Windows 10 und der Datenschutz in Unternehmen

Windows von ist das am weitesten verbreitete Betriebssystem in Deutschland. Auch in Unternehmen ist Windows am weitesten verbreitet. Aufgrund des Support-Endes bei Windows 7 am 14.01.2020 dürfen mittlerweile die meisten Unternehmen auf Windows 10 gewechselt haben. Doch stellt Windows 10 die Einhaltung der Datenschutz-Compliance vor große Herausforderungen.

Am 06.11.2019 hat die Datenschutzkonferenz ein Prüfschema veröffentlicht. Mit diesem Prüfschema sollen Verantortliche prüfen können, ob der Einsatz von Windows 10 im Unternehmen rechtlich konform ist. Das Prüfschema bezieht den Umstand mit ein, dass sich durch ein Update jederzeit Veränderungen ergeben können. Es muss also nach jedem Windows 10 Update erneut geprüft werden. Microsoft veröffentlicht für Windows im monatlichen Intervall kritische Updates, dies heißt für die Praxis, dass eine Überprüfung jeden Monat notwendig ist, wenn die Systeme die neuesten Sicherheitsupdates erhalten.

Warum ist das überhaupt notwendig?

Windows 10 übermittelt Telemetriedaten an den Microsoft Konzern. Dies lässt sich durch inviduelle Einstellungen nicht vollständig unterdrücken. Die Übermittlung lässt sich in Windows 10 konfigurieren unter Einstellungen für Diagnose und Feedback. Das BSI führte im Jahr 2018 eine Untersuchung zur Übertragung von Telemetriedaten durch und kam zu der Erkenntnis, dass Windows sowohl in den Enterprise-Versionen, als auch in den Consumer-Versionen von Windows 10 in der niedrigsten Stufe Telemetriedaten übermittelt. Das BSI gab sogleich Handlungsempfehlungen bekannt, wie sich die Übermittlung der Telemetriedaten verhindern lässt. Folgende Möglichkeiten für netzwerkbasierte Maßnamen wurden angegeben.

  • HTTP-Proxy (ermöglicht die Filterung des Netzwerkverkehrs)
  • Firewall (hierbei kann die Datenübertragung zu betreffenden IP-Adressen gesperrt werden)
  • DNS-Verwaltung (durch den Einsatz eines eigenen DNS-Servers können Anfragen an die betreffenden Microsoft-Server verhindert werden)

Das BSI nennt noch weitere Methoden für Client-spezifische Maßnahmen, diese dürften im Unternehmenseinsatz aber eher wenig interessant sein. Das Dokument können Sie hier einsehen.

Fazit

Als Datenschutzbeauftragter dürfte man mit diesem Thema auf weniger Enthusiasmus im Unternehmen treffen. Für viele Unternehmen kommt der Einsatz eines anderen Betriebssystems häufig nicht in Frage. Im Mittelstand dürfte es wenig Unternehmen geben, die kein Windows (10) einsetzen. Die Unterdrückung der Übermittlung der Telemetriedaten lässt sich wohl am einfachsten über eine zentrale DNS-Verwaltung bewerkstelligen. Eine Liste mit den betreffenden DNS-Adressen wird in der Analyse der Telemetriekomponente in Windows 10 genannt.

Update vom 04.02.2020

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) untersuchte die Übermittlung von Telemetriedaten unter Windows 10 Enterprise und veröffentlichte die Ergebnisse in ihrem 9. Tätigkeitsbericht, Seite 22. Nach Erkenntnissen des BayLDA findet unter Windows 10 Enterprise mit dem eingestellten Telemetrielevel "Security" keine Datenübermittlung von Telemetriedaten an die Microsoft-Server statt. Das BayLDA formuliert das Ergebnis wie folgt:

Zuletzt aktualisiert: 04.02.2020