Newsletter Anmeldung

Bleiben Sie mit dem Newsletter immer up to date.

Zur Anmeldung
Anfrage
arrow-to-top

Kategorie: Fachartikel Swiss Infosec AG

NDA oder Auftragsbearbeitungsvertrag? Checklisten

09/2021 – Fachartikel Swiss Infosec AG

Wenn es um die Bearbeitung von Personendaten geht, braucht es im Verhältnis mit Externen je nach Umständen unterschiedliche Verträge. Wir liefern praxistaugliche Checklisten dazu.

NDA

NDA (Non-Disclosure Agreements) sind zweiseitige Verträge zur Sicherstellung der Vertraulichkeit (gleichwertige Bezeichnungen können sein: Confidentiality Agreement [CA], Geheimhaltungsvereinbarung etc.). Wird mit dem Dokument nur eine Partei verpflichtet, handelt es sich genau genommen nicht um einen Vertrag, sondern um eine einseitige Erklärung (die dann auch nur vom Erklärenden zu unterzeichnen ist). Bei Datenbearbeitungen unter der Schwelle einer Auftragsbearbeitung reicht in der Regel der Abschluss eines NDA. Achtung: Die Auffassung, was eine Auftragsbearbeitung ist, kann gerade für die Schweiz und Deutschland auseinanderklaffen: Die Zugriffsmöglichkeit von IT-Dienstleistern dürfte im Anwendungsbereich der EU-DSGVO beispielsweise bereits genügen, damit eine Auftragsbearbeitung vorliegt.

Checkliste NDA

  • Wer sind die Vertragsparteien (einzelne Mitarbeitende eines Unternehmens als Privatpersonen oder Unternehmen als Arbeitgeber seiner Mitarbeitenden)?
  • Vertraulichkeitsverpflichtung inkl. Überbindung an Mitarbeitende
  • Zweckbindung zur Verwendung vertraulicher Daten
  • Definition der Vertraulichkeit: Sind Personendaten wie erwünscht von der Vertraulichkeitsverpflichtung erfasst
  • Sind Ausnahmen von der Vertraulichkeit so formuliert, dass dadurch der Schutz der Personendaten nicht aufgeweicht wird (z.B. ungünstig, wenn Vertraulichkeit bei Veröffentlichung von Informationen enden soll?)
  • Dauer der Vertraulichkeitspflicht: zeitlich beschränkt oder unbeschränkt
  • Rückgabe/Löschung von vertraulichen Informationen/Personendaten
  • ev. Detaillierung technisch-organisatorischer Massnahmen
  • Vertraulichkeitsverstösse: Greift gesetzliches Haftungsregime (Schaden, Vertragsverletzung, Verschulden und adäquater Kausalzusammenhang) oder sind strengere schadens- und verschuldensunabhängig wirksame Konventionalstrafen angebracht?
  • Anwendbares Recht/Gerichtsstand geregelt

ABV

ABV ist die Abkürzung für Auftragsbearbeitungsverträge. Sie können auch in Form von Vertragsklauseln in andere Verträge eingebettet sein, um den datenschutzrechtlichen Anforderungen zu genügen. Um eine angemessene Verteilung der Rechte und Pflichten zu erreichen, ist es wichtig zu wissen, ob man Verantwortlicher oder Auftragsbearbeiter ist. Auftragsbearbeitungsverträge sind mit relativ geringfügigen Anpassungen auch zwischen Auftragsbearbeitern und ihren Unterauftragsbearbeitern möglich. Je nach wahrgenommener Rolle (Verantwortlicher oder Auftragsbearbeiter) der Partei, die der anderen einen Vorschlag für einen konkreten ABV unterbreitet, beinhalten ABV interessensbezogen eine unterschiedliche Verteilung der Rechte und Pflichten, die natürlich auf die Verhandlungsmacht der Beteiligten abgestimmt sein sollte. Gewisse grundlegende Aspekte bei der Vertragsgestaltung sind aber unabhängig davon zu beachten.

Rollenunabhängige Checkliste ABV

  • Weisungsrecht des Verantwortlichen punkto Datenbearbeitung
  • Standort(e) der Datenbearbeitung
  • Zweckbindung der Datenbearbeitung
  • Vertraulichkeitsverpflichtung inkl. Überbindung an Mitarbeitende
  • Datensicherheit / technisch-organisatorische Massnahmen im erforderlichen Umfang geregelt (abhängig von Sensibilität der Daten, Datenmenge, Auslandübermittlung etc…)
  • Kontrollrechte zugunsten des Verantwortlichen (z.B. Verpflichtung zur regelmässigen Berichterstattung und/oder Durchführung von Audits)
  • Unterauftragsbearbeiter: Explizite Zustimmung zum Beizug oder reines Vetorecht; Überbindung von Vertragspflichten an diese
  • Meldung von Datenschutzverletzungen/Datensicherheitsverletzungen an Verantwortlichen
  • Unterstützung des Verantwortlichen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und weiteren Datenschutzpflichten
  • Rückgabe/Löschung/Vernichtung Personendaten
  • Kostentragung für Erfüllung Datenschutzpflichten
  • Haftung (Varianten: keine Regelung [gesetzliche Haftung], genereller Verweis auf Hauptvertrag [dortige Regelung?], Verschärfung gesetzliche Haftung, Erleichterung/Ausschluss gesetzliche Haftung)
  • anwendbares Recht/Gerichtsstand geregelt (bei generellem Verweis auf Hauptvertrag: dortige Regelung?)
  • Bei Standort der Datenbearbeitung ausserhalb EU/EWR: Einbezug EU-Standardvertragsklauseln
  • Vertragsbeginn und -beendigung
  • nur DSGVO: zusätzliche Angabe zu Gegenstand und Dauer der Verarbeitung, Art der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen

Haben Sie Fragen zum Datenschutz? Die Spezialisten der Swiss Infosec AG beraten und unterstützen Sie gerne, schnell und zielführend.

Swiss Infosec AG; 01.09.2021

Kompetenzzentrum Datenschutz, +41 41 984 12 12, infosec@infosec.ch

Kategorie: Datenschutz | Fachartikel Swiss Infosec AG
Dimitri Korostylev
Head of Legal & Data Privacy Consulting
Anfrage
Dimitri Korostylev
Head of Legal & Data Privacy Consulting
Anfrage

Wie sicher ist Ihre Microsoft 365-Umgebung?

08/2021 – Fachartikel Swiss Infosec AG

Die Verwendung von Microsoft 365 Services ist ein Thema, welches derzeit viele Organisationen beschäftigt. Der Umzug in die Cloud führt unweigerlich zur Konfrontation von IT- und Prozessverantwortlichen mit neuartigen Herausforderungen. Compliance-Themen wie etwa Datenschutzkonformität oder die Vertragsgestaltung mit dem Cloud Service Provider, aber auch organisatorische Brennpunkte wie etwa die Strukturierung der neuen Fileablage mit Microsoft Teams werden breit diskutiert. Auch Sicherheitsthemen dürfen in diesem Diskurs nicht vergessen werden: Microsoft 365 bringt von Haus aus einige Sicherheitsfunktionen mit, welche bei der Verwendung unbedingt zu berücksichtigen sind.

Eindrücklich zeigt auch der Angriff auf SolarWinds von Ende 2020, welchen Stellenwert angemessene Sicherheitsmassnahmen in der Microsoft 365-Umgebung einnehmen[1]. Bei SolarWinds war der Befall der Microsoft 365-Umgebung ein wichtiger Schritt, welcher von den Angreifern innerhalb der Kill Chain[2] zur Kompromittierung eines Grossteils der Kunden von SolarWinds genommen wurde. Spannende neue Angriffsvektoren sind zudem dem Spotlight Report von Vectra zu Microsoft 365[3] zu entnehmen. Hauseigene Produkte wie Power Automate und eDiscovery wirken als Brandbeschleuniger im Fall der Kompromittierung eines unzureichend sicher konfigurierten Microsoft 365 Tenants. Power Automate wird etwa als «das neue PowerShell» bezeichnet, welches sich bei Angreifern grosser Beliebtheit erfreut, wenn es darum geht, Daten effizient und automatisiert an Command & Control Server zu exfiltrieren.

Mit einigen elementaren Vorkehrungen lassen sich Angriffe wie derjenige auf SolarWinds Ende 2020 proaktiv unterbinden oder erkennen. Unter Berücksichtigung der nachfolgenden Punkte setzen Sie etwaigen Angreifern in Ihrer Unternehmung einen Schuss vor den Bug.

10-Punkte-Check zur Realisierung einer Security Baseline für Microsoft 365

1. Mehrfaktorauthentifizierung (MFA)

Der Einsatz von Mehrfaktorauthentifizierung sollte für Administratoren als verpflichtende Vorgabe gelten. Für Standardbenutzer ist der Einsatz ebenfalls empfohlen. Die alleinige Verwendung von Benutzername & Passwort zur Authentifizierung ist heutzutage als unzureichend zu betrachten. Prüfen Sie bspw. via einem Webtool wie «Have I Been Pwned»[4], ob Ihr Passwort schon einmal kompromittiert wurde.

2. Granulare Zugriffsberechtigungen

Vergeben Sie Zugriffsberechtigungen in Rollen und finden Sie bei der Definition der Rollen das bestmögliche Verhältnis zwischen operativer Anwendbarkeit und Granularität der Berechtigungen. Schränken Sie den Zugriff auf Informationen in SharePoint und Teams soweit wie möglich ein, sodass im Fall der Kompromittierung eines Accounts Ihrer Mitarbeitenden kein Kollateralschaden entsteht. Setzen Sie sich zudem auch damit auseinander, ob und inwiefern Sie Gästen Zugriff zu Ihrer Umgebung gewähren[5] möchten.

3. Regelmässige Prüfung der Administratoren-Gruppe

Prüfen[6] Sie die verwendeten Administratoren-Gruppen, insbesondere diejenige mit globalen Administratoren, regelmässig. Hinterfragen Sie kritisch, ob die Administratoren-Berechtigungen gemäss «Need-to-know» realisiert sind und gehen Sie keine Kompromisse ein.

4. Nutzung der verfügbaren Reports zur Erkennung von Angriffen

Microsoft stellt von Haus aus diverse Reports zur Verfügung, aus denen wichtige Sicherheitsinformationen über Ihren Microsoft 365 Tenant gewonnen werden können. Nutzen Sie diese Reports. Besonders wichtig ist bspw. nebst anderen der Report zu Riskanten Anmeldungen[7].

5. Modern Authentication vs. Basic Authentication

Forcieren Sie die Verwendung von Modern Authentication[8] für SharePoint, OneDrive und Exchange, um Downgrading-Attacken und dem Missbrauch veralteter kryptographischer Technologien keine Chance zu geben.

6. Verwendung von E-Mail Security Headers

Konfigurieren Sie für Ihre E-Mail-Adressen den SPF-Record, die DKIM-Signatur und den DMARC-Check[9],  um Ihre Kollegen bestmöglich vor schadhaften E-Mails zu bewahren.

7. Conditional Access

Verwenden Sie Conditional Access Policies[10] zur Einschränkung möglicher Logins zu Ihrer Microsoft  365-Umgebung. Schränken Sie die Möglichkeit zum Login möglichst weit ein (bspw. auf die IP-Range Ihrer Unternehmung oder auf Schweizer IP-Adressen).

8. Automatismen in Power Automate und Suchabfragen in eDiscovery

Prüfen Sie regelmässig, ob die eingerichteten Flows innerhalb von Power Automate sinngemäss sind und ob innerhalb eDiscovery irgendwelche unvorhergesehenen Abfragen gestartet wurden. Limitieren Sie den Zugriff zu Konnektoren in Power Automate und den Zugriff auf eDiscovery-Funktionen auf ein erforderliches Minimum.

9. Konfiguration der Audit Logs

Setzen Sie sich damit auseinander, welche Logs[11] für Sie innerhalb der MS365-Umgebung relevant sind. Legen Sie zudem die Aufbewahrungsfrist[12] entsprechend Ihren eigenen Anforderungen fest. Nur so können Sie gewährleisten, dass im Fall einer Kompromittierung Ihres Tenants ein angemessenes Mass an Nachvollziehbarkeit gewährleistet ist. Stellen Sie das Logging ebenfalls für die Vorgänge innerhalb Ihrer E-Mail-Postfächer[13] sicher.

10. Realisierung von Data Loss Prevention (DLP) Policies

Prüfen Sie den Einsatz von einfachen, schnell realisierbaren DLP-Policies[14] in Ihrer Organisation. Bspw. ist es sinnvoll, das Teilen von IP-Adressen mit externen Parteien zu unterbinden. Dasselbe gilt für die Namen von Hosts bei bestehender interner Namenskonvention. Nachdem passende DLP-Policies eingerichtet wurden, kann auch hierzu ein Report regelmässig geprüft werden, vgl. Punkt (2).

Der 10-Punkte-Check ist nicht abschliessend, da es neben den technischen Aspekten auch diverse Herausforderungen auf organisatorischer Ebene oder Einhaltung von Compliance-Anforderungen und Vertragsgestaltung zu berücksichtigen gilt. Wenn die 10 Punkte bearbeitet und implementiert sind, verfügen Sie jedoch über einen akkuraten Grundschutz.

Gerne können Sie sich an uns wenden für weiterführende Best Practice-Empfehlungen, Unterstützung oder Sicherheitschecks zur Verwendung von Microsoft 365, Microsoft Azure und anderen Cloud-Plattformen in Ihrer Organisation, wie etwa von Google oder AWS.

Fachteam IT-Sicherheit; 27.05.2021

Kategorie: Fachartikel Swiss Infosec AG | IT-Sicherheit
Niklaus Manser
Head of Cyber- und IT Security Consulting
Anfrage
Niklaus Manser
Head of Cyber- und IT Security Consulting
Anfrage
© Swiss Infosec AG 2026