{"id":265335,"date":"2022-05-14T00:40:03","date_gmt":"2022-05-13T22:40:03","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=265335"},"modified":"2022-05-14T10:06:39","modified_gmt":"2022-05-14T08:06:39","slug":"statistisches-bundesamt-hostet-seinen-zensus-2022-ber-cloudflare","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2022\/05\/14\/statistisches-bundesamt-hostet-seinen-zensus-2022-ber-cloudflare\/","title":{"rendered":"Statistisches Bundesamt hostet seinen Zensus 2022 über Cloudflare"},"content":{"rendered":"

\"SicherheitAb Sonntag, den 15. Mai 2022, l\u00e4uft eine neue \"Volksz\u00e4hlung\" in Deutschland, der Zensus 2022, bei dem eine Bev\u00f6lkerungs-, Geb\u00e4ude- und Wohnungsz\u00e4hlung erfolgt. Ich habe die Tage bereits einen entsprechenden Fragebogen per Post erhalten und soll die notwendigen Daten in einer Webseite Zensus 2022 <\/em>eintragen. Das Statistische Bundesamt (Destatis), welches diesen Zensus 2022 durchf\u00fchrt, erkl\u00e4rt zwar, dass man den Datenschutz ernst nehme. Aber die Formulare und Webseiten werden \u00fcber die US-Dienst Cloudflare gehostet bzw. es ist ein entsprechender Redirekt eingerichtet.<\/p>\n

<\/p>\n

Der Zensus 2022<\/h2>\n

\"\"Der \"Zensus 2022<\/a>\" ist eine Bev\u00f6lkerungs-, Geb\u00e4ude- und Wohnungsz\u00e4hlung, den die statistischen \u00c4mter des Bundes<\/a> und der L\u00e4nder<\/a> auf Grund der Vorgaben der Europ\u00e4ischen Union, im Jahr 2011 beginnend, durchf\u00fchren. Die Erfassung w\u00e4re eigentlich bereits 2021 erforderlich gewesen (Ablauf der 10 Jahres-Frist f\u00fcr den Zensus), wurde aber wegen der Coronavirus-Pandemie um ein Jahr verschoben. Die Erhebung f\u00fcr den Zensus startet am 15. Mai 2022 (Zensusstichtag).<\/p>\n

Ein Leserhinweis auf Ungereimtheiten<\/h2>\n

Blog-Leser Michael V. hat mich vor einigen Stunden per Mail kontaktiert und mich \u00fcber einige Ungereimtheiten im Umfeld dieser Zensus 2022-Erhebung aufmerksam gemacht. Michael schrieb:<\/p>\n

\n

bin bei Mike Kuketz auf diese Meldung gesto\u00dfen: Zensus 2022: Statistisches Bundesamt hostet bei Cloudflare<\/a> <\/p>\n

Ich jedenfalls finde das h\u00f6chst bedenklich, k\u00f6nntest Du das Thema vll auch bei Dir mal aufgreifen und damit Deine Leserschaft informieren bzw. sensibilisieren? <\/p>\n<\/blockquote>\n

Mike Kuketz weist in seinem oben verlinkten Beitrag darauf hin, dass das Statistische Bundesamt seine Webseiten zur Durchf\u00fchrung des Zensus 2022 \u00fcber den Anbieter Cloudflare ausliefert bzw. hostet. Bei Cloudflare handelt es sich um ein US-Unternehmen, welches gerne zur Auslieferung von Webseiten oder als Redirect zur Abwehr von DDoS-Angriffen verwendet wird. <\/p>\n

Einige Details<\/h2>\n<\/p>\n

Die an der Erhebung Beteiligten haben per Post eine Aufforderung bekommen, mit Hilfe der im Brief mitgeteilten Zugangsdaten ihre Mitteilungen m\u00f6glichst online \u00fcber die Webseite www.zensus2022.de<\/a> zu t\u00e4tigen. Dort wird ein Online-Fragebogen samt der Anmeldeseite bereitgestellt. <\/p>\n

\"Webseite<\/a><\/p>\n

Beim Aufruf der Webseite erscheint ein Cookie-Hinweis samt Schaltfl\u00e4che zum Schlie\u00dfen. Dort findet sich auch ein Link in diese Datenschutzerkl\u00e4rung<\/a> des Statistischen Bundesamts, welches dort erkl\u00e4rt:<\/p>\n

\n

Das Statistische Bundesamt nimmt den Schutz Ihrer Privat- und Pers\u00f6nlichkeitssph\u00e4re ernst und beachtet die datenschutzrechtlichen Bestimmungen. Ihr Vertrauen ist uns wichtig!<\/strong> <\/p>\n

Mit diesen Hinweisen kommen wir auch unseren Informationspflichten nach Artikel 13 der Datenschutz-Grundverordnung (DS-GVO) bei der Erhebung personenbezogener Daten nach. Personenbezogene Daten erheben wir beim Zugriff auf unser Internet-Angebot. <\/p>\n

Wir haben technische und organisatorische Ma\u00dfnahmen getroffen, die sicherstellen, dass die Vorschriften \u00fcber den Datenschutz sowohl von uns als auch von unseren Dienstleistern beachtet werden.<\/p>\n<\/blockquote>\n

Nach dem obigen Hinweis des Blog-Lesers habe ich dann mal die URL der Webseite www.zensus2022.de<\/a> beim Qualsys SSL-Test<\/a> eingegeben und erhielt die folgenden Daten: <\/p>\n

\"
www.zensus2022.de-Check bei Qualsys SSL-Test <\/p>\n

Die IP-Adresse 141.101.90.2 <\/em>habe ich dann bei who.is<\/a> \u00fcberpr\u00fcft. Der IP-Adressbereich, in dem die obige IP liegt, wurde vom RIPE Network Coordination Centre<\/a> (RIPE) in Amsterdam vergeben. Der who.is-DNS-Record der IP 141.101.90.2 <\/em>(zensus2022.de) verweist auf darl.ns.cloudflare.com<\/em>. Der Anbieter Cloudflare ist in der Tat in das Hosting der Webseite zensus2022.de involviert. <\/p>\n

\"who.is-DNS-Record <\/p>\n

Maik Kuketz hat die Analyse noch ein St\u00fcck weiter verfeinert und den CNAME-Lookup-Eintrag<\/a> der Webseite zensus2022.de aufl\u00f6sen lassen. Dieser verweist auf:<\/p>\n

\n

www.zensus2022.de.cdn.cloudflare.net<\/p>\n<\/blockquote>\n

also das Content Delivery Network (CDN) von Cloudflare. Ruf man den Standort der IP-Adresse \u00fcber diese Webseite<\/a> auf, erh\u00e4lt man (wegen des CDN) verschiedene Standorte – unter andere ein Server in Chicago \/ USA.  <\/p>\n

\"Server-Standort
Server-Standort von Cloudflare f\u00fcr die IP 141.101.90.2<\/p>\n

Nun ist die \u00dcbertragung der sehr pers\u00f6nlichen Daten im Rahmen des Zensus 2022 an einen Cloudflare-Webserver in den USA nicht so sonderlich prickelnd. Die vollmundige Aussage des Statistischen Bundesamts in der Datenschutzerkl\u00e4rung Ihr Vertrauen ist uns wichtig!<\/strong> kann in diesem Kontext nur als Realsatire gesehen werden. Beim Schreiben dieses Blog-Beitrags enthielt die Datenschutzerkl\u00e4rung keinerlei Hinweise auf Cloudflare und die \u00dcbertragung der Daten \u00fcber deren CDN. <\/p>\n

Da gibt es in meinen Augen gleich zwei Probleme: Eine Kollision mit der Datenschutzgrundverordnung (DSGVO) sowie mit dem letzten Schrems II-Urteil, welches die \u00dcbertragung pers\u00f6nlicher Daten in die USA untersagt (die Geheimdienste haben ja wegen des US Cloud Service Act Zugriff auf die Daten. Cloudflare hat den TLS-Schl\u00fcssel, k\u00f6nnte also SSL-verschl\u00fcsselte Daten mitlesen. <\/p>\n

Denn sie wissen nicht, was sie tun<\/h2>\n

Mike Kuketz schreibt, dass er diesen Ansatz als \"unterirdisch\" empfindet, da jeder B\u00fcrger eine Mitwirkungspflicht beim Zensus 2022 hat. Blog-Leser Michael V. hat dann eine Mail an das Statistische Bundesamt geschickt und folgende Antwort bekommen:<\/p>\n

\n

Von: zensus2022@noreply.bund.de <zensus2022@noreply.bund.de>
Gesendet: Freitag, 13. Mai 2022 10:19
An: Michael V. <michaelxxxxx>
Betreff: Ihre Anfrage zum Zensus 2022, GZ ****<\/p>\n

Zensusauskunft<\/p>\n

Statistisches Bundesamt (Destatis) <\/p>\n

Tel. +49 391 79 29 2022 <\/p>\n

https:\/\/www.zensus2022.de\/kontakt<\/a> <\/p>\n

www.destatis.de<\/a> <\/p>\n

www.dashboard-deutschland.de<\/a> <\/p>\n

Sehr geehrter Herr V., <\/p>\n

vielen Dank f\u00fcr Ihre Anfrage vom 13. Mai 2022. <\/p>\n

Es werden alle zur Gew\u00e4hrleistung des Datenschutzes und der Informationssicherheit erforderlichen technisch-organisatorischen Ma\u00dfnahmen getroffen. Die erforderlichen technischen und organisatorischen Ma\u00dfnahmen werden dabei systematisch aus dem Informationssicherheitsvorgaben des Bundesamtes f\u00fcr Sicherheit (BSI) wie den BSI-Standards, dem aktuellen Grundschutzkatalog und den Mindeststandards Bund abgeleitet und orientieren sich dar\u00fcber hinaus stets am aktuellen Stand der Technik. F\u00fcr jede Daten\u00fcbermittlung gelten die h\u00f6chsten Sicherheitsanforderungen. Die Daten sind bestm\u00f6glich davor gesch\u00fctzt, von Unbefugten gelesen, kopiert, ver\u00e4ndert oder entfernt werden zu k\u00f6nnen. Die Umsetzung des Datenschutzes entspricht den Anforderungen der neuen Datenschutz-Grundverordnung (DS-GVO). Dar\u00fcber hinaus gibt es f\u00fcr betroffene Personen die M\u00f6glichkeit Antr\u00e4ge hinsichtlich Ihrer Rechte nach \u00a7\u00a7 15 ff. der Datenschutz-Grundverordnung (DS-GVO) zu stellen. <\/p>\n

Der Zensus 2022 h\u00e4lt datenschutzrechtliche Bestimmungen ein und wahrt das Grundrecht auf informationelle Selbstbestimmung. Das Recht auf informationelle Selbstbestimmung bedeutet das Recht, \u201eselbst \u00fcber die Preisgabe und Verwendung seiner pers\u00f6nlichen Daten zu bestimmen\" (BVerfG, Urteil des Ersten Senats vom 15. Dezember 1983 – 1 BvR 209\/83 -, Rn. 1-215). Dieses Recht kann durch Gesetz eingeschr\u00e4nkt werden, wenn ein \u00fcberwiegendes Allgemeininteresse an der Verarbeitung personenbezogener Daten vorliegt. Dies ist beim Zensus gegeben, weil die Daten zur Bev\u00f6lkerung und zu deren Wohn- und Arbeitssituation Grundlage vieler wichtiger Entscheidungen in Politik, Wirtschaft und Gesellschaft sind. Zur Sicherung des Rechts auf informationelle Selbstbestimmung gibt es besondere Vorkehrungen, n\u00e4mlich das Statistikgeheimnis, das Abschottungs- und Trennungsgebot und das R\u00fcckspielverbot. <\/p>\n

Bei weiteren Fragen stehen wir Ihnen gern zur Verf\u00fcgung. <\/p>\n

Bitte nutzen Sie daf\u00fcr unser Kontaktformular https:\/\/www.zensus2022.de\/kontakt\/<\/a> <\/p>\n

Mit freundlichen Gr\u00fc\u00dfen <\/p>\n

Im Auftrag <\/p>\n

Ihr Zensus-Auskunftsdienst <\/p>\n

______________________________________________________________________ <\/p>\n

Zur Beantwortung Ihrer Anfrage haben wir die von Ihnen mitgeteilten personenbezogenen Daten gespeichert. Die Informationen und Hinweise zum Datenschutz nach Art. 13 der Datenschutzgrundverordnung (DS-GVO) finden Sie unter: https:\/\/www.zensus2022.de\/DE\/Service\/Datenschutz\/datenschutz.html<\/a>.<\/p>\n<\/blockquote>\n

Hier wird in keinem Wort auf das Thema Cloudflare und die \u00dcbertragung der Daten an Server in den USA eingegangen. Es muss der Eindruck entstehen, dass dem antwortenden Zensus-Auskunftsdienst die Problematik unbekannt ist. <\/p>\n

heise hat auch nachgefragt<\/h3>\n<\/p>\n

W\u00e4hrend ich noch f\u00fcr diesen Artikel recherchierte, haben die Kollegen von heise diesen Beitrag<\/a> zum gleichen Thema ver\u00f6ffentlicht und weisen ebenfalls auf Datenschutzprobleme beim Online-Portal zensus 2022 hin. Die Redaktion hat bei der Beh\u00f6rde bez\u00fcglich der Cloudflare-Thematik nachgefragt und erfahren: <\/p>\n

\n

bei einem Angebot mit gro\u00dfer Reichweite und Relevanz absolut notwendig, um einen st\u00f6rungsfreien Betrieb, insbesondere die Erreichbarkeit, Performance und Zuverl\u00e4ssigkeit der Website, sicherzustellen<\/p>\n<\/blockquote>\n

Und bez\u00fcglich der von den Befragten eingegebenen pers\u00f6nliche Daten hei\u00dft es, dass diese mit einem Zertifikat des ITZBund Ende-zu-Ende verschl\u00fcsselt seien. Dazu zitiert heise Destatis mit der Aussage: <\/p>\n

\n

Die von den Auskunftspflichtigen bereitgestellten Informationen sind in diesem Bereich als private Daten sicher und werden ausschlie\u00dflich auf europ\u00e4ischen Servern verarbeitet.<\/p>\n<\/blockquote>\n

Wie diese Aussage zustande kommt, ist unklar. Bei heise gibt man an, dass ausschlie\u00dflich europ\u00e4ische Cloudflare-Server zum Einsatz kommen, was vertraglich so vereinbart sei. Zumindest besteht nach obigen Auswertungen der Verdacht, dass die Daten nicht in allen F\u00e4llen auf europ\u00e4ische Cloudflare-Servern verarbeitet werden. Zumindest steht die datenschutzrechtlichen Grundlage zum Einbinden von Cloudflare auf wackeligen F\u00fc\u00dfen. Transparent ist das alles nicht und im Sinne der Aussage \"Ihr Vertrauen ist uns wichtig!\"<\/strong> passt es hinten und vorne nicht. <\/p>\n

Auf Grund der Anfragen von heise will das Statistische Bundesamt (Destatis) wohl nachbessern und einen Hinweis auf Cloudflare in der Datenschutzerkl\u00e4rung einbauen. Der Bundesbeauftragte f\u00fcr den Datenschutz und die Informationsfreiheit<\/a> ( BfDI), Ulrich Kelber, der f\u00fcr die Aufsicht zust\u00e4ndig ist, hat am Freitag, den 13. Mai 2022, laut heise, mit der Pr\u00fcfung der Cloudflare-Einbindung auf zensus2022.de begonnen. Es sollen wohl eine Reihe \"offener Fragen\" aufgetaucht sein. <\/p>\n

Leute, fordert den Papierfragebogen an<\/h3>\n<\/p>\n

Im Anschreiben hei\u00dft es auf Seite 2: \"Sollte Ihnen eine Online-Daten\u00fcbermittlung nicht m\u00f6glich sein, fordern Sie bitte unter der Servicenummer 611-952249071 einen kostenlosen Papier-Fragebogen an.\" Das ist rund um die Uhr m\u00f6glich. Angesichts der obigen Ungereimtheiten d\u00fcrfte dies die einzige Option f\u00fcr den Datenschutz-affinen B\u00fcrger sein – auch wenn dadurch einige B\u00e4ume zu Papier werden m\u00fcssen. <\/p>\n

\n

PS: Irgendwie steuern wir in der EU und in Deutschland, aus Unkenntnis oder Ignoranz auf das zu, was im Beitrag Data Driven Deportation in the 21st Century<\/a> f\u00fcr US-Beh\u00f6rden (Immigration and Customs Enforcement (ICE)) beschrieben wird. <\/p>\n<\/blockquote>\n

\u00c4hnliche Artikel:
<\/strong>Safe Harbor: EuGH erkl\u00e4rt Abkommen f\u00fcr ung\u00fcltig<\/a>
EuGH kippt EU-US-Datenschutzvereinbarung \"Privacy Shield\"<\/a>
Keine Karenzfrist f\u00fcr Unternehmen nach Privacy Shield-EU-Urteil<\/a>
Datensch\u00fctzer plant durchgreifen bei Privacy Shield-Verst\u00f6\u00dfen<\/a>
Vorl\u00e4ufige Einigung zwischen EU und USA im Trans-Atlantic Data Privacy Framework<\/a>
Expertenkommentare zum Datenschutztag 2022: Unternehmen vor neuen Herausforderungen<\/a>
Geh\u00e4rteter Online-Banking-Browser S-Protect, ein Totalausfall<\/a>
Festes SA SQL-Passwort bei windata 9-Banking-Software<\/a>
Microsoft 365 an Schulen, Baden-W\u00fcrttembergs Datensch\u00fctzer sagt Nein<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Ab Sonntag, den 15. Mai 2022, l\u00e4uft eine neue \"Volksz\u00e4hlung\" in Deutschland, der Zensus 2022, bei dem eine Bev\u00f6lkerungs-, Geb\u00e4ude- und Wohnungsz\u00e4hlung erfolgt. Ich habe die Tage bereits einen entsprechenden Fragebogen per Post erhalten und soll die notwendigen Daten in … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[451,4328],"class_list":["post-265335","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-datenschutz","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/265335","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=265335"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/265335\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=265335"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=265335"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=265335"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}