Prüfung der Stadtbildstelle Bremerhaven
Im Laufe des Berichtsjahres habe ich das Bildungsnetz Bremerhaven (Verbund aller 40 Bremerhavener Schulen) mit der Stadtbildstelle Bremerhaven als verantwortlichem Betreiber einer datenschutzrechtlichen Prüfung unterzogen. Gegenstand der Prüfung waren die Struktur des sehr komplexen Netzes und der Internet-Zugang für Schulen, Web-Hosting für Schulen sowie die Mail-Dienste für Schulen.
Hauptaufgabe für die Stadtbildstelle im Bereich der Struktur des Netzes für die Schulen ist der Ausbau und Betrieb desselben für die Computernutzung im Unterricht. Alle Schulen sind mit ihren Rechnern für die Ausbildung zu einer logischen Einheit (sog. Windows-Domäne) zusammengefasst. Das Bildungsnetz, das ausschließlich für die Ausbildung genutzt wird, ist komplett physikalisch und logisch vom Verwaltungsnetz der Stadtbildstelle und den Verwaltungsnetzen der Schulen getrennt.
Die Stadtbildstelle war zum Zeitpunkt der Prüfung via Funkstrecke an die Internet-Infrastruktur der Hochschule Bremerhaven angeschlossen. Die einzelnen Schulen sind per ISDN- bzw. TDSL-Verbindungen über den Provider Deutsche Telekom AG an das Internet angeschlossen. Das Bildungsnetzwerk Bremerhaven ist als Virtual Private Network (VPN), ein Verfahren bei dem der Datenaustausch der Teilnehmer verschlüsselt über sog. Tunnel durch das Internet abläuft, realisiert. Die Stadtbildstelle ist somit mit den Schulen über das Internet verbunden.
Direkte Anbindungen der Schulen an die Stadtbildstelle in Form von Standleitungen existieren nicht.
In den Schulen existieren für Schüler keine persönlichen Accounts (Zugangskennungen) für die dort befindlichen Computer, lediglich für einige (wenige) Lehrer existieren solche. Auf jedem Rechner existieren gegeneinander abgeschottete Bereiche, sog. Home-Directories, in die Arbeitsdaten und Downloads aus dem Internet abgelegt werden können und welche gegen Zugriffe von anderen Arbeitsplätzen aus abgeschottet ist.
Da alle Schulen via ISDN, T-DSL oder Festverbindung direkt an das Internet angeschlossen sind, geschieht der Internet-Zugang aus dem Bildungsnetz heraus dezentral. In den einzelnen Schulen sind keine Proxy-Server im Einsatz, der Zugang zum Internet erfolgt ausschließlich über Router. Den Grundsätzen der Datensparsamkeit und der Zweckbindung der dort anfallenden Protokolldaten der Internet-Nutzung wird im Bildungsnetz dadurch Sorge getragen, dass durch die vorhandene Konfiguration die Protokollierung auf ein für den Betrieb des Netzes notwendiges Mindestmaß reduziert ist.
Die Stadtbildstelle hatte zugestimmt, dass ich im Rahmen der datenschutzrechtlichen Prüfung sowohl auf der Firewall als auch auf dem Web-Server rudimentäre Sicherheitsprüfungen in Form von Portscans durchführe. Dabei wird festgestellt, welche (Netz-) Dienste ein bestimmter Computer zur Verfügung stellt.
Die Systeme selbst werden bei einem Portscan nicht angegriffen, es werden lediglich Informationen über die Systeme gesammelt. Der Portscan hat ergeben, dass auf der Firewall der Stadtbildstelle alle nicht für den Betrieb unbedingt notwendigen Ports geschlossen sind, aber auch, dass die von der Firewall zur Verfügung gestellten Dienste mehr Informationen über das System preisgeben, als notwendig. Ich habe der Stadtbildstelle daraufhin empfohlen, diese Meldungen der Dienste abzuschalten bzw. zu verfremden, um potenziellen Angreifern die Beschaffung von Informationen über das Bildungsnetzwerk Bremerhaven so schwierig wie möglich zu gestalten. Der Portscan des Web-Servers hat zum Zeitpunkt der Prüfung eine relativ hohe Anzahl von zur Verfügung gestellten Diensten ergeben.
Ich habe daraufhin die Stadtbildstelle aufgefordert, die auf dem Web-Server laufenden Dienste auf das für den Betrieb absolut notwendige Mindestmaß zu reduzieren. Dem ist die Stadtbildstelle umgehend nachgekommen.
Weiterhin fand zum Zeitpunkt der Prüfung auf dem Web-Server eine umfangreiche Protokollierung der Zugriffe aus dem Internet statt (gemäß standardmäßiger Konfiguration des eingesetzten Apache Web-Servers). Der Web-Server ist öffentlich via Internet zugänglich, die Stadtbildstelle somit Anbieter eines Teledienstes für Dritte gemäß Teledienstegesetz (TDG) bzw. Teledienstedatenschutzgesetz (TDDSG). Die umfangreiche Protokollierung der Zugriffe aus dem Internet auf den Web-Server zum Zeitpunkt der Prüfung entsprachen nicht den Regelungen im TDDSG, wonach ein Diensteanbieter personenbezogene Daten eines Nutzers ohne Einwilligung nur erheben, verarbeiten und nutzen darf, soweit dies erforderlich ist, um die Inanspruchnahme von Telediensten zu ermöglichen und abzurechnen (vgl. § 6 Abs. 1 TDDSG). Ich habe die Stadtbildstelle aufgefordert, die Protokollierung gemäß TDDSG zu gestalten. Dem ist die Stadtbildstelle nachgekommen.
Gehaltsbogen per Telefax:
Die Gewerblichen Lehranstalten Bremerhaven wollten sich um Mittel aus dem EU-Projekt Lehrlinge online bewerben. Dazu sollten auch die Kosten, die durch die Beteiligung von Lehrkräften entstehen, dem Projekt gemeldet werden. Um diese Personalkosten zu ermitteln, hat sich die Lehranstalt an das Personalamt des Magistrats Bremerhaven gewandt und dieses hat die Bezügebögen der betreffenden Lehrkräfte an die anfragende Stelle gefaxt.
Dadurch wurden mehr als die für die Kosten- und Leistungsrechnung erforderlichen Daten übermittelt. Es hätte genügt, wenn das Personalamt die tatsächlichen Kosten ermittelt und einen Stunden- oder Tagesdurchschnittsbetrag gebildet hätte, und diese so zusammengefassten Daten den Gewerblichen Lehranstalten mitgeteilt hätte. Dies habe ich kritisiert. Der Magistrat hat mir kurz vor Redaktionsschluss mitgeteilt, dass er eine neue Vereinbarung abgeschlossen habe, die zukünftig in solchen Fällen die Übermittlung personenbezogener Daten unterbindet. Diese Vereinbarung liegt mir noch nicht vor, so dass eine abschließende Bewertung noch nicht erfolgen konnte.