"Privacy by Design": EU-Sicherheitsbehörde legt Empfehlungen vor
Die Europäische Agentur für Netz- und Informationssicherheit hat ihren Bericht mit Empfehlungen vorgelegt, wie Datenschutz fest in Anwendungen und Prozessen verankert wird.
(Bild: ENISA)
Die europäische Sicherheitsbehörde ENISA hat am Montag ihre Empfehlungen für die Umsetzung der kommenden EU-Datenschutz-Grundverordnung veröffentlicht. Laut Artikel 23 der Verordnung muss Datenschutz künftig direkt in Prozesse, Systeme und Produkte eingebaut werden. In dem Bericht „Privacy and Data Protection by Design – from policy to engineering“ erläutert die Behörde, was als Stand der Technik begriffen werden darf, und analysiert, warum datenschutzfreundliche Techniken bislang in der Praxis kaum eine Rolle spielen.
Die ENISA weist beispielhaft darauf hin, dass bei der heute üblichen Internet-Authentifizierung mit Nutzername und Passwort über eine gesicherte Verbindung die teilnehmenden Server einem beobachtenden Dritten bekannt werden, was Phishing-Attacken ermöglicht. Dabei können neue Privacy-freundliche Authentifizierungs-Protokolle wie etwa Just Fast Keying verhindern, dass die Identität eines Nutzers ungewollt preisgegeben, manipuliert oder ausgespäht wird.
Acht Empfehlungen
Das Durchsetzungsproblem für Anonymität im Netz besteht darin, dass Betreiber von Plattformen diese eher vermeiden, weil sie fürchten, in Problemfällen die Verursacher nicht identifizieren zu können. Die ENISA stellt daher das erst vor etwa zehn Jahren entwickelte Konzept der "attributbasierten Berechtigungsnachweise" vor, das sowohl Vertrauenswürdigkeit als auch Anonymität ermöglicht. Dabei erhält die Anwendung immer nur die Informationen über den Nutzer, die unbedingt erforderlich ist. ENISA stellt überdies auch verschiedene Möglichkeiten der Ende-zu-Ende-Verschlüsselung für verschiedene Anwendungen sowie Verschleierungsmethoden für Metadaten mit Hilfe von Virtual Privat Networks (VPNs) oder Onion-Routing vor.
In acht Empfehlungen weist die ENISA auf die derzeit größten Probleme bei der Umsetzung von Privacy-Techniken hin. Politische Entscheidungsträger sollten Anreizmechanismen wie Audits und Gütesiegel aktiv unterstützen, fordert die Behörde. Von öffentlich geförderten Projekten sollten Leitfäden mit Positivbeispielen veröffentlicht werden. Basierend darauf könnten die europäischen Datenschutzbehörden dann, wie der Parlamentsentwurf der Grundverordnung es verlangt, einen Konsens über konkrete Anforderungen und empfohlene Praktiken finden. Auch sollten Aufsichtsbehörden bei Sanktionen bereits implementierten Privacy-Techniken honorieren können.
Techniken unbekannt
Ein weiteres Umsetzungsproblem besteht darin, dass viele Datenschutztechniken unter Entwicklern noch immer nicht bekannt sind. Entsprechend sollen Forschungsergebnisse künftig besser kommuniziert werden. Forscher und Entwickler wiederum sollen Entwicklungswerkzeuge bereitstellen, die eine intuitive und einfache Implementierung von Datenschutzvorgaben ermöglichen. Diese sollten frei verfügbar sein und Komponenten mit offenen Schnittstellen enthalten.
Auch Standardisierungsgremien sollten Datenschutz-Prinzipien im Standardisierungsprozess berücksichtigen, anstatt diese zu ignorieren oder gar Standards wie HbbTV zu schaffen, die die Privatsphäre zerstören. Überdies sollten sie Interoperabilitätsstandards für Datenschutzfunktionen bereitstellen, damit verschiedene Privacy-Lösungen besser integriert werden können. Um die Datenschutzfreundlichkeit verschiedener Lösungen besser vergleichen zu können, fordert die ENISA auch eine standardisierte Kommunikation von Datenschutzeinstellungen.
Sieben Prinzipien
Die Idee des "Datenschutzes durch Technik" beziehungsweise "Privacy by Design" wurde bereits in den 1990er Jahren unter anderem vom ehemaligen niederländischen Datenschutzbeauftragten John Borking entwickelt. Die damalige Datenschutzbeauftragte Ontarios, Ann Cavoukian, hat mit ihren "sieben Prinzipien" des "Privacy by Design" den Datenschutz auch für Unternehmen fassbar gemacht. Das Europäische Parlament griff das Konzept 2007 in einer Entschließung auf, die EU-Kommission brachte es 2012 in ihren Entwurf für die Datenschutz-Grundverordnung ein. (vbr)
