Die Woche im kirchlichen Datenschutz

Forensischer Bericht zum BeNe-Vorfall

Die EKD hat Ergebnisse einer unabhängigen forensischen Untersuchung zum Datenschutzvorfall bei der Betroffenenplattform BeNe veröffentlicht. Bekannt wurde der Vorfall Ende Juli. Aus dem Bericht geht hervor, dass der Angriff spätestens am 19. Juli nachvollziehbar ist, erste Versuche der Ausnutzung der Lücke wp2shell finden sich am 18. Juli in den Logs. Ob und welche personenbezogenen Daten tatsächlich abgeflossen sind, konnte dem Bericht zufolge nicht festgestellt werden. In der betroffenen Datenbank seien nur E-Mail-Adressen zu finden gewesen, die Anlage zusätzlicher Konten mit Admin-Rechten stelle wohl keine Gefahr dar:

»Nach den vorliegenden Informationen konnten kritische Inhalte des Forums durch Dritte trotz Anlage administrativer WordPress-Konten nicht durch die Angreifer eingesehen werden, da diese mit einer entsprechenden zusätzlichen Verschlüsselungsstruktur geschützt waren.«

Die Ergebnisse des forensischen Berichts sollen nun in die Beratungen der vom Betroffenenforum im September beauftragten Taskforce »Kommunikation und Öffentlichkeitsarbeit der Betroffenen« einfließen, die eine Neukonzeption von »BeNe« erarbeitet.

Gegenüber Artikel91.eu bezweifeln Betroffene, dass tatsächlich nur E-Mail-Adressen betroffen sind. Im August wurden BeNe-Nutzende per Mail informiert. Die nicht persönlich gezeichnete Mail von postmaster@betroffenen-netzwerk.de liegt mir vor. Darin heißt es, dass selbst von ehemaligen Nutzenden, die ihren Account bereits gelöscht hatten, noch die IDs, Benutzernamen und E-Mail-Adressen in einem »Notifikationsmodul« gespeichert seien.
Damit verknüpfte Hinweise auf private Unterhaltungen und private Foren seien ebenfalls in dem Modul noch vorhanden und nachvollziehbar, Inhalte aus privaten Nachrichten und privaten Foren seien aber gelöscht worden.

Akteneinsicht bei kirchlichen Aufsichten

Das bayerische Landesrecht ist für seine Intransparenz bekannt – dafür hat der Gesetzgeber jetzt eine Klatsche vom EuGH bekommen: Art. 20 Abs. 2 BayDSG, der ein Auskunfts- und Einsichtsrecht in Akten der Landesdatenschutzaufsichten ausschließt, ist europarechtswidrig. Die Aufsicht ist Verantwortliche und damit greifen die Betroffenenrechte der DSGVO.

Das gilt so auch im kirchlichen Datenschutzrecht. Im KDG wie im DSG-EKD gibt es von vornherein keine Einschränkung des Auskunftsrechts gegenüber Aufsichten. Und mehr noch: Die jeweiligen Verwaltungsverfahrensgesetze regeln ein Einsichtsrecht in eigene Verfahrensakten, sofern das zur Rechtsdurchsetzung erforderlich ist (§ 6 Abs. 1 KDS-VwVfG und § 16 VVZG-EKD), wie die bayerische Diözesandatenschutzaufsicht betont. Dieses Einsichtsrecht ist zwar an die Erforderlichkeitsbedingung geknüpft, gilt aber nicht nur für personenbezogene Daten. Damit ersetzt es das datenschutzrechtliche Auskunftsrecht nicht, sondern ergänzt es.

Schatten-KI

Nils Peters befasst sich in dieser Woche in einem lesenswerten Artikel mit dem Umgang mit Schatten-KI. Dazu schlägt er drei zusammengehörende Maßnahmen vor: Eine klare Regelung, Schulung zu freigegebenen Systemen und am wichtigsten: »Eine freigegebene Umgebung, die so gut ist, dass niemand auf das Privatkonto ausweichen muss.«

Das ist absolut zentral: Solange erlaubte Dienste lästiger, weniger praktisch, weniger komfortabel oder auch nur hässlicher als frei verfügbare sind, ist die Chance groß, dass die schönste Dienstanweisung nichts bringt.

Hilfreich für das IT-Sicherheits-Management nach BSI-IT-Grundschutz ist ein Community-Baustein »OPS.bd.1 Einsatz von Künstlicher Intelligenz«, den ASK-Informationssicherheit entwickelt hat, weil es noch keinen offiziellen Baustein gibt.

COMECE-Papier zur Taufbuchlöschung geplant

Die Kommission der EU-Bischofskonferenzen arbeitet an einem Positionspapier zu den Schlussanträgen der EuGH-Generalanwältin im Fall Bisdom Gent zum Löschen aus dem Taufbuch, erfährt man aus dem aktuellen Newsletter. Weitere Details gibt es nicht. Wo die COMECE steht, hat sie in einer Stellungnahme vor Veröffentlichung der Schlussanträge schon mitgeteilt.

Bereits veröffentlicht hat das »European Centre for Law and Justice« seine Stellungnahme zu den Schlussanträgen. Ausführlich analysiert Alicja Słowik die Argumentation und sieht nicht nur eine Gefahr für die inneren Angelegenheiten der Kirchen, sondern sogar für das »Überleben des religiösen Pluralismus in Europa«. Von diesem markigen Urteil sollte man sich nicht abschrecken lassen: Die Analyse schlüsselt lesenswert die Schlussanträge differenziert und ohne Polemik auf.

Souveräne Cloud in der EKiR

Es geht auch anders als in der Nordkirche: Die Evangelische Kirche im Rheinland setzt bei ihrem Smart Workplace auf digitale Souveränität. Beim Heise-IT-Summit stellt der IT-Chef der EKiR, Klaus Lammertz, die »Umsetzung einer souveränen, modernen und nutzerzentrierten Arbeitsumgebung für 17.500 Nutzer in rund 600 Organisationen« vor.

Auf Artikel 91

• Kirchliches Archivrecht verlässlich anwenden: Gedächtnis der Kirche und der Gesellschaft

Aus der Welt

• Die irische Datenschutzaufsicht ist eine Drehtür für Meta-Lobbyist*innen: Die ehemalige Data Protection Commissioner Helen Dixon wechselte nach Amtsende zu einer Kanzlei, die Meta gegen die Aufsicht vertreten hatte, die neue Commissioner (nun in einem Dreier-Leitungsteam) ist die langjährige Meta-Lobbyistin Niamh Sweeney. Gegen die Berufung haben Menschenrechtsorganisationen bei der EU-Kommission Beschwerde eingereicht. Der Streit hat jetzt auch die UN erreicht: Die Sonderberichterstatterinnen Margaret Satterthwaite (Unabhängigkeit der Justiz) und Ana Brian Nougrères (Datenschutzgrundrecht) warnen in einer Stellungnahme vor dieser Drehtür und kündigen an, mit der irischen Regierung darüber in einen Dialog zu treten.
• Ein breites Bündnis bürgerrechtlicher Organisationen unter der Führung der Humanistischen Union wendet sich in einem offenen Brief an die Abgeordneten des Bundestags, um die Geheimdienstreform zu stoppen. Unter den Unterzeichnenden ist keine kirchliche Organisation, obwohl im kirchlichen Bereich viele Berufsgeheimnisträger*innen tätig sind, die potentiell von erweiterten Befugnissen der Nachrichtendienste betroffen sind.

Kirchenamtliches

• KDSZ Bayern: EuGH stärkt Transparenz bei Datenschutzaufsichtsbehörden