Risikobasierte Regulierung der IT-Sicherheit von Produkten

Maximilian Leicht

doi:10.5771/9783800597956

Zusammenfassung

Vernetzte Produkte sind fester Bestandteil des beruflichen wie privaten Alltags – zugleich sind sie einer zunehmenden Bedrohung durch Cyberangriffe ausgesetzt. Die IT-Sicherheit solcher Produkte ist deshalb keine rein technische, sondern auch eine regulatorische Herausforderung. Erforderlich ist daher eine interdisziplinäre Herangehensweise, die in Wissenschaft und Praxis bisher jedoch nur vereinzelt vorzufinden ist. Das vorliegende Werk adressiert dieses Defizit. Am Beispiel von Smart-Home-Geräten werden die einschlägigen rechtlichen Anforderungen an die IT-Sicherheit von Produkten analysiert und mit konkreten technischen Maßnahmen verknüpft. Die Schwerpunkte des Werks liegen in der Untersuchung der rechtlichen Anforderungen an technische Schutzmaßnahmen aus der Datenschutz-Grundverordnung, dem Cyber Resilience Act, dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, dem Gesetz zum Schutz von Geschäftsgeheimnissen sowie dem Funkanlagengesetz. Im Rahmen des interdisziplinären Ansatzes wird auch aktuelle Literatur aus der Informatik vertieft berücksichtigt, insbesondere Forschungsarbeiten zum technischen Datenschutz und zu IT-Sicherheitsrisiken sowie zu korrespondierenden Schutzmaßnahmen. Die Analyse zeigt ein neues Verständnis des Verhältnisses der im Kern risikobasierten Normen auf, das die methodische Begründung für in der Praxis nutzbare Synergieeffekte ermöglicht. Mittels der auf dieser Basis entwickelten interdisziplinären Ansätze zur Verknüpfung konkreter Schutzmaßnahmen mit einzelnen rechtlichen Anforderungen wird die praktische Rechtsanwendung erheblich erleichtert.

Schlagworte

Publikation durchsuchen

Bibliographische Angaben

Erscheinungsjahr: 2025
Erscheinungsdatum: 13.05.2025
ISBN-Print: 978-3-8005-1981-1
ISBN-Online: 978-3-8005-9795-6
Verlag: dfv Mediengruppe, Frankfurt am Main
Reihe: Kommunikation & Recht
Sprache: Deutsch
Seiten: 277
Produkttyp: Monographie

Inhaltsverzeichnis

KapitelSeiten

Titelei/Inhaltsverzeichnis Kein Zugriff Seiten I - XXI
Einleitung Kein Zugriff Seiten 1 - 2
1. A. Ausgangsüberlegungen zu Inhalt, Methodik und Motivation Kein Zugriff
2. 1. I. Datenschutzrechtliche Fragestellungen Kein Zugriff
  2. II. GeschGehG Kein Zugriff
  3. III. Datenschutz bei digitalen Diensten Kein Zugriff
  4. IV. Regulierung von Produkten Kein Zugriff
  5. V. Übersicht der untersuchten Regelungen Kein Zugriff
3. 1. I. Begriffsverständnis: Risikoregulierung oder risikobasierte Regulierung Kein Zugriff
  2. II. Risikobasierte Regulierung der IT-Sicherheit von Produkten Kein Zugriff
  3. 1. 1. Parallelen zum Umweltrecht Kein Zugriff
    2. 2. Folgerungen für die vorliegende Untersuchung Kein Zugriff
  4. 1. 1. Risikobegriffe Kein Zugriff
    2. 2. Quantifizierbarkeit von Risiko Kein Zugriff
    3. 3. Fazit Kein Zugriff
1. A. Einführung Kein Zugriff
2. 1. 1. 1. Smart-Home-Zentralen Kein Zugriff
    2. 2. Smart TVs Kein Zugriff
    3. 3. Digitale, cloudbasierte Sprachassistenten Kein Zugriff
    4. 4. Übersicht der Produktkategorien und ihre Einbindung in das Netzwerk Kein Zugriff
  2. II. Übersicht der Akteure Kein Zugriff
3. 1. 1. 1. Differenzierung nach Phasen der Datenverarbeitungen Kein Zugriff
    2. 1. a. Grundbegriffe Kein Zugriff
      2. b. Konkrete Beispiele verschiedener Angriffe und Angriffsziele Kein Zugriff
  2. II. Einsatzszenarien Kein Zugriff
1. 1. I. Datenschutzrechtliche Verantwortlichkeit Kein Zugriff
  2. 1. 1. a. Persönliche und familiäre Tätigkeiten Kein Zugriff
      2. b. Zwischenergebnis Kein Zugriff
    2. 1. a. Verantwortlichkeit der Akteure bei Vorliegen der Haushaltsausnahme Kein Zugriff
      2. b. Verantwortlichkeit der Akteure bei Nutzern innerhalb der Anwendbarkeit der DSGVO Kein Zugriff
2. 1. I. IT-Sicherheit als zentraler Bestandteil des normativen Charakters der DSGVO Kein Zugriff
  2. 1. 1. a. Angemessenes Schutzniveau, Art. 32 Abs. 2 DSGVO Kein Zugriff
      2. (aa) Bestimmung des Begriffs Stand der Technik Kein Zugriff
        (bb) Bestimmung des Stands der Technik Kein Zugriff
        (2) Implementierungskosten Kein Zugriff
        (3) Art, Umfang, Umstände, Zwecke der Verarbeitung Kein Zugriff
        (4) Eintrittswahrscheinlichkeit Kein Zugriff
        (5) Schwere des Risikos für Rechte und Freiheiten natürlicher Personen Kein Zugriff
    2. 1. a. Zum Risikobegriff der DSGVO Kein Zugriff
      2. b. Quantifizierung von Risiko i. S. d. DSGVO Kein Zugriff
      3. c. Mögliche Elemente zur Strukturierung der Risikobewertung Kein Zugriff
      4. d. Fazit und Bewertung Kein Zugriff
    3. 1. (1) Pseudonymisierung und Verschlüsselung (lit. a) Kein Zugriff
        (2) Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste (lit. b) Kein Zugriff
        (3) Verfügbarkeit der – und Zugang zu – personenbezogenen Daten (lit. c) Kein Zugriff
        (4) Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit (lit. d) Kein Zugriff
        (5) Zwischenergebnis Kein Zugriff
      2. b. Verhaltensregeln und Zertifizierungen als Konkretisierungsinstrumente der DSGVO Kein Zugriff
      3. c. Weitere Zertifizierungen als Konkretisierung Kein Zugriff
      4. d. Interdisziplinäre Ansätze zur Konkretisierung Kein Zugriff
      5. e. Konkretisierung technischer Maßnahmen mit dem sog. Standard-Datenschutzmodell Kein Zugriff
      6. f. Fazit Kein Zugriff
  3. 1. 1. a. Zielrichtung und Verhältnis zu Art. 32 DSGVO Kein Zugriff
      2. b. „Garantien“ Kein Zugriff
      3. c. Ansätze zur Ableitung konkreter technischer Schutzmaßnahmen Kein Zugriff
    2. 2. Art. 25 Abs. 2 DSGVO – Privacy by Default Kein Zugriff
    3. 3. Fazit Kein Zugriff
3. C. Zentrale Ergebnisse und Thesen des Kapitels Kein Zugriff
1. A. Begriff des IT-Sicherheitsrechts i. w. S. Kein Zugriff
2. 1. 1. 1. a. Subjektiv-erwartungsorientierte Betrachtung der Angemessenheit Kein Zugriff
      2. b. Wirtschaftlicher Wert als Kriterium Kein Zugriff
    2. 2. Fazit Kein Zugriff
  2. II. Vergleich auf sekundärer Ebene Kein Zugriff
  3. III. Zwischenergebnis Kein Zugriff
  4. IV. Spezifische Aspekte des Smart Home Kein Zugriff
3. 1. I. Änderungen durch das Durchführungsgesetz zum Digital Services Act Kein Zugriff
  2. II. Zum Verhältnis von TDDDG, ePrivacy-RL und DSGVO Kein Zugriff
  3. 1. 1. Anbieter von digitalen Diensten im Smart Home Kein Zugriff
    2. 2. Digitale Dienste im Smart Home Kein Zugriff
    3. 1. a. § 19 Abs. 1–3 TDDDG Kein Zugriff
      2. b. § 19 Abs. 4 TDDDG Kein Zugriff
    4. 1. a. Föderierte Lernsysteme Kein Zugriff
      2. b. Sicherheitsupdates Kein Zugriff
      3. c. Verwendung von Drittanbieterapps Kein Zugriff
      4. d. Rechtfertigung nach § 25 Abs. 2 TDDDG Kein Zugriff
    5. 5. Fazit Kein Zugriff
  4. IV. Telekommunikationsrecht Kein Zugriff
4. 1. 1. 1. Schutz personenbezogener Daten und der Privatsphäre (Art. 3 Abs. 3 lit. e RED) Kein Zugriff
    2. 2. Schutz des Netzes (Art. 3 Abs. 3 lit. d RED) Kein Zugriff
    3. 3. Smart-Home-Geräte als „mit dem Internet verbundene Funkanlagen“ Kein Zugriff
    4. 4. Anforderungen die zu treffenden Sicherheitsvorkehrungen Kein Zugriff
  2. 1. 1. a. Abgrenzung: Grundsätzlich keine Anwendbarkeit des CRA auf Software-as-a-Service Kein Zugriff
      2. b. Smart-Home-Geräte als wichtige Produkte mit digitalen Elementen Kein Zugriff
    2. 1. a. Explizit geregeltes Verhältnis zur DSGVO Kein Zugriff
      2. b. Weitere Fragestellungen im Verhältnis CRA zu DSGVO Kein Zugriff
5. 1. I. Regulierung von Einrichtungen in kritischen Sektoren (NIS-2-RL) Kein Zugriff
  2. II. Regulierung virtueller Assistenten und Betriebssysteme im DMA Kein Zugriff
6. F. Zentrale Ergebnisse und Thesen des Kapitels Kein Zugriff
1. 1. I. Systematisierung durch Verknüpfung mit Schutzzielen Kein Zugriff
  2. 1. 1. Vergleichsmaßstab für Verknüpfungen Kein Zugriff
    2. 2. Erläuterung der festgestellten Verknüpfungen Kein Zugriff
    3. 3. Fazit Kein Zugriff
  3. III. Zusammenführung in kombinierter Risiko- und Folgenabschätzung Kein Zugriff
  4. IV. Zwischenergebnis Kein Zugriff
2. 1. 1. 1. Mögliche Risiken und entsprechende Schutzmaßnahmen Kein Zugriff
    2. 2. Verknüpfung mit rechtlichen Anforderungen und Synergieeffekte Kein Zugriff
  2. 1. 1. Mögliche Risiken und entsprechende Schutzmaßnahmen Kein Zugriff
    2. 2. Verknüpfung mit rechtlichen Anforderungen und Synergieeffekte Kein Zugriff
  3. 1. 1. Mögliche Risiken und entsprechende Schutzmaßnahmen Kein Zugriff
    2. 2. Verknüpfung mit rechtlichen Anforderungen und Synergieeffekte Kein Zugriff
3. C. Zentrale Ergebnisse und Thesen des Kapitels Kein Zugriff
Kapitel 6 – Fazit und Ausblick Kein Zugriff Seiten 251 - 253
Literaturverzeichnis Kein Zugriff Seiten 255 - 276
Anmerkungen zur Zitierweise Kein Zugriff Seiten 277 - 277