piwik no script img

Datenschutzleck in LübeckBehördendaten bei Ebay

Ein Laptop mit vertraulichen Mails landete versehentlich in einer Online-Auktion. Er wurde zuvor von der Lübecker Ausländerbehörde genutzt.

Festplatten mit sensiblen Daten vor dem Verkauf ausbauen: Das kannte man in Lübeck wohl nicht Foto: Matthias Balk/dpa

Digitalisierung ist in Lübeck Chefsache. Die Stadt, die sich gern als „Smart City“-Vorreiterin sieht, baute 2020 eine IT-Strategieabteilung auf und gab sich ein „Rahmenkonzept Digitale Strategie“. Darin heißt es, „der verantwortungsvolle Umgang mit Informationen“ sei „von besonderer Bedeutung für die Hansestadt, (…) insbesondere was personenbezogene Daten betrifft“. Vergangenen Freitag deckte das Computermagazin C’t einen Datenskandal auf, der zum Umgang der Stadt mit personenbezogenen Daten einige Fragen aufwirft.

Der Mitarbeiter eines privaten Unternehmens hatte dem Magazin eine Festplatte zugeschickt, die hoch brisantes Material enthält. Darauf war der E-Mail-Verkehr der Lübecker Ausländerbehörde zwischen Anfang 2016 und Mitte 2021 zu finden, mit 31 NutzerInnen­konten und insgesamt 33.400 vertraulichen und teils hoch brisanten Mails.

Auf der Festplatte fanden sich außerdem detaillierte Informationen zu 18 aktuellen und ehemaligen MitarbeiterInnen der Behörde und 48 komplette Akten zu Visa-Anträgen. Viele der Daten sollten nach der Datenschutzgrundverordnung strengstens geschützt werden, etwa zu Religion, sexueller Ausrichtung und ethnischer Herkunft sowie Verdienst- und Vermögensnachweise.

Der Informant hatte die Festplatte in einem Computer gefunden, den er für sein Unternehmen beim Online-Auktionshaus Ebay gekauft hatte. Es waren ausgemusterte Behörden-Rechner, die eigentlich ohne Festplatten angeboten wurden. „Bei einem Teststart“, schreibt C’t, „meldete sich Windows 7 mit einem Desktop-Hintergrund der Hansestadt Lübeck.“ Die Daten waren ohne detaillierte IT-Kenntnisse zugänglich.

Offenbar wusste die Stadt schon Anfang Januar davon

Der Computer gehört zu 2.600 Rechnern, die die Stadt Ende vergangenen Jahres erneuert hat. Die Landesdatenschutzbeauftragte Marit Hansen sagte gegenüber C’t, dass nach der Datenschutz- und Durchführungsverordnung des Landes „Datenträger mit sensiblen Daten vor der Verwertung ausgemusterter PCs aus dem Rechner entfernt und anschließend vernichtet werden müssen“. Das ist offenbar nicht geschehen.

Stattdessen wurden die alten Computer, offenbar mindestens zum Teil mit Festplatte, einem Dienstleister für den Verkauf übergeben. Die städtische IT-Abteilung sei mit etwa einem guten Dutzend MitarbeiterInnen zu klein, um das allein zu stemmen, sagt Oliver Prieur, der Fraktionsvorsitzende der Lübecker CDU, die in der Lübecker Bürgerschaft mit der SPD eine große Koalition bildet. Vor diesem Hintergrund ist allerdings erstaunlich, dass der beauftragte Dienstleister als Einzelunternehmer, also komplett ohne MitarbeiterInnen, bei 2.600 PCs für die Löschung der Daten verantwortlich war.

Aufgrund eines laufenden Verfahrens möchte er sich gegenüber der taz nicht zu dem Vorfall äußern. Bürgermeister Jan Lindenau (SPD) schiebt ihm die Verantwortung zu: Er sei laut Vertrag für die Entsorgung der Festplatten verantwortlich gewesen und hätte bestätigt, dass er „sämtliche auf der Hardware befindlichen Daten durch unwiederherstellbare Zerstörung der Datenträger“ vernichtet habe.

Offenbar wusste die Stadt schon Anfang Januar von dem Datenschutzleck und meldete es der Landes-Datenschutzbeauftragten, die bis für die taz bislang nicht erreichbar war. Die Öffentlichkeit erfuhr von der Panne erst durch die Berichterstattung von C’t. „Aus ermittlungstaktischen Gründen“, sagt die Stadt. Auch die Geschädigten wurden, entgegen den gesetzlichen Vorgaben, nicht informiert. Ob möglicherweise weitere PCs mit sensiblen Daten verkauft wurden, ist nicht bekannt.

„Aktuell keine Konsequenzen“

Für den Lübecker CDU-Fraktionschef Oliver Prieur wirft der Vorfall „eine Menge Fragen auf“. Es gehe nicht, dass der Bürgermeister sich als großen Datenschützer hinstelle – „und dann passiert so etwas“. Eine seiner Fragen ist, warum überhaupt so viele Mails lokal auf dem Rechner anstatt auf dem städtischen Server gespeichert waren. Laut C’t liegt das an der Software: Gearbeitet wurde mit dem unverschlüsselten Outlook-E-Mail-Client.

Trotzdem hat das Datenleck für die Stadt „aktuell keine Konsequenzen“, sagt Stadtsprecherin Nicole Dorel, „da die bisherigen Überprüfungen keine Fehler im gültigen Prozess erkennen lassen“. Dieser Prozess basiere vor allem auf einer Geschäftsanweisung für die Verwaltung und regelmäßigen, verpflichtenden Datenschutz-Fortbildungen.

„IT und Lübeck, das geht einfach nicht zusammen“, findet Bastian Langbehn, Vorsitzender der Partei Die PARTEI in Lübeck. „Die Festplatten müsste man nur auf einen Magneten legen, und die meisten Daten sind vernichtet.“ Doch die Computer seien weitergegeben worden, „als hätten sie sie nur herunter­gefahren“.

Bürgermeister Jan Lindenau möchte nun das Computermagazin dafür anzeigen, „dass es mit unzulässigen Mitteln Daten geknackt hat“. Langbehn schlägt ihm etwas anderes vor: „Er soll ihnen lieber Marzipan schicken als Dankeschön, dass sie das aufgedeckt haben – und überlegen, was das hätte anrichten können.“

taz lesen kann jede:r

Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen

Mehr zum Thema

20 Kommentare

 / 
  • Ein Einzelunternehmer kann durchaus Angestellte haben. Das sagt nichts über die Unternehmensgröße sondern nur über die Rechtsform (im Gegensatz zu GmbH, AG etc.) aus.

  • Offenbar halten weder die Verfasserin des Artikels noch die hiesigen Kommunarden es für besonders kritikwürdig, dass bereits lange vor dem Verkauf des Rechners mit den vertraulichen Daten rumgeschlampt wurde:



    Es ist nämlich mit Sicherheit rechtlich vorgeschrieben, dass Computer, auf denen sich vertrauliche Daten befinden, vor unbefugtem Zugriff angemessen zu schützen sind - also zumindest durch ein sehr sicheres Passwort, besser zusätzlich noch durch Verschlüsselung der Datenpartition.



    Da das offensichtlich nicht der Fall war, hatte jede(r), der im Behördengebäude Zugang zu dem Rechner erlangen konnte (von der Reinigungskraft bis zur Behördenleitung), auch Zugang zu sämtlichen darauf befindlichen Daten:



    Zitat Artikel: "„Bei einem Teststart“, schreibt C’t, „meldete sich Windows 7 mit einem Desktop-Hintergrund der Hansestadt Lübeck.“ Die Daten waren ohne detaillierte IT-Kenntnisse zugänglich."



    Und genau diese Leute (nicht die von C't, sondern die Staatsdiener!) wehren jedes berechtigte Auskunftsbegehren aus vorgeblichen Datenschutzgründen ab ...

  • So, so, der Herr Bürgermeister Jan Lindenau möchte uns (die c't) also Anzeigen..



    Na, da freuen wir uns doch gewaltig. Immer ran, Herr Bürgermeister. Wäre doch schön, wenn der Vorgang dieser Datenschlamperei dann wenigstens auf diesem Wege gerichtlich aufgeklärt würde.



    Es ist ja nicht nur so, dass der Hansestadt eine Festplatte mit sensibelsten Daten abhanden gekommen ist. Nein, auch die Gründe, warum so viele hochsensible Daten da auf den PCs der Mitarbeiter gelangen konnten, sollten mal näher beleuchtet werden..

    • @Georg Schnurer:

      Herr Schnurer fragt sich also, warum so viele hochsensible Daten auf die PCs gelangen konnte, und stellt das als ein Problem dar. Er fragt sich aber nicht, was die c't-Redaktion geritten hat, eine ihr zugeschickte Festplatte anzuschauen und die dort gespeicherten personenbezogenen Daten auszulesen.

      • @Django:

        ..was uns geritten hat? Ernsthaft?



        Es ist der verfassungsmäßige Auftrag der Presse, Skandale, insbesondere in Behörden und Verwaltungen, öffentlich zu machen. Das gehört zu unserer Demokratie dazu. Ohne die Platte zu analysieren - wohl gemerkt ganz ohne forensische Tools - können wir den Skandal nun mal nicht aufdecken.



        Schnauze halten ist nicht Aufgabe der Presse...

        • @Georg Schnurer:

          anschließe mich - einen übers Maul - Schonn •

      • @Django:

        Liggers. DJANGO - hat ja bekanntlich immer seinen Freund ⚰️ dabei. Aber.



        Wie meinen?



        Investigativer Journalismus



        “ Als Quellen verwenden investigative Journalisten häufig sogenannte Whistleblower. Dies sind Personen, die etwa in den untersuchten Institutionen beschäftigt sind und geschützte oder geheime Informationen an die Presse geben, oft unter Inkaufnahme persönlicher Risiken. Im Internet helfen sogenannte Enthüllungsplattformen wie etwa WikiLeaks, die Anonymität der Whistleblower zu wahren. Zahlreiche von investigativen Journalisten aufgedeckte Skandale konnten nur durch derart gewonnene Informationen aufgedeckt werden, etwa die Watergate-Affäre oder der Datenschutzskandal um die Spionageprogramme PRISM und Tempora.“

        kurz - That‘s the job.



        Danke.

        unterm——-



        de.wikipedia.org/w...tiver_Journalismus



        “ In der Bundesrepublik deckte Hans Leyendecker, Mitarbeiter des Nachrichtenmagazins Der Spiegel, später der Süddeutschen Zeitung, die Flick-Affäre und die CDU-Schwarzgeldaffäre auf. Weitere Beispiele sind die Kießling-Affäre, aufgedeckt von Udo Röbel, und die Barschel-Affäre, aufgedeckt vom Spiegel. Mit dem Berliner „Filz“ beschäftigte sich Mathew D. Rose (Berlin, Hauptstadt von Filz und Korruption, 1997, und Eine ehrenwerte Gesellschaft, 2003). Von dem Frankfurter Publizisten und Organisierte-Kriminalität-Sachkundigen Jürgen Roth kam 2004 mit Ermitteln verboten! ein Reportage-Buch über die Grenzen polizeilicher Ermittlungsbemühungen heraus. Im Jahr 2006 nahm sein Buch Der Deutschland-Clan die Abhängigkeiten zwischen hochrangigen Politikern, führenden Managern und Justizbeamten ins Visier.“



        Wobei Harry Rowohlt immer korrigierend anmerkte: “Warum haben die Sternreporter Barschel in der Badewanne gefunden? Na - weilse -



        Chaiselongue - nicht schreiben konnten!“



        Ooch wieder wahr - wa! - 🥳 -

  • Tja - wie in einem Brennglas:



    Der nächste Höhepunkt des Niedergangs



    in dieser einstigen Urzelle der Hanse!



    Die heute längst die wackelige Theaterkulisse als Touristenattraktion beim Marzipankauf bei Niederegger bildet.



    Aufgewachsen zwischen Flender - damals eine der größten Schiffswerften - LMG - HATRA-Walzen - Hochofen Eisenverhüttung etc usw usf.



    Alles komplett &! ersatzlos verschwunden entkernt: Rotten borough! Nothing else. Schade Schade -



    Alles Fassade •

    Deren Hallen Industribrachen - sie dir heute an jeder Ecke fürn Appel unnen Ei nachwerfen. Der Rest bis zur Kenntlichkeit Travebau-Durchsaniert bis in die letzten Höfe Gänge & das letzte Kellerloch mietteuer durchsaniert & touri-abgreifig aufgebrezelt: der Jugoslawe Italiener Türke - mit ihren Obst&Gemüse-Lädchen in den Gruben & Gängen - längst verdrängt. Putzig &Gähn



    Sodaß sich die Zehnnägel einrollen & alles schmerzhaft & tief in der Seele wehtut.



    & alles das =>



    Weil dieses piefige Spießbürgertum noch schwer auf dicke Geschichteshose zu machen ~ versucht! Aber keinen Plan von nichts hat & deren Politwürstchen im Hüh oder Hott? - …oder doch lieber noch anders? in sich verkeilt & atemberaubend ahnungslos zerstritten sind! So geht das!

    kurz - Dazu passen - wie Arsch auf Eimer - diese negligable PseudokraftSprüche eines Jan Lindenau!



    “Hei issen bannig fixen Dutt bi de Klütenpann - un kann liggers Kattenshiit in Düstern rüüken!“ - wie frauman im Hohen Norden solches - Soufflé implode nennt. Eine Luftnummer •

    Na Mahlzeit

    unterm——— 50. Abi Katzenmuseum—



    Fand weg mehrfach Doppeljahrgänge in St. Marien statt. Und Däh! Beim Einmarsch der Aburenten & Schüler zwischen Bankreihen - mein Banknachbar (heute HH) achteran:



    “Nun kuck dir das an: Ich habe ein Kopftuch & einen gesehen - der als italienischer Abstammung durchgehen könnte. Das - wars!“

  • 'Bürgermeister Jan Lindenau möchte nun das Computermagazin dafür anzeigen, „dass es mit unzulässigen Mitteln Daten geknackt hat“.'

    Ich hoffe, dass das nicht wahr ist. So viel Ahnungslosigkeit macht fassungslos.

    Aber diese Art Ahnungslosigkeit ist leider weit verbreitet. Und die Unwissenheit wird aktiv gepflegt. Es scheint uncool zu sein, auch einfachste Zusammenhänge zu erlernen.

    Ich erlebe immer wieder, wie Kollegen „die IT“ rufen, um sich immer wieder die zwei gleichen Handgriffe ausführen zu lassen. Versuche, ihnen zu erklären, wie sie das auch selbst machen könnten, werden brüsk abgelehnt. Ist ja nicht ihr Job, zu wissen wie man mit dem Arbeitsgerät auf dem Schreibtisch umgeht.

    Das könnte lustig sein, wenn es nicht dazu führen würde, dass auch einfachstes zur Geheimwissenschaft erklärt wird, wie hier wieder geschehen.

  • Die Härte ist ja, dass laut Artikel in der c't der Bürgermeister die Festplatte unbürokratisch zurückfordern wollte. Ein Schelm, wer Arges dabei denkt.



    Mal schnell der Presse das Beweisstück entreißen.

    • @Thomas Seeling:

      Sowohl in der c't wie in der taz wird beklagt, dass die Stadt Lübeck die von dem Datenleck betroffenen noch nicht informiert hat. Dass die Stadt Lübeck dazu aber wissen müsste, wer die Betroffenen sind, und um das zu wissen, die Daten von der Festplatte benötigt, wird dabei höflich unterschlagen.



      Ich will nicht schönreden, dass hier offenbar beim Ausmustern alter PCs in einem Fall die Festplatte nicht, wie vorgesehen, ausgebaut wurde.



      Aber wieso hat der Käufer des PCs die Festplatten dann nicht der Datenschutzbehörde, sondern der Redaktion der c't übergeben? Einen Datenträger mit personenbezogenen Daten, den ich nicht haben dürfte, dann noch an Dritte weiterzugeben, ist auch nicht DSGVO-konform. Aber das gibt natürlich eine spannende Räuberpistole.

      • @Django:

        Es sind ja mehrere Vorgänge die nicht den Vorschriften entsprechen: Warum ist der Rechner nicht per Passwort geschützt? Warum sind die Daten nicht verschlüsselt auf dem Rechner? Ist die Lizenz des eingesetzten Betriebsystems übertragbar gewesen oder hat sich die Stadt sogar gegenüber Microsoft strafbar gemacht weil der Rechner nur eine Arbeitsplatzlizenz hatte? War es nur ein Fall ? Wurden die Personenbezogenen Daten auf einen anderen Rechner übertragen damit die Auskunft gegenüber den Betroffenen noch erteilt werden kann? Falls ja, warum hat die Stadt dann nicht anhand der (vorgeschriebenen) Datensicherung die Betroffenen informiert?

      • @Django:

        @DJANGO Nun, eine KOPIE der Festplatte hätte der Bürgermeister gern bekommen können. Allerdings auch nicht "per Post", sondern nur per sicherer Übermittlung, schließlich müssen wir sicherstellen, dass die Daten nicht abhanden kommen..



        Das Original geben wir aber ausschließlich an unabhängige Ermittlungsbehörden weiter. Schließlich müssen wir in der Lage sein, die von uns genannten Fakten auch zu belegen.

      • @Django:

        Nun, vielleicht weil es dem Käufer wichtig war, dass die Öffentlichkeit auch davon erfährt, dass Dinge im Argen liegen, die sonst einfach geräuschlos ausgesessen worden wären.

        Sicher hätte man das einfach "der Datenschutzbehörde" melden können. Aber was dann passiert, wissen die Götter der Bürokratie. Nach meiner Erfahrung gibt es allerdings außer jeder Menge im Gletschertempo abgewickeltem Schriftverkehr keine Konsequenzen.

        Dann doch lieber so.

  • Also mit etwas Hardware, sagen wir mal für 5000€ mit Mwst, kann ich locker 50, wahrscheinlich sogar 100 Festplatten pro Tag löschen. SW die das kann gibts kostenlos.

    Oder wenn das zu teuer ist: es gibt extra Unternehmen, die jagen die Platten durch einen Schredder. Das geht schnell und nachhaltig.

    Die Ausrede wir konnten nicht, zu wenig Personal, whatever... ist einfach erbärmlich. Zur not holt man sich 5-10 Studenten zur verstärkung.

    • @danny schneider:

      Laut dem c't-Artikel gibt es einen Prozess, der besagt: 1. Festplatte ausbauen (und - erinnere mich nicht genau - an eine Fachfirma zur Vernichtung übergeben). 2. PC mit einem farbigen Aufkleber kennzeichnen. Der Prozess als solcher ist korrekt, der Mensch, der ihn umsetzt, hat einen Fehler gemacht.



      Bis auf das fehlende Vier-Augen-Prinzip ist der Prozess in Ordnung.

      • @Django:

        Also ist der Prozess nicht in Ordnung, nicht?

        • @Helmut Fuchs:

          also jede Platte der letzten 20 Jahre hat Seriennummer und Modell als Barcode drauf.



          Den scant man am Anfang ein und wenn die in den Schredder wandert, scannt man die wieder und trägt sie aus dem System aus, oder wenn man sie löscht und das erfolgreich war liest der Rechner der das durchführt die Seriennummer über den Bus und trägt den Status "gelöscht" im System ein.



          Immer kann man menschliches Versagen zu 100% ausschließen.



          Auch das man in eine Falsche Kiste greift oder so... all das sind Standardlösungen in der Industrie.

          • @danny schneider:

            Ja. Aber hier ist die Platte ja wohl nicht mal ausgebaut worden.

            Aber mir ging es darum zu sagen, dass die Aussage Djangos "der Prozess ist in Ordnung, bis auf" Quatsch ist.

            Natürlich kann man z.B. einen Prozess definieren, der voraussetzt, dass die Ausführenden fliegen können. Und dann sagen, der Prozess ist gut, es ist die Schuld der Ausführenden, dass sie nicht fliegen können.

            Und dieser Habitus, beim Überbringer der Nachricht mehr Fehler zu suchen, als beim Verursacher nervte mich. Das hab ich im Arbeitsalltag auch dauernd. Zum Probleme lösen ist keine Zeit, weil alle damit beschäftigt sind, Verantwortung von sich zu weisen, Ausreden zu suchen, falsches als richtig umzudefinieren und Bauernopfer zu finden.

  • "... keine Fehler im gültigen Prozess erkennen lassen"

    "Bürgermeister Jan Lindenau möchte nun das Computermagazin dafür anzeigen ..."

    Da. Da ist der grösste Fehler im Prozess. Der Mann sollte verstehen, warum das mit dem Marzipan der richtige Ansatz ist.