11.4 PC-Diebstähle, Jahr-2000-Problem und die unangenehmen Folgen

Nicht immer sind „aller guten Dinge drei”.

Diese Erfahrung mußte ein Regierungspräsidium (RP) machen. Über Jahre hinweg kam es in einem abseits gelegenen Gebäudekomplex wiederholt zu Einbruchsdiebstählen, bei denen auch PC entwendet wurden, auf denen personenbezogene Daten, insbesondere Personaldaten, gespeichert waren.

Leider hatten die Verantwortlichen aus den Vorfällen in den Jahren 1996 und 1998 nicht die gesetzlich erforderlichen Konsequenzen gezogen. Ein Rückblick soll die Defizite nochmals verdeutlichen:

Erstmals im April 1996 wurde bei einem Einbruchsdiebstahl unter anderem ein PC entwendet, auf dem sich eine Personaldatei von ca. 500 Bediensteten befand. Dieser PC war aber mit einer Sicherheitssoftware für den Zugriffs- und Bootschutz und Sicherheitshardware zur Festplattenverschlüsselung ausgerüstet. Da die Personaldaten verschlüsselt gespeichert waren, konnte ausgeschlossen werden, daß die Daten in lesbarer Form in die Hände von Unbefugten gelangt waren. Gleichwohl hatte der Landesbeauftragte mehr äußere Sicherheit für das Gebäude angemahnt. Dies unterblieb, weil zunächst der Umzug aus dem baulich maroden Objekt zum Ende des Jahres in Aussicht gestellt wurde.

Im Januar 1998 wiederholte sich ein Einbruch in der gleichen Weise, denn man war weder aus dem Gebäude ausgezogen noch hatte man die Sicherheit verbessert. Die vorhandene PC-Technik war von den Tätern bereits zum Abtransport bereitgestellt worden. Dieser wurde aber noch rechtzeitig verhindert.

Im Februar 2000 wurde dort erneut eingebrochen. Neben dem angerichteten Sachschaden war ein erheblicher Verstoß gegen datenschutzrechtliche Bestimmungen festzustellen. Ursache dafür waren Versäumnisse, die mit Nachlässigkeiten bei der Jahr-2000-Umstellung der PC in Verbindung standen.

Bei diesem PC-Diebstahl waren wieder gespeicherte Personaldaten verloren gegangen. Anders als 1996 aber waren diesmal alle personenbezogenen Daten unverschlüsselt und in lesbarer Form in den Besitz von Unbefugten gelangt.

Der Grund für dieses schwerwiegende Datensicherheitsdefizit lag in der mangelhaften Überwachung der Datenverarbeitungsprogramme. In diese nach § 14 Abs. 2 Satz 3 DSG-LSA gesetzlich vorgeschriebene Überwachung hätte natürlich auch die installierte PC-Sicherheitssoftware auf den Einzelplatz-PC einbezogen werden müssen. Dies galt 1999 besonders unter dem Gesichtspunkt der Sicherstellung der Jahr-2000-Fähigkeit.

Auf die Gefahren, die sich für die Verarbeitung personenbezogener Datenbestände aus dem sog. Jahr-2000-Problem ergeben könnten, hatte der Landesbeauftragte zuvor in seinem IV. Tätigkeitsbericht (S. 48 f) aufmerksam gemacht. Zudem hatten im Jahr 1999 namhafte Hard- und Softwarehersteller umfangreiche Informationen und Testhinweise über die Jahr-2000-Festigkeit ihrer Produkte bereitgestellt. Auch das Ministerium des Innern des Landes Sachsen-Anhalt hatte rechtzeitig dieses Thema aufgegriffen und Hinweise zur Lösung des Jahr-2000-Problems gegeben und veröffentlicht.

In diesem Arbeitsbereich des Regierungspräsidiums aber vergaß man dies alles. Die Sicherheitssoftware war, nachdem sich Anfang Januar 2000 gezeigt hatte, daß sie nicht mehr funktionierte, einfach deaktiviert worden. Damit gab es auch keine verschlüsselte Speicherung von Personaldaten mehr.

Auch der Einsatz des Betriebssystems Windows NT auf den anderen Einzelplatz-PC bot keine ausreichende Sicherheit für die gespeicherten personenbezogenen Daten. Zwar bietet das Betriebssystem in seinen neueren Versionen Sicherheitsfunktionen an, aber das vermeintlich sichere New Technology File System (NTFS) weist Sicherheitsmängel auf.

So ist ein Zugriff auf NTFS-Partitionen für den Normalanwender zwar nicht ohne genauere Sachkenntnis möglich, doch ist zu beachten, daß es sich beim NTFS nur um ein spezifisches Dateisystem von Windows NT handelt und nicht etwa um eine Verschlüsselung von gespeicherten Daten auf der Festplatte eines PC. Mit im Internet frei verfügbaren Programmen, wie z.B. "NTFSDOS", ist deshalb nach einem Booten des PC unter MS-DOS auch der Zugriff auf vorhandene NTFS-Partitionen möglich.

Im vorliegenden Diebstahlsfall konnte bei einigen gestohlenen PC nicht ausgeschlossen werden, daß die darauf gespeicherten personenbezogenen Daten mit Hilfe solcher Tools lesbar gemacht wurden. Deshalb darf auch bei Verwendung des Betriebssystems Windows NT 4.0 auf einem Einzelplatz-PC nicht auf einen Boot-Schutz und auf eine starke Verschlüsselung der gespeicherten personenbezogenen Daten verzichtet werden.

Der Landesbeauftragte hat das Verhalten des Regierungspräsidiums beim Ministerium des Innern formell nach § 24 Abs. 1 DSG-LSA beanstandet.

Gerade bei der automatisierten Verarbeitung von Personalaktendaten müssen umfassende und geeignete technische und organisatorische Maßnahmen nach § 6 Abs. 2 DSG-LSA getroffen werden.

Bei seiner Abwägung nach § 24 Abs. 3 DSG-LSA hat der Landesbeauftragte berücksichtigt, daß es sich nicht um einen Einzelfall handelte, sonders bereits in der Vergangenheit in Anbetracht der Diebstähle von PC-Technik Versäumnisse bei der Datensicherheit und der Umsetzung technischer und organisatorischer Maßnahmen festzustellen waren. Des weiteren war zu berücksichtigen, daß es im letzten Diebstahlsfall viele eingespeicherte Personen gab, deren datenschutzrechtliche Belange betroffen waren. Die schwerwiegenden Verstöße gegen die Bestimmungen zur Datensicherheit hätten ohne größeren finanziellen und personellen Aufwand vermieden werden können und nach § 6 DSG-LSA auch vermieden werden müssen.

Das für die Aufsicht zuständige Ministerium des Innern räumte die Versäumnisse ein und sah die Beanstandung als berechtigt an. Es veranlaßte neben der umgehenden Installation von PC-Sicherheitssoftware weitere Maßnahmen zur Sicherung des Gebäudes.