Top-10-Risiken für Privatsphäre in Web-Applikationen

Eine Studie ermittelte die zehn größten Risiken für personenbezogene Daten in Web-Anwendungen: Dazu gehören Sicherheitslücken in der Applikation selbst, Datenlecks beim Betreiber und ein mangelhafter Umgang mit Datenschutzvorfällen – Risiken, die besonders gravierende Auswirkungen haben und zudem häufig vorkommen. Die Studie wurde im Rahmen des Open-Source-Projekts »OWASP Top 10 Privacy Risks« durchgeführt [1]. Sie basiert auf dem Austausch mit fast 100 international anerkannten Sicherheits- und Datenschutz-Experten in Unternehmen aller Branchen sowie Behörden.

 

Als IT-Dienstleister ist msg auch im Bereich IT-Sicherheit und Datenschutz für Unternehmen von der Versicherung bis zum Lebensmittelhersteller sowie Behörden beratend tätig. Die Erkenntnisse aus der alltäglichen Arbeit mit diesen Themen war für Mitarbeiter von msg der Antrieb, das OWASP Top 10 Privacy Risks Project zu gründen. Das vorläufige Ergebnis des Projekts ist eine Liste der aktuell zehn größten technischen und organisatorischen Datenschutz-Risiken. Der weltweit einmalige Ansatz fand bereits vor Fertigstellung der Liste unter Experten international große Beachtung, sodass das Projekt-Team heute auch im Kern-Team einer Initiative der europäischen Datenschutzbehörde zum Schutz der Privatsphäre im Internet, dem Internet Privacy Engineering Network (IPEN), mitwirkt.

 

Top 10 der Datenschutz-Risiken bei Web-Anwendungen

  1. Sicherheitslücken in Web-Anwendungen
  2. Datenlecks beim Betreiber
  3. Mangelhafter Umgang mit Datenschutzvorfällen
  4. Ungenügendes Löschen personenbezogener Daten
  5. Intransparente Datenschutzbestimmungen
  6. Erheben von Daten über den Zweck der Anwendung hinaus
  7. Weitergabe von Daten an Dritte
  8. Veraltete personenbezogene Daten
  9. Fehlender oder unzulänglicher Session-Timeout
  10. Unsicherer Datentransfer

 

 

No. Title Frequency Impact    Description
P1 Web Application Vulnerabilities High Very high Vulnerability is a key problem in any system that guards or operates on sensitive user data. Failure to suitably design and implement an application, detect a problem or promptly apply a fix (patch) is likely to result in a privacy breach. This risk also encompasses the OWASP Top 10 List of web application vulnerabilities and the risks resulting from them.
P2 Operator-sided Data Leakage High Very high Failure to prevent the leakage of any information containing or related to user data, or the data itself, to any unauthorized party resulting in loss of data confidentiality. Introduced either due to intentional malicious breach or unintentional mistake e.g. caused by insufficient access management controls, insecure storage, duplication of data or a lack of awareness.
P3 Insufficient Data Breach Response High Very high Not informing the affected persons (data subjects) about a possible breach or data leak, resulting either from intentional or unintentional events; failure to remedy the situation by fixing the cause; not attempting to limit the leaks.
P4 Insufficient Deletion of Personal Data Very high High Failure to effectively and/or timely delete personal data after termination of the specified purpose or upon request.
P5 Non-transparent Policies, Terms and Conditions Very high High Not providing sufficient information to describing how data is processed, such as its collection, storage, and processing. Failure to make this information easily-accessible and understandable for non-lawyers.
P6 Collection of data not required for the primary purpose Very high High Collecting descriptive, demographic or any other user-related data that are not needed for the purposes of the system. Applies also to data for which the user did not provide consent.
P7 Sharing of Data with Third Party High High Providing user data to any third-party, without obtaining the user’s consent. Sharing results either due to transfer or exchanging for a monetary compensation or otherwise due to inappropriate use of third-party resources included in the web site like widgets (e.g. maps, social networks buttons), analytics or web bugs (e.g. beacons).
P8 Outdated personal data High Very high The use of outdated, incorrect or bogus user data. Failure to update or correct the data.
P9 Missing or insufficient Session Expiration Medium Very high Failure to effectively enforce session termination. May result in collection of additional user-data without the user’s consent or awareness.
P10 Insecure Data Transfer Medium Very high Failure to provide data transfers over encrypted and secured channels, excluding the possibility of data leakage. Failure of enforcing mechanisms limiting the leak surface, e.g. allowing to infer any user data out of the mechanics of Web application operation.

 

 

 

___________________________________

Methodik aus der Beraterpraxis geboren

Außergewöhnlich an dieser Liste ist die Art und Weise, wie sie entstanden ist und der damit großen Nähe zur alltäglichen Arbeitserfahrung von Experten weltweit. Projektleiter Florian Stahl, Experte für Datenschutz und Informationssicherheit bei msg: »Wir befragten Datenschutz- und Sicherheitsexperten nach Problemen, die in der Praxis häufig auftreten. Daraus erarbeiteten wir zunächst eine umfassende Liste mit 20 Risiken. Diese haben wir auf Basis der Aussagen der Befragten weiter bewertet – wie weitreichend sind die Konsequenzen aus den jeweiligen Risiken und wie häufig kommen sie in der Praxis vor? So entstand die Top-10-Liste.« Das Team wird nun zu diesen Risiken geeignete Gegenmaßnahmen erarbeiten und die Liste in Zukunft weiter prüfen und gegebenenfalls aktualisieren. Ziel ist es, die Top 10 Privacy Risks als de-facto-Standard zu etablieren, wie andere OWASP-Projekte es bereits sind.

___________________________________

[1] https://www.owasp.org/index.php/Main_Page