Was passiert in der Welt?
Während sich der Bereich Datenschutz in unserem Land rasant entwickelt, bleiben weltweite Innovationen weiterhin im Fokus der Datenschutzbehörde („Behörde“).
Anhand von Beispielen, mit denen wir bereits mehrfach konfrontiert wurden, können wir beobachten, dass die Behörde mit den Entwicklungen auf der weltweiten Agenda Schritt hält, insbesondere mit den Bestimmungen der Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“), und versucht, den Anforderungen der sich schnell verändernden Welt des Datenschutzes gerecht zu werden.
Als GRC Legal Law Firm verfolgen wir die weltweite Agenda aufmerksam und präsentieren Ihnen in diesem Beitrag eine Auswahl aktueller Informationen.
Die folgenden Nachrichten stammen aus dem Oktober 2022.
USA x EU
Der Präsident der Vereinigten Staaten („USA”), Joe Biden, hat eine Verordnung erlassen, die es der US-Regierung erstmals ermöglicht, problematische Aspekte der europäischen Überwachungsprogramme anzusprechen, um die im Rahmen des „US-EU-Datenschutz-Rahmenabkommens” vorgesehenen Verpflichtungen zur Ausräumung der Datenschutzbedenken der Europäischen Union („EU”) umzusetzen.
Mit diesem kürzlich von Präsident Joe Biden unterzeichneten Dekret wurde innerhalb des Justizministeriums ein Datenschutzgericht (Data Protection Review Court) eingerichtet, das es EU-Bürgern ermöglicht, Klage gegen die Erhebung und Verwendung ihrer Daten durch US-Geheimdienste zu erheben. Gleichzeitig wurden die Datenerhebungsaktivitäten der Geheimdienste auf notwendige und verhältnismäßige Verwendungen beschränkt.
Peter Harrell, Senior Director für internationale Wirtschaft und Wettbewerbsfähigkeit im Nationalen Sicherheitsrat des Weißen Hauses (White House National Security Council, „NSC”), erklärte, , dass der Schwerpunkt des von Joe Biden unterzeichneten Dekrets zwar darauf liege, die Datenübermittlung zwischen der EU und den USA aufrechtzuerhalten, während die Unternehmen die 2020 vom Europäischen Gerichtshof festgelegten Standards erfüllen, dass Joe Bidens Datenschutzrahmen diese Datenschutzrechte jedoch auch auf US-Bürger ausweiten werde.
Peter Harrell sagte auch, dass der US-Generalstaatsanwalt die EU im Rahmen des Datenschutzrahmens als qualifizierten Staat oder Gebiet einstufen müsse und dass dies der US-Regierung die Möglichkeit eröffnen würde, die Überwachungsmaßnahmen der EU zu bewerten.
Dieser Schritt ist ein wichtiger Gewinn für die US-Regierung, die seit langem alle Trümpfe in den Datenflussverhandlungen in der Hand hält und erkannt hat, dass die nationalen Sicherheitsgesetze sogar noch strengere Standards als die EU-Vorschriften vorsehen. Nach dem neuen Rahmen kann die USA die Nutzung des Streitbeilegungsmechanismus (redress mechanism) für Länder oder Regionen, die ihre Standards nicht erfüllen, aussetzen.
Peter Harrell erklärte, dass die Entscheidung des Generalstaatsanwalts über die Ernennung durch die EU und/oder die einzelnen EU-Mitgliedstaaten in ihren jeweiligen Zuständigkeitsbereichen Gesetze enthalten werde, die angemessene Garantien für die Signalaufklärung in Bezug auf personenbezogene Daten von US-Bürgern bieten, die aus den USA in die EU übertragen werden.
Der Generalstaatsanwalt erklärte, dass er bei der Einstufung von Ländern oder Regionen als „qualifiziert” für den Streitbeilegungsmechanismus auch andere Faktoren berücksichtigen werde, beispielsweise ob diese mit den nationalen Interessen der USA vereinbar seien. Ein Vertreter der Europäischen Kommission räumte ein, dass die Benennung an sich keine Bewertung darstelle, dass jedoch eigene Sicherheitsmaßnahmen erforderlich seien.
„Der Streitbeilegungsmechanismus steht Ländern und regionalen Organisationen offen, die angemessene Sicherheitsmaßnahmen bieten und Datenübertragungsvereinbarungen mit den USA haben.” Dennoch sind der NSC und andere Vertreter der Regierung Joe Biden zuversichtlich, dass die Europäische Kommission die Verordnung genehmigen und den rechtlichen Einwänden von Datenschützern standhalten wird.
Der Datenschutzaktivist Max Schrems, der 2015 und 2020 Klagen zur Aufhebung des Privacy Shield eingereicht hatte, erklärte gegenüber einer nationalen Nachrichtenagentur, er habe die Einzelheiten von Joe Bidens Verordnung geprüft und wolle sich auf mögliche Schwierigkeiten vorbereiten. Max Schrems sagte: „Da sich an der massenhaften Überwachung nichts geändert hat, gehe ich davon aus, dass dies wieder vor den Europäischen Gerichtshof kommen wird.“
Die Verordnung wird wahrscheinlich nicht vor März 2023 von Brüssel genehmigt werden, aber die Unterzeichnung wird für Unternehmen, die Daten zwischen den beiden Ländern austauschen, einen erheblichen Vorteil bringen. Unternehmen können das unterzeichnete Abkommen über den Datenaustausch zwischen den USA und der EU bereits vor der Genehmigung durch die Europäische Kommission als Rechtsgrundlage nutzen. Dies kommt auch Unternehmen wie Facebook zugute, denen ohne angemessene Datenschutzvorkehrungen die Übermittlung von EU-Daten in die USA untersagt werden dürfte.
John Miller, Senior Vice President für Politik beim Information Technology Industry Council, sagte zu diesem Thema: „Die US-Regierung hat schnelle Gesetzesänderungen vorgenommen, die für die Verbesserung der geschäftlichen Zuverlässigkeit von Bedeutung sein werden.“
DSGVO x Vereinigtes Königreich
Die jüngsten Ankündigungen der britischen Regierung, die DSGVO zu ändern und das Datenreformgesetz auszusetzen, haben neue Fragen zur Datenäquivalenz des Vereinigten Königreichs („UK“) mit der EU aufgeworfen.
Dr. Sam De Silva, Vorsitzender des Chartered Institute for IT Law („BCS“) und Partner der internationalen Anwaltskanzlei CMS, warnte Unternehmen im Vereinigten Königreich davor, dass sie nach der Gesetzgebung möglicherweise „zwei Regulierungssystemen unterliegen“ könnten.
Dr. De Silva erklärte: „Das Vereinigte Königreich profitiert derzeit von einer EU-Angemessenheitsentscheidung, die den freien Fluss personenbezogener Daten von der EU in das Vereinigte Königreich erlaubt. Dennoch muss die EU-Kommission die Entwicklungen im britischen Recht kontinuierlich beobachten, um zu beurteilen, ob das Vereinigte Königreich weiterhin „grundlegende Angemessenheit” gewährleistet.
Eine erhebliche Abweichung von der DSGVO würde bedeuten, dass das Vereinigte Königreich seine Angemessenheit verlieren könnte. Interessanterweise hat Michelle Donelan, Ministerin für Digitales, Kultur, Medien und Sport (Department for Digital, Culture, Media & Sport, „DCMS”), in ihrer jüngsten Rede deutlich gemacht, dass sie beabsichtigt, die Angemessenheit des Vereinigten Königreichs zu erhalten, aber Dr. De Silva wies darauf hin, dass es unklar ist, wie dies in der Praxis möglich sein soll, wenn die Regierung plant, sich vollständig von der DSGVO zu entfernen.
Dr. De Silva sagte: „Wir brauchen mehr Details darüber, was das in der Praxis bedeutet. Eine der Interpretationen lautet: Es gibt keinen Plan, irgendeinen Aspekt der DSGVO im britischen Recht beizubehalten, und deshalb wurde das Datenreformgesetz nun aufgehoben, und der Grund dafür scheint zu sein, dass der Gesetzentwurf die DSGVO nur in bestimmten Bereichen geändert hätte.“
Dies deutet darauf hin, dass die Regierung einen „sanften Ansatz“ für die Regulierung anstrebt, aber es ist nicht ganz klar, was dies in der Praxis bedeutet. Ist das britische Recht beispielsweise in Bezug auf Inhalt und Struktur, d. h. unterschiedliche Verpflichtungen für Verantwortliche und Verarbeiter, bestimmte individuelle Rechte und Rechenschaftspflichten, immer noch „sichtbar und spürbar“? Oder wird die Regierung etwas völlig Neues vorschlagen? Die meisten britischen Unternehmen arbeiten seit mehr als vier Jahren mit der DSGVO und haben viel Zeit und Geld in die Erstellung und Umsetzung von Compliance-Programmen investiert.
Britische Unternehmen mit Kunden in der EU müssen unabhängig von den geltenden neuen britischen Gesetzen weiterhin die DSGVO einhalten, aber für britische Unternehmen besteht das Risiko, dass sie zwei Regulierungssysteme einhalten müssen. Es ist zu hoffen, dass die meisten Unternehmen sich für die strengeren Vorschriften entscheiden werden.
Dr. De Silva wies darauf hin, dass Gewinnverluste häufig von der Regierung (laut einem Bericht der Universität Oxford) als Grund für die Abschaffung der DSGVO angeführt werden, dass man jedoch aus drei Gründen mit dieser Schlussfolgerung vorsichtig sein sollte: Die negativen Auswirkungen, die wir auf die Unternehmensleistung beobachten, spiegeln möglicherweise teilweise die vorübergehenden Anpassungskosten wider. Wenn die DSGVO nach und nach zu einem globalen Standard wird, da immer mehr Länder ähnliche Vorschriften einführen, werden Unternehmen, die sich auf EU-Unternehmen konzentrieren, mit der Zeit weniger benachteiligt sein. In allen berechneten Bewertungen werden die potenziellen Vorteile für Bürger, die sich um den Datenschutz sorgen, in Bezug auf die Gesamtwohlfahrtseffekte offenbar nicht berücksichtigt.
Google x Incognito-Modus
Obwohl Google seinen Nutzern den Incognito-Modus (privater Modus) des Chrome-Webbrowsers nachdrücklich anpreist, wird behauptet, dass diese Funktion unter den Ingenieuren des Unternehmens nur ein Scherz ist.
Laut einem Bericht von Bloomberg machten sich die Google-Ingenieure bis 2018 über den Inkognito-Modus lustig, weil er ihrer Meinung nach aufgrund der verwendeten Bilder und Symbole unzureichend und schwach war, um das vom Inkognito-Modus versprochene Maß an „Privatsphäre” tatsächlich zu verbessern.
In einer von Bloomberg veröffentlichten Korrespondenz wird berichtet, dass ein Google-Ingenieur darauf hingewiesen habe, dass das Unternehmen sowohl das Spionagesymbol als auch den Namen „Inkognito” ändern müsse, da diese den Nutzern einen falschen Eindruck vermittelten. Das Problem liegt darin, dass Nutzer, die die Technologie nicht vollständig verstehen, beim Anblick des Inkognito-Symbols glauben, dass ihr Browser sie viel besser schützt und sie viel weniger sichtbar sind, als dies tatsächlich der Fall ist.
Ein anderer Mitarbeiter antwortete mit einem Bild von Guy Incognito, der Homer Simpson ähnelt, und erklärte, dass das Symbol eher dem Simpsons-Charakter ähneln sollte, da es „… den Grad der Privatsphäre richtig vermittelt”.
Wenn Sie den Inkognito-Modus von Chrome verwenden, verhindern Sie, dass der Browser Ihren Suchverlauf und andere private Daten speichert, und Sie verhindern auch, dass Chrome Ihre Suchsitzungen aufzeichnet. Mit anderen Worten: Durch die Aktivierung des Inkognito-Modus beim Surfen mit Chrome schützen Sie Ihre Privatsphäre besser. Dies kann beispielsweise auf einem Computer, den Sie mit Ihrem Mitbewohner teilen, nützlich sein, um zu verhindern, dass dieser heimlich Ihren Suchverlauf durchstöbert.
Auch wenn der Inkognito-Modus Privatsphäre bietet, maskiert er weder Ihre IP-Adresse noch Ihren Standort oder andere potenzielle Daten, die Sie identifizieren könnten. Es handelt sich nicht um ein VPN, und sein Hauptzweck besteht darin, Ihre Aktivitäten auf einer kleinen, vollständig lokalen Ebene zu verbergen. Auch wenn der Inkognito-Modus Ihren Verlauf nicht verfolgt, speichert er dennoch Ihre Lesezeichen und alle von Ihnen heruntergeladenen Dateien.
Die genannten Korrespondenzen tauchten im Rahmen einer Sammelklage gegen Google auf, in der behauptet wurde, dass das Unternehmen auch dann Daten von Nutzern sammelt, wenn diese den Inkognito-Modus verwenden, und vor allem, dass das Unternehmen diesen Nutzern vorgaukelt, ihre Daten seien geschützt. In diesem Zusammenhang erklärte ein Sprecher von Google gegenüber Bloomberg, dass das Unternehmen in Bezug auf den Inkognito-Modus „klar darüber ist, wie er funktioniert und was er tut”.
Meta x Quest Pro
Im November 2021 kündigte Facebook an, dass es Gesichtserkennungsdaten aus den Bildern von mehr als einer Milliarde Menschen löschen und die automatische Tagging-Funktion für Personen in Fotos und Videos einstellen werde.
Luke Stark, Assistenzprofessor an der Western University in Kanada, sagte damals gegenüber dem Magazin WIRED, er betrachte die Änderung der Richtlinien als PR-Taktik, da das Virtual-Reality-Projekt von Meta höchstwahrscheinlich zu einer erweiterten Erfassung physiologischer Daten führen und neue Datenschutzbedenken aufwerfen werde.
Das Unternehmen, das Facebook gegründet hat und sich nun Meta nennt, stellte seine neueste Virtual-Reality-Brille Quest Pro vor, womit sich Starks Vorhersage bewahrheitete. Das neue Modell verfügt über fünf nach innen gerichtete Kameras, die Augenbewegungen und Gesichtsausdrücke verfolgen und es einem Avatar ermöglichen, gleichzeitig Lächeln, Blinzeln oder Augenbrauenheben nachzuahmen. Mit fünf zusätzlichen Außenkameras soll es in Zukunft möglich sein, die gesamten Körperbewegungen einer Person in der realen Welt zu kopieren und Avataren auch Beine hinzuzufügen.
Nach der Präsentation von Meta sagte Stark, dass das Ergebnis vorhersehbar sei und er bezweifle, dass die standardmäßige „deaktivierte” Einstellung für die Gesichtsverfolgung lange Bestand haben werde: „Es ist seit einigen Jahren klar, dass animierte Avatare einen erheblichen Einfluss auf den Verlust der Privatsphäre haben. Diese Daten sind viel detaillierter und persönlicher als das Bild eines Gesichts auf einem Foto.”
Bei der Veranstaltung, auf der die neue Virtual-Reality-Brille vorgestellt wurde, bezeichnete Mark Zuckerberg, CEO von Meta, die Erfassung einer neuen Art von Daten, die die Intimität in den Vordergrund stellen, als einen notwendigen Bestandteil der Virtual-Reality-Vision. „Wenn wir kommunizieren, sind unsere nonverbalen Äußerungen und Gesten oft wichtiger als das, was wir sagen, und die Art und Weise, wie wir Verbindungen herstellen, sollte dies auch virtuell widerspiegeln“, begründete er.
Zuckerberg sagte außerdem, dass die integrierten Kameras in Kombination mit den Kameras der Quest Pro-Controller fotorealistische Avatare ermöglichen würden, die eher wie echte Menschen und weniger wie Zeichentrickfiguren aussehen. Ein Zeitplan für die Veröffentlichung dieser Funktion wurde nicht bekannt gegeben. Ein virtuelles Selfie von Zuckerbergs karikiertem Avatar, den er später als „grundlegend“ bezeichnete, wurde diesen Sommer zu humoristischen Zwecken verwendet. Damit wurden die Änderungen an den Avataren bekannt gegeben.
Obwohl es keine Beweise dafür gibt, dass die Technologie funktionieren könnte, haben Unternehmen, darunter Amazon und verschiedene Forschungsprojekte, bisher traditionelle Gesichtsbilder verwendet, um die emotionale Verfassung einer Person zu erraten.
Die Daten aus den neuen Virtual-Reality-Brillen von Meta könnten eine neue Möglichkeit bieten, die Interessen oder Reaktionen einer Person auf Inhalte zu verstehen. Während Meta noch dabei ist, das Einkaufen in der virtuellen Realität zu testen, hat das Unternehmen Patente für personalisierte Werbung im Metaverse und für Medieninhalte, die auf die Gesichtsausdrücke einer Person abgestimmt sind, angemeldet.
Meta-Produktmanager Nick Ontiveros erklärte gegenüber Journalisten, dass Meta diese Informationen nicht zur Vorhersage von Emotionen nutzt. Meta gibt an, dass die zur Unterstützung dieser Funktionen verwendeten Rohbilder und -videos in der Virtual-Reality-Brille gespeichert, lokal auf dem Gerät verarbeitet und nach der Verarbeitung gelöscht werden. Gemäß den von Meta veröffentlichten Datenschutzhinweisen zu Blickverfolgung und Gesichtsausdrücken können die aus diesen Bildern gewonnenen Informationen jedoch auch nach dem Löschen der Rohbilder auf den Servern von Meta verarbeitet und gespeichert werden.
Diese Daten zu den Gesichts- und Augenbewegungen der Quest Pro-Nutzer können auch an andere Unternehmen außerhalb von Meta weitergegeben werden. Ein neues Software Development Kit (SDK) wird externen Entwicklern Zugriff auf abstrahierte Blick- und Gesichtsausdruckdaten gewähren, um Avatare und Charaktere zum Leben zu erwecken. In der Datenschutzrichtlinie von Meta für Virtual-Reality-Brillen wird darauf hingewiesen, dass die an externe Dienste weitergegebenen Daten deren eigenen Bedingungen und Datenschutzrichtlinien unterliegen.
Die Technologie zur Erfassung von Gesichtsausdrücken wird bereits in Foto-Apps und iPhone-Memojis eingesetzt, aber Meta erklärte in einer Stellungnahme, dass Menschen Virtual-Reality-Brillen verwenden könnten, um an Besprechungen teilzunehmen oder ihre Arbeit zu erledigen, wenn gleichzeitig die Körpersprache erfasst wird.
Meta kündigte an, dass es in Kürze Microsoft-Produktivitätssoftware, einschließlich Teams und Microsoft 365, in seine Virtual-Reality-Plattform integrieren wird. Autodesk und Adobe arbeiten an Virtual-Reality-Anwendungen für Designer und Ingenieure, und durch eine Integration mit Zoom können Menschen als Meta-Avatare an Videokonferenzen teilnehmen.
Der Erfolg von Quest Pro könnte davon abhängen, ob die Menschen eine Hardware mit neuen Datenerfassungsfunktionen von einem Unternehmen kaufen, das bei der Schutz von Nutzerdaten wie Cambridge Analytica oder der Überwachung der Aktivitäten von Drittentwicklern, die Zugriff auf seine Plattform haben, versagt hat. Dies könnte die Schwierigkeiten bei der Vermarktung von Mark Zuckerbergs Metaverse-Vision noch verstärken.
Meta gab bekannt, dass die soziale Virtual-Reality-Plattform Horizon Worlds nicht mehr als 300.000 aktive Nutzer pro Monat hat. Die New York Times berichtete kürzlich, dass selbst Meta-Mitarbeiter, die an dem Projekt arbeiten, Horizon World nur sehr selten nutzen.
Avi Bar-Zeev, Berater für virtuelle und erweiterte Realität, der an der Entwicklung der HoloLens-Virtual-Reality-Brille von Microsoft mitgewirkt hat, erklärte, dass Meta Recht habe, da es die Bilder von den Kameras des Quest Pro gelöscht habe. Er wies außerdem darauf hin, dass es 2020 ernsthafte Datenschutzprobleme mit der Vorgängerversion des Geräts, dem Quest 2, gegeben habe und dass er beim Quest Pro das gleiche Gefühl habe.
Bar-Zeev erklärte, dass Daten darüber, wie Menschen auf Inhalte oder Erfahrungen reagieren, aus Gesichts- und Augenbewegungen gewonnen werden können und dass Meta oder andere Unternehmen diese Daten nutzen könnten, um Menschen in der virtuellen Realität emotional auszubeuten. Er erklärte: „Meine Sorge ist nicht, dass uns eine Menge Werbung präsentiert wird, die wir hassen, sondern dass sie so viel über uns erfahren werden, dass sie uns eine Menge Werbung präsentieren werden, die wir lieben, und wir werden nicht einmal wissen, dass es Werbung ist.“
Kavya Pearlman, Gründerin der XR Safety Initiative, hatte vor der Markteinführung Zugang zu einer Demo von Quest Pro und stellte fest, dass die Bildschirme, die die Nutzer dazu auffordern, die Gesichts- und Augenverfolgung zu aktivieren, ein düsteres Design haben, das darauf abzielt, die Menschen zur Annahme der Technologie zu bewegen. Die US-amerikanische Federal Trade Commission (FTC) veröffentlichte letzten Monat einen Bericht, in dem sie Unternehmen davon abriet, Designs zu verwenden, die die Privatsphäre beeinträchtigen.
Pearlman erklärte: „Nach meinen bisherigen Erfahrungen befinden wir uns auf einem sehr gefährlichen Weg, und wenn wir nicht vorsichtig sind, werden unsere Autonomie, unser freier Wille und unsere Handlungsfähigkeit gefährdet sein. Unternehmen, die im Bereich der virtuellen Realität tätig sind, müssen öffentlich diskutieren, welche Daten sie sammeln und weitergeben, und strenge Grenzen für die Schlussfolgerungen setzen, die sie über Menschen ziehen.“
Shein x Datenverletzung
Shein, eine in China gegründete und kürzlich ihre Hauptniederlassung nach Singapur verlegte E-Commerce-Plattform für Ultra-Fast-Fashion, erobert weiterhin weltweit die Märkte der Generation Z, geriet jedoch 2018 aufgrund einer Datenverletzung ins Rampenlicht.
Laut einer Erklärung der Generalstaatsanwaltschaft (Attorney General, „AG“) wurde Zoetop, das Unternehmen, das Shein und seine Schwestermarke Romwe besitzt, von New York mit einer Geldstrafe in Höhe von 1,9 Millionen Dollar belegt, weil es einen Sicherheitsverstoß nicht ordnungsgemäß behandelt hatte.
Laut der Erklärung des AG führte ein Cyberangriff im Jahr 2018 zum Diebstahl von 39 Millionen Shein-Kontodaten, darunter auch die Daten von mehr als 375.000 Einwohnern New Yorks. Eine Untersuchung der Generalstaatsanwaltschaft ergab, dass Zoetop nur „einen Teil” der 39 Millionen betroffenen Konten kontaktiert und es versäumt hatte, die überwiegende Mehrheit der betroffenen Nutzer darüber zu informieren, dass ihre Anmeldedaten gestohlen worden waren.
Die Generalstaatsanwaltschaft kam außerdem zu dem Schluss, dass die öffentlichen Erklärungen von Zoetop zu der Datenpanne irreführend waren. Das Unternehmen gab einmal fälschlicherweise an, dass nur 6,42 Millionen Verbraucher betroffen seien und dass es dabei sei, alle betroffenen Nutzer zu informieren.
Durch die Datenverletzung sah sich das Unternehmen mit einem PR-Problem konfrontiert, und Shein behauptet, seitdem seine Sicherheitsmaßnahmen erheblich verstärkt zu haben. Shein: „Wir haben uneingeschränkt mit dem Generalstaatsanwalt von New York zusammengearbeitet und sind froh, dass wir diese Angelegenheit geklärt haben. Der Schutz der Daten unserer Kunden und die Aufrechterhaltung ihres Vertrauens haben für uns oberste Priorität, insbesondere angesichts der anhaltenden Cyber-Bedrohungen für Unternehmen auf der ganzen Welt. Seit der Datenpanne im Jahr 2018 haben wir wichtige Schritte unternommen, um unsere Cybersicherheit weiter zu stärken, und wir sind vorsichtig“, erklärte .
Seit 2018 hat sich viel verändert. Shein hat sich von einem damals aufstrebenden Online-Fast-Fashion-Anbieter zu einer alles umfassenden E-Commerce-Plattform entwickelt, die Amazon bedroht. Im zweiten Quartal 2022 überholten die Downloads der App in den USA erstmals Amazon. Die Datenverletzung mag aus den vergangenen Jahren stammen, aber es ist wichtig zu erwähnen, dass Shein seit 2008 tätig ist und daher vier Jahre in der Unternehmensgeschichte als relativ neu gelten.
Meta x App-Fälschung
Meta hat einen internen Sicherheitsbericht veröffentlicht, in dem festgestellt wurde, dass in beiden großen App-Stores zahlreiche Apps verbreitet sind, die darauf ausgelegt sind, Facebook-Anmeldedaten zu stehlen.
Meta gab bekannt, dass es in Android und iOS mehr als 400 bösartige Apps dieser Art gibt, die einfache, aber professionell aussehende Grafiken verwenden, um sich ein legitimes Image zu verschaffen, und gefälschte positive Bewertungen veröffentlichen, um negative Kommentare zu unterdrücken, die von Nutzern abgegeben werden, die feststellen, dass die versprochenen Funktionen nicht angeboten werden.
Die Apps, die zum Stehlen von Facebook-Anmeldedaten entwickelt wurden, verrieten sich dadurch, dass sie alle einen Facebook-Button auf ihrem Startbildschirm hatten und die Opfer zur Nutzung der App zur Eingabe ihrer Anmeldedaten aufgefordert wurden.
Da diese Anwendungen keine Malware oder Keylogger verwenden, sondern lediglich die Facebook-Anmeldedaten als Voraussetzung für den Start der Anwendung verlangen, bleiben sie vom Sicherheitscheck von Google und Apple unentdeckt, sodass es offenbar möglich ist, dass die Angreifer die Daten der Nutzer stehlen. Es ist zwar nicht ungewöhnlich, dass mobile Apps über eine Art integrierte Facebook-Funktion verfügen, aber es ist ungewöhnlich, dass der Nutzer vor dem Start der App seine Anmeldedaten angeben muss.
Meta gab an, seine Ergebnisse direkt an Apple und Google gemeldet, potenziell betroffene Facebook-Nutzer kontaktiert und die Apps vor Veröffentlichung des Berichts entfernt zu haben.
Es gibt keine Schätzung darüber, wie viele Nutzer von diesen bösartigen Apps betroffen sein könnten.
Die Apps scheinen nicht auf Nutzer abzuzielen, die die Zwei-Faktor-Authentifizierung (Two Factor Authentication, „2FA”) aktiviert haben, sondern nur auf Nutzer, die sich mit einem einfachen Benutzernamen und Passwort bei Facebook anmelden. Selbst wenn Nutzer ihre Konten mit 2FA gesichert haben, gibt es natürlich nichts, was Angreifer daran hindert, verschiedene andere Dienste auszuprobieren, um zu sehen, ob ihre Anmeldedaten wiederverwendet werden können.
Es ist offensichtlich, dass die Versuche, Facebook-Anmeldedaten zu stehlen, verschiedene Anwendungskategorien umfassen und gut organisiert sind. Die Anwendungen, in denen diese Versuche am häufigsten vorkommen, sind in der Regel einfache Bildbearbeitungsanwendungen, die einige auffällige Funktionen bieten, wie z. B. die Umwandlung von Fotos des Benutzers in Karikaturen oder das Hinzufügen von Kleidung zu Selfies. Dies lässt sich daran erkennen, dass gefälschte Bildbearbeitungsprogramme mehr als 42 % aller identifizierten bösartigen Anwendungen ausmachen.
Zu den weiteren Hauptkategorien gehören Telefon-Tools wie VoIP (Voice Over Internet Protocol)-Anrufe, ein IP-basiertes Protokoll, das Sprachgespräche über das Internet ermöglicht, Videospiele und gefälschte VPNs sowie kommerzielle Software (die in der Regel Funktionen und Informationen versprechen, die andere ähnliche kostenlose Apps nicht bieten).
Darüber hinaus finden sich in den Ergebnissen von Meta auch, wenn auch selten, Anwendungen für Horoskope, persönliche Entwicklungsunterstützung, Medienplayer und Wallpaper-Sammlungen.
Meta betont, dass Anwendungen, die Facebook-Anmeldedaten verlangen, mit Vorsicht zu genießen sind, und empfiehlt den Nutzern, als zusätzlichen Schutz die 2FA in ihren Konten zu aktivieren und auf Anzeichen für böswillige Aktivitäten zu achten, da die betreffenden bösartigen Anwendungen nur einen Bruchteil der versprochenen Funktionen bieten und daher entweder gar nicht enthalten sind oder nicht wirklich funktionieren.
Cyberkriminelle zeigen erneut Interesse an allen großen Social-Media-Plattformen und betrachten das Hacken von Konten als eine relativ einfache und risikoarme Form der Cyberkriminalität. Obwohl traditionell davon ausgegangen wird, dass diese Konten nur dann einen hohen Wert haben, wenn sie einer berühmten Person gehören oder eine große Plattform haben, wird berichtet, dass Hacker auch für große Konten kreative Anwendungen gefunden haben.
Es gibt viele verschiedene Methoden, um Social-Media-Anmeldedaten zu stehlen, aber eine der in letzter Zeit immer beliebter werdenden Methoden ist die Verwendung von Anwendungen und Kontaktlisten in Anwendungen, um legitime Werbeprogramme zu betrügen.
Bei einem kürzlich auf Facebook stattgefundenen Betrugsfall wurde beobachtet, dass Angreifer ein Konto übernommen und dann versucht haben, die gesamte Kontaktliste des Nutzers auf eine URL umzuleiten, über die die Kriminellen Einnahmen aus legitimen Werbeanzeigen erzielten.
Die Zahl der bösartigen Anwendungen, die mit ähnlichen Werbeanzeigen Betrug betreiben und Nutzergeräte übernehmen, hat seit 2020 in den App-Stores erheblich zugenommen. Cyberkriminelle nutzen Malware, um die Social-Media-Konten von Nutzern zu stehlen und diese an enge Freunde und andere Follower weiterzuleiten oder um Kryptowährungsbetrug zu begehen.
Clearview AI x Datenverletzung
Die französische Datenschutzbehörde (Commission Nationale Informatique & Libertés, „CNIL“) hat gegen das US-amerikanische Unternehmen Clearview AI („Clearview“ oder „das Unternehmen“), das Gesichtserkennungstechnologie für verschiedene Institutionen, insbesondere öffentliche Einrichtungen, bereitstellt und dank seines auf Gesichtserkennung basierenden KI-Systems über eine sehr umfangreiche Datenbank verfügt, eine Geldstrafe in Höhe von 20 Millionen Euro verhängt, da es personenbezogene Daten ohne rechtliche Grundlage gesammelt hat.
Clearview ist in der Lage, alle Fotos, die direkt von vielen Websites, einschließlich sozialer Medien, abgerufen werden können (auch ohne Anmeldung), zu sammeln und kann darüber hinaus Bilder aus Videos extrahieren, die online auf allen Plattformen verfügbar sind. Mit dieser Methode hat das Unternehmen weltweit 20 Milliarden Bilder gesammelt.
Dank dieser Bildersammlung vermarktet das Unternehmen den Zugang zu einer Bilddatenbank einer Suchmaschine, in der anhand eines Fotos nach einer Person gesucht werden kann, und bietet diesen Dienst den Strafverfolgungsbehörden zur Identifizierung von Straftätern oder Opfern an. Es ist bekannt, dass die US-Strafverfolgungsbehörden diese Technologie seit 2019 insbesondere im Zusammenhang mit Straftaten gegen Kinder, wie z. B. Kinderpornografie, die im Internet sichtbar werden, nutzen.
Das Unternehmen nutzt die Gesichtserkennungstechnologie, um anhand eines Fotos eine Person zu finden, indem es die Suchmaschine durchsucht. Dazu erstellt das Unternehmen eine „biometrische Vorlage”, also eine digitale Darstellung der Gesichtsmerkmale einer Person. Diese biometrischen Daten sind bekanntermaßen sehr sensibel, insbesondere weil sie mit der physischen Identität verbunden sind und eine eindeutige Identifizierung von Personen ermöglichen. Es ist davon auszugehen, dass die große Mehrheit der Personen, deren Bilder für die Suche in der Suchmaschine gesammelt werden, sich dieser Tatsache nicht bewusst ist.
Was ist passiert?
Im Mai 2020 leitete die CNIL aufgrund von Beschwerden über die Gesichtserkennungssoftware des Unternehmens eine Untersuchung gegen Clearview ein. Im Mai 2021 warnte Privacy International, eine Vereinigung, die für die Überwachung von Datenschutzverletzungen durch Staaten und Unternehmen zuständig ist, die CNIL ebenfalls vor den Anwendungen von Clearview.
Da das Unternehmen keine Niederlassung in Europa hat und jede Behörde in ihrem eigenen Hoheitsgebiet zuständig ist, arbeitete die CNIL während dieses Verfahrens mit Europa zusammen, um die Ergebnisse der Untersuchungen auszutauschen. Die von der CNIL durchgeführten Untersuchungen ergaben verschiedene Verstöße des Unternehmens gegen die französische Datenschutzverordnung (Règlement général sur la protection des données, „RGPD“):
- Unrechtmäßige Verarbeitung personenbezogener Daten (Verstoß gegen Artikel 6 der DSGVO), da die Erhebung und Verwendung biometrischer Daten ohne rechtliche Grundlage erfolgte.
- Unzureichende Berücksichtigung der Rechte von Personen, insbesondere hinsichtlich der Auskunftsersuchen über personenbezogene Daten (Verstoß gegen Artikel 12, 15 und 17 der DSGVO).
In einer offiziellen Mitteilung des Präsidenten der CNIL an Clearview vom 26. November 2021 wurde das Unternehmen angewiesen, die Erhebung und Verwendung personenbezogener Daten von Personen, die sich auf französischem Staatsgebiet befinden, ohne rechtliche Grundlage einzustellen und den Anträgen auf Löschung nachzukommen, um den Personen die wirksame Ausübung ihrer Rechte zu ermöglichen.
Das Unternehmen hatte zwei Monate Zeit, um die in der offiziellen Mitteilung genannten Anweisungen zu befolgen und diese der CNIL mit einer Begründung mitzuteilen, jedoch ging keine Antwort des Unternehmens auf diese offizielle Mitteilung ein.
Der Präsident der CNIL verwies die Angelegenheit an den für Sanktionen zuständigen Restricted Committee, der die Verhängung einer Geldstrafe in Höhe von maximal 20 Millionen Euro gemäß Artikel 83 der DSGVO beschloss.
Unter Berücksichtigung der Tatsache, dass die vom Unternehmen durchgeführten Datenverarbeitungsaktivitäten sehr ernsthafte Risiken für die Grundrechte der Dateninhaber mit sich bringen, wies der Ausschuss das Unternehmen erneut an, die Erhebung und Verarbeitung von Daten von in Frankreich ansässigen Personen ohne rechtliche Grundlage einzustellen und die Daten dieser Personen innerhalb von zwei Monaten zu löschen, und fügte für jeden Tag, der über diese zwei Monate hinausgeht, eine Strafe von 100.000 Euro hinzu.
Damit die Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann, muss sie auf einem der in Artikel 6 der DSGVO genannten rechtlichen Gründe beruhen. Die Gesichtserkennungssoftware des Unternehmens verstößt eindeutig gegen diese Vorschrift und ist daher offensichtlich rechtswidrig. Hinzu kommt, dass das Unternehmen nicht einmal die Zustimmung der betroffenen Personen eingeholt hat, deren Bilder es für die Bereitstellung seiner Software gesammelt hat.
Angesichts der eingreifenden und intensiven Natur des Verfahrens, das es dem Unternehmen ermöglicht, Bilder von Millionen von Internetnutzern, insbesondere in Frankreich, aus dem Internet zu beziehen, wird betont, dass kein berechtigtes Interesse an der Erhebung und Verwendung dieser Daten besteht. Es ist natürlich nicht vorstellbar, dass diese Personen, deren Fotos oder Videos auf verschiedenen Websites, einschließlich sozialer Medien, zugänglich sind, es für angemessen halten, dass ihre Bilder vom Unternehmen verarbeitet werden, um ein Gesichtserkennungssystem zu schaffen, das von den Strafverfolgungsbehörden der Staaten genutzt werden kann.
Ein weiterer Punkt, der in den bei der CNIL eingegangenen Beschwerden zur Sprache kam, sind die Schwierigkeiten, mit denen die betroffenen Personen bei der Ausübung ihrer Rechte konfrontiert sind. Das Unternehmen schränkte das Recht des Dateninhabers auf Zugang zu seinen Daten ohne Begründung auf die in den zwölf Monaten vor der Anfrage gesammelten Daten und auf zweimal pro Jahr ein und begann nach einer hohen Anzahl von Anfragen derselben Person, nur noch auf bestimmte Anfragen zu antworten. Neben all diesen Schwierigkeiten ist bekannt, dass das Unternehmen Anträge auf Löschung unbeantwortet ließ oder sich mit einer teilweisen Antwort begnügte.
Da das Unternehmen während des gesamten Verfahrens nicht zur Zusammenarbeit mit der CNIL bereit war, wurde festgestellt, dass sein Schweigen einen Verstoß gegen die Verpflichtung zur Zusammenarbeit und damit gegen Artikel 31 der DSGVO darstellt. Ob das Unternehmen nach den Sanktionsentscheidungen sein Schweigen brechen wird, ist derzeit noch unklar.
9/2022 Leitlinien
Wie bekannt ist, sind Datenverantwortliche und Datenverarbeiter bei Auftreten einer Datenverletzung verpflichtet, diese zu melden.
Die Art und Weise, wie die Meldung an die oberste Behörde im Falle einer Datenverletzung zu erfolgen hat, in welchen Fällen eine Meldung zu erfolgen hat und wie mit den von der Verletzung betroffenen Personen Kontakt aufgenommen werden soll, ist ein Bereich, in dem es in den innerstaatlichen Praktiken der Mitgliedstaaten Unterschiede geben kann, aber es ist nicht falsch zu sagen, dass diese Praktiken mit den Bestimmungen der DSGVO unter einem Dach zusammengefasst werden.
Die DSGVO enthält Bestimmungen darüber, wann eine Verletzung gemeldet werden muss, an welche Behörde die Meldung zu richten ist und welche Informationen als Teil der Meldung enthalten sein müssen. In diesem Zusammenhang verpflichtet sie die für die Datenverarbeitung Verantwortlichen, im Falle einer Verletzung schnell zu handeln, die erforderlichen Maßnahmen zu ergreifen und die Meldung an die Aufsichtsbehörden in den Plan zur Bekämpfung der Verletzung aufzunehmen.
In ähnlicher Weise gibt die Working Party 29 (Arbeitsgruppe 29, „WP29“) in ihrer Stellungnahme Nr. 03/2014 zur Meldung von Verletzungen des Schutzes personenbezogener Daten Leitlinien für Datenverantwortliche vor, wie sie entscheiden können, ob die betroffenen Personen im Falle einer Meldung einer Verletzung benachrichtigt werden müssen.
Vor dem Hintergrund all dieser Erläuterungen enthalten die am 10. Oktober 2022 verabschiedeten Leitlinien 9/2022 zur Meldung von Datenschutzverletzungen im Rahmen der DSGVO (Guidelines 9/2022 on Personal Data Breach Notification under GDPR) vom 10. Oktober 2022, die im Rahmen all dieser Regelungen Klarheit über die von den für die Datenverarbeitung Verantwortlichen obligatorisch vorzunehmenden Meldungen von Datenschutzverletzungen an die betroffenen Personen schaffen und den für die Datenverarbeitung Verantwortlichen anhand verschiedener Beispiele die Schritte aufzeigen, die sie zur Erfüllung dieser Anforderungen unternehmen können, um die Umsetzung zu erleichtern.