Need-to-know-Prinzip und Datenschutz: Der TÜGVA-Skandal

Bekanntlich leben wir im Zeitalter der Digitalisierung und gestalten unser Leben in erheblichem Maß danach. Anders gesagt: Wir sind gezwungen, uns so zu verhalten. In diesem Zusammenhang begegnen uns sehr wichtige und vielfältige Begriffe: Datensicherheit, personenbezogene Daten, Netzwerk, Cybersicherheit, Cyberangriff, physische und hardwareseitige Sicherheit der digitalen Umgebung und das Need-to-know-Prinzip sind Beispiele dafür. In diesem Beitrag behandeln wir Datensicherheit und das Need-to-know-Prinzip am Beispiel der TÜGVA (Jugendstiftung der Türkei).

Das Need-to-know-Prinzip bedeutet, dass Daten oder Informationen zu einem Thema oder Ereignis nur bei befugten Personen liegen und ebenso nur mit befugten Institutionen oder Personen im rechtlichen Rahmen geteilt werden. Ein Beispiel: In jedem Ministerium gibt es Einheiten wie Abteilungen und Direktionen mit unterschiedlichen Funktionen und Aufgaben. Alle diese Einheiten verfügen nur über Daten zu ihrem eigenen Aufgabenbereich und geben Daten nur bei Bedarf im rechtlichen Rahmen an andere Einheiten weiter oder können dies tun. Dabei dürfen keine Daten über den Bedarf und die Anfrage der anfragenden Einheit hinaus geteilt werden. So sollte es sein. Andernfalls wäre es schwierig, ja unmöglich, die Sicherheit der Daten zu gewährleisten.

Das Need-to-know-Prinzip ist von Datensicherheit und Datenintegrität nicht zu trennen. Damit Daten in der Cybersicherheit als sicher und verlässlich gelten, müssen sie drei Grundbedingungen erfüllen: Vertraulichkeit (confidentiality), Integrität (integrity) und Verfügbarkeit (availability). Wie aus diesen Definitionen hervorgeht, sind das Need-to-know-Prinzip und die Datensicherheit sehr wichtige Begriffe, die nicht nur Behörden, sondern auch das Privatleben der Menschen eng betreffen. Verletzungen der Datensicherheit können das Leben von Menschen völlig auf den Kopf stellen.

Betrachtet man die durchgesickerten Dokumente über die TÜGVA unter diesen technischen Gesichtspunkten, ist eine sehr ernste und schwerwiegende Lage klar erkennbar. Vor allem, dass sich im von der TÜGVA genutzten ERP-System Daten der Generaldirektion für Bevölkerungs- und Staatsangehörigkeitsangelegenheiten befinden, ist ein echter Skandal, und der Vorfall muss rasch untersucht und alle, denen Nachlässigkeit, Verschulden oder Fehler nachgewiesen werden, müssen vor Gericht gestellt werden.

Andererseits ist bisher nur bekannt, dass die TÜGVA über Identitäts- und Wohnsitzdaten der Bürger verfügte. Die Frage, welche weiteren Informationen die Stiftung von welchen anderen Institutionen erhalten hat oder erhält, könnte den Vorfall noch kritischer machen.

Das mit dem TÜGVA-Vorfall in die Medien gelangte ERP-System ist die im Markt gebräuchliche Abkürzung von Enterprise Resource Planning. Es ist eine Software, mit der Institutionen ihre täglichen Geschäftsprozesse steuern; sie bündelt zahlreiche Abläufe und ermöglicht den Datenfluss zwischen ihnen. So lassen sich die verschiedenen Abteilungen einer Institution aufeinander abstimmen, Prozesse verbessern und erhebliche Einsparungen erzielen. Da ein ERP-System eine gemeinsame Datenbank schafft, beseitigt es Datendopplungen und sichert die Richtigkeit der Daten. Kurz: ERP hilft, Beschäftigte, Prozesse und Technologien einer Institution zu integrieren, damit die Daten aktuell, korrekt und vollständig sind.

Ein ERP-System ist naturgemäß institutionell und gehört Institutionen. Es sollte nur Daten der Institution und der von ihr gesteuerten Prozesse enthalten. Dass sich im eigenen ERP-System einer Stiftung Daten einer anderen Behörde befinden, ist daher nicht normal. Der Vorfall lässt sich aus zwei Blickwinkeln betrachten: erstens die Verletzung der Vertraulichkeit der Daten seitens der Generaldirektion für Bevölkerungs- und Staatsangehörigkeitsangelegenheiten, zweitens die Gefährdung der Datensicherheit seitens der TÜGVA. Beides ist ein ernstes Problem. Eine staatliche Behörde (die Generaldirektion für Bevölkerungs- und Staatsangehörigkeitsangelegenheiten) hat personenbezogene Daten der Bürger mit einer Stiftung geteilt und damit das Need-to-know-Prinzip, allen voran den Grundsatz der Vertraulichkeit, verletzt.

Andererseits zeigte sich auch, dass unbekannt ist, über welche Mittel und Fähigkeiten eine private Stiftung verfügt, um die kritischen personenbezogenen Daten aller Bürger zu schützen, die sie in ihr System aufgenommen hat, und dass sie für Cyberangriffe offen ist. Auch das offenbart im Rahmen einer Risikobewertung zweifellos eine sehr bedenkliche Lage.

Geschwächte institutionelle Identitäten und die Präsenz ungeeigneter Bürokraten bilden, wie die Beispiele TÜGVA und Generaldirektion zeigen, die Grundlage für bereits geschehene und mögliche Skandale. Man kann sagen, dass die Hauptursache des Problems die Verletzung des „Need-to-know-Prinzips“ ist. Wurde dieses Prinzip also zum ersten Mal und nur bei der TÜGVA verletzt? Natürlich nicht!

Als weiteres Beispiel lässt sich hier anführen, was bei der Aufnahme von Kadetten an Kriegsakademien und Unteroffiziersfachschulen geschah. Aus jüngsten Presseberichten erfuhren wir, dass unter den Mitgliedern der Auswahlkommissionen pensionierte Offiziere, Unteroffiziere und Beamte waren. Diese Praxis wurde drei Jahre lang fortgesetzt. Als Begründung für den Einsatz von Personen außerhalb der institutionellen Hierarchie wurde der Mangel an ausgebildetem Personal nach dem 15. Juli genannt. Seltsamerweise wurde ein Putschversuch, der trotz zahlloser Prozesse nicht zur Zufriedenheit der Öffentlichkeit aufgeklärt ist, geschickt als Rechtfertigung für alle Arten von Rechtlosigkeit und schwer erklärbaren Vorgängen benutzt.

Im konkreten Fall müssen Kommissionen, die Bewerber für einen Beruf auswählen, zunächst aus erfahrenen Fachleuten bestehen, die die Feinheiten des Berufs kennen. Es genügt nicht, dass diese Fachleute nur demselben Beruf angehören. Sie müssen den Beruf auch derzeit aktiv ausüben, damit unter Berücksichtigung der aktuellen Erfordernisse eine realistische, vernünftige und angemessene Auswahl getroffen werden kann.

Es ist offensichtlich, dass das in die Kommissionen berufene pensionierte Militärpersonal und andere Beamte bei der Anwendung des Need-to-know-Prinzips, um das es in diesem Beitrag geht, Schwachstellen verursacht haben. Tatsächlich ermöglichten sie den unbefugten Zugriff auf die Daten der betreffenden Bewerber. Das gefährdete die Datensicherheit. Das Need-to-know-Prinzip wurde praktisch ignoriert, und die personenbezogenen Daten von Bewerbern der Institutionen, die Personal für die TSK ausbilden, wurden Unbefugten zugänglich gemacht. Ganz zu schweigen von unmenschlichen und unmoralischen Zuständen wie Vetternwirtschaft und Begünstigung von Bewerbern in diesen Auswahlkommissionen.