Datenpanne bei Buchbinder
10 TB an Kunden- und Beschäftigtendaten wegen eines fehlkonfigurierten Back-Up-Servers ungeschützt im Netz.

Am 22. Januar 2020 wurde bekannt, dass Daten von Kunden, Mitarbeitern und anderen Personen über einen Server des Autovermieters Buchhbinder frei für jedermann über das Internet zugänglich waren.

Bereits im Dezember 2019 entdeckte Matthias Nehls, Chef der Flensburger IT-Sicherheitsfirma „Deutsche Gesellschaft für Cybersicherheit“, das riesige Datenleck. Nachdem dieser den Datenschutzbeauftragten der Autovermietung informierte, jedoch keine Reaktion kam, wandte er sich an das Magazin für Computertechnik c´t und die Wochenzeitung ZEIT. Durch diese wurde der Skandal öffentlich. Nach einem Hinweis von c’t und ZEIT am 20. Januar 2020 schloss Buchbinder das Leck noch am selben Tag.

Die IT-Abteilung Buchbinders legte tägliche Backups an und nutzte einen angemieteten Server bei der PlusServer GmbH in Köln. Auf diesem Microsoft SQL-Datenbankmanagementsystem wurden jeden Wochentag .bak- und .log-Dateien gespeichert. Auf dem Server war eine SMB-Freigabe ohne jeglichen Passwortschutz aktiv, die aufgrund des nicht durch eine Firewall gesicherten Ports 445 für jedermann erreichbar war.

Zu finden waren über 9 Millionen Miet­verträge, von heute bis zurück ins Jahr 2003. Neben den Mietern waren auch die Fahrer mit Name, Adresse, Geburtsdatum, Führerscheinnummer und weiteren Informationen gespeichert. Doch nicht nur Kunden von Buchbinder direkt waren betroffen, sondern auch diejenigen, welche es mit Vermittlern und Mietwagen-Brokern zu tun hatten.

Hinzu kam eine mit über 500.000 Unfallberichten angereicherte Datenbank mit Daten der Fahrer, Zeugen und Unfallgegner, welche bis in das Jahr 2006 zurückreichten.

Des Weiteren wurden Mitarbeiter und Geschäftskunden erfasst sowie Login-Informationen von Angestellten und Nutzern der Online-Portale und dem Flottenmanagement von Buchbinder. Über 3.000 Passwörter waren im Klartext gespeichert.

Für die Firma selbst bedeutete dies einen großen Schaden. Mitbewerber könnten wettbewerbsrelevante Einblicke in die Flotte des Unternehmens erhalten haben. Hinzu kommt ein nicht unerheblicher Vertrauensverlust auf Seite der Kunden.  Für die Betroffenen, zu denen Prominente, Spitzenpolitiker, Angehörige verschiedenster Botschaften sowie Mitarbeiter von Bundesministerien, der Polizei und der Bundeswehr zählen, bedeutet das Leck möglichen Spam, Phishing, Einkäufe im fremden Namen oder Identitätsdiebstahl.

Juristisch gesehen sind Verstöße gegen die DSGVO von Bedeutung, welche ein erhebliches Bußgeld mit sich ziehen könnten. In Betracht kommt ein Verstoß gegen Art. 32 Abs. 1 DSGVO, welcher hohe Anforderung an die IT-Sicherheit stellt. Dabei kommt erschwerend hinzu, dass besonders sensible personenbezogene Daten im Sinne von Art. 9 DSGVO betroffen sind. Dem folgt die Verpflichtung des Verantwortlichen, gemäß Art. 34 DSGVO die Betroffenen des Datenlecks „ohne schuldhaftes Zögern“ zu informieren. Weiterhin ist ein Verstoß gegen die Löschpflicht aus Art. 17 DSGVO offenkundig. Neben Bußgeldsanktionen bestehen potentielle Schadensersatzansprüche der Betroffenen aus Art. 82 DSGVO. Die Sanktionierung der Datenschutzverstöße obliegt dem Bayrischen Landesamt für Datenschutz (BayLDA).

Nachtrag vom 6. Mai 2022:

Wie zum Zeitpunkt des Nachtrages bekannt wurde, hat die bayerische Datenschutzaufsicht die Akte bereits im Dezember 2021 geschlossen, ohne eine Sanktion gegen Buchbinder zu verhängen oder Abhilfemaßnahmen einzufordern. In Fachkreisen stieß diese Beurteilung der Datenpanne seitens der Behörde auf Unverständnis angesichts der Offensichtlichkeit und der Dimension des Datenschutzverstoßes.