DSGVO: Schonfristen laufen allmählich ab. Zahlreiche Bußgeldverfahren

[Christian Kruse]

Hallo marctrix,

du wirfst hier mehrere Sachen durcheinander und legst mir (wahrscheinlich unabsichtlich, no offence taken) Worte in den Mund.

Wir sprachen nicht von einer Bundesbehörde oder einem Krankenhaus, sondern von einem Social Network (oder einem anderen Internet-Dienst), dem Userdaten entwendet werden. Da ist der physische Zugriff auf die Server kein Problem, weil die entweder bei Amazon oder Microsoft hosten oder weil die Server halt in einem RZ stehen, in das man nur mit Voranmeldung und einer Zugangskarte reinkommt. Ich weiss nicht, ob du schonmal in so einem RZ warst: da gibt es so kein Personal, dass du becircen könntest. Du brauchst die Karte, und dann wird dein Zugang für eine begrenzte Zeit freigeschaltet. Keine menschliche Interaktion.

Ich sprach auch nicht von social engineering, um vielleicht an die Daten zu kommen, sondern vom physischen Zugriff auf die Server 😉

Dass die Bedrohungsszenarien bei einer Bank, einer Bundesbehörde oder einem Klinikum anders aussehen, als bei einem Internet-Dienst, halte ich für offensichtlich. Deshalb erfolgt ja auch vor der Erstellung des Sicherheitskonzeptes eine Einschätzung des Bedrohungsszenarios.

Und dass social engineering kein Bedrohungsszenario ist, das habe ich nicht geschrieben. Ich sehe das auch beim nochmaligen Lesen meiner Beiträge nicht. Das zu behaupten wäre völlig albern. Social engineering ist das Haupteinfallstor von Angreifern, noch vor dem ausnutzen von Sicherheitslücken.

Ich habe einen Bekannten, der sagt immer „ich würde ja gerne mal einen Computer hacken, aber das musste ich bisher noch nie! Es reicht immer, wenn ich einfach da anrufe oder da vorbei gehe!“

LG,
CK