20230911 Anbieter sollen Passworte herausgeben

11.09.2023 Anbieter sollen Passworte herausgeben

... die sie nicht haben - Vertrauen in Digitalisierung verspielt

Da schauen wir bei Gesetzesänderungen eigentlich aus schlechter Erfahrung etwas genauer hin und trotzdem ist die Änderung von Telemediengesetz (TMG) und des Netzwerkdurchsetzungsgesetz (NetzDG) im Winter und Frühjahr 2020 durch das Gesetz "zur Bekämpfung des Rechtsextremismus und der Hasskriminalität" zwar nicht völlig an uns vorbeigegangen, aber wir haben ein "Hintertürchen" übersehen was die damit verknüpften Grundrechtseingriffe noch viel größer macht.

Jetzt 3 Jahre danach kann man zwar sagen, den Dammbruch des Rechtsstaates hat es nicht gegeben, weil die Gesetze-Schreiber wie üblich weit von der technischen Realität entfernt waren. Doch der Reihe nach - was waren die Inhalte?

Die begehrten Bestandsdaten sollen generell neben Strafverfolgern und sämtlichen Geheimdienste auch Ämter in die Hände bekommen, die etwa Ordnungswidrigkeiten oder Schwarzarbeit ahnden.
Der Auskunftsanspruch soll "soweit dies zur Durchsetzung der Rechte am geistigen Eigentum erforderlich ist", also zum Verfolgen von Urheberrechtsverletzungen, genutzt werden.
Zu den abfragbaren Daten gehören ausdrücklich auch Daten auf räumlich getrennten Speichereinrichtungen (Cloud).
Passwörter sollen Behörden erhalten, die "besonders schwere Straftaten" verfolgen oder für die "Abwehr von Gefahren für die öffentliche Sicherheit oder Ordnung zuständig" sind.

Passwörter?

Regen wir uns an dieser Stelle nicht schon wieder über "Ordnungswidrigkeiten" und die Gelddruckmaschine für Abmahnanwälte auf, das hatten wir damals bei der Novelle vor 3 Jahren bereits getan. Aber der Cloudzugriff und die Herausgabe von Passwörtern haben es in sich. Wir verstehen noch, dass der Serverbetreiber auf die Cloud (auf seinem Server) zugreifen kann, nehmen aber an, dass die persönlichen Daten der Nutzer verschlüsselt abgelegt werden und nach allgemeiner Rechtsauffassung der Serverbetreiber das Passwort, wie auch alle anderen Nutzerpasswörter nicht im Klartext speichert.

Denn das Gesetz verlangt von Telemedienanbieter im Einklang mit der Datenschutz-Grundverordnung (DSGVO) und den gängigen IT-Sicherheitsbestimmungen, dass Passwörter verschlüsselt gespeichert werden müssen. Den Serverbetreibern sind also nur irgendwelche Hashwerte bekannt, niemals jedoch die wirklichen Passworte. Also können auch Sicherheitsbehörden im Normalfall von den Betreibern auch keine erhalten.

Das zeigt wieder einmal, wie wichtig es ist, nicht irgendwelche Anbieter für die Aufbewahrung der eigenen Daten zu wählen - und vor allem keine, die nach US-Recht nicht an die DSGVO gebunden sind.

So gab es 3 Jahre nach der Gesetzesänderung auch kaum sensationelle Fälle von Passwortherausgaben. Trotzdem hätten wir vor 3 Jahren vor der Gefahr warnen müssen, denn ständig machen auch IT-Verantwortliche Fehler und können damit die ihnen anvertrauten Daten ihrer Kunden in Gefahr bringen.

Kritisieren müssen wir - auch nach 3 Jahren, denn ihre Begehrlichkeiten sind inzwischen nicht kleiner sondern größer geworden - die Regierenden, dass sie mit solchen Gesetzen das Vertrauen in die Datenverarbeitung untergraben und damit ihren eigenen Digitalisierungswahn selbst boykottieren.

Mehr dazu bei https://www.heise.de/news/Kampf-gegen-Hass-Bundesregierung-stimmt-fuer-Pflicht-zur-Passwortherausgabe-4663947.html