APP/Personendaten über PIN absichern - Auch bei der APP-Entwicklung die DSGVO beachten



  • Gute Usability der App
    Die Funktionen der neuen APP sind sehr erfreulich, auch die Bedienerfreundlichkeit, dass man nicht jedes Mal das Benutzername und ggfs. lange Passwort für die Anmeldung eingeben muss.

    Zugriff auf Personendaten genauso ungeschützt wie im Adressbuch und in den WhatsApp & Co.
    Jedoch fordert der Datenschutz, dass die Zugriff auf die Personendaten jederzeit geschützt sein muss. In manchem Fällen wird sogar auf den Endgeräten ein grundsätzlich getrennter Account bei der Arbeit mit den Gemeindedaten gefordert. Das ist auf dem PC noch möglich, auf dem Smartphones aber nicht sinnvoll machbar.
    Im Moment ist es so, dass jeder dem ich mein Handy/Tablett für einen Moment in die Hand geben freien Zugriff auf alle Personendaten unserer Gemeinde hat (da ich Admin in CT bin). Im Gegensatz zu meinem PC, wo der Zugriff auf CT nicht nur von der Anmeldung am PC, sondern auch von der Anmeldung im Browser abhängig ist (Wenn ich das Passwort dort nicht gespeichert habe).
    Daher wäre es gut hier eine Abfrage als Option einzubauen (Wobei ich denke, dass für jeden in Europa dieses Feature sinnvoll wäre). Damit wäre die Adressdaten endlich besser aufgehoben als bisher in jedem localen Adressbuch unserer Gemeindeleute.

    Featurewunsch:
    Als Admin kann ich über die zentrale Adminverwaltung beim Öffnen der Personendaten in der APP eine zusätzlich PIN Abfrage erzwingen. Jeder User kann seine eigene PIN pflegen; je nach dem was für die Programmierung besser funktioniert auf dem Smartphone (local) oder direkt über die Browser Oberfläche (zentral).
    Moderne Smartphones können diese PIN Abfrage dann wieder über einen Fingerprint-Scan koppeln, so dass die Usability relativ gut wäre, die Daten aber besser vor fremden Zugriff geschützt sind.



  • @MRBaum

    Lieber MRBaum,
    auch wenn ich diesen Ansatz gut verstehen kann möchte ich mich hoffentlich konstruktiv dazu äußern und gebe mindestens 3 Punkte als Workaround bei Smartphones zu bedenken:

    • Als erstes möchte ich dazu sagen, dass ein Mobiltelefon ohne aktivem Sperrbildschirm mit Muster, PIN oder Fingerprint-Abfrage nicht genutzt werden sollte

    • Die bekannten Smartphonehersteller haben auf ihren Geräten Funktionen wie KNOX oder sichere Ordner implementiert, auf die ein Zugriff nur mit vorgenannten Schutzmechanismen möglich ist

    • Des Weiteren gebe ich aus den von dir genannten Gründen mein Mobil-Telefon nicht x-beliebig aus der Hand

    Ich halte es durchaus für vertretbar solche "bauseitigen" Schutzfunktionen zu benutzen. Am PC ist die 2 Faktor-Autorisierung ja bereits implementiert, so dass auch an dieser Stelle eine Absicherung gut möglich ist, und wenn eine am Smartphone implementierte Autorisierungs-App auch noch im geschützten Ordner abgelegt ist, dann denke ich dass eine hohe Sicherheit erreicht wird.
    Ganz ehrlich gesagt bin ich der Meinung, dass der Fehler in den meisten Fällen vor dem Bildschirm sitzt, und jedes System ist nur so gut wie seine Anwender. (Es soll auch user geben die ihre PINs auf den zugehörigen Systemen, EC-Karten etc. notieren)

    Liebe Grüße und Gottes Segen für euren Dienst
    Wolfgang


  • admin

    Sehe ich auch so. Mein entsperrtes Handy/Tablett gebe ich niemandem an die Hand! Denn auch der Zugriff auf die gemeindliche Nextcloud, vertrauliche E-Mails usw. wäre damit frei.

    So wie sich auch niemand an meinem PC-Account anmelden kann/darf, handhabe ich das auch beim Smartphone und das ist - denke ich - gängige Datenschutzpraxis.

    Getrennte Accounts sind machbar ... auch auf dem Smartphone/Tablett. Würde man die CT-App absichern, bin ich mir nicht sicher, ob Push-Benachrichtigungen (technisch) noch durchgehen könnten.



  • @Andy Mein Gedanke ist nicht die App zu sichern, sondern nur das Öffnen der Rubrik "Personen" innerhalb der App mit einem 4-stelligen PIN zu sichern. Der PIN würde dann bei jeder Datenabfrage zum Server mit übertragen werden können. Es ist dann zu klären ob ein Wechsel der Rubrik oder das Beenden/Schließen der App die erneute PIN Abfrage erzwingt.
    Damit sollten Push-Nachrichten immernoch funktionieren. Und die restliche gute und einfache Usability der App geht nicht verloren.



  • @tollestool Du hast recht, dass die verschiedenen Hersteller jeweils eigene, unterschiedliche Funktionen zum Schutz der Daten anbieten. Auch über zusätzliche Apps.
    Aber dadurch geht zum einen die einfache Usability der App (z.B.: Dienstanfragen zusagen) etwas verloren.
    Zum anderen: bei über 100 Mitarbeitern und damit mindestens so vielen App Installationen auf ebenso vielen verschiedenen Geräten verschiedenster Art und Alter habe ich keine Chance alle Geräte und damit die Daten sicher kontrollieren zu können (Mein eigenes Gerät bekomme ich noch hin ;-) )
    Daher habe ich als Admin ein hohes Interesse daran, dass die persönlichen Daten der Gemeinde auf allen Geräten vor dem Zugriff durch Unbefugte so sicher wie möglich sind (und am besten nicht durch einen Workaround). Und auf Basis der DSGVO ist eine kompletter Zugriff auf Adressdaten erstmal als kritisch einzustufen.
    Smartphones und Tabletts mit einer dedizierten und an sich offenen App sind für mich grundsätzlich ein deutlich größeres Risiko, also eine (dem fremden unbekannte) Website in einem Browser. Und da die Adressdaten ja jedes Mal auf Anfrage vom Server geladen werden, würde die PIN Abfrage sogar vor der Datenübertragung erfolgen können.
    Wäre die PIN Abfrage optional durch den Admin einschaltbar, gäbe es ja für alle die es nicht wollen auch kein Problem.
    Ist mein Feature Wunsch damit nachvollziebarer?


  • admin

    Eine optionale PIN-Abfrage, die zb über Touch oder Face ID auf dem Gerät gespeichert werden kann mindert nur gering die Usability mmn bringt aber tatsächlich mehr Sicherheit. Würde es aber dem Nutzer beim Start der App auswählen lassen und entsprechend die Leute darauf schulen. Dann liegt es in der eigenen Versntwortung.

    Ich hab Apps, die gleich zu Beginn die PIN abfragen und trotzdem Push durchlassen. Vermute also, es sollte möglich sein.

    Ich vote unter der Prämisse des optionalen