Wo wir gerade beim (elektronischen) Schreddern waren: vor kurzem berichtete Bodo Tasche in seinem Blog von einem ganz besonderen Datenschutzproblem: ihm wurden vertrauliche Daten mehrerer Patienten einer Arztpraxis von einer Versandapotheke zugeschickt - in geschredderter Form als Verpackungsmaterial eingesetzt. Leider war das Material so schlecht geschreddert, dass er es mit ein wenig Puzzlearbeit zumindest teilweise wieder zusammensetzen konnte.

Der Verdacht fiel natürlich zunächst auf die Versandapotheke, die jedoch in einer Stellungnahme gegenüber Heise Security angab, das "Verpackungsmaterial" von einer Arztpraxis erhalten zu haben. Da eine Apotheke wohl kaum das Rezept einer Kunden vernichten würden, ist dies auch durchaus glaubwürdig.

Und so wundert sich Heise denn, warum das Material nicht wirkungsvoller vernichtet wurde. Die Antwort darauf erscheint klar: weil im Kopf der Verantwortlichen die bloße Verwendung eines Aktenvernichters das Thema Datenschutz abhakt. Die Frage nach der Qualität der eingesetzten Geräte ist wohl nicht wirklich gestellt worden.

Moderne Zeiten

Unterstützt werden Fehlentscheidungen dieser Art von der nach meiner Meinung veralteten DIN-Norm 32757, die z.B. noch eine "Sicherheits"-Stufe 1 enthält: Streifenschnitt mit bis zu 12mm Streifenbreite oder Cross Cut mit 1000mm² (= 10 cm²). Jedes Kinderpuzzle ist schwerer zusammenzusetzen.

Verstärkt wird die Problematik seit einiger Zeit durch die immer ausgereifteren Werkzeuge, um "vernichtete" Akten mit Computerhilfe wieder zu rekonstruieren. Diese Art Software wurde angesichts der Rekonstruktion der Stasi-Akten vielfach in der Presse beschrieben. Die ständig wachsende Rechenleistung tut ihr übriges, um diese Entwicklung voranzutreiben.

Was tun?

Aus heutiger technischer Sicht sollten Unternehmen die Sicherheitsstufen 1 bis 3 der DIN 32757 schlicht ignorieren. Wenn etwas wichtig genug ist, um vernichtet zu werden, so sind diese Sicherheitsstufen schlicht unzureichend. Selbst Stufe 3 erlaubt bei einem Cross Cut noch Partikelgrößen von 4 x 60 mm (240mm²). Diese Partikel sind groß genug, um mit bloßem Auge Inhalte des Dokumentes lesen zu können. Auch die ca. 260 Partikel oder 105 Streifen, die bei dieser Schnittgröße entstehen, sind von geeigneter Software leicht wieder zusammenzusetzen.

Als Mindestanforderung sollte heute ein Aktenvernichter mit Cross Cut (Partikelschneider) der Sicherheitsstufe 4 eingesetzt werden. Streifenschnitt der gleichen Sicherheitsstufe betrachte ich persönlich nicht mehr als ausreichend.

Für besonders sensibles Material, dessen Verlust erhebliche Folgen haben würde bzw. für dessen Wiederherstellung ein Gegner erhebliche Investitionen leisten würde, sollten keine konventionellen Aktenvernichter eingesetzt werden. Verbrennen mit Zerkleinerung der Asche, Säurevernichtung und vergleichbare Verfahren sind hier die richtige Wahl. Bei kleinen Dokumentmengen kann hier bereits der heimische Kamin aushelfen.

Kommentare

 Kommentar erstellen

Thema: Name: E-Mail: Website:   Kommentar:  (Kein HTML - Verknüpfungen werden umgesetzt, wenn sie mit http:// beginnen)          Meine Daten merken