DATENSCHUTZ NEWSLETTER

Liebe Kund*innen und Abonnent*innen des Newsletters,

ich freue mich, Ihnen eine neue Ausgabe des Datenschutz-Newsletters übersenden zu dürfen und habe heute folgende Themen:

Datenschutz und mehr Sicherheit im Netz für Minderjährige
Aktuelles aus dem Datenschutz

1. Datenschutz und mehr Sicherheit im Netz für Minderjährige

In den Publikationen zu Minderjährigen im Netz finden sich immer öfter Zahlen wie diese: Das BSI berichtet, dass 35% der Eltern in einer Studie angeben, keine Gespräche über IT-Sicherheit und Gefahren im Internet mit Ihren Kindern zu führen. Im Gegenzug ergibt die Studie, dass 22% der Kinder sich mit solchen Fragen an die Eltern richten. Dazwischen liegt ein Grauraum. Die entscheidende Frage ist aber die, ob Kinder und Jugendliche überhaupt von Ihren Eltern hierzu kompetent beraten werden können.

Im Bereich des Schutzes für Kinder und Jugendliche in der digitalen Welt setzen Eltern am häufigsten einen Family-Schutz für ihre Kinder und Jugendlichen ein. Dieser erstreckt sich meistens auf Smartphones und Tablets. Dass dieser Schutz überhaupt eingesetzt wird, liegt vor allem daran, dass die Anbieter Google (Android) und Apple (IOS) diesen mit den Betriebssystemen bereits mit anbieten. Auch Windows bietet diesen Schutz an. Windows Family ist jedoch deutlich unbekannter und viele Laptops von Kindern und Jugendlichen sind nicht administriert. Den Schutz zu aktivieren ist dabei nur eine Sache. Den Schutz auch konsequent und vernünftig zu konfigurieren, ist eine andere Sache. Und die Möglichkeiten einen solchen Schutz zu umgehen sind vielfältig, so dass dieser für die meisten Bedrohungen ineffektiv ist.

Guckt man sich einen Lehrgang zur Fachkraft für Medienpädagogik an, so stellt man fest, dass hier nirgends ernsthaft eine generelle bewahrungsorientierte Pädagogik diskutiert wird. Der Ansatz eines Verbots oder deutlichen Beschränkung bestimmter Dienste oder Anwendungen ist kein Mittel erster Wahl. Vielmehr ist das Mittel der ersten Wahl ein begleiteter Ansatz, wo Erziehungsberechtigte die Nutzung mit ihren Kindern und Jugendlichen reflektieren und zusammen vernünftig erarbeiten sollen. Dieser Ansatz wird schon ab dem fortgeschrittenen Kindergartenalter vorgeschlagen. In der Praxis erfolgt der Ansatz meisten nicht, weil Eltern nicht die notwendigen digitalen Kompetenzen und oftmals auch nicht die Zeit hierfür haben. Folglich ist die Frage nach einer medienkompetenten Erziehung außerhalb des Elternhauses, also beginnend in den Kindergärten und vor allem in den Schulen nicht unberechtigt.

In Hamburg wird ab dem kommenden Schuljahr verpflichtend das Fach Informatik eingeführt. Dieser Ansatz ist zu begrüßen, aber zum jetzigen Zeitpunkt sieht nichts danach aus, dass Medienkompetenzen hierbei eine wichtige Rolle spielen werden. Im Vordergrund stehen anwendungsspezifische Inhalte. In den neuen Hamburger Bildungsplänen bleibt generell weniger Zeit für das Vermitteln von Kompetenzen und es stehen Inhalte wie Leistungsnachweise im Vordergrund. Somit ist es auch in anderen Fächern oder im übergreifenden Unterricht kaum möglich Medienkompetenz zu vermitteln. Hierneben ist festzustellen, dass an Schulen vor allem das Themenfeld "Fakenews" im Focus steht. Andere Themenfelder werden wenig bis gar nicht vermittelt. Hierzu gehört auch Big-Data, Datenschutz und IT-Sicherheit. Dieses ändert sich erst mit der Oberstufe. So finden sich in den neuen Bildungsplänen für die Studienstufe in Informatik deutliche Inhalte zu Datenschutz und Sicherheit. Dieses ist natürlich sehr zu begrüßen. Es muss aber kritisch gefragt werden, ob es nicht zu spät erfolgt und auch den Jugendlichen zu Teil werden sollte, die die Studienstufe nicht erreichen oder dort nicht Informatik wählen.

Unter dem Strich muss festgestellt werden, dass unser Schulsystem beim Thema Medien-kompetenzvermittlung, digitale Risiken, Datenschutz, Sicherheit und einer Vermittlung eines Grundverständnisses der digitalen Welt komplett versagt. Die Diskussion in den Schulen ist von Abwehrhaltungen geprägt. Jede Fachschaft möchte ihr Fach zeitlich möglichst hoch gewichtet sehen und niemand möchte, in Zeiten von hoher Belastung, zusätzliche Themen aufnehmen. Man verweist gerne auf die Verantwortung der Eltern und sieht sich als Schule nicht zuständig. Dieses ist natürlich zu kurz gedacht. Der Schule muss hier eine deutliche Rolle zukommen. Schule muss auf die veränderten Rahmenbedingungen in unserer Welt reagieren und die Kompetenzen vermitteln, die für das spätere Leben gebraucht werden. Hierzu gehören Grundkenntnisse über digitale Technik, Daten, Datenschutz, Sicherheit, Risiken und vor allem auch Strategien zur Risikovermeidung. Schulen, ob sie wollen oder nicht, werden sich hier über kurz oder lang verändern müssen.

Und das "Sich-Bewegen-Müssen" wird auch für den Bereich KI gelten. Bereits jetzt ist ein fehlerhafter Trend auf diesem Gebiet zu erkennen. Die Nutzung von KI darf nicht zu einem "deskilling" führen. Im Augenblick ist dieses aber leider zunehmend der Fall. Kinder und Jugendliche übernehmen gefundene Inhalte im Netz oder mit Hilfe von KI erstellte Inhalte unkritisch. Sie hinterfragen nicht deren Richtigkeit, sie setzen sich nicht damit auseinander und oftmals lesen sie diese gar nicht einmal. Mit "copy-paste" wird der Text in die Hausaufgaben eingefügt und dann abgegeben. Das ist nicht der Ansatz, der wünschenswert ist. Auch für die Nutzung von KI bedarf es vieler Kompetenzen, die von der Schule vermittelt werden sollten. Das wären u.a. ein Grundverständnis von KI, Datenkompetenz, Toolkompetenz, Bewertungskompetenz als auch ethische Grundlagen. Hat man diese Kompetenzen nicht, kommt es zu einem Phänomen, dass man mit den Worten "viel Wissen recherchieren, nichts daraus lernen und verstehen" treffend beschreiben kann. Auch hier sind Schulen gefragt und gefordert einer nicht förderlichen Nutzung von KI entgegenzuwirken. Die digitalen Herausforderungen für unser Bildungssystem sind also groß. Hoffentlich schaffen wir es diese zeitnah anzugehen.

2. Aktuelles aus dem Datenschutz

Max Schrems hat es mal wieder getan und der Meta Konzern mal wieder vor dem EuGH verloren. C-446/21 heißt die Rechtssache und es ist etwas Positives: Der EuGH hat Nutzer*innen-Rechte und den Datenschutz gestärkt. Online-Dienste können selbst dann, wenn ein Person in personalisierte Werbung eingewilligt hat, nicht auf unbestimmte Zeit deren personenbezogenen Daten verwenden. Meta sammelt seit 20 Jahren Daten und löscht nicht. Diese Praxis dürfte dann demnächst deutlich beschränkt werden. Im weiterem ging es auch noch um die Nutzung von offensichtlich selbst öffentlich gemachten Informationen, wo Herr Schrems auch einen Erfolg verzeichnen konnte.

In den Niederlanden war man weniger erfolgreich und es kam zu einem Hackerangriff bei dem sämtliche Namen und dienstliche Kontaktdaten aller Polizist*innen in den Niederlanden von Hackern erbeutet wurden. Die niederländischen Sicherheitsbehörden sprechen von einem gezielten Angriff eines anderen Staates. Einen Namen des Staates, wen man hier verdächtigt, wurde aber nicht genannt.

Der EuGH hat im September sogar nochmals zugeschlagen: Dieses mal aber in einer nicht so schönen Sache. Es wurde entschieden, dass es grundsätzlich zulässig ist, dass Ermittlungsbehörden auch bei leichten Straftaten Zugriff auf ein Smartphone nehmen dürfen. Dieses muss für eine bestimmte leichte Straftat lediglich hinreichend gesetzlich konkretisiert sein und von einem Gericht bestätigt werden. Dem Ansatz, dass ein Smartphone ein hohes Gut des sehr persönlichen Lebensbereichs darstellt und bei leichten Straftaten nicht eingezogen und ausgewertet werden darf, wurde nicht gefolgt.

Auch das BverfG war tätig und die neue BfDI, Fr. Prof. Dr. Specht-Riemenschneider, ich muss mich erst noch an diesen Namen gewöhnen, betont die Bedeutung der Tatsache, dass mit dem Urteil eine Weiterverarbeitung personenbezogener Daten in den Informations-systemen des BKA deutlich eingeschränkt wurde. Die Sache ist etwas komplizierter, schränkt die Polizei am Ende aber nicht in der Arbeit ein und stärkt unsere Demokratie. Diese Einschätzung teile ich mit der neuen BfDI. Es wurde von der Behörde auch jüngst ein Symposium zum Thema "Automatische Datenanalyse und KI-Innovative-Polizeiarbeit mit Diskriminierungspotential?" abgehalten. Ein ganz wichtiges und schwieriges Thema, das eine große Bedeutung für die Gesellschaft und die demokratischen Grundregeln hat.

Die Bedeutung von KI, auch in Hinblick auf Datenschutz, sehen wir in Niedersachsen. Der Landesbeauftragte für den Datenschutz hat in seiner Behörde eine Stabsstelle für KI eingerichtet. Die Stabsstelle soll ein Kompetenzzentrum für alle Fragen rund um KI werden.

Bei den Strafzahlungen von Internetkonzernen läuft es gut in der EU: Apple ist mit einer Klage vor dem EuGH gescheitert. Es ging um Steuernachzahlungen von über 13 Milliarden Euro. Das Geld ist bereits auf einem Treuhandkonto hinterlegt und fließt nun dem irländischem Fiskus zu, der sich freuen wird. Google durfte auch zweimal vor dem EuGH antreten und hat nur einmal gewonnen. Das Gericht sah es als nicht erwiesen an, dass Google seine Marktmacht beim Dienst AdSense missbraucht. Knapp 1,5 Milliarden Euro Strafe blieben so erspart. Hingegen muss Google 2,4 Milliarden Euro wegen Missbrauch seine Marktmacht beim Dienst Google Shopping bezahlen. Die Strafen wurden bereits vor 5 Jahren verhängt und sind jetzt dann mal durchgefochten.

Die Hackergruppe APT42 konnte im Messenger-Dienst WhatsApp eine größere Anzahl an Nutzerkonten hacken. Der Meta-Konzern hatte daraufhin zahlreiche Konten von Hackern blockiert. Der Angriff war offensichtlich politisch motiviert und zielte auf die USA ab. Die Hacker gaben sich dabei als Support von Google, Yahoo oder Microsoft aus, um an die Nutzerzugänge zu kommen. Microsoft und Google hatten kürzlich ebensolche Angriffe gemeldet. Im Vorfeld der US-Wahlen geht es auch im Cyberspace hoch her.

Eine neue Masche des Phishings läuft gerade in Deutschland gegen Kunden der Sparkassen. Diese werden aufgefordert Registrierungsdaten zu ändern. Auf der betrügerischen Seite, wenn man dem Link folgt, werden diese dann von den Hackern abgefangen. Das ist soweit nicht neu. Neu hingegen ist, dass die Hacker in ihren Phishing-Emails den Kunden einen hohe Geldstrafe, in der Regel EUR 5.200,00 androhen, wenn diese ihre Registrierungsdaten nicht ändern. Diese Drohung schein Wirkung zu haben und es fallen mehr Personen darauf herein.

Nicht nur Unternehmen haben Datenlecks. Auch bei der Rekrutierungsplattform des Europäischen Parlaments kam es jüngst zu einem Datenleck. Daten von 8.000 Personen, zum Teil sehr sensible Daten, konnten durch unbefugte eingesehen und abgezogen werden. Einen anderen Fall eines Datenlecks gibt es bei "Flightaware". Bei dem Unternehmen konnten Daten von registrierten Nutzer*innen eingesehen werden. Bemerkenswert an diesem Fall ist, dass das Leck offensichtlich schon seit Januar 2021 bestand, aber erst im Juli 2024 entdeckt wurde. Flightaware hält sich mit Details und Ausmaß des Vorfalls bedeckt.

Ein weiteres und genau so wichtiges Thema ist die Gesichtserkennung durch Sicherheits-behörden. Die Datenschutzkonferenz der Länder hat hierzu eine Entschließung verabschiedet und veröffentlicht. Hier werden klare und grundrechtskonforme gesetzliche Regelungen zur Gesichtserkennung durch Sicherheitsbehörden gefordert.

Über 75% der Menschen in Deutschland nutzen ein Smartphone, aber so gut wie niemand interessiert sich für Schutzmaßnahmen und die Sicherheit der Geräte. Dieses ist das wenig überraschende Ergebnis einer Befragung vom BSI in Zusammenarbeit mit der Kriminal-prävention der Länder. Tja, was macht man jetzt? Ich bin da auch ratlos! - Wenn die Nutzer*innen nicht die entsprechende Mündigkeit dafür haben, selbst für die Sicherheit ihrer Geräte zu sorgen, dann wäre es eine Diskussion wert, ob die Hersteller der Geräte und Betriebssysteme mehr in die Pflicht genommen werden sollten.

Die Versicherungsbranche meldet, dass Cyberangriffe in 2023 zu EUR 180 Millionen an Versicherungsschäden geführt haben. Sowohl die Zahl der Angriffe als auch die Schwere hat zugenommen. Im Vergleich zu 2022 eine Steigerung von 8%. Persönlich hätte ich gerne einmal Zahlen darüber, wo es zu Schadensfällen gekommen ist, die am Ende nicht von der Versicherung übernommen wurden. Aber diese gibt es leider nicht. Das größte Problem bei Cyberversicherungen ist immer noch das, dass oftmals am Ende nicht gezahlt wird, weil irgendetwas Kleingedrucktes der Versicherung einen Ausgang aus der Leistungspflicht verschafft.

Das BSI warnt weiter vor Sextortion in jeder erdenklichen Form. Hierbei handelt es sich um die Erpressung mit sexualisierten Bildern, Videos oder anderem Geschehen, was inzwischen zu einer globalen Betrugsindustrie mit jährlichen Milliardenumsätzen herangewachsen ist. Zahlen Sie nie, wenn Sie solche E-Mails bekommen. Zeigen Sie schwerwiegende Fälle bei der Polizei an.

Zu KI wird berichtet, dass mit Hilfe einer KI ein 18 Jahre ungelöstes mathematisches Problem bei "Magischen Sechsecken" gelöst werden konnte. Muss man das wissen? Vermutlich hören wir demnächst solche Meldungen fortlaufend. KI wird uns zu neuen Grenzen im Verständnis vieler Dinge führen, nicht nur in der Mathematik.

Abschließend will ich noch ein Thema der Medienpädagogik ansprechen: Gegen Hass und Hetze im Netz hilft zum Beispiel die Organisation HateAid in sehr effektiver Weise. Die Organisation wird deswegen zunehmend von konservativen rechten Akteuren im großen Stil angegriffen. Man will sie als ideologisch framen und die Gemeinnützigkeit aberkennen lassen. In gewissen Kreisen sieht man HateAid als Gegner zur eigenen Ideologie und als links-orientiert an. Entsprechend bekämpft man die Organisation. Wenn wir schon bei den Methoden von Einschüchterung & Co sind, dann zeigt sich im Netz auch eine Zunahme des sogenannten "Overblocking". Und das auf fast allen Social Media Portalen, auch Plattformen wie LinkedIn. Hierbei geht es um die Meldung eines Posts als gegen die Regeln der Plattform verstoßend. Oftmals ist es nur eine Frage der Quantität der Meldungen, die zu einer Löschung des Inhalts führt. Auch mit dem DSA gibt es hier bei vielen Anbietern bisher keine Transparenz für solche Löschungen oder Sperrungen. Auch sind die Mittel sich hiergegen zu wehren meistens nicht gegeben. Vor Gericht ziehen, was viel Geld kostet, tun die wenigsten und ist meistens auch nicht hilfreich, weil das Verfahren zu lange dauert.

Ich bedanke mich für Ihre Aufmerksamkeit und hoffe, dass die Themen interessant waren. Für den nächsten Newsletter habe ich dann wirklich, wie schon versprochen, die neu geschaffene Stelle des KidD zur Umsetzung des Digital Service Act und des DDG auf meiner Liste.

Herzliche Grüße

Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter

Ich möchte mich vom Newsletter abmelden. Ich habe Fragen zu meinen Rechten und möchte die Datenschutzerklärung lesen. Ich weiß nicht, warum ich diese E-Mail bekomme oder möchte dem Absender eine Nachricht schicken.

Der Verfasser ist IT-Sicherheitsbeauftragter (ISB) sowie Datenschutzbeauftragter (DSB) und führt die Befähigung nach Artikel 37 DS-GVO sowie § 38 BDSG. Im Rahmen der Dienstverhältnisse mit Kunden besteht für die Richtigkeit der im Newsletter gemachten Aussagen eine Haftung gemäß den vertraglichen Vereinbarungen. Eine Haftung für sonstige Abonnent*innen des Newsletters, die kein Dienstverhältnis mit dem Verfasser haben, wird ausgeschlossen. Es wird darauf hingewiesen, dass der Newsletter sich auf die Rechtslage im Sinne des Datenschutzes bezieht. Sachverhalte können im Sinne des Datenschutzes rechtskonform sein, jedoch trotzdem gegen andere Rechtsnormen verstoßen und aufgrund dieser nicht erlaubt sein. Der Newsletter beinhaltet allgemeine Information und stellt keine Rechtsberatung dar.

IMPRESSUM:

Tobias Lange - Unternehmensberater

Externer Datenschutzbeauftragter (DSB)
IT-Sicherheitsbeauftragter (ISB)
Zustellungsfähige Anschrift:
Berner Heerweg 246, 22159 Hamburg
Steuernummer: 50/139/02404
Finanzamt Hamburg Oberalster
Email: info@tl-datenschutz,de
Web:www.tl-datenschutz.de