Skip to content

Gesichtserkennung an schottischen Schulen

Die Schulen im schottischen Bezirk North Ayrshire setzten Ende 2021 Gesichtserkennungssysteme ein, um Schulkinder zu erkennen. Das System sollte die Kinder identifizieren und denen dann die Teilnahme am kostenlosen Schulessen ermöglichen. Diese Praxis sorgte bereits für einige Kritik in UK-Medien und rief auch die dortige Datenschutzbehörde ICO auf den Plan.

Diese hat den Sachverhalt geprüft und kam zu dem Schluss, dass Gesichtserkennung in Schulen im Allgemeinen möglich ist. Allerdings hat der North Ayrshire Council (NAC) gegen verschiedene Bestimmungen in der DSGVO verstoßen. Konkret wurden folgende Punkte benannt:

  • Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
  • Informationspflicht
  • Speicherbegrenzung
  • Datenschutz-Folgenabschätzung

Der NAC wurde empfohlen bei der Datenminimierung und dem Grundsatz der Richtigkeit Verbesserungen vorzunehmen.

Die DSGVO schreibt im Erwägungsgrund 38, dass Kinder einen besonderen Schutz bei der Verarbeitung ihrer Daten genießen, da Kinder sich der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind.

Insbesondere wenn die Verarbeitung sehr tief in die Rechte und Freiheiten eingreift, so muss eine so genannte Datenschutz-Folgenabschätzung vorgenommen werden. Hierbei müssen die konkreten Risiken bewertet und Abhilfemaßnahmen eingebaut werden. Dies erschien der ICO im Falle der Schulen zwingend notwendig, war aber nicht vorhanden.

Die ICO hat sich die Anlage genauer angeschaut und versucht, eine Bewertung entlang der Pflichten der DSGVO vorzunehmen. Das Schreiben an die NAC liest sich wie eine Horrovorstellung.

  • NAC were unable to demonstrate that there was a valid lawful basis for the processing.
    Zu gut Deutsch: Für die Verarbeitung gab es keine Rechtsgrundlage. Personenbezogene Daten dürfen aber nur verarbeitet werden, wenn es eine solche gibt. Anfangs wurde wohl behauptet, dass die Schulen Aufgaben des öffentlichen Interesses wahrnehmen. Später ist man dann umgeschwenkt und hat eine Einwilligung als Rechtsgrundlage herangezogen. Allerdings gab es eben keine wirkliche Einwilligung, die den Vorgaben der DSGVO entsprach. Die Eltern scheinen mehr so eine Art allgemeine Einwilligung abgegeben zu haben.
  • Die Gesichtserkennung diente hier zur Identifizierung von Kindern. Das sind also biometrische Daten und damit besondere Kategorien personenbezogener Daten. Deren Verarbeitung ist im Art. 9 DSVGO nochmal explizit untersagt und hier gibt es eine Liste von Ausnahmen.
  • Einwilligung für Kinder müssen in einem für sie verständlichen Text geschrieben sein. Die ICO schreibt, dass es in der Tat zwei verschiedene Einwilligungsformulare (Erwachsene und Kinder) gab. Der Unterschied zwischen beiden Formularen waren die Worte Ihr Kind und Du. Dazu muss man wohl nichts mehr sagen.
  • Die ICO konnte nicht herausfinden, wann welche Daten wirklich gelöscht werden. Die NAC gab an, dass die Bilder fünf Jahre nach dem Ausscheiden oder am 23. Geburtstag der Person gelöscht werden. Warum gerade fünf Jahre ausgewählt wurden oder ob sowohl die Vorlage, die zur Erkennung genutzt wird wie auch die Einzelaufnahmen gelöscht werden, konnte nicht herausgefunden werden.
  • Auch zur Datenschutz-Folgenabschätzung ist die ICO eindeutig: We consider that the DPIA we reviewed is unlikely to have complied with Article 35 of the UK GDPR

Insgesamt ist das Schreiben der ICO sowie die Case Study ein schönes Dokument, um mal zu erfahren, wie man es nicht macht. Allerdings schreibt die ICO auch sehr gut und detailliert, wie die Schulen es besser machen könnten.

Ich hoffe ja, dass die Schulen lernen und das System abbauen und nicht wieder benutzen. In Anbetracht der Tatsache, dass vorher dort wie auch an anderen Schulen in Schottland Fingerabdrucksysteme zum Einsatz kamen, habe ich da jedoch wenig Hoffnung.

Schnee von Yrsa Sigurðardóttir

Weihnachten ist nun schon etwas länger her und doch hinterlässt es hier noch seine Spuren. Ein “Andenken” ist das Buch “Schnee” von Yrsa Sigurðardóttir. Die isländische Autorin ist durch Krimis mit Kommissar Huldar und Psychologin Freyja oder auch der Rechtsanwältin Þóra Guðmundsdóttir bekannt geworden.

Im Jahr 2020 hat sie das Buch “Schnee” herausgegeben. In der für sie typischen Manier erzählt sie in mehreren Strängen einen Kriminalroman mit starkem Gruselanteil:

  1. Ein Strang erzählt die Geschichte einer Wandergruppe. Ein paar Freunde machen sich mit einem Geologen auf, um einen Gletscher zu erkunden. Stück für Stück führt sie der Weg in die Kälte und sie erleben dort einige Merkwürdigkeiten.
  2. Ein zweiter Strang dreht sich um eine Rettungs- oder Suchaktion. An einer Hütte wurde im Schnee in eisiger Kälte die nahezu nackte Leiche einer Frau gefunden. Später finden die Rettungstrupps dann noch mehr Menschen. Allen ist gemein, dass sie wenig bis gar nicht bekleidet sind.
  3. Im letzten Strang erfährt man von einem Mann, der auf einer Radarstation arbeitet. Sein Vorgänger ist während der Arbeit der Erzählung nach wahnsinnig geworden und hat sich selbst getötet. Aber auch der Mann fängt an Stimmen an einem Telefon zu hören, was eigentlich nicht mehr angeschlossen ist und hat einige Erlebnisse, die ihn an seinem Verstand zweifeln lassen.

Diese drei Teile bilden die Geschichte und werden Stück für Stück zusammengeführt. Am Ende erfährt man die Auflösung, die einige unerwartete Überraschungen parat hat.

Die drei Stränge stehen zunächst für sich und haben keine Überschneidungen. Ich ahnte zwar, dass der Teil eins mit den Wanderern und Teil zwei mit den Leichen miteinander zu tun haben. Allerdings hielt ich das eine längere Zeit für einen Trick, der in die Irre führen soll. Denn bis weit über die Hälfte des Buches hätten sich auch andere Erklärungen finden lassen. Bis kurz vor Schluss bleibt aber unklar, was der dritte Strang mit den anderen beiden zu tun hat. Das Ende ist dann umso fulminanter und überraschender.

Insgesamt ist es der Autorin hier gelungen, ein sehr spannendes und mitreißendes Werk zu schreiben. Die Spannung und der Grusel steigern sich mit der Zeit und werden letztlich gut aufgelöst. Wenn man dann das Buch weglegt und nicht mehr darüber nachdenkt, bleibt es auch ein schönes Leseerlebnis. Spult man jedoch zurück und versucht, die Auflösung mit einzelnen Szenen in Übereinstimmung zu bringen, so finden sich häufig unlogische Stellen und starke Übertreibungen. Mit letzteren schaffte sie es, die Spannung zu erzeugen. Diese lassen sich allerdings nicht klar auflösen.

Insofern hatte ich am Ende doch einen schalen Beigeschmack. Wenn ihr das aber ignorieren könnt, ist das Buch eine deutliche Leseempfehlung.

Kommunikationswerkzeuge im Jahr 2022

Es wird wieder mal Zeit, die Liste der Kommunikationswerkzeuge zu aktualisieren. Bisher erschien dies

Die Liste ist zum Vorjahr recht stabil geblieben. Ein Neuzugang ist der Messenger SimpleX, den ich mal mit verschiedenen Leuten teste. Darauf bin ich durch einen Blogbeitrag von Mike Kuketz aufmerksam geworden. Keybase habe ich nicht mehr benutzt. XMPP/Jabber steht auf der Abschussliste, da mir dort zuviel Spam reinkommt. Weiterhin habe ich mal cwtch.im (Onion Service) getestet. Die Bedienung war für mich zu wenig eingängig und da habe ich das nicht weiter verfolgt.

Nutze ich

  • E-Mail (ist für mich eines der Hauptkommunikationsmittel. Hinweise zum Schlüssel findet ihr auf der Kontaktseite.)
  • Signal
  • Matrix (@qbi:matrix.kraut.space)
  • XMPP/Jabber
  • Threema (PWB22538)
  • Jitsi (meist für Videokonferenzen des Hackspace Jena)
  • BigBlueButton
  • Briar (Kontakt gern auf Anfrage)
  • Mumble
  • SMS
  • Twitter oder Mastodon DM (nicht aktiv genutzt, wird aber als Kanal genutzt)
  • Wire
  • Zoom
  • Delta.Chat (deltachat[]kubieziel.de ist die korrekte Adresse)
  • SimpleX (Kontakt zum Testen gern auf Anfrage)
  • OnionShare (OnionShare kann seit kurzem auch Chats. Hier finden manchmal kurzzeitig Chats über Onion Services statt.)
  • Auf einem Extra-Rechner kommt für Kundenprojekte noch MS Teams und Google Meet zum Einsatz. Das erwähne ich hier aber eher der Vollständigkeit halber. :-)

Delta.Chat und Wire werden recht selten verwendet. Daher kann es sein, dass die beim nächsten Update in die untenstehende Kategorie verschoben werden.

Nutze ich nicht (mehr)

  • Keybase
  • Mattermost
  • Slack (ist im wesentlichen durch Matrix ersetzt worden)
  • Telegram
  • WhatsApp

Alles, was nicht genannt ist, fällt vermutlich in die Kategorie nicht genutzt. ;-)

Mastodon und die DSGVO

Bild eines Mastodons
Mastodon von Thomas Quine

Die Software Mastodon ist eine neue Erfolggeschichte aus meiner Heimatstadt Jena. Seitdem Elon Musk Twitter übernommen hat, suchen sich viele Menschen ein neues Social-Media-Zuhause und deren Wahl fällt sehr oft auf Mastodon. Andere gehen einen Schritt weiter, nehmen den Code von Eugen Rochko und bauen Server für sich und andere auf. Der Betrieb eines solchen Servers bietet einerseits einige technische Herausforderungen, aber aber auch viele aus dem nicht-technischen Bereich. Ich will in dem Beitrag mal den Augenmerk auf die Pflichten aus der Datenschutz-Grundverordnung (DSGVO) legen. Der Podcast Rechtsbelehrung hat kürzlich noch einen viel weitere Blick genommen. Hört mal in die Folge 112 zu Nutzungsbedigungen, Datenschutz und Digital Services Act rein.

Folgende Punkte gilt es zu beachten:

Mastodon-Startansicht
Mastodon-Startansicht

DSGVO?

Die erste Frage, die man sich stellen kann, ist, ob die DSGVO überhaupt relevant ist. Mit dem Betrieb eines Mastodon-Servers werden E-Mail-Adressen, Namen und anderes verarbeitet. All dies sind personenbezogene Daten. Damit ist die Verordnung anzuwenden.

Auftragsverarbeitung

Am Anfang steht die Frage, wo die Software installiert werden soll. Es könnte der eigene Server zu Hause sein, ein Raspberry Pi oder ein Server, der bei einem Provider in einem Rechenzentrum gemietet wird. In all diesen Fällen liegt die komplette Verantwortung in euren Händen. Hier müsst ihr euch später Gedanken zur Sicherheit machen. Aber hinsichtlich Auftragsverarbeitung können wir einen Haken machen. Denn dies ist nicht der Fall.

Wenn ihr ein “Fertigangebot”, wie masto.host, nutzt, dann beauftragt ihr eine fremde Firma mit der Verarbeitung der personenbezogenen Daten. Dies ist dann eine Auftragsverarbeitung. Damit müsst ihr sicherstellen, dass sich euer Anbieter auch an die DSGVO hält und auch ausreichende Sicherheitsmaßnahmen eingebaut hat. Die Anbieter haben für den Nachweis meist Listen mit technischen und organisatorischen Maßnahmen, Zertifikate oder anderes. Hier solltet ihr einen Blick drauf werfen und abschätzen, ob das euren Anforderungen genügt.

Der zentrale Punkt ist dann ein Vertrag zur Auftragsverarbeitung. Dieser Vertrag muss sich an die Vorgaben des Art. 28 DSGVO halten. Praktisch haben die Anbieter meist vorgefertigte Verträge, die ihr nur herunterladen und unterschreiben müsst.

Mit diesem ersten Schritt habt ihr die erste Hürde überwunden und könnt zur Installation oder Konfiguration des Servers schreiten.

Sicherheit der Verarbeitung

Beim Installieren und Einrichten des Servers (wie auch später im laufenden Betrieb) ist es sinnvoll, sich Gedanken über die Sicherheit zu machen.

Die DSGVO möchte ein angemessenes Sicherheitsniveau haben. Dies muss der Art der verarbeiteten Daten und dem Risiko entsprechen. Dabei muss der Stand der Technik und die Kosten der Einführung mit berücksichtigt werden. Doch welche Daten verarbeitet ihr? Soweit ich das sehe, sind das bei einem Mastodon-Server:

  • Name und Profilname
  • E-Mail-Adresse
  • Passwort
  • öffentliche Toots und “private” Nachrichten

Dabei sind Name, Profilname und öffentliche Toots Daten, die die Person mit der Verwendung des Dienstes auch veröffentlicht. Hier ist der Schutzbedarf eher gering. Meiner Meinung nach sind nur die E-Mail-Adresse, das Passwort und die privaten Nachrichten Daten, wo sich tiefergehende Gedanken über die Absicherung “lohnen”. Andererseits werden all diese Daten in einer Datenbank liegen. Somit ist es sinnvoll, die Datenbank als Ganzes zu betrachten.

Die konkreten Überlegungen hängen davon ab, wie ihr den Server betreibt, also steht der bei euch zu Hause oder im Rechenzentrum, läuft der auf einer eigenen Maschine oder auf einem Rechner, der von vielen anderen benutzt wird etc.? Mit den untenstehenden Fragen will ich ein paar Denkanstöße hinsichtlich von Sicherheitsmaßnahmen geben. Denkt mal bitte darüber nach, wie das bei eurem Server aussieht und ob dieser hinreichend abgesichert ist:

  • Zugang zum Server: Ein Schutz besteht schon, wenn niemand den Server “anfassen” kann. Das heißt, Personen, die keine Berechtigung haben, sollten auch keinen physischen Zugang zu dem Gerät bekommen. Wie sieht das bei euch aus? Steht das Gerät in einem stark frequentierten Raum oder separat in einem abgeschlossenem Raum? Gibt es Fenster und Türen, durch die Menschen einfach an das Gerät kommen? Stellt euch einen Einbrecher vor und fragt euch, wie leicht oder schwer es dieser Person fallen könnte, direkt auf euren Server zuzugreifen. Anhand dessen könnt ihr euch dann Maßnahmen überlegen, die dies erschweren. Wenn es ein Server in einem Rechenzentrum ist, erübrigen sich diese Gedanken meist. Denn hier gibt es meist Zugangsrichtlinien, die kontrolliert werden und auf die ihr auch keinen Einfluss habt.
  • Zugriff auf die Daten: Wenn es nun jemand zum Server geschafft hat, soll die Person möglichst keinen Zugriff auf die Daten bekommen. Dies könnte passieren, wenn diese Person vor dem Rechner steht und versucht, euer Passwort zu erraten oder über SSH Rateversuche unternimmt. Eventuell hat sich Schadsoftware auf der Maschine breit gemacht und liest Daten aus. Bei Überlegungen zu dem Punkt ist eure Kreativität gefragt. Auf welche Weise könnte ein Angreifer Zugriff auf eure Daten bekommen und wie unterbindet ihr das?
  • Abhören der Daten: Beim Einloggen in den Server oder auch bei der Benutzung des Servers könnte es sein, dass Unbefugte versuchen, mitzuhören. Es wäre möglich, dass jemand eure Kommunikationswege (E-Mail, Messenger etc.) überwacht, um Daten mitzulesen. An der Stelle bruacht ihr ebenfalls Maßnahmen. In der Regel sind das verschiedene Verschlüsselungsmaßnahmen. Das heißt, die Webseite muss über TLS erreichbar sein, eure Mails und anderen Kommunikationen müssen mindestens transportverschlüsselt sein. Wenn ihr die Daten physisch umher tragt, solltet ihr ebenfalls über eine Verschlüsselung nachdenken.
  • Verfügbarkeit der Daten und des Dienstes: Vermutlich gebt ihr keine Garantien hinsichtlich der Verfügbarkeit ab. Dennoch kann es schnell passieren, dass euer Dienst im Nirvana verschwindet. Hitze, Staub und Feuchtigkeit können dem Server zusetzen. Wenn der im Rechenzentrum steht, haben sich andere Gedanken gemacht. Wenn der Server auf euren Maschinen läuft, müsst ihr euch diese Gedanken machen. Weiterhin ist ein Backup ein wichtiger Schritt. Denkt darüber nach, wie die Datenbank und die einzelnen Dateien gebackupt werden können und testet regelmäßig die Wiederherstellung.

Ihr könnt natürlich noch viel mehr Maßnahmen einsetzen und den Schutz deutlich erhöhen. Die obige Aufstellung soll euch ein paar Anstöße liefern. Das Grundschutzkompendium des BSI ist u.a. eine Quelle, wo verschiedene Maßnahmen mit aufgelistet sind.

Rechte der betroffenen Personen

Die DSGVO gibt den betroffenen Personen einige Rechte. Diese sollen wissen, dass Daten von ihnen verarbeitet werden, welche das sind, wie lange etc. Die Rechte müsst ihr beim Betrieb eines Servers natürlich auch gewährleisten.

Datenschutzhinweise

Wenn Daten erhoben werden, beginnt für euch eine Pflicht, die Menschen zu informieren. Dies geschieht in der Regel über Datenschutzhinweise auf der Webseite. Der Artikel 13 der DSGVO enthält genaue Hinweise, welche Daten dort aufzuführen sind. Ich habe euch exemplarisch mal Hinweise anderer Instanzen verlinkt. Dort könnt ihr sehen, solche Informationen aussehen können.

Auskunftsrecht

Nun können die betroffenen Personen jederzeit zu euch kommen und euch um eine Auskunft zu den verarbeiteten Daten bitten. Das bedeutet, zunächst müsst ihr prüfen, ob ihr überhaupt Daten dieser Person verarbeitet und falls ja, ist dann eine Auskunft zur Verarbeitung zu machen.

Wichtig ist hier zunächst, dass ihr einen solchen Antrag überhaupt wahrnehmt. Vermutlich werden sich die meisten über eine Mastodon-Nachricht oder eine E-Mail an euch wenden. Das heißt, ihr solltet sicherstellen, dass ihr regelmäßig eure Direktnachrichten und E-Mails lest. Denn ihr müsst spätestens innerhalb eines Monats nach Eingang auf die Nachricht reagieren.

Wenn ich davon ausgehe, dass jemand mit einem Mastodon-Konto auf eurem Server eine solche Anfrage stellt, so können die erforderlichen Angaben dem untenstehenden Verzeichnis der Verarbeitungstätigkeiten entnommen werden.

Sollte nun jemand ohne Account bei eurem Mastodon-Server eine Anfrage stellen, wird es spannend. Denn unter Umständen verarbeitet ihr auch dessen Daten. Soweit ich das sehe, müssten die folgenden Punkte mit in der Auskunft erwähnt werden. Bitte kopiert dies jedoch nicht einfach hier von der Seite, sondern prüft das nochmal nach. Wenn ihr zu einem anderen Ergebnis kommt, freue ich mich natürlich über eine Rückmeldung.

  • Zweck der Verarbeitung: Betrieb eines Mastodon-Servers, Austausch und Kommunikation
  • Kategorien personenbezogener Daten: Name, Mastodon-Benutzername, Uhrzeit des Beitrags, verwendete Software, Inhaltsdaten, (ggf. IP-Adresse und weiteres)
  • Empfänger: Besucher:innen der Webseite, andere Mastodon-Benutzer:innen
  • Speicherdauer: Hier musst du in deine Einstellungen schauen.
  • Drittlandübermittlung: Wenn dein Server oder auch dein Anbieter außerhalb der EU agiert, wäre das hier mit zu erwähnen.
  • Weiteres: Daneben musst du die User auf deren Rechte hinweisen. Genaueres siehe Art. 15 DSGVO.

Löschrecht

Neben einer Auskunft kann jemand auch die Löschung seiner Daten verlangen. Das könnte sowohl jemand mit als auch ohne Konto bei eurem Server sein. Im ersteren Fall wird ein Löschantrag sicher schwierig, denn die Person hat ja noch ein Konto. Damit wäre eine weitere Verarbeitung vermutlich notwendig und es gäbe keinen Löschanspruch.

Wenn jemand ohne Konto eine Löschung verlangt, wird es schon schwieriger. Diesen Fall diskutiert Enno Lenze auch in seinem Beitrag “Weg von Twitter, hin zu Mastodon?”.

Datenschutzverletzungen

Wenn euer Server gehackt werden sollte, so gibt es auch seitens der DSGVO Pflichten, die auf euch zukommen. Einerseits ist das eine Meldepflicht in Richtung der Aufsichtsbehörden und andererseits eventuell auch eine Information der betroffenen Personen.

Eine Datenschutzverletzung kann dabei vieles sein. Im Allgemeinen muss es sich um eine Verletzung der Sicherheit handeln, die zu

  • Vernichtung
  • Verlust
  • Veränderung
  • unbefugter Offenlegung oder
  • Zugang durch Unbefugte

führt. Also wären

  1. ein versehentliches Löschen der Datenbank,
  2. Ransomware, die alle Daten verschlüsselt,
  3. ein Datenbankdump, der auf der Webseite frei zum Download steht oder
  4. ein “klassisch” gehackter Server

Beispiele für Datenschutzverletzungen. Es wäre sinnvoll, dass ihr euch immer mal wieder Gedanken macht, was in eurem Fall konkret Datenschutzverletzungen sein können. Oftmals stellt man fest, dass auch schon triviale Sachen in die Definition passen und gemeldet werden müssen.

Ich will die obigen Beispiele kurz diskutieren:

  1. Wenn ihr für die Datenbank ein Backup habt, spielt ihr das ein und der Server läuft wieder. In dem Fall ist aus meiner Sicht kein besonderes Risiko für die betroffenen Personen entstanden. Daher gehe ich nicht von einer Meldepflicht aus. Allerdings solltet ihr gemäß Art. 33 Abs. 5 DSGVO den Vorgang dokumentieren. Also kurz aufschreiben, was passierte und was ihr gemacht habt.
  2. Eine Ransomware, die nur die Daten verschlüsselt, könnte auch durch Aufspielen eines Backups “bekämpft” werden und der Fall wäre wie der oben zu behandeln. Allerdings müsst ihr sicherstellen, dass es keinen Fremdzugriff gab und das ist gerade bei aktueller Schadsoftware nicht der Fall. Das heißt, hier wird sehr oft auf die Daten zugegriffen, die heruntergeladen etc. In solch einem Fall liegen die personenbezogenen Daten in den Händen Fremder. Also besteht ein Risiko für die Betroffenen. Es empfiehlt sich eine Meldung an die Aufsichtsbehörden und ich würde hier sogar eine Meldung an die Betroffenen befürworten.
  3. Wenn der Dump nur kurze Zeit auf der Seite war und ihr Fremdzugriffe ausschließen könnt oder wenn der Dump verschlüsselt ist, könnte man wie bei 1. auf die Meldung verzichten. Aber gerade wenn das nicht der Fall ist, wäre eine Meldung an die Betroffenen und die Aufsichtsbehörden Pflicht.
  4. Ein gehackter Server ist immer ein Grund für eine Meldung an die Behörden. Es sei denn, ihr könnt durch spezielle Sicherheitsmaßnahmen im Vorfeld ausschließen, dass es einen Zugriff auf personenbezogene Daten gab.

In einer Meldung über eine Datenschutzverletzung muss folgendes stehen:

  1. Art der Verletzung
  2. Kategorien und Zahl der betroffenen Personen
  3. ungefähre Zahl der Datensätze
  4. Beschreibung der Folgen der Verletzung
  5. Beschreibung der Maßnahmen, die ihr ergriffen habt.

Ich würde euch empfehlen, euch bereits vorher Gedanken über eine solche Meldung zu machen. Das macht es im konkreten Fall oft leichter, die Meldung abzusetzen.

Verzeichnis von Verarbeitungstätigkeiten

Ein recht “spannender” Punkt ergibt sich aus dem Art. 30 DSGVO. Demnach wäre ein Anbieter eines Mastodon-Servers verpflichtet, ein Verzeichnis von Verarbeitungstätigkeiten (VVT) zu führen. Das ist eine Auflistung von Vorgängen oder Prozessen bei denen personenbezogene Daten verarbeitet werden. In diesem Punkt steckt meist viel Detailarbeit. Beim Betrieb eines Mastodon-Servers müsste man zumindest die Verarbeitung durch den Server selbst sowie Kommunikation per E-Mail mit erfassen. Alles weitere hängt von euren Gegebenheiten ab. Ich habe untenstehend mal einen Versuch unternommen, die Einträge aufzuschreiben. Korrekturen sind herzlich willkommen.

VVT zum Serverbetrieb

  • Name und Kontaktdaten des Verantwortlichen: Das solltet ihr leicht ermitteln können. :-)
  • Zweck der Verarbeitung: Bereitstellung einer öffentlichen Kommunikationsplattform auf der Basis des ActivityPub-Protokolls
  • Kategorien betroffener Personen: Besucher:innen, Nutzer:innen
  • Kategorien personenbezogener Daten: Name, Mastodon-Username, Uhrzeit, verwendete Software, Inhaltsdaten, Verbindungsdaten
  • Empfänger: Andere Mastodon-Server, Dritte
  • Übermittlung in Drittländer: keine (oder Nennung, falls ihr sowas einsetzt) oder, aufgrund des Charakters des Dienstes, immer :-)
  • Löschung der Daten: Nennung, wann ihr welche Daten löscht. Hier gibt es Unterschiede zwischen Nutzungsdaten, wie IP-Adresse, und Inhaltsdaten, wie Beiträgen.
  • IT-Sicherheitsmaßnahmen: Nennung der Sicherheitsmaßnahmen, die ihr implementiert habt. Es ist meist besser, das in einem eigenem Dokument aufzuschreiben und darauf zu verweisen.

VVT für E-Mails

  • Name und Kontaktdaten des Verantwortlichen: Das solltet ihr leicht ermitteln können. :-)
  • Zweck der Verarbeitung: Elektronische Kommunikation
  • Kategorien betroffener Personen: Nutzer:innen, Dritte
  • Kategorien personenbezogener Daten: Name, E-Mail-Adresse, Verbindungs- und Inhaltsdaten
  • Empfänger: eventuell andere Admins des Dienstes (überlegt, wer die Mails noch “sieht”)
  • Übermittlung in Drittländer: keine (oder Nennung, falls ihr sowas einsetzt)
  • Löschung der Daten: E-Mails als Geschäftsbriefe 6 Jahre Aufbewahrung, E-Mails als steurrechtliche Unterlagen 10 Jahre Aufbewahrung
  • IT-Sicherheitsmaßnahmen: Nennung der Sicherheitsmaßnahmen, die ihr implementiert habt. Es ist meist besser, das in einem eigenem Dokument aufzuschreiben und darauf zu verweisen.

Weiteres und Fragen

Beim Schreiben dieses Artikels fiel mir auf, dass es noch viel mehr Dinge geben könnte, auf die man ein Auge haben müsste bzw. es gäbe andere Spezialfälle, die man auch diskutieren könnte. Ich habe mich letztlich entschieden, diese wegzulassen. Falls du beim Lesen des Beitrags Fragen hast oder dir Themen fehlen, schreibe am besten einen Kommentar (oder nutze andere Wege). Ich versuche, darauf zu antworten oder den Beitrag entsprechend anzupassen.

Influenza in den Vereinigten Staaten

Die Virologin Isabella Eckerle twitterte eine Grafik zur weltweiten Zahl der Influenzafälle. Unten seht ihr nochmal eine Zehn-Jahres-Übersicht. Dies könnt ihr beim Flunet der WHO abrufen.

Zehn-Jahres-Übersicht der weltweiten Influenzafälle
Zehn-Jahres-Übersicht der weltweiten Influenzafälle

Die Grafik lässt sich sehr schön als Suchbild verwenden: In welchem Zeitraum gab es Maßnahmen gegen SARS-CoV-2? Wann begann die und wann endeten diese?

Statistiken zu Influenza bzw. Grippe gibt es auch in anderen Ländern. So stolperte ich kürzlich über die Statistiken der CDC in den USA. Dort gibt es eine gut gestaltete Seite mit sehr ausführlichen Informationen. Unter anderem gibt es Zeitreihen über die letzten Jahre. Ich habe mir mal die Werte jeweils zu Ende Oktober bzw. Anfang November angeschaut. Dabei stellte ich fest, dass die “schlimmste Grippewelle” im Jahr 2019 stattfand. In den USA ergab sich dabei folgendes Bild.

Influenzafälle im Jahr 2019 in den USA
Influenzafälle im Jahr 2019 in den USA

Im Bundesstaat Louisiana gab es damals eine hohe Aktivität. Alle anderen Staaten hatten niedrige oder moderate Aktivität zu verzeichnen. Wie gesagt, im Zehn-Jahres-Zeitraum war das die “schlimmste” Grippeaktivität, die ich in dem Zeitraum finden konnte. Wie auch in unseren Breitenkreisen steigt die Aktivität in den Folgemonaten deutlich an und findet in den ersten Wochen eines neuen Jahres den Höhepunkt.

Nun wollte ich das mal mit dem Stand zu Oktober/November 2022 vergleichen:

Influenzaaktivität zu Anfang November 2022 in den USA
Influenzaaktivität zu Anfang November 2022 in den USA

Das Bild ist deutlich anders. Fast der gesamte Süden der USA hat eine hohe oder sehr hohe Grippeaktivität. Insbesondere der Lila-Farbton für die Staaten Alabama, Tennessee und South Carolina musste erst neu eingebaut werden. Bisher gab es diese Zahlen noch nicht. Dabei sind die USA derzeit am Beginn der Grippewelle.

Ich habe mal versucht, mir den Staat Tennessee mehr anzuschauen. Dabei ist mir folgendes aufgefallen:

Vermutlich ist es damit eines der Bundesländer, welches “gut durchseucht” ist. Wenn man nun noch dazunimmt, dass auch eine überstandene COVID-Erkrankung lange Zeit das Immunsystem einschränkt, könnte das eine Erklärung für die extrem hohen Zahlen in dem Bundesland sein.

Continue reading "Influenza in den Vereinigten Staaten"

Anleitungen für Mastodon

Habt ihr in der letzten Zeit von Mastodon gehört? Seitdem Elon Musk Twitter übernommen hat, gibt es viele Menschen, die Twitter den Rücken kehren und Neues suchen. Ein wichtiges, oft gewähltes Ziel heißt Mastodon.

Mastodon ist eine Software, die sehr stark an Twitter erinnert und von Eugen Rochko auch in Unzufriedenheit mit der Plattform entwickelt wurde. Dennoch gibt es einige Unterschiede zu Twitter und einige Menschen, die sich mit viel Enthusiasmus in das Abenteuer stürzen, sind anfangs verwirrt oder unzufrieden. Denn Mastodon ist eben doch nicht Twitter. Die Unterschiede sind beim Einstieg stark zu spüren.

Daher haben viele Leute Anleitungen, Tutorials und Erklärungen geschrieben, um den Einstieg zu erleichtern. Unten findet ihr einige dieser Quellen.

Aus meiner Sicht solltet ihr einfach mit Offenheit und Neugierde zu Mastodon kommen. Sucht euch einfach eine grob passende Instanz, legt euch ein Konto an und legt los. Wenn ihr nach einiger Zeit feststellt, dass die Instanz nicht passt, könnt ihr die einfach wechseln. Wenn euch euer Account insgesamt nicht gefällt, dann löscht ihn und fangt vielleicht unter anderen Vorzeichen nochmal an. Aber ich stelle fest, dass sich bei Vielen nach anfänglichen Schwierigkeiten ein Wohlfühlgefühl einstellt und sie sich mit großer Freude dort tummeln. Also kommt vorbei und probiert euch aus!

Onionshare für den Dateiaustausch verwenden

In regelmäßigen Abständen habe ich das Vergnügen, auf Journalisten aus verschiedenen Ländern der Welt zu treffen. Ich schule diese, wie man Internetsperren umgehen kann, worauf es bei der Anonymität ankommt etc. Eines der Werkzeuge, die ich dabei erwähne und welche Begeisterung auslöst, ist OnionShare (Onion-Link).

Wie der Name schon sagt, geht es um den Austausch (von Dateien) über Onions (also das Tor-Netzwerk). OnionShare entstand ursprünglich als Werkzeug, um eine einfache und sichere Downloadmöglichkeit über Tor Onion Services zur Verfügung zu stellen. Das Gute hieran ist, dass der Austausch komplett über das Tor-Netzwerk läuft, Sender und Empfänger können also unerkannt kommunizieren. Wenn OnionShare beendet wird, dann verschwindet auch der Link und kann auch nicht wieder wiederhergestellt werden. Mittlerweile lassen sich über das Programm Downloads oder Uploads bereitstellen, chatten und auch Webseiten anbieten. All das passiert mit wenigen Klicks. Wie funktionier das?

Für Windows gibt es eine MSI-Datei und für macOS eine DMG-Datei, die man installieren kann. Unter Linux gibt es Flatpak- oder Snap-Pakete. Ich nutze in der Regel das Flatpak. Dazu müsst ihr zunächst Flatpak einrichten. Der konkrete Weg ist abhängig von eurer Distribution und verbirgt sich hinter dem Link. Wenn das eingerichtet ist, kann das dann über flatpak install flathub org.onionshare.OnionShare installiert werden.

Willkommen-Bildschirm beim Start von OnionShare
Willkommen-Bildschirm beim Start von OnionShare

Oben seht ihr das Menü nach dem Start von OnionShare. Im einfachsten Fall klickt ihr auf “Connect to Tor”, OnionShare verbindet sich mit Tor und ihr könnt nun aus vier Möglichkeiten auswählen:

  1. Dateien teilen
  2. Dateien empfangen
  3. Webseite
  4. Anonym chatten

Sollte keine Verbindung zu Tor hergestellt werden können, empfehle ich einen Blick in das Handbuch. Dort stehen verschiedene Möglichkeiten beschrieben, die ihr einstellen könnt.

Die weitere Benutzung von OnionShare ist recht einfach. Ihr wählt den entsprechenden Menüpunkt aus, beantwortet ein paar Fragen und schon kann es losgehen.

Wenn ihr Dateien teilen wollt, klickt auf Dateien oder Ordner hinfügen und wählt diese aus. Wenn ihr damit fertig seid, könntet ihr schon mit dem Teilen beginnen. Allerdings solltet ihr über zwei Punkte nachdenken:

  1. Standardmäßig lässt OnionShare einen Download zu und schließt danach den Onion Service. Das ist sinnvoll, wenn ihr einer Person die Datei(en) schicken wollt. Wenn sich der Download an mehrere richtet, solltet ihr den Menüpunkt “Dateifreigabe beenden, …” deaktivieren. Dann bleibt der Dienst bis zum Schließen von OnionShare erhalten.
  2. Weiterhin richtet OnionShare eine private OnionShare-Adresse ein. Damit wird neben der Onion-Adresse ein privater Schlüssel erzeugt, der an den Empfänger übertragen werden muss. Dies ist einerseits die sichere Variante, andererseits macht das aus meiner Erfahrung mehr Probleme. Daher wähle ich meist aus, dass das ein öffentlicher OnionShare-Dienst ist.

Beide Punkte findet ihr auch bei den anderen Menüpunkten von OnionShare. Wenn ihr eure Auswahl getroffen habt, klickt auf den grünen Knopf und das Teilen kann beginnen.

OnionShare teilt Dateien

OnionShare teilt Dateien

Die obigen Ansicht zeigt euch OnionShare an, nachdem das Teilen begonnen wurde. Ich habe mal eine Datei geteilt, die nsu-akten-gratis.pdf heißt. Wenn ihr den Artikel lest, wird es die Onion-Adresse nicht mehr geben. Die Datei bezieht sich auf eine Veröffentlichung von Frag den Staat und Jan Böhmermann (Alternative). Das Original liegt hier.

Das Wichtige oben ist die Onion-Adresse. Diese schickt ihr weiter und der Empfänger öffnet diese mit dem Tor-Browser. Dort wird dann folgendes angezeigt:

Download im Tor-Browser
Download im Tor-Browser

Mit einem Klick auf “Download Files” werden die Dateien schließlich heruntergeladen. Probiert das mal aus. Ihr werdet sehen, dass dies wirklich einfach ist.

Doch wie funktionieren die anderen drei Punkte? Findet es heraus! Probiert es mal für euch und teilt eure Erfahrungen in den Kommentaren. Ich freue mich, von euren Erfahrungen zu hören. ;-)

cronjob