Datenschleuder Windows 10
Ist der Firmeneinsatz von Windows 10 legal?

Hannover, 27. Oktober 2016 – Windows 10 übermittelt viele detaillierte Informationen über die Systemnutzung an die US-Server von Microsoft. Ein juristisches Nachspiel hierzu ist nicht ausgeschlossen, schreibt das IT-Profimagazin iX in seiner aktuellen Ausgabe 11/16. Denn das „Ausplaudern“ könnte nicht nur mit dem Bundesdatenschutzgesetz kollidieren, sondern auch mit Betriebsverfassungsgesetz.

Schon die aggressiven Umstiegsaufforderungen, in deren Rah­men ohne Zustimmung des Benutzers Software auf dem Rech­ner installiert wurde, hatten die Verbraucherschützer auf den Plan gerufen. Nicht zu reden von dem Wust an Daten­übermittlung, den die Zwangsregistrierung mit sich brachte.

Damit nicht genug: Der Einsatz der Datenschleuder Windows 10 könnte jetzt nicht nur Microsoft in die Bredouille bringen, sondern auch die Unternehmen, die Windows 10 einsetzen. „Während bei Verstößen gegen das Datenschutzgesetz der Hersteller, also Microsoft, die Konsequenzen tragen muss, hätten bei Verstößen gegen das Betriebsverfassungs­gesetz die Unternehmen den schwarzen Peter“, sagt Lukas Grunwald, langjähriger iX-Autor und CEO sowie Sicherheitsexperte der Firmen Greenbone und DN-Systems. Es stellt sich hier die Frage, ob eine so weitgehende Erfassung und Übermittlung von Arbeitnehmerdaten deutschen Gesetzen entspricht oder nicht mindestens der Zustimmung des Betriebsrates bedürfte.

Grunwald hat die Datenübermittlung sehr genau untersucht und festgestellt, dass die Datenübertragung keinesfalls den üblichen Sicherheitsstandards Genüge trägt. So wird das Passwort ohne Zertifikat-Pinning übertragen, sodass jeder mit einer Man-in-the-Middle-Attacke das nicht gehashte Passwort mitlesen kann

„Unschön auch, dass diese Geschwätzigkeit voreingestellt ist und man sie in den Endbenutzerversionen nicht abstellen kann“, so Grunwald. Ob die gebotenen Konfigurationsmöglichkeiten einen datenschutzkonformen Firmeneinsatz von Windows 10 überhaupt gestatten, prüft derzeit das für Microsoft Deutschland zuständige Bayerische Landesamt für Datenschutzaufsicht. Es wäre nicht erstaunlich, wenn es für eine endgültige rechtliche Einschätzung auch wieder einmal eines Gerichtsverfahrens bedürfte.

Von Microsoft selbst hat das iX-Magazin dazu bis Redaktionsschluss keine Stellungnahme zu bekommen.