đŸ Archived View for senioradmin.de âș Einschaetzung-M365.markdown captured on 2021-12-03 at 14:04:38.
View Raw
More Information
-=-=-=-=-=-=-
---
title: "Eine kritische EinschĂ€tzung zur EinfĂŒhrung von Microsoft 365"
author: "License: CC0"
theme: "Pittsburgh"
colortheme: "crane"
fonttheme: "professionalfonts"
urlcolor: blue
fontsize: 8pt
license: CC0
header-includes: |
\usepackage{setspace}
---
# FĂŒr was diese PrĂ€sentation?
* Menschen, die von der EinfĂŒhrung von M365 betroffen sind und diese kritisch sehen
* Alle anderen, die dieses Thema interessiert
- *Die hier vorgebrachten Argumente sind solche, die gegegenĂŒber "Entscheidern" vorgebracht werden können.**
- Folgende Argumentfelder sind nicht enthalten
* Freiheit der User/Freie Software
* Ăberwachungskapitalismus
* soziale Argumentation
* ökologische Argumentation
* antikapitalistische Argumentation
- Also generell keine Argumentation aus einer ethischen Motivation heraus
---
# Ăberblick
- Motivation
- Microsoft 365 und Datenschutz
- Microsoft 365 und Vendor Lock-In
- Microsoft 365 und digitale SouverÀnitÀt
- EinfĂŒhrung Microsoft 365: Organisation
- Fragen
---
# Motivation
- Wer hat die EinfĂŒhrung von M365 beschlossen?
* Die IT
* Die IT-Leitung
* Die GeschĂ€ftsfĂŒhrung
- Wurden betroffene Personen und Abteilungen (Mitarbeiter:innen, IT, Betriebsrat) beteiligt?
- Was soll durch die EinfĂŒhrung von M365 erreicht werden?
* Kostensenkung
* Steigerung der Effizienz
* Nutzung von Synergien, weil andere Abteilungen/Schwesterfirmen schon M365 nutzen
Mögliche Fragen an die Entscheider am Ende dieser PrÀsentation
---
# DatenschĂŒtzer sehen Microsoft 365 in Behörden als nicht rechtskonform an
- Datenschutzkonferenz: Es sei "kein datenschutzgerechter Einsatz von Microsoft 365 möglich"
* fehlende Beschreibung von Art und Zweck der Verarbeitung
* es geht nicht eindeutig hervor, welche personenbezogenen Daten verarbeitet werden
* Microsoft unterliegt dem Cloud Act
* keine ausreichende Darstellung von MaĂnahmen zum Schutz von personenbezogenen Daten
* von Microsoft werden Daten, die zu eigenen Zwecken verarbeitet werden, nicht gelöscht
* fehlende Transparenz beim Einsatz von Unterauftragnehmern
* <https://www.datenschutzkonferenz-online.de/media/pr/20201030_protokoll_3_zwischenkonferenz.pdf>
* <https://www.dids.de/2020/10/26/entscheidung-der-datenschutzkonferenz-zu-ms-office-365/>
* <https://www.heise.de/news/Datenschuetzer-sehen-Microsoft-365-in-Behoerden-als-nicht-rechtskonform-an-4893604.html>
---
# Datenschutzbewertungen aus den BundeslÀndern: Berlin
- *Berliner DatenschĂŒtzerin: Rote Ampel fĂŒr Teams**
- Microsoft hat das DPA "Deutsch, Januar 2020â ohne Kennzeichnung nachtrĂ€glich umfangreich geĂ€ndert.
- Anbieter behÀlt sich die Verarbeitung von Auftragsdaten im Punkt "EigentumsverhÀltnisse" zu eigenen Zwecken
vor. Eine Rechtsgrundlage ist nicht ersichtlich
- Microsoft behÀlt sich eine Verarbeitung der Auftragsdaten an jedem Ort vor, an dem Microsoft oder seine
Unterauftragsverarbeiter tÀtig sind, also auch in den USA
- Unklar, welche Unterauftragsverarbeiter konkret wofĂŒr eingesetzt werden
- Viele Unklarheiten und WidersprĂŒche im Auftragsverar-beitungsvertrag
- UnzulÀssige Datenexporte
- DPA Januar 2020 enthÀlt an vielen Stellen Regelungen, die den gesetzlichen Mindestanforderungen widersprechen
- UnzulĂ€ssige EinschrĂ€nkungen des Rechts fĂŒr Kund:innen
- Löschpflicht nach Auftragserledigung wird stark eingeschgrÀnkt
- Unklarer AVV macht es den Verantwortlichen unmöglich, ihrer Rechenschaftspflicht nach DSGVO nachzukommen
<https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/orientierungshilfen/2021-BlnBDI-Hinweise_Berliner_Verantwortliche_zu_Anbietern_Videokonferenz-Dienste.pdf>
---
# Datenschutzbewertungen aus den BundeslĂ€ndern: Baden-WĂŒrttemberg
- *Offenbar negative Datenschutz-FolgeabschÀtzung in BW**
Kultusministerin Eisenmann hat eine Datenschutz-FolgenabschÀtzung zum Einsatz von M365 in Auftrag gegeben. Die Studie
wurde nicht veröffentlicht. Der Datenschutzbeauftragte Brink konnte sie einsehen und schrieb anschlieĂend:
"Es scheinen derzeit strukturelle Merkmale vorzuliegen, welche die Möglichkeit eines datenschutzkonformen Einsatzes
fraglich erscheinen lassen"
<https://www.badische-zeitung.de/eisenmann-setzt-auf-microsoft-plattform-fuer-schulen-und-erntet-kritik--189022089.html>
PS: Eine Datenschutz-FolgeabschĂ€tzung ist immer dann durchzufĂŒhren, wenn
"aufgrund der Art, des Umfangs, der UmstÀnde und der Zwecke der Verarbeitung
voraussichtlich ein hohes Risiko fĂŒr die Rechte und Freiheiten natĂŒrlicher Personen" besteht
---
# Problem Cloud Act
- US-Unternehmen sind verpflichtet, US-Behörden auch dann Daten zu ĂŒbergeben, wenn die Server nicht in den USA stehen
- MS versucht, dies mit AnhÀngen zu den Standardvertragsklauseln abzumildern, diese sind aber weitgehend wirkungslos
"Damit sei, so die gemeinsame Bewertung der beteiligten Datenschutzaufsichtsbehörden, die Transferproblematik
in die USA nicht generell gelöst"
- die Klauseln sehen an keiner Stelle eine Information der betroffenen Personen vor wenn Microsoft ihre personenbezogenen
Daten an Behörden von DrittlÀndern herausgibt.
- Matthias Bergt, Datenschutz-Referatsleiter in Berlin: "gigantische Masse an Nebelkerzen"
<https://www.cr-online.de/blog/2020/11/22/zusatz-zu-standardvertragsklauseln-massenweise-nebelkerzen-von-microsoft-und-manchen-datenschutz-aufsichtsbehoerden/>
---
# Teams sammelt Daten
- Eine neue Funktion zur Berechnung von "ProduktivitÀtswerten" verwandelt Microsoft 365 in ein vollwertiges
Werkzeug zur ArbeitsplatzĂŒberwachung
- Das Objekt "activityStatistics" stellt die "Zeit dar, die ein Benutzer fĂŒr verschiedene ArbeitsaktivitĂ€ten
wĂ€hrend und auĂerhalb der Arbeitszeit fĂŒr den angegebenen Zeitraum in der Anfrage verbracht hat,
von Anrufen ĂŒber Chats bis hin zu E-Mails und KalendereintrĂ€gen".
- in Workplace Analytics weist Microsoft jedem Mitarbeiter einen "Influence Score" zu, einen "numerischen Wert, der
angibt, wie gut eine Person innerhalb des Unternehmens vernetzt ist", basierend auf umfangreichen
E-Mail-, Kalender-, Anruf- und Chat-Daten.
DatenschĂŒtzer Wolfie Christl <https://twitter.com/WolfieChristl/status/1331579706349645824>
---
# Teams sammelt Daten
Microsoft hat angekĂŒndigt (noch nicht umgesetzt), diese FunktionalitĂ€t abzumildern. Ăberwacht und gespeichert werden
wird das Verhalten weiterhin, kann dann jedoch nur noch in aggregierten Ansichten zu gröĂeren Personengruppen
eingesehen werden.
Weiter werden mehr oder minder arbitrÀre Daten wie die Nutzung von Chatfunktionen herbeigezogen, um die QualitÀt von
Arbeitsergebnissen zu bewerten. Die Akzeptanz technischer Mittel wird mit Erfolg gleichgesetzt.
Es gibt ein MS-Patent auf eine Methode aufgrund von "VerÀnderung von Verhalten" Nutzer:innen mit
"Kollaborationsproblemen" zu identifizieren.
<https://netzpolitik.org/2020/microsoft-office-365-ueberwachung-des-verhaltens-angestellter-soll-beschraenkt-werden/>
---
# Microsoft Viva
Am 04.02.2021 hat Microsoft die neue Plattform "Microsoft Viva" vorgestellt, die Teil von M365 sein wird. MS Viva
besteht aus 4 Teilen:
- Viva Connections: Ein soziales Intranet
- Viva Topics: Eine Wissenssammlung
- Viva Learning: Eine Lern-Plattform
- Viva Insights:
Analyse fĂŒr das Zeitmanagement. Manager haben Zugriff auf die Zeiteinteilung von Teams. Es lassen sich Analysen
ĂŒber die Verbindungen verschiedener Arbeitsgruppen herstellen. *"Viva Insights unterstĂŒtzt Einzelpersonen und
Unternehmen mit datengestĂŒtzten Erkenntnissen und Empfehlungen. Viva Insights ermöglicht FĂŒhrungskrĂ€ften,
Entwicklungen auf der Team- und Organisationsebene zu erkennen"* Ein herunterbrechen der Analyseergebnisse
auf einzelne Mitarbeiter:innen soll fĂŒr Vorgesetzte nicht möglich sein.
Quellen:
- <https://www.golem.de/news/microsoft-teams-wird-mit-ms-viva-zum-intranet-2102-153947.html>
- <https://www.drwindows.de/news/microsoft-enthuellt-microsoft-viva-die-all-in-one-plattform-fuer-den-digitalen-arbeitsplatz>
- <https://news.microsoft.com/de-de/microsoft-stellt-neue-employee-experience-platform-microsoft-viva-vor/>
---
# Fazit Datenschutz
## **Fazit Datenschutz**
Es ist davon auszugehen, dass alles was ĂŒber die Microsoft-Online-Werkzeuge getan und verarbeitet wird bei Microsoft
gespeichert und durch Microsoft analysiert wird, denn Microsoft behĂ€lt sich die Verarbeitung von Kundendaten fĂŒr eigene Zwecke vor
Arbeitgeber erhalten - wenigstens zum Teil - Zugriff auf diese Analysen, was auch zu einer Beurteilung von Gruppen oder gar
einzelnen Mitarbeitern fĂŒhren kann. Auch wenn das herunterbrechen der Analsye auf einzelne Mitarbeiter:innen nicht möglich
sein soll - die betroffenen Personen selbst können sie einsehen und das Management könnte von Mitarbeiter:innen verlangen,
diese Daten weiterzuleiten. AuĂerdem ist es Ă€uĂerst unangenehm zu wissen, dass man von der Software, mit der
gearbeitet wird, stĂ€ndig ĂŒberwacht und analysiert wird.
Die weiterhin offenen Fragen beim Datenschutz - insbesondere, was den Transfer von Daten in die USA angeht -, die
unklaren und widersprĂŒchlichen Aussagen in den VertrĂ€gen, die unzulĂ€ssige EinschrĂ€nkung von Rechten fĂŒr Nutzer:innen,
die die DSGVO vorsieht, machen Microsoft 365 zu keinem Werkzeug, dem man sorglos Daten anvertrauen kann, von der
dadurch fehlenden Rechtssicherheit ganz zu schweigen.
---
# Microsoft 365 und Vendor Lock-In
Unter Vendor Lock-in versteht man wenn Kunden derart von den Produkten oder Dienstleistungen eines Anbieters abhÀngig
sind, dass sich der Wechsel zu einem Mitbewerber wirtschaftlich nicht rechnen wĂŒrde.
Die Gefahr des Vendor Lock-In ist um so höher je mehr Dienste eines Cloud Service Providers in Anspruch genommen werden und je
integrierter die Services sind.
Microsoft 365 bietet einen umfassend integrierten Dienst an, eine komplette SaaS-Lösung.
- *Die Gefahr des Vendor Lock-In ist hier also sehr hoch zu bewerten**
- IT-Strategen raten beim Gang in die Cloud zur Vermeidung des Vendor Lock-In zu einer Strategie, welche beinhaltet
* die Nutzung mehrerer Cloud-Anbieter parallel
* die Infrastruktur des Cloud-Anbieters lokal zu duplizieren
* die Nutzung offener Standards
* zu Vermeiden proprietÀre Elemente der Cloud zu nutzen
* auf InteroperabilitÀt und PortabilitÀt zu achten
* die Nutzung von Open-Source Software
* eine Hybrid-Cloud bzw. Hybrid-IT Strategie
* Wichtige Daten werden in einer private Cloud bzw. vor Ort im Rechenzentrum vorgehalten
* weniger wichtiges kommt in die Public Cloud
* das Planen einer Exit-Strategie vor dem Gang in die Cloud
- Siehe auch "Vendor Lock-in in the transistion to a Cloud Computing platform", Menatalla Ashraf Fawzy Kamel,
KTH Royal Institute of Technology, Stockholm, 2015*
---
# Microsoft 365 und digitale SouverÀnitat
Digitale SouverÀnitÀt bedeutet:
- selbstbestimmtes Handeln und Entscheiden von Menschen, Unternehmen und anderen Institutionen im digitalen Raum,
wobei sie die Hoheit ĂŒber ihre eigenen Sicherheits- und Datenschutzinteressen behalten sollen
- die FĂ€higkeit, die VertrauenswĂŒrdigkeit, IntegritĂ€t, VerfĂŒgbarkeit der DatenĂŒbertragung, -speicherung und -verarbeitung durchgĂ€ngig kontrollieren zu können
- die Selbstbestimmung von DateneigentĂŒmern ĂŒber die Nutzungsbedingungen fĂŒr ihre Daten
"Wer öffentliche Clouds und Plattformen nutzt, gibt digitale SouverÀnitÀt preis.
UnverschlĂŒsselt in einer von Dritten betriebenen Cloud oder Plattform gespeicherte oder verarbeitete Daten sind gegenĂŒber dem Betreiber technisch nicht geschĂŒtzt.
Ein Ausfall der Cloud/Plattform oder der notwendigen Kommunikationsdienste fĂŒhrt zu (temporĂ€rer) UnverfĂŒgbarkeit der Daten/Dienste"
"Digitale SouverĂ€nitĂ€t" - Kompetenzzentrum Ăffentliche IT - Fraunhofer-Institut fĂŒr Offene Kommunikationssysteme
- Ein Microsoft-Account kann jederzeit ohne BegrĂŒndung gesperrt werden, es wird meist nur auf die Nutzungsbedingungen verwiesen
- Auf Inhalte, die auf den betreffenden Diensten abgelegt sind, kann nicht mehr zugegriffen werden.
GĂŒnter Born: <https://www.golem.de/news/microsoft-digitale-amnesie-durch-willkuerliche-kontensperrungen-2008-150217-3.html>
---
# Bedeutung fĂŒr die Organisation
- Unweigerliche Bindung an Microsoft
- Die KomplexitĂ€t fĂŒr Nutzer wird stark erhöht, ohne Schulung werden viele mit Teams nicht zurecht kommen
- Teams wird der neue Desktop
- Viele Prozesse (z.B. Telefonieren) werden viel mehr Schritte erfordern, es wird un-intuitiver
- Prozesse mĂŒssen angepasst werden
- Upgrade und redunante Auslegeung der Internetanbindung
- Kosten?
* Fehlende Nutzerakzeptanz
* Fehlende Vorbereitung
* Mangelnde Fortbildung
Quelle: Webinar "Microsoft Teams â die ultimative Plattform fĂŒr alle?" <https://www.comconsult.com/kostenlos-microsoft-teams/>
---
# Fragen
- Wurde eine Datenschutz-FolgeabschÀtzung nach Art. 35 DSGVO vorgenommen?[1]
- Wird beabsichtigt, die Analyse-Möglichkeiten zu Beurteilung von Teams/Mitarbeiter:innen zu nutzen?
- Wie sollen Mitarbeiter:innen vor der Analyse ihres Verhaltens durch Microsoft geschĂŒtzt werden?
- Was wurde getan, um Vendor Lock-In zu vermeiden?
- Wurde eine Exit-Strategie geplant?
- Welche SicherungsmaĂnahmen gibt es, um die VerfĂŒgbarkeit zu gewĂ€hrleisten, wenn Microsoft Dienste nicht erreichbar sind
oder Konten gesperrt werden?
- Wie sieht die Gesamtstrategie aus? Gibt es einen "Masterplan"?
- Welche Alternativen zur Migration nach M365 wurden in Betracht gezogen?
- Wer wird in welchem Umfang geschult?
- Wie soll der, zumindest kurzfristige, erhöhte personelle Mehraufwand bei der Migration bewÀltigt werden?
\tiny
[1]Aufgrund einiger datenschutzrechtlicher Risiken beim Einsatz in Unternehmen muss beim Einsatz von Microsoft 365 in der
Regel im Vorfeld eine Datenschutz-FolgenabschĂ€tzung nach Art. 35 DSGVO (DSFA) durchgefĂŒhrt werden <https://www.srd-rechtsanwaelte.de/blog/dsfa-microsoft-365/>