Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

• Kurzgutachten zur Erstzerifizierung 2005

Nachfolgend finden Sie das Kurzgutachten zur Rezertifizierung des Produkts
„VISOR“ der Firma Coronic GmbH

1.         Zeitpunkt der Prüfung

Die Begutachtung zur Rezertifizierung erfolgte im Januar 2007.

2.         Adresse des Antragstellers/der Antragstellerin

Antragstellerin dieses Gutachtens ist die Firma Coronic GmbH, Kieler Innovations- und Technologiezentrum, Schauenburgerstraße 116, 24118 Kiel. Ansprechpartner ist Herr Dr. Frank Bock.

3.         Adressen des/der Sachverständigen

Sachverständige dieses Gutachtens ist die datenschutz nord GmbH, Barkhausenstr. 2, 27568 Bremerhaven. Ansprechpartner ist Herr Dr. Uwe Schläger; daneben haben Herr Günther Diederich und Herr Oliver Stutz an der Erstellung des Gutachtens mitgewirkt.

4.         Kurzbezeichnung des IT-Produktes

„VISOR“ in der Version 2.0

5.         Detaillierte Bezeichnung des IT-Produktes

Gegenstand der Begutachtung ist ausschließlich die Software „VISOR 2.0“, die die Coronic GmbH für die Online PC-Prüfung entwickelt hat und an Kunden vertreibt. Ein Betrieb der „VISOR-Plattform“ für die Kunden, der von der Coronic GmbH ebenfalls angeboten wird, ist nicht Gegenstand der Begutachtung. Vielmehr geht das Gutachten davon aus, dass die „VISOR-Plattform“ durch den Kunden betrieben wird.

Die Anwendung „VISOR“ ist als Internetapplikation konzipiert. Sie bietet potenziellen Nutzern eine Prüfsoftware zum Online-Test von Internetanschlüssen. Zur Nutzung der Anwendung sind weder persönliche Angaben zur Person erforderlich noch muss sich der Nutzer gegenüber der Anwendung authentisieren. Zugriff auf die Anwendung erhält der Nutzer über einen Standard-Browser, z.B. Microsoft Internet Explorer. Hierbei übermittelt der Test-PC per http-Protokoll seine IP-Adresse, Art der Prüfung (Basis- oder Hauptprüfung) und das verwendete Betriebssystem. Mittels 
„VISOR“ werden dann Sicherheitstests durchgeführt, die sich auf das Lokalisieren von Viren, Würmern, Spionageprogrammen oder offener Ports beziehen und folgende Einzelprüfungen umfassen:

• Ermitteln von offenen TCP- und UDP-Ports (Portscan)
• Ermitteln von aktiven Verbindungen
• Ermitteln der Sicherheitseinstellungen
• Ermitteln von Informationen über den benutzten Browser und das verwendete Betriebssystem
• Ermitteln von Netzwerkfehlern über eine Testverbindung (Null-Session)
• Ermitteln von Diensten auf dem Test-PC zur Fernadministration

Die dabei festegestellten Sicherheitslücken bzw. Schwachstellen werden den Nutzern nach Abschluss der Prüfung online im Browser-Fenster zur Verfügung gestellt. Hierbei werden neben einer Dokumentation der erkannten Fehler den Nutzern zugleich auch die entsprechenden Lösungsvorschläge zur Beseitigung der ermittelten Sicherheitslücken bzw. Schwachstellen aufgezeigt. Auf entsprechende Tools bzw. Software zum Downloaden wird der Nutzer ebenfalls hingewiesen.

6.         Tools, die zur Herstellung des IT-Produktes verwendet wurden

• Datenbank MySQL
• Web-Server Apache
• Applikationsserver Tomcat
• Ablaufumgebung Java J2SDK

7.         Zweck und Einsatzbereich

Bei dem zu begutachtenden IT-Produkt „VISOR“ handelt es sich um eine webbasierte Anwendung, die dem Zeck dient, Sicherheitslücken bzw. Schwachstellen auf einem lokalen PC festzustellen und Lösungsvorschläge zur Abstellung derselben zu unterbreiten. Das Vertrauen eines Nutzers in die Sicherheit seines Computers wird gestärkt und die Akzeptanz von Internetangeboten erhöht und insbesondere zur Abwicklung von Transaktionen wie z.B. Bank- und Versicherungsgeschäften oder das Einreichen von Formularen über das Internet gefördert. Dementsprechend kann das IT-Produkt „VISOR“ u.a. auch als vertrauensbildende Maßnahme im Bereich e-Government von Behörden eingesetzt werden.

Der rechtliche Rahmen zur Entwicklung eines Anforderungsprofils besteht aus der Datenschutzauditverordnung Schleswig-Holstein (DSAVO), dem Bundesdatenschutzgesetz (BDSG), dem Landesdatenschutz­gesetz Schleswig-Holstein (LDSG-SH), dem Teledienstegesetz (TDG) und dem Teledienstedatenschutzgesetz (TDDSG). Die Veränderungen der rechtlichen Rahmenbedingungen wurden überprüft, es ergab sich kein Bedarf an einer Änderung des Anforderungsprofils, das der Erstzertifizierung zugrunde lag.

8.         Modellierung des Datenflusses

Für die Daten, die in der Anwendung „VISOR“ gespeichert werden, lassen sich ausschließlich Nutzungsdaten als Datenart (Datenart A) identifizieren. Hierbei handelt es sich um Daten, die im Rahmen des Teledienstes erhoben und verarbeitet werden.

9.         Version des Anforderungskatalogs, die der Prüfung zugrunde gelegt wurde

Version 1.2

10.       Zusammenfassung der Prüfungsergebnisse

Das Produkt „VISIOR“ dient der Feststellung von Sicherheitslücken und Schwachstellen auf einem lokalen PC. Durch die im Rahmen der Online-Prüfung aufgedeckten Sicherheitslücken und den entsprechenden Verbesserungsvorschlägen wird der Anwender in die Lage versetzt, sein System so zu schützen, dass er für seine lokal gespeicherten und lokal verarbeiteten Daten einen entsprechenden Grad an Vertraulichkeit nach „außen“ (Internet) sicherstellen kann.
Die in „VISOR“ implementierten Sicherheitsmechanismen gewähren zusammen mit einer sicheren Einsatzumgebung (u.a. OpenSLL) die Integrität und Vertraulichkeit der vom Server auf den Test-PC übertragenen Prüfergebnisse. Die Prüfergebnisse selbst werden über den Selbsttest hinaus nicht personenbezogen auf dem VISOR-Server gespeichert. Auch die IP-Adresse des Test-PC wird durch eine Session-ID ersetzt, die keinerlei Personenbezug aufweist.
Durch den Test wird die Sicherheit des Test-PC nicht gefährdet, da auf dem lokalen PC weder aktive Inhalte ausgeführt werden noch eine Verbindung vom „VISOR-Server“ zum Test-PC aufgebaut wird. 
Die zur Verfügung gestellten Produktunterlagen sind verständlich und aussagekräftig.
Das Produkt „VISOR“ entspricht daher in vollem Umfang den gesetzlichen Anforderungen. Die verwendeten technischen Lösungen ermöglichen die Umsetzung der gesetzlichen Vorgaben.

Nr.	Anforderungsprofil	Bewertung / Kommentar
Datenart A: Benutzerdaten (Primärdaten)
A1	Produktbeschreibung	verständlich und aussagekräftig
A2	Datensparsamkeit / Datenvermeidung	in vollem Umfang umgesetzt
A3	Zulässigkeit der Datenverarbeitung	zulässig
A4	Authentizität des „VISOR“-Servers	in vollem Umfang sichergestellt
A5	Integrität der übermittelten Prüfergebnisse	in vollem Umfang sichergestellt
A6	Vertraulichkeit der übermittelten  Prüfergebnisse	in vollem Umfang sichergestellt
A7	Vertraulichkeit lokal gespeicherter Daten	in vollem Umfang sichergestellt
A8	Revisionsfähigkeit des Systems	in pseudonymisierter Weise  sichergestellt
A9	Unterrichtung der Betroffenen	in vollem Umfang sichergestellt

Die für einzelne Produktteile durchgeführten Aktualisierungen werden nachvollziehbar dokumentiert, die Produktkomponenten entsprechen dem zum Zeitpunkt der Prüfung aktuellen Stand der Technik. Dies gilt insbesondere für die eingesetzte Verschlüsselungstechnik, so dass festgestellt werden konnte, dass das in seinen Bestandteilen und Konfigurationen unveränderte Produkt weiterhin dem Stand der Technik ent­spricht. Dies gilt insbesondere für die verwendete SSL-Verbindung.

11.       Beschreibung, wie das IT-Produkt den Datenschutz fördert

Die Anwendung „VISOR“ zeichnet sich datenschutzrechtlich dahingehend besonders aus, dass im Rahmen der Nutzung von „VISOR“ keinerlei personenbezogene Daten eingegeben werden müssen und die vom Test-PC übermittelte IP-Adresse nach Beendigung der Prüfung automatisch durch eine durch die Anwendung generierte Session-ID ersetzt wird, wodurch eine Anonymisierung der Daten gewährleistet wird. Eine Rückverfolgung auf einen Nutzer des PC-Tests wird hiermit ausgeschlossen. 
Des Weiteren ist hervorzuheben, dass die Prüfergebnisse und Lösungsvorschläge verschlüsselt per SSL zwischen der „VISOR“-Plattform und dem Test-PC übermittelt werden, so dass das Abhören durch unbefugte Dritte ausgeschlossen werden kann.