Privacy by Design in der Software Entwicklung (9 Tipps)

Du brauchst Security by Design, aber hast keinen Plan wie?

Dieser Guide erklärt alles Wichtige zu diesem Thema!

Starten wir …

Was ist Privacy by Design?

Der Begriff Privacy by Design kommt aus dem Recht – der Datenschutzgrundverordnung – und meint, dass Hardware und Software von Grund an so entworfen werden, dass sie die Privatsphäre schützt. An vielen Stellen in der Software Implementierung und Hardwareauswahl können wir Entscheidungen treffen, die schlecht oder gut für die Privatsphäre sind.

Es geht nicht nur, um die IT-Sicherheit (technische und organisatorische Maßnahmen), sondern auch um Konzepte und Prozesse. Welche Daten brauche ich überhaupt? Kann ich Daten vermeiden?

Das Gegenteil von Privacy by Design ist das Sahnehäubchen Privatsphäre. Beispiel:

Ein Unternehmen entwickelt eine Software nach allen Wünschen des Kunden, installiert diese und die Anwendung geht in Produktion. Der Kunde kommt nach 1 Jahr vorbei und sagt, wir brauchen noch „eine Prise Privatsphäre“ – wir haben eine paar Beschwerden erhalten. Weil die Software und Hardware ohne Privatsphäre im Hinterkopf ausgewählt wurden, sind Änderungen sehr teuer, umständlich oder gar nicht mehr möglich.

Der Gesetzgeber kennt diese Miesere und hat mit diesem Prinzip dagegen gesteuert (DSGVO). Es gibt keine wortwörtlichen Vorschriften, aber Verurteilungen sind realistisch, wenn vorsätzlich dieses Prinzip missachtet oder ignoriert wird.

Warum sollte ich Privacy by Design verwenden?

1. Legal: Wer in Europa lebt und arbeitet, sollte sich an das geltende Recht halten. Die DSGVO sieht Strafen bis zu 4 % des Konzern-Jahresumsatzes vor. Oft ist es einfacher gesetzeskonform zu sein, als den steinigen, juristischen Weg zu gehen.
2. Kosten sparen: Änderung im späteren Prozess sind immer schwer und kostenintensiv. Das Projekt kann scheitern, wenn viele Änderungen vorgenommen werden müssen. Wer gleich die Privatsphäre miteinplant, steht besser da.
3. Reputation behalten: Datenlecks können immer und jederzeit auftreten, deshalb ist es besser weniger Daten zu besitzen. Kein Unternehmen möchte als Datenkrake bezeichnet werden, sondern Unternehmen möchten das Vertrauen von ihren Kunden behalten.

Ist Privatsphäre und Sicherheit das Gleiche?

Nicht alle Daten sind personenbezogen. Dazu gehören z. B. Patente, Rezepte, Sensor- oder Wetterdaten. Diese Daten haben in der Regel nichts mit Personen zu tun und dürfen frei im Internet zugänglich sein.

Aus wirtschaftlichen Interesse möchten viele Unternehmen, ihre Daten schützen. Ein Schokokuchenrezept, wo nach Halb Deutschland süchtig ist, sollte mindestens genauso gut geschützt werden. Wird das Rezept geleakt, ist das kein Datenschutzverstoß, aber ein wirtschaftlicher Paukenschlag für das Unternehmen.

9 Tipps für Privacy by Design

#1 Von Beginn an – Planung

Das Ziel ist es den Stakeholder „Privatsphäre“ früh an Board zu bekommen. Bei IT und Software Projekten haben wir eine Menge Stakeholder, die ihre ganz eigene Vorstellung von dem Ziel und Endprodukt haben. Endnutzer wollen den Aspekt X so haben, Chefs möchten das Feature Y und die Regulierungsbehörde möchte Zugang zu Z.

Ein Data Protection Officer kann ein Datenschutzkonzept zusammen mit den Programmierern entwickeln. Dieser Mitarbeiter muss nicht rund um die Uhr aktiv am Projekt teilnehmen. Am Anfang muss das Konzept stehen und alle paar Wochen sollte der Data Protection Officer die Umsetzung (den aktuellen Stand) beurteilen.

#2 Anforderung an Sicherheit planen

Die Datenschützer reden von technisch / organisatorischen Maßnahmen und die ITler von Security Controls.

Überlege Dir genau, welche Security Controls Sinn ergeben und wie diese kostengünstig umsetzbar sind. Selbst wenn ein Control als viel zu teuer (aus heutiger Sicht) erscheint, sollte die Möglichkeit offengelassen werden. Dazu gehört z. B. Realtime Monitoring. Ein 24 / 7 Dienst ist sauteuer, aber vielleicht in 3 Jahren gerechtfertigt, wenn die Software durchstartet.

#3 So wenig Daten wie möglich

Im Internet gibt es massig Formulare, welche eine Menge an Quatsch abfragen. Wir brauchen nur die absolut notwendigsten Daten von den Endnutzern. Hier ein paar Beispiele:

• Onlineshop: Name, Adresse, E-Mail (Bezahlung über Drittanbieter) – aber nicht: Geburtstag,
• Game: E-Mail-Adresse, Bezahlung über Drittanbieter
• Vereinsanmeldung: Name, Adresse, Sportart, – aber nicht: Beruf

#4 Daten anzeigen – Gefordert und berechtigt?

Ein klassisches Beispiel ist der Paketversand.

Auf der Webseite der Paketverfolgung muss der Empfänger nicht erfahren, von wem and wem das Paket gesendet wird, noch den Inhalt. Die Paket-Überwachung-Links sind in der Regel öffentlich zugänglich. Jeder könnte den Code erraten und das Paket verfolgen. Der Empfänger interessiert sich aber nur für den Status z. B. befindet sich im Paketzentrum Buxtehude.

#5 Nutze Pseudonyme

Klarnamen sind nett, aber selten notwendig. Pseudonyme oder Nutzernamen sind die bessere Option, um Kunden zu referenzieren.

Eine Anna Wolf könnte es 10 Mal in der Kundendatenbank geben, währen Badman1001 nur einmal vorkommen darf. Foren und Social Media nutzen diese Funktionen schon seit immer, damit die Nutzer „freier“ sich äußern können (das ist gut und schlecht :-/).

#6 Kryptografie nicht neu erfinden

Verschlüsselung von Daten bei Lagerung und Transfer ist ein Grundpfeiler von einem guten Privatsphärenkonzept. Als Entwickler musst und solltest Du das Rad nicht neu erfinden, sondern auf die bewährten Verschlüsselungsbibliotheken vertrauen. Diese sind gut durchgeprüft und aktuell. Denke daran, bei Patches schnell zu reagieren, um das Risiko zu minimieren.

Bedenke auch andere best Practices. Viele Frameworks nutzen Standards für die Authentifizierung von Nutzern und speichern Passwörter als Hash. Diese Komponenten solltest Du in 99,99 % der Fälle nicht selbst programmieren, sondern vorhandenes verwenden. Viele Login-Formulare sind so unbrauchbar, dass Kriminelle ein leichtes Spiel haben.

#7 Verhindere indirekte Auswertungen

Crawling nennt sich das systematische Herunterladen aus dem Internet.

Ein Crawler springt von Webseite zu Webseite mit den href-Links und extrahiert alle wertvollen Daten aus der Webseite heraus. Ist z. B. die Liste Deine Freunde öffentlich, kann der Crawler diese Liste herunterladen und bei anderen Freunden herunterladen und ein Freundes-Netz erstellen.

#8 Gesetz und Recht befolgen

Es gibt nicht das eine Privatsphären Gesetz.

Je nach Umgebung (z.B. Gesundheitswesen / Behörden) gelten andere Gesetze, die Du umsetzen musst. Jedes EU-Land legt die GDPR anders aus und Security Controls setzen Unternehmen anders um.

Verschaffe Dir einen Überblick über die Gesetze, die Dich betreffen können. Neben Gesetzen gibt es noch Lieferanten- oder ISO-Standards, welche für Dich relevant sein können. Je nachdem wie anspruchsvoll Deine Kunden sind, musst Du andere Standards befolgen.

#9 Beste Security Controls

• HTTPs: Transportverschlüsselung ist Pflicht und mit Let’s Encrypt kostenlos und sicher. Viele Webservice-Provider stellen HTTPs zur Verfügung
• VPN: Um Netzwerke in einem Unternehmen zu schützen sind VPNs interessant. Remote Mitarbeiter können so sicher von überall auf der Welt arbeiten.
• FDE: Vollverschlüsselung der Festplatten verhindern, dass die Daten auf den geklauten Geräten (Smartphone, Laptop und Server) sicher bleiben.
• Patching: Die beste Verschlüsselung bringt nichts, wenn diese unsicher ist. Diese und weitere Zero-Days solltest Du auf allen Deinen Geräten regelmäßig patchen.
• Verhaltensregeln: Verhaltensregeln sind essenziell, um Social Engineering zu vermeiden. Daten werden am Telefon nur gegen sichere Authentifizierung preisgegeben und es werden keine Türen für unbekannte Personen offengehalten.