Dokument-Textsuche
  • Gesamterläuterungen:
    • -
  • Einzelerläuterung:
    • -
.

Rundschreiben des Landeskirchenamtes an die Kirchengemeinden und Kirchenkreise betreffend Datenschutz und Datensicherheit bei der Nutzung von Telefax-Diensten1#

Vom 22 März 1999 (Az.: A 14-03/01.09)

#
1 Die technische Entwicklung hat in den letzten Jahren dazu geführt, dass nahezu alle kirchlichen Stellen über Telefax-Geräte verfügen. 2 Z. T. werden Personalcomputer mit Faxübertragungsmöglichkeiten (z. B. Fax-Modem, ISDN-Karte) eingesetzt, die für den Versand und den Empfang von Telefax dienen.
Den Mitarbeiterinnen und Mitarbeitern in den kirchlichen Stellen sind die Sicherheitsrisiken (z. B. Falschwahl, Kenntnisnahme schützenswerter Informationen durch Unbefugte) die bei der Nutzung von Telefax-Diensten bestehen können, nicht immer ausreichend bekannt.
Wir empfehlen, für den Telefax-Verkehr auf jeden Fall organisatorische Regelungen zu treffen, alle technischen Sicherheitsoptionen von Telefax-Geräten und rechnergestützten Fax-Anwendungen konsequent zu nutzen sowie vor jeder Übermittlung personenbezogener oder anderer besonders schützenswerter Daten per Telefax äußerst kritisch zu prüfen, ob dies notwendig und vertretbar ist.
Aus unserer Sicht wird angeregt, beim Einsatz und bei der Nutzung von Telefax-Diensten, insbesondere bei der Übermittlung personenbezogener Daten, auf folgende Punkte zu achten:
1.
Fernmelde- und Datengeheimnis
1 Das Fernmeldegeheimnis, das in § 85 des Telekommunikationsgesetzes (TKG) geregelt ist, gilt auch für die Übermittlung von Daten durch Telefax-Dienste. 2 Verstöße gegen das Fernmeldegeheimnis können nach § 206 StGB mit Freiheits- oder Geldstrafe geahndet werden.
1 Den im Telefax-Verkehr eingesetzten Personen ist untersagt, personenbezogene Daten unbefugt zu verarbeiten oder zu nutzen (Datengeheimnis). 2 Dies gilt auch für Mitarbeiterinnen und Mitarbeiter, die ein eingegangenes Telefax dem Gerät entnehmen, um es dem ordnungsgemäßen Empfänger zuzuleiten oder die die Sende- und Empfangsprotokolle ausdrucken lassen und verwalten.
2.
Wahrung der Schriftform im Rechtsverkehr
1 Vor der Übermittlung von Schriftstücken im Rechtsverkehr ist zu prüfen, ob die Wahrung der Schriftform bei vertraglichen und prozessualen Erklärungen vorgeschrieben ist. 2 In diesen Fällen ist das Schriftstück im Original der empfangenden Stelle zuzuleiten; eine Übermittlung durch Telefax kann zusätzlich erfolgen.
3.
Allgemeine Sicherheitsmaßnahmen
•
Da Telefax-Sendungen beim erreichten Empfänger offen ankommen, ist vor allem bei der Versendung vertraulicher Dokumente besondere Sorgfalt geboten.
•
Vor der Absendung des Telefaxes ist zu überprüfen, ob auch tatsächlich der richtige Anschluss angewählt wurde.
•
1 Mit dem Beginn der Übertragung der Nachricht sollte die von dem angewählten Gerät zurückgesandte Gerätekennung mit der Telefax-Nummer oder dem Namen des Empfängers verglichen werden. 2 Bei einer Abweichung ist die Übertragung sofort abzubrechen.
•
Falls nach Absendung der Nachricht oder eines Teils der Nachricht eine Fehlleitung festgestellt wird, sind die für die Nachricht verantwortlichen Mitarbeiterinnen und Mitarbeiter unverzüglich zu benachrichtigen, damit diese dann angemessene Maßnahmen zur Schadensbegrenzung veranlassen können.
•
1 Es ist je nach Art des Inhalts sicherzustellen, dass ein Telefax nicht außerhalb der Dienstzeit ankommt und somit durch Unbefugte Einsicht genommen werden könnte. 2 Dies gilt insbesondere für die Möglichkeit der zeitversetzten Sendung.
•
Beim Einsatz von Personalcomputern mit Faxübertragungsmöglichkeiten (z. B. Fax-Modem, ISDN-Karte) ist sicherzustellen, dass kein unbefugter Zugriff aus dem PC-Netzwerk auf die empfangenen oder zu versendenden Nachrichten erfolgen kann.
•
Bei einem Telefaxgerät mit Speicherfähigkeit ist zu gewährleisten, dass vor dessen Weitergabe an Dritte (z. B. bei Wartung, Verkauf, Entsorgung) sämtliche in dem Gerät gespeicherten Daten gelöscht werden.
4.
Besondere Sicherheitsmaßnahmen bei der Übermittlung sensibler Daten
•
Besonders schutzwürdige personenbezogene Daten (z. B. Daten über religiöse oder politische Anschauungen, arbeitsrechtliche, finanzielle oder gesundheitliche Verhältnisse, strafbare Handlungen) dürfen nur dann per Telefax übermittelt werden, wenn die Übermittlung nach den Bestimmungen des Datenschutzes rechtlich zulässig ist, es von der Eilbedürftigkeit her geboten und durch besondere Vorkehrungen sichergestellt ist, dass die Sendung nur dem richtigen Empfänger zugeht.
•
1 Zu den besonderen Sicherheitsvorkehrungen gehören Telefaxgeräte mit Verschlüsselungssoftware. 2 Diese Geräte sollen insbesondere in den Bereichen eingesetzt werden, in denen es notwendig ist, regelmäßig besonders schutzbedürftige Daten zu übersenden (z. B. medizinische Daten zwischen Laborbetrieb und Krankenhaus).
•
Kirchliche Stellen als Empfänger von Telefaxen sollten möglichst Telefaxgeräte einsetzen, bei denen eingehende Dokumente erst nach Eingabe eines Passwortes ausgegeben werden.
•
Sofern ausnahmsweise Geräte ohne besondere Sicherheitsvorkehrungen benutzt werden, sollten die verantwortlichen Mitarbeiterinnen und Mitarbeiter das Absenden möglichst persönlich vornehmen und unmittelbar vor der Sendung eine telefonische Vereinbarung über die persönliche Entgegennahme der Sendung mit dem Empfänger treffen.
5.
Dokumentation, Vollständigkeit
•
Jeder Sendung sollte ein Vorblatt oder ein spezieller Telefax-Kopf beigefügt werden, der den Absender, dessen Telefax- und Telefonnummer, den Adressaten und die Anzahl der zu sendenden Seiten erkennen lässt.
•
1 Es ist für jede Sendung ein Sendeprotokoll zu erzeugen und dem Vorgang beizufügen. 2 Die für die Übersendung verantwortliche Person hat zu kontrollieren, ob die Übertragung störungsfrei und vollständig den Empfänger erreicht hat.
6.
Räumliche Unterbringung
Telefaxgeräte sind so aufzustellen, dass Unbefugte keine Kenntnis vom Inhalt eingehender oder übertragener Telefax-Schreiben erhalten können.
7.
Organisatorische Regelungen
•
1 Telefax-Dienste dürfen nur nach Einweisung und Anweisung genutzt werden. 2 Für eingehende Telefaxe ist festzulegen, wie sie im Dienstverkehr behandelt werden.
•
Jede kirchliche Stelle hat für die Nutzung der Telefax-Dienste die Zuständigkeiten und Verantwortlichkeiten sowie grundsätzlichen Sicherheitsvorkehrungen festzulegen.
•
Bei Einsatz von Fax-Modems sind entsprechende Maßnahmen der Zugriffskontrolle zu realisieren.
1 Für die Mitarbeiterinnen und Mitarbeiter im Bereich der Evangelischen Kirche von Westfalen haben wir ein Merkblatt zum Datenschutz und zur Datensicherheit bei der Nutzung von Telefax-Diensten erstellt. 2 Dieses Merkblatt informiert über mögliche Beeinträchtigungen des Datenschutzes und empfiehlt Maßnahmen zum datenschutzgerechten Umgang mit Telefax-Diensten.
Wir schlagen vor, dieses Merkblatt allen Mitarbeiterinnen und Mitarbeitern zuzuleiten, die regelmäßig oder gelegentlich Telefax-Dienste nutzen.
Telefax und Datenschutz
Merkblatt der Evangelischen Kirche von Westfalen
zum Datenschutz und zur Datensicherheit bei der Nutzung von Telefax-Diensten
– Stand 01.03.1999 –
Telefaxgeräte ermöglichen eine kostengünstige und schnelle telefonische Übertragung von Text- und Bildvorlagen.
Konventionelle Telefaxgeräte sind Daten verarbeitende Geräte, mit denen auch personenbezogene Daten automatisiert übertragen werden.
1 PC mit Standard- oder Bürokommunikationssoftware können um Hard- und Softwarekomponenten erweitert werden, mit deren Hilfe Telefaxe gesendet und empfangen werden können. 2 Derart integrierte Telefaxlösungen werden sowohl für Einzelplatzrechner als auch für den PC-Netzbetrieb angeboten.
Vielen Benutzerinnen und Benutzer sind die Risiken für die Vertraulichkeit der per Telefax übermittelten Informationen nicht bekannt.
Das Merkblatt informiert auf Grundlage der kirchlichen Ausführungsbestimmungen zum Datenschutz und der Empfehlungen der Datenschutzbeauftragten des Bundes und der Länder über bestehende Gefahren und empfiehlt Maßnahmen zum datenschutzgerechten Umgang mit Telefax-Diensten.
Mögliche Beeinträchtigungen des Datenschutzes (Gefahren)
Offene Informationsübertragung
1 Die Informationen werden grundsätzlich „offen“, also unverschlüsselt, übertragen. 2 Beim Empfänger werden sie sofort originalgetreu und „offen“ ausgedruckt; die Form ist vergleichbar mit der einer Postkarte.
Abhörbarkeit
Der Telefax-Verkehr kann wie ein Telefongespräch abgehört werden.
Fehlerhafte Adressierung
1 Die Adressierung erfolgt durch einen Zahlenfolge (Telefaxnummer) und nicht durch eine mehrgliedrige Anschrift. 2 Dadurch sind Adressierungsfehler viel wahrscheinlicher. 3 Die Übertragung der Vorlagen an einen falschen Adressaten wird oft gar nicht oder erst nachträglich bemerkt.
Fernwartung
1 Bei Telefaxgeräten neueren Typs kann der Hersteller Fernwartungen durchführen, ohne dass die kirchliche Stelle diesen Zugriff wahrnimmt. 2 Unter bestimmten Umständen kann dabei auf die im Telefaxgerät gespeicherten Daten zugegriffen werden (z.B. Lesen der Seitenspeicher sowie Lesen und Beschreiben der Rufnummern- und Parameterspeicher).
Ungeeignete Faxmodems
Der Einsatz eines nicht geeigneten Faxmodems bei einem Einzel-PC oder bei einem Fax-Server im Netzbetrieb kann zu unzulässigen Zugriffen Dritter auf die gesendeten oder empfangenen Daten führen.
1 Diese Sicherheitsrisiken werden von den Anbietern der Telekommunikationsnetze und -dienste nicht abgefangen. 2 Deshalb ist jede kirchliche Stelle für die ordnungsgemäße Übertragung, die richtige Einstellung der Rufnummern- und Parameter am Telefaxgerät sowie für eine ordnungsgemäße Integration von Telefax-Diensten in DV-Anlagen verantwortlich.
Technische und organisatorische Maßnahmen
Telefaxgeräte verfügen oft über technische Funktionsmerkmale, die viele Benutzerinnen und Benutzer nicht kennen.
Beispiele:
• Speicherung von Verbindungsdaten
• Passwortfunktionen
• Speicherung von Telefax-Inhalten
• Verschlüsselungsmechanismen
Nach § 9 des Kirchengesetzes über den Datenschutz der Evangelischen Kirche in Deutschland2# sind technisch-organisatorische Maßnahmen zu treffen, damit bei der Nutzung der Telefax-Dienste missbräuchliche Nutzungen durch falsch adressierte oder ungesicherte Übertragungen, unbefugte Einsichtnahme oder Manipulationen verhindert werden können.
Empfehlungen für das Benutzen von konventionellen Telefaxgeräten
  1. 1 Die absendende kirchliche Stelle trägt stets die Verantwortung für eine gesicherte Übertragung und den befugten Empfang. 2 Dabei sind die Anweisungen der jeweiligen kirchlichen Stelle zur Nutzung der Telefaxdienste zu beachten.
  2. 1 Vor der Übermittlung von Schriftstücken im Rechtsverkehr ist zu prüfen, ob die Wahrung der gesetzlichen Schriftform bei vertraglichen und prozessualen Erklärungen vorgeschrieben ist. 2 Staatliche oder kirchliche Vorschriften können vorsehen, dass Urkunden oder Schriftstücke von der jeweiligen kirchlichen Stelle eigenhändig durch eine oder mehrere Personen zu unterzeichnen sind und ggf. das Siegel beizudrücken ist. 3 In diesen Fällen ist das Schriftstück im Original der empfangenden Stelle zuzuleiten; eine Übermittlung durch Telefax kann zusätzlich erfolgen. 4 Die Übermittlung von Schriftstücken mit eingescannten Unterschriften über PCs mit Faxmodem gelten oft als nicht formgerecht; mit der empfangenden Stelle ist zuvor die Gültigkeit der Übermittlung des elektronischen Schriftstückes abzuklären.
  3. 1 Auf Grund der möglichen Gefährdungen darf die Übertragung sensibler personenbezogener Daten per Telefax nicht zum Regelfall werden. 2 Was am Telefon aus Gründen der Geheimhaltung nicht gesagt werden darf, darf auch nicht ohne besondere Sicherheitsvorkehrungen (etwa Verschlüsselungsgeräte) gefaxt werden. 3 Dies gilt vor allem für besonders schutzbedürftige personenbezogene Daten, auch solche, die einem besonderen Berufs- oder Amtsgeheimnis unterliegen (Sozial-, Finanz-, Steuer-, Personal- und medizinische Daten).
  4. 1 Besonders schutzbedürftige personenbezogene Daten dürfen nur dann per Telefax übermittelt werden, wenn es rechtlich zulässig, von der Eilbedürftigkeit her geboten und durch besondere Maßnahmen sichergestellt ist, dass die Sendung nur dem richtigen Empfänger zugeht. 2 Es können entweder Verschlüsselungsgeräte, sofern beide Seiten kompatible Produkte einsetzen, benutzt werden oder die zuständigen Mitarbeiterinnen und Mitarbeiter der empfangenden Stelle sind von der absendenden kirchlichen Stelle telefonisch zu bitten, das Telefax an dem dortigen Standgerät persönlich in Empfang zu nehmen.
  5. Alle vom Gerät angebotenen Sicherheitsmaßnahmen (etwa Anzeige der störungsfreien Übertragung, gesicherte Zwischenspeicherung, Abruf eingegangener Dokumente erst nach Eingabe eines Passwortes) sind zu nutzen.
  6. 1 Jeder Sendung sollte ein Vorblatt oder ein spezieller Telefax-Kopf beigefügt werden, der den Absender, dessen Telefax- und Telefonnummer, den Adressaten und die Zahl der zu sendenden Seiten erkennen lässt. 2 Das Sendeprotokoll ist auszudrucken und mit der Telefaxnummer zu vergleichen. 3 Vorblatt und Sendeprotokoll sind dem Vorgang beizufügen.
  7. 1 Bei der Übertragung der Dokumente ist die von dem angewählten Gerät zurückgesandte Geräte- oder Empfängerkennung mit der Telefax-Kennung oder dem Namen der empfangenden Stelle zu vergleichen, damit bei evtl. Wählfehlern die Übertragung sofort abgebrochen werden kann. 2 An Telefaxgeräten, die über keine Kennung verfügen, sollten keine personenbezogenen Daten übertragen werden.
  8. 1 Bei Telefaxgeräten, die an Nebenstellenanlagen angeschlossen sind, ist das Risiko einer Fehladressierung besonders groß, da vor der Nummer der empfangenden Stelle zusätzlich Zeichen zur Steuerung der Anlage (z.B. Eingabe einer „0“) eingegeben werden müssen. 2 Beim Umgang mit derartigen Geräten ist besondere Sorgfalt geboten.
  9. Bei Änderung von Telefaxnummern sind möglichst alle betroffenen Personen zu informieren, damit bei einer Neuvergabe der bisherigen Telefaxnummer die vorherige Nummer nicht irrtümlich benutzt wird.
  10. Eingehende Telefaxe sind unter Beachtung des Dienstweges sofort an die zuständigen Mitarbeiterinnen und Mitarbeiter weiterzuleiten.
Zusätzliche Empfehlungen beim Einsatz von PC mit Faxübertragungsmöglichkeiten
  1. 1 Beim Absenden ist auf die korrekte Angabe der empfangenden Stelle zu achten. 2 Dazu sind die durch die Faxsoftware bereitgestellten Hilfsmittel (z. B. Faxanschlusslisten, in denen Empfänger und Verteiler mit aussagekräftigen Bezeichnungen versehen werden können), zu benutzen.
  2. 1 Der Einsatz von Verschlüsselungsverfahren ist unkompliziert und kostengünstig möglich, sofern beide Seiten kompatible Produkte einsetzen. 2 Sensible personenbezogene Daten sollten immer verschlüsselt übertragen werden, um das Abhören zu verhindern. 3 Sofern zukünftig Dokumente digital signiert übertragen werden, kann zusätzlich der Absender sicher ermittelt werden, ebenso sind Manipulationen erkennbar.
  3. Die vielfältigen Nutzungsmöglichkeiten integrierter Faxlösungen erfordern regelmäßig eine sorgfältige Überprüfung der in der Faxsoftware gespeicherten Anschlusslisten und Protokolle.
Organisatorische Maßnahmen und Empfehlungen für die technischen Dienste
  1. Telefaxgeräte müssen so aufgestellt werden, dass Unbefugte keine Kenntnis vom Inhalt eingehender oder übertragener Schreiben erhalten können.
  2. Die Bedienung von Telefaxgeräten darf nur durch eingewiesenes Personal erfolgen.
  3. Die am Telefaxgerät eingestellten technischen Parameter und Speicherinhalte sind regelmäßig zu überprüfen, damit beispielsweise Manipulationsversuche frühzeitig erkannt und verhindert werden können.
  4. 1 Verfügt das Telefaxgerät über eine Fernwartungsfunktion, sollte sie grundsätzlich deaktiviert werden. 2 Nur für notwendige Wartungsarbeiten ist diese Funktion freizugeben. 3 Nach Abschluss der Wartungsarbeiten sollten die eingestellten Parameter und Speicherinhalte kontrolliert werden.
  5. 1 Vor Verkauf, Weitergabe oder Aussortieren von Telefaxgeräten ist zu beachten, dass alle im Gerät gespeicherten Daten (z.B. Textinhalte, Verbindungsdaten oder Kurzwahlziele) gelöscht werden. 2 Soweit Alt-Geräte noch Druckverfahren verwenden, bei dem auf einer Trägerfolie ein lesbares Abbild des gedruckten Telefax zurückbleibt, sind diese Trägerfolien zu entnehmen und sachgerecht zu vernichten.
  6. PC-Lösungen mit integrierten Faxmodems müssen auch unter datenschutzrechtlichen Vorgaben sorgfältig konfiguriert und gesichert sein, damit Unbefugte keinen Zugriff auf den benutzten PC oder das PC-Netzwerk haben.
  7. Die technischen Parameter der Faxsoftware sind regelmäßig auf ihre Richtigkeit zu überprüfen.
#
1 ↑ Redaktioneller Hinweis: Am 24. Mai 2018 ist das neu gefasste EKD-Datenschutzgesetz vom 15. November 2017 (Nr. 850) in Kraft getreten. Es wird zurzeit geprüft, ob und inwieweit eine Aktualisierung der Regelungen des Rundschreibens an das neue kirchliche Datenschutzrecht erforderlich ist.
#
2 ↑ Nr. 850 Archiv-1.