Der behördliche Datenschutzbeauftragte der Frankfurt UAS

Wer eine E-Mail versendet, sollte wissen, dass er damit praktisch in einem elektronischen Netz eine Postkarte versendet, die von einer unbekannten Zahl von Personen gelesen werden kann. Vertrauliche und sensible personenbezogene Daten gehören deshalb nicht in eine ungeschützte E-Mail. Diese Feststellung gilt insbesondere für E-Mail, die Informationen über Beschäftigte oder Studierende zum Gegenstand haben. Diese sollten auf elektronischem Weg nur versandt werden, wenn sie durch entsprechende Programme verschlüsselt sind. Das mindestens ist der Schutz der Informationen sowie beigefügter Dokumente durch ein Passwort.

Das persönliche Passwort öffnet den Zugang zu IT-Anwendungen. Wer es kennt, hat Zugang zu allen Möglichkeiten eines Systems, die bestimmten Personen offen stehen.

Ein sicheres Passwort sollte deshalb nie ein Wort sein, das im Duden steht (z. B. Namen oder Einzelbegriffe). Derartige Passworte lassen sich mit entsprechenden Programmen relativ einfach "knacken". Erforderlich ist vielmehr die Verwendung von "gemischten" Passworten, die numerische und alphanumerische Zeichen sowie Symbole enthalten (z. B. "123Hase!?"). Auch Sätze sind denkbar und relativ sicher (z. B. "Wieder3?vergessen!").

Ein sicheres Passwort sollte nirgends aufgeschrieben und nur dem Verwender bekannt sein. Dabei sollte sich beispielsweise jede/r bewußt machen, dass sie/er im Streitfall beweisen muss, dass eine unzulässige oder mißbräuchliche IT-Nutzung nicht von ihr/ihm durchgeführt worden ist.

Ein Passwort bleibt nur sicher, wenn es regelmäßig verändert wird (Wochen- oder mindestens Monatsturnus!).

Bei der Eingabe des Passwortes sollten Dritte nicht zuschauen können ("über die Schulter sehen"). Eines Dritten bekannt gewordenes Passwort sollte sofort geändert werden.

Die Einhaltung der vorstehenden Tipps, die einfach umsetzbar sind, sollte allen Beschäftigten selbstverständlich sein.

Weitere Informationen zum Thema „Sichere Passwörter“ finden Sie im „Ratgeber zum Datenschutz Nr. 3“ des Berliner Beauftragten für Datenschutz und Informationsfreiheit.

Ein dienstlich genutztes persönliches Passwort darf nur der Nutzerin / dem Nutzer selbst bekannt sein. Hieraus folgt, dass es nicht an Kolleginnen / Kollegen bzw. an Vorgesetzte weiter gegeben werden darf. Unzulässig ist damit auch das Verlangen der Herausgabe des persönlichen Passworts (etwa vor Antritt des eigenen Urlaubs). Werden bestimmte Dateien während der Abwesenheit von anderen Personen benötigt, müssen diese in für sie zugängliche Bereiche eingestellt werden.

In IT-Systemen enthaltene Informationen (Dateien, Texte usw.) sind nur dann gegen den Zugriff Dritter geschützt, wenn sie mit einem sicheren Verfahren verschlüsselt sind. Personenbezogene Informationen in dienstlichen Angelegenheiten sollten als E-Mail grundsätzlich nur verschlüsselt über öffentliche Netze versendet werden.

Entsprechendes gilt natürlich auch für andere Dateien (insbesondere Textdokumente, Tabellenkalkulationen usw.), wenn diese personenbezogene Daten enthalten. Hier sollten in jedem Fall die Passwortfunktionen genutzt werden, die praktisch alle Programme anbieten. Bei der elektronischen Übermittlung besonderer personenbezogener Daten (hierzu gehören nach § 7 Abs. 3 HDSG Daten zur Gesundheit, zum Sexualleben, zur politischen Überzeugung, zur rassischen oder ethnischen Herkunft und zur religiösen oder philosophischen Überzeugung) müssen darüber hinaus weitere Vorkehrungen durch besondere Verschlüsselungen getroffen werden. Hierzu eignen sich allgemein zugängliche Programme wie „PGP“ oder „GnuPG“

Weitere Informationen zur Verschlüsselung finden Sie

• auf der Homepage des Unabhängigen Landeszentrums für Datenschutz
  Link zum Angebot