Sichere Datenverwahrung mit einem verschlüsselten USB Stick? Jein…

Hardwareverschlüsselter USB-Stick für dienstliche Datenverwahrung: Vorteile, Grenzen und rechtlicher Rahmen

In letzter Zeit habe ich häufiger erlebt, dass für den Transport dienstlicher oder anderweitig sensibler Daten hardwareverschlüsselte USB-Sticks beworben wurden. Um deren Einsatz besser einordnen zu können, habe ich mich mit den einschlägigen Datenschutzbestimmungen und den für Nordrhein-Westfalen geltenden schulrechtlichen Vorschriften beschäftigt (auch zu den bundessweiten Regelungen bekommen sie hier Informationen in einer Extraübersicht). Dabei zeigt sich: Eine hochwertige Verschlüsselung kann eine wichtige technische Schutzmaßnahme sein. Sie schafft jedoch für sich allein noch keine dienstrechtliche Erlaubnis.

Mein vorläufiges Fazit lautet deshalb: Nicht zuerst kaufen und anschließend um Erlaubnis bitten, sondern vorher schriftlich bei der zuständigen Schulleitung beziehungsweise ZfsL-Leitung klären

Ist die Speicherung und der Transport der betreffenden personenbezogenen dienstlichen Daten auf einem privaten, hardwareverschlüsselten (FIPS 140-2 Level 3) USB-Stick zulässig? Welche schriftliche Genehmigung ist dafür erforderlich, welche Daten dürfen gespeichert werden und muss das konkrete Gerät beziehungsweise das Verarbeitungsvorhaben dokumentiert werden??

Bei ausdrücklich erlaubter Nutzung ist der Stick eine technisch überdurchschnittlich sichere Lösung. Ohne eine solche Erlaubnis bleibt die Verwendung dienstrechtlich riskant.

Die Vorteile eines solchen USB-Sticks* sind die automatische Sperre nach dem Abziehen von einem Rechner, die Begrenzung falscher PIN-Eingaben und – je nach Modell – ein Manipulationsschutz sowie ein Nur-Lese-Modus. Bei Verlust eines gesperrten Sticks sind die Daten damit wesentlich besser geschützt als auf einem gewöhnlichen USB-Datenträger, das alleine reicht jedoch nicht, denn, der Schutz hat Grenzen: Sobald der Stick entsperrt an einen Computer angeschlossen ist, stehen die Dateien dem Betriebssystem grundsätzlich wie auf einem normalen Laufwerk zur Verfügung. Schadsoftware könnte sie dann lesen, kopieren oder verändern. Ein verschlüsselter Stick schützt daher vor allem die Daten während der Aufbewahrung und des Transports, nicht automatisch vor einem unsicheren Rechner oder einer fehlerhaften Nutzung.

Gleichwohl schützt ein solcher Stick natürlich auch allgemeine Dokumente- und Unterrichtsmaterialien – wie eigene Präsentationen oder Arbeitsblätter – deutlich besser als ein herkömmlicher Datenträger. Wie oft erlebt man es im Schulalltag, dass ein USB-Stick am Monitor oder Drucker vergessen wird. Wird der verschlüsselte Stick dort abgezogen oder entwendet, sperrt er sich automatisch: Ohne die erforderliche PIN können Unbefugte auf die gespeicherten Dateien dann grundsätzlich nicht zugreifen.

Beispiel Nordrhein-Westfalen

Für Schulen in Nordrhein-Westfalen regelt die BASS die Verarbeitung personenbezogener Daten auf privaten digitalen Geräten besonders streng. Nach § 2 Absatz 2 der VO-DV I¹ ist die dienstliche Verarbeitung personenbezogener Schüler- und Elterndaten auf privaten digitalen Geräten grundsätzlich nur mit schriftlicher Genehmigung der Schulleitung zulässig. Die Genehmigung darf nur erteilt werden, wenn die Verarbeitung nach Art und Umfang für die schulische Aufgabe erforderlich ist, ein angemessener technischer Zugangsschutz nachgewiesen wird und ausschließlich die nach Anlage 3 zugelassenen Daten verarbeitet werden. Wird ein persönliches dienstliches digitales Gerät bereitgestellt, darf die Genehmigung grundsätzlich nicht erteilt werden; eine bestehende Genehmigung erlischt grundsätzlich mit der Aushändigung des Geräts. Die Verordnung enthält allerdings begrenzte Übergangs- und Ausnahmebestimmungen. Quelle

Die zugehörige Dienstanweisung verlangt außerdem, dass personenbezogene Daten beim Transport auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können². Als angemessene technische Maßnahmen nennt sie ausdrücklich unter anderem Verschlüsselung. Ein hardwareverschlüsselter USB-Stick kann diese technische Anforderung unterstützen, ersetzt aber nicht die notwendige Genehmigung und die übrigen organisatorischen Vorgaben.

Für Seminarausbilderinnen und Seminarausbilder gilt eine vergleichbare Regelung. Nach § 2 Abs. 4 VO-DV II bedarf die Verarbeitung personenbezogener Daten von Personen in Ausbildung auf privaten digitalen Geräten der schriftlichen Genehmigung. Für Seminarausbilderinnen und Seminarausbilder wird diese durch die Leitung des Zentrums für schulpraktische Lehrerausbildung erteilt. Die Verarbeitung muss für die Ausbildung erforderlich sein, ein angemessener technischer Zugangsschutz muss nachgewiesen werden, und die zulässigen Daten ergeben sich aus Anlage 6³.

Fazit

Ein hardwareverschlüsselter USB-Stick kann ein geeignetes technisches Mittel sein, um dienstliche Daten beim Transport zu schützen. Seine Nutzung ist aber nicht allein deshalb rechtlich zulässig. Maßgeblich sind stets die jeweils geltenden Datenschutzvorschriften, Dienstanweisungen und internen Freigaben der zuständigen Schule, Behörde oder Ausbildungseinrichtung.

Für Nordrhein-Westfalen bedeutet das insbesondere: Personenbezogene dienstliche Daten auf einem privaten Stick sollten nur gespeichert werden, wenn die erforderliche schriftliche Genehmigung vorliegt und die dort festgelegten technischen und organisatorischen Maßnahmen eingehalten werden. Auch eine hochwertige Hardwareverschlüsselung kann nur einen Teil des notwendigen Schutzes leisten. Soweit für die konkrete Verarbeitung eine Genehmigung erforderlich ist, ersetzt sie weder den Antrag noch die Entscheidung der zuständigen Schulleitung oder ZfsL-Leitung.

Wichtiger Hinweis: Dieser Beitrag wurde privat und nicht im Auftrag einer Schule, Behörde oder sonstigen amtlichen Dienststelle erstellt. Er dient ausschließlich der allgemeinen Information und stellt weder eine verbindliche Rechts- oder Dienstrechtsberatung noch eine dienstliche Weisung oder Handlungsempfehlung dar. Verbindlich sind ausschließlich die jeweils geltenden gesetzlichen und dienstlichen Vorschriften sowie die konkreten Vorgaben der zuständigen Schulleitung, Behörden- oder Dienststellenleitung, der beziehungsweise des Datenschutzbeauftragten und gegebenenfalls des Schulträgers. Die dargestellten Regelungen für Nordrhein-Westfalen sind vor ihrer Anwendung anhand der jeweils aktuellen Fassung der BASS zu prüfen.

1. Quelle: Ministerium für Schule und Bildung des Landes Nordrhein-Westfalen, Verordnung über die zur Verarbeitung zugelassenen Daten von Schülerinnen, Schülern und Eltern – VO-DV I, BASS 10-44 Nr. 2.1, § 2 Abs. 2 ↩︎
2. Quelle: Ministerium für Schule und Bildung des Landes Nordrhein-Westfalen, Dienstanweisung für die automatisierte Verarbeitung personenbezogener Daten in der Schule, BASS 10-41 Nr. 4, insbesondere Nr. 11.1 und 11.5. ↩︎
3. Quelle: Ministerium für Schule und Bildung des Landes Nordrhein-Westfalen, Verordnung über die zur Verarbeitung zugelassenen Daten der Lehrerinnen und Lehrer – VO-DV II, BASS 10-41 Nr. 6.1, § 2 Abs. 4 und Anlage 6. ↩︎