Pressemitteilung der Landesbeauftragten für den Datenschutz Niedersachsen vom 17.02.2021
Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat gegenüber dem Niedersächsischen Innenministerium eine Beanstandung des polizeilichen Messengers NIMes ausgesprochen. Die LfD bemängelt vor allem, dass der Messenger auf privaten mobilen Endgeräten der Polizistinnen und Polizisten betrieben wird. Dieser Ansatz des „Bring your own device“ (BYOD) bringt Risiken und Gefährdungen mit sich, denen die Polizei bislang nur mit unzureichenden Sicherungsmaßnahmen begegnet.
„Die fehlende Kontrolle des Dienstherrn über die privaten Geräte der Beamtinnen und Beamten führt zu einem inakzeptablen Risiko für den Betrieb dieses hoch schutzbedürftigen Messenger-Dienstes“, sagt die Landesdatenschutzbeauftragte Barbara Thiel. In NIMes werden personenbezogene Daten bis einschließlich Schutzstufe D des Schutzstufenkonzepts der LfD Niedersachsen verarbeitet. Dies ist die zweithöchste Stufe auf der 5-teiligen Skala, bei der von A bis E die Schwere des möglichen Schadens für die Betroffenen zunimmt. Stufe D umfasst Daten, deren unsachgemäße Handhabung den Betroffenen in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigen könnte.
„Durch den BYOD-Ansatz ist im laufenden Betrieb eine unüberschaubare Kombination von verschiedenen Geräten, Betriebssystemen, sonstiger Software und Konfigurationen im Einsatz“, kritisiert Barbara Thiel. „Gleichzeitig ist der jeweilige Anwender dafür verantwortlich, sein privates Endgerät vor Schadprogrammen zu schützen. Das wird dem Schutzbedarf der bedrohten Daten in keiner Weise gerecht.“ Die Übertragung von Text-, Bild-, Ton- und Standortdaten kann theoretisch jederzeit durch Schadsoftware angegriffen werden, ohne dass Dienstherr oder Anwender es bemerken. Ein privates Endgerät mit NIMes ist so vom Grundsatz nicht wesentlich besser geschützt als jedes herkömmliche Smartphone mit halbwegs aktuellem Betriebssystem. Zwar führt die Polizei bei NIMes-Anwendern anlasslose Kontrollen durch, doch auch diese helfen durch das BYOD-Prinzip nicht weiter, da private Geräte explizit davon ausgenommen sind.
„Ich verstehe, dass ein Messenger die Arbeit der Polizei erleichtert“, sagt Barbara Thiel. „Darüber hinaus schätze ich NIMes als datenschutzfreundlicher ein als einen kommerziellen Messenger-Dienst. Die Beanstandung richtet sich also ausdrücklich nicht gegen den Dienst selbst. Nun muss das Innenministerium aber noch den entscheidenden Schritt machen, nämlich die Polizistinnen und Polizisten endlich flächendeckend mit dienstlichen Geräten auszustatten.“ Alternativ könnte auf den privaten Smartphones verpflichtend ein sogenanntes „Mobile Device Management“ aufgesetzt werden. Dies würde aber voraussetzen, dass ausnahmslos alle Beamtinnen und Beamten, die NIMes verwenden, dieser Veränderung an ihrem Privateigentum ohne Bedingung zustimmen.
Verbieten kann die LfD Niedersachsen der Polizei den Einsatz von NIMes auf privaten mobilen Endgeräten nicht, da ihr dafür die nötigen Befugnisse fehlen. Zur nun ausgesprochenen Beanstandung ist das Innenministerium gemäß der gesetzlichen Vorgabe zur Stellungnahme aufgefordert worden.
