- Verschlüsselungen schützen User vor unbefugter Datenweitergabe und Unternehmen vor datenschutzrechtlichen Konsequenzen.
- Komplexe Kennwörter minimieren Risiko von Hackerangriffen und Datenmissbrauch.
Illustration: Absmeier, Kordi Vahle
Unsichere Passwörter, zugängliches Impressum, fehlende Verschlüsselung: Obwohl sich die meisten DSGVO-Anforderungen für Online-Anwendungen vergleichsweise einfach umsetzen lassen, gehen viele Unternehmen und Mitarbeiter auch bei einfachsten Themen weiterhin fahrlässig mit dem Datenschutz um. »Auch drei Monate nach Inkrafttreten der europäischen Datenschutzgrundverordnung (DSGVO) stellen wir in Gesprächen mit Kunden fest, dass selbst einfache Hürden oft noch nicht genommen worden sind«, erklärt der Datenschutzexperte René Rautenberg von ER Secure. Er rät zu einer konsequenten unternehmensinternen Kommunikation. »Das Thema Datenschutz muss von Führungskräften in die Teams getragen und regelmäßig nachgehalten werden. Das führt automatisch zu mehr Reflexion.«
Komplexe Passwörter sind Pflicht
Ein Blick auf Studien zur Passwortvergabe verdeutlicht laut ER Secure den Nachholbedarf. So hat eine aktuelle Auswertung von 12,9 Millionen gestohlenen Identitätsdaten aus Leaks ergeben, wie einfach es sich viele Nutzer in Deutschland allein bei der Wahl des Passwortes machen. Platz 1 als meistverwendetes Kennwort belegt demnach »123456«, gefolgt von »12345678« auf Platz 2 und »1234« auf Rang 3. Dass bei der Kombination von Buchstaben und Zahlen etwas mehr Kreativität gefragt ist, zeigt ebenso das am zehnthäufigsten verwendete Passwort »hallo123«. Rautenberg: »Dabei minimiert ein sicheres Passwort die Gefahr von Hackerangriffen und Datenmissbrauch – und schützt Unternehmen im Ernstfall davor, einen Datendiebstahl an die Behörde melden zu müssen.« Ein komplexes Passwort besteht aus Groß- und Kleinbuchstaben sowie Ziffern und Sonderzeichen. »Wir haben beobachtet, dass besonders Unternehmen ohne IT-Abteilung Nachholbedarf bei diesem Thema haben, weil es IT-seitig keine entsprechenden Anforderungen bei der Passwortvergabe gibt«, sagt Rautenberg.
Bildschirmsperre wichtig
Jeder Mitarbeiter sollte für seinen PC oder sein Notebook ein Kennwort haben, das nur er selbst kennt. Außerdem sollten alle Passwörter mindestens alle sechs Wochen geändert werden. Zusätzlich rät der Experte zu einer automatischen Bildschirmsperre nach spätestens 20 Minuten inaktiver Zeit. »Eine Bildschirmsperre schützt die EDV-Daten. Je kürzer die Zeit, desto besser«, erklärt Rautenberg. Das gilt ebenso für das Dienst-Smartphone. Auch hier sollten Nutzer eine komplizierte Mustersperre wählen. Studien haben gezeigt, dass sich durch bloße Beobachtung 95 Prozent der Lockscreens nach fünf Versuchen entschlüsseln lassen.
Homepage aktualisieren
Die DSGVO betrifft alle nicht privaten Websites. Dazu zählen Vereine, NGOs, Blogger, Selbstständige, aber auch KMUs und Großunternehmen. »Die Impressumspflicht auf jeder Homepage ist für die meisten Freiberufler und Unternehmen nichts Neues mehr. Durch die neue DSGVO muss das Impressum von jeder Unterseite aufrufbar sein. Zudem muss eine Datenschutzerklärung vorhanden sein. Diese gibt an, welche Daten von wem, warum und wie weiterverarbeitet werden«, erklärt der Datenschutzexperte.
Verschlüsselung der Daten ist Pflicht
Ob Homepage-Login, Kontaktformular oder Newsletter-Aussendung: Alle diese Wege führen ins World Wide Web – und damit zum Thema Datenschutz. »Auch wenn es drei Monate nach Inkrafttreten scheinbar etwas ruhiger um das Thema geworden ist: Das Ziel der DSGVO bleibt Datenminimierung und Transparenz«, erklärt Datenschutzexperte Rautenberg. Die Daten der Interessenten müssen nach seinen Worten verschlüsselt werden. Bei einer unverschlüsselten Übertragung können Fremde Benutzernamen und Kennwörter oder E-Mail-Adressen mitlesen und diese missbrauchen. Ein SSL-Zertifikat ist laut DGSVO grundsätzlich nicht vorausgesetzt. Entschließen sich Betreiber jedoch für die Kommunikation mit Newslettern oder Kontaktformularen, ist ein Zertifikat erforderlich. »IP-Adressen werden als personenbezogene Daten eingeordnet. Bei der Übertragung von Daten zwischen Servern im Web werden diese immer übermittelt. Die Anhäufung von Daten lässt sich also kaum vermeiden.«
www.er-secure.de
Zypries: Neuer Kompass zur IT-Verschlüsselung sorgt für mehr Sicherheit für Unternehmen