Monthly Archives: Januar 2019

neues Office 365 Pro Plus Deployment

In der Preview ist nun ein neues Office 365 Pro Plus Deployment aus der Cloud. Hierbei handelt es sich um ein Richtlinien-basierenden Dienst, der eine Gruppenrichtlinie auf den Geräten der Nutzer, die mit der Domain des Tenants verbunden sind Office 365 Pro Plus installiert wird. Einen ersten Einstieg erhaltet ihr im folgenden Blogbeitrag:

Continue reading

Datenschutz und der Einsatz von Kaizala in Deutschland – Ein Update 2019

Kaizala ist immer noch in aller Munde und viele internationale MVPs treiben das Produkt vor sich her und machen kräftig Werbung. Auch auf meine Blogbeiträge hier erreichten mich sehr viele Rückfragen, so dass ich um ein Update im Bereich Nutzung aus vertraglicher Sicht gebeten wurde.

Continue reading

Quarks & Co gewinnt Preis für eine Sendung über Facebook

Die Sendung “Wie viel Macht Facebook wirklich hat” des Wissenschaftsmagazins Quarks und Co. gewinnt den deutschen Journalistenpreis für Informatik. Da sage ich doch gerne herzlichen Glückwunsch für die Recherche, Aufbereitung und Umsetzung der Sendung. Diese erklärt zwar nur oberflächlich, aber für die Allgemeinheit gut, was Facebook eigentlich mit Ihren Daten macht und greift z.B. das Verfahren um Cambridge Analytics auf. 

Wer die Sendung noch einmal sehen, will oder sie auch mit 166MB runterladen möchte kann dies hier tun:

https://www1-wdr-de.cdn.ampproject.org/c/s/www1.wdr.de/mediathek/video/sendungen/quarks-und-co/video-soziale-medien-wie-viel-macht-facebook-wirklich-hat-100.amp

Es ist nur ratsam: “Passt auf eure Daten auf und seit nicht zu leichtsinnig mit dem was ihr postet”. 

Änderungen der UPN und der OneDrive Client

In einem Unternehmen ändert sich auch mal der Name des Mitarbeiters, dies passiert zum Beispiel bei einer Heirat oder auch einer Scheidung. Damit muss der Name des UPNs oft geändert werden, so dass der Mitarbeiter den korrekten Namen in der Kommunikation führen kann und auch so erreichbar ist. Dies bringt jedoch einige Probleme mit sich, z.B. die Frage nach den Freigaben und Verlinkungen?

Continue reading

Die Britische Regierung empfiehlt Office 365

Als ich heute das erste Mal den Blogpost auf der Microsoft Webseite für Großbritannien gesehen habe, musste ich zwei mal hinsehen. Nach vermehrten anderen Meldungen aus europäischen Mitgliedsstaaten am Ende des vergangenen Jahres, ist dies mal eine andere Wendung. Aber schauen wir es uns genauer an:

Continue reading

neuer Bundesdatenschutzbeauftragter für den Datenschutz und die Informationsfreiheit

In Deutschland gibt es nun einen neuen Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. Es ist Ulrich Kelber ein ehemaliger Bundestagsabgeordneter der SPD aus Bonn, der nun in diesen Posten wechselte. Er machte in den letzten Tagen schon auf sich aufmerksam, da er sich zum Beispiel kritisch gegen WhatsApp äußerte.

Continue reading

Datensicherheit durch Labeling_Klassifizierung

Nach der Veröffentlichung von hunderten privaten Datensätzen von Politikern und Prominenten, folgt nun die Aufarbeitung mit vielen verschiedensten Forderungen. Diese Forderungen gehen von der Ausweitung des nationalen Cyberabwehrzentrums hin zu Proaktivität und Ausweiterung des BSI bis hin zu mehr Schulung. 

Meine Antwort für mehr Datensicherheit und damit Datenschutz ist ein umfassendes Sicherheitskonzept mit drei Säulen: 

  1. Schutz der Identität (Identityprotection)
  2. Schutz der Daten (sensitiv) 
  3. Schutz des Gerätes (MDM, MAM)

Unified Labeling

Ein Schritt zur Schaffung von Datensicherheit muss das sensitive Labeling der Daten sein. Sensitive heißt in diesem Fall, dass die Eigenschaften am Dokument bleiben, egal wo es liegt und wer damit arbeitet. 

Ablauf zu einem Labeling

Zunächst definiert man Labels und findet heraus wo, welche Daten im Unternehmen verarbeitet werden. Diese Daten werden zunächst Analysiert (Wo, Wie viele, Was, Inhalt) und dann einem vorher definiertem Label zugewiesen. Für das Zuweisen eines Labels für bereits bestehende Daten und neue Daten (eigene, fremde) gibt es verschiedene Mechanismen. 

Beim Einsatz von sensitiven Labeling muss im Besonderen auf die MitarbeiterInnen eingegangen werden, denn ohne deren Mitarbeit wird ein Labelingsystem nicht umzusetzen sein.

Labeling als technisch-organisatorische Maßnahme

Dazu kommt, dass Labeling eine technisch-organisatorische Maßnahme im Sinne des Datenschutzes ist, die zum Beispiel zur Absicherung der Verarbeitung von personenbezogenen Daten dienen kann. Ebenfalls dient Labeling als Maßnahme zur Durchsetzung von Datenschutz-Maßnahmen, die zum Beispiel bei der Verhinderung von Datenabfluss, Durchsetzung von Lösch- und Sperrfristen, sowie Durchsetzung von Compliance Richtlinien.

Welches Label ?

Welche Label jedes Unternehmen einführen und ausrollen will hängt von vielen Faktoren ab. Eine Diskussion kann dementsprechend schon mal 2-3 Monate dauern, um die richtigen Labels zu definieren und dann in einem Proof of Conzept nochmal 1-6 Monaten zur Anpassung dieser. 

Die meisten Landesdatenschutzbeautragten empfehlen die Einführung von 4-5 Labeln an. Microsoft selber spricht von 5 Labeln und einige globale Unternehmen nutzen 3 Labels. Schauen wir uns dies doch mal genauer an:

Landesdatenschutz

Klasse 1 Public frei zugängliche Daten Telefonbücher, Adressbücher, Wahlvorschlagsverzeichnisse
Klasse 2 Internal Kenntnisnahme an ein berechtigtes Interesse der Einsichtnehmenden gekoppelt beschränkt zugängliche öffentliche Dateien, Verteiler für Unterlagen
Klasse 3 Confidential unsachgemäße Handhabung den Betroffenen in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigen könnte Einkommen, Sozialleistungen, Grundsteuer, Ordnungswidrigkeiten
Klasse 4 Secret unsachgemäße Handhabung den Betroffenen in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigen könnte („Existenz”). Anstaltsunterbringung, Straffälligkeit, dienstliche Beurteilungen, Gesundheitsdaten, Schulden, Pfändungen
Klasse 5 High Confidential  deren unsachgemäße Handhabung Gesundheit, Leben oder Freiheit des Betroffenen beeinträchtigen könnte Daten über Personen, die mögliche Opfer einer strafbaren Handlung sein können

Schutzstufenkonzept Niedersachsen [LINK]

Microsoft

Microsoft selber nutzt seit mehreren Jahren ein Klassifizierungssystem mit ihrem eigenen Produkt Azure Information Protection, welches auch ihr nutzen könnt. 

Hier ein Beispiel aus Azure Information Protection

Die Standard Labels von AIP sind:

Klasse 1 Personal nur für den Mitarbeiter selber
Klasse 2 Public öffentliche Daten
Klasse 3 Internal interne Daten
Klasse 4 Confidential sensible Daten
Klasse 5 Secret hochsensible Daten

 

Azure Information Protection – Label Konfiguration [LINK]

 

Globales Unternehmen

Ein globales Unternehmen wollte im Sinne der Übersichtlichkeit und der Annahme des Systems durch die Mitarbeiterinnen auf wenige Labels setzen:

Klasse 1 Public öffentliche Daten
Klasse 2 Internal interne Daten des Unternehmens
Klasse 3 Secret sensible Daten

 

Label mit welchen Werten?

Ein Label kann mit verschiedenen Parametern verknüpft werden. Dies hat Einfluss auf die Art des Labels und die Anzahl. Folgende Liste gibt einen Eindruck am Beispiel der Klasse “Internal”:

Internal

  • Lizensierung
    • Funktionsumfang
    • Geräte und Dateien?
  •  Markierung
    • ja oder nein 
    • Ort der Markierung: Footer
    • Farbe der Markierung: Blau
    • Text für die Markierung: INTERNAL
    • Größe des Textes
  • Verschlüsselung
    • ja oder nein
    • HYOK
    • BYOK
    • Azure Key Vault mit MS Schlüssel: check
  • Automatisierung
    • Standard-Label
    • AIP Scanner Parameter
    • automatisches Label?
    • Hinweis zum Label
  • Aufbewahrung
    • Archiv
    • Backup
    • Aufbewahrung
  • Data Loss Prevention
    • Regeln
  • Gerät (MDM)
    • welche Geräte?
    • VPV?
    • Verschlüsselte Festplatte?
    • weitere Parameter
  • App (MAM)
    • unternehmeseigene App
    • private App
  • Berechtigungen
    • Wer? (Gruppe?): alle im Unternehmen
    • Welche? (Lesen, Schreiben): Vollzugriff
  • Löschfristen
    • ab wann soll die Datei gelöscht werden?
  • Sperrfristen
    • ab wann soll die Datei für Zugriff gesperrt werden
      • offline  (z.B. offline Nutzung im Zug oder Flugzeug): 10 Tage
      • online
  • Conditional Access
    • Voraussetzungen zum Zugriff definieren?
    • Abhängigkeiten 
  • Superuser
    • definieren
    • testen
  • Microsoft Cloud App Security
    • Berichte
    • automatisches Labeln? Prüfung
  • OMS
    • Berichte
    • E-Mails an Mitarbeiter
  • Schulungen für Mitarbeiter für dieses Label definieren
    • Umfang
    • Test
    • Prüfung
    • Support Einweisen und Schulung
  • Label und Externe
    • Zugriff
    • Überwachung
    • B2B
    • Sonstiges

 

Label und Externe

Weiterhin muss geklärt werden, wie eine Zusammenarbeit mit Externen in einem Labelingsystem aussieht und wie MitarbeiterInnen mit Externen zusammenarbeiten. Ebenfalls gibt es die Möglichkeit Externe mit internen Accouns auszustatten oder über B2B eine Verbindung zuschaffen. Dies muss alles in Zusammenhang mit den geschlossenen Verträgen und den gegebenfalls neuen Verträgen einbezogen werden. 

Ich werde mich zu diesem Thema in weiterhin widmen. Gerade die Zusammenarbeit mit Externen in einer sicheren Umgebung hat bestimmte Parameter und Voraussetzungen. 

 

Datensicherheit mit Klassifizierung

Wenn ihr nun eure Daten klassifiziert, verschlüsselt und diese auch noch überwacht, könnt ihr von einer sicheren Verarbeitung der Daten ausgehen. Auch wenn Datensätze abgefangen werden können diese nicht geöffnet oder sogar später noch gesperrt werden. Wenn ihr das Öffnen einer Datei noch an ein Gerät bindet, dann kann niemand Drittes mit den Dateien etwas anfangen. 

Leider haben sehr viele Unternehmen heute noch kein Labeling-System für Ihre Daten und oder auch Datenspeicherorte. Eine Einführung ist mit Kosten und Aufwand verbunden, aber es führt kein Weg vorbei.