Prüfung zum Einsatz von Windows 10 in der Landesverwaltung

Die Landesbeauftragte für den Datenschutz (LfD) Niedersachen hat die Nutzung von Windows 10 in der Landesverwaltung geprüft. Im Fokus des Verfahrens stand die Übertragung von Telemetriedaten an Microsoft. Geprüft wurden fünf Behörden innerhalb der niedersächsischen Landesverwaltung.

Das Betriebssystem Windows 10 ist bei einer Vielzahl von Unternehmen und Behörden in Deutschland im Einsatz. Defizite beim Datenschutz hätten daher Auswirkungen auf große Teile der Bevölkerung. Datenschutzrechtlich problematisch ist u.a. die Übermittlung von Telemetriedaten an die Microsoft Corporation und/oder ihre Konzernunternehmen.

Windows 10 erhebt, sammelt und überträgt Telemetriedaten, wie etwa Diagnose- und Zustandsdaten von Geräten und Anwendungen, aber auch nutzer- und personenbezogene Daten. Dabei hängt der Umfang der Datenübermittlung an Microsoft von der konkret eingesetzten Edition, der Version und der vorgenommenen Konfiguration von Windows 10 ab.

Die Verantwortlichen müssen für die Übermittlung personenbezogener Daten an Microsoft eine Rechtsgrundlage gemäß Artikel 6 Datenschutz-Grundverordnung (DS-GVO) nachweisen können. Sofern die übermittelten Daten in den Anwendungsbereich der problematischen US-Aufklärungsprogramme fallen, wäre darüber hinaus nachzuweisen, dass durch Übermittlungsinstrumente und zusätzliche Maßnahmen ein Schutzniveau sichergestellt werden kann, das im Wesentlichen dem im Europäischen Wirtschaftsraum garantierten Niveau entspricht (EuGH-Urteil vom 16.07.2020 - C-311/18 - Schrems II).

Kann das Vorliegen einer Rechtsgrundlage nicht nachgewiesen werden, ist die Telemetriedatenübermittlung vollständig zu unterbinden. Die Verantwortlichen können eine Unterbindung der Übermittlung derzeit z. B. durch Verwendung der Version „Enterprise“ bei gleichzeitiger Einstellung der Telemetriestufe „security“ und der Vornahme weiterer Maßnahmen erreichen.

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder („DSK“) hat ein Prüfschema veröffentlicht, welches es Verantwortlichen erleichtern soll, den rechtskonformen Einsatz von Windows 10, auch im Hinblick auf die Übermittlung von Telemetriedaten, zu beurteilen. Gestützt werden die Ausführungen im Prüfschema insbesondere auf Art. 25 Abs. 1 DS-GVO. Danach ist der Verantwortliche verpflichtet, bereits bei der Festlegung der Verarbeitungsmittel sicherzustellen, dass geeignete technische und organisatorische Maßnahmen zur Wahrung der Datenschutzgrundsätze getroffen werden.

Werden Telemetriedaten übermittelt?

Problematisch ist aus datenschutzrechtlicher Sicht insbesondere, dass Microsoft dem Benutzer in der Benutzeroberfläche keine Konfigurationsmöglichkeit bietet, die Übertragung der Telemetriedaten komplett abzustellen.

Im Rahmen der datenschutzrechtlichen Prüfung zum Einsatz von Windows 10 in der Landesverwaltung mussten die Verantwortlichen daher u.a. darlegen, ob mit dem Betriebssystem Windows 10 personenbezogene Telemetriedaten erhoben und verarbeitet werden, bzw. mit welchen Vorkehrungen eine solche Datenverarbeitung unterbunden wurde.

Sofern Telemetriedaten durch den jeweils Verantwortlichen erhoben wurden, war zudem anzugeben, ob diese Daten an ein oder mehrere Unternehmen des Microsoft-Konzerns übermittelt werden. Andernfalls war darzustellen, welche technischen und organisatorischen Maßnahmen ergriffen wurden, um eine Übertragung solcher Daten zu unterbinden.

Bis auf eine Ausnahme haben alle geprüften Verantwortlichen Windows 10 in der Version Enterprise mit der Telemetriestufe „security“ eingesetzt sowie unter Anwendung weiterer Maßnahmen eine Übermittlung personenbezogener Telemetriedaten unterbunden.

Lediglich eine Behörde nutzte die Version „Professional“ und konnte nicht nachweisen, dass in dieser Version die Übermittlung von Telemetriedaten unterbunden werden kann. Die Behörde stellte deshalb einen Wechsel auf die Version „Enterprise“ in Aussicht. Die LfD Niedersachsen hat daraufhin die Vorlage eines verbindlichen Zeitplans für den beabsichtigten Wechsel eingefordert.

Eine regelmäßige Kontrolle fehlt

Bekanntermaßen können sich Kommunikationsverhalten und Konfigurationsmöglichkeiten von Windows 10 mit neuen Versionen oder Release-Ständen ändern. Keine der geprüften Behörden überwachte jedoch zum Zeitpunkt der Prüfung die ergriffenen Maßnahmen und Einstellungen auf ihre Aktualität und Wirksamkeit durch eine regelmäßige Überprüfung des Datenverkehrs. Daher wurden die Verantwortlichen aufgefordert, ein entsprechendes Netzwerk-Monitoring zu etablieren, das mögliche Übertragungen von Telemetriedaten zu Microsoft-Servern regelmäßig überprüfen soll.

Prüfung abgeschlossen – Nachprüfung bleibt vorbehalten

Trotz der festgestellten Mängel konnte zwar die Prüfung bei allen Verantwortlichen abgeschlossen werden. Da jedoch zwei Verantwortliche die zugesagten Maßnahmen zum Zeitpunkt des Prüfungsabschlusses noch nicht umgesetzt hatten und auch keinen verbindlichen Zeitplan zu deren Umsetzung vorlegen konnten, hat ihnen die LfD ausdrücklich eine Nachprüfung angekündigt.