• Recent
    • Tags
    • Popular
    • Users
    • Groups
    • Search
    • Register
    • Login

    Solved APP/Personendaten über PIN absichern - Auch bei der APP-Entwicklung die DSGVO beachten

    Archiv
    15
    32
    3.2k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • R
      rschi @Tino
      last edited by

      @Tino sagte in APP/Personendaten über PIN absichern - Auch bei der APP-Entwicklung die DSGVO beachten:

      Mein Vorschlag wäre, daß nach dem die App installiert wurde, beim ersten Start bevor ich die Login-Daten eingebe, geprüft wirt, ob eine Sicherheitsfunktion/Displaysperre (TouchID/PIN/etc.) aktiv ist.

      Das müsste doch bei jedem Start geprüft werden. Sonst richtet einer einfach eine entsprechende Sicherheitsfunktion ein, um die App das erste Mal zu starten und schaltet die Funktion dann wieder ab. Das kann ja auch nicht sein.

      Hosting bei church.tools

      T 1 Reply Last reply Reply Quote 0
      • T
        Tino @rschi
        last edited by

        @rschi Das stimmt natürlich, es müsste bei jedem Starten der App, geprüft werden ob ein entsprechender Schutz aktiv ist!

        1 Reply Last reply Reply Quote 0
        • T
          Tino @jmrauen
          last edited by

          @jmrauen Ich hatte ja eigentlich gehofft, daß es in der aktuell veröffentlichten Version 0.7.0 eine Änderung in Bezug auf den Zugriffschutz der Personendaten gibt! Leider ist da noch nichts passiert! Gibt es dafür einen groben Zeitplan, wann da eine Änderung kommt?

          D 1 Reply Last reply Reply Quote 1
          • D
            daniel_ @Tino
            last edited by

            @Tino sagte in APP/Personendaten über PIN absichern - Auch bei der APP-Entwicklung die DSGVO beachten:

            @jmrauen Ich hatte ja eigentlich gehofft, daß es in der aktuell veröffentlichten Version 0.7.0 eine Änderung in Bezug auf den Zugriffschutz der Personendaten gibt! Leider ist da noch nichts passiert! Gibt es dafür einen groben Zeitplan, wann da eine Änderung kommt?

            Mich würde das auch interessieren, wann ungefähr damit zu rechnen ist. Bei uns steht aufgrund struktureller Veränderungen das Einrichten der App für ca. 80 Gemeindeglieder an. Für mich ein Datenschutzalptraum, wenn ich die Handys sehe auf denen die App laufen soll. Oben genannte Sicherheitsfunktionien wären da essentiell um keinen DS-Super GAU zu erleiden.

            CT 3.x Hosting bei CT

            1 Reply Last reply Reply Quote 2
            • C
              christophEFG-GI @Tino
              last edited by

              Die Diskussion über den Datenschutz-GAU hatte ich kürzlich auch. Die gesonderte Sicherung der Daten halte ich für sehr sinnvoll, befürchte aber beim aktuellen Stand der App keinen GAU.
              Es müsste jemand sein Smartphone verlieren, der es nicht besonders gesichert hat. Dann müsste es jemand mit gewisser krimineller Energie finden. Müsste darauf kommen, dass in ChurchTools Adressen hinterlegt sind. Über die Suchfunktion müsste er die Personen nach und nach finden und die Daten per Hand übertragen.
              Die so gewonnenen Adressen müsste er dann kriminell nutzen: selber oder verkaufen.
              Das ist sehr hoher Aufwand, um damit Missbrauch zu treiben. Die Schwarzmarktpreise sind für so wenige Adressen ziemlich gering.
              Imageschaden? Das müsste man schon etwas aufblasen, damit es für eine Zeitung interessant würde.

              Bin ich zu blauäugig?

              1 Reply Last reply Reply Quote -3
              • fUnK3rF
                fUnK3r
                last edited by

                Hallo,

                ist dieses Thema noch auf dem Schirm für die weitere App-Entwicklung, oder wurde dies bereits begraben?
                Bei uns poppt dieses Thema gerade hoch.
                Ein zusätzlicher Pin würde hier für wesentlich mehr Sicherheit sorgen.
                Es kommt ja auch mal vor, dass man sein Smartphone entsperrt jemandem zur Verwendung ausleiht.
                Hier wäre ein Mehr an Sicherheit doch sehr wünschenswert.

                1 Reply Last reply Reply Quote 2
                • tobiasbeckerT
                  tobiasbecker
                  last edited by tobiasbecker

                  TouchID gibt es mittlerweile bei einer Reihe von Anwendungen. Ab iPhone 7 ist dies so schnell und komfortabel nutzbar, dass es kein Hindernis ist (z.B. Signal, Threema, Whatsapp, Telegram, Tresorit, Dropbox, alle Banking-Apps, 2FA / Passwort-Mgmt; leider nicht möglich bei: Skype, SMS/Messages, Kontakte, Kalender, Apple Mail, Firefox, ChurchTools).
                  Bei allen genannten Apps ist TouchID optional. Allerdings wird zumindest bei Banking-Apps oft alternativ zwingend ein Password abgefragt. Diese Abfrage kann ich mit TouchID vermeiden.

                  Personenbezogene Daten in CT sind auf jeden Fall schützenswert, auch wenn die Verantwortung für die Daten - je nach Lesart und Dokumentation - mit der konformen Bereitstellung auf dem Smartphone endet.
                  Der Nutzer muss dann entsprechend etwas unterschreiben, dass er gewisse IT-Prinzipien einhält. Was genau dann im Falle des verlorenen Smartphones ohne Grundverschlüsselung bzw. Code passiert, ist im Zweifel zu klären. Da die Daten aber nicht als Datei auf dem Smartphone vorliegen, sondern nur ein sequenzieller Zugriff per Suche auf die (reduzierten) Datensätze in der Cloud möglich sind, müsste mit einer umgehenden internen Meldung des Verlustes und daraufhin Sperrung des Accounts eigentlich keine Meldung gemäß DSGVO notwendig sein. Hat hier jmd. andere Erkenntnisse, ich würde mich über Infos freuen.

                  Etwas unabhängig davon geht es aber natürlich um den praktischen Schutz der Daten vor Missbrauch bzw. Einsicht durch 3. und allgemeine Vertraulichkeit.
                  Und als CT-Admin (analog zu einer entsprechenden Position in einem Unternehmen) empfinde eine optional erzwingbare Richtlinie für "meine" Nutzer (bzw. bestimmte Gruppen) für ein Passwort (mit Komplexitätskriterien und verknüpft mit OS-Biometrie wie TouchID) zum Starten der App für sehr wichtig.
                  Grundsätzlich geht das Thema DSGVO / Vertraulichkeit ja auch beim Thema CT-Chat nahtlos weiter..

                  B 1 Reply Last reply Reply Quote 0
                  • B
                    bwl21 @tobiasbecker
                    last edited by

                    @tobiasbecker siehe https://forum.church.tools/topic/6971/handy-app-über-die-website-trennen?_=1612691136239

                    1 Reply Last reply Reply Quote 0
                    • D
                      dethlef
                      last edited by

                      Bei uns ist das auch gerade ein grosses Thema, dass die Daten da so frei zugänglich sind. Ist irgendwie ungewohnt mit all den anderen Apps die in diesem Bereich aufgerüstet haben. Eine Entriegelung beim Starten der App über Pin / TouchID / FaceID wäre top. @jmrauen Was ist hier der aktuelle Stand auf Churchtools-Seite? Gibt es eine angedachte Lösung und ein Terminplan?

                      1 Reply Last reply Reply Quote 1
                      • jziegelerJ
                        jziegeler ChurchToolsMitarbeiter @MRBaum
                        last edited by

                        @mrbaum für euch hier schon mal als Info: wir arbeiten im aktuellen Sprint daran, an dieser Stelle etwas zu verbessern

                        B 1 Reply Last reply Reply Quote 0
                        • B
                          bwl21 @jziegeler
                          last edited by bwl21

                          @jziegeler Könntest du das etwas konkretisieren? Mein bescheidener Vorschlag wäre:

                          1. App muss bei jedem Aufruf mit pin / fingerabdruck / Gesichtserkennung entsperrt werden.

                            Das könnte man dann wieder etwas verbessern, dass man die Abfrage nur macht, wenn Berechtigung auf personenbezogene Daten vorliegt.

                            Oder man verlangt die Entsperrung vor der Anzeige anfordern.

                          2. Benutzer sollte App über das Web-Interface wieder trennen können.

                          Beide Maßnahmen sind hoffentlich nicht so kompliziert. Bitte nicht in die ohnehin schon komplexe Rechteverwaltung eingreifen ...

                          jziegelerJ 1 Reply Last reply Reply Quote 0
                          • jziegelerJ
                            jziegeler ChurchToolsMitarbeiter @bwl21
                            last edited by

                            @bwl21 wir werden die Personen-Details per Pin/Touch schützen um weiterhin eine gute User experience zu haben

                            B S T 3 Replies Last reply Reply Quote 0
                            • B
                              bwl21 @jziegeler
                              last edited by

                              @jziegeler 🙂 clap clap clap

                              1 Reply Last reply Reply Quote 0
                              • S
                                Simon2 @jziegeler
                                last edited by

                                @jziegeler sagte in APP/Personendaten über PIN absichern - Auch bei der APP-Entwicklung die DSGVO beachten:

                                @bwl21 wir werden die Personen-Details per Pin/Touch schützen um weiterhin eine gute User experience zu haben

                                Klingt gut.
                                Zwei Detailfragen habe ich dazu:

                                • Wird das optional sein?
                                • Betrifft das dann auch den App-eigenen "ChurchWeb"-Browser?
                                • ... oder gar den "normalen Browser" auf dem Handy (also die komplette "mobil-Ansicht")?

                                Gruß

                                Simon

                                jziegelerJ 1 Reply Last reply Reply Quote 0
                                • jziegelerJ
                                  jziegeler ChurchToolsMitarbeiter @Simon2
                                  last edited by

                                  @simon2

                                  1. bisher nicht,
                                  2. ja, der wird auch geschützt
                                  3. Browser auf dem Handy muss man sich ja ganz normal einloggen
                                  B S 2 Replies Last reply Reply Quote 0
                                  • B
                                    bwl21 @jziegeler
                                    last edited by

                                    @jziegeler 🙂 clap clap clap

                                    1 Reply Last reply Reply Quote 0
                                    • S
                                      Simon2 @jziegeler
                                      last edited by

                                      @jziegeler Danke.
                                      Also "weiß" das System, ob es von einem "normalen Browser" oder ChurchWeb angesprochen wurde?!
                                      Oder wird die gesamte ChurchWeb-Nutzung hinter PIN/Touch-Abfrage verborgen?

                                      Gruß

                                      Simon

                                      1 Reply Last reply Reply Quote 0
                                      • T
                                        Tino @jziegeler
                                        last edited by

                                        @jziegeler Gibt es schon einen Termin wann die App-Version mit PIN/Touch Schutz veröffentlicht wird?

                                        jziegelerJ 1 Reply Last reply Reply Quote 0
                                        • jziegelerJ
                                          jziegeler ChurchToolsMitarbeiter @Tino
                                          last edited by

                                          @tino sollte heute Nachmittag freigeschaltet werden

                                          T 1 Reply Last reply Reply Quote 0
                                          • T
                                            Tino @jziegeler
                                            last edited by

                                            @jziegeler Ok, das klingt ja gut

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post