Smartphones sind Logfile-Ausreißer
In vielerlei Hinsicht sind Mobilgeräte aus Firmenperspektive zweischneidige Angelegenheiten: Einerseits bieten Smartphones und Tablets die Möglichkeit, dass Mitarbeiter ihren digitalen Aufgaben ungebunden und ganz flexibel nachgehen können. Andererseits sind die mobilen Endgeräte aber nicht so einfach zu kontrollieren und zu schützen – und die Eingabekontrolle gestaltet sich deutlich schwieriger.
Mobiles Logging genau planen
Wenn ein Unternehmen den Datenschutzvorgaben entsprechend die Datenverarbeitung und insbesondere die Änderungen an Daten überwachen will, reicht eine zentrale Protokollierung nicht aus, sobald mobile Endgeräte mit im Spiel sind. Denn Smartphones und Tablets stehen für dezentrale Datenverarbeitung; sie greifen auch unabhängig vom Firmennetzwerk auf das Internet zu und haben ihren eigenen Internet-Anschluss an Bord, sei es über einen mobilen Datentarif oder über einen WLAN-Zugang. Das zentrale Internet-Gateway und der zentrale Internet-Filter sind hier keine ausreichende Hilfe für den mobilen Datenschutz.
Natürlich gibt es auch Protokollierungsfunktionen auf Tablets und Smartphones. Oft erscheint es sogar zu viel, was mobile Betriebssysteme und Apps so alles aufzeichnen. Aus gutem Grund haben die Aufsichtsbehörden für den Datenschutz eine neue „Orientierungshilfe zu den Datenschutzanforderungen an App-Entwickler und App-Anbieter“ veröffentlicht, die dabei helfen soll, die Vorgaben des Datenschutzes besser zu berücksichtigen.
In der Publikation kommt der Düsseldorfer Kreis auch auf das mobile Logging zu sprechen: Die Protokollierung von Fehlermeldungen und Systemereignissen soll bei produktiven Apps möglichst nicht oder nur eingeschränkt eingesetzt werden, so die Datenschützer. Je nach Logging-Variante bestehe z.B. bei Android die Gefahr, dass personenbezogene Daten in das Systemlog geschrieben und durch andere Apps mit der entsprechenden Berechtigung ausgelesen werden könnten. Fehlerberichte einer App sollten z.B. keine personenbezogenen Daten des Nutzers enthalten, wenn dieser dem nicht nach entsprechender Information ausdrücklich zugestimmt hat.
Nur zweckgebunden auswerten
Für die mobile Eingabekontrolle muss sich allerdings im Bedarfsfall feststellen lassen, welcher Nutzer eine bestimmte Änderung an personenbezogenen Daten vorgenommen hat. Also muss es auch entsprechende Aufzeichnungen auf den mobilen Endgeräten geben. Wichtig ist es aber, dass die mobilen Nutzer nicht über solche Log-Dateien heimlich überwacht werden.
Teil 1 beginnt mit einem Vexierbild, in dem ausgerechnet der Datenschutz scharf auf Nutzerspuren ist. Teil 2 skizziert die Probleme, die bei der Eingabekontrolle mit der Cloud auftreten Teil 3 sieht sich Konzepte an, die eine Kontrolle der Eingaben, Änderungen und Löschungen auf Mobilgeräten garantieren.
Die Log-Dateien, die Smartphones und Tablets einsammeln, wenn sie sich im Firmennetzwerk anmelden, müssen vor Zweckentfremdung und Missbrauch geschützt werden. Der Log-Dateienserver muss somit die Log-Dateien integritätsgeschützt und verschlüsselt ablegen, ebenso der Client (Agent), der die Protokollierung auf den mobilen Endgeräten vornimmt. Ein Zugriff auf die mobilen Logs ist nur nach dem Vieraugenprinzip im konkreten Verdachtsfall vorzusehen.
Besondere Vorsicht ist erforderlich, wenn die mobilen Endgeräte sowohl zu betrieblichen als auch zu privaten Zwecken genutzt werden (z.B. bei BYOA). Die private Nutzung darf dann nicht Gegenstand der Protokollierung sein. Die Trennung des mobilen Endgerätes in einen privaten und betrieblichen Bereich (z.B. durch Virtualisierung oder Datencontainer) muss auch die Protokollierung betreffen.
Fazit: Mobile Identitäten besser schützen
Damit die mobile Eingabekontrolle den tatsächlichen Nutzer identifizieren kann, der bestimmte Daten geändert oder gelöscht hat, müssen auch die mobilen, digitalen Identitäten besser geschützt werden. Das Speichern von Anwendungspasswörtern auf Smartphones oder ein fehlender Zugangsschutz bei mobilen Endgeräten torpediert jede mobile Eingabekontrolle. Unternehmen, die die Eingabekontrolle datenschutzkonform umsetzen wollen, brauchen also eine durchgehende, datensparsame Protokollierung und ein sicheres Identitätsmanagement. Das gilt für jede Art der Datenverarbeitung, ob im Firmennetzwerk, in der Cloud oder auf mobilen Endgeräten.
Oliver Schonschek bewertet als News Analyst auf MittelstandsWiki.de aktuelle Vorfälle und Entwicklungen. Der Fokus liegt auf den wirtschaftlichen Aspekten von Datenschutz und IT-Sicherheit aus dem Blickwinkel des Mittelstands. Er ist Herausgeber und Fachautor zahlreicher Fachpublikationen, insbesondere in seinem Spezialgebiet Datenschutz und Datensicherheit.
Oliver Schonschek, Tel.: 02603-936116, www.schonschek.de
