Publikation von Christoph Puppe
Datenschutz versus Sicherheit: Ab wann Sie TLS-Verbindungen aufbrechen sollten
Malware, Schadsoftware, Ransomware sind die drei apokalyptischen Reiter der IT, und täglich grüßt der Sicherheitsvorfall. Laut Verizon Breach Report 2021 spielt Malware in mehr als 80 Prozent der Sicherheitsvorfälle eine Rolle und kommt fast immer per TLS-verschlüsseltem Download ins Unternehmen. Das BSI fordert deshalb in NET.3.2.A21 die temporäre Entschlüsselung auf dem Web-Proxy, dazu NET.3.2.A28 und DER.1.A10; die DSGVO verlangt in Artikel 32 den Schutz der Daten. Beim Aufbrechen werden aber auch personenbezogene Daten sichtbar. Der mit dem Juristen Stefan Hessel verfasste Artikel zeichnet die Rechtslage nach: Das neue TTDSG zählt Arbeitgeber nicht mehr zu den Verpflichteten des Fernmeldegeheimnisses, damit bleibt die DSGVO, und das berechtigte Interesse an der IT-Sicherheit liefert gute Argumente, besonders wenn Privatnutzung untersagt ist; sonst schaffen Einwilligung oder Betriebsvereinbarung Rechtssicherheit. Zugang zu den Proxy-Protokollen bekommt nur ein kleiner Personenkreis, Auswertungen laufen nur mit Betriebsrat und Datenschutzbeauftragtem. Technisch erzwingen Paketfilter den zentralen Proxy, der mit eigenem Wurzelzertifikat temporäre Zertifikate ausstellt; Apps mit Certificate Pinning erzwingen Ausnahmen. Das Fazit ist eindeutig: Downloads auch in TLS-Verbindungen auf Schadsoftware zu untersuchen ist eine Notwendigkeit, und wer darauf verzichtet, betreibt gemäß KonTraG mangelhafte Risikovorsorge. Wird der Datenschutz der Mitarbeiter beachtet, lässt sich die Inspektion DSGVO- und BSI-konform betreiben.
heise online · PDF · Permalink