Stand der Technik

Heute im Gespräch: Dr. Lutz Keppeler, Datenschutz-Experte der Kanzlei Heuking Kühn Lüer Wojtek und Daniel Wasser, Geschäftsführer der secAdair GmbH.

Folge 12 widmet sich dem Thema Content Delivery Network (CDN): Wie funktioniert ein CDN, welche Vor- und Nachteile bringt diese Technologie in Bezug auf IT Sicherheit mit sich und welche rechtlichen Anforderungen sind hierbei zu beachten.

Als Fazit lässt sich anführen:

///(Zeitstempel nur für Youtube)

Links:

Abonniert den Kanal, um keine Updates zu verpassen!

In Folge 11 beleuchten Dr. Lutz Keppeler und Daniel Wasser die rechtlichen Rahmenbedingungen rund um Cookies und Cookie-Banner.

Es wird diskutiert, warum Cookie-Banner notwendig sind und welche Rolle sie im Kontext der DSGVO und ePrivacy-Richtlinie spielen. Neben dem Transparency and Consent Framework (TCF) 2.0, das Webseitenbetreiber dabei unterstützt, die Einwilligung der Nutzer transparent zu gestalten, umfasst die Diskussion auch innovative Ansätze wie cookieless tracking. Dabei kommen alternative Technologien zum Einsatz, um Nutzerverhalten analysieren zu können.

Es wird herausgearbeitet, was der aktuelle Stand der Rechtsprechungs- und gesetzgebungshistorie im Rahmen von Cookies ist und dass trotz häufiger Verletzung der Vorschriften Verstöße selten in der Praxis mit Bußgeldern sanktioniert werden.

Inhalt:

Links:

Abonniert den Kanal, um keine Updates zu verpassen!

In Folge 10 diskutieren Dr. Lutz Keppeler und Daniel Wasser, ob und in welchem Umfang ein Lieferantenmanagement aus der Perspektive der DSGVO und des IT-Sicherheitsrechts sinnvoll ist und inwieweit das Lieferantenmanagement sogar gesetzlich verpflichtend ist.

Neben der DSGVO kommen hier auch neue EU-Digitalgesetze wie die NIS-2 und der DORA zur Sprache. Es wird herausgearbeitet, dass nicht alle Lieferanten "über einen Kamm geschoren" werden sollten, sondern dass auf Basis der Risikoanalyse jedes einzelnen Lieferanten individuelle Regelungen erforderlich sind.

Klar herausgestellt wird auch, dass gängige Musterverträge zu diesem Thema kaum adäquate Klauseln aufweisen. Wer seine Lieferanten auf ein hohes Maß an IT-Sicherheit verpflichten will, kommt nicht umhin, dies ausdrücklich in Verträgen zu vereinbaren, die man gegenwärtig noch individuell erstellen und verhandeln muss.

Links:

Abonniert den Kanal, um keine Updates zu verpassen!

In Folge 9 sprechen Manuel Poncza und Daniel Wasser, welche Pflichten die Unternehmen, die unter die NIS-2 und BDSG-neu fallen, erfüllen müssen. Es geht darum, was ein ISMS (= Informations-Sicherheits-Management-System) ist und wie man ein Notfallmanagement aufbaut. Außerdem wird in dieser Folge auch geklärt, warum das Thema Lieferkettensicherheit so eine große Rolle spielt.

Links:

Abonniert den Podcast, um keine Updates zu verpassen!

In Folge 8 diskutieren Dr. Lutz Keppeler und Daniel Wasser, welche Unternehmen zukünftig unter die NIS-2-Richtlinie fallen. Es geht nicht mehr nur um KRITIS, sondern auch um „wichtige“ und „besonders wichtige“ Unternehmen, neue Schwellenwerte (Mitarbeiterzahl und Umsatz) und neue betroffene Branchen (z.B. IT Managed Service Provider und Automobilzulieferer). Es wird erwartet, dass in Zukunft über 30.000 Unternehmen in Deutschland unter dem BSIG-neu reguliert werden. Warum das so ist, wir in dieser Folge geklärt. Dabei wird der aktuelle Entwurfsstand des BSIG-neu berücksichtigt: Entwurfsstand BSIG-neu.

Links:

Abonniert den Podcast, um keine Updates zu verpassen!

In Folge 7 sprechen Dr. Lutz Keppeler und Daniel Wasser über Risiken. Im Datenschutz und der IT-Sicherheit spricht man häufig von einem risikobasierten Ansatz. Dabei wird der Begriff aus rechtlicher Sicht meist eher oberflächlich verwendet da es keine spezifische Rechtsprechung zu DSGVO, zum IT-Sicherheitsrecht und „Risiko"gibt. Im Gegensatz dazu ist in der IT-Sicherheit und insbesondere in der ISO 2700x-Familie das Konzept „Risiko“ ein wesentlicher Bestandteil. Risikoidentifikation, Risikoanalyse und Risikobewertung als Teil der Risikobewertung werden systematisch durchgeführt und entscheiden über Maßnahmen zur Risikobehandlung. Es sieht also so aus, als könnten Juristen hier viel von der IT-Sicherheit lernen.

Links

In Folge 6 sprechen Manuel Poncza und Daniel Wasser über Basics des Datenschutzrechts. Was ist ein Verantwortlicher? Wann sind mehrere Parteien gemeinsam verantwortlich? Was ist ein Auftragsverarbeiter? Wann bestehen Informationspflichten – und für wen?

Die Folge wurde am 09. April 2024 aufgenommen.

Links:

secAdair | https://www.secadair.de/

In Folge 5 sprechen Dr. Lutz Keppeler und Daniel Wasser über einen wahrhaftigen Dauerbrenner im Rahmen des Europäischen Datenschutzrechts: Microsoft 365.

Das Original des Berichts des Europäischen Datenschutzbeauftragten in englischer Sprache ist online abrufbar unter: EDPS-2024-05-European-Commissions-use-of-M365-infringes-data-protection-rules-for-EU-institutions-and-bodiesEN.pdf (europa.eu)

Die Folge wurde am 09. April 2024 aufgenommen.

Links:

In Folge 4 sprechen Manuel Poncza und Daniel Wasser über OSINT, Penetration Tests und deren rechtliche Aspekte. Wir klären, was OSINT ist, warum der Einsatz von OSINT für Unternehmen sinnvoll sein kann und welche Rechtsfragen sich beim Einsatz von OSINT-Tools ergeben können.

Die Folge wurde am 16. Februar 2024 aufgenommen.

Links:

secAdair | https://www.secadair.de/

Produktion: Foundation Room Studio | https://foundationroom.de/

"Stand der Technik – Der Podcast zu Datenschutz und IT-Sicherheit" ist der Podcast zum Datenschutz- und IT-Sicherheitsrecht in Deutschland und Europa. Experten der Kanzlei Heuking Kühn Lüer Wojtek und des IT-Sicherheitsdienstleisters secAdair sprechen über die Schnittstellen zwischen den Welten der Juristen und der IT-Praktiker.

In Folge 3 sprechen Dr. Lutz Keppeler und Daniel Wasser über das Herzstück des IT-Sicherheitsrechts im Datenschutz, nämlich Art. 32 DSGVO. Wir beleuchten den unscharfen Begriff der "geeigneten technischen und organisatorischen Maßnahmen“ anhand des Themas E-Mail-Verschlüsselung. Wir stellen die technischen Details vor, erläutern den Unterschied zwischen Transport- und Ende-zu-Ende-Verschlüsselung und diskutieren, was dies angesichts der generalklauselartigen Formulierung des Art. 32 DSGVO für die Praxis bedeutet. Dabei gehen wir auch auf folgende aktuelle Fälle zum Thema ein:

Wir erwähnen auch die Orientierungshilfe der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder („DSK“) vom 27. Mai 2021 zum Thema: „Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail“

Im Wesentlichen beziehen wir uns auf den Baustein APP.5.3 Allgemeiner E-Mail-Client und -Server vom BSI:

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-KompendiumEinzelPDFs2023/06APPAnwendungen/APP53AllgemeinerE-MailClientundServerEdition2023.pdf?__blob=publicationFile&v=3#download=1

Konkret auf die Anforderungen laut APP.5.3.A1 Basis Absicherung:

Sowie dem erhöhten Schutzbedarf laut APP.5.3.A10:

Weitere Links: