Verbesserungspotenziale bei Passwortmanagern
Die Untersuchung des BSI, in Kooperation mit dem FZI Forschungszentrum Informatik, offenbart signifikante Verbesserungspotenziale bei Passwortmanagern. Angesichts der sensiblen Daten, die in diesen Systemen gespeichert werden, ist ihre IT-Sicherheit von höchster Bedeutung für Unternehmen und Organisationen.
Die Sicherheit von Passwortmanagern ist eine zentrale Herausforderung in der heutigen digitalen Landschaft. Diese Tools speichern kritisch wichtige Informationen, was ihre Anfälligkeit für Angriffe und Datenverluste verstärkt. Die Ergebnisse der BSI-Untersuchung zeigen, dass viele Passwortmanager nicht den strengen Sicherheitsanforderungen genügen, was potenziell gravierende Folgen für Unternehmen haben kann.
Ergebnisse der Untersuchung
Im Rahmen der Prüfung wurden die IT-Sicherheitseigenschaften von zehn gängigen Passwortmanagern analysiert. Die Ergebnisse zeigen, dass in Bezug auf Security-Standards und Verschlüsselungsverfahren deutliche Mängel bestehen. Viele der Systeme sind nicht ausreichend gegen moderne Angriffstechniken gewappnet.
Hohe Anforderungen an IT-Sicherheit
Die Speicherung von Passwörtern und sensiblen Daten erfordert besonders hohe Sicherheitsstandards. Unternehmen müssen darauf achten, dass ihre Passwortmanager durch starke Verschlüsselungen und regelmäßige Sicherheitsupdates geschützt sind. Die Ergebnisse der Untersuchung verdeutlichen, dass nicht alle Anbieter diese Anforderungen erfüllen.
Risiken durch unzureichende Sicherheitsstandards
Ein unzureichend geschützter Passwortmanager kann erhebliche Risiken für Unternehmen darstellen. Datenverluste können nicht nur hohe finanzielle Schäden verursachen, sondern auch zu einem Verlust des Vertrauens bei Kunden und Partnern führen. Daher ist es entscheidend, solche Systeme regelmäßig zu evaluieren und gegebenenfalls zu ersetzen.
Strategische Relevanz für Unternehmen
Das Thema IT-Sicherheit hat in der modernen Unternehmensstrategie höchste Priorität. Entscheider müssen sicherstellen, dass alle eingesetzten Tools, insbesondere Passwortmanager, den neuesten Sicherheitsstandards entsprechen. Die Analyse des BSI unterstreicht die Notwendigkeit einer hochwertigen Durchführung von Security-Checks.
Fazit: Wichtigkeit von Passwortmanagern
Die Untersuchung des BSI hebt die essenzielle Rolle von Passwortmanagern in der IT-Sicherheit hervor. Unternehmen sollten sich der Bedeutung dieser Tools bewusst sein und regelmäßig prüfen, ob sie den geforderten Sicherheitsstandards gerecht werden. Die daraus gewonnenen Erkenntnisse können nicht nur einen Beitrag zur Einhaltung von Compliance-Vorgaben leisten, sondern auch wirtschaftliche Schäden und Reputationsrisiken minimieren.
Um die IT-Sicherheit in Ihrem Unternehmen nachhaltig zu verbessern, sollten Sie regelmäßige Security-Checks durchführen und die Weiterentwicklung von Angriffstechniken konstant im Blick behalten. Es ist unerlässlich, IT-Security als strategische Aufgabe von höchster Dringlichkeit zu betrachten. Stellen Sie sicher, dass alle Maßnahmen zur Prävention gegen Datenverlust und Cyberangriffe umfassend und wirkungsvoll sind.
Sprechen Sie mit uns
Tulos unterstützt Sie als kompetenter Partner bei der Umsetzung effektiver Datenschutz- und Sicherheitsmaßnahmen. Informieren Sie sich über unsere Dienstleistungen unter Daten-Sicherheits-Audit.
Quelle: bsi.bund.de
KI Verarbeitung bei Meta widersprechen
Tulos begrüßt neue Technologien, auch künstliche Intelligenz (KI)
Die Nutzung von Künstlicher Intelligenz ist für viele Unternehmen unverzichtbar geworden. Dabei ist es aber immer entscheidend, die Kontrolle über die verwendeten Daten und gewonnene Erkenntnisse zu behalten.
Der Facebook-Konzern Meta ist führend in der Entwicklung und Nutzung von KI-Technologie. Nun möchte er auch persönliche Informationen seiner Nutzer*innen für das Training seiner KI-Plattformen verwenden.
Als Nutzer*in von Facebook, WhatsApp oder Instagram haben Sie Einfluss darauf, was Sie über diese Plattformen teilen. Allerdings bleibt unklar, wie Meta diese Daten nutzt und welche Kontrolle Sie darüber haben.
— > bis zum 26. Mai kann man dem widersprechen
Tulos hat eine Schritt-für-Schritt-Anleitung wie Sie auf Facebook widersprechen können:
Klicken Sie hier!
Was passiert eigentlich bei
einem Datenschutz-Audit?
Im folgenden Video erklärt Tulos-Gründer und Datenschutzexperte Roderich Pilars de Pilar wie ein Datenschutz-Audit abläuft und warum sich so etwas für Ihr Unternehmen lohnt.
Datenschutz Audit
Datenschutz-Audit mit Tulos: Risiken erkennen – Sicherheit schaffen
Warum Geschäftsführer handeln sollten
Im Ernstfall zählen nur nachweisbare und wirksam umgesetzte Maßnahmen. Ein professionelles Datenschutz-Audit durch Tulos Experten reduziert konkret zwei zentrale Risiken:
1. Haftungs- und Bußgeldrisiken
Im Fall einer Klage oder behördlichen Prüfung kann ein fehlender Nachweis der DSGVO-Konformität schnell zu Strafen und Schadensersatzforderungen führen. Tulos sorgt für dokumentierte Nachweise.
2. Cyberrisiken
Während der Audits für DSGVO nehmen unsere Experten nicht nur die Formalitäten auf, hierbei decken wir meistens auch Schwachstellen in der Datenverarbeitung auf.
Ergebnis: Sie erhalten praxisnahe und umsetzbare Maßnahmen für die gesetzlichen Datenschutzvorschriften als auch Empfehlungen zur Risikoreduktion.
Warum sind Datenschutz-Audits so wichtig für Unternehmen?
Alle Unternehmen haben eine Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO. Wer also im Schadensfall oder bei Abmahnungen die DSGVO Konformität nicht beweisen kann, muss mit Strafen oder Schadensersatzkosten rechnen.
Es ist also dringend empfohlen die Datenverarbeitung regelmäßig zu überprüfen. Ein Datenschutz-Audit eignet sich bestens für den Nachweis der DSGVO Konformität. Ein Audit pro Jahr ist zwar nicht vorgeschrieben, aber für die glaubhafte Rechenschaftspflicht dringend empfohlen.
Was beinhaltet die Rechenschaftspflicht?
Ein Unternehmen muss dafür sorgen, dass die vorgeschriebenen Datenschutzgrundsätze eingehalten sind. Zu diesen Grundsätzen gehören:
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
- Zweckbindung
- Datenminimierung
- Richtigkeit
- Speicherbegrenzung
- Integrität und Vertraulichkeit
Was ist Inhalt eines Datenschutz Audit?
Um zu überprüfen ob Datenschutzgrundsätze eingehalten sind, sieht die DSGVO einige Kontrollmechanismen vor. Hierbei geht es vor allem darum, durch präventive Maßnahmen den Schutz von Daten zu sicherzustellen. Durch die Implementierung von Maßnahmen, Richtlinien und Verhaltensregeln innerhalb des Unternehmens, werden hohe und teilweise irreparable Schäden durch Vorfälle verhindert.
Diese Schutzfunktion kann aber nur dann erfüllt werden, wenn die Maßnahmen tatsächlich angewendet und regelmäßig überprüft werden.
Zu diesem Zweck sollten Unternehmen regelmäßig Datenschutz-Audits durchführen und sicherstellen, dass alle Vorgänge und Prozesse der Datenverarbeitung datenschutzkonform sind.
Mögliche Inhalte eines jährlichen Audits sind:
- Getroffene Datenschutz Maßnahmen und Überprüfung des Vorjahres
- Kontrolle der aktuellen Datenschutzsituation des Unternehmen (Fokus auf die Stärken und Schwächen der IT-Umgebung, datenschutzrechtlicher Handlungsbedarf)
- Durchgeführte und geplante Mitarbeiterschulungen
- Relevante Änderungen und Entwicklungen der Gesetzgebung und Rechtsprechung
- Sichtung und Prüfung der relevanten Dokumente:
Verfahrensverzeichnisse, TOM´s, Datenschutzkonzepte, Richtlinien, AVV
Fazit:
Kontrolle schafft Sicherheit
Eine sichere Datenverarbeitung lebt nicht nur von implementieren Maßnahmen und deren Dokumentation. Genauso wichtig ist die Kontrolle.
Kostenpunkt:
Tulos Lead Auditoren führen Audits ab 500,00€ durch.
Was passiert eigentlich bei
einem Datenschutz-Audit?
Im folgenden Video erklärt Tulos-Gründer und Datenschutzexperte Roderich Pilars de Pilar wie ein Datenschutz-Audit abläuft und warum sich so etwas für Ihr Unternehmen lohnt.
Richtlinie zur Nutzung von Künstlicher Intelligenz
Füllen Sie jetzt das Formular aus und erhalten Sie kostenfrei eine Textvorlage: „Betriebliche Richtlinie zur Nutzung von Künstlicher Intelligenz (KI)“
per E-Mail zugeschickt. Diese Richtlinie stellt keine juristische Beratungsleistung dar.
Die 8 Gebote bei der Nutzung von KI in Unternehmen
Künstliche Intelligenz (KI) kann den Arbeitsalltag vereinfachen, Kreativität fördern und Prozesse effizienter gestalten.
KI bringt aber auch neue Herausforderungen mit sich – insbesondere im Hinblick auf Datenschutz, Qualitätssicherung und ethische Verantwortung.
Diese 8 Gebote bieten allen Mitarbeitenden eine klare Orientierung für den sicheren, verantwortungsvollen und sinnvollen Umgang mit KI im Unternehmen.
- Gebot: Du sollst nur freigegebene KI-Tools nutzen
Verwende ausschließlich KI-Anwendungen, die von deiner IT-Abteilung oder Datenschutzstelle freigegeben wurden. Nicht geprüfte oder frei verfügbare Tools können Daten missbrauchen oder gegen gesetzliche Vorgaben verstoßen.
- Gebot: Du sollst Ergebnisse der KI kritisch prüfen
KI liefert keine Wahrheiten – sie erstellt Vorschläge auf Basis von Wahrscheinlichkeiten. Überprüfe deshalb alle Inhalte, Fakten oder Empfehlungen sorgfältig, bevor du sie nutzt oder weiterverbreitest.
- Gebot: Du sollst keine sensiblen oder personenbezogenen Daten in KI Systeme eingeben
Gib niemals Namen, E-Mail-Adressen, Fotos, Audio- oder Videoaufnahmen von Personen in KI-Systeme ein – auch nicht intern. Gleiches gilt für vertrauliche Informationen, Geschäftsgeheimnisse oder geschützte Dokumente. Nutze Anonymisierung und Datenreduktion als Standard.
4. Gebot: Du sollst Transparenz schaffen und DeepFakes vermeiden
Kennzeichne KI-generierte Inhalte entsprechend den gesetzlichen Vorgaben. Simuliere keine menschliche Kommunikation, wo tatsächlich eine KI antwortet.
Achtung! Die bewusste Nachbildung geschützter Werke (z. B. Texte, Bilder, Musik) ist sogar verboten.
- Gebot: Du sollst Kontrolle behalten und Entscheidungen selbst treffen
KI kann unterstützen, aber nicht entscheiden. Du bist für das Ergebnis verantwortlich – nicht die Maschine. Nutze KI als Werkzeug, nicht als Ersatz für dein Urteilsvermögen.
- Gebot: Du sollst deine Kompetenzen stetig erweitern
Lerne, wie KI funktioniert und wo ihre Grenzen liegen. Nimm an Schulungen teil, probiere aus und tausche dich mit Kolleg*innen aus. Nur wer versteht, wie KI denkt, kann sie sicher und sinnvoll einsetzen.
- Gebot: Du sollst den sozialen Zusammenhalt im Team wahren
Beobachte, wie KI die Zusammenarbeit verändert. Achte darauf, dass zwischenmenschliche Beziehungen, Kreativität und gemeinsames Lernen nicht durch Automatisierung ersetzt werden. Technologie ist Mittel zum Zweck – nicht umgekehrt.
- Gebot: Du sollst mit Offenheit und Verantwortung experimentieren
Der Umgang mit KI ist neu – deshalb braucht es Mut zum Ausprobieren, aber auch klare Leitplanken. Teile Erfolge und Misserfolge, entwickle Prozesse weiter und bleibe reflektiert.
Der bewusste Umgang mit KI soll Teil der Unternehmenskultur sein.
Hinweis für Arbeitgeber
Der Einsatz von KI in Unternehmen erfordert klare Richtlinien, die bei Haftungsklagen nachgewiesen werden müssen.
Hier finden Sie eine mögliche Textvorlage für Richtlinien zur Nutzung von KI im Unternehmen.
Frage Tulos Consulting Experten für weitere Informationen zu Künstlicher Intelligenz (KI)!
„Künstliche Intelligenz“: Hinweise für Datenschutzbeauftragte
Hinweise für Datenschutzbeauftragte „Künstliche Intelligenz“
1. Verarbeitung personenbezogener Daten mit KI-Systemen
Die Verarbeitung personenbezogener Daten mit KI-Systemen muss immer den Vorschriften der DSGVO entsprechen. Daher sind sowohl die Richtlinien der KI-Verordnung (KI-VO) als auch die der DSGVO zu beachten.
1.1. Beispiele für die Verarbeitung personenbezogener Daten mit KI:
- Training von KI-Systemen mit Datensätzen, die personenbezogene Daten enthalten.
- Eingabe personenbezogener Daten in den Prompt eines Sprachmodells.
- Verwendung eines KI-Systems zur Zusammenfassung von Dokumenten mit personenbezogenen Daten.
- Auswertung von Gesundheitsdaten in einer Fitness-App mithilfe von KI.
Besonders wichtig ist, dass für jede Datenverarbeitung eine rechtliche Grundlage vorhanden ist. Bei der Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 DSGVO müssen zusätzliche Anforderungen erfüllt werden.
2. Automatisierte Einzelfallentscheidungen
Automatisierte Einzelfallentscheidungen, die rechtliche Wirkung entfalten oder die betroffene Person erheblich beeinträchtigen, sind gemäß Artikel 22 DSGVO grundsätzlich verboten. Menschen sollen nicht ausschließlich von Maschinen getroffenen Entscheidungen abhängig sein.
Wenn KI-Systeme in diesem sensiblen Bereich eingesetzt werden sollen, müssen folgende Voraussetzungen erfüllt sein:
- Es muss eine der Ausnahmen aus Artikel 22 Absatz 2 DSGVO vorliegen.
- Die Anforderungen aus Artikel 22 Absatz 4 DSGVO müssen bei der Verarbeitung besonderer Kategorien personenbezogener Daten eingehalten werden.
- Die Transparenzanforderungen aus Artikel 22 Absatz 3 DSGVO sowie gegebenenfalls aus § 31 Bundesdatenschutzgesetz (BDSG) müssen erfüllt werden.
3. Informationspflichten und Transparenzpflichten
Die Informationspflichten gemäß Artikel 13 und 14 DSGVO sowie die Transparenzpflichten der KI-VO müssen unabhängig voneinander eingehalten werden.
Möglicherweise muss laut Artikel 13 DSGVO über die KI als Empfänger von personenbezogenen Daten informiert werden.
Das KI-System muss im Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO aufgeführt werden.
4. Datenschutz-Folgenabschätzung
Eine Datenschutz-Folgenabschätzung (Artikel 35 DSGVO) ist notwendig, wenn KI-Systeme als „neue Technologie“ eingesetzt werden und ein hohes Risiko für die Rechte und Freiheiten von Personen besteht.
Öffentliche Einrichtungen und private Anbieter öffentlicher Dienste müssen vor dem Einsatz eines KI-Systems möglicherweise auch eine Grundrechte-Folgenabschätzung (Artikel 27 KI-VO) durchführen. Dies gilt insbesondere, wenn KI-Systeme zur Kreditprüfung, Bonitätsbewertung oder Risikoprüfung bei Versicherungen eingesetzt werden sollen.
5. Auskunftsrecht
Die Rechte der betroffenen Personen nach den Artikeln 12 bis 23 DSGVO stellen für Betreiber von KI-Systemen eine erhebliche Herausforderung dar. Besonders das Auskunftsrecht erfordert aufwändige Prozesse, um sicherzustellen, dass Anfragen korrekt und zeitnah beantwortet werden.
6. Drittlandtransfer
Werden personenbezogene Daten außerhalb der EU und des EWR verarbeitet, müssen die Anforderungen an die Übermittlung in Drittländer (Artikel 44 ff. DSGVO) eingehalten werden.
