Leadmagnet DSGVO sicher machen

Eine bisher gängige Praxis, um die E-Mail-Adressen potenzieller Kunden zu erhalten und diesen z.B. einen Newsletter zuzusenden, ist die Verwendung eines Leadmagnet. Darunter versteht man ein kostenloses Dokument, z.B. ein Textdokument, das potenziell wertvolle Infos für die angesprochene Zielgruppe beinhaltet. Der bisherige (potenziell unethische) Trick besteht darin, dass das Dokument nur nach Angabe der E-Mail-Adresse, sowie Einwilligung in die Zusendung eines Newsletters, heruntergeladen werden darf. Die Einwilligung in den Newsletterversand und das Herunterladen des Dokuments werden also miteinander gekoppelt.

Neues nach DSGVO

In der DSGVO findet sich dieser Absatz

„Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind“ Art. 7 Abs. 4 DSGVO

Meiner Ansicht nach ist damit ein Kopplung des Zugangs zum pdf-Dokument mit der Einwilligung in den Newsletterversand nicht gestattet, da weder die Erhebung der E-Mail-Adresse noch die Zusendung regelmäßiger Werbung notwendig ist, um das pdf-Dokument bereitzustellen. Das bisherige Konzept des Leadmagnet steht damit vor dem Aus.

Der ethisch korrekte Leadmagnet

Ich würde das Bereitstellen des pdf-Dokuments und die Einwilligung entkoppeln. D.h. von der Landingpage aus ist das pdf-Dokument so oder so erreichbar. Der Nutzer hat die Wahl seine E-Mail-Adresse anzugeben und mit einer Checkbox, die initial ungecheckt ist (Opt-in), in den Newsletterversand einzuwilligen, oder dies nicht zu tun und trotzdem an das Dokument gelangen.

Ist die conversion rate bei dieser Methode gut? Das muss man im Einzelfall sehen. Ethisch korrektes Handeln scheint zumindest nicht die schlechteste Methode zu sein, um neue Kunden zu gewinnen.

Backupstrategien gegen Ransomware

Bereits ohne aktive Angreifer sind Backups ein wichtige Maßnahme, um Datenverlust vorzubeugen. Im klassischen Bereich der Safety versucht man mit Backups Daten gegen Gefahren wie die Fehlfunktion von Datenträgern, Brand im Bürogebäude, Diebstahl des Rechners, sowie bloßer Schusseligkeit im Umgang mit PCs vorzubeugen.

Was ist Ransomware?

Mittlerweile ist Ransomware ein beliebtes und lukratives Motiv für einen Hackingangriff. Dabei installiert sich eine Schadsoftware unter Ausnutzung einer Sicherheitslücke auf einem Desktoprechner oder Server. Im Hintegrund verschlüsselt die Software alle Dateien auf der Festplatte mit einem Schlüssel, der nur dem Angreifer bekannt ist. Gegen ein Lösegeld (meist zahlbar in Bitcoin) werden die Dateien ggf. wieder entschlüsselt. Manche Lösegelderpresser löschen Daten jedoch trotz Zahlung unwiederbringlich. Der allgemeine Rat in einem solchen Fall ist es nicht zu zahlen, sondern Backups einzuspielen.

Backups ohne Konzept genügen nicht

Man kann sich durch das regelmäßig anfertigen von Backups schützen. Dabei ist es wichtig, dass die Backups nicht ständig vom potenziell betroffenen PC (mit Schreibzugriff) zugänglich sind, da diese sonst auch von der Ransomware verschlüsselt werden. Werden Backups z.B. auf einer externen Festplatte angefertigt, darf diese nicht dauerhaft mit dem PC verbunden sein. Werden Backups auf einem NAS oder in der einem Cloudlaufwerk gespeichert, darf dieses nicht dauerhaft vom PC erreichbar sein, d.h. die Logindaten für einen Account mit weitreichenden Schreibrechten dürfen nicht lokal auf dem PC gespeichert werden.

Wie schützt man sich?

Berechtigungsmanagement

Um regelmäßige Backups anzufertigen eignet sich ein NAS, bzw. eine interne Cloud. Bei der Wahl von Berechtigungen sollte man darauf achten, dass jeder PC einen Zugang mit stark einschränkten Nutzerrechten hat, der nur Schreibzugriff auf einen kleinen Teil des Speichers erlaubt und keinen (Schreib)Zugriff auf vormalig anfertigte Backups enthält. Die Kopie des zugreifbaren Bereichs in den geschützten Bereich übernimmt in diesem Szenario ein Hintergrundprozess auf dem NAS.

Physische Trennung

Das obige Prinzip des Berechtigungsmanagements bietet keine 100% Sicherheit. Es könnte z.B. eine Sicherheitslücke im verwendeten NAS geben, sodass auch die dortigen Backups überschrieben werden könnten. Es bietet sich daher an zusätzlich von alle Daten, die für die Unternehmensexistenz essenziell sind, ein Backup anzufertigen und dieses physisch getrennt aufzubewahren. Im einfachsten Fall ist dies eine Sicherung auf einer externen Festplatte, die verschlossen aufbewahrt wird.

Weitere Aspekte

Zeitabstände von Backups

Die Frage in welchen zeitlichen Abständen man Backups anfertigen sollte, lässt sich nicht pauschal beantworten. Eine andere Formulierung hilft jedoch klarer darüber nachzudenken: Wie viele Stunden/Tage/Wochen an Arbeitsleistung kann ihr Unternehmen gefahrlos verlieren?

Desaster Recovery

Es ist wichtig sich auf seine Backups verlassen zu können. Daher sollte die IT-Abteilung regelmäßig Backups probeweise einspielen, um zu sehen ob wirklich alle erwarteten Dateien und Programme daraus rekonstruiert werden können.

Verschlüsselung

Hinterlegt man Backups auch auf externen Servern, z.b. Cloud-Anbietern, so würde ich diese verschlüsseln, da sonst ggf. eine Weitergabe personenbezogener Daten stattfindet. Beim Verschlüsseln von Backups gibt es das prinzipielle Risiko selbst den Schlüssel zu verlieren, daher plädiere ich für mindestens ein intern gespeichertes, sehr sicher aufbewahrtes unverschlüsseltes Backup wichtiger Daten.

Schlusswort

Im Bereich Ransomware ist Prävention das A und O. Ohne ausreichende Backups, die einer systematischen Backup-Policy mit Rechtemanagement und physischer Trennung folgen, kann massiver Datenverlust drohen.

Verschlüsselte Nachrichten an den Kunden senden

Bei der Kommunikation mit einem Kunden ist es in der Regel unerwünscht das Dritte an die ausgetauschten Informationen gelangen. Daher sollte man diese schon aus bloßem Eigeninteresse verschlüsseln. Werden personenbezogene Daten ausgetauscht, so ist Verschlüsselung sogar explizit in Art. 32 DSGVO vorgesehen. Ich schildere im Folgenden, wie man verschlüsselte Kommunikation prinzipiell umsetzen kann.

B2B

Bei der Kommunikation mit Geschäftskunden auf Augenhöhe oder mit technisch versierten Verbrauchern kann man auf E-Mail Verschlüsselung also z.b. PGP oder S/Mime zurückgreifen.

PGP vs. S/MIME

Funktional sind beide Standards in wesentlichen Punkten gleich: Sowohl mit PGP als auch mit S/MIME können Sie E-Mails inklusive Anhang verschlüsseln und signieren. Der zentrale Unterschied besteht im Umgang mit dem öffentlichen Schlüssel. Bei PGP müssen Sie selbst dafür sorgen, dass jemand der Ihnen eine E-Mail schicken will Ihren Schlüssel kennt und darauf vertraut, dass dieser Schlüssel zu Ihnen gehört. Das können Sie z.B. erreichen, indem Sie ihren Schlüssel auf ihrer Website publizieren, meinen finden sie hier. Bei S/MIME ist es notwendig eine externe Zertifizierungsstelle damit zu beauftragen Ihnen ein Zertifikat auszustellen, welches Ihren öffentlichen Schlüssel und Ihre Identität miteinander verknüpft.

B2C

Möchte man mit einer Vielzahl von Endkunden sicher, d.h. verschlüsselt, Nachrichten austauschen, bietet es sich an die komplette Plattform dafür bereitzustellen. D.h. jeder Nutzer benötigt einen Account bei einer von Ihnen betriebenen, mit SSL/TLS verschlüsselt ausgelieferten Website. Ihre Plattform stellt dann eine Art sicheres Dokumentenarchiv dar, über das Sie mit Ihren Kunden bidirektional kommunizieren können. Es empfiehlt sich an Ihren Kunden eine E-Mail (ohne weitere Informationen) mit einem kurzen Verweis auf das Dokumentenarchiv zu versenden, wann immer Sie neue vertrauliche Nachrichten für Ihn hinterlegt haben.

Abschreckendes Beispiel

Zum Schluss noch eine kurz vor Anwendung der DSGVO noch oft gesehene und völlig unsichere Variante die Kundendaten zu „verschlüsseln“:

„Die ausgefüllten Vertragsunterlagen werden als verschlüsseltes PDF per E-Mail Anhang versendet. Das Passwort ist entweder die Postleitzahl oder das Geburtsdatum des Kunden.“

Diese Variante der „Verschlüsselung“ entspricht nicht dem Stand der Technik. Jeder heutige PC, selbst jedes Smartphone, besitzt genügend Rechenleistung um sämtliche Postleitzahlen und mögliche Geburtsdaten in einigen Sekunden auszuprobieren, sodass kein nennenswertes Schutzniveau erreicht wird und nicht von Verschlüsselung im technischen Sinne gesprochen werden kann.

Sie können es besser machen und eine passender Lösung für den B2B oder B2C Bereich in Ihrem Unternehmen umsetzen.

 

Falsche Betriebssystemeinstellungen führen zur Datenschutzverletzung

Damit ein elektronisches Gerät grundlegende Funktionalitäten bieten kann, muss in der Regel ein Betriebssystem installiert sein. Im Desktopbereich wird das meistens eine Version von Windows, Linux oder Mac OS sein, während im Mobile-Bereich Android oder iOS Anwendung finden. Oft bieten diese Applikationen bereits einige Komfortfunktionen, die dazu führen, dass personenbezogene Daten an Dritte übertragen werden.

Die Problematik

Wenn Sie personenbezogene Daten auf einem lokalen Gerät verarbeiten (das bloße Speichern zählt dabei schon zur Verarbeitung), müssen Sie darauf achten, dass die Berechtigungen des Betriebssystems und die Berechtigung anderer Applikationen auf dem Betriebssystem so limitiert sind, dass personenbezogene Daten nur an solche Dritte übermittelt werden, die sie dafür vorgesehen haben. In der Regel werden legitime Dritte hier die Rolle des Auftragsverarbeiters haben, mit denen sie die Wahrung des Datenschutzstandards der DSGVO in einem Vertrag explizit und detailliert geregelt haben. Solche Dritte müssen den betroffenen Personen nach Art. 13 DSGVO bei Erhebung der personenbezogenen Daten bereits mitgeteilt werden.

Kontakte

Ich möchte die Problematik am Beispiel des Adressbuchs beleuchten, da die darin enthaltenen Namen, E-Mailadressen, Telefonnummern und Anschriften zweifelsfrei personenbezogene Daten darstellen.

WhatsApp

In der Standardkonfiguration sendet WhatsApp alle Telefonnummern in Ihren Kontakten an einen eigenen Server. Dies ist nach der DSGVO jedoch nur zulässig, wenn sämtliche Kontakte dem zugestimmt haben und Sie diese Zustimmung, sowie Ihre Informationspflichten nachweisen können. Dies führt also dazu, dass WhatsApp in Europa derzeit in der Regel illegal benutzt wird.

In einer modernen Androidversion kann man den Zugriff von WhatsApp auf die Kontakte untersagen, sodass dieses prinzipiell DSGVO-konform einsetzbar wäre. Jedoch können sich dadurch zwei Nutzer die beide den Zugriff verbieten nicht mehr auf WhatsApp finden…

Android und iOS

Nutzen Sie die Funktion Kontakte zwischen Geräten zu synchronisieren oder ein Cloud-backup anzulegen, so liegt meiner Ansicht nach eine Auftragsverarbeitung durch Google (Android) oder Apple (iOS) vor. Um diese legal zu gestalten sollte man einen entsprechenden AV Vertrag mit dem Unternehmen schließen und dabei auch die Problematik des Privacy Shield, bzw. der EU-Standardsvertragsklauseln im Hinterkopf behalten.

Unklarheit

Besonders interessant wird es, wenn ein Betriebssystem Daten an den Hersteller überträgt deren Inhalt unbekannt ist. Daraus ergibt sich das derzeitige Problem, ob Windows 10 überhaupt so konfiguriert werden kann, dass es konform zur DSGVO betrieben werden kann. Aktuell werden in jeder Konfiguration weiterhin verschlüsselte Datenpakete an Microsoft gesendet, deren Inhalt ungeklärt ist.

Insgesamt ein spannendes Thema, bei dem man sich darauf gefasst machen muss kurzfristig auf Änderungen und Entscheidungen zu reagieren und seine IT-Landschaft entsprechend umzugestalten.