Strafe gegen Life at Parliament View Limited

Strafe gegen Life at Parliament View Limited

Eine britishe Firma namens Life at Parliament View Limited (LVPL) wurde zur Zahlung einer Geldstrafe in Höhe von £ 80.000,- (ca. € 90.000,-) verurteilt.

Hintergrundinformationen

Das Unternehmen ist im Bereich Vermietung, Immobilienverkauf und Hausverwaltung tätig. Im Zuge dieser Tätigkeiten sollten Daten an ein Partnerorganisation weitergeleitet werden. Für diesen Zweck hat die Firma einen FTP-Server verwendet. Die Partnerorganisationen konnten über diesen die benötigten Daten abrufen (herunterladen).

Ursprünglich war dieser FTP-Server verwendet worden um Fotografien von Immobilien zu transferieren. Für die neue Datenübertragung wurde der Verwendungszweck abgeändert. Der Server wurde mit Hilfe von Leitfäden von der Microsoft Homepage konfiguriert. Jedoch wurde von LVPL vergessen den anonymen Zugriff (anonymous authentification) abzuschalten. Daher konnte sich jeder Benutzer mit dem Benuzernamen „anonymous“ sowie keinem Passwort auf dem Server anmelden und die Ordner durchsuchen. Viele FTP Programme führen diesen Anmeldeversuch automatisch durch, weshalb die Dateien de facto ungesichert im Internet verfügbar waren.

Folgende Informationen enthielt die 18.610 Datensätze:

• Vor- und Nachname
• E-Mail Adresse
• Telefonnummern
• Post-Adresse (aktuelle und vorherige)
• Geburtsdatum
• Einkommen der Person
• Informationen zum aktuellen Beruf (Firma, Position, Gehalt, Kontaktinformationen etc.)
• Name und Kontaktdaten des Buchhalters
• Fotokopie des Reisepasses
• Fotokopie des Führerscheins
• Finanzamt-Informationen
• Kontonummern
• Rechnungen mit Informationen zum Haushaltsverbrauchs (Gas, Elektrizität, Wasser)

Aufgrund der Fülle der vorhandenen Informationen besteht ein großes Risiko für die Betroffenen. Durch die zahlreichen Daten ist ein Identitätsdiebstahl für einen Kriminellen einfach durchzuführen.

Die Daten waren für ca. zwei Jahre frei abrufbar. Entdeckt wurde der Umstand im Februar 2017 durch LVLP selbst. Das Unternehmen hat sofort reagiert und die Daten abgesichert. Eine Meldung an die Datenschutzbehörde erfolgte nicht.

Da alle Zugriffe automatisch protokolliert wurden, konnte festgestellt werden, dass insgesamt 511.912 Mal anonym auf die Daten zugegriffen wurde. Der Zugriff erfolgte dabei von 1.213 verschiedenen IP-Adressen. Viele Zugriffe erfolgten in regelmäßigen Abständen, daher ist davon auszugehen, dass diese Zugriffe automatisiert erfolgt sind.

Im Oktober 2017 wurde das Unternehmen von einer Person kontaktiert, welche auf diese Daten zugegriffen hatte und verlangte ein Lösegeld. Andernfalls würden die Daten veröffentlicht werden. Die Person konnte den Zugriff belegen, indem es abgegriffene Datensätze an LVLP übermittelte. Erst jetzt erfolgte die Meldung an die britische Datenschutzbehörde (ICO).

Untersuchung der Datenschutzbehörde

ICO leitete aufgrund der Vorfälle eine offizielle Untersuchung ein. Dabei wurde der gesamte Vorgang bis ins Jahr 2015 analysiert. Aufgrund der oben genannten Umstände machte die Behörde das Unternehmen für den Datendiebstahl voll verantwortlich.

Nach Angaben von ICO hat das Unternehmen LVLP in den Jahren 2016 und 2017 einen hohen Betrag in die Verbesserung der internen EDV investiert. Im Zuge dieser Arbeiten wurde auch der ungesicherte FTP-Server bemerkt.

Weiters wurde von einer Beschwerde eines Kunden berichtet. Dieser führte an, dass seine Kreditkarte missbräuchlich verwendet wurde, weshalb seine Kreditwürdigkeit herabgestuft wurde. Dieser Vorfall ereignete sich wenige Tage nachdem der Kunde in die Kundendatei von LVLP aufgenommen wurde. Das Unternehmen konnte zu diesem Zeitpunkt aber keine Verbindung herstellen. Der Vorfall ereignete sich im April 2017 und somit vor Entdeckung des Datenlecks.

Ein weiterer, wesentlicher Aspekt ist, dass die Datenschutzbehörde klargestellt hat, dass die Datenverarbeitung grundsätzlich nicht dem Stand der Technik entsprochen hat. Wäre der anonyme Zugriff nicht aktiviert gewesen, dann wäre die Datenübertragung über das unverschlüsselte FTP-Protokoll für personenbezogene Daten trotzdem ungeeignet. Eine verschlüsselte Verbindung wäre zwingend notwendig gewesen, wie diese beispielsweise bei den beiden Nachfolger-Protokollen SFTP und FTPS vorhanden ist.

Nach Abschluss der Untersuchung verhängte die Behörde ein Bußgeld in Höhe von £ 80.000,- (ca. € 90.000,-). Der lange Zeitraum der Datenschutzverletzung, die hohe Anzahl an entwendeten Daten sowie die Tatsache, dass diese missbräuchlich verwendet wurden war ausschlaggebend für die hohe Strafe. Gleichzeitig erfolgte die Meldung an die Datenschutzbehörde verspätet. Die Datenschutz-Grundverordnung schreibt vor, dass Unternehmen nach Entdecken eines Datenschutzverstoßes spätestens nach 72 Stunden eine Meldung an die zuständige Datenschutzbehörde machen müssen.

Fazit

Die Firma Life at Parliament View Limited hat gleich mehrere Fehler begangen. Einerseits wurde die verwendete Technologie falsch konfiguriert, zum anderen wurde eine veraltete Technologie verwendet.

Es zeigt sich einmal mehr, dass die Anforderung der DSGVO, eine Verarbeitung am Stand der Technik durchzuführen eine große Herausforderung für Unternehmen ist. Die Sicherheitssysteme müssen ständig aktuell gehalten werden und die verwendeten Programme müssen regelmäßig überprüft werden. Gerade für kleine Firmen ohne eigener EDV-Abteilung sind diese Anforderungen nur schwer umzusetzen. Es braucht einen verlässlichen Partner, der die Systeme wartet und aktuell hält.

Als zertifizierter Sophos-Partner können wir Ihnen eine maßgeschneiderte Lösung bieten, um Ihre IT-Systeme bestmöglich abzusichern. Dank der einzigartigen Synchronized Security (synchronisierte Sicherheit) können Bedrohungen schneller und gezielter abgewehrt werden. Dank neuronaler Netze werden sogar die neuesten Bedrohungen sofort erkannt und alle Systeme automatisch gewarnt.

Sophos Sicherheitslösungen sind Teil unseres Datenschutz- und Datensicherheitspakets.

Entscheidungsdatum:
19.07.2019

Land:
Großbritannien

Art des Verstoßes:
Datendiebstahl

Betroffene Datensätze:
18610

Waren sensible Daten betroffen?:
Nein

verhängte Geldstrafe:
€ 90,000,-

Quelle:
Entscheidung der britischen Datenschutzbehörde ICO (englisch)