Sicherheit von Software und Systemen?
Das BSI ist, betreibt oder unterstützt die Allianz für Cybersicherheit – was genau zutrifft erschließt sich mir aus dem Webauftritt nicht wirklich. Am 21.03.2021 habe ich ein Sicherheitsproblem mit einer Praxissoftware an <<E-Mail-Adresse>> gemeldet, in der Hoffnung eine Antwort zu bekommen.
In Deutschland gibt es die DSGVO und die enthält Vorschriften an die sich Verantwortliche und Auftragsverarbeiter halten müssen. Es gibt aber meines Wissens keine Sicherheitsvorschriften für Software- oder Systemlieferanten, und so kann sich ein Anbieter mit mangelhafter Software halten, insbesondere wenn deren Kunden – wie in diesem Fall Psychotherapeuten – typischerweise wenig bis gar keine Kenntnisse auf dem Gebiet der IT-Sicherheit haben.
Nicht dass ich wirklich ein Fan des BSI Grundschutzes wäre, dafür lässt der zu viele Fragen offen, aber hier sehe ich ganz klar CON.8 A8 als nicht erfüllt an.
Bestehen Überlegungen oder Pläne das zu ändern, und eine Zertifizierung von Mindestsicherheitsanforderungen einzuführen? Die könnte vielleicht zu einer Marktbereinigung bei unseriösen – und anders kann ich das nicht nennen – führen. Oder gibt es beim BSI Evaluationen, welche oder wie viele Anbieter hier schludern?
Leider kann ich hier keine Kopie meiner Mail vom 21.03.2021 anhängen, und vielleicht ist das auch gut so um nicht die falschen Personen zu animieren, die Probleme auszunutzen. Wenn Sie diese Mail nicht finden, teilen Sie mir bitte eine Emailadresse mit, an die ich sie nochmal senden soll.
Ergebnis der Anfrage
Mal sehen ob das BMI noch etwas antwortet. Feststellen kann ich immerhin, dass zumindest kleine Unternehmen den Anbietern ausgeliefert sind. Woher soll ein kleines Unternehmen die Expertise haben, zu beurteilen ob die eingesetzten Systeme oder die eingesetzte Software sicher ist. Die Auswahl findet meist über Funktionen statt, die für den Anwender wichtiger sind - und oft auch über den Preis.
Dabei stelle ich immer wieder fest, dass der Stand der Technik ignoriert wird. Aber dazu muss man das Kleingedruckte von Verträgen lesen und Software selbst unter die Lupe nehmen. Wer kann das schon? Und welche Alternativen hat man, wenn man feststellt dass die meisten Auftragsverarbeitungsverträge oder Produktbeschreibungen sehr lückenhaft sind?
Anfrage eingeschlafen
Warte auf Antwort
-
Datum1. August 2021
-
4. September 2021
-
0 Follower:innen
Ein Zeichen für Informationsfreiheit setzen
FragDenStaat ist ein gemeinnütziges Projekt und durch Spenden finanziert. Nur mit Ihrer Unterstützung können wir die Plattform zur Verfügung stellen und für unsere Nutzer:innen weiterentwickeln. Setzen Sie sich mit uns für Informationsfreiheit ein!