„Microsoft krallt sich Zugangsdaten“: Das bekannte IT-Portal „Heise Online“ weist mit drastischen Worten darauf hin, dass hier eine Gefahr besteht. Geht es nach dem Willen von Microsoft, so sollen alle Windows-Nutzer auf die neueste Version von Microsoft Outlook umsteigen. Achtung: Dabei werden nicht nur die IMAP- und SMTP-Zugangsdaten des EKIR-E-Mail-Kontos an Microsoft übertragen, sondern es werden auch alle E-Mails auf die Microsoft-Server kopiert!

Hauptrisiko: Übertragung Ihrer Daten an Microsoft „Synchronisation mit dem Microsoft-Server“ – und schon wird alles kopiert!
Bei der Einrichtung eines neuen Kontos in der Software bietet Microsoft eine vermeintliche Sicherheitsfunktion an: So heißt es, dass Nicht-Microsoft-Accounts mit der Microsoft-Cloud synchronisiert werden und dabei Kopien von "E-Mails, Kalender und Kontakten zwischen Ihrem E-Mail Anbieter und den Microsoft-Rechenzentren synchronisiert werden“. Wer aufmerksam liest, wird stutzig werden. Aber wir alle wissen, wie leicht gerade bei der Einrichtung von Software vermeintliche Banalitäten ungelesen hingenommen und Hinweise weggeklickt werden. Angesichts der drastischen Folgen einer hier erteilten Zustimmung sind die Warn- und Aufklärungshinweise von Microsoft nicht sofort erkennbar. Den wenigsten Nutzern wird bewusst sein, dass sie Microsoft umfassenden Zugriff auf Passwörter, Mailbestand und anderes mehr gewähren.

Daher nochmal deutlich: Microsoft erhält vollen Zugriff auf Mails, Kalender und Kontakte!
Doch nicht nur Windows-Nutzer sind gefährdet: Betroffen sind auch die Outlook-Versionen für iOS, Mac und sogar Android, so Heise.

! Wir warnen daher alle Nutzer*innen in der EKIR:
Das Risiko, das bei der Nutzung des neuen Outlook sensible Daten an Microsoft übermittelt werden, ist hoch! Und übrigens: Zu diesen kompromittierenden Daten gehören nicht nur E-Mails, sondern auch Kalender- und Kontaktdaten.

Für alle kirchlichen Stellen in der EKiR kann eine solche (auch ungewollte) Speicherung personenbezogener Daten im Übrigen einen Verstoß gegen das DSG-EKD (EKD Datenschutzgesetz) darstellen. Schließlich handelt es sich bei der Speicherung der Daten in der Microsoft Cloud rechtlich um eine Datenverarbeitung. Diese erfordert den Abschluss eines Auftragsdatenverarbeitungsvertrages (AVV) mit Microsoft und ist von allen kirchlichen Stellen in den Datenschutzerklärungen und im Verarbeitungsverzeichnis als solche zu kennzeichnen. Dabei ist es unerheblich, ob dies bewusst durch die Leitung der kirchlichen Stelle oder letztlich durch die unbedachte Einwilligung eines einzelnen Mitarbeitenden geschieht.

Unsere Empfehlung
Wir raten allen kirchlichen Stellen in der EKiR dringend von der Nutzung des neuen Outlook ab!
Wir haben folgende Alternativen für Sie:

1. Nutzung von Kopano Webmail im Portal: Als Portalnutzer*in können Sie jederzeit unser sicheres EKiR-Portal nutzen, das eine hervorragende Alternative zu Desktop-E-Mail-Clients bietet. Neben Mail, Kalender und Kontakten haben Sie mit dem Cloudspeicher Seafile im Portal jederzeit sicheren Zugriff auf Dateien und Office-Dokumente – und Ihre persönliche Videokonferenz mit Jitsi ist nur einen Klick entfernt.
2. Anderer E-Mail-Client: Wir empfehlen Ihnen, auf Ihrem Computer auf den beliebten E-Mail-Client „Thunderbird“ umzusteigen. Dieser ist Windows-kompatibel und einfach einzurichten. Für mobile Geräte gibt es verschiedene IMAP-Mailclients wie FairEmail und K9 Mail (wird in Zukunft ebenfalls Thunderbird heißen).

Wir tun alles, um die Sicherheit und Vertraulichkeit Ihrer E-Mail-Kommunikation zu gewährleisten. Aber wir benötigen auch Ihre Hilfe: Achten Sie auch bei Ihren Anwendungen darauf, dass die Anbieter für den Schutz der dienstlichen Daten und deren Sicherheit sorgen.

Update
Auch der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Ulrich Kelber, ist alarmiert: Im Social-Media-Netzwerk Mastodon bezeichnete er die Datensammelei als „alarmierend“ und kündigte an, das Thema bereits am kommenden Dienstag auf europäischer Ebene durch die Datenschutzbehörden verfolgen zu wollen.
 
Quellen:
https://www.heise.de/news/Microsoft-krallt-sich-Zugangsdaten-Achtung-vorm-neuen-Outlook-9357691.html
https://www.heise.de/news/Microsofts-Outlook-Datenumleitung-BfDI-will-Bericht-von-EU-Datenschuetzer-9358371.html
https://mailbox.org/de/post/warnung-neues-outlook-sendet-passwoerter-mails-und-andere-daten-an-microsoft?nl=d