Microsoft Office und Datenschutz

Die Privacy Company hat im Auftrag des niederländischen Ministeriums für Sicherheit und Recht eine Datenschutz-Folgenabschätzung (DSFA) für Microsoft Office ProPlus durchgeführt.
Der Schwerpunkt der DSFA lag dabei auf der Betrachtung von sogenannten Diagnosedaten in denen personenbezogenen Daten enthalten sein können, die bei einer lokalen Installation und Nutzung der Office-Software im Zusammenspiel mit den Office 365 Services erzeugt und verarbeitet werden.
Eine detaillierte Abgrenzung und Definition von Diagnosedaten kann dem Bericht entnommen werden, der hier zur Verfügung steht.

In Office ist eine Komponente integriert, die regelmäßig Telemetriedaten an die Server von Microsoft in den USA überträgt. Dabei werden beispielsweise auf Events basierende Daten gesendet, wie ganze Sätze vor und nach einzelnen Wörtern im bearbeiteten Text, die der Nutzer mit der Online-Rechtschreibprüfung oder dem Übersetzungsdienst nachgeschlagen hat. Oder aber wenn der Nutzer die Rücktaste mehrmals hintereinander verwendet, was darauf hindeutet das die korrekte Schreibweise des Wortes unbekannt ist.

Nach eigenen Aussagen von Microsoft werden 23.000 bis 25.000 unterschiedliche Events in der Software getrackt und zur Untersuchung an die Server des Unternehmens übertragen.
Neben den Telemetriedaten wird von Microsoft zusätzlich auch die Nutzung von Connected Services (z.B. Übersetzungsdiensten) protokolliert. Dazu kann Microsoft die personenbezogenen Daten über diese Nutzung in systemseitig generierten Ereignisprotokollen speichern.

Microsoft hat zwar Nachbesserungen zugesagt, wie die Bereitstellung eines Tools zur Betrachtung von Telemetriedaten und einer Einstellmöglichkeit in Office, die den Datenabfluss verhindern soll (Zero Exhaust). Bis dahin bestehen allerdings die genannten Datenschutz-Risiken für die Nutzer der Software. Und es bleibt abzuwarten wie es um die Wirksamkeit der angekündigten Maßnahmen bestellt ist.

Die durchgeführte DSFA betrachtet lediglich die Datenschutz-Risiken, die für die von der Verarbeitung betroffenen Personen bestehen. Man sollte aber bedenken das es neben den von der DSFA betrachteten Risiken für personenbezogenen Daten weitere Bereiche gibt wo es um Informationen mit hoher Vertraulichkeit geht, wie beispielsweise Firmengeheimnisse, Berufsgeheimnisse und staatlicher Geheimschutz. Auch hier ergeben sich anlassbezogen möglicherweise erhebliche Risiken, die man berücksichtigen und bewerten muss.

Bis zur Verfügbarkeit der Zero-Exhaust-Einstellungsmöglichkeit in Microsoft-Office kann man nur sehr eingeschränkt die Risiken abschwächen. Die Privacy Company rät zu folgenden Maßnahmen um die Risiken zumindest zu mildern:

• Keine Nutzung von Connected Services (Nutzung vermeiden oder untersagen)
• Datenübertragung zur Verbesserung von Office generell untersagen
• SharePoint Online / OneDrive nicht benutzen
• Reine Web-Version von Office 365 nicht nutzen
• Regelmäßiges Löschen und Neuanlegen des Active-Directory-Kontos von Benutzer, um sicherzustellen, dass Microsoft die historischen Diagnosedaten löscht.

Somit bleibt im Moment nur der konsequente Verzicht auf den Einsatz von Microsoft Office, wenn man sicher gehen will die oben genannten Risiken für sensible und vertrauliche Daten auszuschließen. Oder zu prüfen welche Möglichkeiten bestehen alternative Office-Software zur Verarbeitung sensibler Daten zu nutzen, wie zum Beispiel LibreOffice.

Es bleibt also spannend zu beobachten wie sich Software-Hersteller und Service-Anbieter zukünftig gegenüber den Nutzern in Bezug auf Transparenz und Datenschutz Ihrer angebotenen Lösungen und Produkte aufstellen.

29 Nov 2018
Datenschutz Microsoft Office DSFA Risiko
Autor: dirk-groesser