Fahrlässiger Umgang mit persönlichen Daten von Kunden

Die Kreditkartendaten von über 200.000 Kunden von zwei US-Zeitungen wurden in besonders fahrlässiger Weise verbreitet – seit Anfang 2005 sind vermutlich bereits 50 Millionen Amerikaner potenziell von Identitätsdiebstahl und Achtlosigkeit der Datensammler betroffen

Nicht nur der Große Bruder sammelt bekanntlich immer mehr Daten, auch bei den Unternehmen wachsen die Berge mit den persönlichen Daten ihrer Kunden. Gerne würde der Staat aus unterschiedlichen Zwecken, gleich ob Strafverfolgung, Terroristenabwehr oder wie jüngst bei den Suchmaschinen die Bekämpfung der Pornographie im Internet, auf diese angehäuften Schätze zugreifen (Der private (lange) Arm des amerikanischen Geheimdienstes, Gläsern, aber dafür schneller und teurer).

Aber auch Kriminelle finden ein neues Betätigungsfeld, wenn sie an die persönlichen Daten gelangen, um durch die Identitätsdiebstahl sich betrügerisch Gewinne zu verschaffen. Man sollte meinen, dass Unternehmen und Behörden ihre Datenschätze daher hüten und sie aufwändig sichern. Schließlich geht es auch um das Vertrauen der Bürger und Kunden. Immer wieder gelangen aber persönliche Daten – und dann oft in großer Zahl – aus Unachtsamkeit oder durch einfache Tricks der Betrüger in falsche Hände (Von Daten-, Schein- und anderer Sicherheit). Werden aber von Behörden oder Unternehmen immer mehr Daten zentral gesammelt, steigt neben der zunehmenden Überwachung auch die Gefahr des unbefugten Zugriffs.

Einen Vogel abgeschossen haben nun wohl die Zeitungen The Boston Globe und Worcester Telegram & Gazette (T&G). Am letzten Sonntag wurden die Kreditkartennummern von 240.000 Kunden der Zeitungen mit diesen verbreitet. Die Daten standen auf dem Papier, mit dem die Zeitungen in Paketen für Auslieferer und Zeitschriftenhändler eingepackt werden. Auf 9.000 solcher Pakete konnte, wer wollte, die Namen von Kunden und ihre Kreditkartennummern lesen.

Die beiden Zeitungen gehören zum Konzern der New York Times und benutzen ein gemeinsames Computersystem für die Auslieferung. Die Auslieferungshinweise wurden auf Recycling-Papier gedruckt, auf denen sich auch eine interne Dokumentation der Kreditkarten der Kunden befand. Unklar ist, wie viele der persönlichen Daten derart verteilt wurden. Die Zeitungen haben angeblich die Kreditkartenunternehmen benachrichtigt. Bislang sei noch kein Betrug gemeldet worden, erklärte Al Larkin, der Sprecher des Boston Globe. Man will die Zettel mit den Daten wieder einsammeln, geht aber davon aus, dass die meisten weggeworfen worden sind.

Angeblich seien auch nur die letzten vier Ziffern der Kreditkartennummern ausgedruckt worden. Verantwortlich für den Vorfall seien zwei Angestellte. Beide hätten jeweils irrtümlich begonnen, die Kundendaten auszudrucken, ihren Fehler dann bemerkt, den Druck unterbrochen und das bedruckte Papier dann in den Papierabfall entsorgt.

Der Herausgeber des Globe, Richard Gilman, bedauerte in einer Mitteilung den Vorfall und versprach, das entstandene Problem gewissenhaft zu lösen und die Sicherheit zu verstärken. Die war vorher offensichtlich nur nebensächlich.

Zu den Highlights an fahrlässigem Umgang mit persönlichen Kundendaten gehört sicherlich die Bank of America, die Anfang 2005 Computer-Datenbändern mit Kreditkarten- und Kontendaten von über einer Million US-Regierungsangestellten "verloren" hat (Vertuschen statt informieren). Auch bei Ameritrade verschwand ein Datenband mit persönlichen Informationen von 200.000 Kunden. Bei der Regierung geht es nicht viel sicherer zu. So wurden von Crackern von einer Computer der US Air Force immerhin die persönlichen Daten von über 30.000 Soldaten und anderen Angestellten entwendet.

Monatelang hatte das Datensammelunternehmen und die Auskunftei Choicepoint verschwiegen, dass Cracker die persönlichen Daten von über 100.000 Menschen entwednet hatten ( Identitätsdiebstahl leichtgemacht). Im März 2005 gab es bereits die nächsten zwei großen Vorfälle: Erneut Datenklau bei den neuen Big Brothers der Privatwirtschaft und Schon wieder gab es in den USA einen Einbruch von Dieben in eine Datenbank. Dann verschwanden Magnetbänder mit 3,9 Millionen Citigroup-Kundendaten. Und erst Ende Januar wurde die Website des State of Rhone Island gecrackt und Kreditartendaten zusammen mit Adressen und Namen entwendet.

Privacy Rights Clearinghouse führt alleine in den USA an die 100 solcher Diebstähle und Fahrlässigkeiten im Umgang mit gesammelten persönlichen Daten seit dem ersten ChoicePoint-Vorfall Anfang 2005 auf. Meist handelt es sich im Cracker, die Weitergabe von Informationen durch Insider oder verlorene Notebooks. Auch wenn die genaue Zahl der Betroffenen unbekannt ist, so handelt es sich nach dem Privacy Rights Clearinghouse doch wahrscheinlich um die persönlichen Daten von über 50 Millionen Menschen. Wie groß der Schaden ist, bleibt freilich unbekannt, weil sich die Kreditkartenfirmen und Banken nicht in die Karten schauen lassen.

http://www.heise.de/tp/artikel/21/21918/1.html