Von: Pressestelle (LfD) <Pressestelle@LfD.niedersachsen.de>
Gesendet: 18.07.2023 15:53
An: Joachim Lindenberg <************@lindenberg.one>
Betreff: AW: Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail

 

Sehr geehrter Herr Lindenberg,

 

haben Sie vielen Dank für Ihre Anfrage. Nach eingehender Prüfung und Bewertung des Sachverhalts, möchten wir zu Ihrer Anfrage folgendermaßen abschließend Stellung nehmen:

 

Die von Ihnen genannte Orientierungshilfe "Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail" der Datenschutzkonferenz der Unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat in der aktuellen Fassung weiterhin Gültigkeit. Die Aufsichtsbehörden überprüfen als Teil der Arbeitsgruppen der DSK regelmäßig alle Orientierungshilfen und aktualisieren diese wenn notwendig.

 

Im Hinblick auf die E-Mail Praxis in unserem Haus und die technische Umsetzung durch unseren Auftragsverarbeiter möchten wir Ihnen zur Kenntnis geben, dass wir bei der Auswahl technischer und organisatorischer Maßnahmen einen risikobasierten Ansatz verfolgen, wie es von der DS-GVO vorgesehen ist. Dafür werden verschiedene Kanäle zur Kommunikation für verschiedene Schutzstufen vorgehalten, die je nach Einzelfall zu wählen sind.

 

Die transportverschlüsselte E-Mails sind nicht der einzige angebotene Kommunikationsweg. Darüber hinaus werden in unserem Hause für jeden Vorgang entsprechend der Schutzbedarfe bzw. Vertraulichkeitsstufen Transportverschlüsselung mittels TLS und gegebenenfalls PGP-Schlüssel für die Ende-zu-Ende-Verschlüsselung beim Übermitteln genutzt. Bezüglich Ihrer Frage nach dem Verhältnis von mittels PGP Ende-zu-Ende-verschlüsselter E-Mails zu unverschlüsselten E-Mails stellen wir fest, dass diese Quote keinerlei Aussagekraft bezüglich der Angemessenheit technischer Sicherungsmaßnahmen besitzt und demzufolge von uns nicht nachgehalten wird. Grundsätzlich nutzen wir als Datenschutz-Aufsichtsbehörde nur Kontaktwege, die entsprechend der Schutzwürdigkeit des Inhalts ein angemessenes Schutzniveau bieten.

 

Wir bedanken uns für Ihr Interesse und Ihre Hinweise

 

Mit freundlichen Grüßen

Im Auftrage

Marius Engelskirchen

 

Die Landesbeauftragte für den

Datenschutz Niedersachsen

Büro der LfD/ Presse- und Öffentlichkeitsarbeit

Stellvertretender Pressesprecher

 

Hausanschrift:

Prinzenstraße 5, 30159 Hannover

Postanschrift:

Postfach 221, 30002 Hannover

 

Telefon:

0511 120 4523

Telefax:

0511 120 4599

E-Mail:

Marius.Engelskirchen@lfd.niedersachsen.de

Internet:

https://www.lfd.niedersachsen.de

 

E-Mail-Verschlüsselung:

Wenn Sie eine E-Mail mit schutzwürdigem Inhalt an uns senden wollen, so

empfehlen wir Ihnen, diese mit unserem öffentlichen PGP-Schlüssel zu sichern.

Weitere Informationen finden Sie hier:

https://www.lfd.niedersachsen.de/live/live.php?navigation_id=12926&article_id=56046&_psmand=48

https://www.lfd.niedersachsen.de/download/32009

 

Hinweise zur Verarbeitung Ihrer personenbezogenen Daten:

Ich weise Sie darauf hin, dass wir als verantwortliche Stelle Ihre personenbezogenen Daten verarbeiten.

Die gesamte Verarbeitung erfolgt im Rahmen der Wahrnehmung der gesetzlich normierten, aufsichtsbehördlichen

Befugnisse nach § 19 NDSG sowie Artikel 6 Abs. 1 lit. e DS-GVO in Verbindung mit den Artikeln 51 ff. DS-GVO.

Sie haben unter anderem das Recht, Auskunft über Ihre durch uns verarbeiteten Daten zu erhalten, sowie das

Recht, dass diese Daten gelöscht werden, sofern sie zum Erreichen des genannten Zweckes nicht länger erforderlich sind.

Ferner haben Sie das Recht, dass unrichtige Daten berichtigt sowie unvollständige Daten vervollständigt werden, soweit

diese Sie betreffen. Weiterhin verfügen Sie über das Recht auf Datenübertragbarkeit, auf Widerspruch und zur Einschränkung

der Verarbeitung.

Eine ausführliche Information über Ihre Rechte und die Verarbeitung Ihrer Daten können Sie unter folgendem Link abrufen:

https://www.lfd.niedersachsen.de/startseite/wir_ueber_uns/datenschutzerklaerung/transparenz--und-informationspflichten-nach-artikel-13-und-artikel-14-datenschutz-grundverordnung-164720.html

 

 

 

 

 

Von: Joachim Lindenberg <************@lindenberg.one>
Gesendet: Freitag, 7. Juli 2023 14:00
An: pressestelle@bfdi.bund.de; pressestelle@lfdi.bwl.de; poststelle@datenschutz-bayern.de; presse@lda.bayern.de; presse@datenschutz-berlin.de; Poststelle@LDA.Brandenburg.de; office@datenschutz.bremen.de; presse@datenschutz.hamburg.de; pressestelle@datenschutz-hessen.de; info@datenschutz-mv.de; Pressestelle (LfD) <Pressestelle@LfD.niedersachsen.de>; pressestelle@ldi.nrw.de; presse@datenschutz.rlp.de; poststelle@datenschutz.saarland.de; saechsdsb@slt.sachsen.de; poststelle@lfd.sachsen-anhalt.de; mail@datenschutzzentrum.de; poststelle@datenschutz.thueringen.de
Betreff: Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail

 

ACHTUNG!! Diese E-Mail erreicht Sie von einem Absender außerhalb der niedersächsischen Landesverwaltungs-Infrastruktur mit TLS-Verschlüsselung. Bitte klicken Sie auf keine Links oder öffnen Sie keine E-Mail-Anhänge, falls Sie den Absender nicht kennen und nicht wissen, ob der Inhalt sicher ist.

Sehr geehrte Damen und Herren Datenschutzbeauftragte, sehr geehrte Pressesprecherinnen und Pressesprecher,

 

die Orientierungshilfe „Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail“ ist jetzt gut zwei – Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail (16.06.2021) – bzw. drei – Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail (13.06.2020) – Jahre alt. Nur leider kann ich nicht feststellen, dass sie in der Praxis angekommen oder von Ihnen durchgesetzt wird.  Sogar bei Ihnen selbst – siehe Anlage – gibt es Defizite. Von 18 Aufsichten unterstützen nur 3 eingangsseitig die in der Orientierungshilfe definierte qualifizierte Transportverschlüsselung. Erfahrungsgemäß setzen deutlich weniger Organisationen sendeseitig qualifizierte Transportverschlüsselung oder auch die dafür geeigneten Standards BSI-TR 03108-1 /  RFC 7672 ein, als die Unterstützung eingangsseitig veröffentlicht wird.

 

Wie viele von Ihnen sendeseitig die obligatorische Transportverschlüsselung verwenden weiß ich bisher nicht, aber ich weiß sicher, dass mindestens zwei Aufsichten durchfallen, also unverschlüsselt senden obwohl mein Emailserver RFC 7672 in beiden Richtungen unterstützt. Ich will die Aufsichten hier mal nicht nennen, stattdessen darf ich Sie alle bitten, den Test auf https://blog.lindenberg.one/EmailSicherheitsTest zu machen, und Sie alle fragen, bis wann Sie gedenken, Ihrer eigenen Empfehlung nachzukommen?

 

Oder planen Sie eine neue Orientierungshilfe mit anderem Inhalt? In der vielleicht die BSI-TR 03108-1 oder der weitgehend übereinstimmende RFC 7672 nicht nur empfohlen sondern eingefordert wird, wie das auch bei unseren Nachbarn in den Niederlanden der Fall ist, und den mehr als die Hälfte der Bundesbürger meist ohne ihr Wissen verwenden, denn beim – nach eigenen Behauptungen – mit 50% Marktanteil Marktführer United Internet wird dieser Standard verwendet, bei vielen anderen öffentlichen Anbietern auch, bei Verantwortlichen egal ob im öffentlichen oder privaten Bereich sehe ich das bisher nicht.

 

Vielen Dank und viele Grüße

Joachim Lindenberg

(Presseausweis anbei)