Thema der Woche

13. August 2003

Datenschützer warnen vor Update-Automatik

Die Datenschutzbeauftragten des Bundes und der Länder kritisieren in einer gemeinsamen Entschließung die Tendenz zu automatischen Software-Updates und wenden sich entschieden gegen die zunehmenden Bestrebungen von Softwareherstellern, über das Internet unbemerkt auf die Computer der Anwender zuzugreifen.

Zur Gewährleistung der Sicherheit und Aktualität von System- und Anwendungssoftware ist es notwendig, regelmäßig Updates vorzunehmen. Weltweit agierende Softwarehersteller bieten in zunehmendem Maße an, im Rahmen so genannter Online-Updates komplette Softwarepakete oder einzelne Updates über das Internet auf die Rechner ihrer Kunden zu laden und automatisch zu installieren. Diese Verfahren bergen jedoch erhebliche Datenschutzrisiken. Allem voran nennen die Datenschutzbeauftragten die folgenden drei Punkte:

Immer öfter werden dabei – oftmals vom Nutzer unbemerkt oder zumindest für ihn nicht transparent – Konfigurationsinformationen mit personenbeziehbaren Daten aus dem Zielrechner ausgelesen und an die Softwarehersteller übermittelt, ohne das dies im derzeit praktizierten Umfang aus technischen Gründen erforderlich wäre.
Darüber hinaus bewirken Online-Updates vielfach Änderungen an der Software der Zielrechner, die dann in der Regel ohne die erforderlichen Tests und Freigabeverfahren genutzt werden.
Ferner ist nicht immer sichergestellt, dass andere Anwendungen problemlos weiter funktionieren. Das – unbemerkte – Update wird dann nicht als Fehlerursache erkannt.

Die Datenschutzbeauftragten des Bundes und der Länder weisen darauf hin, dass Änderungen an "automatisierten Verfahren zur Verarbeitung personenbezogener Daten" oder an den zugrunde liegenden Betriebssystemen Wartungstätigkeiten im datenschutzrechtlichen Sinn sind. Diese dürfen nur den dazu ausdrücklich ermächtigten Personen möglich sein. Sollen im Zusammenhang damit personenbezogene Daten übermittelt und verarbeitet werden, ist überdies die ausdrückliche Zustimmung der für die Daten verantwortlichen Stelle erforderlich.

Die meisten der derzeit angebotenen Verfahren zum automatischen Software-Update werden diesen Anforderungen des deutschen Datenschutzrechts nicht gerecht. Vor allem fehlt vielfach die Möglichkeit, dem Update-Vorgang ausdrücklich zuzustimmen. Stellen, die personenbezogene Daten verarbeiten, dürfen daher derartige Online-Updates nicht nutzen, um Softwarekomponenten ohne separate Tests und formelle Freigabe auf Produktionssysteme einzuspielen.

Auch für private Anwender sind die automatischen Update-Funktionen mit erheblichen Risiken für den Schutz der Privatsphäre verbunden. Den Erfordernissen des Datenschutzes kann nicht ausreichend Rechnung getragen werden, wenn unbemerkt Daten an Softwarehersteller übermittelt werden und somit die Anonymität der Nutzerinnen und Nutzer gefährdet wird.

Die Datenschutzbeauftragten des Bundes und der Länder fordern daher die Software-Hersteller auf, überprüfbare, benutzerinitiierte Update-Verfahren bereitzustellen, die nicht zwingend einen Online-Datenaustausch mit dem Zielrechner erfordern. Auch in Zukunft sollten datenträgerbasierte Update-Verfahren zur Verfügung stehen, bei denen lediglich die für den Datenträgerversand erforderlichen Informationen übertragen werden. Automatisierte Online-Update-Verfahren sollten nur wahlweise angeboten werden. Sie seien außerdem so zu modifizieren, dass sowohl der Update- als auch der Installationsprozess transparent und revisionssicher sind.

Software-Updates dürfen in keinem Fall davon abhängig gemacht werden, dass man den Anbietern einen praktisch unkontrollierbaren Zugriff auf den eigenen Rechner gewähren muss. Personenbezogen Daten dürfen nur dann übermittelt werden, wenn der Verwendungszweck vollständig bekannt ist und in die Verarbeitung ausdrücklich eingewilligt wurde. Zudem sei in jedem Fall das gesetzlich normierte Prinzip der Datensparsamkeit einzuhalten.