Microsoft steht weiterhin in der Kritik, zu viele Informationen über Nutzung und Nutzer:innen seiner Produkte und Anwendungen abzugreifen. Seit langem gibt es Bedenken, dass Informationen auch aus der öffentlichen Verwaltung abfließen könnten, die in Europa mehrheitlich auf Microsoft setzt. Nach der niederländischen und der europäischen Datenschutzaufsicht wollen sich nun auch die deutschen Behörden den Problemfall nochmal vornehmen.
Seit einigen Wochen untersucht die EU-Datenschutzbehörde EDPS, ob die Verträge der EU-Dienststellen mit Microsoft den geltenden Datenschutzbestimmungen entsprechen. Es bestehe der Verdacht, dass personenbezogene und andere sensible Informationen aus der EU-Verwaltung an Microsoft abfließen könnten. Das teilte die Behörde in einer Pressemitteilung Anfang April mit. Unter anderem soll erhoben werden, welche Microsoft-Produkte derzeit überhaupt bei EU-Institutionen verwendet werden.
2018 hatte eine Untersuchung des niederländischen Justizministeriums der Enterprise-Version von Microsoft Office zahlreiche Verstöße gegen die Datenschutzgrundverordnung (DSGVO) festgestellt: „Microsoft sammelt systematisch Daten in großem Umfang über die individuelle Nutzung von Word, Excel, PowerPoint und Outlook“, fasste es die Datenschutzberatungsfirma PrivacyCompany zusammen, die die Studie im Auftrag des Justizministeriums durchführte.
Datenschutzrechtliche Bedenken auch in Deutschland
In Deutschland kritisierte bereits die damalige Datenschutzbeauftragte Andrea Voßhoff in ihrem Tätigkeitsbericht 2015/16 (pdf) „das intransparente Vorgehen von Microsoft“ und die Tatsache, dass „die Übertragung und Verarbeitung personenbezogener Daten auf Serversystemen von Microsoft in den USA nicht verhindert werden“ könne.
Mittels Telemetrie übermittelt Windows10 Daten an Microsoft, um zu prüfen, ob das Betriebssystem auf den einzelnen Computern richtig arbeitet oder vereinzelte Anpassungen notwendig sind. Da PCs meist mit dem Internet verbunden sind, findet beinahe permanent eine Übertragung von Daten ohne deutlichen Hinweis von Microsoft statt und es gibt keine Möglichkeit, sie ganz abzuschalten.
Eine im Jahr 2017 durchgeführte Überprüfung durch das Landesamt für Datenschutzaufsicht in Bayern, wo Microsoft seinen Deutschlandsitz hat, blieb weitgehend folgenlos. Durch eine umfangreiche Prüfung von Windows 10 durch das Bundesamt für Informationssicherheit (BSI) kam 2018 wieder Bewegung in die Sache. In der Untersuchung „SiSyPHuS Win10“ stellte das BSI vergangenen November fest, dass das Betriebssystem „umfangreiche System- und Nutzungsinformationen“ an Microsoft sendet und dies durch Nutzer:innen kaum zu unterbinden sei. Gegenüber netzpolitik.org forderten daraufhin führende Netzpolitiker:innen die Datenschutzbehörden zum Handeln auf.
Datenschutzbehörden bereiten „Dialog mit Microsoft“ vor
Die Datenschutzkonferenz des Bundes und der Länder (DSK) hat nun Anfang April den Beschluss gefasst, eine Positionierung zum datenschutzkonformen Einsatz von Windows10 zu erarbeiten. Bereits in der Auftragsbeschreibung stellt die DSK fest, dass jedes Update des Betriebssystems dazu führen kann, „dass Konfigurationseinstellungen verändert werden“. Damit müsse deren datenschutzrechtliche Zulässigkeit erneut geprüft werden, auch weil dadurch datenschutzfreundliche Einstellungen verloren gehen könnten. Die Positionierung der DSK soll als Grundlage für einen „Dialog mit Microsoft zu datenschutzrechtlichen Fragestellungen“ unter Federführung der bayerischen Behörde dienen.
Ob die Untersuchung auch Konsequenzen für den Einsatz von Microsoft-Produkten in der öffentlichen Verwaltung haben wird, ist noch unklar. Auf Anfrage zu dieser Thematik verwies der Bundesschutzbeauftragte, Ulrich Kelber, gegenüber netzpolitik.org jedenfalls auf das gemeinsame Vorhaben der Datenschutzbehörden. Darüber hinaus teilte Kelber mit, die in der Bundesverwaltung zum Einsatz kommende Software und in diesem Zusammenhang auch Microsoft-Produkte zu überprüfen.
Öffentlich bekannt ist derweil nicht mal, welche Microsoft Produkte in welchen Behörden überhaupt genutzt werden. Mit einer Kleinen Anfrage erbat die Linksfraktion kürzlich Informationen zu Betriebssystemen und IT-Sicherheit von der Bundesregierung. Der genaue Umfang und die Art der Produkte und Anwendungen von Microsoft in der öffentlichen Verwaltung wird jedoch aus Sicherheitsgründen nicht bekannt gegeben. Auch werden die Office-Pakete, die in den Ministerien zum Einsatz kommen, als „VS – Nur für den Dienstgebrauch“ eingestuft und sind öffentlich nicht einsehbar.
BSI: „Alle Systeme können sicher betrieben werden“
Das BSI selbst, das mit seiner SiSyPHuS-Untersuchung die Bedenken neu befeuert hat, sieht in Hinblick auf die IT-Sicherheit der öffentlichen Verwaltung keinen weiteren Handlungsbedarf. Ein Sprecher des BSI erklärte gegenüber netzpolitik.org, dass zwar grundsätzlich bei jeglicher Nutzung von IT-Systemen die Sicherheitsrisiken zu betrachten seien und „Microsoft-Produkte durch ihre hohe Verbreitung eine besondere Bedeutung“ erhalten würden. Weitere Schritte als Konsequenz aus der Untersuchung seien jedoch nicht geplant.
Um Datenabflüsse aus Behörden zu verhindern, empfiehlt das BSI der Bundesverwaltung den Einsatz von Windows-10-Clients in einer speziellen Konfiguration, die die kontinuierliche Übertragung von Daten unterbindet. „Grundsätzlich können praktisch alle IT-Systeme je nach Einsatzumgebung und Einsatzzweck sicher betrieben werden“, so der Sprecher.
