Juristischer leitfaden 5 Auflage

1. IT-Security, IT-Compliance
und Internet im
Unternehmen
Juristische Informationen für die
Unternehmensleitung.

2. Copyright 2016 Trend Micro Inc.2
Die Themen im Überblick.................................................................................................................................. 7
I. IT-Security und IT-Compliance im Unternehmen............................9
1. Bedeutung der IT-Security........................................................................................................................9
a) Verfügbarkeit....................................................................................................................................................9
b) Unversehrtheit............................................................................................................................................... 10
c) Vertraulichkeit................................................................................................................................................ 10
d) Authentizität................................................................................................................................................... 10
2. Rechtliche Verpflichtung zur IT-Security........................................................................................11
a) Anforderungen an die Gesch.ftsführung, IT-Leiter und den Aufsichtsrat.............................11
b) Vermeidung öffentlich-rechtlicher Konsequenzen und ökonomischer Nachteile............12
3. Anforderungen des IT-Sicherheitsgesetzes und des EU-Richtlinienentwurfs
zur Netz- und Informationssicherheit (NIS) ........................................................................................13
4. Maßnahmen zur IT-Security und IT-Compliance........................................................................ 15
a) Schutz vor Hackern, Viren, Trojanern, Spyware, Botnets etc.....................................................15
b) Schutz gegen Advanced Persistent Threats (APT)..........................................................................16
c) Schutz gegen Datenlecks („Data Leak Prevention“).......................................................................16
INHALTSVERZEICHNIS

3. Copyright 2016 Trend Micro Inc.3
INHALTSVERZEICHNIS
d) Spionageaufklärung und -abwehr von innen („Deep Discovery“).............................................17
e) Datensicherung................................................................................................................................................17
f) Schutz von Legacy-Betriebssystemen...................................................................................................17
g) Quellcode-Hinterlegung (Software-Escrow)..................................................................................... 18
h) Handlungsanleitungen, Best Practice-Vorgaben und Minimum-Standards....................... 18
i) Einhaltung von Prüfungsstandards........................................................................................................ 19
j) Anforderungen an die Buchhaltung....................................................................................................... 19
k) Besondere Anforderungen an Banken und Finanzdienstleister...............................................20
5. Haftung und Sanktionen bei Verstößen gegen IT-Security und IT-Compliance..... 20
a) Strafrechtliche Sanktionen........................................................................................................................20
b) Ordnungswidrigkeiten..................................................................................................................................20
c) Haftung des Unternehmens......................................................................................................................20
d) Persönliche Haftung der Unternehmensleitung...............................................................................21
e) Persönliche Haftung von Mitarbeitern..................................................................................................21
f) Weitere Konsequenzen.................................................................................................................................21

4. Copyright 2016 Trend Micro Inc.4
INHALTSVERZEICHNIS
II. Datenschutz und Datensicherheit........................................................23
1. Datenschutzrechtliche Anforderungen an Unternehmen......................................................23
a) Bundesdatenschutzgesetz........................................................................................................................23
b) EU-Datenschutz-Grundverordnung......................................................................................................24
c) Big Data...............................................................................................................................................................31
d) Auftragsdatenverarbeitung.......................................................................................................................31
e) Technische und organisatorische Maßnahmen...............................................................................32
f) Sanktionen........................................................................................................................................................32
g) Meldepflicht bei Datenpannen.................................................................................................................32
h) Klagerecht von Verbraucherschutzverbänden bei Datenschutzverstößen.......................33
i) Pflicht zur Löschung von Suchmaschineneinträgen......................................................................33

5. Copyright 2016 Trend Micro Inc.5
2. Datenschutz und Datensicherheit bei internationalem Datentransfer................................ 34
a) Datenübermittlung und EU-US-Datenschutzschild (Privacy Shield)..................................... 34
b) Überwachung von Unternehmen durch
Geheimdienste und Sicherheitsbehörden.............................................................................................. 35
c) „No-Spy-Erlass“ bei IT-Auftragsvergaben der öffentlichen Hand.......................................... 36
d) Datentransfer mit den USA......................................................................................................................38
e) Online-Durchsuchung und Quellen-TKÜ („Staatstrojaner“)......................................................38
III. Cloud Computing..........................................................................................41
1. Vertragliche Konditionen..........................................................................................................................41
2. Datenschutz und Sicherheit. .................................................................................................................41
IV. IT-Grundrecht und Schutz der Persönlichkeit.............................45
1. Urteil des Bundesverfassungsgerichts zum „IT-Grundrecht“.............................................45
2. Urteil des Bundesverfassungsgerichts zum
Grundrechtsschutz dynamischer IP-Adressen.................................................................................45
3. Urteile des Bundesverfassungsgerichts und des
Europäischen Gerichtshofs zur Vorratsdatenspeicherung.......................................................46
INHALTSVERZEICHNIS

6. Copyright 2016 Trend Micro Inc.6
INHALTSVERZEICHNIS
V. E-Mail und Internet im Unternehmen.................................................49
1. E-Mails im Unternehmensverkehr......................................................................................................49
a) Unternehmensangaben auf geschäftlichen E-Mails......................................................................49
b) Verpflichtung zur Verschlüsselung von E-Mails..............................................................................49
c) Elektronische Signatur................................................................................................................................49
d) Archivierungspflichten...............................................................................................................................50
2. E-Mail- und Internet-Nutzung durch Unternehmensmitarbeiter und Externe...........51
a) Betriebliche Nutzung....................................................................................................................................51
b) Private Nutzung..............................................................................................................................................51
c) Öffentliche WLAN-Hotspots..................................................................................................................... 53
3. Einsatz von Antiviren-Programmen und Spam-Filtern im Unternehmen.....................54
4. BYOD (Bring your own Device) / Consumerization..................................................................55
a) IT-Security.........................................................................................................................................................55
b) Datenschutz.....................................................................................................................................................56
c) Archivierungspflichten................................................................................................................................56

7. Copyright 2016 Trend Micro Inc.7
INHALTSVERZEICHNIS
5. Social Media in Unternehmen..............................................................................................................57
a) Impressumspflicht....................................................................................................................................... 57
b) Gewerblicher Rechtsschutz und Wettbewerbsrecht.................................................................... 57
c) Datenschutz.................................................................................................................................................... 57
d) Social Media Guidelines............................................................................................................................. 57
VI. Missbrauch von IT-Infrastruktur und Datendiebstahl..............59
1. Ausspähen von Daten.................................................................................................................................59
2. Verletzung des Post- oder Fernmeldegeheimnisses. .............................................................59
3. Datenveränderung.......................................................................................................................................60
4. Computersabotage ....................................................................................................................................60
5. Vorbereitung des Ausspähens und Abfangens von Daten....................................................60
6. Datenhehlerei..................................................................................................................................................61
7. Fälschung beweiserheblicher Daten...................................................................................................61
8. Störung von Telekommunikationsanlagen......................................................................................61
9. Verrat von Geschäfts- und Betriebsgeheimnissen.....................................................................61
10. Datenschutzdelikte....................................................................................................................................62

8. Copyright 2015 Trend Micro Inc.8 Copyright 2016 Trend Micro Inc.8
RA Günter Untucht
Associate General Counsel & Director of EMEA Legal
Günter Untucht sammelte Berufserfahrung als selbstständiger
Rechtsanwalt, Syndikus und Geschäftsführer: Er arbeitete 10 Jahre
als internationaler Justiziar in der Pharmaindustrie (bei Gödecke,
Warner-Lambert/Parke-Davis, nun: Pfizer) – auch in Industrieverbänden
– und ist inzwischen seit 27 Jahren in der IT-Industrie engagiert –
seit 11 Jahren bei Trend Micro, davor bei BearingPoint (KPMG
Consulting), Global Knowledge, Compaq Computer und Tandem
Computers – und war stets mit Führungsaufgaben auf EMEA-Ebene und
globalen Funktionen betraut.

9. Copyright 2015 Trend Micro Inc.9 Copyright 2016 Trend Micro Inc.9
Dr. Thomas Stögmüller, LL.M. (Berkeley)
Rechtsanwalt und Fachanwalt für
Informationstechnologierecht | TCI Rechtsanwälte München
Dr. Thomas St.gmüller berät deutsche und internationale Unternehmen
insbesondere in den Bereichen IT-, E-Commerce-, Telekommunikationsrecht
und Datenschutz sowie Urheberrecht, gewerblicher Rechtsschutz und
Kartellrecht. Er ist Gründungspartner von TCI Rechtsanwälte, die ihren
Branchenfokus in den Bereichen Technology, Communications, Information
hat, auf denen die Kurzbezeichnung „TCI“ beruht. Dr. Thomas Stögmüller
studierte und promovierte an der Ludwig-Maximilians-Universität München
und an der Universityof California in Berkeley. Er war wissenschaftlicher
Mitarbeiter am Max-Planck-Institut für ausländisches und internationales
Patent-, Urheber- und Wettbewerbsrecht (US-Referat) und Jurist im
Telekommunikationsreferat des Bayerischen Staatsministeriums für
Wirtschaft, Verkehr und Technologie. 1995 wurde er als Rechtsanwalt
zugelassen und war vor der Gründung von TCI Rechtsanwälte 2011 in
namhaften Kanzleien in Frankfurt und München als Partner tätig.

10. Copyright 2015 Trend Micro Inc.10 Copyright 2016 Trend Micro Inc.10
Über Trend Micro
Trend Micro, der international führende Anbieter für Cloud-Security, ermöglicht
Unternehmen und Endanwendern den sicheren Austausch digitaler Informationen.
Als Vorreiter bei Server-Security mit mehr als fünfundzwanzigj.hriger Erfahrung
bietet Trend Micro client-, server- und cloudbasierte Sicherheitslösungen an.
Diese Lösungen für Internet-Content-Security und Threat-Management erkennen
neue Bedrohungen schneller und sichern Daten in physischen, virtualisierten und
Cloud-Umgebungen umfassend ab. Die auf der Cloud-Computing-Infrastruktur des
Trend Micro Smart Protection Network basierenden Technologien, Lösungen und
Dienstleistungen wehren Bedrohungen dort ab, wo sie entstehen: im Internet.
Unterstützt werden sie dabei von mehr als 1.000 weltweit tätigen Sicherheits-Experten.
Trend Micro ist ein internationales Unternehmen mit Hauptsitz in Tokio und bietet
seine Sicherheitslösungen über Vertriebspartner weltweit an.
http://www.trendmicro.de/
http://blog.trendmicro.de/
http://www.twitter.com/TrendMicroDE