Staatsanwaltschaft

Die Ermittlung und Kenntnis der Akteninhalte und ihre Zuordnung zu Schutzbedarfsstufen ist zudem Voraussetzung für die Erstellung eines datenschutzgerechten Zugriffskonzeptes.

Die Verantwortlichkeiten und Berechtigungen für das Verfahren sowie der Zugriff auf die Anwendung und Daten müssen von der verantwortlichen Daten verarbeitenden Stelle festgelegt und entsprechend der IT-Richtlinie ELDORADO revisionssicher protokolliert werden.

Eine revisionssichere Protokollierung umfasst neben der Erstellung eines Zugriffskonzeptes und der Dokumentation der personenbezogenen Zuordnung von Benutzerkennungen auch die Protokollierung der Einrichtung von Berechtigungen sowie jeder Änderung von Berechtigungsprofilen im System. Eine entsprechend von uns geforderte systemseitige Protokollierung wird geschaffen.

Personenbezogene Daten sind von der Daten verarbeitenden Stelle grundsätzlich zu löschen, wenn ihre Speicherung unzulässig oder ihre Kenntnis für die Daten verarbeitende Stelle zur Erfüllung ihrer Aufgaben nicht mehr erforderlich ist (§19 Abs. 3 HmbDSG). Archivwürdige Unterlagen bilden hier eine ­ im Hamburgischen Archivgesetz gesondert geregelte ­ Ausnahme.

Nach dem Hamburgischen Archivgesetz sind nicht mehr benötigte Unterlagen fortlaufend auszusondern und dem Staatsarchiv anzubieten. Das entsprechende Aussonderungsverfahren zur Anbietungspflicht beinhaltet somit regelmäßig eine Erforderlichkeitsprüfung (Erforderlichkeit für die Aufgabenfüllung, Archivierungsfristen etc.). Daher sind nicht nur die Dokumente aus den Verfahren der Behörden und Ämter zu löschen, die als archivwürdig bewertet und abgeliefert wurden. Dies gilt vielmehr insbesondere auch für die personenbezogenen Unterlagen, für welche die Archivwürdigkeit verneint wurde. Diese sind gem. §19 Abs. 3 HmbDSG aus den Verfahren der Behörden und Ämter zu löschen.

Da eine weitere Speicherung in diesen Fällen datenschutzrechtlich unzulässig wäre, muss bei der Aufnahme von Unterlagen in die elektronische Dokumentenverwaltung gewährleistet sein, dass personenbezogene Daten, die für die verarbeitende Stelle zur Erfüllung ihrer Aufgaben nicht mehr erforderlich sind

­ unter Berücksichtigung der Anbietungspflicht gegenüber dem Staatsarchiv ­ datenschutzgerecht gelöscht werden können und gelöscht werden. Aussonderung und Löschung sollen künftig durch den Einsatz eines Aussonderungsmoduls und den Umstieg auf neue Speichermedien unterstützt werden. Wir werden uns für eine datenschutzgerechte Umsetzung einsetzen.

Verschlüsselte E-Mails in der hamburgischen Verwaltung Sensible Daten werden jetzt auch bei der Staatsanwaltschaft verschlüsselt per Mail versandt. Viele behördliche Arbeitsplätze, an denen sensible Daten verarbeitet werden, sind jedoch immer noch nicht mit der Erweiterten Sicherheit ausgestattet.

Der Hamburgische Datenschutzbeauftragte hat wiederholt darauf hingewiesen, dass sensible personenbezogene Daten nur verschlüsselt vermailt werden dürfen. Dies ist in der §94er-Vereinbarung „Bürokommunikation" verbindlich festgeschrieben. Dort ist gleichzeitig die allgemeine Regel enthalten, dass bei der schriftlichen Kommunikation bevorzugt E-Mail genutzt wird. Die Ausstattung an den Arbeitsplätzen lässt eine Verschlüsselung aber noch nicht flächendeckend zu.

Zwar gibt es einzelne Bereiche, die im Berichtszeitraum die Zahl der Arbeitsplätze, die mit der „Erweiterten Sicherheit" ausgestattet sind, deutlich erhöht haben. Aufgrund unserer Bemühungen wurde nach langer Erörterung etwa die Staatsanwaltschaft mit den erforderlichen Zertifikaten ausgestattet, so dass die hochsensiblen Daten im Verfahren „Berichtswesen in Strafsachen" nunmehr verschlüsselt versendet werden (vgl. 20. TB. 1.6). Insgesamt stagniert jedoch die Anzahl der erteilten Zertifikate, so dass lediglich ca. 15 % der FHHinfoNETNutzer verschlüsselt mailen können. Das entspricht einem Anteil von ca. 1/3 der Arbeitsplätze, an denen sensible personenbezogene Daten verarbeitet werden.

Vor dem Hintergrund, dass der Senat in seinem E-Government-Strategiebericht 2007/2008 (vgl. Drucksache 18/6908) zu Recht davon ausgeht, dass E-Mail und andere IT-Anwendungen heute fester Bestandteil fast aller Bereiche des Lebens geworden sind und die wirtschaftliche Entwicklung einer Region oder einer Stadt insgesamt von deren IT-Durchdringung abhängt, ist es nicht nachvollziehbar, warum im Berichtszeitraum die Anzahl der Zertifikate für die Erweiterte Sicherheit nicht deutlich erhöht wurde. Trotz der Ankündigung der Senatsvertreter im Unterausschuss Datenschutz der Bürgerschaft Anfang 2007, dass nun sukzessive weitere Arbeitsplätze mit den Sicherheitsmaßnahmen ausgestattet würden, ist hier kein wesentlicher Fortschritt zu verzeichnen.

Der Bedarf, verschlüsselt zu mailen, kann dabei zum einen durch die sensiblen personenbezogenen Daten entstehen, die bei der Bewältigung der Fachaufgabe verarbeitet werden. Zum anderen entsteht der Bedarf auch durch die Anforderung, dass die Mitarbeiter in eigener Angelegenheit etwa mit ihrer Personalabteilung bzw. dem Zentrum für Personaldienste elektronisch kommunizieren oder aber die Kommunikation mit dem Vorgesetzten z. B. im Rahmen des Beurteilungsverfahrens zum Teil elektronisch abläuft. In der Regel sollten daher alle ESARI-Arbeitsplätze mit der Erweiterten Sicherheit ausgestattet werden, da zukünftig bei fast allen PC-Arbeitsplätzen der FHH der Bedarf an einer verschlüsselten Mail-Kommunikation besteht. Nur wenn die Mitarbeiter auch tatsächlich die Möglichkeit der verschlüsselten Kommunikation haben, können sie ihre Verantwortung sachgerecht wahrnehmen.

Prüfung des FHH-Netzes

Eine Überprüfung der Sicherheit des FHH-Netzes hat gravierende Mängel administrativer und konzeptioneller Art aufgezeigt. Erste Maßnahmen wurden durch Dataport getroffen, strukturelle Konsequenzen müssen folgen.

Die Datenverarbeitungs-Infrastruktur der Freien und Hansestadt Hamburg war bereits häufig Gegenstand unserer Tätigkeitsberichte (zuletzt 20. TB, 1.6 und 19. TB, 3.4 und 3.6). Unsere dabei vorgebrachte Kritik an dem Umgang mit ITSicherheit und die damit verbundenen Verbesserungsvorschläge stießen dabei regelmäßig auf eine Abwehrhaltung seitens der Finanzbehörde. Diese Position wurde unter anderem mit dem Hinweis untermauert, dass es in der Vergangenheit keine Sicherheitsvorfälle gegeben habe und daher die bereits getroffenen Maßnahmen offenbar ausreichend seien.

Vor dem Hintergrund dieser Auseinandersetzungen haben wir eine systematische Untersuchung der tatsächlich im FHH-Netz getroffenen Sicherheitsmaßnahmen durchgeführt. Die Prüfung sollte Antworten auf zwei Fragenbereiche geben:

· Wie gut sind die Daten und Infrastrukturen der verschiedenen Behörden voneinander abgeschottet bzw. wie wirksam sind die getroffenen Maßnahmen?

· Werden unregelmäßige bzw. unzuständige Zugriffe und Sicherheitsverletzungen überhaupt bemerkt?

Um den Feststellungen eine möglichst umfassende Aussagekraft zu verleihen, wurde die Prüfung von einem Standard-ESARI-Gerät aus durchgeführt, das wie alle anderen PCs in das lokale Netz beim Hamburgischen Datenschutzbeauftragten eingebunden war. Das verwendete Benutzerkonto war mit keinen besonderen Privilegien ausgestattet.

Dennoch gelang es unter Verwendung von frei verfügbaren Software-Werkzeugen, von dort aus eine Vielzahl von Ressourcen in anderen Teilen des FHHNetzes zu identifizieren und auf dort gespeicherte Inhalte zuzugreifen. Dazu gehörten auch erhebliche Mengen sensibler personenbezogener Daten. Wir haben aus datenschutzrechtlicher Sicht folgende Maßnahmen gefordert, um die Mängel zu beheben und die damit verbundenen Risiken für die verarbeiteten personenbezogenen Daten zu reduzieren:

· Dateien bzw. Freigaben müssen von ihren Zugriffsrechten her auf die erforderlichen Nutzer bzw. Gruppen beschränkt werden.

· Informationen, die nicht für die Allgemeinheit zugänglich sein sollen, müssen gegen unberechtigte Kenntnisnahme geschützt sein.

· Passwörter dürfen nicht im Klartext auf Datenträgern gespeichert werden.

· Standard-Passwörter und -kennungen müssen nach Installation eines Systems auf individuelle Werte verändert werden.