Zum Inhalt springen

Datenverlust

Daten­schutz-Skan­dal: Anwalts-Akten lan­den im Altpapier

Tat­ort: Alt­pa­pier­con­tai­ner, Super­markt-Park­platz in Schwarzenbek

In die­sem fand ein ahnungs­lo­ser Bür­ger unzäh­li­ge Akten meh­re­rer Anwalts­kanz­lei­en, die über einen län­ge­ren Zeit­raum ange­legt wur­den. Bri­san­ter Inhalt: Pfän­dun­gen, Haft­an­trä­ge, ver­trau­li­che Infor­ma­tio­nen u.a. aus Recher­chen pri­va­ter Ermitt­ler. Lapi­da­rer Kom­men­tar des Lan­des­da­ten­schutz­be­auf­trag­ten Dr. Thi­lo Wei­chert (ULD): “Das hat defi­ni­tiv nichts in einem Alt­pa­pier­con­tai­ner zu suchen”. “Lei­der”, so Wei­chert, “pas­siert so etwas aber all­zu oft.”

Damit ist die Sache für die betrof­fe­nen Anwalts­kanz­lei­en jedoch nicht aus­ge­stan­den. Wei­chert hat die Unter­la­gen bereits ange­for­dert und wird der ille­ga­len Ent­sor­gung nach­ge­hen. Sehr zum Leid­we­sen der Anwalts­kam­mer, wel­che die Rechts­auf­fas­sung ver­tritt, die schles­wig-hol­stei­ni­sche Lan­des­da­ten­schutz­be­hör­de sei — und zwar aus Daten­schutz­grün­den — gar nicht zustän­dig, denn Anwäl­te wür­den der Schwei­ge­pflicht unter­lie­gen. Doch mit die­ser scheint es nicht weit her zu sein. Erfährt der Leser der gefun­de­nen Akten doch z.B. zahl­rei­che Details über die wirt­schaft­li­che Situa­ti­on der Mandanten.

Der gefun­de­ne Akten­sta­pel ist über einen hal­ben Meter hoch. Da der Alt­pa­pier­con­tai­ner voll war, klemm­ten die Akten unter dem Deckel und waren für jeder­mann ein­zu­se­hen, so der Finder.

Schwei­ge­pflicht ver­sus Datenschutz

Die­se Dis­kus­si­on fin­det man als Daten­schutz­be­auf­trag­ter sehr häu­fig in der täg­li­chen Pra­xis. Gesetz­lich vor­ge­schrie­be­ne Rege­lun­gen zur Auf­trags­da­ten­ver­ar­bei­tung wer­den ver­neint unter Bezug­nah­me auf die Schwei­ge­pflicht u.a. nach § 203 StGB Ver­let­zung von Pri­vat­ge­heim­nis­sen. Hier­zu hat das ULD eine Stel­lung­nah­me ver­öf­fent­licht, in der nach­voll­zieh­bar die Rege­lungs- und Umset­zungs­pflicht aus dem Bun­des­da­ten­schutz­ge­setz (BDSG) für Anwäl­te dar­ge­legt ist. So hat auch das Ber­li­ner Kam­mer­ge­richt unter dem Akten­zei­chen 2 Ss 23/​07, 1 Ws (B) 51/​07 — 2 Ss 23/​07 im August 2010 klar­ge­stellt, dass die Schwei­ge­pflicht und BDSG sich nicht erset­zen, son­dern ergänzen.

Der DAV (Deut­scher Anwalt­ver­ein) hat dies erkannt und sei­nen Mit­glie­dern in der Depe­che 2010–42 eine ent­spre­chen­de Check­lis­te für die Berei­che IT-Ein­satz, exter­ne Dienst­leis­ter, Daten­si­che­rung und Archi­vie­rung, Ver­schlüs­se­lung und die Bestell­pflicht eines Daten­schutz­be­auf­trag­ten zur Ver­fü­gung gestellt.

Quel­len:

Zum The­ma:
Hilf­rei­che Links
  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sende Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gige Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­nare.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

Daten­pan­ne am Nür­burg­ring — Lan­des­re­gie­rung stellt ver­trau­li­che Unter­la­gen ins Internet

Das rhein­land-pfäl­zi­sche Umwelt­mi­nis­te­ri­um bestä­tig­te ver­gan­ge­nen Mitt­woch die Daten­pan­ne. Ein bis­her durch Pass­wör­ter geschütz­ter Bereich wur­de ver­se­hent­lich öffent­lich geschal­tet. 120 Vor­la­gen für den Land­tag waren frei ein­seh­bar. Dar­un­ter 7 mit schüt­zens­wer­ten per­so­nen- oder fir­men­be­zo­ge­nen Daten. Die Lan­des­re­gie­rung will nun in Zusam­men­ar­beit mit dem Lan­des­da­ten­schutz­be­auf­trag­ten die Betrof­fe­nen ent­spre­chend der gesetz­li­chen Daten­schutz-Vor­ga­ben informieren.

Quel­le:

  • SWR: Lan­des­re­gie­rung zieht Kon­se­quen­zen aus Datenpanne

Daten­schutz am Arbeits­platz: Clean Desk Prin­zip /​ Clean Desk Policy


“Ein unauf­ge­räum­ter Schreib­tisch ist Daten­schutz pur — nichts mehr zu fin­den”, so ein Teil­neh­mer in einer der jüngs­ten Daten­schutz-Schu­lun­gen. Nach einem ers­ten Schmun­zeln in der Run­de wur­de die Aus­sa­ge im Kreis der Teil­neh­mer dis­ku­tiert. Schnell kris­tal­li­sier­te sich her­aus, dass das sog. Clean Desk Prin­zip — also das genaue Gegen­teil die­ser Aus­sa­ge — einen hilf­rei­chen Bei­trag zur Daten­si­cher­heit und Ver­trau­lich­keit leis­tet. Per­so­nen­be­zo­ge­ne Daten und Fir­men­ge­heim­nis­se sind geschützt und gelan­gen nicht in die Hän­de Unbe­fug­ter. Die zwei Grund­re­geln des Clean Desk Prinzips:

  1. Auf­räu­men: So lapi­dar es klingt, aber die ehr­li­che Ant­wort auf die ein­fa­che Fra­ge “Muss das hier rum­lie­gen?” in Ver­bin­dung mit dem anschlie­ßen­den Weg­räu­men ist bereits der ers­te gro­ße Schritt
  2. Abschlie­ßen: Bei län­ge­rer Abwe­sen­heit nicht nur Auf­räu­men, son­dern die ver­wahr­ten Gegen­stän­de wie Unter­la­gen, USB-Sticks, Daten­trä­ger etc. auch im Schrank oder Roll­con­tai­ner ein­schlie­ßen. Ach­ja, Schlüs­sel nicht ste­cken las­sen, sonst kann man sich die Mühe gänz­lich sparen
Bei die­sen Hand­grif­fen geht es nicht um das Befrie­di­gen der typisch deut­schen Ord­nungs­na­tur um ihrer Selbst wil­len. Mit ganz ein­fa­chen Mit­teln ist der Ver­lust von per­so­nen­be­zo­ge­nen Daten und Fir­men­in­ternas am eige­nen Arbeits­platz aus­ge­schlos­sen. Zumin­dest, wenn man die­se nicht selbst oder mut­wil­lig entwendet.
In ame­ri­ka­ni­schen Unter­neh­men fin­det man die sog. clean desk poli­cy in schrift­li­cher Form als Bestand­teil des Arbeits­ver­tra­ges mit allen Kon­se­quen­zen, die für Ver­stös­se gegen Unter­neh­mens­richt­li­ni­en vor­ge­se­hen sind. Die­se Anwen­dung der sog. “rei­nen Leh­re” erweist sich im All­tag als nicht sehr pra­xis­nah. Das heu­ti­ge Arbeits­le­ben for­dert Mul­ti­tas­king und lässt sel­ten Spiel­raum für ein Abar­bei­ten von Pro­jek­ten nach­ein­an­der. Aber jeder Schritt hin zu “Auf­räu­men & Abschlie­ßen” ist ein Schritt in die rich­ti­ge Rich­tung. Selbst wenn der Ide­al­zu­stand in der Pra­xis nie erreicht wer­den kann.

Kein Punkt­spiel: Daten­pan­ne bei TSG Hoffenheim

Eigen­tor

Wie die Rhein-Neckar-Zei­tung berich­te­te, erhiel­ten die Abon­nen­ten des ver­eins­ei­ge­nen Video­por­tals inter­es­san­te Post. Eine Email des Por­tals mit dem Betreff “Rück­ruf: achtzehn99 tv App” ent­hielt kei­nen Text­hin­weis auf den Rück­ruf. Dafür jedoch die Email-Adres­sen aller Abon­nen­ten. Dar­un­ter nicht nur geschäft­li­che Kon­takt­mög­lich­kei­ten z.B. zu Jour­na­lis­ten, son­dern auch pri­va­te Email-Adres­sen u.a. die des Sins­hei­mer Ober­bür­ger­meis­ters oder eines Betriebs­ra­tes der nahe­ge­le­ge­nen BASF.

Rote Kar­te

Die rote Kar­te gibt es nicht nur für die Daten­pan­ne, son­dern in Ver­bin­dung mit dem feh­len­den Kri­sen­ma­nage­ment im Anschluss. “Lei­der ist uns heu­te ein tech­ni­scher Feh­ler unter­lau­fen”, heißt es in dei­ner Mit­tei­lung lapi­dar und man wol­le sich “sehr herz­lich ent­schul­di­gen”. Fehl­an­zei­ge, wer auf eine Erklä­rung der Pan­ne hoff­te zusam­men mit getrof­fe­nen Maß­nah­men, um sol­che zukünf­tig zu ver­mei­den. Statt­des­sen prä­sen­tier­te der Ver­ein eine neue Soft­ware, um sich dann zu ver­ab­schie­den, als wäre nichts gesche­hen: “Wir wün­schen Ihnen und Euch wei­ter­hin gute Unter­hal­tung mit dem Ange­bot von acht​zehn99​.tv!”

Wäre wün­schens­wert, wenn TSG Hof­fen­heim beim Umgang mit per­so­nen­be­zo­ge­nen Daten in der glei­chen Liga spie­len wür­de wie mit dem run­den Leder. Ver­spro­chen wird dies auf der Ver­eins­web­sei­te bereits “Die TSG 1899 Hof­fen­heim Spiel­be­triebs GmbH nimmt den Schutz per­sön­li­cher Daten [.…] sehr ernst” zusam­men mit dem Ver­spre­chen, dass die Daten “nicht ohne Ihr aus­drück­li­ches Ein­ver­ständ­nis an Drit­te” wei­ter­ge­ge­ben wer­den.  Im Moment liegt der Ball jedoch weit im eige­nen Feld!

Quel­len:

  • https://​www​.daten​schutz​be​auf​trag​ter​-info​.de/​r​o​t​e​-​k​a​r​t​e​-​f​u​e​r​-​h​o​f​f​e​n​h​e​i​m​-​d​a​t​e​n​l​e​c​k​-​b​e​i​m​-​e​r​s​t​l​i​g​i​s​t​en/
  • https://​www​.stutt​gar​ter​-nach​rich​ten​.de/​i​n​h​a​l​t​.​m​a​i​l​a​d​r​e​s​s​e​n​-​v​e​r​o​e​f​f​e​n​t​l​i​c​h​t​-​d​a​t​e​n​p​a​n​n​e​-​b​e​i​-​1​8​9​9​-​h​o​f​f​e​n​h​e​i​m​.​0​c​e​0​7​6​4​7​-​f​7​9​7​-​4​8​e​3​-​b​2​0​c​-​1​b​5​1​f​d​6​0​c​f​a​b​.​h​tml
Hilf­rei­che Links
  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sen­de Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gi­ge Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­na­re.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

Daten­pan­ne bei REWE — mut­maß­li­cher Hacker unter­ge­taucht (Update)

“Für die Unter­neh­men der REWE Group sind ver­läss­li­che Pro­dukt­qua­li­tät und Sicher­heit obers­tes Gebot. Dar­auf kön­nen sich unse­re Kun­den ver­las­sen” — damit wirbt REWE auf sei­nen Inter­net­sei­ten. Erst bei genau­em Wei­ter­le­sen erkennt man, damit sind nur Pro­duk­te des Unter­neh­mens gemeint, nicht die Datensicherheit.

Das erkann­ten ver­gan­ge­ne Woche nun auch Com­pu­ter­ha­cker und mach­ten sich erfolg­reich über die IT-Infra­struk­tur her. Ziel und Opfer der Daten­pan­ne waren zwei Daten­ban­ken mit Namen, Adres­sen und Pass­wör­tern von Kun­den, die an einer Fuß­ball­bil­der-Sam­mel­ak­ti­on und einer Inter­net­tausch­bör­se teil­ge­nom­men hatten.

Nach Anga­ben des Unter­neh­mens waren hier­bei kei­ne Bank- und Kre­dit­kar­ten­da­ten betrof­fen und die Sicher­heits­lü­cke seit Frei­tag abend geschlos­sen. Anga­ben über die Dau­er des Daten­lecks wur­den kei­ne gemacht. In den Pres­se­mel­dun­gen des Unter­neh­mens und er Unter­neh­mens­grup­pe fin­det sich nichts zu die­sem Vor­fall (zum Zeit­punkt des Ver­fas­sens die­ses Arti­kels), die Infor­ma­ti­on stammt von der Ber­li­ner Mor­gen­post.

Daten­schutz tut Not

Die nicht abrei­ßen­de Flut an Daten­pan­nen der letz­ten Wochen zeigt deut­lich auf, es steht nicht zum Bes­ten um das The­ma Daten­schutz in Unter­neh­men. Nicht aus­rei­chend geprüf­te Soft­ware­up­dates, mona­te­lang bekann­te sträf­lich ver­nach­läs­sig­te Sicher­heits­lü­cken oder auch unzu­rei­chen­de Pass­wort­si­cher­heit füh­ren die Hit­lis­ten der Grün­de für die­se Daten­pan­nen an. Fra­gen Sie doch mal Ihren Daten­schutz­be­auf­trag­ten, was er gegen sol­che Vor­komm­nis­se an pro­ba­ten Mit­teln bereit­hält. Sie wer­den stau­nen. Apro­pos: hat Ihr Unter­neh­men über­haupt einen Daten­schutz­be­auf­trag­ten? Viel­leicht droht hier schon das nächs­te Unge­mach in Form eines Buß­gelds auf­grund feh­len­der oder ver­spä­te­ter Bestellung.

Auf jeden Fall soll­ten alle Betrof­fe­ne prü­fen, ob das bei REWE genutz­te Pass­wort auch an ande­rer Stel­le zum Ein­satz kam. Wenn ja, dann ist schnel­ler Wech­sel angesagt.

Update 18.07.2011, 16:27 Uhr:

Mitt­ler­wei­le ist eine Pres­se­mel­dung der REWE Group erschienen.

Update 20.07.2011, 09:45 Uhr:

Der Spie­gel berich­tet, die Log­in­da­ten inkl. Pass­wör­ter sind mitt­ler­wei­le frei im Netz ver­füg­bar. Die Pass­wör­ter lagen in den Sys­te­men von REWE in unver­schlüs­sel­ter Form vor und laden nun zum Miß­brauch ein. Jetzt heisst es für Betrof­fe­ne schnell reagie­ren und die­ses Pass­wort über­all da zu ändern, wo es mög­li­cher­wei­se noch zum Ein­satz kam.

Update 06.08.2011, 09:10 Uhr

hei­se mel­det im Ticker, die Köl­ner Poli­zei habe den mut­maß­li­chen Täter ermit­telt. Es soll sich dabei um einen 23-jäh­ri­gen han­deln, der zur Zeit flüch­tig ist. Der Ver­däch­ti­ge hat sich in ein­schlä­gi­gen Hacker­fo­ren im Inter­net über sei­ne Vor­ge­hens­wei­se beim Ein­drin­gen in die REWE-Sys­te­me geäußert.

Bedau­er­li­cher­wei­se führ­ten die­se Anlei­tun­gen zu wei­te­ren Angrif­fen, so die Köl­ner Kri­po. Wei­te­re Daten­ver­lus­te bis zu Abschal­tung der Sys­te­me sei­en durch­aus im Bereich des Möglichen.

Da die gehack­ten Kun­den­da­ten mitt­ler­wei­le im Inter­net ver­öf­fent­licht wur­den, kann der Appell an mög­li­che Betrof­fe­ne nur drin­gend wie­der­holt wer­den, mehr­fach ver­wen­de­te Pass­wör­ter schleu­nigst zu ändern, um Miß­brauch zu vermeiden.

Hilf­rei­che Datenschutz-Links

  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sen­de Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gi­ge Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­na­re.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

Ende des Ver­steck­spiels — Behör­den sol­len Daten­pan­nen offenlegen

Mel­de­pflicht von Datenpannen

Seit 2009 müs­sen sich Unter­neh­men, die per­so­nen­be­zo­ge­ne Daten “ver­lie­ren” und eine mel­de­pflich­ti­ge Daten­pan­ne ver­ur­sa­chen, unter ande­rem eigen­stän­dig bei der für sie zustän­di­gen Lan­des­da­ten­schutz­be­hör­de mel­den und die Betrof­fe­nen aus­führ­lich infor­mie­ren. Der erzie­he­ri­sche Effekt durch das Bekannt­wer­den in der Öffent­lich­keit ist bewußt eingeplant.

Gleich­be­rech­ti­gung — auch im Datenschutz?

Der Gesetz­ge­ber war jedoch der Mei­nung, “sei­ne” Behör­den und deren Daten­pan­nen von der Mel­de­pflicht aus­neh­men zu müs­sen. Über die Grün­de läßt sich nur spe­ku­lie­ren. Nur so ist jedoch zu erklä­ren, wie­so Ver­brau­cher Behör­den mit der Schul­no­te 2,9 noch als ver­trau­ens­wür­di­ger vor allen ande­ren “Bran­chen” ein­stu­fen. Pan­nen wer­den meist nur durch den Pro­test sei­tens Betrof­fe­ner bekannt.

Kri­tik vom Bundesdatenschutzbeauftragten

Der Bun­des­da­ten­schutz­be­auf­trag­te Peter Schaar übt Kri­tik. Sei­ner Mei­nung nach müss­ten Behör­den hier den glei­chen stren­gen Rege­lun­gen unter­wor­fen wer­den wie Unter­neh­men. Behör­den und Ver­wal­tun­gen set­zen auf EDV-gestütz­te Ver­fah­ren, sind unter­ein­an­der ver­netzt, spei­chern teil­wei­se sen­si­ble­re Infor­ma­tio­nen als die meis­ten Unter­neh­men. Schaar sieht kei­nen Grund, war­um hier mit unter­schied­li­chen Maß­stä­ben bemes­sen wird.

“Eine sol­che Infor­ma­ti­ons­pflicht moti­viert die ver­ant­wort­li­chen Stel­len, mehr für die Daten­si­cher­heit und den Daten­schutz zu tun. Ich kann über­haupt nicht nach­voll­zie­hen, war­um hier für Daten­schutz­ver­stö­ße staat­li­cher und pri­va­ter Stel­len unter­schied­li­che Maß­stä­be ange­legt werden.”

Er emp­fiehlt, das Ber­li­ner Lan­des­da­ten­schutz­ge­setz zum Vor­bild zu neh­men. Dies sieht in § 18 a BlnDSG bereits die Mel­de­pflicht für Behör­den vor.

Wie ist Ihre Mei­nung dazu? Hin­ter­las­sen Sie einen Kom­men­tar, dis­ku­tie­ren Sie mit.

Hilf­rei­che Datenschutz-Links

  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sen­de Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gi­ge Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­na­re.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

Scha­den aus Hacker­an­griff gegen Kre­dit­kar­ten­kun­den der Citigroup geht in die Millionen

Vor kur­zem ging es durch die Pres­se: die US-Groß­bank Citigroup wur­de gehackt und die Daten von ca. 360.000 Kre­dit­kar­ten­kun­den ent­wen­det. Nun mel­det das “Wall Street Jour­nal” unter Beru­fung auf inter­ne Krei­se, daß unge­fähr 3.400 betrof­fe­ne Kre­dit­kar­ten­in­ha­ber einen Scha­den in Höhe von 2,7 Mil­lio­nen US-Dol­lar durch den Miß­brauch der ent­wen­de­ten Daten erlit­ten haben.

Die Cyber-Kri­mi­na­li­tät nimmt ste­tig zu, das Gefühl der Sicher­heit kann schnell trü­gen. Das haben Hacker-Atta­cken der letz­ten Wochen zur Genü­ge bewiesen.

Ein Grund mehr, kon­ti­nu­ier­lich an der Sicher­heit der IT-Sys­te­me Ihres Unter­neh­mens zu arbei­ten. Opti­mal, wenn Sie dabei früh­zei­tig Ihren Daten­schutz­be­auf­trag­ten ein­bin­den. Sie haben kei­nen Daten­schutz­be­auf­trag­ten? Dann ist viel­leicht höchs­te Zeit.

Behör­den mischen mit: Daten­pan­ne bei Kfz-Steu­er in Baden-Württemberg

Nur nicht drän­geln, jeder darf ein Mal

Das Behör­den vor Daten­schutz­pan­nen nicht gefeit sind, zeigt das Land Baden-Würt­tem­berg und bringt etwas Abwechs­lung in die Lis­te aktu­el­ler Ver­ur­sa­cher von Datenpannen.

Der Lan­des­da­ten­schutz­be­auf­trag­te nahm dazu heu­te öffent­lich auf sei­ner Web­sei­te Stel­lung.

Frei­zü­gig­keit? Nicht bei der Steu­er­be­mes­sung, jedoch bei der Datenübermittlung

Kfz-Steu­er­pflich­ti­ge Bür­ger trau­ten ihren Augen nicht. Der Abbu­chungs­text der fäl­li­gen Kfz-Steu­er auf dem Kon­to­aus­zug ent­hielt neben den übli­chen Anga­ben wie Namen des Steu­er­pflich­ti­gen, Kfz-Kenn­zei­chen und Steu­er­sum­me noch wei­te­re Details parat: Anga­ben zu Steu­er­num­mern und Umsatz­steu­er ande­rer Bür­ger und Unter­neh­men sowie zur Religionszugehörigkeit.

Feh­len­de Rechtsgrundlage

Kei­ne noch so wohl­wol­len­de Bewer­tung des Vor­gangs wird eine recht­li­che Legi­ti­ma­ti­on die­ser umfas­sen­den Daten­über­mitt­lung an die mit dem Last­schrift­ver­fah­ren beauf­trag­ten Kre­dit­in­sti­tu­te her­vor­brin­gen. Die Über­mitt­lung fand in der Zeit vom 17. Juni bis 20. Juni 2011 statt. Das Last­schrift­ver­fah­ren wur­de umge­hend gestoppt.

Die Soft­ware ist schuld

Der Übel­tä­ter war schnell gefun­den. Nach dem Update der genutz­ten Soft­ware ist der Feh­ler auf­ge­tre­ten. Im Umkehr­schluß bedeu­tet dies jedoch, die Ver­ant­wort­li­chen haben Ihre Kon­troll­funk­ti­on nicht rich­tig wahr­ge­nom­men. Soft­ware­ak­tua­li­sie­run­gen sind vor dem Ein­spie­len in Pro­duk­tiv­sys­te­me aus­führ­lich und gewis­sen­haft zu tes­ten. Einer­seits wer­den dadurch Sicher­heits­ri­si­ken für die Sys­te­me sowie Daten­ver­lust und letzt­end­lich auch sol­che Daten­pan­nen ver­mie­den. Sys­te­me mit sen­si­blen Daten soll­ten stets  nach dem Mehr-Augen-Sys­tem geprüft werden.

Ver­meid­bar?

Feh­ler kön­nen jedem pas­sie­ren, alle Betei­lig­ten sind auch nur Men­schen. Von daher sind sol­che Pan­nen nie aus­zu­schlie­ßen. Jedoch kann das Risi­ko aktiv mini­miert wer­den. Wie? Das erklärt Ihnen ger­ne Ihr Daten­schutz­be­auf­trag­ter. Sie haben kei­nen? Dann spre­chen Sie uns an, bevor Sie bei einer mög­li­chen Bestell­pflicht auch ganz ohne Daten­pan­nen einem berächt­li­chen Buß­geld­ri­si­ko aus­ge­setzt sind.

Update

Zu die­sem Bei­trag erreich­te uns eine Email-Anfra­ge, die wir ger­ne öffent­lich ohne Nen­nung des Anfra­gen­den beant­wor­ten. Die Fra­ge lau­te­te knapp: “Wie­so müs­sen Behör­den kei­ne Buß­gel­der bezah­len, wenn gegen Daten­schutz­be­stim­mun­gen ver­sto­ßen wird?”

Ohne auf recht­li­che Hin­ter­grün­de ein­ge­hen zu wol­len, wer­fen wir einen Blick auf das Rech­te-Tasche-Lin­ke-Tasche-Prin­zip. Eine Behör­de als öffent­li­che Ein­rich­tung  wür­de das Buß­geld aus der Staats- oder Lan­des­kas­se (je nach Ebe­ne) in die Staats- oder Lan­des­kas­se bezah­len. Wo wür­de da der ange­dach­te Straf­cha­rak­ter bleiben?

Phis­hing-Emails an Kun­den von K&M Elektronik

Mehr oder weni­ger hei­ter weiter

hei­se secu­ri­ty infor­miert heu­te im News­ti­cker über einen aktu­el­len Miß­brauch von Kun­den­da­ten nach einer bereits län­ger zurück­lie­gen­den Daten­pan­ne — die­ses Mal bei dem bekann­ten Elek­tronik­händ­ler K&M Elek­tro­nik. Damit reiht sich das Unter­neh­men in eine ste­tig wach­sen­de Lis­te illus­trer Mar­ken­un­ter­neh­men mit Daten­pan­nen ein.

Seit 2009 in den Hän­den von Hackern

Wie das Unter­neh­men gegen­über dem Ver­lag bestä­tig­te, ist die Kun­den­da­ten­bank bereits im Novem­ber 2009 in die Hän­de von Hackern gefal­len, Anschrif­ten und EMail-Adres­sen inklu­si­ve. Trotz wei­te­rer Sicher­heits­maß­nah­men wur­den im Mai 2011 erneut Kun­den­da­ten entwendet.

Phis­hing frei Haus

Die betrof­fe­nen Inha­ber der gestoh­le­nen Email-Adres­sen erhiel­ten nun die fro­he Bot­schaft ins Post­fach: K&M gibt zum 15-jäh­ri­gen Jubi­lä­um des Online-Shops einen Gut­schein aus. Link ankli­cken, Gut­schein per Java-App­let gleich erstel­len las­sen und den Gut­schein­code einlösen.

Der Haken: das Java-App­let küm­mert sich nicht um den Wunsch des Besu­chers nach einem Gut­schein, son­dern ver­folgt eige­ne Inter­es­sen. Eine Schad­rou­ti­ne wird nach­ge­la­den und instal­liert, das Sys­tem des arg­lo­sen Besu­chers ist verseucht.

Kri­sen­ma­nage­ment?

K&M reagier­te, nahm die allem Anschein nach mit­tels SQL-Injec­tion ver­seuch­ten Sys­te­me vom Netz.  und infor­mier­te über die Face­book-Sei­te des Unter­neh­mens. Da auf den befal­le­nen Sys­te­men eben­falls die Mail­funk­tio­nen ablie­fen, konn­ten die betrof­fe­nen Kun­den nicht per Email infor­miert und gewarnt werden.

Mitt­ler­wei­le ist die Sicher­heits­lü­cke geschlos­sen, die Sys­te­me sind wie­der online. Ein Hin­weis im Online-Shop infor­miert Besu­cher über die Phis­hing-Gefahr. Es fehlt jedoch jeg­li­cher Hin­weis auf die zuvor gehack­ten Kun­den­da­ten. Laut Mel­dung des hei­se-Tickers sieht K&M auch kei­ne direk­te Infor­ma­ti­on der Betrof­fe­nen z.B. per Email vor. Wie übri­gens schon zuvor nicht, als in der Ver­gan­gen­heit die Kun­den­da­ten abhan­den gekom­men sind.

Kri­sen­ma­nage­ment und das Ernst­neh­men der Daten­schutz­in­ter­es­sen von Kun­den sehen anders aus. Die­se Ansicht tei­len die meis­ten Kom­men­ta­to­ren der Face­book-Mel­dung vom K&M. Das sel­be Bild zeich­net sich eben­falls in den Foren­bei­trä­gen auf hei­se online ab — “the cus­to­mers are not amu­sed” in Anbe­tracht einer sol­chen Informationspolitik.

Vor­beu­gen ist besser …

… als hin­ter­her die Scher­ben zusam­men­zu­keh­ren. Die­ses State­ment fin­det auf alle pro­mi­nen­ten Daten­pan­nen der letz­ten Tagen und Wochen Anwen­dung. Was emp­fiehlt der Daten­schutz­be­auf­trag­te eines Unter­neh­mens? BSI Grund­schutz­ka­ta­log, regel­mä­ßi­ge Stress­tests und Sicher­heits­up­dates, kon­ti­nu­ier­li­che Sen­si­bi­li­sie­rung der Mit­ar­bei­ter und Unter­neh­mens­lei­tung und … und … und …

Sie haben gar kei­nen Daten­schutz­be­auf­trag­ten? Das könn­te ein Pro­blem sein. Liegt näm­lich eine Bestell­pflicht vor, ris­kie­ren Sie bereits jetzt ein Buß­geld — ganz ohne Daten­pan­ne. Spre­chen Sie uns an — wir prü­fen kos­ten­frei, ob eine sol­che Bestell­pflicht für Ihr Unter­neh­men vorliegt.

Jeder darf mit­ma­chen — nun auch Daten­pan­ne bei Sega

Die Geis­ter, die ich rief

Nur böse Zun­gen behaup­ten, PwC hät­te mit der vor­ge­leg­ten Stu­die zum Daten­schutz in Unter­neh­men (“Nichts dazu­ge­lernt? Unter­neh­men pfei­fen auf Daten­schutz”) die bösen Geis­ter geru­fen, die nun dazu füh­ren, daß rei­hen­wei­se bekann­te und teil­wei­se glo­ba­le Mar­ken­un­ter­neh­men mit Daten­pan­nen in den Medi­en landen.

Man muß kein Insi­der sein, um zu erken­nen, daß ein Gemisch aus laxem Umgang mit dem The­ma Daten­schutz, teil­wei­se ver­al­te­ten IT-Sicher­heits­me­cha­nis­men und dem Fak­tor Mensch die Ursa­che ist.

Der Nächs­te bitte

Nach Sony, Apple, Face­book, Necker­mann, Acer, o2, citi­bank war nun laut meh­re­ren Medi­en­be­rich­ten Sega an der Rei­he. Deren Online-Netz­werk Sega-Pass sei ange­grif­fen und Kun­den­da­ten ent­wen­det wor­den. Betrof­fen sol­len Per­so­nen­da­ten sowie die ver­schlüs­sel­ten Pass­wör­ter sein. Zah­lungs­da­ten wären wohl nicht betroffen.

Reden ist Sil­ber, Schwei­gen ist Gold

Sega hat das Pass-Sys­tem der­weil vom Netz genom­men, angeb­lich um neue Funk­tio­nen ein­zu­pfle­gen. Eine offi­zi­el­le Stel­lung­nah­me zu dem mög­li­chen Vor­fall ist nicht zu finden.

Die Hin­ter­män­ner

Unklar ist zur Zeit noch, wer hin­ter der Atta­cke ste­cken könn­te. Die Hacker­grup­pe Lulz­Sec, die sich zu dem Angriff auf Sony bekann­te, weist jede Ver­ant­wor­tung von sich. Iro­ni­scher­wei­se bie­tet sie Sega bei Twit­ter nun Hil­fe an, die Schul­di­gen aufzuspüren:

Lulz­Sec: “@Sega — cont­act us. We want to help you des­troy the hackers that atta­cked you. We love the Dream­cast, the­se peo­p­le are going down.”

Vor­beu­gen ist besser

Früh­zei­ti­ge Ein­bin­dung des Daten­schutz­be­auf­trag­ten in (IT-) Pro­jek­te, regel­mä­ßi­ges Moni­to­ring der inter­nen IT-Sicher­heits­maß­nah­men, Aktua­li­sie­rung der IT-Sys­te­me (z.B. Sicher­heits­patches), grund­le­gen­de Model­lie­rung nach dem BSI Grund­schutz­ka­ta­log sowie fort­lau­fen­de Sen­si­bi­li­sie­rung der Mit­ar­bei­ter und Unter­neh­mens­lei­tung zum The­ma Daten­schutz und Daten­si­cher­heit schlie­ßen zwar sol­che Daten­pan­nen nicht aus, redu­zie­ren aber das Risi­ko deut­lich. Ein guter Daten­schutz­be­auf­trag­ter hält als Kri­sen­ma­na­ger für den hof­fent­lich nicht ein­tre­ten­den Fall einer Daten­pan­ne eine fest­ge­leg­te Ver­fah­rens­wei­se parat, wel­che den offe­nen Umgang mit dem Vor­fall im Zusam­men­spiel mit den Daten­schutz­be­hör­den und den Betrof­fe­nen vorsieht.

Sie haben gar kei­nen Daten­schutz­be­auf­trag­ten im Unter­neh­men? Dann ver­sto­ßen Sie mög­li­cher­wei­se bereits ganz ohne Daten­pan­ne gegen das Bun­des­da­ten­schutz­ge­setz und set­zen Ihr Unter­neh­men unnö­tig einem Buß­geld­ri­si­ko bis 50.000 EUR aus. Im Zwei­fel nut­zen Sie unse­ren Online-Fra­ge­bo­gen und erhal­ten Klar­heit in Ver­bin­dung mit einem trans­pa­ren­ten und nach­voll­zieh­ba­ren Ange­bot zu dar­stell­ba­ren Preisen.

Die mobile Version verlassen