Zusammenfassung
Verbraucher sind sich Datenschutzfragen mehr bewusst als je zuvor – und zeigen sich zunehmend besorgt darüber. Und sie beginnen, Fragen zu stellen: Warum verfolgt diese Marke meine Internetnutzung, verkauft meine persönlichen Daten oder erfasst mein Gesicht ohne meine Erlaubnis? In dieser Episode untersuchen wir eine neue ISACA-Umfrage unter fast 2 000 Datenschutz- und Cybersicherheitsfachleuten, um herauszufinden, wer Datenschutz priorisiert, wer nicht und wie Unternehmen ein besseres „Privacy by Design" praktizieren können.
MODERATOR: Doug Thompson, Direktor für technische Lösungsentwicklung und leitender Bildungsarchitekt, Tanium
GAST: Safia Kazi, Fachberaterin für Datenschutz, ISACA
Shownotes
Sehen Sie sich die ISACA-Umfrage sowie diese Artikel in Focal Point, Taniums neuem Online-Cyber-Nachrichtenmagazin, und unser exklusives Webinar darüber an, wie das NIST-Datenschutzrahmenwerk öffentlichen und privaten Organisationen helfen kann, sensible Daten zu schützen.
- Datenschutz in der Praxis 2023 Bericht | ISACA
- Was versteht man unter Datenschutzmanagement?
- Was Latanya Sweeney über Datenschutz weiß, wird Sie beunruhigen
- Fernarbeit verstärkt Datenschutzbedenken
Transkript
Das folgende Interview wurde zur besseren Verständlichkeit bearbeitet.
Safia Kazi: Ich lebe im Bundesstaat Illinois, der ein sehr strenges Datenschutzgesetz für biometrische Daten hat. Neulich habe ich einen Scheck von Facebook für irgendetwas bekommen, was die gemacht haben – ich weiß nicht was, aber ich nehme ihn gerne. Ich denke jedoch, dass dies bedeutet, dass die durchschnittliche Person, der Datenschutz überhaupt nichts bedeutet, jetzt anfängt, sich dafür zu interessieren.
Doug Thompson: $650 Millionen. So viel hat Facebooks Mutterkonzern Meta letztes Jahr zugestimmt zu zahlen, um Klagen beizulegen, dass das Unternehmen illegal biometrische Daten von Nutzern seiner Website gesammelt hat. Und erst diesen Winter entschied der Oberste Gerichtshof von Illinois, dass der Fast-Food-Riese White Castle ähnlichen Klagen standhalten muss, weil das Unternehmen angeblich die Fingerabdrücke von Mitarbeitern ohne deren Zustimmung gescannt hat. Die Burgerkette erklärte, das Urteil könnte sie mehr als $17 Milliarden kosten. Das sind eine Menge Slider.
Hallo, ich bin Doug Thompson, und heute sprechen wir in Let's Converge über Datenschutz und die öffentlichen, schmerzhaften Konsequenzen, wenn man ihn nicht ernst nimmt. Strenge Datenschutzgesetze sind in Europa seit mehreren Jahren in Kraft, und nun debattieren verschiedene US-Bundesstaaten über die Verabschiedung ähnlicher Gesetze. Und Unternehmen beeilen sich, Schritt zu halten.
Unser heutiger Gast ist Safia Kazi, eine Fachberaterin für Datenschutz bei ISACA, der Information Systems Audit and Control Association. Safia ist hier, um eine neue ISACA-Umfrage namens Privacy in Practice 2023 zu besprechen, in der fast 2 000 Datenschutz- und Sicherheitsfachleute befragt wurden, um herauszufinden, wer Datenschutz priorisiert, wer nicht und wie Unternehmen ein besseres Privacy-by-Design praktizieren können. Wie geht es Ihnen heute, Safia?
Kazi: Mir geht es sehr gut. Danke, dass Sie mich eingeladen haben.
Thompson: Wissen Sie, wir sprechen in diesem Podcast viel über Sicherheitsverletzungen, aber was viele Menschen nicht erkennen, ist, was aus einer Sicherheitsverletzung resultiert: ein Verlust der Privatsphäre. Und genau da kommen Sie ins Spiel und das ist es, worum es bei Ihrer Organisation geht.
Kazi: Ja, absolut. Da haben Sie recht. Viele Menschen denken an Sicherheit, aber sie denken nicht unbedingt an die Datenschutzimplikationen einer Sicherheitsverletzung. Manchmal fragen mich Menschen, was der Unterschied zwischen Sicherheit und Datenschutz ist. Sind sie nicht gleichbedeutend? Darauf antworte ich, dass man absolut keinen Datenschutz ohne Sicherheit haben kann, aber man könnte fantastische Sicherheitsmaßnahmen eingerichtet haben und beim Datenschutz trotzdem sehr schlechte Arbeit leisten. Ist Datenschutz also eine Teilmenge der Sicherheit? Irgendwie schon, aber eigentlich auch nicht. Die beiden gehen natürlich sehr Hand in Hand. Und ich bin sicher, wenn wir heute über unsere Umfrageergebnisse sprechen, werden Sie sehen, dass Datenschutzexperten und Sicherheitsexperten sehr eng zusammenarbeiten, um die Privatsphäre von Menschen, die ihre wertvollen Daten weitergeben, bestmöglich zu schützen.
Thompson: Nun, fangen wir damit an. Ich meine, jeden Monat gibt es eine neue Schlagzeile, weil irgendein Unternehmen jetzt Bußgelder zahlt. Mit diesem Verlust der Privatsphäre sind hohe Geldbeträge verbunden.
Kazi: Das ist interessant. Hier in den Vereinigten Staaten haben wir ein sehr seltsames Flickwerk an Datenschutzgesetzen, bei dem man, je nach Bundesstaat, in dem man lebt, möglicherweise mehr Schutzrechte hat als jemand, der nur wenige Stunden entfernt wohnt. Das macht es natürlich auch für Organisationen sehr schwierig, die gewissermaßen einem sich ständig verändernden Ziel gegenüberstehen, wenn es darum geht, was Compliance bedeutet und was sie tun müssen. Erst kürzlich hat Iowa ein Datenschutzgesetz verabschiedet.
Ich denke, dass Vorstände insgesamt beginnen zu verstehen, dass Datenschutz ein Thema ist, über das sie nachdenken müssen – schon allein deshalb, weil wir alle die negativen Schlagzeilen über Organisationen gesehen haben, die den Datenschutz nicht respektieren, und die enormen Bußgelder, die sie zahlen müssen. Und dabei ist der Reputationsschaden, der sich auf ihr Geschäftsergebnis auswirkt, noch gar nicht berücksichtigt. ISACA hat daher eine Datenschutz-Umfrage zum aktuellen Stand durchgeführt, und dabei haben wir festgestellt, dass Vorstände im Vergleich zum Vorjahr offenbar mehr Engagement zeigen. Es sieht so aus, als würden Finanzierung und Ressourcen für den Datenschutz deutlich besser. Wir beobachten größere Datenschutzteams. Personen, die im Datenschutzbereich tätig sind, geben seltener an, dass sie sich unterbesetzt fühlen. Sie geben seltener an, dass ihr Datenschutzbudget unzureichend finanziert ist. Und insgesamt scheint es so, als würden mehr Menschen glauben, dass ihre Vorstände dem Datenschutz im Vergleich zum Vorjahr eine angemessene Priorität einräumen.
Thompson: Sind kleinere Unternehmen stärker gefordert als einige dieser größeren, gut ausgestatteten Unternehmen?
Kazi: Ich denke schon. Oft haben sie kein dediziertes Datenschutzteam. Sie haben eine Sicherheitsfachkraft, die dann zusätzlich zu ihrer gesamten Sicherheitsarbeit auch für den Datenschutz zuständig ist. Und wie unsere Zuhörer sicherlich wissen, spüren Sicherheitsteams bereits den Druck durch Personalengpässe und müssen mit sehr wenigen Ressourcen sehr viel leisten. Wenn man dann noch Datenschutzaufgaben hinzufügt, wird es noch komplexer. Ich würde also definitiv sagen, dass kleinere Organisationen damit eindeutig zu kämpfen haben.
Thompson: Wenn Sie nun über Privacy by Design sprechen – ich habe früher für Microsoft gearbeitet, wo wir über Security by Design gesprochen haben, als wir mit dem Betriebssystem begannen, und das hat wirklich alles verändert –, aber wenn es um Datenschutz geht, geht es dabei um mehr als nur um technische Kontrollen. Erklären Sie also den Designaspekt davon. Wie sieht das aus?
Kazi: Richtig. Bei Privacy by Design steht der Nutzer im Mittelpunkt. Das ist eines der wichtigsten Dinge. Es geht natürlich um die Systeme, die Sie entwickeln, aber auch um die Nutzer, die das Entwickelte verwenden werden. Es gibt sieben grundlegende Prinzipien von Privacy by Design, und das erste lautet: proaktiv, nicht reaktiv. Vorbeugend, nicht korrigierend. Datenschutz ist grundsätzlich kein nachträglicher Zusatz. Man denkt darüber nach, bevor man überhaupt mit der Entwicklung beginnt. Es geht darum, dass Datenschutz die Standardeinstellung ist. Menschen sollten nichts unternehmen müssen, damit ihre Einstellung eine ist, die die Privatsphäre schützt. Es sollte in das Design eingebettet sein. Das ist also gewissermaßen der Punkt, an dem wir mehr von diesem technischen Aspekt des Datenschutzes erhalten. Es geht auch um volle Funktionalität, Positivsumme, nicht Nullsumme. Wir sollten Sicherheit nicht gegen Datenschutz oder Benutzerfreundlichkeit gegen Datenschutz abwägen müssen. Realistisch betrachtet können wir Datenschutz gewährleisten und gleichzeitig andere Ziele erreichen.
Kazi: Es geht auch um End-to-End-Sicherheit und umfassenden Lebenszyklusschutz. Das ist so entscheidend, wenn wir über die Daten nachdenken, die wir besitzen. Wie lange halten wir sie fest? Wie schützen wir es? Müssen wir es noch aufbewahren, wenn wir es nicht mehr verwenden? Es geht um Sichtbarkeit und Transparenz, also darum, klar zu kommunizieren und sicherzustellen, dass alle in der Organisation und die Personen, die ihre Daten bereitstellen, wissen, was sie tun. Und dann gibt es noch das letzte (und eines meiner Lieblingsprinzipien): die Idee, die Privatsphäre der Nutzer zu respektieren. Stellen Sie den Nutzer in den Mittelpunkt. Wenn Sie den Nutzer im Blick haben, werden Sie Systeme entwickeln, die aus datenschutzrechtlicher Sicht leicht zu handhaben sind. Und wenn Sie Opfer eines Datenschutzvorfalls werden – was leider irgendwann wahrscheinlich passieren wird –, können Sie den entstehenden Schaden wirklich begrenzen, weil der Standard darin besteht, die Privatsphäre zu schützen und keine übermäßigen Mengen an Informationen zu sammeln. Das kann den betroffenen Personen, deren Daten kompromittiert wurden, wirklich helfen.
Thompson: Bei der Lektüre der Umfrage habe ich festgestellt, dass mindestens 60% der Unternehmen beginnen, diesen datenschutzorientierten Ansatz zumindest häufig zu praktizieren. Vielleicht nicht immer, aber im Vergleich zu anderen Statistiken scheinen wir uns in die richtige Richtung zu bewegen. Aber was ist mit denjenigen, die in die Kategorie „selten" oder „nie" fallen – was hindert sie daran? Ist es eine Markteintrittsbarriere, oder verstecken sie sich einfach, wissen Sie, unter einem Stein, oder was?
Kazi: Ich bin sicher, dass es einige Menschen gibt, die sich unter einem Stein verstecken, aber ich denke ehrlich gesagt, dass es größtenteils einfach an fehlenden Ressourcen liegt. Ich glaube, viele Menschen wissen, dass sie Privacy by Design so oft wie möglich anwenden sollten, aber sie können es einfach nicht.
Thompson: Und bei Sicherheit und Geschäftskontinuität, wissen Sie, haben sie ein Backup oder einen Notfallwiederherstellungsplan, aber wenn dieser nicht getestet wird, ist er so gut wie wertlos. Gibt es also im Bereich Datenschutz etwas Ähnliches, bei dem wir ein Szenario einführen, vielleicht eine Tischübung oder dergleichen durchführen? Angenommen, wir hatten diesen Datenleck. Gibt es eine Möglichkeit, das zu tun?
Kazi: Möglicherweise. Ich habe von einigen Personen gehört, dass ihre Organisation versucht, Datenschutz-Tischübungen durchzuführen. Ich persönlich denke, dass es eine größere Herausforderung gibt. Wir haben unsere Umfrageteilnehmer gefragt, ob sie eine wesentliche Datenschutzverletzung erlebt haben. Und fast 20% sagten, sie wissen es nicht. Das zeigt mir, dass man seine Daten nicht kennt. Ich denke, es bedeutet, dass sie wissen: OK, wir hatten eine Sicherheitsverletzung, aber um welche Daten handelte es sich? Waren es personenbezogene Daten? Was wurde entwendet? Was wurde eingesehen? Ich denke also, wenn es darum geht zu verstehen, wie man auf eine Datenschutzverletzung reagiert, ist das Erste, was man tun kann, seine Daten zu kennen, damit man bei einem kompromittierten System weiß, welche Daten betroffen sind und welche Auswirkungen dies auf die betroffenen Personen haben könnte.
Thompson: Und das führt uns zurück zum Aspekt des Datenschutzes durch Technikgestaltung. Wenn man weiß, in welchen Silos und Bereichen sich die eigenen Daten befinden und was dort vorhanden ist, welche Art von Daten, dann ist es etwas einfacher einzugrenzen: OK, was haben wir bei dieser Umfrage verloren? Auf jeden Fall. Gibt es Organisationen, die man beauftragen kann, um als Beratungsunternehmen oder Ähnliches zu helfen?
Kazi: Absolut. Viele unserer Umfrageteilnehmer gaben an, dass sie sich auf externe Berater oder Auftragnehmer verlassen, um ihnen bei datenschutzbezogenen Aufgaben zu helfen. Ich denke, das kann hilfreich sein. Etwas anderes, das Organisationen ebenfalls tun, ist intern zu prüfen, ob sie Mitarbeiter haben, die vielleicht Experten für bestimmte Technologien oder bestimmte Systeme sind, aber keine Datenschutzexperten sind, und ob diese eine berufsbegleitende Schulung erhalten können. Das kann eine wirklich gute Möglichkeit sein, um sich keine Gedanken darüber machen zu müssen, eine Stellenausschreibung zu veröffentlichen und möglicherweise sechs Monate damit zu verbringen, die richtige Person für eine Stelle zu finden. Aber ja, es gibt absolut Beratungsagenturen, die Menschen bei ihren datenschutzbezogenen Aufgaben helfen können.
Thompson: Sie erinnern mich irgendwie daran, dass ich in der Umfrage nachgeschaut habe und Sie darüber sprechen, wer für den Datenschutz verantwortlich ist – das war natürlich der Chief Privacy Officer. Was ich nicht gesehen habe, ist, dass es ein bisschen wie Sicherheit ist. Das ist eigentlich die Aufgabe aller, oder?
Kazi: Da würde ich vollkommen zustimmen. Ich meine, das hängt zum Teil davon ab, wie Ihre Organisation strukturiert ist und wer wem unterstellt ist. Aber ich stimme absolut zu. Ich denke, Datenschutz ist gewissermaßen die Aufgabe aller. Wir haben über einige kleinere Organisationen gesprochen – sie haben möglicherweise Schwierigkeiten, also was können sie tun? Bieten Sie allen Mitarbeitern in der Organisation Schulungen zum Datenschutzbewusstsein an. Es mag klein erscheinen, aber wenn Sie den Mitarbeitern einmal im Jahr sagen, dass sie überprüfen sollen, wer anruft, wenn jemand versucht, persönliche Informationen zu erhalten … etwas so Kleines kann tatsächlich einen großen Beitrag zum Schutz der Privatsphäre Ihrer betroffenen Personen leisten.
Thompson: Was hat Sie in der Umfrage überrascht, wenn überhaupt etwas?
Kazi: Was mich wirklich überrascht hat, war, dass nicht mehr Menschen angaben, KI für datenschutzbezogene Aufgaben einsetzen zu wollen. So 11% unserer Befragten gaben an, dies zu tun, 20% sagten, sie planen es in den nächsten 12 Monaten – was interessanterweise dem entspricht, was im letzten Jahr 20% angaben. Ich weiß nicht, ob es dieselben Personen sind, aber 38% gaben an, keine Pläne für den Einsatz von KI für diese Funktion zu haben. Das hat mich überrascht, denn wenn Menschen an KI denken, stellen sie sich vielleicht die kitschigen Stockfotos vor, die man bei einer KI-Suche findet – zum Beispiel ein Roboter, der herumläuft. Aber setzen Sie wirklich keine KI in Ihren Systemen ein, um personenbezogene oder sensible Informationen wie Geburtsdaten zu erkennen? Besonders angesichts der Personalprobleme, mit denen einige Organisationen konfrontiert sind, und der gestiegenen Anzahl von Anfragen betroffener Personen auf Datenzugang war ich wirklich überrascht, dass nicht mehr Menschen angaben, auf KI setzen zu wollen oder dies bereits zu tun.
Thompson: Nun, ich weiß, dass es das Skynet-Dystopie-Szenario gibt, das wir hier nicht haben wollen, und das andere sind, wie Sie sagten, die kleinen Roboter. Kommen wir also zur anderen Seite: Was war ermutigend an Ihren Erkenntnissen?
Kazi: Ich denke, das wirklich Ermutigende war zu sehen, dass sich die im Datenschutzbereich tätigen Menschen nicht ganz so überfordert fühlten wie noch vor einem Jahr. Und wir haben festgestellt, dass die Finanzierung besser ist, die Personalausstattung besser ist – all das scheint sich etwas verbessert zu haben. Was ich mir noch wünschen würde, ist eine Verbesserung bei der Datenschutz-Sensibilisierungsschulung, über die wir gerade gesprochen haben. Wir haben gefragt, wie Sie bewerten, wie gut Ihre Sensibilisierungsschulung ist. Und weniger als ein Viertel unserer Befragten gab an, Vor- und Nachtests durchzuführen. Die meisten Menschen behandeln es nur als eine Pflichtübung und [erfassen] lediglich, wie viele Personen daran teilgenommen haben. Ich halte das nicht für eine besonders aussagekräftige Kennzahl. Ist es eine gute Schulung? Hat irgendjemand etwas gelernt?
Die Menschen schauen auch auf die Anzahl der Datenschutzbeschwerden, die sie erhalten, und auf die Anzahl der Datenschutzvorfälle, die auftreten – was meiner Meinung nach zu diesem Zeitpunkt viel zu reaktiv ist. Der Schaden ist bereits angerichtet; man hat gewartet, bis etwas Schlimmes passiert, bevor man die Datenschutz-Sensibilisierungsschulung verbessert hat. Ich würde also sagen, das ist ein Bereich, in dem ich gerne sehen würde, dass wir ein wenig reifer werden – einfach etwas proaktiver in der Art und Weise, wie wir die Wirksamkeit von Datenschutz-Sensibilisierungsschulungen betrachten.
Thompson: Ja, ein Bewertungsschema zu entwickeln, anhand dessen man messen kann. Das ist immer eine Mischung aus Kunst und Wissenschaft, und es variiert je nach Organisation, Branche oder ähnlichen Faktoren. Jemand bei einer staatlichen oder kommunalen Behörde wird etwas andere Anforderungen haben als jemand in einem kommerziellen Unternehmen. Angenommen, ich bin in einer kleineren Organisation und Datenschutz ist etwas, das ich gewissermaßen übernehmen möchte – ich weiß, dass wir es nicht gut genug handhaben, aber ich brauche Rückendeckung von oben. Welche guten Ressourcen oder Maßnahmen gibt es, die man als Führungskraft ergreifen könnte, um diese Verantwortung zu übernehmen und die Sache voranzutreiben?
Kazi: Ich habe eine gute Datenschutz-Sensibilisierungsschulung erwähnt, aber ich denke, man sollte noch einen Schritt weitergehen: Anstatt nur zu sagen, dass personenbezogene Daten geschützt werden sollten, könnte man die Sache etwas greifbarer machen. Wir können reale Auswirkungen auf Menschen sehen, die Schaden erlitten haben, weil sie möglicherweise gestalkt wurden oder einfach zu viele Informationen öffentlich zugänglich waren. Das kann die Thematik etwas interessanter gestalten, hilft den Menschen aber auch zu verstehen, warum Datenschutz so wichtig ist. Es geht nicht nur um einen Datenschutzhinweis auf einer Webseite; es geht tatsächlich um Daten, die Menschen und ihr Leben sowie ihre Familien repräsentieren. Und ich denke, wenn wir beginnen, Datenschutz aus dieser Perspektive zu betrachten, können auch Menschen, die nicht im Datenschutzbereich tätig sind, erkennen, dass es etwas ist, das sie interessieren sollte. Denn für manche Menschen kann es tatsächlich den Unterschied zwischen Leben und Tod bedeuten.
So dramatisch das auch klingen mag – angesichts all der Informationen, die über jeden verfügbar sind und die man mit einer schnellen Google-Suche oder vielleicht sogar einer schnellen ChatGPT-Suche finden kann, ist es unglaublich wichtig zu verstehen, dass es eine Menge Informationen über uns gibt. Als Organisationen werden wir daher einen erheblichen Wettbewerbsvorteil haben, wenn wir so handeln können, dass der Schaden, der den betroffenen Personen entstehen kann, begrenzt wird. Und besonders für eine Organisation, die Schwierigkeiten hat, ihren Platz zu finden oder mit starkem Wettbewerb konfrontiert ist: Wenn Sie eine Organisation sind, die den Datenschutz schützt und Ihre Nutzer wirklich in den Vordergrund stellt, wird das letztendlich ein enormer Wettbewerbsvorteil sein.
Thompson: Das ist für meine Frau und mich ein Kaufkriterium – wir schauen uns an, OK, wie nutzen wir Dienste, weil sie, wissen Sie, oder wir nutzen manche Dienste nicht … weil sie in der Vergangenheit nicht gut mit den Daten umgegangen sind.
Kazi: Ich lebe im Bundesstaat Illinois, der ein sehr strenges Datenschutzgesetz für biometrische Daten hat, und neulich habe ich einen Scheck von Facebook für etwas bekommen, das sie getan haben – ich weiß nicht genau was, aber ich nehme ihn gerne. Ich denke jedoch, dass dies bedeutet, dass die durchschnittliche Person, der Datenschutz überhaupt nichts bedeutet, jetzt anfängt, sich dafür zu interessieren. Ich habe Freunde, die zu mir sagten: Ich habe einen Scheck von Facebook bekommen, worum ging es dabei? Und obwohl sie vielleicht damit einverstanden sind, den Scheck zu erhalten, beginnen sie, über den Datenschutz nachzudenken und zu verstehen: Moment mal, was bedeutet es, wenn eine Social-Media-Seite eine Kartierung meines Gesichts hat und mich nicht danach gefragt oder mich nicht darüber informiert hat? Ich denke also, dass der durchschnittliche Mensch sich immer mehr darum kümmern wird.
Thompson: Sie haben einen Punkt angesprochen, den ich zuvor noch nicht bedacht hatte, aus einer generationellen Perspektive. Es gibt diejenigen von uns, die vor dem Internet aufgewachsen sind oder es unterwegs aufgebaut und zusammengesetzt haben, und wir haben eine andere Sichtweise auf Privatsphäre als meine Kinder oder Enkelkinder. Wie wirkt sich das auf die Vorschriften aus, die eingeführt werden? Ist das etwas, das noch in weiter Ferne liegt, werden wir ein größeres Problem damit haben, oder was?
Kazi: Möglicherweise. Ich habe das Gefühl, dass Kinder im Allgemeinen nicht so ausreichend geschützt werden, wie sie es sein sollten. Nichts hindert ein 8-jähriges Kind daran zu behaupten, es sei über 18 Jahre alt, und ein Social-Media-Konto zu erstellen, oder? Es gibt wirklich keine Überprüfung. Ich denke, es gibt auch eine weiterreichende Frage, denn jetzt gibt es eine Generation, die mit ihrem gesamten Leben – möglicherweise schon vor der Geburt – online aufgewachsen ist: von dem Moment an, als ihre Eltern herausfanden, dass sie ein Kind erwarteten, posteten sie auf Facebook, und als sie geboren wurden und bei all ihren wichtigen Meilensteinen. Und ich weiß ehrlich gesagt nicht, welche Auswirkungen das hat. Erst kürzlich gab es, ich glaube, es war ein YouTube-Familienkind, das Schadensersatz fordern wollte, weil sein Leben als Kind online übertragen wurde. Allerdings gibt es nach meinem besten Wissen keine Gesetze oder Vorschriften, die Menschen schützen, deren Leben auf diese Weise online ist, wenn sie Kinder sind und wenn ihre Eltern diejenigen sind, die diese Entscheidungen für sie treffen. Das ist etwas, das sich meiner Meinung nach wahrscheinlich ändern sollte, denn wir wissen noch nicht einmal, welche Auswirkungen das in nur wenigen Jahren haben wird.
Thompson: Nun, und wenn wir über Veränderungen sprechen und zur ursprünglichen Frage zurückkehren, denke ich, dass dies einige der Dinge sind, die wahrscheinlich kommen werden, vielleicht nicht sofort oder so schnell, wie wir es uns wünschen würden. Aber was sind einige der Dinge, die Sie sehen, die möglicherweise größere Hürden [darstellen] und bald kommen?
Kazi: Ich denke, eine weitere Sache, die wir zunehmend beobachten, ist das Vorgehen gegen Datenschutz-Dark-Patterns. Das sind einfach Dinge, die Sie dazu verleiten, auf eine Weise zu handeln, die Sie sonst nicht täten – wie diese verwirrenden Cookie-Hinweise, bei denen Sie [entweder] akzeptieren oder auf „Mehr erfahren" klicken können, und dann müssen Sie tausendmal klicken, um zu sagen: „Verfolgt mich nicht". Das ist ein Beispiel für ein Dark Pattern. Wenn Sie es einfacher machen, auf „Akzeptieren" zu klicken als auf „Ablehnen", werden genug Menschen einfach auf „Akzeptieren" klicken. Viele Datenschutzgesetze und -vorschriften sprechen dies nicht ausdrücklich an. Letztes Jahr haben jedoch einige Generalstaatsanwälte Google verklagt, weil Dark Patterns in Google Maps verwendet wurden und keine vollständige Transparenz darüber bestand, welche Art von Tracking stattfand.
Ich denke, dass viele Datenschutzgesetze und -vorschriften gute Arbeit geleistet haben, um die Zustimmung der Menschen einzuholen, aber einige Organisationen haben begonnen, Menschen durch Tricks dazu zu bringen, ihre Zustimmung zu geben. Ich denke, dass wir wahrscheinlich mehr Gewicht auf Datenschutz-Dark-Patterns legen werden und sicherstellen, dass Menschen, wenn sie ihre Zustimmung zum Tracking geben, wissen, worauf sie sich einlassen, und dass Organisationen klar kommunizieren.
Thompson: Ich bin froh, dass Sie einem Begriff einen Namen gegeben haben, der mich schon eine Weile geärgert hat – mit dem Klicken und so, ähnlich wie bei Endbenutzer-Lizenzvereinbarungen und dergleichen, die niemand lesen kann, weil sie 8 000 Seiten lang sind und wir einfach durchklicken, ohne zu wissen, was drin steht. Wir müssen diese Dinge vereinfachen und sehr klar machen – ich würde zu ihnen gehen und sagen: Erklärt es mir, als wäre ich ein Fünftklässler, lasst mich verstehen, was das eigentlich ist. Dafür wäre ich absolut. Lasst uns dazu beitragen, dass sich das ändert. Denn es gibt einfach einige Dinge, die ich für unnötig halte. Aber ich gehöre noch der Generation an, die ein Sparbuch für ihr Sparkonto hatte. Wissen Sie.
Kazi: Also, wissen Sie, es gab letztes Jahr einen Gesetzentwurf – ich weiß nicht, was daraus geworden ist – aber es gab einen Gesetzentwurf, der im Grunde genommen Datenschutzinformationen nach dem Vorbild von Nährwertkennzeichnungen schaffen sollte. Also, hier ist, was wir verfolgen, und das Ganze wirklich schnell und leicht verständlich. Ich denke, das hätte großartig sein können. Denn Sie haben recht: Um die Nutzungsbedingungen von allem tatsächlich zu lesen, müssten wir alle zwei Wochen Urlaub von der Arbeit nehmen. Ich meine, das ist einfach nicht realistisch.
Thompson: In Ordnung. Vielen Dank, dass Sie Ihre Erfahrungen und einige weitere Einblicke in diese Umfrage geteilt haben. Ich finde es großartig, ein besseres Verständnis dafür zu bekommen, was vor sich geht, und ich schätze Ihre Zeit sowie das, was Sie und Ihre Organisation tun.
Kazi: Vielen Dank, dass Sie mich eingeladen haben.
Thompson: Ich habe mit Safia Kazi gesprochen, einer Fachberaterin für Datenschutz bei ISACA.
Wenn Sie mehr über Datenschutz erfahren möchten, besuchen Sie Focal Point, Taniums Online-Cyber-Nachrichtenmagazin – in den Show-Notizen finden Sie Links zu mehreren Artikeln – oder besuchen Sie tanium.com. Um weitere Gespräche mit den führenden Unternehmensverantwortlichen und Sicherheitsexperten von heute zu hören, abonnieren Sie Let's Converge in Ihrer bevorzugten Podcast-App. Das trägt wirklich dazu bei, die Sichtbarkeit zu erhöhen. Und wenn Ihnen diese Episode gefällt, geben Sie uns bitte eine Fünf-Sterne-Bewertung.
Danke fürs Zuhören. Wir freuen uns darauf, in der nächsten Episode von Let's Converge weitere Cyber-Einblicke mit Ihnen zu teilen.
