Microsofts Datenflüsse unter der Lupe
Datenübermittlungen aus Windows 10 und Office zu Microsoft-Servern lassen sich nicht einfach unterbinden. Deutsche und niederländische Behörden gehen damit sehr unterschiedlich um.
Foto: Microsoft
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) untersucht Windows 10 seit 2017 und hat jetzt erste Ergebnisse seiner Untersuchung mit dem vielsagenden Namen „SiSyPHuS Win10“ (Studie zu Systemintegrität, Protokollierung, Härtung und Sicherheitsfunktionen in Windows 10) vorgestellt.
Nutzer, so das Ergebnis, können zwar die Übermittlung der Telemetriedaten an Microsoft in ihrer Intensität stufenweise steuern. Eine eindeutige Zuordnung der übertragenen Daten zu den von Microsoft definierten Steuerungsstufen ist allerdings nicht möglich.
Windows lädt mehrmals in der Stunde Konfigurationsdaten nach und ordnet die Telemetriequellen diesen Stufen dynamisch zu. Technisch ausgeschlossen ist die vollständige Abkopplung nicht, nur für einfache Anwender schwer umzusetzen. Das BSI beschreibt hierfür verschiedene Ansätze und analysiert deren Wirksamkeit, Handhabbarkeit und Nebenwirkungen. So ist es beispielsweise möglich, bestimmte Dienste stillzulegen oder über Firewall-Regeln und andere Manipulationen die Kommunikation mit den Microsoft-Servern zu unterdrücken. Weitere Untersuchungsergebnisse zu diesem Komplex will das BSI nach und nach publizieren.
In diesen Untersuchungen befasst sich das BSI nicht mit der Frage, ob die Übermittlung der Telemetriedaten an Microsoft rechtswidrig ist. Derzeit sind dazu auch keine Verhandlungen zwischen Microsoft und deutschen Behörden bekannt – weder beim BSI und der Bundesdatenschutzbeauftragten noch dem Bundesinnenministerium, das für die Beschaffung von IT-Arbeitsplätzen zuständig ist.
Anders ist das in den Niederlanden: Das dortige Justizministerium verhandelt derzeit mit Microsoft über die Beschaffung von rund 300 000 geplanten digitalen Regierungsarbeitsplätzen, an denen die Enterprise-Version von Office eingesetzt werden soll. Die Regierung verlangt, die aus ihrer Sicht rechtswidrigen Datenübertragungen abzustellen oder anderenfalls die niederländische Datenschutzaufsicht einzuschalten, die den Forderungen mit Bußgeldern in Höhe von 4 % des Jahresumsatzes von Microsoft Nachdruck verleihen könnte.
Basis der Verhandlungen ist eine Datenschutzfolgenabschätzung nach den Vorgaben der Datenschutzgrundverordnung (DSGVO), die das Beratungsunternehmen Privacy Company im Auftrag des niederländischen Justizministeriums durchgeführt und Anfang November veröffentlicht hat. Sie bezieht sich auf die Telemetriedaten von Office ProPlus und kritisiert, dass Microsoft über Word, Excel, PowerPoint und Outlook systematisch Daten erfasst, ohne die Nutzer darüber zu informieren. Die Nutzer könnten es nicht beeinflussen, welche Daten erfasst, gespeichert und an Microsoft weitergegeben werden. Dies verstoße gegen die DSGVO.
Bei den Telemetriedaten von Office handelt es sich nicht nur um Informationen über Softwareabstürze, sondern auch um Nutzungsdaten: Wenn über das Office-Paket Textteile übersetzt werden, kann dies nur über einen Onlinedienst bei Microsoft erfolgen. Insgesamt soll es bis zu 25 000 verschiedene Ereignistypen geben, die von Office verschickt werden.
