Der Bayerische Landesbeauftragte für den Datenschutz; Stand: 18.07.2007
Nahezu jede öffentliche Stelle ist heutzutage an das Internet angeschlossen, verfügt über einen eigenen Web-Auftritt und bietet seinen Mitarbeitern die Möglichkeit, die Dienste des Internets (z. B. WWW, E-Mail) zu dienstlichen Zwecken zu nutzen.
So richtig und wichtig es auch für Behörden ist, sich im Internet zu präsentieren und den Bediensteten die Möglichkeit zu geben, sich weit reichende Informationen zu beschaffen, dürfen dabei natürlich nicht die mit dem Anschluss an das Internet verbundenen Risiken und Gefährdungen für die Datensicherheit vernachlässigt werden. Es müssen daher entsprechende Maßnahmen ergriffen werden, um sowohl das eigene Netz gegenüber Eindringversuchen aus dem Internet abzuschotten als auch die Sicherheit der Übermittlung personenbezogener Daten über das Internet zu gewährleisten. Es sind auch viele öffentliche Stellen dazu bereit, entsprechende technische Sicherheitsmaßnahmen (z. B. Einsatz einer Firewall, Installation von Schadenssoftwarebekämpfungsprogrammen) zu ergreifen. Dabei wird aber häufig übersehen, dass mit technischen Einrichtungen alleine sich nicht alle Sicherheits- und Risikoaspekte hinreichend berücksichtigen lassen, geschweige denn abdecken. Der zweiten Seite der Medaille "Sicherheit", nämlich der lokalen Sicherheitsorganisation im eigenen Netz und dem Faktor Mensch (sprich: eigenen Mitarbeiter), wird daher manchmal zu wenig Aufmerksamkeit geschenkt.
Im Folgenden wird davon ausgegangen, dass für das vorhandene lokale Netz ein schlüssiges Sicherheitskonzept bereits vorhanden und umgesetzt ist. Deshalb soll hier darauf nicht weiter eingegangen werden. Das Augenmerk soll vielmehr auf den Benutzer, d.h. den eigenen Mitarbeiter, gelegt werden.
Entscheidend für die Wandlung des potenziellen Unsicherheitsfaktors in den Sicherheitsfaktor Mitarbeiter ist, dass jedem
deutlich und bewusst sind bzw., soweit noch erforderlich, deutlich und bewusst gemacht werden.
Gerade der Aspekt der "eingeschränkten Handlungsfreiheit" bereitet gelegentlich Schwierigkeiten. Sehr häufig ist die - menschlich nur allzu verständliche - Haltung "Ich brauche vollen Zugang und jeden Dienst, sonst kann ich meine Aufgabe nicht erfüllen" anzutreffen. In den meisten Fällen dürfte dieser Anspruch aber einer an objektiven Maßstäben orientierten Überprüfung nicht standhalten. Hier ist eine klare Führungsentscheidung zugunsten einer bedarfsgerechten Rechtevergabe gefordert und diese muss dem Mitarbeiter auch verständlich und nachvollziehbar erläutert werden.
Neben einer umfassenden Aufklärung, z.B. durch konzertierte, interne Informationsveranstaltungen der Behördenleitung, der Personalvertretung, des behördlichen Datenschutzbeauftragten und der EDV-Verantwortlichen, und einer intensiven Benutzerbetreuung, die sich nicht nur auf die Erklärung und Einweisung in die Handhabung der verschiedenen Internet-Dienste beschränkt, ist die Herausgabe von Benutzerrichtlinien ein wesentlicher Meilenstein zur Erreichung des Zieles "Sicherheit".
Hinweis: Für die Nutzung von Internet und E-Mail in der bayerischen Staatsverwaltung hat die Zentrale IuK-Leitstelle des Bayerischen Staatsministeriums des Innern eine gleichnamige Richtlinie (BayITR-05) erlassen.
Wichtig erscheint auch, dass jeder Benutzer seine eigene Ausfertigung der Benutzerrichtlinien erhält, seine Ansprechpartner für etwaige Probleme, Schwierigkeiten und Wünsche kennt und die Personalvertretung und der behördliche Datenschutzbeauftragte entsprechend mit eingebunden werden.
Zu regeln ist natürlich auch, ob eine private Internet- und E-Mail-Nutzung erlaubt ist, da dies Auswirkungen auf die möglichen Sicherheitsmaßnahmen hat. So ist beispielsweise eine Protokollierung des Datenverkehrs grundsätzlich nur bei Verbot einer privaten Nutzung und nach ordnungsgemäßer Beteiligung des Personalrats möglich. Gestattet der Dienstherr auch die private Nutzung von Internet und E-Mail, ist er Diensteanbieter im Sinne des Telemediengesetzes. Damit gilt das Fernmeldegeheimnis gem. § 88 TKG. Das Fernmeldegeheimnis umfasst nicht nur den Inhalt der Kommunikation, sondern auch deren nähere Umstände (Wer hat mit wem kommuniziert?). Nach § 88 Abs. 3 TKG ist es untersagt, sich über das für die Erbringung der Telekommunikationsdienste erforderliche Maß hinaus Kenntnis vom Inhalt oder den näheren Umständen der Telekommunikation zu verschaffen. Im Falle der Zulassung der privaten Nutzung ist daher, wenn sich - wie in der Regel - die private von der dienstlichen Nutzung technisch nicht trennen lässt, die Protokollierung nur zulässig, soweit sie zu Zwecken der Datenschutzkontrolle, der Datensicherung, zur Sicherung des ordnungsgemäßen Betriebs oder für Abrechnungszwecke erforderlich ist oder die Betroffenen eingewilligt haben.
Die wesentlichen Inhalte dieser Benutzerrichtlinien ergeben sich aus den obigen Ausführungen sowie aus dem nachfolgenden Beispiel. Die kursiv geschriebenen Begriffe bzw. Passagen sind durch die jeweils eigene, zutreffende Bezeichnung zu ersetzen bzw. - bei Bedarf - näher auszuführen oder wegzulassen.
der ____Dienststelle____
für die Nutzung des Internets
Über das lokale Netz unserer Dienststelle ist ein Internetzugang bereitgestellt worden. Als Mitarbeiter, der für die Nutzung der Dienste des Internet berechtigt ist, sind Sie über dieses von außen __(mittelbar bzw. unmittelbar)__ erreichbar. Desgleichen können Sie dienststelleneigene Informationen über das Internet an andere übermitteln bzw. im Internet bereitstellen.
Im Internet sind grundsätzlich keinerlei Maßnahmen zur Sicherstellung der Integrität, Vertraulichkeit und Authentizität der übertragenen Daten, der Kommunikation und der Kommunikationspartner an sich vorgesehen und realisiert. Die Auswahl und die Anwendung von geeigneten Datensicherheits- und Datenschutzmaßnahmen sind im Internet also jedem Teilnehmer selbst überlassen.
Die Auswahl der zu ergreifenden Sicherheitsmaßnahmen wurde durch die Leitung der Dienststelle getroffen; ebenso deren technische Realisierung. Diese Maßnahmen können aber nur zu einem gewissen Teil von sich aus ihre Wirksamkeit entfalten. Ein ganz entscheidender Faktor zur Gewährleistung und Verbesserung des vorhandenen Sicherheitsniveaus ist deren konsequente und gewissenhafte Anwendung in der täglichen Arbeit durch jeden Einzelnen.
Daher sind die Kenntnis dieser nachfolgenden Regelungen und deren Einhaltung durch jeden einzelnen berechtigten Mitarbeiter eine wesentliche Voraussetzung für die Gewährleistung der Sicherheit dieses Kommunikationsmittels und unserer Dienststelle.
Jede Missachtung und Nichteinhaltung dieser Regelungen gefährdet nicht nur die Vertraulichkeit, Verfügbarkeit und Integrität der von Ihnen auf Ihrem eigenen DV-System unmittelbar be- und verarbeiteten Daten, sondern es wird dadurch auch die Vertraulichkeit, Verfügbarkeit und Integrität aller sonstigen dienststelleneigenen Daten gefährdet.
Diese Benutzerrichtlinien stehen ergänzend zu den sonstigen geltenden Regelungen und Vorschriften bzgl. der Anwendung von Informationstechnik und für den Umgang mit personenbezogenen oder sonstigen schutzwürdigen Daten.
Verstöße gegen diese Benutzerrichtlinien und die sonstigen Regelungen und Vorschriften bzgl. der Anwendung der Informationstechnik und bzgl. des Umgangs mit personenbezogenen Daten können dienst- und arbeitsrechtliche sowie strafrechtliche Konsequenzen haben. __Sie können auch Grund für eine fristlose Kündigung sein.__
Der Benutzer
Eine Ausfertigung erhält darüber hinaus der behördliche Datenschutzbeauftragte, eine weitere Ausfertigung wird zum Personalakt genommen.
___________ __________
(Ort, Datum) (Benutzer)