Windows 10: Microsoft kassiert Abmahnung von französischer Datenschutzbehörde CNIL

Wegen Datenschutzvergehen im Zusammenhang mit Windows 10 hat die französische Datenschutzbehörde Commission Nationale de l’Informatique et des Libertés (CNIL) am Mittwoch Microsoft abgemahnt. Sie verlangt von dem Konzern “damit aufzuhören, exzessiv Daten zu sammeln und das Surfverhalten der Nutzer ohne deren Einwilligung aufzuzeichnen”. Die CNIL fordert zudem, dass “Microsoft ausreichende Maßnahmen ergreift, um die Sicherheit und Vertraulichkeit von Nutzerdaten sicherzustellen”.

Die Beschwerde der französischen Datenschützer stützt sich auf die Ergebnisse von sieben Einzeluntersuchungen, die zwischen April und Juni dieses Jahres durchgeführt wurden. Es erfolgten auch direkte Gespräche mit Microsoft-Vertretern, um sicherzustellen, dass sich das Unternehmen an das französische Datenschutzrecht hält. Die Behörde zählt jetzt insgesamt fünf Beschwerdepunkte auf.

Sie stellt als erstes fest, dass “das Sammeln von diagnostischen und Nutzerdaten über die Telemetriedienste” zwar zulässig ist, aber die Voreinstellungen von Windows 10, durch die weitere Informationen gesammelt werden, zu weit gehen. Konkret heißt es, das Sammeln von “Daten aller Apps, die der Nutzer heruntergeladenen und auf dem System installiert hat,” sowie das Erfassen der Zeit, wie lange jede dieser Anwendungen genutzt wurden, sei “übertrieben”.

Mangelnde Sicherheit wird als zweiter Kritikpunkt angeführt. Hierzu erläutert die CNIL, dass Anwender einen vierstelligen PIN festlegen können, um sich bei Online-Diensten zu authentifizieren, und so auch Zugang zum Microsoft-Konto erhalten, in dem alle im Store getätigten Einkäufe einschließlich der verwendeten Zahlungsarten aufgelistet sind. Sie sieht ein Problem darin, dass die Zahl der Anmeldeversuche mit der vierstelligen PIN nicht limitiert sei. Dadurch könnten Hacker theoretisch mittels Brute-Force-Methode den richtigen Code erraten. Letztlich seien die Nutzerdaten dadurch nicht sicher.

Die CNIL wirft Microsoft zudem vor, dass die standardmäßig in Windows 10 aktivierte Werbe-ID es Windows- und Drittanbieter-Apps erlaube, das Surfverhalten des Nutzers zu überwachen und darauf basierend zielgerichtete Werbung auszuliefern. Die dafür nötige Einwilligung des Nutzers hole Microsoft nicht ein. Ebenso stören sich die Datenschützer daran, dass Microsoft ohne angemessene Hinweise Werbe-Cookies auf dem Rechner zulasse und der Nutzer keine Möglichkeit habe, diese zu blockieren.

Die Datenschützer kritisieren außerdem, dass Daten französischer Windows-Anwender nach wie vor auf “Safe Harbor-Basis in die USA übertragen werden, obwohl das zugrunde liegende Abkommen zwischen der EU und den Vereinigten Staaten Anfang Oktober 2015 vom Gerichtshof der Europäischen Union kassiert wurde.

Um die Forderungen der CNIL umzusetzen, hat Microsoft jetzt drei Monate Zeit. Sollte das Unternehmen diese Frist verstreichen lassen, drohen ihm Sanktionen. Die Datenschutzbehörde hat allerdings bisher nicht mitgeteilt, wie diese aussehen könnten.

“Wir werden in den kommenden Monaten eng mit der CNIL zusammenarbeiten, um ihre Bedenken umfassend zu erörtern und für sie akzeptable Lösungen zu finden”, erklärte Microsofts stellvertretender Chefsyndikus, David Heiner, gegenüber ZDNet.com. Man arbeite bereits daran, die Bedingungen des neuen Datenaustauschabkommens Privacy Shield zu erfüllen, und werde nächsten Monat aktualisierte Datenschutzbestimmungen veröffentlichen.

Die CNIL war zuvor schon gegen Google und Facebook vorgegangen. Sie setzte Facebook im Februar ebenfalls eine Frist von drei Monaten, um bestimmte Übertragungen von Daten in die USA zu stoppen. Ob es die Forderungen erfüllt hat, ist nicht bekannt. Jedoch sind bislang noch keine Klagen gegen Firmen öffentlich geworden, die sich in Frankreich noch auf Safe Harbor beziehen.

[mit Material von Björn Greif, ZDNet.de]

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.