Kaum ein Tag vergeht ohne einem
Sicherheitsvorfall. Diesmal
ist ein französisches Medizinunternehmen betroffen. Fast eine Million
Dateien mit Patientendaten waren offen aus Internet erreichbar. Die Ursache war,
wie so oft, eine falsche Konfiguration des Speichers in der Amazon-Cloud.
Auch dieses Daten-Leak wäre leicht zu
vermeiden. Man muss nur regelmäßig alle aus Internet erreichbaren Server
scannen und überprüfen, ob sie richtig konfiguriert und keine Schwachstellen
vorhanden sind. Das ist heutzutage eine absolut grundlegende
Sicherheitsmaßnahme und es gibt unzählige Tools und Services dafür. Jedes
Unternehmen, welches eigene (on-Prem und auch in der Cloud) Infrastruktur nicht
scannt, handelt fahrlässig.
Dieser Sicherheitsvorfall hat aber einen
zusätzlichen Aspekt. Bei den kompromittierten Daten handelt sich um
Gesundheitsdaten. Solche Daten sind laut DSGVO als besondere Kategorie der
personenbezogenen Daten eingestuft und erfordern damit einen besonderen Schutz.
Auf jeden Fall ist ein Unternehmen, welches solche Daten verarbeitet und
speichert, verpflichtet eine Datenschutz-Folgenabschätzung
(DSFA) durchzuführen. Im Rahmen einer DSFA muss man bestimmen, mit welchen
Risiken die Verarbeitung dieser personenbezogenen Daten für die Rechte und
Freiheiten der natürlichen Personen verbunden ist. Entsprechend dieser
Risikoanalyse sind auch alle notwendigen Sicherheitsmaßnahmen zu ergreifen, um
diese Risiken zu minimieren. Artikel 32 von DGVO schreibt etliche
Sicherheitsmaßnahmen vor, darunter auch Verschlüsselung der Daten. Ich würde
sehr gerne die Ergebnisse von DSFA für diesen Fall sehen.
Der Betreiber dieser Medizin-Cloud betont auf
seiner Website, dass die Firma die höchsten
Ansprüche wie DSGVO, HIPPA, ISO usw. einhält.
Offensichtlich nicht ganz.
Wie Heise Online berichtet
gibt das Unternehmen diesen Vorfall zu. Der CEO des Unternehmens relativiert
aber die Kritikalität des Vorfalls:
In einer Mitteilung des Unternehmens auf der Webseite zur Datensicherheit gesteht
der CEO des Unternehmens den Datenvorfall zwar ein, aber die Einlassungen
erwecken nicht den Eindruck, dass man sich dort des Ernstes der Lage bewusst
ist. So wird auf die sichere medizinische Cloud sowie ein sicheres Hosting
(Personal Data Hosting) verwiesen. Die Anwendung sowie die
Datenverwaltungspraxis sei 2018 von einer auf GDPR (die DSGVO) spezialisierten
Anwaltskanzlei geprüft worden, um die Einhaltung der angeblich 2019 in Kraft
getretenen Datenverordnung zu gewährleisten, so der CEO der Firma in seiner
Einlassung.
Angesicht des Vorfalls ist die Frage völlig
berechtigt, ob eine Überprüfung durch eine Anwaltskanzlei ausreichend für die
Erfüllung der DSGVO ist. Auf jeden Fall muss solche juristische Überprüfung
durch eine regelmäßige sicherheitstechnische Überprüfung ergänzt werden.
Keine Kommentare:
Kommentar veröffentlichen