Zum Inhalt springen

Datenskandal

Auch eine Art von “Ziel­grup­pe” — Kun­den im Visier heim­li­cher Video­über­wa­chung bei ALDI Süd

Das Nach­rich­ten­ma­ga­zin DER SPIEGEL brach­te den Stein ins Rol­len, wei­te­re Bericht­erstat­tun­gen in TV, Radio, Print und Web folg­ten. Nach Infor­ma­tio­nen, die dem Maga­zin vor­lie­gen, gerie­ten bevor­zugt Frau­en in kur­zen Röcken oder mit tief Ein­blick gewäh­ren­den Tops ins Visier heim­li­cher Video­über­wa­chungs­maß­nah­men durch eini­ge Fili­al­lei­ter in Frank­furt /​ Main, Die­burg und wei­te­ren hes­si­schen Stand­or­ten. Doch damit nicht genug. In “loh­nens­wer­ten” Fäl­len wur­den die ahnungs­lo­sen Kun­din­nen und Kun­den her­an­ge­zoomt, Video­se­quen­zen auf CD gebrannt und unter­ein­an­der getauscht.

ALDI Süd schreibt lt. Spie­gel in einer Stel­lung­nah­me, dass

“das Fehl­ver­hal­ten eines ein­zel­nen Mit­ar­bei­ters nicht aus­ge­schlos­sen wer­den kön­ne. Soll­te ein miss­bräuch­li­cher Umgang den Vor­ge­setz­ten bekannt wer­den, wird ein sol­ches Vor­ge­hen umge­hend unter­sucht, unter­bun­den und zieht ent­spre­chen­de dis­zi­pli­na­ri­sche Kon­se­quen­zen nach sich.”

Trotz des Video­über­wa­chungs­skan­dals eines Wett­be­wer­bers im Jahr 2008 sol­len wei­ter­hin erneut Kas­sen­be­rei­che inkl. der Ein­ga­be­fel­der der EC-Ter­mi­nals auf Auf­nah­men zu sehen sein. Mobi­le Mini­ka­me­ra-Anla­gen auch in  Berei­chen ohne Kun­den­zu­tritt sowie feh­len­de Hin­weis­schil­der run­den den sorg­lo­sen Umgang des Dis­coun­ters mit die­ser zu Recht per Gesetz restrik­tiv zu hand­ha­ben­den Maß­nah­me ab.

Was sagt denn das Bun­des­da­ten­schutz­ge­setz (BDSG) dazu?

Das Bun­des­da­ten­schutz­ge­setz stellt hohe Anfor­de­run­gen an die Durch­füh­rung von Video­über­wa­chungs­maß­nah­men. Die­se sind zwar nicht ver­bo­ten, jedoch ist es mit Beru­fung auf das eige­ne Haus­recht nicht getan. Für wei­ter­füh­ren­de Infor­ma­tio­nen emp­feh­len wir die­se Beiträge

Pla­nen Sie die Ein­füh­rung von Video­über­wa­chung in Ihrem Unter­neh­men? Fra­gen Sie recht­zei­tig Ihren Daten­schutz­be­auf­trag­ten. Sie haben kei­nen? Dann spre­chen Sie uns an.

Daten­schutz-Skan­dal: Anwalts-Akten lan­den im Altpapier

Tat­ort: Alt­pa­pier­con­tai­ner, Super­markt-Park­platz in Schwarzenbek

In die­sem fand ein ahnungs­lo­ser Bür­ger unzäh­li­ge Akten meh­re­rer Anwalts­kanz­lei­en, die über einen län­ge­ren Zeit­raum ange­legt wur­den. Bri­san­ter Inhalt: Pfän­dun­gen, Haft­an­trä­ge, ver­trau­li­che Infor­ma­tio­nen u.a. aus Recher­chen pri­va­ter Ermitt­ler. Lapi­da­rer Kom­men­tar des Lan­des­da­ten­schutz­be­auf­trag­ten Dr. Thi­lo Wei­chert (ULD): “Das hat defi­ni­tiv nichts in einem Alt­pa­pier­con­tai­ner zu suchen”. “Lei­der”, so Wei­chert, “pas­siert so etwas aber all­zu oft.”

Damit ist die Sache für die betrof­fe­nen Anwalts­kanz­lei­en jedoch nicht aus­ge­stan­den. Wei­chert hat die Unter­la­gen bereits ange­for­dert und wird der ille­ga­len Ent­sor­gung nach­ge­hen. Sehr zum Leid­we­sen der Anwalts­kam­mer, wel­che die Rechts­auf­fas­sung ver­tritt, die schles­wig-hol­stei­ni­sche Lan­des­da­ten­schutz­be­hör­de sei — und zwar aus Daten­schutz­grün­den — gar nicht zustän­dig, denn Anwäl­te wür­den der Schwei­ge­pflicht unter­lie­gen. Doch mit die­ser scheint es nicht weit her zu sein. Erfährt der Leser der gefun­de­nen Akten doch z.B. zahl­rei­che Details über die wirt­schaft­li­che Situa­ti­on der Mandanten.

Der gefun­de­ne Akten­sta­pel ist über einen hal­ben Meter hoch. Da der Alt­pa­pier­con­tai­ner voll war, klemm­ten die Akten unter dem Deckel und waren für jeder­mann ein­zu­se­hen, so der Finder.

Schwei­ge­pflicht ver­sus Datenschutz

Die­se Dis­kus­si­on fin­det man als Daten­schutz­be­auf­trag­ter sehr häu­fig in der täg­li­chen Pra­xis. Gesetz­lich vor­ge­schrie­be­ne Rege­lun­gen zur Auf­trags­da­ten­ver­ar­bei­tung wer­den ver­neint unter Bezug­nah­me auf die Schwei­ge­pflicht u.a. nach § 203 StGB Ver­let­zung von Pri­vat­ge­heim­nis­sen. Hier­zu hat das ULD eine Stel­lung­nah­me ver­öf­fent­licht, in der nach­voll­zieh­bar die Rege­lungs- und Umset­zungs­pflicht aus dem Bun­des­da­ten­schutz­ge­setz (BDSG) für Anwäl­te dar­ge­legt ist. So hat auch das Ber­li­ner Kam­mer­ge­richt unter dem Akten­zei­chen 2 Ss 23/​07, 1 Ws (B) 51/​07 — 2 Ss 23/​07 im August 2010 klar­ge­stellt, dass die Schwei­ge­pflicht und BDSG sich nicht erset­zen, son­dern ergänzen.

Der DAV (Deut­scher Anwalt­ver­ein) hat dies erkannt und sei­nen Mit­glie­dern in der Depe­che 2010–42 eine ent­spre­chen­de Check­lis­te für die Berei­che IT-Ein­satz, exter­ne Dienst­leis­ter, Daten­si­che­rung und Archi­vie­rung, Ver­schlüs­se­lung und die Bestell­pflicht eines Daten­schutz­be­auf­trag­ten zur Ver­fü­gung gestellt.

Quel­len:

Zum The­ma:
Hilf­rei­che Links
  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sende Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gige Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­nare.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

Daten­pan­ne am Nür­burg­ring — Lan­des­re­gie­rung stellt ver­trau­li­che Unter­la­gen ins Internet

Das rhein­land-pfäl­zi­sche Umwelt­mi­nis­te­ri­um bestä­tig­te ver­gan­ge­nen Mitt­woch die Daten­pan­ne. Ein bis­her durch Pass­wör­ter geschütz­ter Bereich wur­de ver­se­hent­lich öffent­lich geschal­tet. 120 Vor­la­gen für den Land­tag waren frei ein­seh­bar. Dar­un­ter 7 mit schüt­zens­wer­ten per­so­nen- oder fir­men­be­zo­ge­nen Daten. Die Lan­des­re­gie­rung will nun in Zusam­men­ar­beit mit dem Lan­des­da­ten­schutz­be­auf­trag­ten die Betrof­fe­nen ent­spre­chend der gesetz­li­chen Daten­schutz-Vor­ga­ben informieren.

Quel­le:

  • SWR: Lan­des­re­gie­rung zieht Kon­se­quen­zen aus Datenpanne

Easy­cash GmbH zahlt 60000 Euro Bußgeld

Die Easy­cash GmbH zahl­te für die unbe­rech­tig­te Wei­ter­ga­be von Kon­to­da­ten — sie­he “Easy­cash sam­melt Daten von EC-Kar­ten­in­ha­bern zwecks Bewer­tung der Zah­lungs­fä­hig­keit” und “Ham­bur­ger Daten­schüt­zer stellt Straf­an­trag gegen easy­cash Loyal­ty Solu­ti­ons” — ein Buß­geld in Höhe von 60.000 Euro.

Der zustän­di­ge Daten­schutz­be­auf­trag­te von Nord­rhein-West­fa­len, Ulrich Lep­per kom­men­tiert sein Vor­ge­hen: “Wer Zah­lungs­vor­gän­ge qua­si als Treu­hän­der für Ein­zel­han­dels­un­ter­neh­men abwi­ckelt, muss beson­ders sorg­fäl­tig mit die­sen Daten umge­hen. Er darf so sen­si­ble Daten über Zah­lungs­ver­hal­ten und Kon­to­ver­bin­dun­gen, die durch­aus auch Pro­fil­bil­dun­gen erlau­ben wür­den, nicht für ande­re Zwe­cke an Drit­te über­mit­teln. Des­we­gen muss­te ich hier einschreiten.”

Die Daten hat­te Easy­cash an die in Ham­burg ansäs­sige Fir­ma easy­cash Loy­alty Solu­ti­ons als Schwes­ter­un­ter­neh­men ver­mit­telt, das Kun­den- und Bonus­pro­gram­me anbie­tet, und die Daten sta­tis­tisch aus­wer­te­te. Easy­cash wickelt im Auf­trag von Ein­zel­händ­lern EC-Kar­ten­zah­lun­gen ab und ver­fügt dar­aus über zahl­rei­che Daten­sät­ze über Kar­ten­zah­lungs­vor­gän­ge. An das Schwes­ter­un­ter­neh­men gab Easy­cash die Daten von rund 400.000 Zah­lungs­vor­gän­gen weiter.

Nach Anga­ben von Lep­per zeig­te sich Easy­cash ein­sich­tig und koope­ra­tiv. Das Buß­geld sei bereits bezahlt.

Quel­len:

Hilf­rei­che Datenschutz-Links

  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sen­de Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gi­ge Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­na­re.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

Daten­pan­ne bei REWE — mut­maß­li­cher Hacker unter­ge­taucht (Update)

“Für die Unter­neh­men der REWE Group sind ver­läss­li­che Pro­dukt­qua­li­tät und Sicher­heit obers­tes Gebot. Dar­auf kön­nen sich unse­re Kun­den ver­las­sen” — damit wirbt REWE auf sei­nen Inter­net­sei­ten. Erst bei genau­em Wei­ter­le­sen erkennt man, damit sind nur Pro­duk­te des Unter­neh­mens gemeint, nicht die Datensicherheit.

Das erkann­ten ver­gan­ge­ne Woche nun auch Com­pu­ter­ha­cker und mach­ten sich erfolg­reich über die IT-Infra­struk­tur her. Ziel und Opfer der Daten­pan­ne waren zwei Daten­ban­ken mit Namen, Adres­sen und Pass­wör­tern von Kun­den, die an einer Fuß­ball­bil­der-Sam­mel­ak­ti­on und einer Inter­net­tausch­bör­se teil­ge­nom­men hatten.

Nach Anga­ben des Unter­neh­mens waren hier­bei kei­ne Bank- und Kre­dit­kar­ten­da­ten betrof­fen und die Sicher­heits­lü­cke seit Frei­tag abend geschlos­sen. Anga­ben über die Dau­er des Daten­lecks wur­den kei­ne gemacht. In den Pres­se­mel­dun­gen des Unter­neh­mens und er Unter­neh­mens­grup­pe fin­det sich nichts zu die­sem Vor­fall (zum Zeit­punkt des Ver­fas­sens die­ses Arti­kels), die Infor­ma­ti­on stammt von der Ber­li­ner Mor­gen­post.

Daten­schutz tut Not

Die nicht abrei­ßen­de Flut an Daten­pan­nen der letz­ten Wochen zeigt deut­lich auf, es steht nicht zum Bes­ten um das The­ma Daten­schutz in Unter­neh­men. Nicht aus­rei­chend geprüf­te Soft­ware­up­dates, mona­te­lang bekann­te sträf­lich ver­nach­läs­sig­te Sicher­heits­lü­cken oder auch unzu­rei­chen­de Pass­wort­si­cher­heit füh­ren die Hit­lis­ten der Grün­de für die­se Daten­pan­nen an. Fra­gen Sie doch mal Ihren Daten­schutz­be­auf­trag­ten, was er gegen sol­che Vor­komm­nis­se an pro­ba­ten Mit­teln bereit­hält. Sie wer­den stau­nen. Apro­pos: hat Ihr Unter­neh­men über­haupt einen Daten­schutz­be­auf­trag­ten? Viel­leicht droht hier schon das nächs­te Unge­mach in Form eines Buß­gelds auf­grund feh­len­der oder ver­spä­te­ter Bestellung.

Auf jeden Fall soll­ten alle Betrof­fe­ne prü­fen, ob das bei REWE genutz­te Pass­wort auch an ande­rer Stel­le zum Ein­satz kam. Wenn ja, dann ist schnel­ler Wech­sel angesagt.

Update 18.07.2011, 16:27 Uhr:

Mitt­ler­wei­le ist eine Pres­se­mel­dung der REWE Group erschienen.

Update 20.07.2011, 09:45 Uhr:

Der Spie­gel berich­tet, die Log­in­da­ten inkl. Pass­wör­ter sind mitt­ler­wei­le frei im Netz ver­füg­bar. Die Pass­wör­ter lagen in den Sys­te­men von REWE in unver­schlüs­sel­ter Form vor und laden nun zum Miß­brauch ein. Jetzt heisst es für Betrof­fe­ne schnell reagie­ren und die­ses Pass­wort über­all da zu ändern, wo es mög­li­cher­wei­se noch zum Ein­satz kam.

Update 06.08.2011, 09:10 Uhr

hei­se mel­det im Ticker, die Köl­ner Poli­zei habe den mut­maß­li­chen Täter ermit­telt. Es soll sich dabei um einen 23-jäh­ri­gen han­deln, der zur Zeit flüch­tig ist. Der Ver­däch­ti­ge hat sich in ein­schlä­gi­gen Hacker­fo­ren im Inter­net über sei­ne Vor­ge­hens­wei­se beim Ein­drin­gen in die REWE-Sys­te­me geäußert.

Bedau­er­li­cher­wei­se führ­ten die­se Anlei­tun­gen zu wei­te­ren Angrif­fen, so die Köl­ner Kri­po. Wei­te­re Daten­ver­lus­te bis zu Abschal­tung der Sys­te­me sei­en durch­aus im Bereich des Möglichen.

Da die gehack­ten Kun­den­da­ten mitt­ler­wei­le im Inter­net ver­öf­fent­licht wur­den, kann der Appell an mög­li­che Betrof­fe­ne nur drin­gend wie­der­holt wer­den, mehr­fach ver­wen­de­te Pass­wör­ter schleu­nigst zu ändern, um Miß­brauch zu vermeiden.

Hilf­rei­che Datenschutz-Links

  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sen­de Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gi­ge Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­na­re.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

Scha­den aus Hacker­an­griff gegen Kre­dit­kar­ten­kun­den der Citigroup geht in die Millionen

Vor kur­zem ging es durch die Pres­se: die US-Groß­bank Citigroup wur­de gehackt und die Daten von ca. 360.000 Kre­dit­kar­ten­kun­den ent­wen­det. Nun mel­det das “Wall Street Jour­nal” unter Beru­fung auf inter­ne Krei­se, daß unge­fähr 3.400 betrof­fe­ne Kre­dit­kar­ten­in­ha­ber einen Scha­den in Höhe von 2,7 Mil­lio­nen US-Dol­lar durch den Miß­brauch der ent­wen­de­ten Daten erlit­ten haben.

Die Cyber-Kri­mi­na­li­tät nimmt ste­tig zu, das Gefühl der Sicher­heit kann schnell trü­gen. Das haben Hacker-Atta­cken der letz­ten Wochen zur Genü­ge bewiesen.

Ein Grund mehr, kon­ti­nu­ier­lich an der Sicher­heit der IT-Sys­te­me Ihres Unter­neh­mens zu arbei­ten. Opti­mal, wenn Sie dabei früh­zei­tig Ihren Daten­schutz­be­auf­trag­ten ein­bin­den. Sie haben kei­nen Daten­schutz­be­auf­trag­ten? Dann ist viel­leicht höchs­te Zeit.

Behör­den mischen mit: Daten­pan­ne bei Kfz-Steu­er in Baden-Württemberg

Nur nicht drän­geln, jeder darf ein Mal

Das Behör­den vor Daten­schutz­pan­nen nicht gefeit sind, zeigt das Land Baden-Würt­tem­berg und bringt etwas Abwechs­lung in die Lis­te aktu­el­ler Ver­ur­sa­cher von Datenpannen.

Der Lan­des­da­ten­schutz­be­auf­trag­te nahm dazu heu­te öffent­lich auf sei­ner Web­sei­te Stel­lung.

Frei­zü­gig­keit? Nicht bei der Steu­er­be­mes­sung, jedoch bei der Datenübermittlung

Kfz-Steu­er­pflich­ti­ge Bür­ger trau­ten ihren Augen nicht. Der Abbu­chungs­text der fäl­li­gen Kfz-Steu­er auf dem Kon­to­aus­zug ent­hielt neben den übli­chen Anga­ben wie Namen des Steu­er­pflich­ti­gen, Kfz-Kenn­zei­chen und Steu­er­sum­me noch wei­te­re Details parat: Anga­ben zu Steu­er­num­mern und Umsatz­steu­er ande­rer Bür­ger und Unter­neh­men sowie zur Religionszugehörigkeit.

Feh­len­de Rechtsgrundlage

Kei­ne noch so wohl­wol­len­de Bewer­tung des Vor­gangs wird eine recht­li­che Legi­ti­ma­ti­on die­ser umfas­sen­den Daten­über­mitt­lung an die mit dem Last­schrift­ver­fah­ren beauf­trag­ten Kre­dit­in­sti­tu­te her­vor­brin­gen. Die Über­mitt­lung fand in der Zeit vom 17. Juni bis 20. Juni 2011 statt. Das Last­schrift­ver­fah­ren wur­de umge­hend gestoppt.

Die Soft­ware ist schuld

Der Übel­tä­ter war schnell gefun­den. Nach dem Update der genutz­ten Soft­ware ist der Feh­ler auf­ge­tre­ten. Im Umkehr­schluß bedeu­tet dies jedoch, die Ver­ant­wort­li­chen haben Ihre Kon­troll­funk­ti­on nicht rich­tig wahr­ge­nom­men. Soft­ware­ak­tua­li­sie­run­gen sind vor dem Ein­spie­len in Pro­duk­tiv­sys­te­me aus­führ­lich und gewis­sen­haft zu tes­ten. Einer­seits wer­den dadurch Sicher­heits­ri­si­ken für die Sys­te­me sowie Daten­ver­lust und letzt­end­lich auch sol­che Daten­pan­nen ver­mie­den. Sys­te­me mit sen­si­blen Daten soll­ten stets  nach dem Mehr-Augen-Sys­tem geprüft werden.

Ver­meid­bar?

Feh­ler kön­nen jedem pas­sie­ren, alle Betei­lig­ten sind auch nur Men­schen. Von daher sind sol­che Pan­nen nie aus­zu­schlie­ßen. Jedoch kann das Risi­ko aktiv mini­miert wer­den. Wie? Das erklärt Ihnen ger­ne Ihr Daten­schutz­be­auf­trag­ter. Sie haben kei­nen? Dann spre­chen Sie uns an, bevor Sie bei einer mög­li­chen Bestell­pflicht auch ganz ohne Daten­pan­nen einem berächt­li­chen Buß­geld­ri­si­ko aus­ge­setzt sind.

Update

Zu die­sem Bei­trag erreich­te uns eine Email-Anfra­ge, die wir ger­ne öffent­lich ohne Nen­nung des Anfra­gen­den beant­wor­ten. Die Fra­ge lau­te­te knapp: “Wie­so müs­sen Behör­den kei­ne Buß­gel­der bezah­len, wenn gegen Daten­schutz­be­stim­mun­gen ver­sto­ßen wird?”

Ohne auf recht­li­che Hin­ter­grün­de ein­ge­hen zu wol­len, wer­fen wir einen Blick auf das Rech­te-Tasche-Lin­ke-Tasche-Prin­zip. Eine Behör­de als öffent­li­che Ein­rich­tung  wür­de das Buß­geld aus der Staats- oder Lan­des­kas­se (je nach Ebe­ne) in die Staats- oder Lan­des­kas­se bezah­len. Wo wür­de da der ange­dach­te Straf­cha­rak­ter bleiben?

Phis­hing-Emails an Kun­den von K&M Elektronik

Mehr oder weni­ger hei­ter weiter

hei­se secu­ri­ty infor­miert heu­te im News­ti­cker über einen aktu­el­len Miß­brauch von Kun­den­da­ten nach einer bereits län­ger zurück­lie­gen­den Daten­pan­ne — die­ses Mal bei dem bekann­ten Elek­tronik­händ­ler K&M Elek­tro­nik. Damit reiht sich das Unter­neh­men in eine ste­tig wach­sen­de Lis­te illus­trer Mar­ken­un­ter­neh­men mit Daten­pan­nen ein.

Seit 2009 in den Hän­den von Hackern

Wie das Unter­neh­men gegen­über dem Ver­lag bestä­tig­te, ist die Kun­den­da­ten­bank bereits im Novem­ber 2009 in die Hän­de von Hackern gefal­len, Anschrif­ten und EMail-Adres­sen inklu­si­ve. Trotz wei­te­rer Sicher­heits­maß­nah­men wur­den im Mai 2011 erneut Kun­den­da­ten entwendet.

Phis­hing frei Haus

Die betrof­fe­nen Inha­ber der gestoh­le­nen Email-Adres­sen erhiel­ten nun die fro­he Bot­schaft ins Post­fach: K&M gibt zum 15-jäh­ri­gen Jubi­lä­um des Online-Shops einen Gut­schein aus. Link ankli­cken, Gut­schein per Java-App­let gleich erstel­len las­sen und den Gut­schein­code einlösen.

Der Haken: das Java-App­let küm­mert sich nicht um den Wunsch des Besu­chers nach einem Gut­schein, son­dern ver­folgt eige­ne Inter­es­sen. Eine Schad­rou­ti­ne wird nach­ge­la­den und instal­liert, das Sys­tem des arg­lo­sen Besu­chers ist verseucht.

Kri­sen­ma­nage­ment?

K&M reagier­te, nahm die allem Anschein nach mit­tels SQL-Injec­tion ver­seuch­ten Sys­te­me vom Netz.  und infor­mier­te über die Face­book-Sei­te des Unter­neh­mens. Da auf den befal­le­nen Sys­te­men eben­falls die Mail­funk­tio­nen ablie­fen, konn­ten die betrof­fe­nen Kun­den nicht per Email infor­miert und gewarnt werden.

Mitt­ler­wei­le ist die Sicher­heits­lü­cke geschlos­sen, die Sys­te­me sind wie­der online. Ein Hin­weis im Online-Shop infor­miert Besu­cher über die Phis­hing-Gefahr. Es fehlt jedoch jeg­li­cher Hin­weis auf die zuvor gehack­ten Kun­den­da­ten. Laut Mel­dung des hei­se-Tickers sieht K&M auch kei­ne direk­te Infor­ma­ti­on der Betrof­fe­nen z.B. per Email vor. Wie übri­gens schon zuvor nicht, als in der Ver­gan­gen­heit die Kun­den­da­ten abhan­den gekom­men sind.

Kri­sen­ma­nage­ment und das Ernst­neh­men der Daten­schutz­in­ter­es­sen von Kun­den sehen anders aus. Die­se Ansicht tei­len die meis­ten Kom­men­ta­to­ren der Face­book-Mel­dung vom K&M. Das sel­be Bild zeich­net sich eben­falls in den Foren­bei­trä­gen auf hei­se online ab — “the cus­to­mers are not amu­sed” in Anbe­tracht einer sol­chen Informationspolitik.

Vor­beu­gen ist besser …

… als hin­ter­her die Scher­ben zusam­men­zu­keh­ren. Die­ses State­ment fin­det auf alle pro­mi­nen­ten Daten­pan­nen der letz­ten Tagen und Wochen Anwen­dung. Was emp­fiehlt der Daten­schutz­be­auf­trag­te eines Unter­neh­mens? BSI Grund­schutz­ka­ta­log, regel­mä­ßi­ge Stress­tests und Sicher­heits­up­dates, kon­ti­nu­ier­li­che Sen­si­bi­li­sie­rung der Mit­ar­bei­ter und Unter­neh­mens­lei­tung und … und … und …

Sie haben gar kei­nen Daten­schutz­be­auf­trag­ten? Das könn­te ein Pro­blem sein. Liegt näm­lich eine Bestell­pflicht vor, ris­kie­ren Sie bereits jetzt ein Buß­geld — ganz ohne Daten­pan­ne. Spre­chen Sie uns an — wir prü­fen kos­ten­frei, ob eine sol­che Bestell­pflicht für Ihr Unter­neh­men vorliegt.

Jeder darf mit­ma­chen — nun auch Daten­pan­ne bei Sega

Die Geis­ter, die ich rief

Nur böse Zun­gen behaup­ten, PwC hät­te mit der vor­ge­leg­ten Stu­die zum Daten­schutz in Unter­neh­men (“Nichts dazu­ge­lernt? Unter­neh­men pfei­fen auf Daten­schutz”) die bösen Geis­ter geru­fen, die nun dazu füh­ren, daß rei­hen­wei­se bekann­te und teil­wei­se glo­ba­le Mar­ken­un­ter­neh­men mit Daten­pan­nen in den Medi­en landen.

Man muß kein Insi­der sein, um zu erken­nen, daß ein Gemisch aus laxem Umgang mit dem The­ma Daten­schutz, teil­wei­se ver­al­te­ten IT-Sicher­heits­me­cha­nis­men und dem Fak­tor Mensch die Ursa­che ist.

Der Nächs­te bitte

Nach Sony, Apple, Face­book, Necker­mann, Acer, o2, citi­bank war nun laut meh­re­ren Medi­en­be­rich­ten Sega an der Rei­he. Deren Online-Netz­werk Sega-Pass sei ange­grif­fen und Kun­den­da­ten ent­wen­det wor­den. Betrof­fen sol­len Per­so­nen­da­ten sowie die ver­schlüs­sel­ten Pass­wör­ter sein. Zah­lungs­da­ten wären wohl nicht betroffen.

Reden ist Sil­ber, Schwei­gen ist Gold

Sega hat das Pass-Sys­tem der­weil vom Netz genom­men, angeb­lich um neue Funk­tio­nen ein­zu­pfle­gen. Eine offi­zi­el­le Stel­lung­nah­me zu dem mög­li­chen Vor­fall ist nicht zu finden.

Die Hin­ter­män­ner

Unklar ist zur Zeit noch, wer hin­ter der Atta­cke ste­cken könn­te. Die Hacker­grup­pe Lulz­Sec, die sich zu dem Angriff auf Sony bekann­te, weist jede Ver­ant­wor­tung von sich. Iro­ni­scher­wei­se bie­tet sie Sega bei Twit­ter nun Hil­fe an, die Schul­di­gen aufzuspüren:

Lulz­Sec: “@Sega — cont­act us. We want to help you des­troy the hackers that atta­cked you. We love the Dream­cast, the­se peo­p­le are going down.”

Vor­beu­gen ist besser

Früh­zei­ti­ge Ein­bin­dung des Daten­schutz­be­auf­trag­ten in (IT-) Pro­jek­te, regel­mä­ßi­ges Moni­to­ring der inter­nen IT-Sicher­heits­maß­nah­men, Aktua­li­sie­rung der IT-Sys­te­me (z.B. Sicher­heits­patches), grund­le­gen­de Model­lie­rung nach dem BSI Grund­schutz­ka­ta­log sowie fort­lau­fen­de Sen­si­bi­li­sie­rung der Mit­ar­bei­ter und Unter­neh­mens­lei­tung zum The­ma Daten­schutz und Daten­si­cher­heit schlie­ßen zwar sol­che Daten­pan­nen nicht aus, redu­zie­ren aber das Risi­ko deut­lich. Ein guter Daten­schutz­be­auf­trag­ter hält als Kri­sen­ma­na­ger für den hof­fent­lich nicht ein­tre­ten­den Fall einer Daten­pan­ne eine fest­ge­leg­te Ver­fah­rens­wei­se parat, wel­che den offe­nen Umgang mit dem Vor­fall im Zusam­men­spiel mit den Daten­schutz­be­hör­den und den Betrof­fe­nen vorsieht.

Sie haben gar kei­nen Daten­schutz­be­auf­trag­ten im Unter­neh­men? Dann ver­sto­ßen Sie mög­li­cher­wei­se bereits ganz ohne Daten­pan­ne gegen das Bun­des­da­ten­schutz­ge­setz und set­zen Ihr Unter­neh­men unnö­tig einem Buß­geld­ri­si­ko bis 50.000 EUR aus. Im Zwei­fel nut­zen Sie unse­ren Online-Fra­ge­bo­gen und erhal­ten Klar­heit in Ver­bin­dung mit einem trans­pa­ren­ten und nach­voll­zieh­ba­ren Ange­bot zu dar­stell­ba­ren Preisen.

Nichts dazu­ge­lernt? Unter­neh­men pfei­fen auf Datenschutz

Sony, Face­book und jetzt Necker­mann — bekann­te Mar­ken kämp­fen mit Daten­pan­nen. Par­al­lel dazu lie­fert eine Umfra­ge von TNS-Emnid im Auf­trag von PwC ein umso erstaun­li­che­res Ergeb­nis: Deut­sche Unter­neh­men pfei­fen auf Daten­schutz.

Ver­zerr­te Eigenwahrnehmung

Jeder vier­te Daten­schutz­be­auf­trag­te der 1.000 größ­ten deut­schen Unter­neh­men wur­de im Rah­men der Stu­die befragt. Zwei Drit­tel der Befrag­ten ant­wor­ten, Daten­schutz wür­de in ihrem Unter­neh­men als wich­tig wenn nicht sogar sehr wich­tig betrach­tet. Die Mei­nungs­for­scher schau­ten genau­er hin: so wird ledig­lich in 4 von 10 Unter­neh­men ein regel­mä­ßi­ger Daten­schutz­be­richt ange­for­dert. 25% der Befrag­ten erstel­len den Bericht unre­gel­mä­ßig und in 35% der Unter­neh­men wird die­ser erst gar nicht erstellt.

Kos­ten sparen

Das ist das vor­herr­schen­de Mot­to in den Unter­neh­men laut den Mei­nungs­for­schern, auch beim The­ma Daten­schutz. Feh­len­de per­so­nel­le Res­sour­cen des Daten­schutz­be­auf­trag­ten gepaart mit man­geln­der Ein­bin­dung in inter­ne Kom­mu­ni­ka­ti­on und Pla­nun­gen machen den Stel­len­wert des The­mas deut­lich. So wer­den bei­spiels­wei­se bei der Ein­füh­rung neu­er Daten­ver­ar­bei­tungs­sys­te­me nur in maxi­mal 60% der Unter­neh­men die Daten­schutz­be­auf­trag­ten in die wich­ti­ge Pla­nungs­pha­se mit eingebunden.

Die Hoff­nung stirbt zuletzt

Bleibt der Trost, daß in 2 von 3 Fäl­len einer Daten­schutz­ver­let­zung Unacht­sam­keit die Ursa­che war. Bei vier von zehn Vor­fäl­len war den Betei­lig­ten nicht mal bewußt, daß gegen bestehen­de Daten­schutz­ge­set­ze ver­sto­ßen wird.

Risi­ko für Unternehmen

Man­geln­der Daten­schutz birgt jedoch für Unter­neh­men ein nicht unbe­deu­ten­des Risi­ko, Buß­gel­der und Stra­fen sei­tens der Lan­des­da­ten­schutz­be­hör­den auf­er­legt zu bekom­men. Durch die Novel­lie­rung des Buß­geld­ka­ta­logs im Bun­des­da­ten­schutz­ge­setz in 2009 ste­hen kon­kre­te Buß­geld­ri­si­ken für jedes Unter­neh­men und jeden Unter­neh­mer im Raum — und das nicht erst, wenn es zu einer Daten­pan­ne gekom­men ist. Untä­tig­keit, feh­ler­haf­te oder feh­len­de Rege­lun­gen in der sog. Auf­trags­da­ten­ver­ar­bei­tung (Out­sour­cing), feh­len­de oder zu spä­te oder pro for­ma Bestel­lung eines Daten­schutz­be­auf­trag­ten sind nur eini­ge Punk­te, die ganz ohne Daten­pan­ne zu einem Buß­geld führen.

Und wer glaubt, Geld zu spa­ren, bis es das Unter­neh­men im Rah­men einer Stich­pro­be, einer Beschwer­de oder im schlimms­ten Fall einer Daten­pan­ne erwischt und meint, sich dann erst des The­mas anneh­men zu müs­sen, für den hält § 43 BDSG Absatz 3 eine klei­ne Über­ra­schung parat: “Die Geld­bu­ße soll den wirt­schaft­li­chen Vor­teil, den der Täter aus der Ord­nungs­wid­rig­keit gezo­gen hat, über­stei­gen. Rei­chen die in Satz 1 genann­ten Beträ­ge hier­für nicht aus, so kön­nen sie über­schrit­ten wer­den.” Die Rech­nung kann also nicht aufgehen.

Chan­cen nutzen

Dabei kann Daten­schutz viel mehr sein, als die rei­ne Ver­mei­dung von Buß­gel­dern und Auf­la­gen. Moder­ne Unter­neh­men nut­zen die Chan­ce, um sich durch kon­se­quen­ten Daten­schutz vom Wett­be­werb abzu­he­ben. Sie set­zen nicht nur das gesetz­lich vor­ge­schrie­be­ne Min­dest­maß um, son­dern nut­zen Daten­schutz — oft in Ver­bin­dung mit Qua­li­täts­ma­nage­ment­pro­gram­men -, um kon­se­quent bes­ser zu wer­den und Vor­tei­le für sich zu nut­zen. Und die Vor­tei­le sind weit gefä­chert: begin­nend vom Qua­li­täts­merk­mal, um sich von Wett­be­wer­bern posi­tiv zu unter­schei­den, über Daten­schutz als Kun­den­bin­dungs­in­stru­ment bis hin zu den mög­li­chen Kos­ten­sen­kungs­po­ten­tia­len bei IT-Ausfällen.

Was kön­nen Sie tun?

Prü­fen Sie, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht vor­liegt! Wenn ja, dann holen Sie sich ein Ange­bot ein, um die wei­te­re Vor­ge­hens­wei­se und mög­li­che Kos­ten abzu­stim­men. Wenn nein, dann leh­nen Sie sich nicht zurück. Jetzt müs­sen Sie als Geschäfts­füh­rer /​ Unter­neh­mer selbst ran, um die gesetz­li­che vor­ge­schrie­be­nen Maß­nah­men zum Daten­schutz in Ihrem Unter­neh­men sicher­zu­stel­len. Feh­len Ihnen das Know-How und die Zeit? Auch dann ste­he ich Ihnen als Bera­ter mit mei­nen Leis­tun­gen zur Sei­te — ganz ohne Bestel­lung zum Daten­schutz­be­auf­trag­ten. Spre­chen Sie mich an. Die schlech­tes­te Alter­na­ti­ve: nichts tun und abwar­ten — das wird teuer!

Die mobile Version verlassen