas mehr mit diesem Thema beschäftigt. Trotzdem gibt es noch zahlreiche Firmen, die sich dazu noch überhaupt keine Gedanken gemacht haben oder die auf jeden Fall ihre Regelungen nochmal auf den Prüfstand stellen müssen.
Datenschutz im Homeoffice?
Eine der ersten Fragen, die uns hier erreichen, ist immer nach Regelungen zum Datenschutz bei der remote Arbeit. „Wir benötigen noch fürs Homeoffice eine Datenschutzrichtlinie.“ Natürlich ist der Datenschutz hier ein wichtiges Thema, aber aus meiner Sicht bei Weitem nicht die größte Baustelle. Wahrscheinlich resultiert das aus der häufig unklaren Definition, was ist Datenschutz und was ist es NICHT. Daher haben wir uns diesem Thema auch etwas ausführlicher gewidmet, falls es Sie interessiert, wo die Grenzen der Definition sind. Vielleicht resultiert die Frage aber auch daraus, dass es für den Datenschutz ein Gesetz gibt und man dieses bestmöglich einhalten möchte.
Wie dem auch sei, im Homeoffice geht es neben dem Datenschutz noch viel mehr um das gesamte Thema der Informationssicherheit. Sie möchten ja nicht nur personenbezogene Daten schützen, sondern alle Informationen, die wichtig für Ihr Unternehmen sind, oder?
IT-Sicherheit / Informationssicherheit bei der Remotearbeit
Daher ist es mir sehr wichtig, im folgenden nicht nur den Blick auf den Datenschutz zu haben, sondern auf die gesamte Sicherheit Ihrer Informationen, also auf die Informationssicherheit. Hier geht es dann neben den personenbezogenen Daten auch um die Sicherheit der IT-Systeme (IT-Sicherheit), sowie generell um organisatorische Maßnahmen, die jeder Mitarbeiter eigenständig umsetzen muss. Nicht immer wird alles von der Technik gesteuert. Manchmal gehört auch eigenständiges Mitdenken dazu – einer der wichtigsten Punkte, um ein sicheres Arbeiten von unterwegs oder zu Hause zu ermöglichen.
Was muss im Homeoffice geschützt werden?
Haben Sie sich diese Frage schon einmal gestellt oder haben Sie diese Frage schon jemand anderem gestellt? Was haben Sie als Antwort bekommen?
Abschließbares Büro
Keine Anrufe vom Privattelefon
Keine Ausdrucke auf dem privaten Drucker
….
Das mag vielleicht alles stimmen (ich sag mal ganz bewusst „vielleicht“), aber das war nicht die Antwort auf die Frage.
Was müssen Sie im Homeoffice schützen?
Unsere Erfahrung zeigt: Diese Frage haben sich so die wenigsten gestellt. Würde man sich diese Frage nämlich stellen, dann käme man unweigerlich zum Ergebnis, dass im Homeoffice keine anderen Werte / Informationen / Daten geschützt werden müssen als auch im Unternehmen. Das heißt, das, was wichtig und schützenswert ist, ist es sowohl in der Firma als auch im Homeoffice. Daran darf sich nichts ändern.
Warum ist dieser Punkt so wichtig? Wenn Sie die am höchsten zu schützenden Werte Ihres Unternehmens kennen und diese auch tatsächlich bewertet haben, kann es sein, dass Sie zu dem Ergebnis kommen, dass zum Beispiel Konstruktionsdaten Ihr am höchsten zu schützender Wert sind (wie gesagt, nur ein Beispiel). Diese Daten sind Ihnen so wichtig, dass sie das Unternehmen nicht verlassen dürfen. Damit haben Sie schon anhand der Daten definiert, dass Konstruktionsdaten für remote Arbeit gar nicht in Frage kommen.
Verstehen Sie, worauf ich hinaus möchte? Im ersten Schritt identifizieren Sie Ihre Werte und klassifizieren diese. Wie wichtig ist Ihnen die Vertraulichkeit, Verfügbarkeit und die Integrität bei jedem dieser Werte? Wenn Sie diese Einschätzung vornehmen, ist es egal, ob die Daten oder andere physikalische Gegenstände in der Firma oder im Homeoffice verwendet werden. Die Bewertung darf sich dadurch nicht unterscheiden.
Gibt es dann spezielle Schutzmaßnahmen für IT-Sicherheit und Datenschutz im Homeoffice?
Das kommt – wie so oft im Leben – darauf an. Jetzt wissen wir, was Ihre höchst zu schützenden Werte sind und dass diese am höchsten geschützt werden müssen.
Je nachdem, ob beim Arbeiten von unterwegs für diese Werte ein höheres Risiko identifiziert wurde, müssen natürlich auch weitere Schutzmaßnahmen für das remote Arbeiten implementiert werden. Aber deswegen wird der Datenschutz oder die IT-Sicherheit im Homeoffice nicht höher bewertet, als in den Unternehmensräumen. Dieses Verständnis ist extrem wichtig, um die richtige Auswahl der Schutzmaßnahmen zu gewährleisten.
Nichtsdestotrotz gibt es einige Basics an technischen und organisatorischen Maßnahmen für das remote Arbeiten und für die Firma, über die man nicht diskutieren sollte.
Die Regelungen, die Sie in der IT-Sicherheitsrichtlinie treffen, müssen unabhängig der Örtlichkeit des Arbeitsplatzes gelten. Das Sperren des Rechners bei Abwesenheit muss im Office genauso Pflicht sein wie unterwegs im Café. Hier noch ein paar Tipps, was Sie unter anderem in der Richtlinie regeln sollten:
Ablage/Speicherort von Informationen (lokale Speicherung erlaubt?)
Eigenständige Installation von Software (erlaubt / nicht erlaubt oder unterbunden)
Verwendung privater Endgeräte (Bring your own device) – Laptop, Mobilgerät, Tablet….
Private Nutzung von E-Mail und Internet (erlaubt / nicht erlaubt)
Vernichtung / Löschung von Daten (digital oder in Papierform)
Weitergabe von Zugangskennungen (digitale Userkennungen genauso wie Schlüssel oder Chipkarten oder physikalische Token)
Verhalten bei Sicherheitsvorfällen
privates Büro, Familienmitglieder und Gäste während der Arbeitszeit zu Hause
Pin it!
Sichere Passwörter
Zugangskennungen sind leider ein viel zu unterschätztes Angriffsziel. Warum sollte sich ein Angreifer die Mühe machen, umständlich und aufwändig durch Firewalls einzudringen und sonstige Hürden zu überwinden, wenn er doch nur die Zugangsdaten von privilegierten Anwendern verwenden könnte. Immer noch genügend User haben ihre Zugangsdaten nicht ausreichend geschützt (vom privaten Bereich sprechen wir hier gar nicht).
Wo es möglich und wichtig ist, sollten Sie vom Unternehmen aus sogar eine Zweifaktorauthentifizierung erzwingen. Das heißt, ein Passwort allein reicht dann nicht mehr. Es wird noch ein zweiter Code aus einer Handy-App oder einem Token abgefragt.
Immer noch hören wir, dass Passwörter regelmäßig geändert werden müssen. Selbst das BSI (Bundesamt für Sicherheit in der Informationstechnik) rät davon ab. Passwörter sollen nur noch dann geändert werden, wenn der Verdacht besteht, dass die Passwörter bekannt geworden sind.
Wenn Ihr Passwort Ihre Unterwäsche wäre, dann passen doch folgende Tipps:
je länger, umso besser (mind. 8-10 Stellen, am besten 12 oder noch mehr) 😉
mysteriös halten
mit niemandem teilen (auch nicht mit der Urlaubsvertretung – oder der besseren Hälfte zu Hause)
aber im Gegensatz zur Unterwäsche sollten gute Passwörter eben nicht mehr regelmäßig getauscht werden)
Im Idealfall wird die Passwortpolicy vom System technisch erzwungen. Damit bleibt dem User gar nicht mehr viel Spielraum bei der Auswahl und Vergabe eines Passworts. Aber da nicht jedes IT-System die Passwortkomplexität in der gewünschten Weise erzwingen kann, ist es notwendig, die Anwender mit andere Vorgaben oder Hilfsmitteln in die richtige Richtung zu bewegen.
Passwortsafe
Mein Favorit ist ein Passwortsafe oder Passwort-Tresor. Wie man das Tool auch bezeichnen mag, es ist eine geniale Lösung. Der Passwortsafe
speichert alle Passwörter und Zugänge
fügt die richtigen Zugangsdaten auf Klick im Anmeldefenster im Browser ein
macht Vorschläge für komplexe Passwörter, wenn ein neues vergeben werden muss
stellt sicher oder weist darauf hin, wenn ein Passwort öfter verwendet wird oder ein Passwort nicht sicher genug ist
kann Gruppe von Passwörtern mit anderen teilen (falls dies notwendig ist)
Verwendung von externen Medien oder Drittgeräten
Das Thema ist sicherlich im Homeoffice relevanter als im Büro. Trotzdem sollten Sie sich grundsätzlich darüber Gedanken machen, ob es sinnvoll ist, dass alle möglichen Geräte an Unternehmensrechnern angesteckt werden dürfen.
Natürlich können Sie alle Ports für Speichermedien oder Nicht-Firmengeräte deaktivieren. Machbar ist alles – sinnvoll allerdings nicht. Um hier den Sinn und den Mehrwert einer Schutzmaßnahme zu bewerten, ist der Blick auf das potentielle Risiko wichtig. Welches Risiko möchten Sie mit einer Portsperre minimieren? Geht es um das Einschleusen von Malware und Viren oder geht es eher um den Abfluss von vertraulichen Informationen?
Wenn externe Medien deaktiviert sind, ist dann in allen Fällen der Austausch von Daten mit Kunden / Lieferanten anderweitig geregelt? Vielleicht macht es auch Sinn, unterschiedliche Maßnahmen für Produktionsbereiche, Vertrieb und Office zu gestalten. Ein Servicetechniker, der vor Ort beim Kunden ist, hat manchmal einfach die Situation, dass er Daten zwischen seinem Rechner und dem Kundennetzwerk austauschen muss. Dann ist (so unbeliebt das ganze auch ist) der USB Stick zwangsweise die effizienteste Möglichkeit. Daran ist auch gar nichts verwerflich. Wichtig ist einfach, die richtigen Schutzmaßnahmen für die passende Situation und Risiken zu wählen. Das geht nur, wenn Sie sich vorher Ihrer kritischen bzw. höchst zu schützenden Unternehmenswerte bewusst sind.
Umgang mit Sprachassistenten
Siri, Alexa und Co. sind in vielen Familien gute Freunde (oder Freundinnen?) geworden. Ich weiß, die Datenschützer unter uns sind nicht so sehr mit den virtuellen Assistenten auf Du und Du. Da zähle ich mich ehrlich gesagt auch dazu. Aktuell bin ich noch der Überzeugung, dass mir sowas nicht ins Haus kommt.
Aber unabhängig von persönlichen Meinungen, sind diese Techniken weit in den Haushalten verbreitet. Das heißt also auch, dass es sich dabei um Anwesende im Homeoffice handelt. Daher müssen sie immerhin betrachtet werden. Wenn Sie zum Ergebnis kommen, dass Sie hier ein Risiko sehen, sollten Sie das Thema organisatorisch regeln für das Homeoffice.
Mitarbeiter sensibilisieren
Den einen perfekt technisch abgesicherten Arbeitsplatz wird wahrscheinlich kein Unternehmen zur Verfügung stellen können – weder für remotes arbeiten, noch für die Tätigkeit im Unternehmen. Umso wichtiger ist es, dass Ihre Mitarbeiter die Situationen richtig bewerten und vor allem richtig darauf reagieren können.
Es ist sehr wichtig, dass Sie Ihre Mitarbeiter entsprechend auf die Themen vorbereiten und sie damit vertraut machen. Wie müssen Sie reagieren, wenn Ihnen ein E-Mail suspekt vorkommt? Was sollen sie tun, wenn sie vermuten, dass ihr Account von anderen verwendet wird? Egal welche Situation auch eintritt, geben Sie Ihren Mitarbeitern die Möglichkeit, richtig – also in Ihrem Sinne – zu reagieren.
Ein paar Basics, um das Thema immer wieder ins Gedächtnis zu rufen, haben wir auf einem Awareness-Poster zusammen gefasst. Das Poster ist sogar in zwei Sprachen verfügbar. Es gibt auch eine bayerische Version 😀
Sie können die Poster bei uns im Onlineshop bestellen.
Awareness-Poster zur Mitarbeitersensibilisierung
Awareness-Poster Datenbeschützerin
Awareness-Poster Datenbeschützerin in bayerisch
Die wichtigsten To Do’s für guten Datenschutz im Homeoffice!
Die Erkenntnis, dass es nicht nur um Datenschutz geht, sondern um das gesamte Thema Informationssicherheit.
Wissen, wo die Risiken liegen, wenn die Mitarbeiter von unterwegs arbeiten. Das ist häufig erst möglich, wenn Sie wissen, was Ihre höchst zu schützenden Werte sind.
Implementieren von technischen Schutzmaßnahmen, um die Risiken zu minimieren (wo sinnvoll und auch finanziell möglich).
Erstellen einer IT-Sicherheitsrichtlinie, die organisatorisch die Risiken abdeckt, die technisch nicht minimiert oder eliminiert werden können.
Wichtig! Regelmäßig die Mitarbeiter zum Thema IT-Sicherheit und Datenschutz im Homeoffice und allgemein schulen.
Zusammenfassung
Fakt ist, dass wir alle am Thema remote arbeiten nicht mehr vorbei kommen. Eine gute, risikoorientierte IT-Sicherheitsinfrastruktur ist hier unumgänglich. Gerne analysieren wir Ihren aktuellen Stand, wenn Sie dies wünschen. Schreiben Sie uns einfach.
Nichtsdestotrotz ist aber auch das Thema Datenschutz im Homeoffice ein grundsätzliches Thema, das Sie natürlich im Rahmen Ihres Datenschutzmanagements berücksichtigen müssen. Wir empfehlen Ihnen allerdings, das Thema nicht losgelöst zu betrachten und zu bearbeiten, sondern integriert in das gesamte Informationssicherheitsmanagement. Es sind nämlich nicht nur personenbezogene Daten zu Hause (=Datenschutz im Homeoffice) zu berücksichtigen, sondern alle schützenswerten Daten, die für Ihre Firma wichtig sind.
Wie immer interessiert uns Ihre Meinung. Schreiben Sie uns gerne einen Kommentar, was Sie zum Thema Homeoffice für Erfahrungen gemacht haben oder was sie im allgemeinen zur Remotearbeit planen.
Um ein adäquates Niveau der Informationssicherheit im Unternehmen gewährleisten zu können, müssen Maßnahmen umgesetzt werden. Hier spricht man im Datenschutz gerne über technische und organisatorische Maßnahmen, die sogenannten TOMs. Im Rahmen der Informationssicherheit nennt man das ganze meistens nur „Schutzmaßnahmen“.
In diesem Artikel zeigen wir Ihnen, welche Arten von TOMs (oder Schutzmaßnahmen) Sie im Unternehmen berücksichtigen sollten. Egal ob aufgrund des Datenschutzes (DSGVO), der IT-Sicherheit oder durch globale Anforderungen des Informationssicherheitsmanagements. Immer sind die TOMs oder Schutzmaßnahmen ein wichtiger Baustein.
Im folgenden Artikel werden daher die Begriffe TOMs, technische und organisatorische Maßnahmen oder Schutzmaßnahmen als Synonym verwendet.
Die DSK hat Ende Dezember 2021 die Orientierungshilfe für Telemedienanbieter veröffentlicht.
Es handelt sich hier um eine Zusammenfassung des relevanten Inhalts durch die Datenbeschützerin. Hinweise oder Anmerkungen seitens der Datenbeschützerin bedeuten, dass diese Informationen nicht im Papier zu finden sind, sondern aus der Praxiserfahrung resultieren oder auf weitere Einträge verweisen.
Die Orientierungshilfe, im folgenden mit OH abgekürzt, wird nicht im Ganzen wiedergegeben, es werden lediglich einzelne Abschnitte vorgestellt.
Hinweis: Im Folgenden in der männlichen Form gesprochen. Der Einfachheit halber beim Lesen unterscheiden wir nicht. Es sind natürlich alle Geschlechter angesprochen.
Die bayerische Datenschutzbehörde hat eine neue Stabsstelle für Prüfverfahren gegründet und gibt damit den Startschuss für eine Reihe anlassloser fokussierter Kontrollen.
Die erste Prüfung dieser Reihe erfolgt zum Thema „Ransomware Präventionen“. In diesem kurzen Beitrag zeigen wir Ihnen den Inhalt der Prüfung und der Fragen des LDAs sowie der daraus resultierenden Handlungen auf.
kostenloses Live-Webinar: So setzen Sie TISAX® um!
Von Experten – für Experten im Datenschutz
Tauschen Sie sich mit Gleichgesinnten aus und bleiben Sie up to date!
Whistleblowing-Portal der Datenbeschützerin
Whistleblowing Richtlinie - Bereit für das Hinweisgeberschutzgesetz?
Bleiben wir in Kontakt
Melden Sie sich zu unserem Newsletter an und erhalten Sie alle 14 Tage aktuelle und praxisorientierte Informationen zum Datenschutz und zur Informationssicherheit.
